Encrypt private traffic over Express Connect with static routing - VPN Gateway

Lorsqu'un circuit Express Connect relie votre centre de données à Alibaba Cloud, le trafic traverse par défaut la liaison dédiée sans chiffrement. Pour répondre aux exigences de conformité en matière de sécurité — prévenir les violations de données et les altérations — vous pouvez superposer une connexion IPsec-VPN privée au circuit et acheminer le trafic via des tunnels chiffrés.

Informations générales

Avant de commencer, nous vous recommandons de comprendre les principes du chiffrement du trafic réseau privé sur les circuits Express Connect. Pour plus d'informations, consultez la rubrique Chiffrer le trafic Express Connect.
Si l'équipement passerelle local prend en charge le protocole de routage dynamique BGP, nous vous recommandons d'utiliser ce protocole à la fois pour l'instance VBR et pour la connexion IPsec-VPN privée afin de mettre en œuvre le chiffrement du trafic réseau privé sur les circuits Express Connect. Pour les tutoriels associés, consultez la rubrique Chiffrer le trafic privé sur Express Connect avec BGP.

Exemple de scénario

Cette rubrique s'appuie sur le scénario illustré dans la figure ci-dessous. Une entreprise dispose d'un centre de données (IDC, Internet Data Center) à Hangzhou et d'un VPC dans la région Chine (Hangzhou) sur Alibaba Cloud. Les services pertinents sont déployés dans le VPC à l'aide d'Elastic Compute Service (ECS). Avec la croissance de l'activité, le centre de données local doit se connecter au cloud. En raison de certaines exigences de conformité en matière de sécurité, l'entreprise doit utiliser un circuit Express Connect et un routeur de transit pour établir une communication réseau privée entre le centre de données local et le VPC. De plus, afin de réduire les risques de fuite de données et d'empêcher le vol ou l'altération des données confidentielles par du personnel interne ou externe, l'entreprise souhaite que tout le trafic transmis sur le circuit Express Connect soit chiffré avant d'être envoyé vers Alibaba Cloud.

Lorsque le centre de données local communique avec le VPC via un circuit Express Connect et un routeur de transit, l'entreprise peut établir une connexion IPsec-VPN privée entre l'équipement passerelle local et le routeur de transit. Cette connexion permet de chiffrer le trafic transitant par le circuit Express Connect, répondant ainsi aux exigences élevées de l'entreprise en matière de sécurité réseau.

Planification du réseau

Important

Si vous devez planifier vous-même les blocs CIDR pour le centre de données local et les instances réseau associées, assurez-vous qu'il n'y a aucun chevauchement entre les blocs CIDR qui doivent communiquer entre eux.

Description du mécanisme de routage

Pour mettre en œuvre le chiffrement du trafic réseau privé sur les circuits Express Connect, vous devez vous assurer que le trafic entre le centre de données local et le VPC transite prioritairement par la connexion IPsec-VPN privée plutôt que par le circuit Express Connect. Cette rubrique explique comment atteindre cet objectif en contrôlant les routes :

Trafic du VPC vers le centre de données local :

Le routeur de transit peut apprendre les routes vers le centre de données local via l'instance VBR et via la connexion IPsec-VPN privée. Selon la priorité des routes du routeur de transit, les routes apprises via l'instance VBR sont privilégiées par défaut. Ce mécanisme entraîne une transmission prioritaire du trafic du VPC vers le centre de données local sur le circuit Express Connect, ce qui rend le chiffrement impossible.

Cette rubrique contourne ce problème en ajoutant des blocs CIDR du centre de données local avec des masques de sous-réseau différents. Lorsque vous ajoutez un bloc CIDR du centre de données local à l'instance VBR, vous devez ajouter un grand bloc CIDR (c'est-à-dire avec un masque de sous-réseau plus court). Lorsque vous ajoutez un bloc CIDR du centre de données local à la table de routage de la connexion IPsec-VPN privée, vous devez ajouter un petit bloc CIDR (c'est-à-dire avec un masque de sous-réseau plus long).

