VPN Gateway:Configure routes for a VPN gateway

Rutas estáticas frente a rutas BGP

Rutas estáticas: basadas en destino frente a basadas en políticas

Elija entre rutas basadas en destino y rutas basadas en políticas.

Prioridad de las rutas

La VPN gateway compara el tráfico con las rutas en el siguiente orden:

1. Primero revisa la Policy-based Route Table. La coincidencia se evalúa según la prioridad de la política y no por la regla del prefijo más largo.

2. Después revisa la Destination-based Route Table. Aquí la coincidencia se determina mediante la regla del prefijo más largo.

3. Por último, revisa la BGP Route Table.

Descripción general de extremo a extremo

Conectar una VPC a un centro de datos mediante una VPN gateway implica tres tablas de rutas:

Configuración de rutas basadas en destino

Una ruta basada en destino reenvía el tráfico según la dirección IP de destino.

Reglas de coincidencia:

• Coincidencia del prefijo más largo: el tráfico coincide con la ruta que tiene la máscara de subred más larga. Por ejemplo, si existen las rutas 10.0.0.0/8 y 10.10.0.0/16, el tráfico dirigido a 10.10.10.1 coincidirá con la ruta 10.10.0.0/16.

• Rutas activo/standby (solo para VPN gateways heredadas de túnel único): solo coinciden las rutas activas; las rutas standby se omiten. Active/standby route configuration.

Configuración de rutas basadas en políticas

Una ruta basada en políticas hace coincidir el tráfico tanto por la dirección IP de origen como por la dirección IP de destino, y tiene prioridad sobre las rutas basadas en destino y las rutas BGP.

Orden de coincidencia:

1. Prioridad de la política: primero coinciden las rutas con el valor de prioridad más bajo.

2. Rutas con la misma prioridad: se evalúan de forma secuencial según su hora de creación. Se utiliza la primera coincidencia.

Anunciar en una tabla de rutas de VPC

De manera predeterminada, las rutas basadas en políticas y las rutas basadas en destino quedan en estado Not published respecto a la tabla de rutas de la VPC después de crearlas. Puede publicar directamente en la tabla de rutas del sistema de la VPC las rutas agregadas manualmente, sin necesidad de añadirlas de nuevo en dicha tabla.

• Las rutas se anuncian únicamente en la tabla de rutas del sistema de la VPC, no en las tablas de rutas personalizadas. Para agregar una ruta a una tabla personalizada, utilice Add and delete route entries.

• Si existen rutas con el mismo bloque CIDR de destino tanto en la tabla de rutas basadas en políticas como en la de rutas basadas en destino, retirar la ruta de una tabla también la retirará de la otra.

• Si ya existe en la tabla de rutas de la VPC una entrada con el mismo bloque CIDR de destino que la ruta por publicar, pero con un siguiente salto distinto (por ejemplo, que apunte a una conexión de emparejamiento o a una NAT gateway), el sistema indicará un conflicto de rutas (ruta duplicada) durante la publicación. Tras evaluar sus requisitos de negocio, elimine la ruta en conflicto o ajuste el plan de bloques CIDR. Una vez resuelto el conflicto, vuelva a ejecutar la operación de publicación. Para obtener más información, consulte Handle duplicate route errors.

Limitaciones

• VPN gateway de doble túnel:

  • Las rutas basadas en destino no admiten 0.0.0.0/0 como bloque CIDR de destino. Las rutas basadas en políticas sí lo admiten.

• VPN gateway de túnel único (descontinuada):

  • Ni las rutas basadas en destino ni las basadas en políticas admiten 0.0.0.0/0 como bloque CIDR de destino.

  • Ninguno de estos tipos de ruta admite como bloque CIDR de destino un bloque que se superponga con 100.64.0.0/10 (incluido el propio 100.64.0.0/10, sus subredes y sus superrredes).

• Si el sistema indica un conflicto de rutas, consulte Handle duplicate route errors.

Descripción general de extremo a extremo

Principios de anuncio de rutas BGP

• Entrada hacia la nube: las rutas anunciadas por el centro de datos mediante BGP → se propagan a la VPN gateway → se propagan automáticamente a la tabla de rutas del sistema de la VPC (requiere que la propagación de rutas esté habilitada).

• Salida desde la nube: las entradas de ruta del sistema en la tabla de rutas del sistema de la VPC → la VPN gateway las aprende automáticamente (requiere que la propagación de rutas esté habilitada) → se propagan al centro de datos mediante BGP.

