access cross-VPC resources from a client using SSL-VPN - VPN Gateway

Cuando un cliente establece una conexión SSL-VPN con una VPC, de forma predeterminada solo puede acceder a los recursos de esa VPC. Para permitir el acceso a recursos en otras VPC, primero debe interconectar las VPC mediante Cloud Enterprise Network (CEN) o una conexión de emparejamiento de VPC. Después, agregue rutas en los productos correspondientes para habilitar el acceso a las demás VPC a través de la conexión SSL-VPN. Esto permite acceder a recursos en otras VPC, ya sea que se encuentren en la misma región, en diferentes regiones o bajo distintas cuentas.

Descripción general

El método de interconexión de VPC determina si un cliente puede acceder a recursos en otras VPC dentro de la misma región, entre diferentes regiones o bajo distintas cuentas. Tanto CEN como VPC peering connection admiten estos escenarios. Una vez interconectadas las VPC, agregue los bloques CIDR de todas las VPC de destino al servidor SSL y configure las rutas del lado del cliente en los productos correspondientes. Esto permite que el cliente acceda a los recursos de las VPC interconectadas mediante la conexión SSL-VPN.

Para obtener más información sobre las diferencias entre CEN y las conexiones de emparejamiento de VPC, consulte VPC Interconnection.

CEN	Conexión de emparejamiento de VPC

Ejemplo

Este tema presenta un ejemplo basado en el escenario de la siguiente figura. Un cliente ha establecido una conexión SSL-VPN con VPC1 y puede acceder a los recursos en dicha VPC. Los empleados remotos también necesitan acceder a recursos en VPC2. Para lograrlo, primero interconecte VPC1 y VPC2 mediante CEN o una conexión de emparejamiento de VPC. Luego, agregue rutas al servidor SSL y a VPC1 o VPC2. Esto permite que el cliente acceda a los recursos de VPC2 a través de la conexión SSL-VPN.

Requisitos previos

Se ha establecido una conexión SSL-VPN entre el cliente y VPC1, lo que permite al cliente acceder a los recursos en VPC1. Para obtener más información, consulte Connect a PC or an Android client to a VPC by using an SSL-VPN connection.
En la página de detalles del servidor SSL, localice el bloque CIDR del cliente configurado y la dirección IP virtual asignada al cliente. Necesitará esta información para la configuración posterior y las pruebas de conectividad.

En este ejemplo, el bloque CIDR del cliente es 10.10.10.0/24. En la sección Conexiones SSL, puede ver que la dirección IP virtual asignada al cliente es 10.10.10.6.

Importante
Asegúrese de que el bloque CIDR del cliente no se superponga con los bloques CIDR de los recursos a los que desea conectarse en VPC1 y VPC2. Asimismo, verifique que los bloques CIDR de VPC1 y VPC2 que desea conectar no se superpongan entre sí. Si existe una superposición, debe modify the client CIDR block. Esta acción interrumpe la conexión SSL-VPN y el cliente deberá volver a conectarse.

Procedimiento

Este tema describe cómo configurar la comunicación entre VPC mediante CEN o una conexión de emparejamiento de VPC. Puede elegir cualquiera de los dos métodos.

Paso 1: Interconectar las VPC

CEN

Nota

Este tema describe cómo usar CEN para interconectar VPC que se encuentran en diferentes regiones pero pertenecen a la misma cuenta. Para utilizar CEN en otros escenarios, como la interconexión de VPC pertenecientes a distintas cuentas, consulte Guía de inicio rápido de CEN.

Create a CEN instance.

Al crear la instancia de CEN, seleccione Create CEN Only, especifique un nombre para la instancia de CEN y mantenga los valores predeterminados para los demás parámetros.
Create transit router instances.

Cree una instancia de transit router (TR) en la región China (Hangzhou) y otra en la región China (Shanghai). Mantenga los valores predeterminados para todos los demás parámetros.

Cree conexiones de VPC.

Conecte VPC1 al transit router en la región China (Hangzhou) y VPC2 al transit router en la región China (Shanghai).

Inicie sesión en la consola de CEN.
En la página CEN Instance, haga clic en el ID de la instancia de CEN que desea gestionar.
En la pestaña Basic Settings > Transit Router, localice una instancia de transit router y haga clic en Create Connection en la columna Actions.

En la página Connection with Peer Network Instance, conecte VPC1 y VPC2 a sus respectivos transit routers según las siguientes configuraciones.

