Cette rubrique vous guide dans la configuration de trois connexions IPsec-VPN via Internet entre un centre de données sur site et un réseau privé virtuel (VPC). Attachées à un routeur de transit Cloud Enterprise Network (CEN), ces connexions forment automatiquement un groupe Equal-Cost Multipath Routing (ECMP) qui équilibre la charge du trafic entre le centre de données et le VPC.
Cette configuration est conçue pour l'équilibrage de charge du trafic, et non pour la haute disponibilité. Pour vérifier l'équilibrage de charge, envoyez du trafic depuis plusieurs clients simultanément plutôt que via une seule connexion.
Cas d'utilisation
Utilisez cette configuration lorsque votre centre de données nécessite une bande passante totale plus élevée vers Alibaba Cloud qu'une seule connexion IPsec-VPN ne peut en fournir, et que vous souhaitez répartir les tunnels chiffrés sur plusieurs dispositifs de passerelle sur site.
Si votre objectif est le basculement plutôt que l'agrégation de bande passante, consultez plutôt la configuration de passerelle VPN active/passive.
Fonctionnement
L'exemple présenté dans cette rubrique connecte un centre de données d'entreprise dans la région Chine (Hangzhou) à un VPC dans la région Chine (Shanghai), où des applications s'exécutent sur une instance Elastic Compute Service (ECS).
La configuration fonctionne comme suit :
Trois connexions IPsec-VPN sont créées dans la région Chine (Hangzhou), chacune étant associée à un dispositif de passerelle sur site.
Les trois connexions sont liées à un routeur de transit CEN. CEN forme automatiquement un groupe ECMP à partir des connexions disposant de routes de coût égal.
Le routage dynamique BGP propage les routes du centre de données vers le routeur de transit et les routes du VPC vers le centre de données.
Une connexion interrégionale relie le routeur de transit de la région Chine (Hangzhou) au routeur de transit de la région Chine (Shanghai), complétant ainsi le chemin vers le VPC.
Prérequis techniques
Trois conditions doivent être remplies pour que l'ECMP fonctionne :
Le type de passerelle doit être Public. Les connexions IPsec-VPN utilisent Internet comme transport.
Les connexions doivent être liées à CEN. Seules les connexions IPsec-VPN attachées à CEN forment automatiquement un groupe ECMP.
Le routage dynamique BGP doit être activé. BGP est requis pour que les connexions échangent des routes de coût égal et pour que l'ECMP prenne effet.
Planification du réseau
Planification des blocs CIDR
Les blocs CIDR du centre de données et du VPC ne doivent pas se chevaucher.
| Ressource | Blocs CIDR et adresses IP |
|---|---|
| VPC |
Bloc CIDR principal : 10.0.0.0/16 - vSwitch 1 : 10.0.0.0/24, Zone F - vSwitch 2 : 10.0.1.0/24, Zone G - Instance ECS : 10.0.0.1 (dans vSwitch 1) |
| Connexions IPsec-VPN (BGP) |
Connexion 1 : tunnel 169.254.10.0/30, IP BGP Alibaba Cloud 169.254.10.1, ASN 65531 Connexion 2 : tunnel 169.254.11.0/30, IP BGP Alibaba Cloud 169.254.11.1, ASN 65531 Connexion 3 : tunnel 169.254.12.0/30, IP BGP Alibaba Cloud 169.254.12.1, ASN 65531 |
| Dispositifs de passerelle sur site (IP publiques) |
Dispositif 1 : 11.XX.XX.1 Dispositif 2 : 11.XX.XX.2 Dispositif 3 : 11.XX.XX.3 |
| Dispositifs de passerelle sur site (BGP) |
Dispositif 1 : tunnel 169.254.10.0/30, IP BGP centre de données 169.254.10.2, ASN 65530 Dispositif 2 : tunnel 169.254.11.0/30, IP BGP centre de données 169.254.11.2, ASN 65530 Dispositif 3 : tunnel 169.254.12.0/30, IP BGP centre de données 169.254.12.2, ASN 65530 |
| Centre de données | Blocs CIDR : 192.168.0.0/24, 192.168.1.0/24, 192.168.2.0/24 |
Conditions préalables
Avant de commencer, assurez-vous d'avoir :
Un VPC dans la région Chine (Shanghai) avec une instance ECS déployée. Pour plus d'informations, consultez Créer un VPC avec un bloc CIDR IPv4.
