IPsec-VPN établit un tunnel chiffré entre votre réseau local (tel qu'un centre de données ou un bureau) et un VPC Alibaba Cloud, permettant aux deux parties de communiquer comme si elles se trouvaient sur le même réseau privé.
VPN Gateway d'Alibaba Cloud fournit des services dans le respect des politiques et réglementations nationales pertinentes de la Chine, et prend uniquement en charge l'établissement de connexions non transfrontalières . Si vous avez des besoins transfrontaliers, veuillez utiliser Transit Router .
Deux modes de liaison
IPsec-VPN propose deux méthodes de connexion. Choisissez celle qui correspond au nombre de VPC à connecter :
Liaison à une passerelle VPN (connexion d'un seul VPC)
Lie la connexion IPsec à une instance de passerelle VPN. Cette méthode convient aux scénarios où un centre de données local et un seul VPC communiquent entre eux.
Fonctionnement : Dispositif de passerelle local ↔ Tunnel IPsec-VPN ↔ Passerelle VPN ↔ VPC
Scénarios applicables :
Connexion à un seul VPC
Utilisation simultanée de SSL-VPN pour l'accès distant (passerelles VPN standard uniquement)
Liaison à un Transit Router (connexion de plusieurs VPC)
Lie directement la connexion IPsec à un routeur de transit d'une instance Cloud Enterprise Network (CEN). Cette approche est adaptée aux scénarios où un centre de données local et plusieurs VPC communiquent entre eux.
Fonctionnement : Dispositif de passerelle local ↔ Tunnel IPsec-VPN ↔ Transit Router ↔ Plusieurs VPC
Cas d'utilisation :
Connexion à plusieurs VPC dans la même région ou dans des régions différentes
Équilibrage de charge ECMP requis pour la haute disponibilité
Bande passante supérieure à 1 Gbit/s par connexion requise (jusqu'à 2 Gbit/s)
Composants principaux
Composant | Description |
Dispositif de passerelle déployé côté Alibaba Cloud servant de point de terminaison cloud du tunnel chiffré. Elle est disponible sous deux formes : améliorée et standard deux formes. | |
Composant central de Cloud Enterprise Network (CEN) chargé de transférer le trafic entre les VPC et les régions. Dans les scénarios multi-VPC, il remplace la passerelle VPN en tant que point de terminaison côté cloud. | |
Objet logique côté Alibaba Cloud qui enregistre l'adresse IP publique du dispositif de passerelle local. Vous devez y faire référence lors de la création d'une connexion IPsec. | |
Définit les paramètres du tunnel chiffré depuis le cloud vers le dispositif de passerelle local, notamment l'algorithme de chiffrement, l'algorithme d'authentification et la clé prépartagée (PSK). | |
Dispositif physique ou logiciel situé dans le centre de données local et compatible avec IPsec VPN (tel que strongSwan, Cisco, H3C), chargé de négocier avec le cloud pour établir le tunnel. |
Par souci de simplicité, ce document désigne collectivement par le terme centre de données local les réseaux devant établir une connexion IPsec-VPN avec Alibaba Cloud, tels que les centres de données locaux des entreprises et les réseaux de bureaux d'entreprise.
Mode double tunnel
Par défaut, chaque connexion IPsec contient deux tunnels chiffrés. Dans les régions prenant en charge plusieurs zones, les deux tunnels sont déployés dans des zones différentes afin d'assurer une reprise après sinistre au niveau de la zone. Dans les régions ne prenant en charge qu'une seule zone (par exemple, China Central 1 (Wuhan - Local Region)), les deux tunnels sont déployés dans la même zone. Dans ce cas, la reprise après sinistre au niveau de la zone n'est pas prise en charge, mais la redondance de lien reste disponible.
Liaison à une passerelle VPN : mode actif/passif
Les deux tunnels fonctionnent comme des liens actif/passif l'un par rapport à l'autre :
En conditions normales, le trafic circule uniquement via le tunnel actif.
Si le tunnel actif tombe en panne, le trafic bascule automatiquement vers le tunnel de secours.
Lorsque le tunnel actif est rétabli, le trafic rebascule automatiquement vers celui-ci.
Consultez la rubrique Associer à une passerelle VPN.
Liaison à un Transit Router : mode ECMP
Les deux tunnels forment des liens à coût égal multiples (ECMP) :
Les deux tunnels transmettent simultanément le trafic pour assurer le partage de charge
Si l'un des tunnels tombe en panne, le trafic converge automatiquement vers le tunnel restant.
Lorsque le tunnel défaillant est rétabli, il reprend automatiquement le partage du trafic.
Consultez la rubrique Associer à un routeur de transit.
Lors de la création d'une connexion IPsec-VPN, assurez-vous que les deux tunnels sont configurés pour être disponibles. Si vous configurez ou utilisez un seul tunnel, vous ne bénéficiez ni de la redondance de lien ni des capacités de reprise après sinistre au niveau de la zone, et la passerelle VPN ne garantit pas le SLA.
Scénarios d'application
Scénarios de liaison à une passerelle VPN
VPC vers centre de données : scénario le plus courant. Connectez un centre de données local et un VPC Alibaba Cloud via IPsec-VPN pour construire un réseau cloud hybride.
VPC vers VPC : connectez rapidement deux VPC via IPsec-VPN pour permettre le partage de ressources entre VPC.
Connexion multicloud : connectez un VPC Alibaba Cloud à un VPC hébergé sur une autre plateforme cloud, telle qu'AWS ou Azure.
Connexion multisite : connectez plusieurs réseaux de bureau à une seule passerelle VPN et utilisez la fonctionnalité hub-and-spoke pour permettre la communication privée entre les sites.
Scénarios de liaison à un Transit Router
VPC vers centre de données : le centre de données local se connecte à n'importe quel VPC via IPsec-VPN et un Transit Router. Adapté aux scénarios nécessitant l'accès à plusieurs VPC.
Connexion ECMP haute disponibilité : attachez plusieurs connexions IPsec-VPN au même Transit Router pour former un lien ECMP, où toutes les connexions transportent simultanément le trafic.
Chiffrement de circuit Express Connect : sur la base d'une connexion de réseau privé établie via un circuit physique Express Connect, chiffrez le trafic du circuit via IPsec-VPN et connectez plusieurs VPC via un Transit Router.
Connexion maillée complète multisite mondiale : connectez plusieurs sites locaux aux Transit Routers les plus proches à l'aide d'IPsec-VPN et utilisez CEN pour obtenir une topologie maillée complète.
Recommandations de sélection de scénario
Pour une comparaison complète incluant les algorithmes de chiffrement et les spécifications de performance, consultez la rubrique Choisir un mode de liaison.
Facturation du produit
Consultez la rubrique Facturation d'IPsec-VPN.