Pular para o conteúdo principal

Guia por fabricante

Este guia leva do gateway criado ao túnel Conectado. Os conceitos estão na Visão geral.

1. Prepare os dados​

Antes de começar, tenha em mãos:

  • o IP público do firewall da empresa (ou um FQDN que resolva para ele);
  • as redes internas que devem conversar com a Coda Cloud (por exemplo 192.168.10.0/24);
  • os servidores DNS internos, se você for usar destinos por nome (FQDN);
  • acesso de administrador ao firewall.

O firewall precisa permitir UDP 500 e UDP 4500 de entrada e de saída para o IP público do gateway. O túnel usa sempre NAT-T (ESP encapsulado em UDP 4500); o protocolo ESP puro (IP 50) não é usado.

2. Crie o gateway, o site e a conexão no portal​

  1. Em Organização › Rede privada (ou Projeto › Rede privada, para um gateway de projeto), clique em Novo gateway.
  2. Escolha o escopo (organização, com filtro de ambientes opcional, ou projeto), a região, o SKU e a faixa de trânsito (deixe a padrão se não tiver motivo para trocar).
  3. Aguarde o estado Pronto e anote o IP público e a faixa de trânsito.
  4. Cadastre o site: endereço do firewall, redes remotas e servidores DNS.
  5. Crie a conexão para o site. Confirme o segundo fator quando pedido.
  6. Copie a PSK exibida. Ela aparece uma única vez; guarde no cofre de senhas da empresa.
  7. Em Baixar configuração, escolha o fabricante. O arquivo traz IPs, redes e política prontos, com o marcador <PSK> no lugar da chave.

3. Parâmetros do túnel​

Use estes valores em qualquer fabricante. A configuração baixada já os traz.

ParâmetroValor
Peer remotoIP público do gateway
Versão do IKEIKEv2
AutenticaçãoChave pré-compartilhada (PSK)
Fase 1 (IKE)AES-256-GCM, PRF SHA-256 ou SHA-384, DH grupo 14 (modp2048), 19 (ecp256) ou 20 (ecp384)
Fase 2 (ESP)AES-256-GCM, PFS com o mesmo grupo DH
Rede local (no seu firewall)Redes internas do site
Rede remota (no seu firewall)Faixa de trânsito do gateway
NAT-TLigado (UDP 4500)
DPD30 s, ação reiniciar/reconectar
Túneis1 no vpn-s; 2 no vpn-m e vpn-l, ambos para o mesmo IP público

A plataforma aceita somente as propostas da conexão: o túnel não negocia nada fora delas. IKEv1 e AES-CBC com SHA-1 só funcionam se a conexão foi criada com a opção de criptografia legada, que gera um aviso permanente na aba Segurança. DES, 3DES, MD5 e grupos DH abaixo de 14 são sempre recusados.

Nos SKUs com dois túneis, a v1 é ativo-passivo: os dois túneis vão para o mesmo IP, só um carrega tráfego por vez e o DPD troca de túnel em cerca de 30 s.

4. Configure o firewall​

Os nomes de menu variam entre versões. Use a configuração baixada como referência exata; as seções abaixo dizem o que procurar em cada fabricante.

Fortinet (FortiGate)​

  • VPN › IPsec Tunnels, túnel personalizado (Custom), Remote Gateway = IP estático com o IP público do gateway, IKE versão 2, NAT Traversal habilitado, Dead Peer Detection sob demanda ou ociosa.
  • Fase 1 e fase 2 conforme a tabela; seletores da fase 2 = redes internas (local) e faixa de trânsito (remota).
  • Crie a rota estática da faixa de trânsito pela interface do túnel e as políticas de firewall nos dois sentidos.
  • A configuração baixada vem em comandos de CLI (config vpn ipsec phase1-interface e phase2-interface).

pfSense​

  • VPN › IPsec, nova fase 1: IKEv2, Remote Gateway = IP público do gateway, autenticação Mutual PSK, algoritmos da tabela, NAT Traversal = Force e DPD ligado.
  • Fase 2 em modo túnel: rede local = redes internas, rede remota = faixa de trânsito, ESP com AES-256-GCM e o grupo PFS.
  • Libere o tráfego em Firewall › Rules › IPsec.

