VPN Gateway:Chiffrer le trafic privé via Express Connect avec BGP

Étape 1 : Activer la communication privée entre le centre de données local et le VPC via un circuit Express Connect et un routeur de transit

Étape 1 : Déployer un circuit Express Connect

Déployez un circuit Express Connect pour connecter votre centre de données local (IDC) à Alibaba Cloud.

1. Créez un circuit Express Connect.

   Demandez un circuit Express Connect dans la région Chine (Hangzhou). Consultez Apply for Classic Mode ou Hosted connection. Cet exemple utilise une connexion dédiée.

2. Créez une instance VBR.

   1. Connectez-vous à la console Express Connect.

   2. Dans le volet de navigation de gauche, cliquez sur VBRs.

   3. Dans la barre de navigation supérieure, sélectionnez la région China East 1 (Hangzhou).

      L'instance VBR doit être déployée dans la même région que le circuit Express Connect.

   4. Sur la page VBRs, cliquez sur Create VBR.

   5. Dans le panneau Create VBR, configurez les paramètres selon les informations suivantes, puis cliquez sur OK.

      Seuls les paramètres étroitement liés à cette rubrique sont répertoriés ci-dessous. Les autres paramètres conservent leurs valeurs par défaut. Pour plus d'informations, consultez Create and manage VBRs.

      Parameter	Description
      Name	Dans cette rubrique, saisissez VBR.
      Physical Connection	Dans cette rubrique, sélectionnez Dedicated Express Connect Circuits comme type, puis sélectionnez l'interface du circuit Express Connect créé.
      VLAN ID	Dans cette rubrique, saisissez 0.
      IPv4 Address of Gateway at Alibaba Cloud Side	Dans cette rubrique, saisissez 10.0.0.1.
      IPv4 Address of Gateway at Customer Side	Dans cette rubrique, saisissez 10.0.0.2.
      Subnet Mask (IPv4 Address)	Dans cette rubrique, saisissez 255.255.255.252.

3. Configurez un groupe BGP pour le VBR.

   1. Sur la page VBRs, cliquez sur l'ID de l'instance VBR.

   2. Sur la page des détails de l'instance de routeur de bordure virtuelle (VBR), cliquez sur l'onglet BGP Groups.

   3. Sur l'onglet BGP Groups, cliquez sur Create BGP Group, configurez le groupe BGP selon les informations suivantes, puis cliquez sur OK.

      Seuls les éléments de configuration étroitement liés à cette rubrique sont répertoriés ici. Pour plus d'informations, consultez Configure and manage BGP.

      • Name : Saisissez VBR-BGP.

      • Peer AS Number : Saisissez le numéro de système autonome (ASN) 65530 du dispositif de passerelle local.

      • Local ASN : Saisissez l'ASN BGP 65534 utilisé par l'instance VBR.

4. Configurez un pair BGP pour le VBR.

   1. Sur la page des détails de l'instance de routeur de bordure, cliquez sur l'onglet BGP Peers.

   2. Sous l'onglet BGP Peers, cliquez sur Create BGP Peer.

   3. Dans le panneau Create BGP Peer, configurez les informations du pair BGP, puis cliquez sur OK.

      • BGP Groups : Sélectionnez VBR-BGP.

      • BGP Peer IP Address : Saisissez l'adresse IP du pair BGP. Dans cette rubrique, saisissez l'adresse IP de l'interface du dispositif de passerelle local connecté au circuit Express Connect 10.0.0.1.

5. Configurez les routes BGP sur le dispositif de passerelle local.

   Remarque

   Dans cet exemple, le logiciel Adaptive Security Appliance (ASA) 9.19.1 est utilisé pour décrire la configuration d'un pare-feu Cisco. Les commandes peuvent varier selon les versions logicielles. Consultez la documentation ou votre fournisseur en fonction de votre environnement réel lors des opérations. Pour plus d'informations, consultez Configure local gateways.