Parámetro	Conectar VPC1	Conectar VPC2
Network Type	Seleccione Virtual Private Cloud (VPC).	Seleccione Virtual Private Cloud (VPC).
Region	Seleccione China (Hangzhou).	Seleccione China (Shanghai).
Account	Mantenga el valor predeterminado: Your Account.
Attachment Name	Introduzca VPC1-Attachment.	Introduzca VPC2-Attachment.
Networks	Seleccione VPC1.	Seleccione VPC2.
vSwitch	Seleccione instancias de vSwitch en zonas compatibles con el transit router. En una región que admite múltiples zonas, debe seleccionar como mínimo una instancia de vSwitch de cada una de dos zonas diferentes. Estas dos instancias de vSwitch proporcionan recuperación ante desastres a nivel de zona para el tráfico entre la VPC y el transit router. Si no dispone de suficientes vSwitch, puede create vSwitches.
Advanced Settings	Mantenga la configuración predeterminada para habilitar todas las opciones avanzadas. Nota Si la tabla de rutas de la VPC ya contiene una entrada de ruta cuyo bloque CIDR de destino es 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16, el sistema no podrá agregar automáticamente la entrada de ruta. Deberá agregar manualmente una entrada de ruta que apunte a la conexión de VPC en la tabla de rutas de la VPC para habilitar la comunicación entre la VPC y el transit router. A la derecha de Networks, haga clic en Check Route para comprobar si existe dicha ruta en la instancia de red.

Cree una conexión entre regiones.

Dado que VPC1 y VPC2 se encuentran en diferentes regiones, debe crear una conexión entre regiones entre los transit routers de las regiones China (Hangzhou) y China (Shanghai) para interconectarlos.

En la pestaña Basic Settings > Transit Router, localice una instancia de transit router y haga clic en Create Connection en la columna Actions.

En la página Connection with Peer Network Instance, cree la conexión entre regiones según la siguiente información.

Parámetro	Descripción
Network Type	Seleccione Inter-region Connection.
Region	Seleccione China (Hangzhou).
Peer region	Seleccione China (Shanghai).
Bandwidth Allocation Mode	Seleccione Pay-By-Data-Transfer. Nota Si selecciona Pay-By-Data-Transfer, las tarifas de transferencia de datos para la conexión entre regiones se facturan mediante CDT.
Bandwidth	Introduzca un valor de ancho de banda para la conexión entre regiones en Mbit/s.
Advanced Settings	Mantenga la configuración predeterminada para habilitar todas las opciones avanzadas.

Conexión de emparejamiento de VPC

Nota

Este tema describe cómo usar una conexión de emparejamiento de VPC para interconectar VPC que se encuentran en diferentes regiones pero pertenecen a la misma cuenta. Para utilizar una conexión de emparejamiento de VPC en otros escenarios, como la interconexión de VPC pertenecientes a distintas cuentas, consulte Use a VPC peering connection to enable private communication between VPCs.

Cree una conexión de emparejamiento de VPC.
1. Inicie sesión en la consola de Conexión de Emparejamiento de VPC. En la barra de navegación superior, seleccione la región de la VPC solicitante.
  
  En este ejemplo, VPC1 es la VPC solicitante. Seleccione la región China (Hangzhou).
2. Si es la primera vez que utiliza una conexión de emparejamiento de VPC, en la página VpcPeer, haga clic en Activate CDT y luego haga clic en Activate en el cuadro de diálogo que aparece.
3. En la página VpcPeer, haga clic en Create VPC Peering Connection y configure los siguientes parámetros.
  
  Seleccione la VPC solicitante. Para Tipo de cuenta aceptadora, seleccione Su cuenta. Para Tipo de región aceptadora, seleccione Entre regiones. Para Tipo de enlace, seleccione Gold. Para Región aceptadora, seleccione China (Shanghai). Seleccione la VPC aceptadora y luego haga clic en Aceptar.
Configure rutas para la conexión de emparejamiento de VPC.
1. En la página VpcPeer, localice la conexión de emparejamiento de VPC que creó. En la columna Requester VPC, haga clic en Configure route para agregar una entrada de ruta para VPC1 que apunte a VPC2. Esto permite que el cliente acceda a VPC2 a través de VPC1. En el cuadro de diálogo Configurar entradas de ruta, establezca Nombre en to-SH, Bloque CIDR de destino en 172.16.0.0/16 y Siguiente salto en la instancia de conexión de emparejamiento. Luego, haga clic en Aceptar.
2. (Opcional) En la columna Accepter VPC, haga clic en Configure route para agregar una entrada de ruta para VPC2 que apunte a VPC1.
  
  Después de completar este paso, VPC1 y VPC2 pueden comunicarse entre sí a través de una conexión privada. Puede omitir este paso si no requiere comunicación privada entre VPC1 y VPC2.

