VPN Gateway:Connecter des sites entre eux et à un VPC

Fonctionnement

Après la création d'une instance VPN Gateway, sa fonctionnalité Hub est automatiquement activée. Il vous suffit de configurer les passerelles clientes pour chaque site et les connexions IPsec-VPN de chaque site vers le cloud afin d'activer la communication entre les sites, ainsi qu'entre les sites et votre VPC.

Scénario

Dans ce scénario, une grande entreprise dispose d'un VPC nommé VPC1 dans la région Chine (Hangzhou), avec des services déployés sur des instances ECS. L'entreprise possède également des sites à Shanghai, Hangzhou et Ningbo qui ne peuvent pas communiquer entre eux ni avec VPC1. L'entreprise utilise la fonctionnalité Hub de VPN Gateway pour connecter les trois sites entre eux et à VPC1.

Prérequis

• Vous avez obtenu l'adresse IP publique du dispositif de passerelle sur site pour chaque site.

• Vous avez créé un VPC nommé VPC1 dans la région Chine (Hangzhou) et déployé des services sur des instances ECS dans VPC1. Pour plus d'informations, consultez la rubrique Créer un VPC IPv4.

  Le tableau suivant décrit les blocs CIDR planifiés pour VPC1 et chaque site dans cet exemple.

  Remarque

  Vous pouvez planifier les blocs CIDR en fonction de vos besoins métier. Assurez-vous que les blocs CIDR de VPC1 et des sites qui doivent communiquer entre eux ne se chevauchent pas.

  Site	VPC1	Site de Shanghai	Site de Hangzhou	Site de Ningbo
  Bloc CIDR	192.168.0.0/16	10.10.10.0/24	10.10.20.0/24	10.10.30.0/24
  Adresse IP de l'instance ECS	192.168.20.121	N/A	N/A	N/A
  Adresse IP publique du dispositif de passerelle sur site	N/A	1.XX.XX.1	2.XX.XX.2	3.XX.XX.3

• Assurez-vous que les règles de groupe de sécurité appliquées aux instances ECS dans VPC1 et les règles de contrôle d'accès de chaque site autorisent la communication entre les sites, ainsi qu'entre les sites et VPC1. Pour plus d'informations, consultez les rubriques Consulter les règles de groupe de sécurité et Ajouter une règle de groupe de sécurité.

Procédure

Étape 1 : Créer une passerelle VPN

Créez une instance de passerelle VPN dans la même région que VPC1. Les sites de Shanghai, Hangzhou et Ningbo utiliseront cette passerelle pour communiquer entre eux et avec VPC1.

1. Connectez-vous à la console VPN Gateway.

2. Dans la barre de navigation supérieure, sélectionnez la région dans laquelle vous souhaitez créer l'instance de passerelle VPN.

   Dans cet exemple, Chine (Hangzhou) est sélectionnée.

3. Sur la page VPN Gateways, cliquez sur Create VPN Gateway.

4. Sur la page d'achat, configurez l'instance de passerelle VPN selon les informations suivantes, puis cliquez sur Buy Now pour effectuer le paiement.