Par exemple, si le bloc CIDR du centre de données local est 192.168.0.0/16 et que le bloc CIDR des clients locaux communiquant avec le VPC est 192.168.20.0/24, ajoutez le bloc CIDR 192.168.0.0/16 à l'instance VBR et le bloc CIDR spécifique 192.168.20.0/24 à la table de routage de la connexion IPsec-VPN privée. Cela garantit que la route apprise via la connexion IPsec-VPN privée dans le routeur de transit est privilégiée, de sorte que le trafic du VPC vers les clients soit prioritairement chiffré et transmis via la connexion IPsec-VPN privée.
Trafic du centre de données local vers le VPC :

Ajoutez des routes vers l'instance VPC dans le centre de données local, en définissant les sauts suivants respectivement vers le circuit Express Connect et vers la connexion IPsec-VPN privée. Ajustez ensuite la priorité des routes pour garantir que la route pointant vers la connexion IPsec-VPN privée soit privilégiée, afin que le trafic du centre de données local vers le VPC soit prioritairement chiffré et transmis via la connexion IPsec-VPN privée.

Remarque

Le mécanisme de routage actuel garantit également qu'en cas d'interruption de la connexion IPsec-VPN privée, le centre de données local et le VPC peuvent toujours communiquer via le circuit Express Connect et le routeur de transit, mais le trafic n'est alors plus chiffré.

Planification des blocs CIDR

Objectifs de configuration	Planification des blocs CIDR	Adresse IP
VPC	Bloc CIDR principal : 172.16.0.0/16 vSwitch 1, situé dans la zone H : 172.16.10.0/24 vSwitch 2, situé dans la zone H : 172.16.20.0/24 vSwitch 3, situé dans la zone J : 172.16.30.0/24	ECS1 : 172.16.10.225 ECS2 : 172.16.10.226
VBR	10.0.0.0/30	ID VLAN : 0 Adresse IP d'interconnexion IPv4 côté Alibaba Cloud : 10.0.0.1/30 Adresse IP d'interconnexion IPv4 côté client : 10.0.0.2/30 Dans cette rubrique, le côté client fait référence à l'équipement passerelle local.
Centre de données local	Bloc CIDR client : 192.168.20.0/24	Adresse client : 192.168.20.6
Centre de données local	Bloc CIDR de l'équipement passerelle local : 10.0.0.0/30 192.168.10.0/24 192.168.40.0/24	Adresse IP VPN 1 : 192.168.10.136 Adresse IP VPN 2 : 192.168.40.159 Une adresse IP VPN correspond à l'adresse IP de l'interface sur l'équipement passerelle local qui établira une connexion IPsec-VPN privée avec le routeur de transit. Adresse IP de l'interface connectée au circuit Express Connect : 10.0.0.2/30

Prérequis

Vous avez créé un VPC dans la région Chine (Hangzhou) d'Alibaba Cloud et y avez déployé les services pertinents à l'aide d'ECS. Pour plus d'informations, consultez la rubrique Créer un VPC avec un bloc CIDR IPv4.
Vérifiez l'équipement passerelle local pour vous assurer qu'il prend en charge les protocoles standard IKEv1 et IKEv2, afin qu'il puisse établir une connexion IPsec-VPN privée avec Alibaba Cloud. Pour confirmer la prise en charge des protocoles standard IKEv1 et IKEv2 par l'équipement passerelle local, consultez le fournisseur de cet équipement.

Procédure

Étape 1 : Activer la communication réseau privée entre le centre de données et le VPC via un circuit Express Connect et un routeur de transit

Étape 1 : Déployer un circuit Express Connect

Déployez un circuit Express Connect pour relier le centre de données local à Alibaba Cloud.

Créez un circuit Express Connect.

Demandez un circuit Express Connect dans la région Chine (Hangzhou). Pour plus d'informations, consultez les rubriques Demander en mode classique ou Connexion hébergée. Dans cette rubrique, l'option Dedicated Physical Connection est sélectionnée.

Créez une instance VBR.

Connectez-vous à la console Express Connect.
Dans le volet de navigation de gauche, cliquez sur Virtual Border Router (VBR).
Dans la barre de menus supérieure, sélectionnez la région China (Hangzhou).

La région de l'instance VBR doit être identique à celle du circuit Express Connect.
Sur la page Virtual Border Router (VBR), cliquez sur Create VBR.

Dans le panneau Create VBR, configurez les paramètres selon les informations suivantes, puis cliquez sur OK.

Seuls les éléments de configuration étroitement liés à cette rubrique sont répertoriés ci-dessous. Conservez les paramètres par défaut pour les autres éléments. Pour plus d'informations, consultez la rubrique Créer et gérer des VBR.

