2 VPN tunnels naar 1 Azure Virtual Network

[Verwijderd]

In Azure wil ik het volgende realiseren:

1 Virtual network met daarin een paar VM's.
Deze VM's moeten vanuit 2 locaties beschikbaar zijn.

Tussen NL en Azure heb ik al succesvol een tunnel opgezet.
Tussen het kantoor in het buiteland en dezelfde Azure omgeving nog niet.
Ik loop vast omdat het VPN script het 2e local network niet meegeeft.

Aan dezelfde gateway in Azure wil ik dus eigenlijk 2 VPN tunnels hangen.
Kan ik aan mijn gateway (firewall) op kantoor immers ook, dus waarom zou dat niet in Azure kunnen?

Situatie schets:



Ik wil niet dat men vanuit het buitenland over de VPN tunnel tussen de 2 locaties naar Azure gaat, maar een directe lijn naar Azure heeft.

Wanneer ik een 2e Virtual Network wil aanmaken kan ik wel een VPN tunnel configureren naar het andere kantoor. Maar die krijgen dan een Eigen aparte Virtuale Network binnen Azure, en dat wil ik niet, de VM's hangen immers in het reeds bestaande Virtual Network.

Wie weet hoe ik dit voor elkaar kan krijgen?
Zie ik iets over het hoofd?
Kan het technisch uberhaupt wel?

Wat hulp in de juiste richting zou erg welkom zijn.

[Verwijderd]

Iemand?

[lier]

Heb je al iemand binnen Microsoft hiervoor benaderd? Ik heb erg goede ervaring met ondersteuning van vraagstukken...

[Verwijderd]

Nee nog niet.
Heb alleen nog maar een gratis variant en daar zit geen support bij.

[lier]

Azure wordt door Microsoft stevig gepromoot, lijkt me de moeite waard om eens op een forum van Microsoft deze vraag te stellen...

[Kompaan]

Dit kan, RIP of OSPF (of BGP als je fancy wil doen) zou handig zijn om routing te regelen (je hebt meerdere routes naar je cloud).

Ik loop vast omdat het VPN script het 2e local network niet meegeeft.

Wat je kan doen is je 2 VPNs als volgt opzetten 10/8 naar 10.10/16 en vervolgens je routing protocol laten uitzoeken welke route het verkeer zou moeten nemen.

Andere optie is om 2 z.g.n. "Phase 2"s te gebruiken (10.100/16 <> 10.10/16 en 10.200/16 <> 10.10/16), maar daar voorziet dat script niet in, dus moet je die zelf toevoegen.

(ik ga er even vanuit dat dit IPSec is)

Als je geen 2e VPN naar Azure wil maken en moeilijke routing dingen wil doen, kan je ook het verkeer vanaf "buitenland" voor Azure door de site to site heen sturen, met een 2e "Phase 2" op je site-to-site (10.200/16 <> 10.10/16).

[Verwijderd]

Ik begrijp uit je reactie dat het moet kunnen.
Maar je gaat net even wat te diep voor mijn kennis niveau.

Je zou mij erg blij maken door het (voor mij) iets begrijpelijker uit te leggen.
Zou je daar toe bereid zijn?

[Kompaan]

Als je een linkje hebt met het script/instructies wat je gevolgd hebt, dan kan ik het misschien aan de hand daarvan verder uitleggen?

[Verwijderd]

Bij deze. Wat aan IP's weg gehaald i.v.m. security.
Dit staat dus in NLFW.

Er zal dus iets vergelijkbaars moeten in INFW, maar of Azure dat zomaar accepteert?

code:

set security ike proposal azure-proposal authentication-method pre-shared-keys
set security ike proposal azure-proposal dh-group group2
set security ike proposal azure-proposal authentication-algorithm sha1
set security ike proposal azure-proposal encryption-algorithm aes-256-cbc
set security ike proposal azure-proposal lifetime-seconds 28800
set security ike policy azure-policy mode main
set security ike policy azure-policy proposals azure-proposal
set security ike policy azure-policy pre-shared-key ascii-text <CODE>
set security ike gateway azure-gateway ike-policy azure-policy
set security ike gateway azure-gateway address <IP>
set security ike gateway azure-gateway external-interface <INT>
set security ipsec proposal azure-ipsec-proposal protocol esp
set security ipsec proposal azure-ipsec-proposal authentication-algorithm hmac-sha1-96
set security ipsec proposal azure-ipsec-proposal encryption-algorithm aes-256-cbc
set security ipsec proposal azure-ipsec-proposal lifetime-seconds 3600
set security ipsec policy azure-vpn-policy proposals azure-ipsec-proposal
set security ipsec vpn azure-ipsec-vpn bind-interface <INT>
set security ipsec vpn azure-ipsec-vpn ike gateway azure-gateway
set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.100.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.10.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity service any
set security ipsec vpn azure-ipsec-vpn ike ipsec-policy azure-vpn-policy
set security ipsec vpn azure-ipsec-vpn establish-tunnels immediately
set security policies from-zone Servers to-zone vpn policy azure-security-servers-to-vpn match source-address vpn-local-net-servers
set security policies from-zone Servers to-zone vpn policy azure-security-servers-to-vpn match destination-address azure-networks-1
set security policies from-zone Servers to-zone vpn policy azure-security-servers-to-vpn match application any
set security policies from-zone Servers to-zone vpn policy azure-security-servers-to-vpn then permit
set security policies from-zone vpn to-zone Servers policy azure-security-vpn-to-servers match source-address azure-networks-1
set security policies from-zone vpn to-zone Servers policy azure-security-vpn-to-servers match destination-address vpn-local-net-servers
set security policies from-zone vpn to-zone Servers policy azure-security-vpn-to-servers match application any
set security policies from-zone vpn to-zone Servers policy azure-security-vpn-to-servers then permit
set security zones security-zone vpn address-book address azure-networks-1 10.100.0.0/16
set interfaces stX unit X family inet address <IP>

