Я написал блог-пост о том, как настроить высокодоступный, резервный VPN к AWS с возможностью использования BGP. http://blog.brianbeach.com/posts/2020-09-06-unifi-usg-aws-vpn/

Можно ли считать безопасным предположение, что часть с customer gateway на стороне AWS должна иметь статический IP у меня? Я пытаюсь настроить VPN-соединение с интернет-подключения, у которого нет статического IP.

Я пропустил это с первой попытки, И теперь, когда я выполняю команду «show vpn ipsec sa» в shell, получаю следующее, Я могу пропинговать удалённый IP, но всё равно показывается отсутствие трафика VPN, и оба маршрута в AWS отображаются как неработающие. Нужно ли что-то менять в настройках фаерволов?

Мне нужен site-to-site VPN, чтобы я мог аутентифицироваться на офисных ПК с помощью Simple AD, запущенного на WorkSpaces. У меня UniFi Security Gateway 4P, версия 4.3.60.5012144.

Создаю «Customer Gateways» в AWS,  
Создаю «Virtual Private Gateways» в AWS,  
Создаю «VPN Connection» в AWS,  
«Static Routes» в AWS,  
Информация о WorkSpaces Directories,  
«Ваши VPC» в AWS,  
Сводка по «Subnets» в AWS,  
Таблица маршрутов «Subnets» в AWS,  
Сетевые ACL «Subnets» в AWS,  
Маршруты таблиц маршрутизации AWS,  
Ассоциации подсетей таблиц маршрутизации AWS,  
Пропагация маршрутов таблиц маршрутизации AWS,  

Настройка обмена ключами VPN:  
- версия IKE: IKEv1  
- метод аутентификации: Pre-Shared Key  
- предварительно общий ключ: ***  
- алгоритм аутентификации: sha1  
- алгоритм шифрования: aes-128-cbc  
- время жизни: 28800 секунд  
- режим согласования Фазы 1: main  
- Диффи-Хеллман: группа 2  
- протокол: esp  
- алгоритм аутентификации: hmac-sha1-96  
- алгоритм шифрования: aes-128-cbc  
- время жизни: 3600 секунд  
- режим: туннель  
- Perfect Forward Secrecy: Diffie-Hellman группа 2  

Внешние IP-адреса:  
- Customer Gateway: *.*.*.111  
- Virtual Private Gateway: *.*.*.202  

Внутренние IP-адреса:  
- Customer Gateway: 169.254.14.106/30  
- Virtual Private Gateway: 169.254.14.105/30  
- следующий хоп: 169.254.14.105  

Конфигурация сетей Unifi 5.5.24,  
Редактирование маршрута Unifi,  

Как проверить, что туннели работают? Появится ли статус в «AWS VPN Connections», когда туннели поднимутся? Я пробовал команду «show vpn ipsec sa» в secure shell — ошибки нет, но и вывода тоже, просто переходит на следующую строку.

Во время начальной настройки на стороне AWS обязательно выбирайте статическую маршрутизацию, как показано ниже.  
 

Настройте VPN-соединение на USG, как показано ниже, при этом убедитесь, что в разделе дополнительных настроек динамическая маршрутизация отключена.  
 

После настройки VPN создайте статический маршрут для сети на AWS, как показано ниже.  
 

После всех этих шагов вы должны иметь возможность зайти по ssh на USG и с помощью команды "show vpn ipsec sa" проверить, поднят ли туннель. Новая секция VPN на панели управления в контроллере версии 5.5.19 у меня почему-то не работает, хотя туннель поднят и трафик идет. Не знаю почему.  

И не забывайте про таблицы маршрутизации, security groups и network ACLs на стороне Amazon. Все EC2-инстансы, к которым вы хотите получить доступ, должны иметь security groups, разрешающие доступ с подсетей USG, таблицы маршрутизации в VPC должны содержать записи для подсетей USG и быть привязаны к нужным подсетям AWS, к которым вы пытаетесь подключиться через VPN. Если network ACLs оставлены по умолчанию на VPC — проблем быть не должно. Если меняли их — это уже ваша ответственность :-P

Просто хотел добавить, что если настроить VPN как статическую маршрутизацию, как вы бы сделали для Cisco ASA, то всю конфигурацию можно полностью выполнить прямо в контроллере на USG/USG Pro. Я только что сделал это, и оказалось очень просто. Просто вставляешь общий ключ, указываешь удалённые подсети, остаётся всё по умолчанию, и создаёшь статические маршруты в UniFi. Всё сразу заработало, при условии, что у вас правильно настроено всё в AWS (таблицы маршрутизации, группы безопасности, сетевые ACL и так далее). Скоро, наверное, напишу подробный пошаговый пост в блоге об этом.

Есть ли какие-то новости по теме? Можно ли это как-то настроить через интерфейс контроллера?