Vous pouvez connecter votre VPC AWS à Cato à l'aide d'un tunnel IPsec ou d'un Socket virtuel (vSocket). Cet article décrit comment déployer un vSocket sur une instance EC2.
Le vSocket offre ces avantages :
- Gestion de la bande passante et contrôle de QoS
- Optimise la connectivité vers les PoP dans le Cloud Cato
- Support pour les configurations de haute disponibilité
Pour plus d'informations sur les sites vSocket et IPsec, consultez Sélection du type de connexion pour un site.
Cet article suppose que vous avez déjà un VPC dans votre environnement AWS.
Remarque
Note : En raison des régulations en Chine, pour déployer un site vSocket AWS en Chine, veuillez contacter votre représentant Cato ou le Support Cato.
-
Vous devez avoir des permissions d'administrateur sur le tableau de bord AWS et l'Application de gestion de Cato. De plus, vous devez avoir les autorisations suivantes dans AWS :
- AWS Marketplace
- Création de paire de clés
- Assurez-vous que l'environnement répond aux exigences énumérées dans Prérequis pour la connexion Cato Socket.
- Dans l'Application de gestion de Cato, créez un nouveau site pour le vSocket AWS.
- Créer les ressources virtuelles AWS
- Dans AWS Marketplace, abonnez-vous à l'offre AMI de Cato Networks pour connecter les ressources virtuelles à votre instance EC2
- Lancer l'instance vSocket
- Vérifiez que le vSocket est connecté à votre compte.
Créez le site vSocket AWS dans l'Application de gestion de Cato, et le numéro de série pour le vSocket est généré. Ce numéro de série est utilisé lors du lancement de l'instance EC2.
L'IP locale pour le vSocket doit être la même que l'adresse IP pour l'interface LAN sur l'instance EC2. Les trois premières adresses IP du sous-réseau sont réservées par le VPC.
Après avoir créé le site, l'Application de gestion de Cato génère automatiquement un numéro de série unique pour le nouveau vSocket. Vous devez entrer ce numéro de série lorsque vous lancez l'instance EC2).
Pour créer le site pour le vSocket AWS :
- Dans l'Application de gestion de Cato, dans le menu de navigation, sélectionnez Réseau > Sites.
-
Cliquez sur Nouveau. Le panneau Ajouter un site s'ouvre.
- Configurez les paramètres Généraux pour le site :
- Entrez le Nom du site.
- Sélectionnez le Type de site. Cette option détermine quelle icône est utilisée pour le site dans la fenêtre Topologie.
- Sélectionnez vSocket AWS pour le Type de connexion.
- Configurez le Pays, l'État et le fuseau horaire pour définir le cadre temporel de la fenêtre de maintenance. Pays, et État.
- Configurez les Paramètres d'interface WAN, y compris la bande passante Descendante et Montante selon la bande passante de votre ISP.
- Configurez les paramètres de l'interface LAN, y compris la Plage Native pour le site AWS. Ce paramètre doit être identique à la plage d'IP du sous-réseau LAN dans AWS (voir ci-dessous Création des sous-réseaux MGMT, WAN et LAN).
- Cliquez sur Appliquer. Le site est ajouté à la liste des Sites.
L'Application de gestion de Cato génère automatiquement un numéro de série unique pour le nouveau vSocket. Vous devez entrer ce numéro de série (S/N) lorsque vous configurez l'AMI (voir ci-dessous Configuration de l'AMI Cato).
Une fois le vSocket créé, vous pouvez créer les ressources virtuelles AWS et les connecter à votre instance EC2 en utilisant le modèle AMI dans AWS Marketplace.
Créez ces ressources virtuelles pour l'instance vSocket :
Remarque
Note : Si ces ressources existent déjà, vous pouvez procéder à l'association des ressources avec l'instance EC2, ci-dessous.
- Passerelle internet
- Trois sous-réseaux - WAN, LAN et MGMT
- Groupe(s) de sécurité pour gérer la communication entrante et sortante
- Trois interfaces (ENIs) - WAN, LAN et MGMT
- Deux tables de routage - Internet et LAN
- Deux IP Élastiques (pour les interfaces WAN et MGMT)
Utilisez le tableau de bord du Virtual Private Cloud (VPC) AWS pour créer une nouvelle passerelle Internet et la rattacher à votre VPC.
Pour créer la nouvelle passerelle internet et l'attacher au VPC :
- Depuis le tableau de bord VPC, dans le menu de navigation sélectionnez Cloud Privé Virtuel > Passerelles Internet.
- Cliquez sur Créer une passerelle Internet.
- Dans Étiquette de nom, entrez le nom pour la passerelle Internet.
-
Cliquez sur Créer passerelle internet. Le tableau de bord VPC montre les détails pour la passerelle Internet.