MikroTik (RouterOS)​

  • Crie /ip ipsec profile (fase 1), /ip ipsec peer (endereço do gateway, exchange-mode=ike2), /ip ipsec identity (PSK), /ip ipsec proposal (fase 2) e /ip ipsec policy (redes internas ↔ faixa de trânsito, tunnel=yes).
  • Se houver NAT de saída (masquerade), adicione antes dele uma regra que não faça NAT do tráfego para a faixa de trânsito.

Cisco (IOS XE / ASA)​

  • IOS XE: crypto ikev2 proposal, policy, keyring e profile, crypto ipsec transform-set e um túnel (route-based, tunnel mode ipsec ipv4) com rota para a faixa de trânsito.
  • ASA: crypto ikev2 policy, tunnel-group com a PSK, crypto map ou VTI, e regra de NAT exemption para a faixa de trânsito.
  • Mantenha crypto isakmp nat-traversal/NAT-T ligado e o DPD (dpd 30 ...).

Palo Alto (PAN-OS)​

  • Network › Network Profiles: IKE Crypto e IPSec Crypto com os algoritmos da tabela.
  • Network › IKE Gateways: IKEv2 only, peer = IP público do gateway, PSK, NAT Traversal habilitado e liveness check.
  • Network › IPSec Tunnels: interface de túnel e Proxy IDs (redes internas ↔ faixa de trânsito); rota estática da faixa pela interface de túnel e políticas de segurança.

strongSwan (swanctl)​

  • Uma conexão em swanctl.conf com version = 2, remote_addrs = IP público do gateway, proposals = aes256gcm16-prfsha256-modp2048 (ou ecp256/ecp384), local_ts = redes internas, remote_ts = faixa de trânsito, esp_proposals = aes256gcm16-modp2048, dpd_delay = 30s, encap = yes e start_action = start.
  • A PSK vai na seção secrets (ike-<nome> { secret = ... }), fora do arquivo versionado.
  • Carregue com swanctl --load-all e confira com swanctl --list-sas.

Azure (VPN Gateway)​

  • Crie um Local Network Gateway com o IP público do gateway da Coda Cloud e a faixa de trânsito como espaço de endereço.
  • Crie a conexão site-to-site (IPsec, IKEv2) no seu Virtual Network Gateway com a PSK e uma política IPsec/IKE personalizada igual à tabela (AES-256-GCM, SHA-256/384, DHGroup14 ou ECP256/ECP384, PFS correspondente).
  • As redes internas do site, no cadastro do portal, são os espaços de endereço da sua VNet.

AWS (Site-to-Site VPN)​

  • Crie um Customer Gateway com o IP público do gateway da Coda Cloud e uma Site-to-Site VPN no seu Virtual Private Gateway ou Transit Gateway, com roteamento estático para a faixa de trânsito.
  • Nas opções dos túneis, restrinja IKEv2, AES-256-GCM, SHA-256/384 e os grupos DH 14, 19 ou 20, e informe a PSK.
  • A AWS sempre cria dois túneis, cada um com um IP externo próprio do lado dela. No portal, o endereço do site é o IP externo do túnel que você vai usar; para usar os dois, cadastre um site (e uma conexão) por IP externo.
  • Propague ou crie as rotas da faixa de trânsito nas tabelas de rota da VPC.

5. Confira o túnel​

  1. No portal, o túnel passa para Conectado, com último handshake e bytes.
  2. Em Testar conectividade, rode um teste TCP para um host:porta da rede da empresa.
  3. Crie um destino remoto ou um endpoint privado e teste a partir da aplicação ou da rede da empresa.

Se algo não subir, veja Solução de problemas.

Rotação da PSK​

Na conexão, Rotacionar PSK gera uma chave nova e mantém a anterior válida por uma janela de sobreposição (por exemplo, uma hora). Atualize o firewall dentro da janela: o túnel continua no ar durante a troca.