【DevOps】VyOS：功能强大的开源网络操作系统和实战

VyOS（以前称为Vyatta）是一个基于Linux的开源网络操作系统，为企业和服务提供商提供了一种灵活、可扩展且经济高效的解决方案来构建和管理广域网（WAN）、局域网（LAN）和数据中心网络。VyOS以其强大的功能、高度可定制性和丰富的社区支持而闻名。

一、VyOS详细介绍

1、VyOS 的优势

• 功能全面: 提供企业级路由器和防火墙所需的所有功能，包括静态路由、动态路由、策略路由、NAT、VPN、防火墙、QoS、DHCP、DNS 等。
• 高度灵活: 基于命令行界面 (CLI) 配置，提供强大的脚本和自动化功能，允许用户根据自身需求定制网络功能。
• 开源免费: 可以免费下载、使用和修改 VyOS 代码，无需支付许可费用，降低了网络部署成本。
• 活跃社区: 拥有庞大且活跃的社区，提供丰富的文档、教程和技术支持，方便用户学习和解决问题。
• 硬件兼容性: 支持多种硬件平台，包括 x86、ARM 等，可以运行在虚拟机或物理服务器上。

2、VyOS 的主要功能

• 路由: 支持静态路由、RIP、OSPF、BGP 等多种路由协议，实现灵活的网络互联。
• 防火墙: 提供状态包过滤、网络地址转换 (NAT)、端口转发等功能，保护网络免受攻击。
• VPN: 支持 IPsec、OpenVPN、WireGuard 等多种 VPN 协议，构建安全的数据传输通道。
• 网络安全: 提供入侵检测和防御 (IDS/IPS)、内容过滤、流量分析等安全功能，增强网络安全防护能力。
• QoS: 支持基于类别、优先级和流量整形等 QoS 机制，优化网络带宽分配，保障关键业务的性能。
• 高可用性: 支持 VRRP、BGP 等高可用性协议，实现网络设备的冗余备份，提高网络可靠性。

3、VyOS 的应用场景

• 企业网络边界网关: 作为企业网络的出口网关，提供路由、防火墙、VPN 等功能，保障网络安全和连接稳定性。
• 分支机构网络连接: 连接总部和分支机构，构建安全可靠的广域网 (WAN) 连接，实现数据传输和资源共享。
• 数据中心网络: 用于构建数据中心网络的核心和边缘路由器，提供高性能、高可靠性的网络服务。
• 云计算环境: 作为虚拟路由器部署在云计算环境中，提供网络隔离、安全防护和流量管理等功能。

二、使用 VyOS 连接阿里云、亚马逊云和办公室网络

本方案将使用三个 VyOS 实例，分别部署在阿里云、亚马逊云和办公室，通过 IPsec VPN 构建安全的网络连接，实现三个子网之间的互通。

1、拓扑图

                 互联网
                   |
            ------------------
            |  VyOS (阿里云) |  10.10.10.0/24
            ------------------
                   |  IPsec VPN (隧道1)
                   |
            ------------------
            |  VyOS (办公室) |  10.10.20.0/24
            ------------------
                   |  IPsec VPN (隧道2)
                   |
            ------------------
            |  VyOS (亚马逊云) |  10.10.30.0/24
            ------------------ 

2、准备工作

• 在阿里云、亚马逊云和办公室分别创建一台 VyOS 实例，并确保它们可以访问互联网。
• 为每个 VyOS 实例分配公网 IP 地址，并配置 SSH 登录。
• 确定每个子网的 IP 地址范围： - 阿里云：10.10.10.0/24- 办公室：10.10.20.0/24- 亚马逊云：10.10.30.0/24

3、 配置阿里云 VyOS 实例

# 进入配置模式
configure

# 配置接口 eth0 (公网接口)
set interfaces ethernet eth0 address 'dhcp'

# 配置接口 eth1 (内网接口)
set interfaces ethernet eth1 address '10.10.10.1/24'

# 配置 IPsec VPN (隧道1)
set vpn ipsec ipsec-interfaces interface eth0
set vpn ipsec proposals 10 encryption aes256
set vpn ipsec proposals 10 hash sha256
set vpn ipsec proposals 10 group 14
set vpn ipsec esp proposal 10
set vpn ipsec ike-group 14
set vpn ipsec ike-proposal 10 encryption aes256
set vpn ipsec ike-proposal 10 hash sha256
set vpn ipsec ike-proposal 10 group 14
set vpn ipsec peer <办公室 VyOS 公网 IP> authentication mode pre-shared-secret
set vpn ipsec peer <办公室 VyOS 公网 IP> connection-type initiate
set vpn ipsec peer <办公室 VyOS 公网 IP> default-esp-group 10
set vpn ipsec peer <办公室 VyOS 公网 IP> ike-group 14
set vpn ipsec peer <办公室 VyOS 公网 IP> ike-v2-reauth no
set vpn ipsec peer <办公室 VyOS 公网 IP> local-address <阿里云 VyOS 公网 IP>
set vpn ipsec peer <办公室 VyOS 公网 IP> pre-shared-secret '<预共享密钥>'
set vpn ipsec peer <办公室 VyOS 公网 IP> tunnel 1 local prefix 10.10.10.0/24
set vpn ipsec peer <办公室 VyOS 公网 IP> tunnel 1 remote prefix 10.10.20.0/24

