VPN Gateway est un service basé sur Internet qui établit des connexions sécurisées et fiables entre les centres de données d'entreprise, les réseaux de bureau ou les terminaux Internet et un VPC Alibaba Cloud via des tunnels chiffrés. Utilisez VPN Gateway pour créer une connexion IPsec reliant votre centre de données à un VPC Alibaba Cloud, afin de permettre la communication de données entre les deux environnements.
Prérequis
-
Vérifiez que l'équipement de passerelle de votre centre de données répond aux exigences.
VPN Gateway d'Alibaba Cloud prend en charge les protocoles standard IKEv1 et IKEv2. La configuration de plusieurs blocs CIDR, comme décrit dans cette rubrique, nécessite IKEv2. Les équipements pris en charge proviennent de fournisseurs tels que Hillstone, Sangfor, Cisco ASA, Juniper, SonicWall, Nokia, IBM et Ixia.
La passerelle de votre centre de données dispose d'une adresse IP publique statique.
Le bloc CIDR de votre centre de données ne chevauche pas le bloc CIDR du VPC.
Informations générales
Une fois votre centre de données connecté à un VPC Alibaba Cloud via une connexion IPsec, vous pouvez utiliser DTS pour configurer la migration, la synchronisation ou l'abonnement aux données dans un environnement réseau plus sécurisé, rapide et stable. Pour ce faire, spécifiez la base de données auto-gérée de votre centre de données en tant que base de données auto-gérée connectée via Express Connect, VPN Gateway ou Smart Access Gateway.
Remarques
Si votre centre de données est déjà connecté à un VPC Alibaba Cloud, ignorez les procédures de cette rubrique et effectuez uniquement les opérations suivantes :
-
Ajoutez les adresses IP des serveurs DTS à la connexion IPsec. Pour plus d'informations, consultez Modifier une connexion IPsec.
ImportantLorsque vous cliquez sur
+ Add Local Network
, saisissez les adresses IP des serveurs DTS de la région correspondante. Pour plus d'informations, consultez
Ajouter les adresses IP des serveurs DTS à une liste d'autorisation
.
Configurer une connexion IPsec et des routes statiques sur votre passerelle locale.
Facturation
La création d'une passerelle VPN entraîne des frais. Pour plus d'informations, consultez Présentation de la facturation.
Étape 1 : Créer une passerelle VPN
Connectez-vous à la console VPC.
Dans la barre de navigation supérieure, sélectionnez une région.
Dans le volet de navigation de gauche, choisissez .
Sur la page VPN Gateways, cliquez sur Create VPN Gateway.
-
Configurez la passerelle VPN selon vos besoins.
Paramètre Description Region La région où la passerelle VPN est déployée. Important Assurez-vous que la passerelle VPN et le VPC se trouvent dans la même région.Proprietary Network Sélectionnez le VPC auquel vous souhaitez vous connecter. Specify VSwitch Ce paramètre est facultatif. Vous pouvez spécifier un vSwitch dans lequel la passerelle VPN sera créée. Peak Bandwidth La bande passante maximale de la passerelle VPN. Il s'agit de la bande passante publique maximale de la passerelle VPN. IPsec-VPN Sélectionnez Open.
Remarque IPsec-VPN fournit des connexions site-à-site. Vous pouvez créer un tunnel IPsec pour connecter en toute sécurité un centre de données à un VPC, ou pour connecter deux VPC.SSL-VPN Sélectionnez Close.
Remarque SSL-VPN fournit des connexions point-à-site. Cela permet aux clients de se connecter directement à la passerelle VPN sans avoir besoin de configurer une passerelle cliente.Billing Cycle Le cycle de facturation est fixé à Pay-As-You-Go et ne peut pas être modifié.
Cliquez sur Buy Now et procédez au paiement.
Étape 2 : Créer une passerelle cliente
Connectez-vous à la console VPC.
Dans la barre de navigation supérieure, sélectionnez la région où la passerelle VPN est déployée.
Dans le volet de navigation de gauche, choisissez .
Cliquez sur Create Customer Gateway.
-
Dans la boîte de dialogue Create Customer Gateway, configurez la passerelle cliente.
Paramètre Description Name Saisissez un nom pour la passerelle cliente. Nous vous recommandons d'utiliser un nom facile à identifier. Important- Le nom doit comporter entre 2 et 128 caractères.
- Le nom doit commencer par une lettre ou un caractère chinois et peut contenir des chiffres, des traits de soulignement (_) et des traits d'union (-).
IP address L'adresse IP publique statique de la passerelle locale. Description La description doit comporter entre 2 et 256 caractères et ne peut pas commencer par http://ouhttps://. Cliquez sur OK.
Étape 3 : Créer une connexion IPsec et publier une route
Connectez-vous à la console VPC.
Dans la barre de navigation supérieure, sélectionnez la région où la passerelle VPN est déployée.
Dans le volet de navigation de gauche, choisissez .
Cliquez sur Create IPsec Connection.
-
Dans la boîte de dialogue Create IPsec Connection, configurez la connexion IPsec.
Dans cet exemple, définissez
Name
sur
Connect to data center
, définissez
Remote Network
sur
192.168.10.0/24
et définissez
Effective Immediately
sur
No
.
