VPN Gateway:Combiner le routage statique et BGP pour chiffrer le trafic sur une connexion physique

Étape 1 : Connectez le centre de données à un VPC

Étape 2 : Chiffrer le trafic du réseau privé

Une fois la connexion privée entre le centre de données et le VPC établie, créez une connexion IPsec-VPN privée entre votre passerelle cliente et le routeur de transit. Configurez ensuite les routes pour acheminer le trafic via la connexion IPsec-VPN afin de chiffrer le trafic du réseau privé.

Étape 2a : Créer une connexion IPsec-VPN privée

1. Ajoutez un bloc CIDR de routeur de transit 10.10.10.0/24 au routeur de transit. Pour plus d'informations, consultez Ajouter un bloc CIDR à un routeur existant.

   Le bloc CIDR du routeur de transit sert à attribuer des adresses IP de passerelle à la connexion IPsec, permettant ainsi l'établissement d'une connexion IPsec-VPN privée. Ce bloc CIDR ne doit pas entrer en conflit avec les blocs CIDR du centre de données (IDC) et du VPC qui participent à la communication réseau.

2. Créez deux passerelles clientes pour enregistrer les adresses IP VPN et le numéro ASN BGP de votre appareil de passerelle cliente auprès d'Alibaba Cloud.

   1. Connectez-vous à la console VPN gateway.

   2. Dans le volet de navigation de gauche, sélectionnez Interconnections - VPN - Customer Gateways.

   3. Sur la page Customer Gateway, cliquez sur Create Customer Gateway.

   4. Dans le panneau Create Customer Gateway, configurez les paramètres suivants, puis cliquez sur OK.

      Seuls les paramètres étroitement liés à cette rubrique sont décrits ci-dessous. Conservez les valeurs par défaut pour les autres paramètres. Pour plus d'informations, consultez Passerelle cliente.

      • Passerelle cliente 1

        • Name : définissez le nom de la passerelle cliente sur Customer-Gateway1.

        • IP Address : saisissez l'adresse IP VPN 1 de l'appareil de passerelle local 192.168.10.136.

        • ASN : saisissez le numéro AS BGP de l'appareil de passerelle local 65530.

      • Passerelle cliente 2

        • Name : définissez le nom de la passerelle cliente sur Customer-Gateway2.

        • IP Address : saisissez l'adresse IP VPN 2 de l'appareil de passerelle local 192.168.40.159.

        • ASN : saisissez le numéro AS BGP de l'appareil de passerelle local 65530.

3. Créez une connexion VPC.

   1. Dans le volet de navigation de gauche, sélectionnez Interconnections > VPN > IPsec Connections.

   2. Sur la page IPsec Connections, cliquez sur Bind CEN.

   3. Sur la page Create IPsec-VPN Connection, configurez la connexion IPsec selon les informations suivantes, puis cliquez sur OK.

      Le contenu suivant répertorie uniquement les éléments de configuration étroitement liés à cette rubrique. Les autres éléments conservent leurs paramètres par défaut. Pour plus d'informations, consultez Connexion IPsec-VPN (jointe à un TR).

      Paramètre	Connexion IPsec
      Name	Définissez sur IPsec-Connection.
      Region	Sélectionnez la région où le routeur de transit est déployé. La connexion ipsec-vpn est créée dans la même région que le routeur de transit.
      Gateway Type	Sélectionnez Private.
      Bind CEN	Sélectionnez Same Account.
      CEN Instance ID	Sélectionnez l'instance Cloud Enterprise Network (CEN) que vous avez créée. La console affiche l'ID et le bloc CIDR du routeur de transit créé pour l'instance CEN dans la région actuelle. La connexion ipsec-vpn sera jointe à ce routeur de transit.
      Routing Mode	Cette rubrique utilise le Destination Routing Mode, et le trafic transmis est ensuite contrôlé par les routes.
      Enable BGP	Activez la fonctionnalité BGP.
      Local ASN	Saisissez le numéro AS BGP de la connexion IPsec 65534.
      Tunnel 1
      Customer Gateway	Associez Customer-Gateway1.
      Pre-Shared Key	fddsFF111****. Important La clé pré-partagée de la connexion IPsec-VPN doit être identique à celle de l'appareil de passerelle homologue. Sinon, la connexion IPsec-VPN ne peut pas être établie.
      Encryption Configuration	Conservez les valeurs par défaut pour tous les autres éléments de configuration, à l'exception des paramètres suivants. Sélectionnez group14 pour le DH Group (Perfect Forward Secrecy) des IKE Settings. Sélectionnez group14 pour le DH Group (Perfect Forward Secrecy) des IPsec Settings. Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle local afin de garantir que les configurations de chiffrement de la connexion IPsec soient identiques à celles de l'appareil de passerelle local.
      BGP Configuration	Tunnel CIDR Block : saisissez 169.254.10.0/30. Local BGP IP address : saisissez 169.254.10.1.
      Tunnel 2
      Customer Gateway	Associez Customer-Gateway2.
      Pre-Shared Key	fddsFF222****.
      Encryption Configuration	Conservez les valeurs par défaut pour tous les autres éléments de configuration, à l'exception des paramètres suivants. Pour le DH Group (Perfect Forward Secrecy) des IKE Settings, sélectionnez group14. Pour le DH Group (Perfect Forward Secrecy) des IPsec Settings, sélectionnez group14. Remarque Vous devez sélectionner les paramètres de chiffrement en fonction de l'appareil de passerelle local afin de garantir que les configurations de chiffrement de la connexion IPsec soient identiques à celles de l'appareil de passerelle local.
      BGP Configuration	Tunnel CIDR Block : saisissez 169.254.20.0/30. Local BGP IP address : saisissez 169.254.20.1.
      Advanced Configuration (including route table association and route forwarding)	Utilisez la configuration de route par défaut, c'est-à-dire activez toutes les options de configuration avancée.

