IPsec-VPN propose deux modes de liaison, VPN Gateway et Transit Router, chacun adapté à des architectures réseau aux exigences d’échelle et de disponibilité différentes.
Guide rapide
-
Combien de VPC devez-vous connecter ?
Un seul VPC → Choisissez VPN Gateway
Plusieurs VPC (dans la même région ou entre régions) → Choisissez Transit Router
-
Avez-vous besoin de l'équilibrage de charge ECMP ?
Non (la reprise après sinistre en mode actif-passif suffit) → VPN Gateway répond à ce besoin
Oui (plusieurs liens transportent le trafic simultanément) → Choisissez Transit Router
-
Quelle bande passante une seule connexion IPsec doit-elle offrir ?
1 Gbps ou moins → Les deux modes conviennent
1 à 2 Gbps → Choisissez Transit Router (prend en charge jusqu'à 2 Gbps par connexion)
Plus de 2 Gbps → Choisissez Transit Router et utilisez plusieurs connexions avec ECMP pour augmenter la bande passante
-
Avez-vous besoin de l'algorithme
Besoin d'un accès distant SSL-VPN → Choisissez Standard VPN Gateway
Non → Décidez en fonction des critères précédents
Comparaison des fonctionnalités
|
Fonctionnalité |
VPN Gateway |
Transit Router |
|
Cas d'utilisation |
Connecter un centre de données sur site à un seul VPC |
Connecter un centre de données sur site à plusieurs VPC |
|
Algorithmes de chiffrement pris en charge |
|
|
|
Mode tunnel |
Double tunnel (actif-passif) Certaines instances VPN Gateway héritées ne prennent en charge que les connexions IPsec-VPN à tunnel unique. Migrer vers le mode double tunnel. |
Double tunnel (ECMP) Les anciennes connexions IPsec à tunnel unique n'offrent pas de haute disponibilité. Supprimez et recréez la connexion IPsec à un moment qui n'affecte pas la connectivité réseau. Les nouvelles connexions IPsec utilisent le mode double tunnel par défaut. |
|
Mécanisme de haute disponibilité |
Basculement actif-passif : le trafic est routé par défaut via le tunnel actif et bascule automatiquement vers le tunnel de secours en cas de défaillance du tunnel actif. |
Équilibrage de charge ECMP : les deux tunnels transmettent le trafic simultanément et assurent une redondance mutuelle. |
|
Bande passante maximale par connexion IPsec |
Enhanced : 1 Gbps (dédiée par connexion) Standard : toutes les connexions partagent la bande passante du VPN Gateway, avec un maximum de 1 000 Mbps (ou 500 Mbps dans certaines régions). |
2 Gbps (jusqu'à 1 Gbps par tunnel) L'ancien mode à tunnel unique prend en charge un maximum de 1 Gbps. |
|
Mise à l'échelle de la bande passante |
Standard : non prise en charge. |
Prend en charge ECMP sur plusieurs connexions, avec équilibrage de charge sur un maximum de 32 tunnels (16 connexions IPsec). |
|
pps |
120 000 pps par instance VPN Gateway (partagées par toutes les connexions) |
120 000 pps par tunnel (en mode double tunnel) L'ancien mode à tunnel unique prend en charge 120 000 pps par connexion. |
|
SSL-VPN |
Pris en charge sur les VPN Gateway Standard |
Non pris en charge |
|
Routage dynamique BGP |
Enhanced : 200 routes par défaut Standard : 50 routes par défaut |
1 000 routes par tunnel, soit un total de 2 000 routes |
Différences entre les VPN Gateway Enhanced et Standard :
Enhanced : facturé selon le modèle , offre 1 Gbps de bande passante dédiée par connexion IPsec et ne prend pas en charge l'algorithme SM.
Standard : facturé selon le modèle , toutes les connexions IPsec partagent la bande passante du VPN Gateway et le service prend en charge le routage basé sur des politiques ainsi que l'algorithme SM.
Pour une comparaison détaillée, consultez VPN Gateway Enhanced vs. Standard.
Modes tunnel
Mode double tunnel
Le mode double tunnel est le mode par défaut pour les nouvelles connexions IPsec.
Chaque connexion IPsec comprend deux tunnels déployés dans différentes zones de disponibilité.
Offre une reprise après sinistre au niveau de la zone et une redondance des liens.
Lorsqu'il est lié à un VPN Gateway, il fonctionne en mode actif-passif. Lorsqu'il est lié à un Transit Router, il fonctionne en mode ECMP.
