Smart Access Gateway:Sauvegarde Express Connect

Prérequis

• Un VPC est créé dans la région Chine (Pékin). Pour plus d'informations, consultez Créer et gérer un VPC.

• Une instance Cloud Enterprise Network (CEN) est créée et le VPC de la région Chine (Pékin) y est attaché. Pour plus d'informations, consultez Créer une instance CEN.

• Un circuit Express Connect est connecté à votre réseau local dans la région Chine (Pékin) et une instance VBR est créée. Pour plus d'informations, consultez Se connecter à un circuit Express Connect en mode classique ou Se connecter à un circuit Express Connect partagé.

Contexte

Une entreprise dispose d'applications dans un VPC situé dans la région Chine (Pékin) et a connecté son réseau local au VPC via un circuit Express Connect. Afin de garantir une haute disponibilité, l'entreprise souhaite utiliser une instance SAG comme solution de secours pour le circuit Express Connect.

• Un appareil SAG-1000 est déployé en mode one-arm pour connecter le réseau local à Alibaba Cloud. Ce mode de déploiement ne nécessite aucune modification de la topologie réseau existante.

• Le réseau local, l'instance SAG et l'instance VBR utilisent BGP pour apprendre et échanger des routes. Cette approche simplifie la gestion et les opérations du réseau.

• L'instance SAG est attachée à une instance Cloud Connect Network (CCN) et à une instance VBR. Les instances CCN et VBR sont toutes deux attachées à la même instance CEN pour permettre la communication avec le VPC.

• Lorsqu'une instance SAG est attachée à la fois à une instance CCN et à une instance VBR, CEN donne par défaut la priorité au circuit Express Connect en apprenant et en diffusant ses routes en premier. En cas de défaillance du circuit Express Connect, CEN bascule vers les routes de l'instance CCN. Par conséquent, tout le trafic utilise par défaut le circuit Express Connect et bascule vers l'instance CCN en cas de panne.

Planification du réseau

Planifiez vos blocs CIDR réseau en fonction de vos besoins métier et assurez-vous qu'ils ne se chevauchent pas.

Procédure

Étape 1 : Acheter un appareil SAG

Après avoir acheté un appareil SAG sur la console SAG, Alibaba Cloud vous expédie l'appareil et crée une instance SAG pour sa gestion.

1. Connectez-vous à la console Smart Access Gateway.

2. Dans le volet de navigation de gauche, cliquez sur SAG > Instances.

3. Sur la page SAG, choisissez Purchase SAG > Create SAG (CPE).

4. Sur la page Smart Access Gateway, définissez les paramètres suivants, puis cliquez sur Buy Now.

   • Region : région où l'appareil SAG sera utilisé. Dans cet exemple, sélectionnez Mainland China.

   • Instance Type : modèle de l'appareil SAG. Dans cet exemple, sélectionnez SAG-1000.

   • Have SAG Hardware Already : indiquez si vous possédez déjà un appareil SAG. Dans cet exemple, sélectionnez No.

   • Version : édition de l'appareil SAG. Cet exemple utilise l'édition Standard Edition par défaut.

   • Quantity : nombre d'appareils SAG à acheter. Dans cet exemple, sélectionnez 1.

   • Region : région de bande passante utilisée par l'appareil Smart Access Gateway (SAG). Cette région correspond à celle de l'appareil SAG et ne peut pas être modifiée.

   • Instance Name : nom de l'instance SAG.

   • Peak Bandwidth : bande passante maximale du réseau. Dans cet exemple, sélectionnez 50 Mbps.

   • Subscription Period : sélectionnez une durée d'abonnement.

5. Confirmez les informations de commande, acceptez les conditions d'utilisation, puis cliquez sur Confirm Purchase.

6. Dans la boîte de dialogue Receiving Address, saisissez votre adresse de livraison, puis cliquez sur Buy Now.

7. Sur la page Pay, sélectionnez un mode de paiement et effectuez le règlement.

8. Vous pouvez vérifier si la commande a été passée sur la page Smart Access Gateway. Les appareils SAG seront expédiés sous deux jours ouvrables après la passation de la commande. Pour consulter les mises à jour d'expédition, procédez comme suit :

   1. Sur la page Smart Access Gateway, repérez l'instance SAG cible.

   2. Dans la colonne Operation, cliquez sur l'icône et sélectionnez View Shipping Update.

   3. Dans le panneau Order Updates, consultez les mises à jour d'expédition.

Après une commande réussie, le statut de l'instance SAG est To Be Shipped.

Étape 2 : Activer et connecter l'appareil SAG

Après réception de l'appareil SAG, vérifiez que tous les accessoires sont inclus. Pour plus d'informations, consultez Spécifications de l'appareil SAG-1000.

Une fois l'appareil vérifié, activez-le et connectez-le.