Paso 2: Agregar bloque CIDR de destino

Agregue el bloque CIDR de VPC2 al servidor SSL para permitir que el cliente acceda a los recursos en ese bloque CIDR.

Nota

Si el cliente necesita acceder a recursos en múltiples VPC interconectadas, debe agregar los bloques CIDR de todas estas VPC al servidor SSL.

Inicie sesión en la consola de VPN Gateway.
En el panel de navegación izquierdo, elija Network Interconnection > VPN > SSL Servers.
En la barra de navegación superior, seleccione la región del servidor SSL.
En la página SSL Servers, localice el servidor SSL que desea gestionar y haga clic en Edit en la columna Actions.
En el panel Modify SSL Server, haga clic en Add Local CIDR Block, introduzca el bloque CIDR de VPC2 y luego haga clic en OK.

Paso 3: Configurar una ruta hacia el cliente

CEN

Anuncie la ruta hacia el cliente desde VPC1 a CEN. Esto permite que VPC2 se comunique con el cliente a través de CEN.

Inicie sesión en la consola de VPC.
En la barra de navegación superior, seleccione la región de VPC1.
En el panel de navegación izquierdo, haga clic en Route Tables.
En la página Route Tables, localice la tabla de rutas de VPC1 y haga clic en su ID.
En la pestaña Route Entry List > Custom Route, localice la entrada de ruta con el bloque CIDR de destino 10.10.10.0/24. En la columna Route Advertisement Status correspondiente a esa ruta, haga clic en Advertise. Confirme que el estado cambia a Advertised to CEN. Para cancelar el anuncio, haga clic en Withdraw.

Conexión de emparejamiento de VPC

Inicie sesión en la consola de Conexión de Emparejamiento de VPC. En la página VpcPeer, localice la conexión de emparejamiento de VPC que creó. En la columna Accepter VPC, haga clic en Configure route para configurar una ruta para VPC2 que apunte al cliente.

Nota

Si el cliente necesita acceder a recursos en múltiples VPC interconectadas, debe agregar una ruta hacia el cliente en la tabla de rutas de cada VPC de destino.

En el cuadro de diálogo Configurar entradas de ruta que aparece, establezca Nombre en to-SSL-VPN, configure Bloque CIDR de destino en 10.10.10.0/24, seleccione la instancia de conexión de emparejamiento como Siguiente salto y luego haga clic en Aceptar.

Paso 4: Probar la conectividad

Una vez completada la configuración, el cliente puede acceder a los recursos en VPC2, y los recursos en VPC2 también pueden acceder al cliente.

Abra la interfaz de línea de comandos en su cliente.
Ejecute el comando ifconfig para ver la interfaz de red de la conexión SSL-VPN establecida.

Ejecute el comando ping <ECS IP address> -I <SSL-VPN tunnel interface> para hacer ping a la instancia ECS2 desde la interfaz de túnel SSL-VPN. La recepción de paquetes de respuesta, como se muestra en la siguiente salida, confirma que el cliente puede acceder a los recursos en VPC2.

Nota

Antes de ejecutar el comando ping, asegúrese de que las reglas del security group de la instancia ECS2 y las reglas de control de acceso en el cliente permitan el tráfico ICMP.

[root@iZ          Z ~]# ifconfig
eth0: flags=4163&lt;UP,BROADCAST,RUNNING,MULTICAST&gt;  mtu 1500
        inet 172.16.32.133  netmask 255.255.255.0  broadcast 172.16.32.255
        xxx
        xxx
        xxx
        xxx
        xxx
lo: flags=73&lt;UP,LOOPBACK,RUNNING&gt;  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        xxx
        xxx
        xxx
        xxx
tun0: flags=4305&lt;UP,POINTOPOINT,RUNNING,NOARP,MULTICAST&gt;  mtu 1500
        inet 10.10.10.6  netmask 255.255.255.255  destination 10.10.10.5
        xxx
        xxx
        xxx
        xxx
[root@iZ          Z ~]# ping 172.16.20.218 -I tun0
PING 172.16.20.218 (172.16.20.218) from 10.10.10.6 tun0: 56(84) bytes of data.
64 bytes from 172.16.20.218: icmp_seq=1 ttl=61 time=49.3 ms
64 bytes from 172.16.20.218: icmp_seq=2 ttl=61 time=9.72 ms
64 bytes from 172.16.20.218: icmp_seq=3 ttl=61 time=9.68 ms
64 bytes from 172.16.20.218: icmp_seq=4 ttl=61 time=9.73 ms
^Z
[1]+  Stopped                 ping 172.16.20.218 -I tun0
[root@iZb          Z ~]#

Inicie sesión en la instancia ECS2 en VPC2 y ejecute el comando ping <client virtual address> para hacer ping al cliente. Si la instancia ECS2 recibe paquetes de respuesta como se muestra en la siguiente salida, indica que la instancia ECS2 también puede acceder al cliente.