Assurez-vous que les deux tunnels sont configurés et disponibles. Si vous ne configurez qu'un seul tunnel, la redondance est perdue et la connexion n'est pas couverte par le SLA.
Mode tunnel unique
Le tunnel unique est un mode hérité et n'est pas pris en charge pour les nouvelles connexions IPsec.
Les connexions IPsec à tunnel unique se trouvent uniquement sur certaines instances VPN Gateway héritées.
N'offre pas de reprise après sinistre au niveau de la zone.
Migrer vers le mode double tunnel dès que possible.
Types de réseau
Lors de la création d'une connexion IPsec liée à un Transit Router, vous pouvez choisir l'un des types de réseau suivants :
|
Type de réseau |
Description |
Cas d'utilisation |
|
Internet |
Établit un tunnel IPsec sur Internet. |
Scénarios sans connexion physique, ou lorsqu'un VPN est utilisé comme solution de secours pour une connexion physique. |
|
Réseau privé |
Établit un tunnel IPsec sur une connexion physique existante pour chiffrer son trafic. |
Scénarios avec une connexion physique existante ou lorsque la conformité exige une transmission chiffrée. |
Modes de routage
IPsec-VPN prend en charge trois modes de routage qui déterminent comment le trafic est acheminé du cloud vers votre centre de données sur site :
Routage dynamique BGP
Il s'agit du mode le plus flexible. Le cloud et votre passerelle sur site utilisent le protocole Border Gateway Protocol (BGP) pour apprendre et annoncer automatiquement les routes. Les routes sont mises à jour automatiquement lorsque votre réseau change.
Avantages :
Apprentissage et convergence automatiques des routes, éliminant le besoin de maintenance manuelle des tables de routage.
Adaptation automatique aux changements de topologie réseau, tels que l'ajout ou la suppression de sous-réseaux.
Basculement automatique des routes pour une récupération plus rapide.
Idéal pour les réseaux de taille moyenne à grande et les scénarios multisites.
Prérequis :
Votre passerelle sur site doit prendre en charge BGP.
Vous devez configurer un numéro de système autonome (ASN) BGP et les adresses IP des pairs BGP pour les tunnels.
Route de destination statique
Configurez manuellement des routes statiques pointant vers vos blocs CIDR sur site. Ce mode est simple et direct, ce qui le rend adapté aux scénarios avec une topologie réseau stable et un petit nombre de sous-réseaux.
Avantages :
Configuration simple sans dépendance à BGP.
Adapté aux réseaux à petite échelle et aux preuves de concept (PoC).
Limitations :
Nécessite des mises à jour manuelles des routes lorsque le centre de données sur site change.
Une limite de 50 routes pour VPN Gateway Enhanced et de 30 pour VPN Gateway Standard.
Routage basé sur des politiques
Applique des politiques basées sur les blocs CIDR source et destination pour diriger le trafic vers des connexions IPsec spécifiques, offrant un contrôle granulaire.
Avantages :
Contrôle granulaire du routage basé sur les adresses source et destination.
Adapté à la distribution du trafic sur plusieurs connexions.
Limitations :
Pris en charge uniquement par VPN Gateway Standard.
Une limite par défaut de 20 routes basées sur des politiques.
Configuration et maintenance plus complexes.
Comparaison des modes de routage
|
Fonctionnalité |
Routage dynamique BGP |
Route de destination statique |
Routage basé sur des politiques |
|
Configuration des routes |
Apprentissage automatique |
Configuration manuelle |
Configuration manuelle |
|
Modes de liaison applicables |
VPN Gateway, Transit Router |
VPN Gateway, Transit Router |
VPN Gateway Standard uniquement |
|
Recommandation |
Fortement recommandé |
Adapté aux scénarios simples |
Pour des besoins spécifiques, tels qu'un contrôle granulaire du routage basé sur les adresses source et destination. |
Résumé de la décision
VPN Gateway
Se connecter à un seul VPC.
Fournir un accès distant client-to-site avec SSL-VPN (nécessite un VPN Gateway Standard).
Satisfaire aux exigences de disponibilité avec une reprise après sinistre en mode actif-passif.
Transit Router
Connecter plusieurs VPC, dans la même région ou entre régions.
Atteindre une haute disponibilité et un équilibrage de charge avec ECMP.
Chiffrer le trafic sur une connexion physique.
Nécessiter plus de 1 Gbps de bande passante pour une seule connexion.
Construire un réseau maillé complet pour une connectivité multisite à grande échelle.
Prendre en charge un grand nombre de routes BGP (jusqu'à 2 000).