Élément de configuration

Description

Name

Dans cette rubrique, saisissez VBR.

Physical Connection

Dans cette rubrique, sélectionnez le type Dedicated Express Connect Circuits, puis sélectionnez l'interface du circuit Express Connect créée.

VLAN ID

Dans cette rubrique, saisissez 0.

IPv4 Address of Gateway at Alibaba Cloud Side

Dans cette rubrique, saisissez 10.0.0.1.

IPv4 Address of Gateway at Customer Side

Dans cet exemple, saisissez 10.0.0.2.

Subnet Mask (IPv4 Address)

Dans cet exemple, saisissez 255.255.255.252.

Ajoutez une route destinée au centre de données local dans l'instance VBR.

Sur la page Virtual Border Router (VBR), cliquez sur l'ID de l'instance VBR.
Cliquez sur l'onglet Route, puis cliquez sur Add Route Entry sous l'onglet Custom Route Entry.

Dans le panneau Add Route Entry, configurez les paramètres selon les informations suivantes, puis cliquez sur OK.

Élément de configuration

Entrée de route

Next Hop Type

Sélectionnez Express Connect Circuit.

Destination CIDR Block

Saisissez le bloc CIDR 192.168.0.0/16 du centre de données local.

Next Hop

Sélectionnez le circuit Express Connect que vous avez créé.

Important

Lorsque vous ajoutez une route vers le centre de données (IDC) dans l'instance VBR, nous vous recommandons d'ajouter un grand bloc CIDR afin de garantir que les routes vers le centre de données (IDC) que le routeur de transit apprendra ultérieurement via la connexion IPsec-VPN privée soient plus spécifiques que les routes actuelles et aient une priorité de routage plus élevée.

Ajoutez une route vers le VPC sur l'équipement passerelle local.

Remarque

Dans cet exemple, le logiciel Adaptive Security Appliance (ASA) 9.19.1 est utilisé pour décrire la configuration d'un pare-feu Cisco. Les commandes peuvent varier selon les versions logicielles. Consultez la documentation ou votre fournisseur en fonction de votre environnement réel lors des opérations. Pour plus d'informations, consultez la rubrique Configurer les passerelles locales.

Le contenu suivant contient des informations sur des produits tiers, fournies à titre indicatif uniquement. Alibaba Cloud ne formule aucune garantie ni engagement concernant les performances et la fiabilité des produits tiers, ni les impacts potentiels des opérations effectuées à l'aide de ces produits.

ciscoasa> enable
Password: ********             # Enter the enable mode password.
ciscoasa# configure terminal   # Enter configuration mode.
ciscoasa(config)#   
#The interface configuration on the Cisco firewall is complete and the interfaces are enabled. The following section provides an example of the interface configuration used in this topic.
ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0                #The interface that connects to the VBR.
 nameif VBR                                 #The name of the GigabitEthernet0/0 interface.
 security-level 0
 ip address 10.0.0.1 255.255.255.252        #The IP address configured on the GigabitEthernet0/0 interface.
!
interface GigabitEthernet0/2                #The interface that connects to the data center (IDC).
 nameif private                             #The name of the GigabitEthernet0/2 interface.
 security-level 100                         #Specifies that the security-level of the interface that connects to the data center (IDC) is lower than that of the interface that connects to Alibaba Cloud.
 ip address 192.168.50.215 255.255.255.0    #The IP address configured on the GigabitEthernet0/2 interface.
!
interface GigabitEthernet0/3                #The interface connecting to private IPsec-VPN tunnel 1.
 nameif VPN-IP1                             #The name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0    #The private IP address configured for the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4                #The interface connecting to private IPsec-VPN tunnel 2.
 nameif VPN-IP2                             #The name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0   #The private IP address configured for the GigabitEthernet0/4 interface.
!
#Configure a static route to the Alibaba Cloud VPC (172.16.0.0/16).
route VBR 172.16.0.0 255.255.0.0 10.0.0.2     
#Configure a route to the on-premises IDC clients.
route private 192.168.0.0 255.255.0.0 192.168.50.216

Étape 2 : Configurer un routeur de transit

Une fois le centre de données local connecté à Alibaba Cloud via un circuit Express Connect, commencez à configurer le routeur de transit pour activer la communication réseau privée entre le centre de données local et le VPC via le routeur de transit.