   Le contenu suivant contient des informations sur des produits tiers, fournies à titre indicatif uniquement. Alibaba Cloud ne formule aucune garantie ni engagement quant aux performances et à la fiabilité des produits tiers, ni aux impacts potentiels des opérations effectuées à l'aide de ces produits.

   ciscoasa> enable
   Password: ********             # Enter the password for enable mode.
   ciscoasa# configure terminal   # Enter configuration mode.
   ciscoasa(config)#   
   
   #The Cisco firewall has completed the interface configuration and enabled the interfaces. The following is an interface configuration example used in this topic.
   ciscoasa(config)# show running-config interface 
   !
   interface GigabitEthernet0/0                #The interface that is connected to the VBR.
    nameif VBR                                 #The name of the GigabitEthernet0/0 interface.
    security-level 0
    ip address 10.0.0.1 255.255.255.252        #The IP address configured for the GigabitEthernet0/0 interface.
   !
   interface GigabitEthernet0/2                #The interface that is connected to the on-premises data center (IDC).
    nameif private                             #The name of the GigabitEthernet0/2 interface.
    security-level 100                         #Specify a security-level for the interface connected to the on-premises IDC that is lower than that of the interface connected to Alibaba Cloud.
    ip address 192.168.50.215 255.255.255.0    #The IP address configured for the GigabitEthernet0/2 interface.
   !
   interface GigabitEthernet0/3                #The interface that connects to private IPsec-VPN tunnel 1
    nameif VPN-IP1                             #The name of the GigabitEthernet0/3 interface.
    security-level 0
    ip address 192.168.10.136 255.255.255.0    #The private IP address configured for the GigabitEthernet0/3 interface.
   !
   interface GigabitEthernet0/4                #The interface that connects to private IPsec-VPN tunnel 2
    nameif VPN-IP2                             #The name of the GigabitEthernet0/4 interface.
    security-level 0
    ip address 192.168.40.159  255.255.255.0   #The private IP address configured for the GigabitEthernet0/4 interface.
   !
   
   #Configure the prefix-list and route-map
   prefix-list VBR permit 192.168.0.0/16
   route-map VBR permit 10
    match ip address prefix-list VBR
    
   #Configure BGP routing
   router bgp 65530                         #Enable the BGP routing protocol and configure the autonomous system number of the on-premises IDC. In this topic, the value is 65530.
   bgp router-id 10.0.0.1                   #The BGP router ID. In this topic, the value is set to 10.0.0.1.
   
   address-family ipv4 unicast
   neighbor 10.0.0.2 remote-as 65534        #Establish a BGP peer relationship with the VBR instance.
   neighbor 10.0.0.2 activate               #Activate the BGP peer.
   neighbor 10.0.0.2 route-map VBR out      #Advertise only large route blocks to the VBR.
   network 192.168.0.0 mask 255.255.0.0     #Advertise the CIDR block of the on-premises data center. We recommend that you advertise a large CIDR block.
   exit-address-family
   !  
      
   #Configure routes to clients in the on-premises data center.
   route private 192.168.0.0 255.255.0.0 192.168.50.216   

   Important

   Lorsque vous annoncez les blocs CIDR du centre de données local au VBR, nous vous recommandons d'annoncer un grand bloc CIDR. Cela garantit que les blocs CIDR du centre de données local que le routeur de transit apprendra ultérieurement via la connexion IPsec-VPN privée seront plus spécifiques que le bloc CIDR actuellement annoncé, et auront donc une priorité de route plus élevée.

Étape 2 : Configurer le routeur de transit

Une fois le centre de données local connecté à Alibaba Cloud via un circuit Express Connect, configurez un routeur de transit pour activer la communication réseau privé entre le centre de données local et le VPC.

1. Create a CEN instance.

   Dans la boîte de dialogue Create a CEN instance., sélectionnez Create CEN Only, puis personnalisez le nom de l'instance Cloud Enterprise Network (CEN) et conservez les autres éléments de configuration à leurs valeurs par défaut.

