IPsec-VPN ofrece dos modos de vinculación, VPN Gateway y Transit Router, cada uno adecuado para arquitecturas de red con distintos requisitos de escala y disponibilidad.
Guía rápida
-
¿Cuántas VPC necesita conectar?
Una VPC → Elija VPN Gateway
Varias VPC (en la misma región o entre regiones) → Elija Transit Router
-
¿Necesita balanceo de carga ECMP?
No (la recuperación ante desastres activo-standby es suficiente) → VPN Gateway cubre esta necesidad
Sí (varios enlaces transportan tráfico simultáneamente) → Elija Transit Router
-
¿Cuál es el requisito de ancho de banda para una sola conexión IPsec?
1 Gbps o menos → Ambos modos son adecuados
De 1 a 2 Gbps → Elija Transit Router (admite hasta 2 Gbps por conexión)
Más de 2 Gbps → Elija Transit Router y utilice varias conexiones con ECMP para escalar el ancho de banda
-
¿Necesita el SSL-VPN?
Necesita acceso remoto SSL-VPN → Elija Standard VPN Gateway
No → Decida según los criterios anteriores
Comparación de funciones
|
Función |
VPN Gateway |
Transit Router |
|
Casos de uso |
Conectar un centro de datos local a una sola VPC |
Conectar un centro de datos local a varias VPC |
|
Algoritmos de cifrado compatibles |
|
|
|
Modo de túnel |
Túnel doble (activo-standby) Algunas instancias antiguas de VPN Gateway solo admiten conexiones IPsec-VPN de túnel único. Upgrade to dual-tunnel mode. |
Túnel doble (ECMP) Las conexiones IPsec antiguas de túnel único no proporcionan alta disponibilidad. Elimine y vuelva a crear la conexión IPsec en un momento que no afecte la conectividad de la red. Las nuevas conexiones IPsec utilizan el modo de túnel doble de forma predeterminada. |
|
Mecanismo de alta disponibilidad |
Failover activo-standby: El tráfico se enruta a través del túnel activo de forma predeterminada y realiza failover automáticamente al túnel standby si el túnel activo falla. |
Balanceo de carga ECMP: Ambos túneles transmiten tráfico simultáneamente y proporcionan redundancia entre sí. |
|
Ancho de banda máximo por conexión IPsec |
Enhanced: 1 Gbps (dedicado por conexión) Standard: Todas las conexiones comparten el ancho de banda del VPN Gateway, con un máximo de 1,000 Mbps (o 500 Mbps en algunas regiones). |
2 Gbps (hasta 1 Gbps por túnel) El modo antiguo de túnel único admite un máximo de 1 Gbps. |
|
Escalado de ancho de banda |
Standard: No compatible. |
Admite ECMP sobre varias conexiones, con balanceo de carga en un máximo de 32 túneles (16 conexiones IPsec). |
|
pps |
120,000 pps por instancia de VPN Gateway (compartido por todas las conexiones) |
120,000 pps por túnel (en modo de túnel doble) El modo antiguo de túnel único admite 120,000 pps por conexión. |
|
SSL-VPN |
Compatible con Standard VPN Gateways |
No compatible |
|
Enrutamiento dinámico BGP |
Enhanced: 200 rutas de forma predeterminada Standard: 50 rutas de forma predeterminada |
1,000 rutas por túnel, para un total de 2,000 rutas |
Diferencias entre Enhanced y Standard VPN Gateways:
Enhanced: Se factura bajo el modelo , proporciona 1 Gbps de ancho de banda dedicado por conexión IPsec y no admite el algoritmo SM.
Standard: Se factura bajo el modelo de , todas las conexiones IPsec comparten el ancho de banda del VPN Gateway y admite enrutamiento basado en directivas y el algoritmo SM.
Para obtener una comparación detallada, consulte Enhanced vs. Standard VPN Gateways.
Modos de túnel
Modo de túnel doble
El modo de túnel doble es el predeterminado para las nuevas conexiones IPsec.
Cada conexión IPsec incluye dos túneles desplegados en diferentes zonas de disponibilidad.
Proporciona recuperación ante desastres a nivel de zona y redundancia de enlaces.
Cuando se vincula a un VPN Gateway, opera en modo activo-standby. Cuando se vincula a un Transit Router, opera en modo ECMP.