- Dans le menu déroulant Actions, sélectionnez Attacher au VPC.
- Dans la fenêtre Attacher au VPC, dans la section VPCs disponibles, sélectionnez le VPC.
- Cliquez sur Attacher passerelle internet. La passerelle Internet est attachée à votre VPC.
Créez ces sous-réseaux dans AWS et ils sont automatiquement attachés au VPC :
- Sous-réseau MGMT
- Sous-réseau WAN
- Sous-réseau LAN - ceci est la même valeur que la Plage Native pour le site.
Assurez-vous que tous les sous-réseaux sont dans la même zone de disponibilité AWS.
Pour créer le sous-réseau pour le vSocket AWS :
- Depuis le tableau de bord VPC, dans le menu de navigation sélectionnez Cloud Privé Virtuel > Sous-réseaux.
- Cliquez sur Créer sous-réseau.
- Depuis la fenêtre Créer sous-réseau, dans la section VPC, sélectionnez l'ID du VPC.
- Configurez les paramètres pour le sous-réseau :
- Entrez le Nom du sous-réseau.
- Sélectionnez la Zone de disponibilité pour le sous-réseau.
- Entrez le bloc IPv4 CIDR pour le sous-réseau. Pour le sous-réseau LAN - ceci est la même valeur que la Plage Native pour le site.
- Pour ajouter des sous-réseaux supplémentaires, cliquez sur Ajouter un nouveau sous-réseau et répétez l'étape précédente 4.
- Cliquez sur Créer sous-réseau. AWS crée les sous-réseaux et les attache au VPC.
Configurez les règles du groupe de sécurité pour le trafic WAN et MGMT avec des règles sortantes qui autorisent tout le trafic sortant, afin que le trafic puisse atteindre le Cato Cloud.
Créer les interfaces WAN et LAN pour le vSocket pour l'instance EC2. Utilisez le tableau de bord EC2 pour créer les interfaces.
Réglez l'adresse IP Personnalisée pour l'interface LAN sur la même adresse IP que l'IP locale pour la Plage Native. N'utilisez pas les 3 premières adresses IP car elles sont réservées par AWS.
Vous devez désactiver la vérification source/destination AWS sur l'interface LAN pour permettre à l'instance EC2 d'effectuer le transfert de trafic.
Remarque
Remarque : Pour assurer un bon comportement du vSocket, définissez des options DHCP personnalisées avec un serveur de confiance comme serveur DNS principal
Pour créer l'interface réseau (ENI) :
- Depuis le tableau de bord EC2, dans le menu de navigation, sélectionnez Réseau & Sécurité > Interfaces réseau.
- Cliquez sur Créer une interface réseau.
- Dans la fenêtre Créer une interface réseau, sélectionnez le sous-réseau LAN.
- Dans Adresse IPv4 privée, cliquez sur Personnalisé et entrez l'IP locale pour le Native Range.
- Dans Groupes de sécurité, sélectionnez le groupe de sécurité approprié pour l'interface.
- Cliquez sur Créer une interface réseau. AWS crée l'interface.
- Répétez les étapes précédentes pour l'interface WAN.
- Pour l'interface LAN, désactivez le suivi source/destination d'AWS :
-
Dans la fenêtre Interfaces réseau, faites un clic droit sur l'interface LAN et sélectionnez Modifier source/dest. vérification.
- Dans la fenêtre Modifier la vérification source/destination, désactivez Activer.
- Cliquez sur Sauvegarder.
-
Créer de nouvelles ou utiliser les tables de routage VPC existantes pour le trafic vSocket :
-
Table de routage privée pour les sous-réseaux LAN
- Attachez le sous-réseau LAN
- Définissez le Socket LAN ENI comme cible (next hop) pour la route par défaut
-
Une seule table de routage Internet pour les sous-réseaux MGMT et WAN. Cette table de routage est utilisée pour fournir la connectivité entre le vSocket et les ressources du Cato Cloud.
- Attachez les sous-réseaux WAN et MGMT
- Définissez la passerelle Internet comme cible (next hop) pour la route par défaut
Pour créer les tables de routage Internet et LAN :
- À partir du tableau de bord VPC, dans le menu de navigation, sélectionnez Cloud privé virtuel > Tables de routage.
- Cliquez sur Créer une table de routage.
- Dans Étiquette de nom, entrez le nom pour la table de routage Internet ou LAN.
- Sélectionnez le VPC pour le vSocket.
- Cliquez sur Créer. La table de routage est ajoutée au VPC.
- Associez les sous-réseaux WAN et MGMT à la table de routage Internet, ou le sous-réseau LAN à la table de routage LAN.
-
Faites un clic droit sur la table de routage et sélectionnez Modifier les associations de sous-réseau. Ceci est un exemple de table de routage Internet.
