Actualmente, solo las siguientes regiones son compatibles con Enhanced VPN Gateway: China (Beijing), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Chengdu), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), US (Silicon Valley), US (Virginia), Germany (Frankfurt), UK (London).
VPN Gateway está disponible en dos tipos: mejorado y estándar. Estos se diferencian por su ancho de banda, IP pública, algoritmos de cifrado y facturación.
Selección rápida
Elija la versión mejorada cuando:
Si es su primer uso, se recomienda Enhanced VPN Gateway; su configuración es más sencilla (admite compatibilidad con múltiples algoritmos) y actualmente no hay cargos por conexión IPsec.
Necesita un ancho de banda por conexión mayor al que ofrece un gateway estándar.
Requiere los algoritmos de cifrado AES128-GCM-16 y AES256-GCM-16, o los grupos DH del 15 al 24.
Necesita más selectores de tráfico (hasta 10).
Elija la versión estándar cuando:
Necesita conexiones SSL-VPN (cliente a sitio).
Comparación detallada
Elemento | VPN gateway mejorado | VPN gateway estándar |
Ancho de banda | La instancia del gateway no tiene especificación de ancho de banda. Cada conexión IPsec cuenta con un ancho de banda dedicado de 1 Gbps, independiente de otras conexiones. | Las instancias del gateway tienen una especificación de ancho de banda: hasta 1,000 Mbps (500 Mbps en algunas regiones). Todas las conexiones IPsec de la instancia comparten este ancho de banda. |
IP pública en la nube | Cada túnel obtiene una dirección IP pública dedicada, que no se comparte con otros túneles. | Todos los túneles IPsec de una instancia de gateway comparten la dirección IP pública del gateway. |
Uso de IP privada | Consume una IP privada de cada uno de los dos vSwitches asociados (para las ENI). Total: dos IPs privadas. | Consume una dirección IP privada de cada uno de los dos vSwitches asociados (para las ENI). Total: dos IPs privadas. |
Número de selectores de tráfico | 10 | 5 |
Compatibilidad con múltiples algoritmos | Compatible. Configure varios algoritmos de cifrado para simplificar las conexiones con dispositivos de terceros. | No compatible. Debe especificar una única combinación de algoritmos que coincida exactamente con el dispositivo par. |
Algoritmo de cifrado | Cifrado: Admite AES128-GCM-16 y AES256-GCM-16. Grupo DH: Admite los grupos del 15 al 24 (10 grupos en total). | Cifrado: AES-128, AES-192, AES-256, 3DES y DES. Grupo DH: Solo los grupos 1, 2, 5 y 14. |
SSL-VPN | No compatible | Compatible |
Ruta basada en políticas | No compatible | Compatible, hasta 20 rutas. |
Entradas de ruta BGP | 200 | 50 (se puede aumentar a 200 bajo solicitud). |
Facturación | Concepto facturable: conexión IPsec Elementos facturables: IPsec connection fee + data transfer fee | Concepto facturable: VPN gateway Elementos facturables: VPN gateway instance fee + data transfer fee |
Diagramas de arquitectura
VPN gateway mejorado:
VPN gateway estándar:
Ancho de banda
Mejorado: Ancho de banda dedicado para cada conexión
Un VPN gateway mejorado no tiene un atributo de ancho de banda configurable. Cada conexión IPsec obtiene un ancho de banda dedicado de 1 Gbps, independiente de otras conexiones.
Por ejemplo, dos conexiones IPsec en un gateway mejorado tienen cada una un ancho de banda dedicado de 1 Gbps. El tráfico en una conexión no afecta a la otra.
Cada túnel tiene 1 Gbps de ancho de banda. Dado que una conexión IPsec utiliza dos túneles en modo activo-standby, solo el túnel activo transporta tráfico, por lo que el ancho de banda efectivo por conexión es de 1 Gbps.
Estándar: Ancho de banda compartido para todas las conexiones
Un VPN gateway estándar tiene un atributo de ancho de banda configurable (200 Mbps, 500 Mbps o 1,000 Mbps). Todas las conexiones IPsec del gateway comparten este ancho de banda.
Por ejemplo, con un gateway de 200 Mbps y dos conexiones IPsec, ambas comparten los 200 Mbps. Un tráfico intenso en una conexión reduce el ancho de banda disponible para la otra.
Direcciones IP públicas y privadas
Mejorado: Direcciones IP públicas dedicadas
El sistema asigna una dirección IP pública única a cada túnel IPsec.
Cada conexión IPsec incluye dos túneles (modo de túnel dual), por lo que cada conexión utiliza dos direcciones IP públicas independientes.
Configure su gateway local para establecer túneles IPsec hacia ambas direcciones IP públicas.
Ventaja: Mejor aislamiento de fallos; un cambio de IP pública en un túnel no afecta a los demás.
Estándar: Direcciones IP públicas compartidas
Todas las conexiones IPsec de un VPN gateway estándar comparten las direcciones IP públicas del gateway.
Todos los túneles utilizan las IPs públicas del gateway sin importar cuántas conexiones IPsec cree.
Nota: Si una IP pública presenta problemas, se ven afectadas todas las conexiones IPsec del gateway.
Direcciones IP privadas
Ambos tipos gestionan las IPs privadas de la misma manera. Al crear un gateway, asócielo con una VPC y dos vSwitches en zonas diferentes. El sistema crea una ENI en cada vSwitch para el tráfico entre el gateway y la VPC.
Cada ENI consume una dirección IP privada de su vSwitch.
Un VPN gateway consume dos direcciones IP privadas en total (una de cada vSwitch).
Asegúrese de que los vSwitches tengan suficientes direcciones IP disponibles.
Siguientes pasos
Comenzar con un VPN mejorado
Comenzar con un VPN estándar
Migrar a un VPN gateway mejorado
La migración puede causar interrupciones en la red. Evalúe los riesgos y prepare un plan de contingencia antes de continuar.
No es posible actualizar directamente un VPN gateway estándar a la versión mejorada. Debe crear uno nuevo.
Pasos recomendados para la migración:
Cree un VPN gateway mejorado y asócielo con la misma VPC.
Cree una conexión IPsec en el gateway mejorado y anote las nuevas direcciones IP públicas del lado de la nube.
Configure su gateway local para dirigir los túneles IPsec a las nuevas IPs públicas.
Compruebe que la nueva conexión funciona correctamente y luego elimine la conexión IPsec antigua del gateway estándar.
Elimine el VPN gateway estándar.