Une instance CEN avec un routeur de transit Enterprise Edition dans les régions Chine (Hangzhou) et Chine (Shanghai). Pour plus d'informations, consultez Créer une instance CEN et Créer un routeur de transit.
Un bloc CIDR configuré sur chaque routeur de transit. Les connexions IPsec-VPN ne peuvent pas être associées à un routeur de transit sans bloc CIDR. Si vous disposez d'un routeur de transit existant sans bloc CIDR, consultez Blocs CIDR du routeur de transit.
Des règles de groupe de sécurité sur l'instance ECS autorisant le trafic entrant depuis les blocs CIDR du centre de données. Pour plus d'informations, consultez Interroger les règles de groupe de sécurité et Ajouter une règle de groupe de sécurité.
Vue d'ensemble de la configuration
Étape 1 : Créer des passerelles clientes
Enregistrez chaque dispositif de passerelle sur site auprès d'Alibaba Cloud en créant une passerelle cliente pour chacun d'eux.
Connectez-vous à la console VPN Gatewayconsole VPN Gateway.
Dans le volet de navigation de gauche, choisissez Interconnections > VPN > Customer Gateways.
Dans la barre de navigation supérieure, sélectionnez China (Hangzhou).
Sur la page Customer Gateway, cliquez sur Create Customer Gateway.
Dans le panneau Create Customer Gateway, configurez les paramètres et cliquez sur OK.
Créez trois passerelles clientes avec les paramètres suivants. Conservez les valeurs par défaut pour tous les autres paramètres. Pour plus d'informations, consultez Créer et gérer une passerelle cliente.
| Paramètre | Description | Passerelle cliente 1 | Passerelle cliente 2 | Passerelle cliente 3 |
|---|---|---|---|---|
| Name | Nom de la passerelle cliente. | Customer-Gateway1 |
Customer-Gateway2 |
Customer-Gateway3 |
| IP address | Adresse IP publique du dispositif de passerelle sur site. | 11.XX.XX.1 |
11.XX.XX.2 |
11.XX.XX.3 |
| ASN | Numéro de système autonome (ASN) BGP du dispositif de passerelle sur site. | 65530 |
65530 |
65530 |
Étape 2 : Créer des connexions IPsec-VPN
Créez trois connexions IPsec-VPN, une pour chaque passerelle cliente. Chaque connexion est liée directement au routeur de transit CEN.
Connectez-vous à la console VPN Gatewayconsole VPN Gateway.
Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.
Sur la page IPsec Connections, cliquez sur Bind CEN.
Sur la page Create IPsec-VPN Connection, configurez les paramètres et cliquez sur OK.
Créez trois connexions dans la région Chine (Hangzhou) avec les paramètres suivants. Conservez les valeurs par défaut pour tous les autres paramètres. Pour plus d'informations, consultez Gérer une connexion IPsec-VPN à tunnel unique.