1. Connectez-vous à la console Smart Access Gateway.

2. Dans la barre de navigation supérieure, sélectionnez la région où votre instance SAG est déployée.

3. Sur la page Smart Access Gateway, repérez l'instance cible et associez l'appareil à l'instance SAG. Pour plus d'informations, consultez Ajouter un appareil.

4. Une fois l'appareil associé, revenez à la page Smart Access Gateway. Dans la colonne Operation de l'instance cible, cliquez sur > Activate.

5. Dans la boîte de dialogue Activate, cliquez sur OK.

6. Une fois l'appareil activé, connectez l'appareil SAG à votre réseau local comme indiqué dans le schéma de topologie.

   Utilisez un câble réseau pour connecter le port WAN de l'appareil SAG au port G11 du commutateur de couche 3.

   Cet exemple utilise le port WAN (Port 5). Si le Port 5 de votre appareil n'est pas un port WAN, vous pouvez modifier le rôle du port. Pour plus d'informations, consultez Attribuer des rôles de port.

   Remarque

   • Seuls les appareils SAG-1000 V2.0 prennent en charge l'attribution de rôles de port.

   • Avant d'attribuer des rôles de port, assurez-vous que l'appareil SAG est sous tension, dispose d'un signal 4G stable et est connecté à Alibaba Cloud.

Étape 3 : Configurer l'appareil SAG

Une fois l'appareil connecté, configurez-le depuis la console Smart Access Gateway.

Avant de commencer, assurez-vous que l'appareil est sous tension, qu'il dispose d'un signal 4G stable et qu'il est connecté à Alibaba Cloud.

1. Connectez-vous à la console Smart Access Gateway.

2. Configurez le port WAN.

   1. Connectez-vous à la console Smart Access Gateway.

   2. Dans la barre de navigation supérieure, sélectionnez la région cible.

   3. Sur la page SAG, cliquez sur l'ID de l'instance SAG cible.

   4. Sur la page des détails de l'instance, cliquez sur l'onglet Device Settings.

   5. Dans le volet de gauche de l'onglet, cliquez sur Manage WAN Ports.

   6. Dans la section WAN (Port 5), cliquez sur Edit.

   7. Dans la boîte de dialogue Configure WAN (Port 5), définissez les paramètres suivants, puis cliquez sur OK.

      • Connection Type : sélectionnez Static IP.

      • IP Address : adresse IP du port WAN. Dans cet exemple, saisissez 192.168.100.1.

      • Mask : masque de sous-réseau de l'adresse IP du port WAN. Dans cet exemple, saisissez 255.255.255.252.

      • Gateway : adresse IP de la passerelle. Dans cet exemple, saisissez 192.168.100.2.

        Remarque

        Après avoir configuré la passerelle, l'appareil SAG génère une route par défaut.

3. Configurez BGP.

   Remarque

   Pour les appareils SAG-1000 exécutant la version logicielle 1.0, aucun port dédié n'est prévu pour les circuits Express Connect. Lors de la configuration de BGP sur la console web SAG, n'utilisez pas le numéro AS du circuit Express Connect comme numéro AS pair. Une telle configuration incorrecte des propriétés de l'interface du port empêcherait l'appareil SAG d'apprendre les routes VPC via CEN.

   1. Dans le volet de gauche, cliquez sur Manage Routes.

   2. Dans la section BGP Protocol Settings, cliquez sur Edit.

   3. Dans la boîte de dialogue Configure BGP Route Protocol, configurez BGP selon votre plan réseau, puis cliquez sur OK.

      • Local AS : dans cet exemple, saisissez 65435.

      • Router ID : dans cet exemple, saisissez 192.168.2.2.

      • Hold Time : dans cet exemple, saisissez 180 secondes.

      • Keep Alive : dans cet exemple, saisissez 60 secondes.

4. Activez BGP pour le port WAN.

   1. Dans la section Dynamic Routing Settings, cliquez sur Enable BGP Protocol.

   2. Dans la boîte de dialogue Change Routing Protocol, cliquez sur OK.

   3. Dans la liste des ports, localisez le Port 5 (WAN) et cliquez sur Edit dans la colonne Operation.

   4. Dans la boîte de dialogue Modify BGP Dynamic Routing Settings, sélectionnez BGP Protocol, configurez l'IP pair et l'AS pair, puis cliquez sur OK.

      L'IP pair et l'AS pair correspondent respectivement à l'adresse IP du port G11 et au numéro AS BGP du commutateur de couche 3 connecté.

      • Peer AS : dans cet exemple, utilisez 65430.

      • Peer IP : dans cet exemple, utilisez 192.168.100.2.