      Une fois la connexion IPsec créée, vous pouvez consulter les adresses IP de passerelle de la connexion IPsec sur la page des détails de la connexion. La connexion IPsec utilise ces deux adresses IP de passerelle pour établir une connexion IPsec-VPN privée avec l'appareil de passerelle local.

4. Revenez à la page IPsec-VPN connection, recherchez la connexion IPsec créée, puis cliquez sur Generate Peer Configuration dans la colonne Actions.

   La configuration homologue correspond aux paramètres VPN que vous devez ajouter à l'homologue de la connexion IPsec. Dans le scénario décrit dans cette rubrique, vous devez ajouter ces configurations à l'appareil de passerelle local.

5. Dans la boîte de dialogue IPsec-VPN Connection Configuration, copiez la configuration et enregistrez-la localement pour configurer ultérieurement l'appareil de passerelle local.

6. Configurez l'appareil de passerelle cliente.

   Après avoir créé la connexion IPsec-VPN, ajoutez la configuration VPN à votre appareil de passerelle cliente pour établir une connexion IPsec-VPN privée avec Alibaba Cloud.

   Configuration de la passerelle cliente

   1. Connectez-vous à la fenêtre de ligne de commande du pare-feu Cisco et passez en mode de configuration.

      ciscoasa> enable
      Password: ********             #Enter the password for enable mode.
      ciscoasa# configure terminal   #Enter configuration mode.
      ciscoasa(config)#     

   2. Consultez les configurations d'interface et de routage.

      Les interfaces du pare-feu Cisco ont été configurées et activées. Voici la configuration d'interface pour cette rubrique.

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3               #Interface for private IPsec-VPN tunnel 1.
       nameif VPN-IP1                            #Name of the GigabitEthernet0/3 interface.
       security-level 0
       ip address 192.168.10.136 255.255.255.0   #Private IP address of the GigabitEthernet0/3 interface.
      !
      interface GigabitEthernet0/4               #Interface for private IPsec-VPN tunnel 2.
       nameif VPN-IP2                            #Name of the GigabitEthernet0/4 interface.
       security-level 0
       ip address 192.168.40.159  255.255.255.0  #Private IP address of the GigabitEthernet0/4 interface.
      !
      
      #Configure routes to the gateway IP addresses of the IPsec connection to establish the private IPsec-VPN connection.
      route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of Tunnel 1 on the Alibaba Cloud side.
      route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of Tunnel 2 on the Alibaba Cloud side.

   3. Activez IKEv2 pour l'interface.

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. Créez une politique IKEv2 et spécifiez l'algorithme d'authentification, l'algorithme de chiffrement, le groupe DH et la durée de vie SA pour la phase IKE. Ces paramètres doivent être cohérents avec ceux du côté d'Alibaba Cloud.

      Important

      Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group dans la phase IKE Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.

      crypto ikev2 policy 10     
       encryption aes             #Specify the encryption algorithm.
       integrity sha              #Specify the authentication algorithm.
       group 14                   #Specify the DH group.
       prf sha                    #The prf value must be the same as the integrity value. On the Alibaba Cloud side, prf defaults to the same value as the authentication algorithm.
       lifetime seconds 86400     #Specify the SA lifetime.

   5. Créez une proposition et un profil IPsec. Spécifiez l'algorithme de chiffrement, l'algorithme d'authentification, le groupe DH et la durée de vie SA pour la phase IPsec. Ces paramètres doivent correspondre à la configuration d'Alibaba Cloud.

