VPN Gateway:Enhanced VPN Gateway Quick Start

Planificación de recursos

• Recursos en la nube: Una VPC con el bloque CIDR 10.0.0.0/16 en la región Malaysia (Kuala Lumpur).

  • vSwitch 1: Ubicado en la zona de disponibilidad A, con el bloque CIDR 10.0.0.0/24.

  • vSwitch 2: Ubicado en la zona de disponibilidad B, con el bloque CIDR 10.0.1.0/24.

  • Instancia ECS: Desplegada en vSwitch 1, con la dirección IP 10.0.0.1.

  • VPN Gateway: Cree una conexión IPsec. El sistema asigna automáticamente dos direcciones IP públicas a esta conexión.

    • Dirección IPsec 1 (para el túnel principal): XX.XX.1.1

    • Dirección IPsec 2 (para el túnel secundario): XX.XX.2.2

• Recursos locales: Un IDC local con el bloque CIDR 172.16.0.0/16.

  • Dispositivo strongSwan: Dirección IP privada 172.16.0.1.

  • Dirección IP pública de salida: XX.XX.3.3

• Configuración de cifrado: Debe ser consistente entre la nube y el entorno local.

  • Versión de IKE: v2

  • Modo de negociación: main

  • Algoritmo de cifrado: AES-256-GCM-16 / SHA-256 / Grupo DH 14. Debe especificarlo explícitamente en el entorno local; el Enhanced VPN Gateway en la nube lo admite automáticamente.

  • Tiempo de vida de SA: 86400 segundos.

• Método de enrutamiento: Utilice enrutamiento estático en modo basado en directivas. En este modo, se definen las redes en ambos extremos para especificar qué tráfico, conocido como "tráfico interesante", atraviesa el túnel VPN. El sistema enruta automáticamente este tráfico y crea las rutas necesarias.

Requisitos previos

• El bloque CIDR de la VPC y el bloque CIDR del IDC local no deben superponerse.

• Ha completado los pasos de created a VPC descritos en la sección de planificación de recursos. La VPC contiene dos vSwitches en distintas zonas de disponibilidad y, como mínimo, una instancia ECS para probar la conectividad.

• Se ha desplegado un servidor Linux en su IDC local. Este tema toma CentOS Stream 9 como ejemplo. El servidor cuenta con una dirección IP pública de salida. Instalará strongSwan en este servidor para que funcione como puerta de enlace local.

1. Configurar reglas de firewall

En el dispositivo strongSwan, permita the ESP protocol (IP protocol number 50), UDP port 500 y UDP port 4500 para permitir el acceso desde las dos direcciones IPsec del lado de la nube.

Los siguientes comandos utilizan iptables como ejemplo. Modifique los comandos según la herramienta de firewall que utilice.

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. Habilitar el reenvío de IP

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. Instalar strongSwan

dnf install epel-release -y
dnf install strongswan -y

4. Configurar strongSwan

1. Realice una copia de seguridad del archivo de configuración original:

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Cree un nuevo archivo de configuración:

   vi /etc/strongswan/swanctl/swanctl.conf

3. Agregue la siguiente configuración y guarde el archivo. Reemplace los valores de marcador de posición con sus valores reales.

