Virtual Private Cloud:Control inbound traffic to a VPC with a gateway route table

Paso 1: Crear un IPv4 gateway y asociar una tabla de rutas

1. Cree y active un IPv4 gateway.

   1. Inicie sesión en la consola de IPv4 gateway. En la barra de navegación superior, seleccione la región donde se encuentra la VPC. Este ejemplo utiliza la región China (Shanghai).

   2. Haga clic en Create IPv4 Gateway. En la página Create IPv4 Gateway, seleccione un Resource Group y configure una tag según sea necesario. A continuación, seleccione la VPC destino en la lista desplegable VPC y haga clic en Create.

   3. Seleccione la tabla de rutas del vSwitch que contiene ECS-A y haga clic en Activate.

      • Al activar el gateway, el sistema agrega una entrada de ruta predeterminada con un bloque CIDR de destino 0.0.0.0/0 que apunta al IPv4 gateway. Esta entrada habilita el acceso a internet para el vSwitch. Si ya existe una entrada de ruta predeterminada con el bloque CIDR de destino 0.0.0.0/0, el sistema no podrá agregar otra entrada de ruta predeterminada para el IPv4 gateway.

      • El tráfico de red dentro de la VPC no se ve afectado antes de activar el IPv4 gateway. No obstante, el cambio de ruta de tráfico durante la activación puede causar una breve interrupción de la red.

      En la sección Select Route Table, seleccione la tabla de rutas personalizada que desea asociar. Se recomienda elegir una tabla de rutas personalizada en lugar de la tabla de rutas principal. Luego, haga clic en Activate.

   4. El IPv4 gateway queda activado y la tabla de rutas del vSwitch configurada.

      Tras crear el IPv4 gateway, compruebe que su Status sea Available. Este estado indica que el gateway está activo y su tabla de rutas está configurada.

2. Cree una tabla de rutas de gateway.

   1. Inicie sesión en la consola de tablas de rutas. En la barra de navegación superior, seleccione la región donde se encuentra el IPv4 gateway. Este ejemplo utiliza la región China (Shanghai).

   2. Haga clic en Create Route Table, seleccione la VPC, establezca Associated Resource Type en Border Gateway, especifique un nombre para la tabla de rutas y luego haga clic en OK.

3. Asocie la tabla de rutas de gateway con un border gateway.

   1. En la página de detalles de la tabla de rutas de gateway, asocie un border gateway.

      En el cuadro de diálogo que aparece, seleccione el IPv4 gateway objetivo cuyo estado sea Bindable y haga clic en OK.

   2. Una vez completada la vinculación, confirme que el estado del border gateway sea Available. En la pestaña Bound Border Gateways, un estado Available indica que la vinculación fue exitosa.

Paso 2: Configurar el dispositivo de seguridad

Este ejemplo utiliza una instancia ECS que ejecuta Alibaba Cloud Linux 3.2104 de 64 bits.

Inicie sesión en la instancia ECS-A y ejecute los siguientes comandos para configurar el reenvío de IP.

# Permanently enable IP forwarding by writing the setting to the configuration file.
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
# Apply the change immediately.
sysctl -p

# Temporarily enable IP forwarding. This setting does not persist after a restart.
sysctl -w net.ipv4.ip_forward=1

Paso 3: Configurar las rutas

1. Configure una tabla de rutas personalizada para el tráfico saliente.

   1. En la página Route Tables, localice la tabla de rutas personalizada del vSwitch que contiene la instancia ECS-B y haga clic en el ID de la tabla de rutas.

   2. Vaya a la pestaña Route Entry List > Custom Route y haga clic en Add Route Entry. Establezca Destination CIDR Block en 0.0.0.0/0, defina Next Hop Type como ECS Instance y seleccione ECS-A en la lista desplegable ECS Instance.

2. Configure la tabla de rutas de gateway para el tráfico entrante.

   1. En la página Route Tables, busque la tabla de rutas de gateway que creó y haga clic en su ID.

   2. Diríjase a la pestaña Route Entry List > System Route para ver las entradas de ruta del sistema. De forma predeterminada, el sistema agrega entradas de ruta del sistema con el bloque CIDR de destino de cada vSwitch.

   3. Edite la entrada de ruta cuyo Destination CIDR Block corresponde a vSwitch 2 y establezca el siguiente salto en la instancia ECS-A, que actúa como dispositivo de seguridad. Para la entrada de ruta del sistema, haga clic en Edit. En el cuadro de diálogo Edit Route Entry, establezca Next Hop Type en ECS Instance y seleccione ECS-A en la lista desplegable ECS Instance.

   4. Al completar la configuración, el sistema convierte la entrada de ruta del sistema en una entrada de ruta personalizada. Compruebe que el estado de la entrada de ruta sea Available.

      En la página de lista de entradas de ruta, haga clic en la pestaña Custom Route Entries para consultar los detalles de la entrada, como su bloque CIDR de destino (por ejemplo, 10.0.1.0/24) y el siguiente salto (una instancia ECS).