      Important

      Sur Alibaba Cloud, vous ne pouvez spécifier qu'une seule valeur pour les paramètres Encryption Algorithm, Authentication Algorithm et DH Group dans la phase IPsec Configurations. Nous vous recommandons de procéder de même sur votre pare-feu Cisco et de vous assurer que les valeurs correspondent à la configuration d'Alibaba Cloud.

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Create an IPsec proposal.
       protocol esp encryption aes                         #Specify the encryption algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
       protocol esp integrity sha-1                        #Specify the authentication algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Create an IPsec profile and apply the created proposal. 
       set ikev2 local-identity address                    #Set the local ID format to IP address to match the RemoteId format on the Alibaba Cloud side.
       set pfs group14                                     #Specify PFS and the DH group.
       set security-association lifetime seconds 86400     #Specify the time-based SA lifetime.
       set security-association lifetime kilobytes unlimited #Disable the traffic-based SA lifetime.

   6. Créez un groupe de tunnels et spécifiez la clé pré-partagée du tunnel, qui doit être identique à celle du côté d'Alibaba Cloud.

      tunnel-group 10.10.10.49 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 1.
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  #Specify the pre-shared key of the peer of tunnel 1, that is, the pre-shared key on the Alibaba Cloud side.
       ikev2 local-authentication pre-shared-key fddsFF111****   #Specify the pre-shared key of the local end of tunnel 1, which must be consistent with that on the Alibaba Cloud side.
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 2.
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  #Specify the pre-shared key of the peer of tunnel 2, that is, the pre-shared key on the Alibaba Cloud side.
       ikev2 local-authentication pre-shared-key fddsFF222****   #Specify the pre-shared key of the local end of tunnel 2, which must be consistent with that on the Alibaba Cloud side.
      !

   7. Créez une interface de tunnel.

      interface Tunnel1                                  #Create the interface for tunnel 1.
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #Specify the IP address of the interface.
       tunnel source interface VPN-IP1                   #Specify the source address of tunnel 1 as interface GigabitEthernet0/3.
       tunnel destination 10.10.10.49                    #Specify the destination address of tunnel 1 as the private IP address of tunnel 1 on the Alibaba Cloud side.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 1 uses the ipsec profile ALIYUN-PROFILE.
       no shutdown                                       #Enable the tunnel 1 interface.
      !
      interface Tunnel2                                  #Create the interface for tunnel 2.
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           #Specify the IP address of the interface.
       tunnel source interface VPN-IP2                   #Specify the source address of tunnel 2 as interface GigabitEthernet0/4.
       tunnel destination 10.10.10.50                    #Specify the destination address of tunnel 2 as the private IP address of tunnel 2 on the Alibaba Cloud side.
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 2 uses the ipsec profile ALIYUN-PROFILE.
       no shutdown                                       #Enable the tunnel 2 interface.
      !

   Une fois ces configurations terminées, votre appareil de passerelle cliente établit une connexion IPsec-VPN privée avec Alibaba Cloud, mais l'appairage BGP n'est pas encore établi. Vous pouvez vérifier l'état sur la page des détails de la connexion IPsec dans la console Alibaba Cloud. En cas d'échec de la connexion, consultez Diagnostics en libre-service.

Étape 2b : Configurer le routage

Après avoir créé la connexion IPsec-VPN privée, le trafic entre le centre de données et le VPC circule toujours sur la connexion physique non chiffrée. Configurez les routes pour acheminer le trafic via la connexion IPsec-VPN chiffrée.

1. Ajoutez des configurations BGP à votre appareil de passerelle cliente pour établir une relation d'appairage BGP avec la connexion IPsec. Cela permet au centre de données local et au VPC d'apprendre automatiquement les routes de l'autre via le routage dynamique BGP.

   #Add BGP configurations to establish BGP peering between the customer gateway device and the IPsec connection.
   router bgp 65530
    address-family ipv4 unicast
     neighbor 169.254.10.1 remote-as 65534       #Specify the BGP peer, which is the IP address of Tunnel 1 on the Alibaba Cloud side.
     neighbor 169.254.10.1 activate              #Activate the BGP peer.
     neighbor 169.254.20.1 remote-as 65534       #Specify the BGP peer, which is the IP address of Tunnel 2 on the Alibaba Cloud side.
     neighbor 169.254.20.1 activate              #Activate the BGP peer.
     network 192.168.10.0 mask 255.255.255.0     #Advertise a CIDR block of the on-premises data center. This CIDR block must be more specific than the CIDR block that is added to the VBR instance.
     network 192.168.20.0 mask 255.255.255.0
     network 192.168.40.0 mask 255.255.255.0 
     maximum-paths 5                             #Increase the number of BGP ECMP equal-cost routes.
    exit-address-family
    