Créer une instance CEN.

Dans la boîte de dialogue Create a CEN instance., sélectionnez Create CEN Only, personnalisez le nom de l'instance Cloud Enterprise Network (CEN) et conservez les valeurs par défaut pour les autres éléments de configuration.
Créer un routeur de transit.

Créez une instance de routeur de transit dans la région Chine (Hangzhou) pour connecter l'instance VBR et l'instance VPC. Conservez les paramètres par défaut pour les autres éléments de configuration.

Créez une connexion VPC.

Sur l'onglet Basic Information > Forwarding Router de la page des détails de l'instance CEN, localisez l'instance de routeur de transit dans la région Chine (Hangzhou) et cliquez sur Create Connection dans la colonne Actions.

Sur la page Connection with Peer Network Instance, configurez les paramètres selon les informations suivantes, puis cliquez sur OK pour connecter l'instance VPC au routeur de transit.

Seuls les éléments de configuration étroitement liés à cette rubrique sont décrits ci-dessous. Conservez les paramètres par défaut pour les autres éléments. Pour plus d'informations, consultez la rubrique Procédure.

Élément de configuration

Description

Instance Type

Sélectionnez Virtual Private Cloud (VPC).

Region

Sélectionnez China (Hangzhou).

Attachment Name

Définissez un nom personnalisé sur VPC-Attachment.

Network Instance

Sélectionnez VPC.

VSwitch

Sélectionnez une instance vSwitch dans une zone prise en charge par le routeur de transit.

Dans cette rubrique, les vSwitch 2 et vSwitch 3 sont sélectionnés. Dans une région prenant en charge plusieurs zones, vous devez sélectionner une instance vSwitch dans au moins deux zones différentes. Nous vous recommandons d'utiliser des vSwitches qui ne transportent pas de charges de travail pour créer la connexion VPC.

Advanced Settings

Utilisez la configuration de route par défaut, ce qui signifie activer les trois configurations avancées.

Cliquez sur Create More Connections pour revenir à la page Connection with Peer Network Instance.

Créez une connexion VBR.

Sur la page Connection with Peer Network Instance, configurez la connexion selon les informations suivantes, puis cliquez sur OK pour connecter l'instance VBR au routeur de transit. Seuls les éléments de configuration étroitement liés à cette rubrique sont répertoriés ci-dessous. Conservez les valeurs par défaut pour les autres éléments. Pour plus d'informations, consultez la rubrique Connecter un VBR à un routeur de transit.

Élément de configuration

Description

Instance Type

Sélectionnez Virtual Border Router (VBR).

Region

Sélectionnez China (Hangzhou).

Attachment Name

Définissez le nom personnalisé sur VBR-Attachment.

Network Instance

Sélectionnez VBR.

Advanced Settings

Utilisez la configuration de route par défaut, c'est-à-dire activez les trois configurations avancées.

Étape 3 : Tester la connectivité du réseau privé

Une fois les configurations précédentes terminées, la communication réseau privée entre le centre de données (IDC) et le VPC est établie. Vous pouvez effectuer les étapes suivantes pour tester la connectivité du réseau privé.

Remarque

Assurez-vous de comprendre les règles de groupe de sécurité appliquées aux instances ECS dans le VPC et les règles de contrôle d'accès appliquées aux clients dans le centre de données (IDC). Vérifiez que les règles de groupe de sécurité des instances ECS et les règles de contrôle d'accès des clients dans le centre de données (IDC) autorisent la communication entre les clients du centre de données et les instances ECS du VPC. Pour plus d'informations, consultez les rubriques Afficher les règles de groupe de sécurité et Ajouter une règle de groupe de sécurité.

Dans cette étape, les règles de contrôle d'accès du centre de données (IDC) doivent autoriser le protocole ICMP et le bloc CIDR du VPC, et les règles de groupe de sécurité des instances ECS doivent autoriser le protocole ICMP et le bloc CIDR du centre de données (IDC).

Connectez-vous à l'instance ECS1 dans le VPC. Pour plus d'informations, consultez la rubrique Présentation des méthodes de connexion.

