Развертывание S2S VPN с помощью Cloud App strongSwan в Yandex Cloud

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте сервисный аккаунт s2s-vpn-sa:

   yc iam service-account create --name s2s-vpn-sa
   

   Результат:

   id: nfersamh4sjq********
   folder_id: b1gc1t4cb638********
   created_at: "2023-03-21T10:36:29.726397755Z"
   name: s2s-vpn-sa
   

   Сохраните идентификатор сервисного аккаунта s2s-vpn-sa (id) и каталога, в котором его создали (folder_id).

2. Назначьте сервисному аккаунту роли resource-manager.admin, iam.admin, compute.admin и vpc.admin на каталог:

   yc resource-manager folder add-access-binding <идентификатор_каталога> \
     --role resource-manager.admin \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   
   yc resource-manager folder add-access-binding <идентификатор_каталога> \
     --role iam.admin \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   
   yc resource-manager folder add-access-binding <идентификатор_каталога> \
     --role compute.admin \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   
   yc resource-manager folder add-access-binding <идентификатор_каталога> \
     --role vpc.admin \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   

   Результат:

   done (1s)
   

Чтобы создать сервисный аккаунт, воспользуйтесь методом create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.

Чтобы назначить сервисному аккаунту роли на каталог, воспользуйтесь методом setAccessBindings для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/SetAccessBindings.

Выполните команду:

yc vpc network create s2s-vpn-network

Результат:

id: enp1gg8kr3pv********
folder_id: b1gt6g8ht345********
created_at: "2023-12-20T20:08:11Z"
name: s2s-vpn-network
default_security_group_id: enppne4l2eg5********

Чтобы создать облачную сеть, воспользуйтесь методом REST API create для ресурса Network или вызовом gRPC API NetworkService/Create.

Если у вас еще не установлен OpenSSH, установите его по инструкции.

1. Запустите cmd.exe или powershell.exe (предварительно обновите PowerShell).

2. Создайте новый ключ с помощью команды ssh-keygen:

   ssh-keygen -t ed25519 -C "<опциональный_комментарий>"
   

   Вы можете передать в параметре -C пустую строку, чтобы не добавлять комментарий, или не указывать параметр -C вообще — в таком случае будет добавлен комментарий по умолчанию.

   После выполнения команды вам будет предложено указать имя и путь к файлам с ключами, а также ввести пароль для закрытого ключа. Если задать только имя, пара ключей будет создана в текущей директории. Открытый ключ будет сохранен в файле с расширением .pub, закрытый ключ — в файле без расширения.

   По умолчанию команда предлагает сохранить ключ под именем id_ed25519 в папку C:\Users\<имя_пользователя>/.ssh. Если в этой директории уже есть SSH-ключ с именем id_ed25519, вы можете случайно перезаписать его и потерять доступ к ресурсам, в которых он используется. Поэтому рекомендуется использовать уникальные имена для всех SSH-ключей.

Создайте ключи с помощью приложения PuTTY:

1. Скачайте и установите PuTTY.

2. Добавьте папку с PuTTY в переменную PATH:

   1. Нажмите кнопку Пуск и в строке поиска Windows введите Изменение системных переменных среды.
   2. Справа снизу нажмите кнопку Переменные среды....
   3. В открывшемся окне найдите параметр PATH и нажмите Изменить.
   4. Добавьте путь к папке в список.
   5. Нажмите кнопку ОК.

3. Запустите приложение PuTTYgen.

4. В качестве типа генерируемой пары выберите EdDSA. Нажмите Generate и поводите курсором в поле выше до тех пор, пока не закончится создание ключа.

   

5. В поле Key passphrase введите надежный пароль. Повторно введите его в поле ниже.

6. Нажмите кнопку Save private key и сохраните закрытый ключ. Никому не сообщайте ключевую фразу от него.

7. Нажмите кнопку Save public key и сохраните открытый ключ в файле <имя_ключа>.pub.

Выполните команду:

yc vpc subnet update <имя_автоматически_созданной_подсети> \
  --route-table-name=<имя_автоматически_созданной_таблицы>

Результат:

id: e9b6n3jj3gh6********
folder_id: b1g681qpemb4********
created_at: "2024-05-19T13:24:58Z"
name: ipsec-sgw-kz1-b
network_id: enppoggov6ub********
zone_id: kz1-b
v4_cidr_blocks:
  - 10.1.0.0/16
route_table_id: enp4v8foko6s********
dhcp_options: {}

Чтобы привязать таблицу маршрутизации к подсети, воспользуйтесь методом REST API update для ресурса Subnet или вызовом gRPC API SubnetService/Update.