[root@iZuf		8c1Z ~]# ping 10.10.10.6
PING 10.10.10.6 (10.10.10.6) 56(84) bytes of data.
64 bytes from 10.10.10.6: icmp_seq=1 ttl=61 time=9.79 ms
64 bytes from 10.10.10.6: icmp_seq=2 ttl=61 time=9.47 ms
64 bytes from 10.10.10.6: icmp_seq=3 ttl=61 time=9.46 ms
64 bytes from 10.10.10.6: icmp_seq=4 ttl=61 time=9.45 ms
^C
[1]+  Stopped                 ping 10.10.10.6
[root@iZuf641 8c1Z ~]#

Preguntas frecuentes

Fallo de conectividad tras anunciar ruta a CEN

Cuando crea conexiones de VPC y entre regiones con todas las Advanced Settings habilitadas, el transit router propaga y aprende rutas automáticamente. Sin embargo, si no habilita todas las Advanced Settings, agrega entradas de ruta personalizadas o tiene conflictos de rutas en su entorno, es posible que el transit router no logre aprender rutas o crear entradas de ruta. Esto puede provocar fallos de conexión. Compruebe las rutas de cada instancia en su escenario de interconexión de VPC en las consolas de los productos correspondientes. Asegúrese de que cada instancia tenga rutas hacia las VPC interconectadas y hacia el cliente. Si falta alguna ruta, agréguela manualmente. Para obtener más información, consulte Add a custom route entry to an Enterprise Edition transit router y Add a custom route entry.

Tomando como ejemplo el escenario de este tema, haga clic para ver las descripciones de las entradas de ruta necesarias para que cada instancia alcance VPC2 y el cliente.

Servidor SSL: Agregue el bloque CIDR de VPC2 al Local CIDR Block del servidor SSL.

Otras instancias:

Tabla de rutas de la instancia	Bloque CIDR de destino	Siguiente salto	Descripción
Tabla de rutas del sistema de VPC1	172.16.0.0/12	VPC1-Attachment	Una ruta hacia VPC2. Si habilita la configuración avanzada Auto-add transit router routes to all VPC route tables al crear la conexión de VPC, el sistema crea automáticamente esta ruta en la tabla de rutas del sistema de VPC1.
Tabla de rutas del sistema de VPC1	10.10.10.0/24	Instancia de VPN Gateway	Una ruta hacia el cliente. Después de crear el servidor SSL, el sistema crea automáticamente esta ruta en la tabla de rutas del sistema de VPC1.
Tabla de rutas predeterminada del TR en China (Hangzhou)	172.16.20.0/24	TR	Una ruta hacia VPC2. Si habilita la configuración avanzada Automatically Advertise Routes to Peer Region para la conexión entre regiones, el sistema propaga automáticamente esta ruta a la tabla de rutas predeterminada del transit router en China (Hangzhou).
Tabla de rutas predeterminada del TR en China (Hangzhou)	10.10.10.0/24	VPC1-Attachment	Una ruta hacia el cliente. Después de anunciar esta ruta en VPC1, el sistema la propaga automáticamente a la tabla de rutas predeterminada del transit router en China (Hangzhou) según la configuración avanzada Automatically Advertise System Routes to Default Route Table of Transit Router de VPC1-Attachment.
Tabla de rutas predeterminada del TR en China (Shanghai)	172.16.20.0/24	VPC2-Attachment	Una ruta hacia VPC2. Si habilita la configuración avanzada Automatically Advertise System Routes to Default Route Table of Transit Router al crear la conexión de VPC, el sistema propaga automáticamente las rutas del sistema de VPC2 a la tabla de rutas predeterminada del transit router en China (Shanghai).
Tabla de rutas predeterminada del TR en China (Shanghai)	10.10.10.0/24	TR	Una ruta hacia el cliente. Si habilita la configuración avanzada Automatically Advertise Routes to Peer Region para la conexión entre regiones, el sistema propaga automáticamente esta ruta a la tabla de rutas predeterminada del transit router en China (Shanghai).
Tabla de rutas del sistema de VPC2	10.0.0.0/8	VPC2-Attachment	Una ruta hacia el cliente. Si habilita la configuración avanzada Auto-add transit router routes to all VPC route tables al crear la conexión de VPC, el sistema crea automáticamente esta ruta en la tabla de rutas del sistema de VPC2.