Connect an iPhone or iPad to a VPC using SSL-VPN - VPN Gateway - Centro de documentación de Alibaba Cloud

Utilice una conexión SSL-VPN para conectar un iPhone o iPad a una VPC. De esta manera, accederá de forma segura a sus recursos en la nube a través de internet.

Para obtener información sobre cómo conectar otros tipos de clientes, consulte Connect a PC or Android device to a VPC by using an SSL-VPN connection .

Escenario

En este tema se describe cómo crear una instancia de VPN Gateway y un servidor IPsec. Después, utilice el cliente VPN nativo de un iPhone o iPad para acceder de forma segura a una instancia de Elastic Compute Service (ECS) dentro de una VPC mediante su dirección IP privada.

Este escenario utiliza los siguientes recursos:

VPC
- Nombre: vpc-demo
- Región: China (Hangzhou)
- Bloque CIDR: 10.0.0.0/16
- vSwitches: se crearon dos vSwitches con los nombres vsw1 y vsw2.
  - vsw1 se encuentra en la zona J y su bloque CIDR es 10.0.0.0/24.
  - vsw2 se encuentra en la zona K y su bloque CIDR es 10.0.1.0/24.
- Instancia ECS: la dirección IP privada es 10.0.0.1 y el sistema operativo es Alibaba Cloud Linux 3.2104 LTS 64-bit.
Red local del iPhone o iPad: 172.16.0.0/16

Importante

Este escenario requiere una región que admita la función IPsec server. Dicha función solo está disponible en las siguientes regiones: China (Hangzhou), China (Shanghai), China (Nanjing), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Chengdu), China (Hong Kong), Japan (Tokyo), South Korea (Seoul), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Philippines (Manila), Thailand (Bangkok), Germany (Frankfurt), UK (London), US (Virginia), US (Silicon Valley), UAE (Dubai), Mexico (Mexico City), Saudi Arabia (Riyadh),.
Si su VPC se encuentra en una región que no admite la función de servidor IPsec, no podrá utilizar el método descrito en este tema, ya que depende de la función VPN nativa de los dispositivos iPhone y iPad. En ese caso, considere alguna de las siguientes soluciones:
- Método 1: cree una VPC y una instancia de VPN Gateway en una región compatible. Luego, conecte esa VPC a la VPC que desea gestionar. Para obtener más información, consulte Access resources across VPCs from a client.
- Método 2: migre sus servicios a una VPC ubicada en una región compatible.

Paso 1: Crear una instancia de VPN Gateway

Una instancia de VPN Gateway funciona como punto de entrada y salida para las conexiones SSL-VPN en la nube.

Si desea utilizar una instancia de VPN Gateway existente para este escenario, asegúrese de que cumpla con los siguientes requisitos:
1. No debe tener IPsec-VPN connections configuradas en la instancia de VPN Gateway. Si ya existen conexiones IPsec-VPN configuradas, deberá crear una nueva instancia de VPN Gateway.
2. El SSL-VPN feature must be enabled.
3. La instancia de VPN Gateway debe ser upgraded to the latest version.
Si aún no ha creado una instancia de VPN Gateway, siga estos pasos:
1. Vaya a la página VPN gateway en la consola y haga clic en Create VPN Gateway.
2. Configure los parámetros en la página VPN gateway:
  - Instance Name: vpn-demo
  - Region: China (Hangzhou).
  - Virtual Private Cloud (VPC): seleccione la VPC a la que necesita acceder el cliente.
  - vSwitch 1/vSwitch 2: seleccione vsw1 y vsw2, respectivamente.
    
    La puerta de enlace VPN utiliza una arquitectura de respaldo activo en la capa subyacente. En las regiones donde la VPC admite varias zonas, la VPC debe contener como mínimo dos vSwitches ubicados en zonas distintas para garantizar la alta disponibilidad entre zonas. Si no se cumple esta condición, Create a vSwitch primero.
  - Maximum Bandwidth: 10M
  - IPsec-VPN: Disabled (la opción para deshabilitarlo solo aparece después de habilitar SSL-VPN más abajo).
  - SSL-VPN: Enable.
  - SSL-VPN Connections: 5.
  - Service-linked Role: si no ha creado uno, haga clic en Create Service-linked Role.
  Para consultar la descripción detallada de los parámetros necesarios al crear una puerta de enlace VPN, consulte Create and manage a VPN gateway instance .
3. Una vez completada la compra y el pago, verá la puerta de enlace VPN creada en la página VPN gateway.
  