Exécutez la commande ping pour accéder à n'importe quel client dans le bloc CIDR du centre de données (IDC).

ping <the IP address of a client in the data center>

[root@iZr***viZ ~]# ping 192.168.20.6
PING 192.168.20.6 (192.168.20.6) 56(84) bytes of data.
64 bytes from 192.168.20.6: icmp_seq=1 ttl=60 time=153 ms
64 bytes from 192.168.20.6: icmp_seq=2 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=3 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=4 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=5 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=6 ttl=60 time=152 ms
^Z
[1]+  Stopped                 ping 192.168.20.6

Comme indiqué dans la sortie précédente, si ECS1 reçoit des paquets de réponse, la communication réseau privée entre le centre de données local et le VPC est établie.

Étape 2 : Chiffrer le trafic réseau privé sur les circuits Express Connect

Une fois la communication réseau privée entre le centre de données (IDC) et le VPC établie, vous pouvez établir une connexion IPsec-VPN de type réseau privé entre l'équipement passerelle local et le routeur de transit. Ensuite, utilisez la configuration de routage pour diriger le trafic entre le centre de données (IDC) et le VPC via la connexion IPsec-VPN privée, ce qui permet de chiffrer le trafic réseau privé sur le circuit Express Connect.

Étape 1 : Établir une connexion IPsec-VPN privée

Ajoutez un bloc CIDR de routeur de transit 10.10.10.0/24 au routeur de transit. Pour plus d'informations, consultez la rubrique Ajouter un bloc CIDR à un routeur existant.

Le bloc CIDR du routeur de transit sert à attribuer des adresses IP de passerelle à la connexion IPsec afin d'établir une connexion IPsec-VPN privée. Ce bloc CIDR ne doit pas entrer en conflit avec les blocs CIDR du centre de données (IDC) et du VPC qui doivent participer à la communication réseau.
Créez deux passerelles clientes pour enregistrer les deux adresses IP VPN de l'appareil de passerelle sur site auprès d'Alibaba Cloud.
1. Connectez-vous à la console VPN Gateway.
2. Dans le volet de navigation de gauche, choisissez Interconnections - VPN - Customer Gateways.
3. Sur la page Customer Gateway, cliquez sur Create Customer Gateway.
4. Dans le panneau Create Customer Gateway, configurez les paramètres selon les informations ci-dessous, puis cliquez sur OK.
  
  Cette section répertorie uniquement les éléments de configuration étroitement liés à cette rubrique. Conservez les paramètres par défaut pour les autres éléments. Pour plus d'informations, consultez la rubrique Passerelle cliente.
  - Passerelle cliente 1
    - Name : définissez le nom de la passerelle cliente sur Customer-Gateway1.
    - IP Address : saisissez l'adresse IP VPN 1 de l'appareil de passerelle sur site 192.168.10.136.
  - Passerelle cliente 2
    - Name : définissez le nom de la passerelle cliente sur Customer-Gateway2.
    - IP Address : saisissez l'adresse IP VPN 2 de l'appareil de passerelle sur site 192.168.40.159.

Créez une connexion VPC.

Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.
Sur la page IPsec Connections, cliquez sur Bind CEN.

Sur la page Create IPsec-VPN Connection, configurez la connexion IPsec selon les informations ci-dessous, puis cliquez sur OK.

La section suivante répertorie uniquement les éléments de configuration fortement liés à cette rubrique. Conservez les valeurs par défaut pour les autres éléments. Pour plus d'informations, consultez la rubrique Connexion IPsec-VPN (attachée à un TR).