Asegúrese de que ambos túneles estén configurados y disponibles. Si configura solo un túnel, se pierde la redundancia y la conexión no está cubierta por el SLA.
Modo de túnel único
El túnel único es un modo antiguo y no es compatible con nuevas conexiones IPsec.
Las conexiones IPsec de túnel único se encuentran solo en algunas instancias antiguas de VPN Gateway.
No proporciona recuperación ante desastres a nivel de zona.
Upgrade to dual-tunnel mode lo antes posible.
Tipos de red
Al crear una conexión IPsec vinculada a un Transit Router, puede elegir uno de los siguientes tipos de red:
|
Tipo de red |
Descripción |
Casos de uso |
|
Internet |
Establece un túnel IPsec a través de Internet. |
Escenarios sin conexión física o donde se utiliza una VPN como respaldo de una conexión física. |
|
Red privada |
Establece un túnel IPsec sobre una conexión física existente para cifrar su tráfico. |
Escenarios con una conexión física existente o donde el cumplimiento normativo requiere transmisión cifrada. |
Modos de enrutamiento
IPsec-VPN admite tres modos de enrutamiento que determinan cómo se enruta el tráfico desde la nube hacia su centro de datos local:
Enrutamiento dinámico BGP
Este es el modo más flexible. La nube y su gateway local utilizan el protocolo BGP (Border Gateway Protocol) para aprender y anunciar rutas automáticamente. Las rutas se actualizan automáticamente cuando cambia su red.
Beneficios:
Aprendizaje y convergencia automática de rutas, lo que elimina la necesidad de mantener manualmente las tablas de rutas.
Adaptación automática a cambios en la topología de la red, como la adición o eliminación de subredes.
Failover automático de rutas para una recuperación más rápida.
Ideal para redes medianas a grandes y escenarios multisitio.
Requisitos:
Su gateway local debe ser compatible con BGP.
Debe configurar un número de sistema autónomo (ASN) de BGP y direcciones IP de pares BGP para los túneles.
Ruta de destino estática
Configure manualmente rutas estáticas que apunten a sus bloques CIDR locales. Este modo es sencillo y directo, por lo que resulta adecuado para escenarios con una topología de red estable y un número reducido de subredes.
Beneficios:
Configuración sencilla sin dependencia de BGP.
Adecuado para redes a pequeña escala y pruebas de concepto (PoC).
Limitaciones:
Requiere actualizaciones manuales de rutas cuando cambia el centro de datos local.
Un límite de 50 rutas para Enhanced VPN Gateway y 30 para Standard VPN Gateway.
Enrutamiento basado en directivas
Aplica directivas basadas en bloques CIDR de origen y destino para dirigir el tráfico a conexiones IPsec específicas, lo que ofrece un control granular.
Beneficios:
Control de enrutamiento granular basado en direcciones de origen y destino.
Adecuado para la distribución de tráfico en varias conexiones.
Limitaciones:
Solo compatible con Standard VPN Gateway.
Un límite predeterminado de 20 rutas basadas en directivas.
Configuración y mantenimiento más complejos.
Comparación de modos de enrutamiento
|
Función |
Enrutamiento dinámico BGP |
Ruta de destino estática |
Enrutamiento basado en directivas |
|
Configuración de rutas |
Aprendizaje automático |
Configuración manual |
Configuración manual |
|
Modos de vinculación aplicables |
VPN Gateway, Transit Router |
VPN Gateway, Transit Router |
Solo Standard VPN Gateway |
|
Recomendación |
Altamente recomendado |
Adecuado para escenarios sencillos |
Para necesidades específicas, como control de enrutamiento granular basado en direcciones de origen y destino. |
Resumen de decisión
VPN Gateway
Conectar a una sola VPC.
Proporcionar acceso remoto de cliente a sitio con SSL-VPN (requiere un Standard VPN Gateway).
Cumplir con los requisitos de disponibilidad mediante recuperación ante desastres activo-standby.
Transit Router
Conectar varias VPC, en la misma región o entre regiones.
Lograr alta disponibilidad y balanceo de carga con ECMP.
Cifrar el tráfico a través de una conexión física.
Requerir más de 1 Gbps de ancho de banda para una sola conexión.
Construir una red de malla completa para conectividad multisitio a gran escala.
Admitir una gran cantidad de rutas BGP (hasta 2,000).