  El estado de la puerta de enlace VPN recién creada es Preparing . Después de 1 a 5 minutos aproximadamente, el estado cambia a Normal , momento en el cual podrá empezar a utilizarla.

Paso 2: Crear un servidor IPsec

Un servidor IPsec define las políticas de conexión para los clientes. Entre ellas se incluyen el método de autenticación, la red en la nube accesible y el pool de direcciones del cliente.

Vaya a la página IPsec-VPN Server. En la barra de navegación superior, seleccione China (Hangzhou). A continuación, haga clic en Create IPsec-VPN Server.

En la página Create IPsec-VPN Server, configure los siguientes parámetros:

Name: introduzca server-demo.
VPN Gateway: seleccione la instancia de VPN Gateway que creó.
Local Network: introduzca 10.0.0.0/16.

Este parámetro especifica el bloque CIDR de la red en la nube a la que accederá el cliente. Por lo general, corresponde al bloque CIDR de su VPC.
Client CIDR Block: representa el pool de direcciones desde el cual la instancia de VPN Gateway asigna direcciones IP a los clientes. Este bloque CIDR no puede superponerse con Local Network ni con el bloque CIDR de la red donde reside el cliente, como la red local del cliente. Se recomienda utilizar un bloque CIDR privado poco común definido en RFC 1918, por ejemplo, 10.222.222.0/24.
Pre-Shared Key: esta clave se utiliza para la autenticación entre el servidor IPsec y el cliente. De forma predeterminada, el sistema genera una clave aleatoria. También puede especificar una clave manualmente, pero debe asegurarse de que sea robusta. Por ejemplo, la clave debe tener como mínimo 16 caracteres e incluir letras mayúsculas, minúsculas, dígitos y caracteres especiales. Almacénela de forma segura y rótela periódicamente.
Effective Immediately: seleccione Yes.

Yes: la negociación comienza inmediatamente después de completar la configuración. No: la negociación inicia únicamente cuando se genera tráfico.

Deje los demás parámetros con su valor predeterminado. Para obtener más información sobre estos parámetros, consulte Create and manage an IPsec server.

Una vez creado el servidor IPsec, vaya a la página IPsec-VPN Server y anote el valor de IP Address. Necesitará esta dirección IP cuando configure el cliente en su iPhone o iPad.

Paso 3: Configurar su iPhone o iPad

En este paso, agregará una configuración VPN IKEv2 en su iPhone o iPad para conectarse al servidor IPsec que creó.

A continuación se muestra un ejemplo con un iPhone que ejecuta iOS:

Vaya a y luego toque Add VPN Configuration....
- Type: mantenga el valor predeterminado IKEv2.
- Description: introduzca demo.
- Server: introduzca el valor de Pre-Shared Key del IPsec-VPN Server que anotó en Step 2.
- Remote ID: introduzca el mismo valor de IPsec-VPN Server del IPsec-VPN Server indicado en Step 2.
- Local ID: deje este parámetro vacío.
- User Authentication: seleccione None.
- Use Certificate: desactive este interruptor.
- Secret: introduzca el valor de Pre-Shared Key que estableció al crear el IPsec-VPN Server. Para obtener la clave, busque el IPsec-VPN Server que acaba de crear y haga clic en Edit en la columna Actions.
- Proxy: desactive este interruptor.
Después de completar la configuración, toque Done en la esquina superior derecha.
En la página VPN, seleccione la configuración VPN que creó y active el interruptor Status. El estado Connected indica que la conexión se estableció correctamente.

Paso 4: Probar la conexión

Inicie sesión en la instancia ECS e instale el servicio Nginx.

# Run the following commands on the ECS instance. Alibaba Cloud Linux 3 is used as an example.
yum install -y nginx
systemctl start nginx.service

En el security group asociado a la instancia ECS, add an inbound rule para permitir que el tráfico proveniente del Client CIDR Block (10.222.222.0/24) acceda a la instancia ECS por el puerto TCP 80.
En su iPhone o iPad, abra el navegador Safari e introduzca la dirección IP privada de la instancia ECS: 10.0.0.1. Si aparece la página de bienvenida de Nginx, habrá accedido correctamente a la instancia ECS.

La página de bienvenida de Nginx confirma que el servidor web está instalado y funciona correctamente.