Élément de configuration	Connexion IPsec
Name	Définissez la valeur sur `IPsec connection`.
Region	Sélectionnez la région où le routeur de transit est déployé. La connexion ipsec-vpn est créée dans la même région que le routeur de transit.
Gateway Type	Sélectionnez Private.
Bind CEN	Sélectionnez Same Account.
CEN Instance ID	Sélectionnez l'instance Cloud Enterprise Network (CEN) créée à l'étape 2. La console affiche l'ID et le bloc CIDR du routeur de transit créé pour l'instance CEN dans la région actuelle. La connexion ipsec-vpn sera attachée à ce routeur de transit.
Routing Mode	Cette rubrique utilise le Destination Routing Mode, et le trafic transmis est ensuite contrôlé par les routes.
Tunnel 1
Customer Gateway	Associez `Customer-Gateway1`.
Pre-Shared Key	`fddsFF111**`. Important** La clé pré-partagée de la connexion IPsec-VPN doit être identique à celle de l'appareil de passerelle homologue. Sinon, la connexion IPsec-VPN ne peut pas être établie.
Encryption Configuration	À l'exception des paramètres suivants, conservez les valeurs par défaut pour les autres éléments de configuration. Pour le DH Group (Perfect Forward Secrecy) des IKE Configurations, sélectionnez group14. Pour le DH Group (Perfect Forward Secrecy) des IPsec Configurations, sélectionnez group14. Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle sur site afin de garantir que les configurations de chiffrement de la connexion IPsec sont identiques à celles de l'appareil de passerelle sur site.
Tunnel 2
Customer Gateway	Associez `Customer-Gateway2`.
Pre-Shared Key	`fddsFF222****`.
Encryption Configuration	Conservez les valeurs par défaut pour les éléments de configuration autres que ceux décrits dans le tableau suivant. Définissez le DH Group (Perfect Forward Secrecy) des IKE Configurations sur group14. Définissez le DH Group (Perfect Forward Secrecy) des IPsec Configurations sur group14. Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle sur site afin de garantir que les configurations de chiffrement de la connexion IPsec sont identiques à celles de l'appareil de passerelle sur site.
Advanced Settings	Utilisez la configuration de route par défaut, c'est-à-dire activez toutes les options de configuration avancées.

Une fois la connexion IPsec créée, vous pouvez consulter les adresses IP de passerelle de la connexion IPsec sur la page des détails de la connexion. La connexion IPsec utilise ces deux adresses IP de passerelle pour établir une connexion IPsec-VPN privée avec l'appareil de passerelle sur site. Après la création de la connexion IPsec, cliquez sur l'onglet Tunnel de la page des détails de la connexion IPsec pour afficher les adresses IP de passerelle des deux tunnels : l'adresse IP de passerelle du tunnel 1 est 10.10.10.49 et l'adresse IP de passerelle du tunnel 2 est 10.10.10.50. L'état de connexion des deux tunnels est Phase 2 negotiation succeeded et le statut est Normal.

Revenez à la page IPsec-VPN connection, recherchez la connexion IPsec créée, puis cliquez sur Generate Peer Configuration dans la colonne Actions.

La configuration homologue correspond à la configuration VPN que vous devez ajouter à l'homologue de la connexion IPsec. Dans le scénario décrit dans cette rubrique, vous devez ajouter ces configurations à l'appareil de passerelle sur site.
Dans la boîte de dialogue IPsec-VPN Connection Configuration, copiez la configuration et enregistrez-la localement pour configurer ultérieurement l'appareil de passerelle sur site.

Configurez l'appareil de passerelle cliente.

Après avoir créé la connexion IPsec, vous devez ajouter la configuration VPN à l'appareil de passerelle sur site afin d'établir une connexion IPsec-VPN privée entre l'appareil de passerelle sur site et Alibaba Cloud.

Cliquez pour afficher la configuration de l'appareil de passerelle sur site.

Connectez-vous à la fenêtre de ligne de commande du pare-feu Cisco et passez en mode de configuration.

ciscoasa> enable
Password: ********             #Enter the password for enable mode.
ciscoasa# configure terminal   #Enter configuration mode.
ciscoasa(config)#

Affichez la configuration de l'interface et la configuration des routes.

La configuration de l'interface est terminée sur le pare-feu Cisco et les interfaces sont activées. Voici un exemple de configuration d'interface utilisé dans cette rubrique.

ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/3               #The interface that connects to private IPsec-VPN tunnel 1.
 nameif VPN-IP1                            #The name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0   #The private IP address configured for the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4               #The interface that connects to private IPsec-VPN tunnel 2.
 nameif VPN-IP2                            #The name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0  #The private IP address configured for the GigabitEthernet0/4 interface.
!
#Configure a route to the transit router CIDR block (gateway IP address of the IPsec connection) to establish a private IPsec-VPN connection.
route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of tunnel 1 on the Alibaba Cloud side.
route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of tunnel 2 on the Alibaba Cloud side.

Activez IKEv2 pour l'interface.

crypto ikev2 enable VPN-IP1
crypto ikev2 enable VPN-IP2

Créez une stratégie IKEv2 et spécifiez l'algorithme d'authentification, l'algorithme de chiffrement, le groupe DH et la durée de vie de l'association de sécurité (SA) pour la phase IKE. Ces paramètres doivent être cohérents avec ceux du côté d'Alibaba Cloud.