2. Create a transit router.

   Créez une instance de routeur de transit dans la région Chine (Hangzhou) pour connecter l'instance VBR et l'instance VPC. Conservez les paramètres par défaut pour les autres éléments de configuration.

3. Créez une connexion VPC.

   1. Sur l'onglet Basic Information > Forwarding Router de la page des détails de l'instance CEN, recherchez l'instance de routeur de transit dans la région Chine (Hangzhou) et cliquez sur Create Connection dans la colonne Actions.

   2. Sur la page Connection with Peer Network Instance, configurez les paramètres selon les informations suivantes, puis cliquez sur OK pour connecter l'instance VPC au routeur de transit.

      La section suivante décrit uniquement les éléments de configuration étroitement liés à cette rubrique. Conservez les paramètres par défaut pour les autres éléments de configuration. Pour plus d'informations, consultez Procedure.

      Configuration item	Description
      Instance Type	Sélectionnez Virtual Private Cloud (VPC).
      Region	Sélectionnez Chine (Hangzhou).
      Attachment Name	Définissez un nom personnalisé sur VPC-Attachment.
      Network Instance	Sélectionnez VPC.
      VSwitch	Sélectionnez une instance vSwitch dans une zone prise en charge par le routeur de transit. Dans cette rubrique, vSwitch 2 et vSwitch 3 sont sélectionnés. Dans une région prenant en charge plusieurs zones, vous devez sélectionner une instance vSwitch dans au moins deux zones. Nous vous recommandons d'utiliser des vSwitches qui ne transportent pas de charges de travail pour créer la connexion VPC.
      Advanced Settings	Utilisez la configuration de route par défaut, ce qui signifie activer les trois configurations avancées.

   3. Cliquez sur Create More Connections pour revenir à la page Connection with Peer Network Instance.

4. Créez une connexion VBR.

   Sur la page Connection with Peer Network Instance, configurez la connexion selon les informations suivantes, puis cliquez sur OK pour connecter l'instance VBR au routeur de transit. Seuls les éléments de configuration étroitement liés à cette rubrique sont répertoriés ci-dessous. Conservez les autres éléments de configuration à leurs valeurs par défaut. Pour plus d'informations, consultez Connect a VBR to a transit router.

   Configuration item	Description
   Instance Type	Sélectionnez Virtual Border Router (VBR).
   Region	Sélectionnez China (Hangzhou).
   Attachment Name	Définissez le nom personnalisé sur VBR-Attachment.
   Network Instance	Sélectionnez VBR.
   Advanced Settings	Utilisez la configuration de route par défaut, c'est-à-dire activez les trois configurations avancées.

Étape 3 : Tester la connectivité du réseau privé

Une fois les configurations précédentes terminées, le centre de données local et le VPC peuvent communiquer via le réseau privé. Vous pouvez effectuer les étapes suivantes pour tester la connectivité du réseau privé.

1. Connectez-vous à l'instance ECS1 dans le VPC. Pour plus d'informations, consultez Connection method overview.

2. Exécutez la commande ping pour accéder à n'importe quel client dans le bloc CIDR du centre de données (IDC).

   ping <the IP address of a client in the data center>

   [root@iZr***viZ ~]# ping 192.168.20.6
   PING 192.168.20.6 (192.168.20.6) 56(84) bytes of data.
   64 bytes from 192.168.20.6: icmp_seq=1 ttl=60 time=153 ms
   64 bytes from 192.168.20.6: icmp_seq=2 ttl=60 time=152 ms
   64 bytes from 192.168.20.6: icmp_seq=3 ttl=60 time=152 ms
   64 bytes from 192.168.20.6: icmp_seq=4 ttl=60 time=152 ms
   64 bytes from 192.168.20.6: icmp_seq=5 ttl=60 time=152 ms
   64 bytes from 192.168.20.6: icmp_seq=6 ttl=60 time=152 ms
   ^Z
   [1]+  Stopped                 ping 192.168.20.6

   Comme le montre la sortie précédente, si ECS1 peut recevoir des paquets de réponse, la communication réseau privé entre le centre de données local et le VPC est établie.