# 配置 NAT (可选，如果需要从阿里云访问互联网)
set nat source rule 10 outbound-interface eth0
set nat source rule 10 source address 10.10.10.0/24
set nat source rule 10 translation address masquerade

# 保存配置
commit
save
exit

4、 配置办公室 VyOS 实例

# 进入配置模式
configure

# 配置接口 eth0 (公网接口)
set interfaces ethernet eth0 address 'dhcp'

# 配置接口 eth1 (内网接口)
set interfaces ethernet eth1 address '10.10.20.1/24'

# 配置 IPsec VPN (隧道1)
set vpn ipsec ipsec-interfaces interface eth0
set vpn ipsec proposals 10 encryption aes256
set vpn ipsec proposals 10 hash sha256
set vpn ipsec proposals 10 group 14
set vpn ipsec esp proposal 10
set vpn ipsec ike-group 14
set vpn ipsec ike-proposal 10 encryption aes256
set vpn ipsec ike-proposal 10 hash sha256
set vpn ipsec ike-proposal 10 group 14
set vpn ipsec peer <阿里云 VyOS 公网 IP> authentication mode pre-shared-secret
set vpn ipsec peer <阿里云 VyOS 公网 IP> default-esp-group 10
set vpn ipsec peer <阿里云 VyOS 公网 IP> ike-group 14
set vpn ipsec peer <阿里云 VyOS 公网 IP> ike-v2-reauth no
set vpn ipsec peer <阿里云 VyOS 公网 IP> pre-shared-secret '<预共享密钥>'
set vpn ipsec peer <阿里云 VyOS 公网 IP> tunnel 1 local prefix 10.10.20.0/24
set vpn ipsec peer <阿里云 VyOS 公网 IP> tunnel 1 remote prefix 10.10.10.0/24

# 配置 IPsec VPN (隧道2)
#  (配置与隧道1类似，将阿里云 VyOS 公网 IP 替换为亚马逊云 VyOS 公网 IP，并修改相应的子网地址)

# 配置 NAT (可选，如果需要从办公室访问互联网)
#  (配置与阿里云 VyOS 类似)

# 保存配置
commit
save
exit

5、 配置亚马逊云 VyOS 实例

# 进入配置模式
configure

# 配置接口 eth0 (公网接口)
set interfaces ethernet eth0 address 'dhcp'

# 配置接口 eth1 (内网接口)
set interfaces ethernet eth1 address '10.10.30.1/24'

# 配置 IPsec VPN (隧道2)
#  (配置与隧道1类似，将阿里云 VyOS 公网 IP 替换为办公室 VyOS 公网 IP，并修改相应的子网地址)

# 配置 NAT (可选，如果需要从亚马逊云访问互联网)
#  (配置与阿里云 VyOS 类似)

# 保存配置
commit
save
exit

6、 验证连接

• 在每个 VyOS 实例上使用 show vpn ipsec status 命令查看 IPsec VPN 连接状态。
• 在不同子网的主机上进行 ping 测试，验证网络连通性。

注意：

• 请将上述配置中的 <占位符> 替换为实际值。
• 确保所有 VyOS 实例上的预共享密钥一致。
• 可以根据需要调整防火墙规则，允许 VPN 流量通过。

进阶配置：

• 可以使用动态路由协议 (如 OSPF) 简化路由配置。
• 可以配置冗余 VPN 连接，提高网络可靠性。
• 可以使用 VyOS 的 Web 界面进行更方便的配置和管理。

希望这份实战指南能帮助您使用 VyOS 成功连接阿里云、亚马逊云和办公室网络！

三、总结

VyOS 是一个功能强大、灵活易用、安全可靠的开源网络操作系统，适用于各种网络环境和应用场景。其强大的功能和活跃的社区支持使其成为构建企业级网络基础设施的理想选择。

如果您需要构建灵活、可定制、高性能的网络，并且拥有一定的网络技术基础，那么 VyOS 是一个值得考虑的选择。