| Paramètre | Description | Connexion 1 | Connexion 2 | Connexion 3 | |
|---|---|---|---|---|---|
| Name | Nom de la connexion. | IPsec-VPN Connection 1 |
IPsec-VPN Connection 2 |
IPsec-VPN Connection 3 |
|
| Region | Région du routeur de transit à attacher. | Chine (Hangzhou) | Chine (Hangzhou) | Chine (Hangzhou) | |
| Gateway type | Type de réseau de la connexion. | Public | Public | Public | |
| Bind CEN | Compte propriétaire du routeur de transit. | Same Account | Same Account | Same Account | |
| CEN instance ID | Instance CEN à attacher. | Sélectionnez l'instance CEN créée dans les prérequis. Le système affiche l'ID du routeur de transit et le bloc CIDR pour la région Chine (Hangzhou). | Identique | Identique | |
| Zone | Zone de déploiement de la connexion. | Hangzhou Zone H | Hangzhou Zone H | Hangzhou Zone H | |
| Routing mode | Mode de distribution des routes. | Destination Routing Mode | Destination Routing Mode | Destination Routing Mode | |
| Effective immediately | Indique si les négociations démarrent immédiatement après la configuration. | Yes | Yes | Yes | |
| Customer gateway | Passerelle cliente à associer. | Customer-Gateway1 |
Customer-Gateway2 |
Customer-Gateway3 |
|
| Pre-shared key | Clé d'authentification. Doit correspondre à la clé configurée sur le dispositif sur site. La clé contient 1 à 100 caractères et peut inclure des chiffres, des lettres et des caractères spéciaux : ` ~!@#$%^&*()_-+={}[] |
;:',.<>/?`. Les espaces ne sont pas autorisés. Si ce champ est laissé vide, le système génère une clé aléatoire de 16 caractères — vous pouvez la consulter ultérieurement en cliquant sur Edit sur le tunnel. | fddsFF123**** |
fddsFF456**** |
|
| Enable BGP | Activer le routage dynamique BGP. | Activé | Activé | Activé | |
| Local ASN | ASN pour la connexion IPsec-VPN. | 65531 |
65531 |
65531 |
|
| Encryption configuration | Paramètres de chiffrement IKE et IPsec. | Conservez les paramètres par défaut, sauf : définissez DH Group sur group14 dans IKE Configurations et IPsec Configurations. Faites correspondre ces paramètres sur le dispositif sur site. | Identique | Identique | |
| Tunnel CIDR block | Bloc CIDR pour le tunnel chiffré. Doit être un sous-réseau /30 dans 169.254.0.0/16. Certains sous-réseaux sont réservés et ne peuvent pas être utilisés. | 169.254.10.0/30 |
169.254.11.0/30 |
169.254.12.0/30 |
|
| Local BGP IP address | Adresse IP BGP pour la connexion. Doit se trouver dans le bloc CIDR du tunnel. | 169.254.10.1 |
169.254.11.1 |
169.254.12.1 |
|
| Advanced configuration | Active la distribution et l'apprentissage automatiques des routes. | Conservez les paramètres par défaut (tous activés) | Conservez les paramètres par défaut | Conservez les paramètres par défaut |
Une fois les connexions créées, le système attribue une adresse IP de passerelle publique à chacune d'elles. Cette adresse constitue le endpoint Alibaba Cloud auquel le dispositif sur site se connecte.
L'adresse IP de la passerelle est attribuée uniquement après que la connexion a été attachée à un routeur de transit.
Dans cet exemple, les adresses IP de passerelle attribuées sont :
| Connexion | Adresse IP de la passerelle |
|---|---|
| Connexion IPsec-VPN 1 | 120.XX.XX.191 |
| Connexion IPsec-VPN 2 | 47.XX.XX.213 |
| Connexion IPsec-VPN 3 | 47.XX.XX.161 |
Sur la page IPsec Connections, localisez chaque connexion que vous avez créée. Dans la colonne Actions, cliquez sur Generate Peer Configuration et enregistrez le fichier de configuration téléchargé. Vous utiliserez ces fichiers pour configurer les dispositifs de passerelle sur site.
Étape 3 : Configurer les appareils de passerelle sur site
Appliquez la configuration VPN et BGP à chaque appareil de passerelle sur site en utilisant les paramètres des fichiers de configuration téléchargés.
Les exemples ci-dessous utilisent la version 9.19.1 du logiciel Cisco ASA. Les commandes peuvent varier selon les versions logicielles ; consultez la documentation de votre appareil ou votre fournisseur pour votre environnement réel. Pour plus d'informations, consultez Configurer les passerelles locales . Le contenu suivant contient des informations sur des produits tiers fournies à titre indicatif uniquement. Alibaba Cloud ne fournit aucune garantie concernant les performances, la fiabilité ou l'impact opérationnel des produits tiers.