Étape 2 : chiffrer le trafic du réseau privé du circuit Express Connect

Une fois que le centre de données local et le VPC peuvent communiquer via le réseau privé, vous pouvez créer une connexion IPsec-VPN de type privé entre la passerelle locale et le routeur de transit. Ensuite, configurez le routage pour acheminer le trafic entre le centre de données local et le VPC via cette connexion IPsec-VPN privée, afin de chiffrer le trafic du réseau privé transitant par le circuit Express Connect.

Étape 1 : Établir une connexion IPsec-VPN privée

1. Ajoutez un bloc CIDR de routeur de transit 10.10.10.0/24 au routeur de transit. Pour plus d'informations, consultez Ajouter un bloc CIDR à un routeur existant.

   Le bloc CIDR du routeur de transit sert à attribuer des adresses IP de passerelle à la connexion IPsec, permettant ainsi l'établissement d'une connexion IPsec-VPN privée. Ce bloc CIDR ne doit pas entrer en conflit avec les blocs CIDR du centre de données (IDC) et du VPC qui participent à la communication réseau.

2. Créez deux passerelles clientes pour enregistrer les adresses IP VPN et le numéro ASN BGP de l'appareil de passerelle cliente auprès d'Alibaba Cloud.

   1. Connectez-vous à la console VPN gateway.

   2. Dans le volet de navigation de gauche, sélectionnez VBRs - VPN - China East 1 (Hangzhou).

   3. Sur la page VBRs, cliquez sur Create VBR.

   4. Dans le panneau Create VBR, configurez les paramètres suivants, puis cliquez sur OK.

      Seuls les paramètres étroitement liés à cette rubrique sont décrits ci-dessous. Conservez les valeurs par défaut pour les autres paramètres. Pour plus d'informations, consultez Passerelle cliente.

      • Passerelle cliente 1

        • Name : définissez le nom de la passerelle cliente sur Customer-Gateway1.

        • Physical Connection : saisissez l'adresse IP VPN 1 de l'appareil de passerelle locale 192.168.10.136.

        • Dedicated Express Connect Circuits : saisissez le numéro AS BGP de l'appareil de passerelle locale 65530.

      • Passerelle cliente 2

        • IPv4 Address of Gateway at Alibaba Cloud Side : définissez le nom de la passerelle cliente sur Customer-Gateway2.

        • IPv4 Address of Gateway at Customer Side : saisissez l'adresse IP VPN 2 de l'appareil de passerelle locale 192.168.40.159.

        • Subnet Mask (IPv4 Address) : saisissez le numéro AS BGP de l'appareil de passerelle locale 65530.

3. Créez une connexion VPC.

   1. Dans le volet de navigation de gauche, sélectionnez VBRs > BGP Groups > BGP Groups.

   2. Sur la page Create BGP Group, cliquez sur OK.

   3. Sur la page Name, configurez la connexion IPsec selon les informations suivantes, puis cliquez sur Peer AS Number.

      Le contenu suivant répertorie uniquement les éléments de configuration étroitement liés à cette rubrique. Les autres éléments conservent leurs paramètres par défaut. Pour plus d'informations, consultez Connexion IPsec-VPN (attachée à un TR).