   # strongSwan dual-tunnel IPsec-VPN configuration for: Alibaba Cloud Enhanced VPN Gateway + single on-premises public egress IP + policy-based mode
   #
   # NOTE: Only modify parameters marked with "MODIFY". Keep the rest as default.
   # Algorithm details: aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
   # High availability: vco1 (priority=1) is the primary tunnel, and vco2 (priority=2) is the secondary tunnel. Failover is automatic.
   connections {
      # === Tunnel 1 (Primary) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY: The private IP address of the strongSwan server's network interface. If the server is behind a NAT device, enter its private IP address. If the server's network interface is directly assigned the public IP address, enter the public IP address.
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY: The public egress IP address of your on-premises gateway.
         }
         remote_addrs = XX.XX.1.1                 # MODIFY: The public IP address of Alibaba Cloud Tunnel 1.
         remote {
            auth = psk
            id = XX.XX.1.1                        # MODIFY: The public IP address of Alibaba Cloud Tunnel 1. Must match remote_addrs.
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # MODIFY: The CIDR block of your on-premises network (interesting traffic).
               remote_ts = 10.0.0.0/16            # MODIFY: The CIDR block of your VPC (interesting traffic).
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 1                       # Specifies the primary tunnel. We recommend that you do not modify this parameter.
            }
         }
      }
      # === Tunnel 2 (Secondary) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY: The IP address of the strongSwan server's network interface. Must be the same as local_addrs for Tunnel 1.
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY: The public egress IP address of your on-premises gateway. Must be the same as id for Tunnel 1.
         }
         remote_addrs = XX.XX.2.2                 # MODIFY: The public IP address of Alibaba Cloud Tunnel 2.
         remote {
            auth = psk
            id = XX.XX.2.2                        # MODIFY: The public IP address of Alibaba Cloud Tunnel 2. Must match remote_addrs.
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # MODIFY: The CIDR block of your on-premises network. Must be the same as local_ts for Tunnel 1.
               remote_ts = 10.0.0.0/16            # MODIFY: The CIDR block of your VPC. Must be the same as remote_ts for Tunnel 1.
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 2                       # Specifies the secondary tunnel. We recommend that you do not modify this parameter.
            }
         }
      }
   }
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # MODIFY: The public IP address of Alibaba Cloud Tunnel 1.
         secret = your-psk-here                   # MODIFY: The pre-shared key for Tunnel 1. Must match the key configured in the Alibaba Cloud console.
      }
      ike-vco2 {
         id = XX.XX.2.2                           # MODIFY: The public IP address of Alibaba Cloud Tunnel 2.
         secret = your-psk-here                   # MODIFY: The pre-shared key for Tunnel 2. Must match the key configured in the Alibaba Cloud console.
      }
   }

5. Iniciar strongSwan y verificar el estado del túnel

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

Si ambos túneles muestran ESTABLISHED y CHILD_SA se encuentra en estado INSTALLED, significa que se ha establecido correctamente una conexión IPsec-VPN entre el dispositivo strongSwan y la VPN Gateway de Alibaba Cloud.

Every 2.0s: swanctl --list-sas    iZ8psgynxxx: Fri Mar 13 14:53:47 2026
plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file
available
vco1: #11, ESTABLISHED, IKEv2, fbf8cda98d1d4f45_i c8a12ae19f8303d8_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.1.1x.58' @ XX.XX.1.1x.58[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 1534s ago, rekeying in 81327s
   vco_child1: #10, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 10638s ago, rekeying in 73995s, expires in 75762s
      in  c31a70fc, 892248 bytes, 10622 packets,    1s ago
      out c53ef972, 892332 bytes, 10623 packets,    1s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16
vco2: #10, ESTABLISHED, IKEv2, 9b259bb527d43acf_i f53df17098e08519_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.2.2x.121' @ XX.XX.2.2x.121[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 3270s ago, rekeying in 81252s
   vco_child2: #9, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 12865s ago, rekeying in 71956s, expires in 73535s
      in  c11c544e,      0 bytes,     0 packets,    7s ago
      out c7acef03,      0 bytes,     0 packets,   14s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16

Verificar la conectividad

1. Asegúrese de cumplir con security group rules for your ECS instance allow ICMP traffic. Luego, inicie sesión en su dispositivo strongSwan y ejecute ping a la dirección IP privada de la instancia ECS en la nube.

   ping 10.0.0.1

   Los paquetes de respuesta confirman que se ha establecido la comunicación entre el IDC local y la VPC en la nube.

2. Asegúrese de que su firewall local permita el tráfico ICMP. Luego, inicie sesión en la instancia ECS dentro de la VPC (10.0.0.1) y ejecute ping a la dirección IP privada del dispositivo strongSwan.

   ping 172.16.0.1

   Si recibe paquetes de respuesta, la conexión inversa también se ha establecido correctamente.

Verificar la alta disponibilidad

1. Desde la instancia ECS, ejecute un ping continuo al servidor local:

   ping 172.16.0.1 -c 10000

2. Interrumpa el túnel principal. En la consola de Alibaba Cloud, modifique la clave precompartida del túnel principal para generar una discrepancia de claves. Esto provocará que el túnel principal falle.

3. Observe los resultados del ping. Tras una breve interrupción, la comunicación se reanuda. Esto indica que el tráfico ha realizado failover automáticamente al túnel secundario.

4. Restaure el túnel principal. Cambie la clave precompartida del túnel principal a su valor correcto. Una vez restaurado el túnel principal, el tráfico realiza failback automáticamente.