Appareil de passerelle sur site 1
-
Connectez-vous à l'interface CLI du pare-feu Cisco et passez en mode de configuration.
ciscoasa> enable Password: ******** # Enter the password for the enable mode. ciscoasa# configure terminal # Enter configuration mode. ciscoasa(config)# -
Vérifiez la configuration des interfaces. Le pare-feu doit disposer d'une configuration complète avec toutes les interfaces activées.
# View the interface configuration of on-premises gateway device 1. ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/0 # Internet-facing interface. nameif outside1 security-level 0 ip address 11.XX.XX.1 255.255.255.255 # Public IP address. ! interface GigabitEthernet0/1 # Data center-facing interface. nameif private security-level 100 ip address 192.168.50.216 255.255.255.0 ! -
Activez IKEv2 sur l'interface publique.
crypto ikev2 enable outside1 -
Créez une politique IKEv2. Ces paramètres doivent correspondre à ceux du côté Alibaba Cloud.
crypto ikev2 policy 10 encryption aes # Encryption algorithm. integrity sha # Authentication algorithm. group 14 # DH group. prf sha # Must match integrity. lifetime seconds 86400 # SA lifetime. -
Créez une proposition IPsec et un profil.
crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL protocol esp encryption aes protocol esp integrity sha-1 crypto ipsec profile ALIYUN-PROFILE set ikev2 ipsec-proposal ALIYUN-PROPOSAL set ikev2 local-identity address # Use IP address format for local ID. set pfs group14 set security-association lifetime seconds 86400 set security-association lifetime kilobytes unlimited -
Créez un groupe de tunnels avec la clé prépartagée. Utilisez l'adresse IP de la passerelle de la connexion IPsec-VPN 1 (120.XX.XX.191).
tunnel-group 120.XX.XX.191 type ipsec-l2l tunnel-group 120.XX.XX.191 ipsec-attributes ikev2 remote-authentication pre-shared-key fddsFF123**** ikev2 local-authentication pre-shared-key fddsFF123**** ! -
Créez l'interface tunnel.
interface Tunnel1 nameif ALIYUN1 ip address 169.254.10.2 255.255.255.252 tunnel source interface outside1 tunnel destination 120.XX.XX.191 tunnel mode ipsec ipv4 tunnel protection ipsec profile ALIYUN-PROFILE no shutdown ! -
Configurez les routes statiques et le protocole BGP.
route outside1 120.XX.XX.191 255.255.255.255 192.XX.XX.172 # Route to IPsec-VPN connection 1 gateway IP. route private 192.168.0.0 255.255.255.0 192.168.50.215 route private 192.168.1.0 255.255.255.0 192.168.50.215 route private 192.168.2.0 255.255.255.0 192.168.50.215 router bgp 65530 address-family ipv4 unicast neighbor 169.254.10.1 remote-as 65531 # BGP peer: Alibaba Cloud BGP IP of connection 1. neighbor 169.254.10.1 ebgp-multihop 255 neighbor 169.254.10.1 activate network 192.168.0.0 mask 255.255.255.0 # Advertise data center CIDR blocks. network 192.168.1.0 mask 255.255.255.0 network 192.168.2.0 mask 255.255.255.0 exit-address-family
Appareil de passerelle sur site 2
-
Connectez-vous à l'interface CLI du pare-feu Cisco et passez en mode de configuration.
ciscoasa> enable Password: ******** ciscoasa# configure terminal ciscoasa(config)# -
Vérifiez la configuration des interfaces.
# View the interface configuration of on-premises gateway device 2. ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/0 nameif outside1 security-level 0 ip address 11.XX.XX.2 255.255.255.255 ! interface GigabitEthernet0/1 nameif private security-level 100 ip address 192.168.50.218 255.255.255.0 ! -
Activez IKEv2 sur l'interface publique.
crypto ikev2 enable outside1 -
Créez une politique IKEv2.
crypto ikev2 policy 10 encryption aes integrity sha group 14 prf sha lifetime seconds 86400 -
Créez une proposition IPsec et un profil.
crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL protocol esp encryption aes protocol esp integrity sha-1 crypto ipsec profile ALIYUN-PROFILE set ikev2 ipsec-proposal ALIYUN-PROPOSAL set ikev2 local-identity address set pfs group14 set security-association lifetime seconds 86400 set security-association lifetime kilobytes unlimited -
Créez un groupe de tunnels. Utilisez l'adresse IP de la passerelle de la connexion IPsec-VPN 2 (47.XX.XX.213).
tunnel-group 47.XX.XX.213 type ipsec-l2l tunnel-group 47.XX.XX.213 ipsec-attributes ikev2 remote-authentication pre-shared-key fddsFF456**** ikev2 local-authentication pre-shared-key fddsFF456**** ! -
Créez l'interface tunnel.
interface Tunnel1 nameif ALIYUN1 ip address 169.254.11.2 255.255.255.252 tunnel source interface outside1 tunnel destination 47.XX.XX.213 tunnel mode ipsec ipv4 tunnel protection ipsec profile ALIYUN-PROFILE no shutdown ! -
Configurez les routes statiques et le protocole BGP.
route outside1 47.XX.XX.213 255.255.255.255 192.XX.XX.173 route private 192.168.0.0 255.255.255.0 192.168.50.217 route private 192.168.1.0 255.255.255.0 192.168.50.217 route private 192.168.2.0 255.255.255.0 192.168.50.217 router bgp 65530 address-family ipv4 unicast neighbor 169.254.11.1 remote-as 65531 neighbor 169.254.11.1 ebgp-multihop 255 neighbor 169.254.11.1 activate network 192.168.0.0 mask 255.255.255.0 network 192.168.1.0 mask 255.255.255.0 network 192.168.2.0 mask 255.255.255.0 exit-address-family
Appareil de passerelle sur site 3
-
Connectez-vous à l'interface CLI du pare-feu Cisco et passez en mode de configuration.
ciscoasa> enable Password: ******** ciscoasa# configure terminal ciscoasa(config)# -
Vérifiez la configuration des interfaces.
# View the interface configuration of on-premises gateway device 3. ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/0 nameif outside1 security-level 0 ip address 11.XX.XX.3 255.255.255.255 ! interface GigabitEthernet0/1 nameif private security-level 100 ip address 192.168.50.213 255.255.255.0 ! -
Activez IKEv2 sur l'interface publique.
crypto ikev2 enable outside1 -
Créez une politique IKEv2.
crypto ikev2 policy 10 encryption aes integrity sha group 14 prf sha lifetime seconds 86400 -
Créez une proposition IPsec et un profil.
crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL protocol esp encryption aes protocol esp integrity sha-1 crypto ipsec profile ALIYUN-PROFILE set ikev2 ipsec-proposal ALIYUN-PROPOSAL set ikev2 local-identity address set pfs group14 set security-association lifetime seconds 86400 set security-association lifetime kilobytes unlimited -
Créez un groupe de tunnels. Utilisez l'adresse IP de la passerelle de la connexion IPsec-VPN 3 (47.XX.XX.161).
tunnel-group 47.XX.XX.161 type ipsec-l2l tunnel-group 47.XX.XX.161 ipsec-attributes ikev2 remote-authentication pre-shared-key fddsFF789**** ikev2 local-authentication pre-shared-key fddsFF789**** ! -
Créez l'interface tunnel.
interface Tunnel1 nameif ALIYUN1 ip address 169.254.12.2 255.255.255.252 tunnel source interface outside1 tunnel destination 47.XX.XX.161 tunnel mode ipsec ipv4 tunnel protection ipsec profile ALIYUN-PROFILE no shutdown ! -
Configurez les routes statiques et le protocole BGP.
route outside1 47.XX.XX.161 255.255.255.255 192.XX.XX.174 route private 192.168.0.0 255.255.255.0 192.168.50.214 route private 192.168.1.0 255.255.255.0 192.168.50.214 route private 192.168.2.0 255.255.255.0 192.168.50.214 router bgp 65530 address-family ipv4 unicast neighbor 169.254.12.1 remote-as 65531 neighbor 169.254.12.1 ebgp-multihop 255 neighbor 169.254.12.1 activate network 192.168.0.0 mask 255.255.255.0 network 192.168.1.0 mask 255.255.255.0 network 192.168.2.0 mask 255.255.255.0 exit-address-family
Une fois ces configurations terminées, les tunnels IPsec-VPN sont établis entre le centre de données et Alibaba Cloud, et les routes du centre de données sont propagées vers la table de routage BGP de chaque connexion IPsec-VPN.