Paramètre Description Name Le nom de la connexion IPsec. Remarque Le nom doit comporter entre 2 et 128 caractères. Il doit commencer par une lettre ou un caractère chinois et peut contenir des chiffres, des traits d'union (-) et des traits de soulignement (_).VPN Gateway Sélectionnez la passerelle VPN à connecter. Dans cet exemple, sélectionnez la passerelle VPN que vous avez créée à l'étape 1. Customer Gateway Sélectionnez la passerelle cliente à connecter. Dans cet exemple, sélectionnez la passerelle cliente que vous avez créée à l'étape 2. Local Network Saisissez le bloc CIDR côté VPC pour vous connecter au centre de données. Ce bloc CIDR est utilisé lors de la négociation de phase 2. Important- Vous pouvez saisir le bloc CIDR de l'intégralité du VPC ou d'un vSwitch dans le VPC. Dans cet exemple, saisissez le bloc CIDR d'un vSwitch : 172.16.88.0/24.
- Le réseau local ne doit pas chevaucher le réseau distant.
+ Add Local Network Ajoutez d'autres blocs CIDR côté VPC pour vous connecter au centre de données. Dans cet exemple, saisissez les adresses IP des serveurs DTS. Pour plus d'informations, consultez Ajouter les adresses IP des serveurs DTS à une liste d'autorisation. Important Si vous ajoutez plusieurs réseaux locaux, vous devez définir le paramètre Advanced Settings sur ikev2 dans les paramètres avancés.Remote Network Saisissez le bloc CIDR côté centre de données pour vous connecter au VPC. Ce bloc CIDR est utilisé lors de la négociation de phase 2. Important Le réseau distant ne doit pas chevaucher le réseau local.+ Add Remote Network Ajoutez d'autres blocs CIDR côté centre de données pour vous connecter au VPC. Important Si vous ajoutez plusieurs réseaux distants, vous devez définir le paramètre Advanced Settings sur ikev2 dans les paramètres avancés.Effective Immediately Détermine si les négociations doivent démarrer immédiatement. - Yes : Les négociations démarrent immédiatement après la fin de la configuration.
- No : Les négociations sont initiées lorsque du trafic est détecté.
Advanced Settings Pour plus d'informations sur les paramètres, consultez Créer une connexion IPsec. Health Check Cliquez sur OK.
Dans la boîte de dialogue Created, cliquez sur OK pour configurer les routes de la passerelle VPN.
Sur la page de détails de VPN Gateway, cliquez sur l'onglet Destination-based Routing, puis sur Add Route Entry.
-
Dans la boîte de dialogue Add Route Entry, configurez l'entrée de route.
Paramètre Description Destination CIDR Block Saisissez le bloc CIDR privé du centre de données. Dans cet exemple, saisissez 192.168.10.0/24. Next Hop Type Sélectionnez IPsec Connection. Next Hop Sélectionnez la connexion IPsec que vous venez de créer. Publish to VPC Détermine si la nouvelle route doit être publiée dans la table de routage du VPC. - Yes (Recommandé) : Publie la nouvelle route dans la table de routage du VPC.
- No : Ne publie pas la nouvelle route dans la table de routage du VPC. Important Si vous sélectionnez No, vous devez publier manuellement la route dans l'onglet Destination-based Routing après avoir ajouté l'entrée de route.
Weight Sélectionnez une valeur de pondération : - 100 : Priorité élevée.
- 0 : Priorité faible.
Important Pour les routes ayant le même bloc CIDR de destination, vous ne pouvez pas définir la pondération sur 100 pour plus d'une route.
Étape 4 : Configurer la passerelle locale
Connectez-vous à la console VPC.
Dans la barre de navigation supérieure, sélectionnez la région où la passerelle VPN est déployée.
Dans le volet de navigation de gauche, choisissez .
Recherchez la connexion IPsec que vous souhaitez gérer. Dans la colonne Actions, choisissez .
-
Dans la boîte de dialogue IPsec Connection Configuration, affichez la configuration du pair.
La configuration est fournie au format JSON. Elle contient les paramètres clés suivants :
LocalSubnet
est
192.168.10.0/24
et
RemoteSubnet
inclut
172.16.88.0/24
et
100.104.52.0/24
. Les paramètres IPsec incluent un algorithme de chiffrement (
IpsecEncAlg
) de
aes
, un algorithme d'authentification (
IpsecAuthAlg
) de
sha1
, une durée de vie (
IpsecLifetime
) de
86400
et PFS (
IpsecPfs
) de
group2
. Les paramètres IKE incluent une version (
IkeVersion
) de
ikev2
, un mode (
IkeMode
) de
main
, un algorithme de chiffrement (
IkeEncAlg
) de
aes
, un algorithme d'authentification (
IkeAuthAlg
) de
sha1
, une durée de vie (
IkeLifetime
) de
86400
, PFS (
IkePfs
) de
group2
et une clé pré-partagée définie par l'utilisateur (
Psk
).
Ajoutez la configuration du pair téléchargée à votre passerelle locale.
Sur votre passerelle locale, ajoutez une entrée de route statique. Définissez la destination sur les adresses IP des serveurs DTS et le prochain saut sur l'interface de tunnel IPsec nouvellement créée. Pour connaître les adresses IP des serveurs DTS, consultez Ajouter les adresses IP des serveurs DTS à une liste d'autorisation.
Références
Si la connexion IPsec échoue ou si le réseau est inaccessible, consultez FAQ sur la connexion IPsec-VPN pour le dépannage.