   Paramètre	Description
   Instance Name	Saisissez un nom pour l'instance de passerelle VPN. Dans cet exemple, saisissez VPN Gateway 1.
   Region	Sélectionnez la région où se trouve l'instance de passerelle VPN. Dans cet exemple, sélectionnez China (Hangzhou).
   Gateway Type	Sélectionnez le type de l'instance de passerelle VPN. Dans cet exemple, sélectionnez Standard.
   Network Type	Sélectionnez le type de réseau de l'instance de passerelle VPN. Dans cet exemple, sélectionnez Internet.
   Tunnel	Le système affiche les modes de tunnel pris en charge par les connexions IPsec-VPN dans la région actuelle.
   VPC	Sélectionnez l'instance VPC à associer à l'instance de passerelle VPN. Dans cet exemple, sélectionnez VPC1.
   vSwitch 1	Sélectionnez un vSwitch au sein du VPC. Si vous sélectionnez Single-tunnel, vous devez spécifier un seul vSwitch. Si vous sélectionnez Dual-tunnel, vous devez spécifier deux vSwitches. Une fois la fonctionnalité IPsec-VPN activée, le système crée une interface réseau élastique (ENI) pour chacun des deux vSwitches afin de servir d'interface de communication avec le VPC via une connexion IPsec-VPN. Chaque ENI occupe une adresse IP dans le vSwitch. Remarque Le système sélectionne un vSwitch par défaut. Vous pouvez modifier ce vSwitch ou conserver celui par défaut. Une fois la passerelle VPN créée, vous ne pouvez pas modifier le vSwitch qui lui est associé. Vous pouvez consulter le vSwitch associé à la passerelle VPN, la zone à laquelle il appartient et l'ENI qu'il contient sur la page des détails de la passerelle VPN.
   vSwitch 2	Sélectionnez un deuxième vSwitch au sein du VPC. Vous n'avez pas besoin de configurer ce paramètre si le mode de tunnel est single-tunnel.
   Peak bandwidth	Sélectionnez la bande passante publique maximale pour l'instance de passerelle VPN. Unité : Mbit/s.
   Traffic	La méthode de facturation de l'instance de passerelle VPN. La valeur par défaut est Pay By Traffic. Pour plus d'informations, consultez Facturation.
   IPsec-VPN	Spécifiez s'il faut activer la fonctionnalité IPsec-VPN. Dans cet exemple, sélectionnez Enable.
   SSL-VPN	Spécifiez s'il faut activer la fonctionnalité SSL-VPN. Dans cet exemple, sélectionnez Disable.
   Duration	Le cycle de facturation de l'instance de passerelle VPN. La valeur par défaut est By Hour.
   Service-linked role	Cliquez sur Create Service-Linked Role. Le système crée automatiquement le rôle lié au service AliyunServiceRoleForVpn. Une passerelle VPN utilise ce rôle pour accéder aux ressources d'autres services Alibaba Cloud. Pour plus d'informations, consultez AliyunServiceRoleForVpn. Si Created. s'affiche pour ce paramètre, cela indique que le rôle a déjà été créé pour votre compte. Il n'est pas nécessaire de le recréer.

   Pour plus d'informations sur les paramètres, consultez Créer une passerelle VPN.

5. Revenez à la page VPN Gateway pour afficher la nouvelle instance de passerelle VPN.

   Une nouvelle instance de passerelle VPN présente initialement le statut Preparing. Au bout d'environ 1 à 5 minutes, le statut passe à Normal. Une instance de passerelle VPN dont le statut est Normal est prête à être utilisée.

Étape 2 : Créer des passerelles clientes

Après avoir créé l'instance VPN Gateway, vous devez créer une passerelle cliente pour chaque site afin d'activer la communication via l'instance VPN Gateway unique.

1. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > Customer Gateways.

2. Dans la barre de navigation supérieure, sélectionnez la région dans laquelle vous souhaitez créer les passerelles clientes.

   Remarque

   Les passerelles clientes doivent se trouver dans la même région que l'instance VPN Gateway à laquelle vous souhaitez les connecter.

3. Sur la page Customer Gateway, cliquez sur Create Customer Gateway.

4. Dans le panneau Create Customer Gateway, configurez la passerelle cliente en suivant les informations ci-dessous, puis cliquez sur OK.

   Vous devez créer une passerelle cliente pour chaque site. Le tableau suivant décrit les configurations des passerelles clientes.

   Parameter	Description	Shanghai site	Hangzhou site	Ningbo site
   Name	Saisissez un nom pour la passerelle cliente.	Shanghai-customer1	Hangzhou-customer2	Ningbo-customer3
   IP Address	Saisissez l'adresse IP publique de la passerelle cliente.	Dans cet exemple, saisissez l'adresse IP publique du dispositif de passerelle local sur le site de Shanghai : 1.XX.XX.1.	Dans cet exemple, saisissez l'adresse IP publique du dispositif de passerelle local sur le site de Hangzhou : 2.XX.XX.2.	Dans cet exemple, saisissez l'adresse IP publique du dispositif de passerelle local sur le site de Ningbo : 3.XX.XX.3.

   Pour plus d'informations sur les paramètres, consultez la rubrique Créer une passerelle cliente.