      Paramètre	Connexion IPsec
      Local ASN	Définissez sur IPsec-Connection.
      BGP Peers	Sélectionnez la région où le routeur de transit est déployé. La connexion ipsec-vpn est créée dans la même région que le routeur de transit.
      BGP Peers	Sélectionnez Create BGP Peer.
      Create BGP Peer	Sélectionnez OK.
      BGP Groups	Sélectionnez l'instance Cloud Enterprise Network (CEN) que vous avez créée. La console affiche l'ID et le bloc CIDR du routeur de transit créé pour l'instance CEN dans la région actuelle. La connexion ipsec-vpn sera attachée à ce routeur de transit.
      BGP Peer IP Address	Cette rubrique utilise le Create a CEN instance., et le trafic transmis est ensuite contrôlé par les routes.
      Create CEN Only	Activez la fonctionnalité BGP.
      Basic Information	Saisissez le numéro AS BGP de la connexion IPsec 65534.
      Tunnel 1
      Forwarding Router	Associez Customer-Gateway1.
      Create Connection	fddsFF111****. Important La clé pré-partagée de la connexion IPsec-VPN doit être identique à celle de l'appareil de passerelle homologue. Sinon, la connexion IPsec-VPN ne peut pas être établie.
      Actions	Conservez les valeurs par défaut pour tous les autres éléments de configuration, sauf pour les paramètres suivants. Sélectionnez group14 pour le Connection with Peer Network Instance des OK. Sélectionnez group14 pour le Instance Type des Virtual Private Cloud (VPC). Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle locale afin de garantir que les configurations de chiffrement de la connexion IPsec soient identiques à celles de l'appareil de passerelle locale.
      Region	Attachment Name : saisissez 169.254.10.0/30. Network Instance : saisissez 169.254.10.1.
      Tunnel 2
      VSwitch	Associez Customer-Gateway2.
      Advanced Settings	fddsFF222****.
      Create More Connections	Conservez les valeurs par défaut pour tous les autres éléments de configuration, sauf pour les paramètres suivants. Pour le Connection with Peer Network Instance des Connection with Peer Network Instance, sélectionnez group14. Pour le OK des Instance Type, sélectionnez group14. Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle locale afin de garantir que les configurations de chiffrement de la connexion IPsec soient identiques à celles de l'appareil de passerelle locale.
      Virtual Border Router (VBR)	Region : saisissez 169.254.20.0/30. Attachment Name : saisissez 169.254.20.1.
      Network Instance	Utilisez la configuration de route par défaut, c'est-à-dire activez toutes les options de configuration avancée.

      Une fois la connexion IPsec créée, vous pouvez consulter les adresses IP de passerelle de la connexion IPsec sur la page des détails de la connexion. La connexion IPsec utilise ces deux adresses IP de passerelle pour établir une connexion IPsec-VPN privée avec l'appareil de passerelle locale.

4. Revenez à la page Advanced Settings, recherchez la connexion IPsec créée, puis cliquez sur Interconnections dans la colonne Customer Gateways.

   La configuration homologue correspond aux paramètres VPN que vous devez ajouter à l'homologue de la connexion IPsec. Dans le scénario décrit dans cette rubrique, vous devez ajouter ces configurations à l'appareil de passerelle locale.

5. Dans la boîte de dialogue Customer Gateway, copiez la configuration et enregistrez-la localement pour configurer ultérieurement l'appareil de passerelle locale.

6. Configurez l'appareil de passerelle locale.

   Après avoir créé une connexion IPsec, vous devez ajouter les configurations VPN à l'appareil de passerelle locale afin d'établir une connexion IPsec-VPN privée entre cet appareil et Alibaba Cloud.

   Cliquez pour afficher les configurations de l'appareil de passerelle locale.

   1. Connectez-vous à la fenêtre de ligne de commande du pare-feu Cisco et passez en mode de configuration.

      ciscoasa> enable
      Password: ********             #Enter the password for enable mode.
      ciscoasa# configure terminal   #Enter configuration mode.
      ciscoasa(config)#     

   2. Consultez la configuration de l'interface et la configuration des routes.

      Le pare-feu Cisco a terminé la configuration de l'interface, et celle-ci est activée. Voici un exemple de configuration d'interface utilisé dans cette rubrique.