Ajoutez également des routes côté centre de données afin que le trafic des clients du centre de données vers le VPC puisse transiter simultanément par les trois appareils de passerelle sur site. Pour les commandes spécifiques, consultez votre fournisseur d'équipement.
Étape 4 : Créer une connexion VPC
Les connexions IPsec-VPN sont automatiquement associées au routeur de transit dans la région Chine (Hangzhou) lors de leur création. Associez maintenant le VPC de la région Chine (Shanghai) à son routeur de transit local afin que le centre de données puisse atteindre le VPC.
Connectez-vous à la console CEN.
Sur la page Instances, cliquez sur l'ID de votre instance CEN.
Sous l'onglet Basic Settings > Transit Router, repérez le routeur de transit dans la région Chine (Shanghai). Dans la colonne Actions, cliquez sur Create Connection.
Sur la page Connection with Peer Network Instance, configurez les paramètres et cliquez sur OK.
Utilisez les paramètres suivants. Conservez les valeurs par défaut pour tous les autres paramètres. Pour plus d'informations, consultez Créer une connexion VPC.
| Parameter | Description | Value |
|---|---|---|
| Instance type | Type d'instance réseau à connecter. | Virtual Private Cloud (VPC) |
| Region | Région du VPC. | China (Shanghai) |
| Resource owner ID | Indique si le VPC appartient à votre compte actuel. | Your Account |
| Billing method | Méthode de facturation pour la connexion VPC. | Pay-As-You-Go |
| Attachment name | Nom de la connexion VPC. | VPC-connection |
| Network instance | VPC à associer. | Sélectionnez le VPC dans la région Chine (Shanghai). |
| vSwitch | vSwitches dans les zones prises en charge par le routeur de transit. Sélectionnez un vSwitch par zone afin de minimiser les détours du trafic. Chaque vSwitch sélectionné doit disposer d'au moins une adresse IP libre. | vSwitch 1 dans la zone F et vSwitch 2 dans la zone G |
| Advanced settings | Active la distribution automatique des routes et l'association des tables de routage. | Conserver les valeurs par défaut (tout est activé) |
Étape 5 : Créer une connexion interrégionale
Le routeur de transit dans la région Chine (Hangzhou) est connecté aux connexions IPsec-VPN, tandis que le routeur de transit dans la région Chine (Shanghai) est connecté au VPC. Ces deux routeurs de transit se trouvant dans des régions différentes, ils ne peuvent pas communiquer par défaut. Vous devez créer une connexion interrégionale pour les relier.
Sur la page Instances, cliquez sur l'ID de votre instance CEN.
Sous l'onglet Basic Information > Bandwidth Plans, cliquez sur Allocate Bandwidth for Inter-region Communication.
Sur la page Connection with Peer Network Instance, configurez les paramètres et cliquez sur OK.
Utilisez les paramètres suivants. Pour plus d'informations, consultez la rubrique Créer une connexion interrégionale.
| Paramètre | Description |
|---|---|
| Instance type | Sélectionnez Inter-region Connection. |
| Region | Sélectionnez China (Hangzhou). |
| Attachment name | Saisissez Cross-Region-test. |
| Peer region | Sélectionnez China (Shanghai). |
| Bandwidth allocation mode | Sélectionnez Pay-By-Data-Transfer. |
| Default line type | Conservez le type de liaison par défaut. |
| Bandwidth | Indiquez la bande passante de la connexion interrégionale. Unité : Mbit/s. |
| Advanced settings | Conservez les paramètres par défaut (toutes les options activées). |
Une fois la connexion interrégionale créée, CEN distribue et apprend automatiquement les routes. BGP propage les routes du VPC depuis le routeur de transit vers le centre de données, ainsi que les routes du centre de données depuis les connexions IPsec-VPN vers le routeur de transit. Le centre de données et le VPC peuvent désormais communiquer.