Étape 3 : Créer des connexions IPsec-VPN

Créez une connexion IPsec-VPN pour chaque site. Chaque connexion associe une passerelle cliente à l'instance VPN Gateway, ce qui permet de connecter le site à Alibaba Cloud.

1. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.

2. Sur la page IPsec Connections, cliquez sur Bind VPN Gateway.

3. Configurez la connexion IPsec-VPN en suivant les informations ci-dessous, puis cliquez sur OK.

   Le tableau suivant décrit les configurations des connexions IPsec-VPN pour les sites de Shanghai, Hangzhou et Ningbo.

   Parameter	Description	Shanghai site	Hangzhou site	Ningbo site
   Name	Saisissez un nom pour la connexion IPsec-VPN.	IPsec-connection-1	IPsec-connection-2	IPsec-connection-3
   Region	Sélectionnez la région où se trouve l'instance VPN Gateway à associer à la connexion IPsec-VPN.	Sélectionnez China (Hangzhou).
   VPN Gateway	Sélectionnez l'instance VPN Gateway créée.	Sélectionnez VPN Gateway 1.
   Routing Mode	Sélectionnez un mode de routage.	Sélectionnez Destination Routing Mode.	Sélectionnez Destination Routing Mode.	Sélectionnez Protected Data Flows.
   Local Network	Saisissez le bloc CIDR du VPC que vous souhaitez connecter aux sites. Ce paramètre est utilisé pour les négociations de phase 2.	N/A	N/A	192.168.0.0/16
   Remote Network	Saisissez le bloc CIDR du site que vous souhaitez connecter au VPC. Ce paramètre est utilisé pour les négociations de phase 2.			10.10.30.0/24
   Effective Immediately	Indique si les négociations doivent démarrer immédiatement. Yes : Les négociations démarrent dès que la configuration est terminée. No : Les négociations démarrent lorsqu'un trafic entrant est détecté.	Dans cet exemple, sélectionnez Yes.	Dans cet exemple, sélectionnez Yes.	Dans cet exemple, sélectionnez Yes.
   Customer Gateways	Sélectionnez l'instance de passerelle cliente créée.	Sélectionnez Shanghai-customer1.	Sélectionnez Hangzhou-customer2.	Sélectionnez Ningbo-customer3.
   Pre-Shared Key	Saisissez une clé pré-partagée. Si vous ne saisissez aucune valeur, le système génère une chaîne aléatoire de 16 caractères. Important La clé pré-partagée du dispositif de passerelle local doit être identique à celle de la connexion IPsec-VPN.	fddsFF123****	TTTddd321****	PPPttt456****
   Encryption Configuration	Ajoutez les configurations IKE, les configurations IPsec, le DPD et la traversée NAT.	Dans cet exemple, IKEv1 est utilisé. Les valeurs par défaut sont appliquées aux autres paramètres.	Dans cet exemple, IKEv1 est utilisé. Les valeurs par défaut sont appliquées aux autres paramètres.	Dans cet exemple, IKEv1 est utilisé. Les valeurs par défaut sont appliquées aux autres paramètres.

   Les valeurs par défaut sont appliquées aux autres paramètres. Pour plus d'informations, consultez la rubrique Créer et gérer une connexion IPsec-VPN en mode tunnel unique.

4. Pour configurer ultérieurement les routes de la passerelle VPN, cliquez sur Cancel dans la boîte de dialogue qui s'affiche.

Étape 4 : Configurer les routes de la passerelle VPN

Une fois les connexions IPsec-VPN créées, ajoutez les blocs CIDR des sites de Shanghai et Hangzhou à la table de routage basée sur la destination de l'instance VPN Gateway, et annoncez les blocs CIDR des trois sites vers VPC1.

1. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > VPN Gateways.

2. Dans la barre de navigation supérieure, sélectionnez la région où réside l'instance de passerelle VPN.

3. Sur la page VPN Gateway, localisez l'instance VPN Gateway cible et cliquez sur son ID.

4. Ajoutez et annoncez les blocs CIDR des sites de Shanghai et Hangzhou dans l'onglet Destination-based Route Table de l'instance VPN Gateway.

   1. Sous l'onglet Destination-based Route Table, cliquez sur Add Route Entry.

   2. Dans le panneau Add Route Entry, configurez l'entrée de routage basée sur la destination selon les informations suivantes, puis cliquez sur OK.