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3               #The interface that is connected to private IPsec-VPN tunnel 1
       nameif VPN-IP1                            #The name of the GigabitEthernet0/3 interface.
       security-level 0
       ip address 192.168.10.136 255.255.255.0   #The private IP address configured for the GigabitEthernet0/3 interface.
      !
      interface GigabitEthernet0/4               #The interface that is connected to private IPsec-VPN tunnel 2
       nameif VPN-IP2                            #The name of the GigabitEthernet0/4 interface.
       security-level 0
       ip address 192.168.40.159  255.255.255.0  #The private IP address configured for the GigabitEthernet0/4 interface.
      !

   3. Activez IKEv2 pour l'interface.

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. Créez une politique IKEv2 et spécifiez l'algorithme d'authentification, l'algorithme de chiffrement, le groupe DH et la durée de vie de l'association de sécurité (SA) pour la phase IKE. Ces paramètres doivent être cohérents avec ceux configurés côté Alibaba Cloud.

      Important

      Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group lors de la phase IKE Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.

      crypto ikev2 policy 10     
       encryption aes             #Specify the encryption algorithm.
       integrity sha              #Specify the authentication algorithm.
       group 14                   #Specify the DH group.
       prf sha                    #The prf value must be the same as the integrity value. On the Alibaba Cloud side, prf defaults to the same value as the authentication algorithm.
       lifetime seconds 86400     #Specify the SA lifetime.

   5. Créez une proposition et un profil IPsec. Spécifiez l'algorithme de chiffrement, l'algorithme d'authentification, le groupe DH et la durée de vie de l'association de sécurité (SA) pour la phase IPsec. Ces paramètres doivent correspondre à la configuration d'Alibaba Cloud.

      Important

      Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group lors de la phase IPsec Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Create an IPsec proposal.
       protocol esp encryption aes                         #Specify the encryption algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
       protocol esp integrity sha-1                        #Specify the authentication algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Create an IPsec profile and apply the created proposal. 
       set ikev2 local-identity address                    #Set the local ID format to IP address to match the RemoteId format on the Alibaba Cloud side.
       set pfs group14                                     #Specify PFS and the DH group.
       set security-association lifetime seconds 86400     #Specify the time-based SA lifetime.
       set security-association lifetime kilobytes unlimited #Disable the traffic-based SA lifetime.

   6. Créez un groupe de tunnels et spécifiez la clé pré-partagée du tunnel, qui doit être identique à celle configurée côté Alibaba Cloud.

      tunnel-group 10.10.10.49 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 1.
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  #Specify the pre-shared key of the peer of tunnel 1, that is, the pre-shared key on the Alibaba Cloud side.
       ikev2 local-authentication pre-shared-key fddsFF111****   #Specify the pre-shared key of the local end of tunnel 1, which must be consistent with that on the Alibaba Cloud side.
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 2.
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  #Specify the pre-shared key of the peer of tunnel 2, that is, the pre-shared key on the Alibaba Cloud side.
       ikev2 local-authentication pre-shared-key fddsFF222****   #Specify the pre-shared key of the local end of tunnel 2, which must be consistent with that on the Alibaba Cloud side.
      !

   7. Créez une interface de tunnel.

      interface Tunnel1                                  #Create the interface for tunnel 1.
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #Specify the IP address of the interface.
       tunnel source interface VPN-IP1                   #Specify the source address of tunnel 1 as interface GigabitEthernet0/3.
       tunnel destination 10.10.10.49                    #Specify the destination address of tunnel 1 as the private IP address of tunnel 1 on the Alibaba Cloud side.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 1 uses the ipsec profile ALIYUN-PROFILE.
       no shutdown                                       #Enable the tunnel 1 interface.
      !
      interface Tunnel2                                  #Create the interface for tunnel 2.
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           #Specify the IP address of the interface.
       tunnel source interface VPN-IP2                   #Specify the source address of tunnel 2 as interface GigabitEthernet0/4.
       tunnel destination 10.10.10.50                    #Specify the destination address of tunnel 2 as the private IP address of tunnel 2 on the Alibaba Cloud side.
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 2 uses the ipsec profile ALIYUN-PROFILE.
       no shutdown                                       #Enable the tunnel 2 interface.
      !