Comprobar los resultados

Asegúrese de que las configuraciones de network ACL y security group permitan la conectividad necesaria para probar las instancias ECS en la VPC.

[root@ECS-A ~]# tcpdump dst host 10.0.1.221
dropped privs to tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
17:33:36.662426  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662445  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662818  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.662823  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.676731  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1519927262,
17:33:36.676737  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1, win 2058

Gestionar el tráfico IPv6

Un IPv4 gateway controla el tráfico público IPv4 en el borde de una VPC. Para controlar el tráfico IPv6 que ingresa a una VPC, debe usar un IPv6 gateway y asociarlo con una tabla de rutas de gateway.

El sistema crea automáticamente un IPv6 gateway para una VPC que tiene un bloque CIDR IPv6. Asegúrese de haber habilitado el ancho de banda público IPv6 para la dirección IPv6 de la instancia ECS para enable communication between the ECS instance in the VPC and the IPv6 internet .

1. Cree una tabla de rutas de gateway y asóciela con el IPv6 gateway.

   1. Inicie sesión en la consola de tablas de rutas. En la barra de navegación superior, seleccione la región donde se encuentra el IPv6 gateway.

   2. Haga clic en Create Route Table, seleccione la VPC, establezca Associated Resource Type en Border Gateway, especifique un nombre para la tabla de rutas y luego haga clic en OK.

   3. En la página de detalles de la tabla de rutas de gateway, haga clic en Associated Border Gateway > Associate Border Gateway y seleccione el IPv6 gateway que desea asociar.

2. Configure la tabla de rutas de gateway para enrutar el tráfico entrante.

   1. Vaya a la pestaña Route Entry List > System Route para consultar las entradas de ruta del sistema. De forma predeterminada, el sistema agrega entradas de ruta del sistema con el bloque CIDR de destino de cada vSwitch.

   2. Edite la entrada de ruta IPv6 cuyo Destination CIDR Block corresponde a vSwitch 2 y establezca el siguiente salto en la instancia ECS-A, que funciona como dispositivo de seguridad.

Ajustar las rutas de internet entrantes

Es posible ajustar las rutas de internet entrantes mediante la modificación de las entradas de ruta del sistema en la tabla de rutas de gateway.

El siguiente salto de una ruta IPv4 o IPv6 puede ser ECS Instances, ENI, GWLB Endpoint o Route Target Group.

• Solo se pueden modificar entradas de ruta del sistema en una tabla de rutas de gateway. No es posible crear entradas de ruta personalizadas.

• Después de editar y guardar una entrada de ruta del sistema, el sistema la convierte en una entrada de ruta personalizada. Si elimina la entrada de ruta personalizada, esta vuelve a ser una entrada de ruta del sistema.

• Al editar una entrada de ruta del sistema en una tabla de rutas de gateway, tenga en cuenta lo siguiente sobre los tipos de siguiente salto:

  • Instancia ECS/interfaz de red elástica (ENI): Permite el acceso a la instancia o ENI especificada dentro del vSwitch. Se usa frecuentemente para redirigir de forma segura el tráfico público a una instancia ECS o ENI específica. Si necesita cambiar la instancia ECS o la ENI, debe eliminar la entrada de ruta y luego editar nuevamente la información de ruta del sistema. No es posible reemplazar directamente la instancia o la ENI.

  • GWLB endpoint: Permite el acceso al endpoint especificado dentro del vSwitch. Se utiliza para redirigir tráfico público a dispositivos de seguridad de terceros en escenarios de Gateway Load Balancer (GWLB).

    Para obtener información sobre las regiones que admiten la modificación del siguiente salto a un GWLB Endpoint, consulte Regions that support GWLB.

  • Route Target Group: Permite configurar dos instancias de siguiente salto en modo activo/en espera. El sistema realiza comprobaciones de salud automáticamente en las instancias. Si una instancia presenta problemas de salud, el sistema cambia el tráfico automáticamente para lograr una recuperación ante desastres a nivel de zona y reducir el objetivo de tiempo de recuperación (RTO).

Desvincular una tabla de rutas de gateway

Es posible desvincular una tabla de rutas de gateway de un IPv4 gateway o IPv6 gateway. Una vez desvinculada, el border gateway deja de proporcionar capacidades de enrutamiento de gateway.

1. En la página Route Tables, localice la tabla de rutas de gateway objetivo y haga clic en su ID.

2. Haga clic en la pestaña Associated Border Gateway, busque el border gateway objetivo y haga clic en Unbind en la columna Actions.

3. En el cuadro de diálogo que aparece, haga clic en OK.

Eliminar una tabla de rutas de gateway

Debe desvincular una tabla de rutas de gateway de un border gateway antes de poder eliminarla.

1. En la página Route Tables, localice la tabla de rutas de gateway objetivo y haga clic en Delete en la columna Actions.

2. En el cuadro de diálogo Delete Route Table, haga clic en OK.