      Parameter	Description	Route entry 1	Route entry 2
      Destination CIDR Block	Saisissez le bloc CIDR de destination avec lequel vous souhaitez communiquer.	Saisissez le bloc CIDR privé du site de Shanghai : 10.10.10.0/24.	Saisissez le bloc CIDR privé du site de Hangzhou : 10.10.20.0/24.
      Next Hop Type	Sélectionnez le type de saut suivant.	Sélectionnez IPsec Connections.	Sélectionnez IPsec Connections.
      Next Hop	Sélectionnez le saut suivant.	Sélectionnez IPsec-connection-1.	Sélectionnez IPsec-connection-2.
      Advertise to VPC	Indique si la nouvelle entrée de routage doit être annoncée au VPC associé à la passerelle VPN.	Dans cet exemple, sélectionnez Yes.	Dans cet exemple, sélectionnez Yes.
      Weight	Sélectionnez un poids pour l'entrée de routage. 100 : priorité élevée. 0 : priorité faible.	Dans cet exemple, conservez la valeur par défaut 100.	Dans cet exemple, conservez la valeur par défaut 100.

      Pour plus d'informations sur les paramètres, consultez la rubrique Ajouter une route basée sur la destination.

5. Annoncez le bloc CIDR du site de Ningbo dans l'onglet Policy-based Route Table de l'instance VPN Gateway.

   1. Sous l'onglet Policy-based Route Table, repérez l'entrée de routage dont le Destination CIDR Block correspond au bloc CIDR du site de Ningbo, puis cliquez sur Advertise dans la colonne Actions.

   2. Dans la boîte de dialogue Advertise Route, cliquez sur OK.

Étape 5 : Configurer les passerelles sur site

Téléchargez la configuration homologue depuis la page IPsec Connections pour chaque site et appliquez-la à l'appareil de passerelle sur site.

1. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.

2. Sur la page IPsec Connections, localisez la connexion IPsec-VPN cible et cliquez sur Generate Peer Configuration dans la colonne Actions.

   Localisez IPsec-connection-1, IPsec-connection-2 et IPsec-connection-3, puis téléchargez leurs configurations homologues.

3. Selon les exigences de votre appareil de passerelle sur site, appliquez la configuration téléchargée à l'appareil. Pour plus d'informations, consultez la rubrique Configurer un appareil de passerelle sur site.

   • Appliquez la configuration homologue téléchargée pour IPsec-connection-1 à l'appareil de passerelle sur site du site de Shanghai.

   • Appliquez la configuration homologue téléchargée pour IPsec-connection-2 à l'appareil de passerelle sur site du site de Hangzhou.

   • Appliquez la configuration homologue téléchargée pour IPsec-connection-3 à l'appareil de passerelle sur site du site de Ningbo.

Étape 6 : Tester la connectivité

Après avoir effectué les configurations précédentes, vérifiez que les sites de Shanghai, Hangzhou et Ningbo peuvent communiquer entre eux et avec VPC1.

1. Testez la connectivité entre les sites et VPC1.

   1. Connectez-vous à une instance ECS dans VPC1.

      Pour plus d'informations sur la connexion à une instance ECS, consultez la rubrique Méthodes de connexion.

   2. Exécutez la commande ping pour envoyer une requête ping vers un client des sites de Shanghai, Hangzhou et Ningbo.

      ping <Client IP address>

      La réception de messages de réponse echo de tous les clients indique que les sites et VPC1 sont connectés.

2. Testez la connectivité entre les sites.

   1. Ouvrez la fenêtre de ligne de commande sur un client du site de Shanghai.

   2. Exécutez la commande ping pour envoyer une requête ping vers un client des sites de Hangzhou et Ningbo.

      ping <Client IP address>

      La réception de messages de réponse echo indique que les sites sont connectés.

   3. Ouvrez la fenêtre de ligne de commande sur un client du site de Hangzhou.

   4. Exécutez la commande ping pour envoyer une requête ping vers un client du site de Ningbo.

      ping <Client IP address>

      La réception d'un message de réponse echo indique que les sites de Hangzhou et Ningbo sont connectés.