   Une fois les configurations précédentes terminées, l'appareil de passerelle locale peut établir une connexion IPsec-VPN privée avec Alibaba Cloud. Toutefois, le voisin BGP n'est pas encore établi. Vous pouvez consulter l'état de la connexion IPsec-VPN privée sur la page des détails de l'instance de connexion IPsec dans la console Alibaba Cloud. Si la connexion IPsec-VPN privée n'est pas établie dans votre environnement, procédez au dépannage. Pour plus d'informations, consultez Diagnostic autonome.

Étape 2 : Configurer les routes

Une fois la connexion IPsec-VPN privée créée, le trafic entre le centre de données local et le VPC transite toujours via le circuit Express Connect et n'est pas chiffré. Vous devez ajouter des routes pour que le trafic entre le centre de données local et le VPC soit acheminé via la connexion IPsec-VPN privée.

1. Ajoutez les configurations de route BGP sur l'appareil de passerelle locale.

   # Configure prefix-list and route-map.
   prefix-list VPN permit 192.168.10.0/16
   prefix-list VPN permit 192.168.20.0/16
   prefix-list VPN permit 192.168.40.0/16
   
   route-map VPN permit 10
    match ip address prefix-list VPN
    
   # Configure BGP peers between the customer gateway device and the IPsec-VPN connection.
   router bgp 65530
    address-family ipv4 unicast
     neighbor 169.254.10.1 remote-as 65534       # BGP peer: Tunnel 1 IP on the Alibaba Cloud side.
     neighbor 169.254.10.1 activate
     neighbor 169.254.10.1 route-map VPN out     # Advertise specific routes to Tunnel 1.
     neighbor 169.254.20.1 remote-as 65534       # BGP peer: Tunnel 2 IP on the Alibaba Cloud side.
     neighbor 169.254.20.1 activate
     neighbor 169.254.20.1 route-map VPN out     # Advertise specific routes to Tunnel 2.
     maximum-paths 5                             # Increase ECMP route entries.
     network 192.168.10.0 mask 255.255.255.0     # Data center CIDR block — more specific than the route advertised to the VBR.
     network 192.168.20.0 mask 255.255.255.0
     network 192.168.40.0 mask 255.255.255.0 
    exit-address-family

   Important

   Lorsque vous annoncez le bloc CIDR du centre de données local à la connexion IPsec-VPN privée, assurez-vous que ce bloc CIDR est plus spécifique que celui annoncé à l'instance VBR. Cela garantit que les routes du centre de données local apprises par le routeur de transit via la connexion IPsec-VPN privée soient préférées.

2. Ajoutez une entrée de route personnalisée pour le routeur de transit.

   Après la configuration de route précédente, la connexion IPsec-VPN privée est interrompue. Vous devez ajouter une route spécifique destinée à l'adresse IP VPN de l'appareil de passerelle locale à la table de routage du routeur de transit, avec le saut suivant pointant vers l'instance VBR, afin de rétablir la connexion IPsec-VPN privée.

   1. Restez sur l'onglet Create Customer Gateway, cliquez sur l'onglet Create Customer Gateway, puis cliquez sur OK.

   2. Dans la boîte de dialogue Name, configurez les informations de l'entrée de route, puis cliquez sur IP Address.

      Paramètre	Bloc CIDR 1	ASN
      Name	Saisissez l'adresse IP VPN 1 de l'appareil de passerelle locale 192.168.10.136/32.	Saisissez l'adresse IP VPN 2 de l'appareil de passerelle locale 192.168.40.159/32.
      IP Address	Sélectionnez ASN.
      Interconnections	Sélectionnez VBR-Attachment.