[Kompaan]

Ha, het lijkt erop dat Azure dit niet ondersteunt:

MSDN: Multiple site-to-site VPN with Azure

Dan wordt het dus via de site2site verbinding.

Op je VPN van NL-Azure zou je dan dit moeten hebben:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.0.0.0/8
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.10.0.0/16

en op je Site to Site NL zijde:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.0.0.0/8
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.200.0.0/16

Site to Site buitenland zijde:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.200.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.0.0.0/8

Op deze manier gaat het verkeer van buitenland -> NL -> Azure

(je policies wel ook op aanpassen, er gaan extra subnets over deze verbinding nu)

[Verwijderd]

Jammer dat Azure dat niet ondersteund. Zo te lezen zijn er plannen om het voor in de toekomst wel mogelijk te maken. Bij voorkeur wil ik namelijk niet het verkeer via NL laten lopen.
Teveel afhankelijkheden / latency op die manier.

Voor nu zou het kunnen, gezien het slechts om en enkele DC gaat voor de site in het buitenland.
Maar voor de toekomst is het wenselijker om het direct te hebben. Nou ja, hopelijk is het een goed voornemen voor 2014 van Microsoft Azure dan.

Thanks zover, zeer gewaardeerd!

[Kompaan]

geen probleem, ikzelf moet een keer met een dergelijke constructie aan de slag bij EC2, maar ik heb daar nog niet verder naar gekeken.

[Verwijderd]

Zit een conflict in je voorstel.
Azure accepteert het niet als ik 'remote' aanpas naar 10.0.0.0/8
Aangezien het lokale subnet dat ik op Azure heb ingesteld binnen die range valt.
Klinkt ook vrij logisch eerlijk gezegd.

Wat wel kan is dat ik een extra remote subnet toevoeg op azure.
Dat gedaan, maar resulteert nog niet in verkeer richting het buitenlandse kantoor.

In mijn NL FW staat wel al een static route voor verkeer richting het subnet in het buitenland.
Ook geprobeerd een route aan te maken in een VM (route add....) maar dat werkt ook niet.

Ik zie iets over het hoofd denk ik?

[Kompaan]

Verwijderd schreef op donderdag 02 januari 2014 @ 11:45:
Zit een conflict in je voorstel.
Azure accepteert het niet als ik 'remote' aanpas naar 10.0.0.0/8

Aangezien het lokale subnet dat ik op Azure heb ingesteld binnen die range valt.
Klinkt ook vrij logisch eerlijk gezegd.

Niet alle interfaces accepteren dat, heb ik wel vaker gezien, ik heb het wel zien werken (directly connected subnets hebben voorrang op remote subnets)

Wat wel kan is dat ik een extra remote subnet toevoeg op azure.

Dan kan je dus mijn andere scenario doen denk ik

Dat gedaan, maar resulteert nog niet in verkeer richting het buitenlandse kantoor.

In mijn NL FW staat wel al een static route voor verkeer richting het subnet in het buitenland.
Ook geprobeerd een route aan te maken in een VM (route add....) maar dat werkt ook niet.

Ik zie iets over het hoofd denk ik?

Ja, je VPN laat die extra subnetten niet zomaar door, aangepast van eerdere comment:

Op je VPN van NL-Azure zou je dan dit moeten toevoegen:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.200.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.10.0.0/16

en op je Site to Site NL zijde voeg je toe:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.10.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.200.0.0/16

Site to Site buitenland zijde:

set security ipsec vpn azure-ipsec-vpn ike proxy-identity local 10.200.0.0/16
set security ipsec vpn azure-ipsec-vpn ike proxy-identity remote 10.10.0.0/16

[Audio-Catalyst]

Op dit moment doen wij dit reeds...

Wij adverteren via OSPF en/OF BGP de Azure routes vanuit in jou voorbeeld NL naar een stuk of 30 andere locaties.
Waar je wel even op moet letten is dat zorgt dat je een Multi Tunnel vanuit azure gebruikt

[Verwijderd]

Ik inmiddels ook.
Ten tijde van het schrijve van mijn TS kon dat nog niet in Azure.
Ik moest er ook mijn SRX 240's van voorzien met een nieuwere firmware, omdat die ik gebruikte het ikev2 protocol niet ondersteunde.

[ Voor 43% gewijzigd door Verwijderd op 21-11-2014 17:36 ]