Étape 6 : Vérifier la connectivité
Testez la connectivité réseau et assurez-vous que le trafic est réparti équitablement entre les trois connexions.
Tester la connectivité réseau
Connectez-vous à l'instance ECS située dans le VPC. Pour plus d'informations, consultez la rubrique Se connecter à une instance ECS.
-
Exécutez la commande ping vers un client du centre de données :
ping <IP address of the client in the data center>
Une réponse positive confirme que le centre de données et le VPC peuvent communiquer entre eux.
Vérifier l'équilibrage de charge
Envoyez simultanément du trafic depuis plusieurs clients du centre de données vers l'instance ECS, puis vérifiez que les trois connexions IPsec-VPN affichent du trafic.
Utilisez plusieurs clients envoyant du trafic en même temps pour vérifier que les trois connexions sont sollicitées.
Accédez à la console VPN Gatewayconsole VPN Gateway.
Dans la barre de navigation supérieure, sélectionnez China (Hangzhou).
Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.
Sur la page IPsec Connections, cliquez sur l'ID d'une connexion IPsec-VPN.
Sur la page des détails de la connexion, accédez à l'onglet Monitor et examinez les données de surveillance du trafic.
Répétez l'opération pour les trois connexions. Si chacune d'elles affiche du trafic, l'équilibrage de charge fonctionne correctement.
Description du routage
Les configurations de routage par défaut utilisées dans cette rubrique permettent à CEN de distribuer et d'apprendre automatiquement les routes sans intervention manuelle. Les sections suivantes expliquent le fonctionnement du routage pour chaque composant.
Connexions IPsec-VPN
Lorsque vous créez une connexion IPsec-VPN et la liez directement à un routeur de transit avec toutes les configurations avancées activées, le système applique automatiquement les configurations de routage suivantes :
La connexion IPsec-VPN est associée à la table de routage par défaut du routeur de transit. Ce dernier utilise cette table pour acheminer le trafic provenant de la connexion.
Les routes apprises depuis le centre de données via BGP, ou les routes basées sur la destination ajoutées manuellement, sont propagées vers la table de routage par défaut du routeur de transit.
Le routeur de transit propage automatiquement les autres routes de sa table de routage par défaut vers la table de routage BGP de la connexion IPsec-VPN.
La connexion renvoie les routes cloud apprises vers le centre de données via BGP.
Connexions VPC
Lorsque vous créez une connexion VPC avec toutes les configurations avancées activées, le système applique automatiquement les configurations de routage suivantes :
Associate with default route table of transit router : la connexion VPC est associée à la table de routage par défaut. Le routeur de transit utilise cette table pour acheminer le trafic provenant du VPC.
Propagate system routes to default route table of transit router : le VPC propage ses routes système vers la table de routage par défaut du routeur de transit, ce qui permet la communication entre les instances réseau.
Automatically create routes pointing to transit router : le système ajoute trois routes — 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 — à toutes les tables de routage du VPC, avec le saut suivant pointant vers la connexion VPC.
Si une route dont le bloc CIDR de destination est 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16 existe déjà dans la table de routage du VPC, le système ne peut pas l'ajouter automatiquement. Ajoutez la route manuellement en la faisant pointer vers la connexion VPC. Cliquez sur Initiate Route Check pour vérifier si ces routes existent déjà.
Connexions interrégionales
Lorsque vous créez une connexion interrégionale avec toutes les configurations avancées activées, le système applique automatiquement les configurations de routage suivantes :
Associate with default route table of transit router : la connexion interrégionale est associée à la table de routage par défaut. Le routeur de transit utilise cette table pour acheminer le trafic interrégional.
Propagate system routes to default route table of transit router : la connexion interrégionale est associée aux tables de routage par défaut des routeurs de transit dans les deux régions connectées.
Automatically advertise routes to peer region : les routes présentes dans la table de routage du routeur de transit de la région actuelle sont automatiquement annoncées au routeur de transit pair, et vice versa.