3. Ajoutez la première stratégie de routage à la table de routage du routeur de transit.

   Le centre de données local apprend le bloc CIDR du VPC à la fois depuis l'instance VBR et depuis la connexion IPsec-VPN privée. Pour garantir que le trafic provenant du centre de données local vers le cloud entre dans le VPC via la connexion IPsec-VPN privée en priorité, vous devez configurer une stratégie de routage sur le routeur de transit afin que la priorité du bloc CIDR du VPC annoncé au centre de données local par l'instance VBR soit inférieure à celle annoncée par la connexion IPsec-VPN privée.

   1. Connectez-vous à la console CEN.

   2. Sur la page VPN, recherchez l'instance CEN que vous avez créée et cliquez sur l'ID de l'instance cible.

   3. Sur la page des détails de l'instance CEN, cliquez sur l'ID du routeur de transit dans la région IPsec Connections.

   4. Sur la page des détails du routeur de transit, cliquez sur l'onglet IPsec Connections puis sur Bind CEN.

   5. Sur l'onglet Create IPsec-VPN Connection, cliquez sur OK. Configurez la stratégie de routage selon les informations suivantes, puis cliquez sur Name.

      Le contenu suivant répertorie uniquement les éléments de configuration étroitement liés à cette rubrique. Les autres éléments conservent leurs états par défaut. Pour plus d'informations, consultez Stratégies de routage.

      Paramètre	Carte de routage
      Region	Saisissez 30.
      Gateway Type	Conservez la valeur par défaut.
      Direction effective	Sélectionnez Private.
      Bind CEN	Same Account : ID de l'instance VBR. CEN Instance ID : saisissez 172.16.10.0/24 et 172.16.20.0/24, et sélectionnez Routing Mode.
      Destination Routing Mode	Sélectionnez Enable BGP.
      Local ASN	Dans cette rubrique, sélectionnez Add AS Path et saisissez 65525, 65526 et 65527 pour abaisser la priorité des blocs CIDR du VPC annoncés par l'instance VBR au centre de données local.

4. Ajoutez la deuxième stratégie de routage à la table de routage du routeur de transit pour empêcher la connexion IPsec-VPN privée de propager la route de l'adresse IP VPN de l'appareil de passerelle locale vers le centre de données local. Cela permet d'éviter les boucles de routage.

   • Customer Gateway : dans cette rubrique, saisissez 40.

   • Pre-Shared Key : conservez la valeur par défaut.

   • Direction effective : sélectionnez Encryption Configuration.

   • DH Group (Perfect Forward Secrecy) :

     • IKE Settings : ID de l'instance de connexion IPsec.

     • DH Group (Perfect Forward Secrecy) : sélectionnez IPsec Settings et saisissez 192.168.10.136/32 et 192.168.40.159/32 pour l'adresse IP VPN de l'appareil de passerelle locale.

   • BGP Configuration : sélectionnez Tunnel CIDR Block.

Étape 3 : Vérifier l'effet du chiffrement

Une fois les configurations précédentes terminées, si vous pouvez consulter les données de surveillance du trafic sur la page des détails de la connexion IPsec, cela signifie que le trafic du réseau privé transitant par le circuit Express Connect est chiffré.

1. Connectez-vous à l'instance ECS1 dans le VPC. Exécutez la commande ping pour accéder continuellement à n'importe quel client dans le bloc CIDR du centre de données local.

   ping <IP address of a client in the data center> -s 1000 -c 10000

   • -s 1000 : spécifie l'envoi de paquets de 1000 octets.

   • -c 10000 : envoie continuellement 10 000 paquets de requête.

2. Connectez-vous à la console VPN Gateway.

3. Dans la barre de navigation supérieure, sélectionnez la région China (Hangzhou).

4. Dans le volet de navigation de gauche, sélectionnez Local BGP IP address - VPN - Customer Gateway.

5. Sur la page Pre-Shared Key, recherchez la connexion IPsec créée et cliquez sur l'ID de la connexion IPsec.

   Consultez les données de surveillance du trafic sur la page des détails de la connexion IPsec.