Important
Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group lors de la phase IKE Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.
```
crypto ikev2 policy 10     
 encryption aes             #Specify the encryption algorithm.
 integrity sha              #Specify the authentication algorithm.
 group 14                   #Specify the DH group.
 prf sha                    #The prf value must be the same as the integrity value. On the Alibaba Cloud side, prf defaults to the same value as the authentication algorithm.
 lifetime seconds 86400     #Specify the SA lifetime.
```

Créez une proposition et un profil IPsec. Spécifiez l'algorithme de chiffrement, l'algorithme d'authentification, le groupe DH et la durée de vie de l'association de sécurité (SA) pour la phase IPsec. Ces paramètres doivent correspondre à la configuration d'Alibaba Cloud.

Important

Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group lors de la phase IPsec Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.

crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Create an IPsec proposal.
 protocol esp encryption aes                         #Specify the encryption algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
 protocol esp integrity sha-1                        #Specify the authentication algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Create an IPsec profile and apply the created proposal. 
 set ikev2 local-identity address                    #Set the local ID format to IP address to match the RemoteId format on the Alibaba Cloud side.
 set pfs group14                                     #Specify PFS and the DH group.
 set security-association lifetime seconds 86400     #Specify the time-based SA lifetime.
 set security-association lifetime kilobytes unlimited #Disable the traffic-based SA lifetime.

Créez un groupe de tunnels et spécifiez la clé pré-partagée du tunnel, qui doit être identique à celle du côté d'Alibaba Cloud.

tunnel-group 10.10.10.49 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 1.
tunnel-group 10.10.10.49 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF111****  #Specify the pre-shared key of the peer of tunnel 1, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF111****   #Specify the pre-shared key of the local end of tunnel 1, which must be consistent with that on the Alibaba Cloud side.
!
tunnel-group 10.10.10.50 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 2.
tunnel-group 10.10.10.50 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF222****  #Specify the pre-shared key of the peer of tunnel 2, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF222****   #Specify the pre-shared key of the local end of tunnel 2, which must be consistent with that on the Alibaba Cloud side.
!

Créez une interface de tunnel.

interface Tunnel1                                  #Create the interface for tunnel 1.
 nameif ALIYUN1
 ip address 169.254.10.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP1                   #Specify the source address of tunnel 1 as interface GigabitEthernet0/3.
 tunnel destination 10.10.10.49                    #Specify the destination address of tunnel 1 as the private IP address of tunnel 1 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 1 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 1 interface.
!
interface Tunnel2                                  #Create the interface for tunnel 2.
 nameif ALIYUN2                
 ip address 169.254.20.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP2                   #Specify the source address of tunnel 2 as interface GigabitEthernet0/4.
 tunnel destination 10.10.10.50                    #Specify the destination address of tunnel 2 as the private IP address of tunnel 2 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 2 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 2 interface.
!

Une fois la configuration ci-dessus terminée, le centre de données (IDC) peut établir avec succès une connexion IPsec-VPN privée avec Alibaba Cloud. Vous pouvez consulter l'état de la connexion IPsec-VPN privée sur la page des détails de l'instance de connexion IPsec dans Alibaba Cloud. Si la connexion IPsec-VPN privée n'est pas établie avec succès dans votre environnement, essayez de résoudre le problème par vous-même. Pour plus d'informations, consultez la rubrique Diagnostic autonome. Une fois la configuration terminée, vous pouvez consulter l'état de connexion des deux tunnels dans l'onglet Tunnel de la passerelle VPN. Le tunnel 1 (adresse IP de passerelle 10.10.10.49) et le tunnel 2 (adresse IP de passerelle 10.10.10.50) affichent tous deux Phase 2 negotiation succeeded et le statut est Normal, ce qui indique que la connexion IPsec-VPN privée est établie avec succès.

Étape 2 : Configurer les routes

Une fois la connexion IPsec-VPN privée créée, le trafic entre le centre de données (IDC) et le VPC transite toujours par le circuit Express Connect et n'est pas chiffré. Vous devez ajouter les routes appropriées afin que le trafic entre le centre de données (IDC) et le VPC transite par la connexion IPsec-VPN privée.

Modifiez la configuration des routes sur l'appareil de passerelle sur site.