-
Dans la fenêtre Modifier les associations de sous-réseau :
- Pour la table de routage Internet, sélectionnez les sous-réseaux MGMT et WAN
- Pour la table de routage LAN, sélectionnez le sous-réseau LAN
- Cliquez sur Sauvegarder. Les sous-réseaux sont associés à la table de routage.
-
- Ajoutez la route par défaut à chaque table de routage (commencez par configurer la table de routage Internet, puis celle du LAN).
-
Faites un clic droit sur la table de routage, et sélectionnez Modifier les routes. La capture d'écran suivante montre la table de routage Internet :
- Cliquez sur Ajouter une route.
- Définissez la Destination pour la nouvelle route sur 0.0.0.0/0.
-
Dans Cible, sélectionnez le next hop pour la table de routage Internet ou LAN :
- Pour la table de routage Internet, sélectionnez Passerelle Internet et choisissez la passerelle Internet pour le VPC
- Pour la table de routage LAN, sélectionnez Interface réseau et choisissez le LAN ENI. La capture d'écran suivante montre la table de routage LAN :
- Cliquez sur Enregistrer les modifications.
- La fenêtre indique que la route a été créée avec succès, cliquez sur Fermer.
-
- Répétez les étapes précédentes pour la table de routage LAN.
Créez et associez des adresses IP Elastic avec les interfaces WAN et MGMT. Vous pouvez utiliser une adresse IP publique qui est allouée à partir du pool d'adresses IPv4 d'Amazon.
Remarque
Remarque : L'adresse IP élastique pour l'interface MGMT doit être associée à l'interface MGMT automatiquement créée par l'AMI Cato lors de la création de l'instance, et non à une créée manuellement.
Pour allouer une adresse IP Elastic :
- Depuis le tableau de bord EC2, dans le menu de navigation, sélectionnez Réseau & Sécurité > IP Elastic.
- Cliquez sur Allouer une adresse IP Elastic.
- Pour le pool d'adresses IPv4 publiques, sélectionnez Le pool d'adresses IPv4 d'Amazon.
- Cliquez sur Allouer. L'IP Elastic est allouée.
-
Sélectionnez l'IP Elastic, et choisissez Actions > Associer une adresse IP Elastic.
- Dans la fenêtre Associer une adresse IP Elastic, sous Type de ressource, sélectionnez Interface réseau.
- Dans Interface réseau, sélectionnez l'interface WAN.
- Cliquez sur Associer. L'IP Elastic est associée à l'interface.
- Répétez les étapes précédentes pour l'interface MGMT.
Après avoir créé toutes les ressources virtuelles pour le vSocket, connectez ces ressources à votre instance EC2 en utilisant l'AMI de Cato Networks disponible sur le AWS Marketplace.
Les types d'instances EC2 suivants sont certifiés pour les vSockets :
- t3.large
- t3.xlarge
- c3.xlarge
- c4.xlarge
- c5.xlarge
- c5d.xlarge
- c5n.xlarge (Suggéré pour les sites à haute performance avec une bande passante supérieure à 2 Gbps)
- d2.xlarge
Voir cet article pour consulter les spécifications des types d'instances afin de vous aider à choisir un type qui correspond aux exigences du site.
Remarque
Remarque: Si les instances c3.xlarge ou c4.xlarge ne sont pas disponibles dans votre région, contactez le support client AWS.
Après avoir préparé l'environnement, vous pouvez maintenant configurer l'AMI de Cato Networks.
Configurez l'AMI :
- Depuis la AWS Marketplace, recherchez le Virtual Socket de Cato Networks.
- Cliquez sur Continuer pour s'abonner.
-
Cliquez sur Continuer pour la configuration.
- Sous Option de fulfillment, sélectionnez Image Machine Amazon.
- Sous Région, assurez-vous de sélectionner la région où se trouve votre vSocket.
- Cliquez sur Continuer vers le lancement.
-
Dans la page Lancer ce logiciel :
- Sous Choisir Action, sélectionnez Lancer via EC2.
- Sous Type d'instance EC2, sélectionnez l'instance EC2.
- Sous Paramètres VPC, sélectionnez le VPC auquel vous vous connectez.
- Sous Paramètres de sous-réseau, sélectionnez le réseau MGMT.
- Sous Paramètres du groupe de sécurité, sélectionnez le groupe de sécurité que vous avez créé pour cette instance.
-
Développez Configuration avancée du réseau et sous Interface réseau sélectionnez l'interface MGMT que vous avez créée.
Remarque: Si vous ne sélectionnez pas une interface existante, une nouvelle interface est créée.
- Sous Paramètres de clé, sélectionnez la paire de clés que vous avez créée.
- Dans la section Détails avancés, sous Données utilisateur - optionnel, entrez le numéro de série que vous avez copié depuis le site vSocket que vous avez créé dans l'application de gestion Cato.