   Une fois la configuration terminée, la section BGP Protocol Settings indique que l'AS local est 65435, l'ID du routeur est 192.168.2.2, le temps de maintien (hold time) est de 180 et le temps de maintien actif (keep-alive) est de 60. L'adresse IP du Port 5 (WAN) est 192.168.100.1 et son protocole de routage est défini sur Enable BGP.

5. Configurez la synchronisation des routes sur site.

   1. Sur la page des détails de l'instance SAG, cliquez sur l'onglet Network Configuration.

   2. Dans le volet de gauche, cliquez sur Method to Synchronize with On-premises Routes.

   3. Sélectionnez Static Routing, cliquez sur Add Static Route, puis cliquez sur OK.

      Ajoutez une route statique pour le bloc CIDR du réseau sur site qui doit communiquer avec le cloud : 172.16.0.0/12.

Étape 4 : Configurer le VBR

Configurez l'instance VBR sur la console Express Connect pour établir une relation d'appairage BGP avec le commutateur de couche 3.

1. Configurez un groupe BGP.

   1. Connectez-vous à la console Express Connect.

   2. Dans la barre de navigation supérieure, sélectionnez la région cible.

   3. Dans le volet de navigation de gauche, cliquez sur Virtual Border Router(VBR).

   4. Sur la page Virtual Border Router(VBR), cliquez sur l'ID de l'instance VBR cible.

   5. Sur la page des détails de l'instance VBR, cliquez sur l'onglet BGP Groups.

   6. Sur l'onglet BGP Groups, cliquez sur Create BGP Group et configurez le groupe BGP avec les informations suivantes.

      • Name : nom du groupe BGP. Dans cet exemple, saisissez test.

      • Peer ASN : numéro AS du commutateur de couche 3. Dans cet exemple, saisissez 65430.

      • BGP Key : clé du groupe BGP. Ce paramètre n'est pas configuré dans cet exemple.

      • Description : description du groupe BGP. Dans cet exemple, saisissez SAGtest.

   7. Cliquez sur OK.

2. Configurez un pair BGP.

   1. Sur la page des détails de l'instance VBR, cliquez sur l'onglet BGP Peers.

   2. Sur l'onglet BGP Peers, cliquez sur Create BGP Peer.

   3. Dans le panneau Create BGP Peer, configurez les informations du pair BGP, puis cliquez sur OK.

      • BGP Group : groupe BGP à rejoindre. Dans cet exemple, sélectionnez le groupe BGP que vous venez de créer.

      • BGP Peer IP : adresse IP du pair BGP. Dans cet exemple, saisissez 192.168.110.1, qui correspond à l'adresse IP du port G12 du commutateur de couche 3.

   Après la création, le nouvel enregistrement de pair BGP apparaît dans la liste des pairs BGP. BGP Peer IP est 192.168.110.1, Network Type est ipv4, Peer ASN est 65430, Status est Available et BGP neighbor underlying status est Idle.

Étape 5 : Configurer le commutateur et le routeur

Configurez le commutateur de couche 3 et le routeur de sortie connectés au dispositif SAG. Les configurations suivantes sont fournies à titre d'exemple pour un fournisseur spécifique. Elles peuvent varier selon les fabricants ; reportez-vous à la documentation de votre appareil pour plus de détails.

1. Configurez les routes du commutateur de couche 3.

   
   interface GigabitEthernet 0/11
   no switchport
   ip address 192.168.100.2 255.255.255.252     # Port IP of the switch that connects to the SAG device
   interface GigabitEthernet 0/12
   no switchport
   ip address 192.168.110.1 255.255.255.252     # Port IP of the switch that connects to the VBR
   router bgp 65430
   bgp router-id 192.168.1.1
   network 172.16.0.0 mask 255.240.0.0          # Advertise the private CIDR block of the on-premises network
   neighbor 192.168.100.1 remote-as 65435       # Establish a BGP peer relationship with the SAG device
   neighbor 192.168.100.1 timers 60 180         # Configure the Keep Alive and Hold Time for the BGP session
   neighbor 192.168.110.2 remote-as 45104       # Establish a BGP peer relationship with the VBR
   exit
                   

   Important

   Lors de l'annonce du bloc CIDR privé de votre réseau local, annoncez uniquement les sous-réseaux qui nécessitent une communication avec le VPC. Soyez sélectif concernant les routes annoncées via le circuit Express Connect. Pour éviter les boucles de routage, n'annoncez pas vers le cloud les routes apprises depuis celui-ci (par exemple, depuis le VPC, d'autres dispositifs SAG ou des VBR).

2. Configurez les routes du routeur de sortie.

   
   ip route 192.168.100.0 255.255.255.252  192.168.80.2  # Route from the egress router to the SAG device
                   

Étape 6 : Configurer les connexions cloud

Une fois la configuration de l'appareil terminée, configurez les connexions réseau cloud pour relier votre réseau local à Alibaba Cloud.