#Configure a route to the VPC so that traffic is transmitted over the private IPsec-VPN connection
route ALIYUN1 172.16.0.0 255.255.0.0 10.10.10.49 4        
route ALIYUN2 172.16.0.0 255.255.0.0 10.10.10.50 5 
#Modify the priority of the static route pointing to the Express Connect circuit so that its priority is lower than that of the static route pointing to the private IPsec-VPN connection.
route VBR 172.16.0.0 255.255.0.0 10.0.0.2  10

Important

Dans ce scénario, le trafic du centre de données (IDC) vers le VPC transite prioritairement par le tunnel 1. Lorsque le tunnel 1 est interrompu, le trafic transite automatiquement par le tunnel 2. Le trafic du VPC vers le centre de données (IDC) transite aléatoirement par les deux tunnels.

Ajoutez une entrée de route pour le centre de données (IDC) à la connexion IPsec.

Connectez-vous à la console VPN Gateway.
Dans le volet de navigation de gauche, choisissez Interconnections - VPN - IPsec Connections.
Dans la barre d'état supérieure, sélectionnez la région China (Hangzhou).
Sur la page IPsec Connections, recherchez l'instance de connexion IPsec cible et cliquez sur l'ID de l'instance de connexion IPsec.
Dans l'onglet Destination-based Route Table, cliquez sur Add Route Entry.

Dans le panneau Add Route Entry, configurez la route de destination selon les informations ci-dessous, puis cliquez sur OK.

Important

Lorsque vous ajoutez une route vers le centre de données (IDC), assurez-vous que le bloc CIDR de destination est plus spécifique que le bloc CIDR ajouté à l'instance VBR, afin que la route vers le centre de données (IDC) apprise par le routeur de transit via la connexion IPsec-VPN privée soit privilégiée.

Élément de configuration	Bloc CIDR 1	Bloc CIDR 2	Bloc CIDR 3
Destination CIDR Block	Saisissez `192.168.10.0/24`.	Saisissez `192.168.20.0/24`.	Saisissez `192.168.40.0/24`.
Next Hop Type	Sélectionnez IPsec-VPN connection.
Next Hop	Sélectionnez la connexion IPsec que vous avez créée.

Ajoutez une entrée de route personnalisée pour le routeur de transit.

Une fois la configuration de route précédente terminée, la connexion IPsec-VPN privée est interrompue. Vous devez ajouter une route spécifique destinée à l'adresse IP VPN de l'appareil de passerelle sur site à la table de routage du routeur de transit, avec le saut suivant pointant vers l'instance VBR, afin de rétablir la connexion IPsec-VPN privée.

Restez dans l'onglet Route Table, cliquez sur l'onglet Route, puis cliquez sur Create Route.

Dans la boîte de dialogue Add Route Entry, configurez les informations de l'entrée de route, puis cliquez sur OK.

Paramètre	Bloc CIDR 1	CIDR block 2
Destination CIDR	Saisissez l'adresse IP VPN 1 de l'appareil de passerelle sur site `192.168.10.136/32`.	Saisissez l'adresse IP VPN 2 de l'appareil de passerelle sur site `192.168.40.159/32`.
Blackhole Route?	Sélectionnez No.
Next Hop Connection	Sélectionnez VBR-Attachment.

Étape 3 : Vérifier l'effet du chiffrement

Une fois les configurations précédentes terminées, si vous pouvez consulter les données de surveillance de la transmission du trafic sur la page des détails de la connexion IPsec, cela signifie que le trafic du réseau privé sur le circuit Express Connect est chiffré.

Connectez-vous à l'instance ECS1 dans le VPC. Exécutez la commande ping pour accéder en continu à n'importe quel client dans le bloc CIDR de l'IDC sur site.
```
ping <IP address of a client in the data center> -s 1000 -c 10000
```
- -s 1000 : spécifie l'envoi de paquets de 1 000 octets.
- -c 10000 : envoie continuellement 10 000 paquets de requête.
Connectez-vous à la console VPN Gateway.
Dans la barre de navigation supérieure, sélectionnez la région China (Hangzhou).
Dans le volet de navigation de gauche, choisissez Interconnections - VPN - IPsec Connections.
Sur la page IPsec-VPN connection, recherchez la connexion IPsec créée et cliquez sur l'ID de la connexion IPsec.

Consultez les données de surveillance de la transmission du trafic sur la page des détails de la connexion IPsec.