- Cliquez sur Lancer.
Après le lancement de l'instance vSocket, l'interface MGMT est attachée à celle-ci. Arrêtez l'instance puis attachez les interfaces WAN et LAN restantes à l'instance.
Remarque
Remarque : Assurez-vous que l'instance EC2 est arrêtée et attachez d'abord l'interface WAN, puis l'interface LAN.
Pour attacher les interfaces à l'instance vSocket:
- Depuis le tableau de bord EC2, dans le menu de navigation, sélectionnez Instances > Instances.
- Cliquez-droit sur l'instance vSocket et sélectionnez Arrêter l'instance.
- Dans la fenêtre de confirmation, cliquez sur Arrêter. Actualisez la fenêtre et confirmez que l'État de l'instance est Arrêté.
- Dans le menu de navigation, sélectionnez Réseau & Sécurité > Interfaces réseau.
- Attachez les interfaces WAN à l'instance :
- Cliquez-droit sur l'interface WAN et sélectionnez Attacher l'interface.
- Dans la fenêtre Attacher une interface réseau, sous Instance, sélectionnez l'instance vSocket.
- Cliquez sur Attacher.
- Répétez les trois étapes précédentes pour l'interface LAN.
Après avoir attaché les interfaces au vSocket, démarrez l'instance et confirmez qu'elle se connecte au Cato Cloud. Après la connexion du vSocket au Cato Cloud, il se met automatiquement à jour vers la dernière version de Socket.
Pour compléter l'installation du vSocket:
- De le tableau de bord EC2, dans le menu de navigation, sélectionnez Instances > Instances.
- Cliquez avec le bouton droit sur l'instance vSocket et sélectionnez Démarrer l'instance.
Si l'instance est déjà en cours d'exécution, redémarrez-la. - Dans l'application de gestion Cato, sélectionnez Mon réseau > Topologie.
- Confirmez que le site AWS est connecté au Cato Cloud.
Nous ne recommandons pas de vous connecter à l'interface Web AWS vSocket en utilisant une adresse IP élastique. Si vous devez vous connecter à l'interface Web du Socket, utilisez ces paramètres:
-
Utilisez l'adresse IP élastique MGMT comme adresse IP publique pour le vSocket
- Créez une règle de sécurité pour autoriser le trafic entrant à partir d'une seule adresse IP (l'adresse IP élastique)
- Le nom d'utilisateur est admin
- Le mot de passe par défaut est l'ID d'instance pour l'instance EC2 du vSocket
Si vos instances EC2 applicatives sont associées à un sous-réseau autre que celui de la plage Native (un sous-réseau qui n'est pas celui de l'interface LAN vSocket), ajoutez une plage routée dans la section Réseaux pour le site dans l'application de gestion Cato.
Pour router le trafic vers l'instance EC2:
- À partir du menu de navigation, sélectionnez Réseau > Sites et sélectionnez le site.
- À partir du menu de navigation, sélectionnez Configuration du site > Réseaux.
- Dans la section LAN, cliquez sur Nouveau. Le panneau Nouvelle plage IP s'ouvre.
- Entrez le Nom de la plage IP.
- Définissez le Type de la plage sur Routée.
- Saisissez la plage d'IP du Sous-réseau.
- Définissez l'IP de la Passerelle sur le routeur VPC, qui est la première adresse IP hôte de la plage Native.
- (Optionnel) Configurez le NAT statique pour la plage.
- Cliquez sur Appliquer. La plage est ajoutée à l'écran Réseaux.
La capture d'écran ci-dessus montre ces paramètres d'exemple pour la plage routée :
- Plage Native - 10.0.2.0/24
- Plage routée - 10.0.26.0/24
- IP de la passerelle - 10.0.2.1
IMDS (Instance Metadata Service) offre un accès sécurisé pour récupérer les métadonnées d'une instance. Cato utilise ce service pour obtenir les informations suivantes :
- Numéro de série dans les données utilisateur
- ID d'instance
- Informations relatives à HA
- Paramètres de clé et d'hôte pour modifier la table de routage
À partir de la version Socket v20 build 18221, Cato ajoute la prise en charge d'IMDSv2.
Pour configurer votre instance pour utiliser IMDSv2:
- Dans AWS, sélectionnez l'instance que vous souhaitez configurer.
- Sélectionnez Actions > Paramètres de l'instance.
- Dans la section Modifier les options des métadonnées de l'instance, sous IMDSv2 sélectionnez Requis.
- Cliquez sur Enregistrer.
Cette modification n'entraîne aucun temps d'arrêt. Cependant, si vous avez un déploiement HA, vous devez configurer à la fois les instances primaires et secondaires pour utiliser la même version IMDS.
0 commentaire
Vous devez vous connecter pour laisser un commentaire.