1. Créez une instance CCN.

   1. Connectez-vous à la console Smart Access Gateway.

   2. Dans la barre de navigation supérieure, sélectionnez la zone Mainland China.

      La zone de l'instance CCN doit correspondre à celle où le dispositif SAG est utilisé.

   3. Dans le volet de navigation de gauche, cliquez sur CCN.

   4. Sur la page CCN, cliquez sur Create CCN Instance.

   5. Dans le panneau Create CCN Instance, attribuez un nom à l'instance CCN, puis cliquez sur OK.

2. Associez des instances réseau.

   1. Dans le volet de navigation de gauche, cliquez sur Smart Access Gateway .

   2. Sur la page SAG, repérez l'instance cible et cliquez sur Network Configuration dans la colonne Operation.

   3. Dans le volet de gauche, cliquez sur Network Instance Details.

   4. Sous l'onglet Network Instance Details, cliquez sur Add Network, sélectionnez l'instance CCN que vous avez créée, puis cliquez sur OK.

   5. De la même manière, associez l'instance VBR existante à l'instance SAG. Pour plus d'informations, consultez la rubrique Associer une instance réseau.

      Lorsqu'une instance SAG est associée à la fois à une instance CCN et à une instance VBR, le trafic provenant du réseau local utilise par défaut le circuit Express Connect. En cas de panne du circuit, le trafic bascule vers l'instance CCN en utilisant une connexion chiffrée via Internet.

3. Associez les instances CCN et VBR à l'instance CEN. Pour plus d'informations, consultez la rubrique Associer une instance réseau.

   Une fois les instances associées, le réseau local peut communiquer avec le VPC déjà rattaché à l'instance CEN.

   Remarque

   Si votre réseau local, l'instance VBR et le VPC se trouvent dans des régions différentes, vous devez acheter un forfait de bande passante CEN et configurer une bande passante de connexion interrégionale pour permettre la communication entre les instances réseau situées dans différentes régions. Pour plus d'informations, consultez les rubriques Utiliser un forfait de bande passante et Bande passante de connexion interrégionale.

4. Configurez les règles de groupe de sécurité.

   Configurez une règle de groupe de sécurité pour les instances ECS de votre VPC. Cette règle doit autoriser le trafic entrant provenant de votre bloc CIDR privé local (172.16.0.0/12) afin d'accéder aux ressources hébergées sur les instances. Pour plus d'informations, consultez la rubrique Ajouter une règle de groupe de sécurité.

Étape 7 : Ajouter une stratégie de routage CEN

Ajoutez une stratégie de routage dans CEN pour contrôler la manière dont les routes VPC sont annoncées au dispositif SAG. Cette politique est essentielle pour gérer le comportement de basculement.

Grâce à cette stratégie, lorsque l'instance CCN apprend la route VPC depuis le VBR, elle ne l'annonce pas au dispositif SAG. Cela force le trafic entre le réseau local et le VPC à emprunter le circuit Express Connect. Si ce circuit tombe en panne, l'instance CCN ne peut plus apprendre la route depuis le VBR. Elle annonce alors la route VPC apprise via CEN au dispositif SAG, ce qui permet de rediriger le trafic via SAG.

1. Connectez-vous à la console CEN.

2. Sur la page CEN Instance, cliquez sur l'ID de l'instance CEN cible.

3. Sous l'onglet Basic Information, cliquez sur l'onglet Transit Router, puis cliquez sur l'ID du routeur de transit connecté à l'instance CCN.

4. Sur la page des détails du routeur de transit, cliquez sur l'onglet Route Table.

5. Sous l'onglet Route Table, cliquez sur l'onglet Route Maps.

6. Sous l'onglet Route Maps, cliquez sur Add Route Map.

7. Sur la page Add Route Map, configurez les paramètres avec les informations suivantes, puis cliquez sur OK.

   Paramètre	Description
   Policy Priority	Saisissez une priorité pour la stratégie de routage.
   Description	Saisissez une description pour la stratégie de routage.
   Region	Mainland China CCN est sélectionné par défaut et ne peut pas être modifié.
   Policy direction	Sélectionnez Outbound Gateway.
   Match Conditions	Sélectionnez un type de réseau. Choisissez Source Instance Type. Ensuite, sélectionnez VBR.
   Action policy	Sélectionnez Allow.

Étape 8 : Vérifier la connexion et le basculement

1. Une fois la configuration terminée, testez le basculement en désactivant le port Express Connect sur votre commutateur de couche 3. Vérifiez que la route vers le VPC a bien basculé ; le prochain saut pour la route VPC doit désormais pointer vers l'instance SAG. Consultez le manuel du fabricant de votre appareil pour connaître les commandes permettant d'afficher les routes.

2. Testez la connectivité réseau en accédant à une ressource cloud située dans le VPC depuis un client de votre réseau local.