Procedimiento

Antes de empezar, asegúrese de lo siguiente:

• La VPN gateway admite BGP. Check whether a VPN gateway supports BGP.

• El dispositivo de gateway de su centro de datos admite BGP.

Limitaciones

• Cada tabla de rutas BGP de una VPN gateway admite hasta 50 rutas (ampliable a 200; comuníquese con su administrador de cuenta).

• La VPN gateway no acepta rutas BGP cuyo bloque CIDR de destino sea 0.0.0.0/0.

• Cuando se habilita BGP para varias conexiones IPsec-VPN en la misma VPN gateway, el valor de Local ASN debe ser idéntico en todas las conexiones.

• No intercambie rutas entre distintas conexiones IPsec-VPN.

• Cuando una VPC se asocia con varias VPN gateways, estas no admiten emparejamiento BGP entre sí. No intercambie rutas entre distintas VPN gateways.

• Si una VPC se asocia con varias VPN gateways que utilizan BGP y se conectan al mismo Customer Gateway, el Local ASN de las conexiones IPsec-VPN de cada VPN gateway debe ser idéntico para evitar bucles de enrutamiento.

• Si varias conexiones IPsec-VPN de doble túnel utilizan BGP de forma simultánea, los bloques CIDR de destino de las rutas aprendidas por cada conexión no deben superponerse.

• Cuando se usa un circuito Express Connect y una VPN gateway para acceder a una VPC en modo activo/standby, el ASN local configurado en el Border Router (VBR) y en la VPN gateway debe ser el mismo.

• Si la VPC de la VPN gateway pertenece a una Cloud Enterprise Network (CEN), habilite la superposición de rutas. Esta opción está habilitada de forma predeterminada en las instancias de CEN creadas después de marzo de 2019.

• Si varias VPC de la misma CEN se conectan al mismo centro de datos mediante BGP, las rutas dinámicas podrían propagarse a través de CEN hacia otras VPC y causar inestabilidad de rutas. En su lugar, utilice rutas estáticas.

• VPN gateway en modo de túnel único: no propague rutas para 100.64.0.0/10 (incluidas sus subredes y superrredes). Puede evitar este problema mediante Upgrade VPN Gateway to dual-tunnel mode.

Recomendaciones de configuración de rutas

• Utilice el mismo método de enrutamiento para todas las conexiones IPsec-VPN de una VPN gateway. No combine rutas basadas en destino, basadas en políticas y BGP.

• Al configurar rutas dinámicas BGP, se recomienda usar Destination Routing Mode como Routing Mode de la conexión IPsec.

Comprobar si una VPN gateway admite BGP

• Las VPN gateways recién creadas que admiten conexiones IPsec-VPN de doble túnel son compatibles con BGP de forma predeterminada.

• Para las VPN gateways existentes: llame a la operación DescribeVpnGateway y compruebe que el campo Tag contenga la etiqueta VpnEnableBgp con el valor true.

• Opciones de actualización para las gateways no compatibles:

  - VPN gateway en modo de doble túnel: Upgrade a VPN gateway (standard type only)

  - VPN gateway en modo de túnel único: Upgrade to dual-tunnel mode

Configuración de rutas activo/standby

• Para configurar un esquema activo/standby en una VPN gateway heredada de túnel único, consulte Upgrade VPN Gateway to dual-tunnel mode. Las conexiones de doble túnel proporcionan este esquema de forma predeterminada, sin necesidad de configurar pesos.

• Si aún necesita configurar un enlace activo/standby en modo de túnel único, siga estos pasos:

  1. La ruta principal debe tener un peso de 100 y la ruta standby un peso de 0. Los bloques CIDR de destino deben ser iguales, pero los siguientes saltos deben ser distintos. En las rutas basadas en políticas, los bloques CIDR de origen también deben coincidir.

  2. Configure un health check para la conexión IPsec-VPN a fin de habilitar la conmutación por error automática. Encontrará esta opción en los ajustes de configuración del túnel de la conexión IPsec-VPN.

  3. Para modificar el peso de una ruta, elimine primero la ruta standby, modifique el peso de la ruta activa y vuelva a crear la ruta standby. Siga el mismo proceso cuando necesite modificar el peso de la ruta standby.

  En las instancias de VPN Gateway que no se han actualizado desde el 12 de octubre de 2023, si necesita configurar rutas basadas en políticas activo/standby, asegúrese de especificar un enlace activo/standby para cada bloque CIDR. Si un bloque CIDR solo tiene un enlace configurado, la conmutación por error de otros bloques CIDR podría fallar. Puede evitar este problema mediante upgrading the VPN gateway o Upgrade VPN Gateway to dual-tunnel mode . Este problema no afecta a las instancias de VPN Gateway creadas o actualizadas después del 12 de octubre de 2023.