   #Change the administrative distance of the static route to the Alibaba Cloud VPC (172.16.0.0/16) to a value higher than the BGP route's administrative distance. A higher administrative distance indicates a lower priority. The default administrative distance for eBGP is 20.
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2 30

2. Ajoutez une entrée de route personnalisée pour le routeur de transit.

   Une fois la configuration de routage précédente terminée, la connexion IPsec-VPN privée est interrompue. Vous devez ajouter une route spécifique destinée à l'adresse IP VPN de l'appareil de passerelle local à la table de routage du routeur de transit, avec le saut suivant pointant vers l'instance VBR, afin de rétablir la connexion IPsec-VPN privée.

   1. Restez sur l'onglet Route Table, cliquez sur l'onglet Route, puis cliquez sur Create Route.

   2. Dans la boîte de dialogue Add Route Entry, configurez les informations de l'entrée de route, puis cliquez sur OK.

      Paramètre	Bloc CIDR 1	CIDR block 2
      Destination CIDR	Saisissez l'adresse IP VPN 1 de l'appareil de passerelle local 192.168.10.136/32.	Saisissez l'adresse IP VPN 2 de l'appareil de passerelle local 192.168.40.159/32.
      Blackhole Route?	Sélectionnez No.
      Next Hop Connection	Sélectionnez VBR-Attachment.

3. Ajoutez une politique de routage à la table de routage du routeur de transit pour empêcher la connexion IPsec-VPN privée d'annoncer les routes d'adresse IP VPN au centre de données, ce qui créerait une boucle de routage.

   1. Connectez-vous à la console Cloud Enterprise Network.

   2. Sur la page CEN Instance, recherchez l'instance CEN que vous avez créée et cliquez sur l'ID de l'instance.

   3. Sur la page des détails de l'instance, cliquez sur l'ID du routeur de transit pour la région China (Hangzhou).

   4. Sur la page des détails du routeur de transit, cliquez sur l'onglet Forwarding router routing table, puis cliquez sur Routing Policy.

   5. Sur l'onglet Routing Policy, cliquez sur Add Route Map. Configurez la politique de routage et cliquez sur OK.

      Cette rubrique décrit uniquement les paramètres pertinents pour ce scénario. Pour les autres paramètres, utilisez les valeurs par défaut. Consultez Politiques de routage.

      • <!--@uicontrol {"id":"1160e6bbb99uj","data-isbold="true"}-->Policy priority : dans cette rubrique, saisissez 40.

      • <!--@uicontrol {"id":"b5cf813dacxhb","data-isbold="true"}-->Associate routing tables : conservez la valeur par défaut.

      • Effective Direction : sélectionnez <!--@uicontrol {"id":"cb4d3ff357pm9","data-isbold="true"}-->Outbound Gateway.

      • <!--@uicontrol {"id":"23fdafa281gk1","data-status":"unpublished","data-isbold="true"}-->Match Condition :

        • <!--@uicontrol {"id":"e156d0071cs27","data-status":"unpublished","data-isbold="true"}-->Destination Instance IDs : l'ID de l'instance de connexion IPsec.

        • Policy priority et saisissez 192.168.10.136/32 et 192.168.40.159/32 pour l'adresse IP VPN de l'appareil de passerelle local.

      • Associate routing tables.

Étape 3 : Vérifier l'effet du chiffrement

Une fois les configurations précédentes effectuées, si vous pouvez consulter les données de surveillance de la transmission du trafic sur la page de détails de la connexion IPsec, cela signifie que le trafic du réseau privé transitant par le circuit Express Connect est chiffré.

1. Connectez-vous à l'instance ECS1 dans le VPC. Exécutez la commande ping pour accéder en continu à n'importe quel client situé dans le bloc CIDR du centre de données local.

   ping <IP address of a client in the data center> -s 1000 -c 10000

   • -s 1000 : spécifie l'envoi de paquets de 1 000 octets.

   • -c 10000 : envoie continuellement 10 000 paquets de requête.

2. Connectez-vous à la console VPN Gateway.

3. Dans la barre de navigation supérieure, sélectionnez la région China (Hangzhou).

4. Dans le volet de navigation de gauche, choisissez Outbound Gateway - VPN - Match Condition.

5. Sur la page Destination Instance IDs, localisez la connexion IPsec créée et cliquez sur son ID.

   Consultez les données de surveillance de la transmission du trafic sur la page de détails de la connexion IPsec.