• Tras la configuración, la ruta entra en vigor según las siguientes reglas:

  Conexión IPsec-VPN para la ruta activa	Conexión IPsec-VPN para la ruta standby	Ruta efectiva
  Up (negociación exitosa y comprobación de estado normal)	Cualquier estado	Ruta activa
  Down	Up	Ruta standby
  Down	Down	Ruta activa (predeterminada)

Preguntas frecuentes

P: Cuando una ECS accede a recursos locales mediante una VPN gateway, ¿cómo coincide el tráfico con la tabla de rutas?

Cuando una ECS se comunica con recursos locales a través de una VPN, el tráfico se reenvía en el siguiente orden de coincidencia:

1. Tabla de rutas de la VPC: el sistema consulta primero la tabla de rutas de la VPC. Si existe una entrada de ruta que coincida con la IP de destino (cuyo siguiente salto sea la VPN gateway), el tráfico se reenvía a la VPN gateway.

2. Tabla de rutas de la VPN gateway: luego, la VPN gateway determina a qué conexión IPsec se reenvía el tráfico, con base en su propia tabla de rutas (enrutamiento por destino o enrutamiento basado en políticas).

P: ¿Qué debo hacer si el IDC local no puede hacer ping a una ECS en la nube o si falla la conexión SSH?

Solucione el problema en el siguiente orden:

1. Confirme que la configuración de rutas de la VPN sea correcta (la tabla de rutas de la VPC contiene una entrada que apunta a la VPN gateway, y la tabla de rutas de la VPN gateway tiene configurada la ruta de destino o la ruta basada en políticas correspondiente).

2. Revise las reglas del security group de la ECS en la nube:

   • Prueba de ping (ICMP): confirme que la dirección de entrada del security group permita el protocolo ICMP desde el bloque CIDR del IDC local.

   • Conexión SSH (puerto TCP 22): confirme que la dirección de entrada del security group permita el puerto TCP 22 desde el bloque CIDR del IDC local.

Si la configuración de rutas es correcta pero la conectividad sigue fallando, el bloqueo por parte del security group es una causa común. Revíselo primero para evitar diagnosticarlo erróneamente como un problema de enrutamiento.

P: Cuando se utiliza una NAT gateway de VPC junto con IPsec-VPN, ¿cómo configuro las rutas de la ECS?

En un escenario donde se combinan una NAT gateway y una VPN gateway, el tráfico que una ECS envía a los servicios locales debe traducirse primero en la NAT gateway y luego transmitirse por el túnel VPN. Los pasos de configuración son los siguientes:

1. Cree una tabla de rutas personalizada en la consola de tablas de rutas y asóciela con el vSwitch donde reside la ECS.

2. Agregue una entrada de ruta a la tabla de rutas personalizada: establezca el bloque CIDR de destino con la dirección del servicio interno local y el siguiente salto con la NAT gateway.

Para obtener más información, consulte VPC NAT gateway working with VPN gateway to enable private network access between the cloud and on-premises networks.

P: ¿Qué impacto tiene configurar el selector de tráfico como 0.0.0.0/0 o como un bloque CIDR amplio (por ejemplo, 10.0.0.0/8)?

El alcance del selector de tráfico determina qué tipo de tráfico desencadena la negociación IKE, pero el tráfico que realmente ingresa al túnel depende de las decisiones de enrutamiento:

• Configurar 0.0.0.0/0 no afecta directamente la conectividad de la red local. Sin embargo, si en la tabla de rutas local dirige la ruta 0.0.0.0/0 hacia el túnel VPN, todo el tráfico (incluido el acceso a Internet) intentará entrar al túnel, lo cual podría provocar fallos en el acceso a Internet.

• Puede configurar el bloque CIDR local como un rango amplio (por ejemplo, 10.0.0.0/8), pero asegúrese de modificar también la ACL criptográfica del dispositivo par al bloque CIDR agregado correspondiente. Si el bloque CIDR del par no se puede agregar, utilice 0.0.0.0/0 y agregue entradas de ruta específicas dentro de la conexión IPsec. Así logrará un control de tráfico detallado y reducirá la cantidad de negociaciones SA.

Para obtener más información, consulte Configuration recommendations and FAQ for interconnection between multiple CIDR blocks.

Tutoriales

Consulte Configure strongSwan.