VPN Gateway:Connect an Alibaba Cloud VPC to an AWS VPC

Blocs CIDR des VPC

Planification des blocs CIDR BGP

Ignorez cette section si vous prévoyez d'utiliser uniquement le routage statique.

Les deux tunnels côté Alibaba Cloud doivent utiliser le même Local ASN . Les ASN BGP pairs pour les deux tunnels peuvent différer, mais il est recommandé d'utiliser le même ASN BGP pair pour les deux.

Chaque bloc CIDR de tunnel BGP doit être unique au sein d'une instance de passerelle VPN.

Créer des passerelles clientes

1. Connectez-vous à la console VPN Gateway.

2. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > Customer Gateways.

3. Dans la barre de navigation supérieure, sélectionnez Germany (Frankfurt). La passerelle cliente et la passerelle VPN doivent se trouver dans la même région.

4. Sur la page Customer Gateways, cliquez sur Create Customer Gateway.

5. Dans le panneau Create Customer Gateway, configurez les paramètres suivants et cliquez sur OK. Créez deux passerelles clientes en utilisant les adresses externes du Tunnel 1 de chaque connexion VPN site-à-site AWS. Pour les paramètres non répertoriés ici, conservez les valeurs par défaut. Consultez Passerelles clientes.

   Important

   Utilisez uniquement l'adresse externe du Tunnel 1 de chaque connexion VPN site-à-site AWS. L'adresse externe du Tunnel 2 n'est pas utilisée. Après la création de la connexion IPsec-VPN, le Tunnel 2 de chaque connexion VPN site-à-site AWS reste déconnecté par défaut.

   Paramètre	Description	Passerelle cliente 1	Passerelle cliente 2
   Name	Nom de la passerelle cliente.	Customer Gateway 1	Customer Gateway 2
   IP Address	Adresse externe du tunnel AWS.	3.XX.XX.52	3.XX.XX.56
   ASN	ASN BGP de la passerelle virtuelle privée AWS. Requis pour le routage dynamique BGP.	64512	64512

Créer une connexion IPsec-VPN

1. Dans le volet de navigation de gauche, choisissez Interconnections > VPN > IPsec Connections.

2. Sur la page IPsec Connections, cliquez sur Bind VPN Gateway.

3. Sur la page Create IPsec-VPN Connection, configurez les paramètres suivants et cliquez sur OK.

   Paramètre	Description	Valeur d'exemple
   IPsec-VPN Connection Name	Nom de la connexion IPsec-VPN.	IPsec-VPN connection
   Region	Région où la passerelle VPN est déployée.	Germany (Frankfurt)
   Attach a VPN Gateway	Instance de passerelle VPN à associer à la connexion IPsec-VPN.	VPN Gateway (créée à l'étape 1)
   Routing Mode	Méthode de routage du trafic via le tunnel. Destination-based Routing route par adresse IP de destination. Traffic Of Interest Pattern route par paire d'adresses IP source et destination.	Routage statique : sélectionnez Traffic Of Interest Pattern (recommandé). Définissez Local Network sur 10.0.0.0/16 et Remote Network sur 192.168.0.0/16. Routage dynamique BGP : sélectionnez Destination-based Routing (recommandé).
   Effective Immediately	Indique s'il faut démarrer la négociation IKE immédiatement après la configuration. Yes : la négociation démarre immédiatement. No : la négociation est déclenchée par le trafic.	Yes
   Enable BGP	Indique s'il faut utiliser le routage dynamique BGP. Désactivé par défaut. Pour utiliser BGP, activez-le après la création de la connexion et ajoutez les configurations BGP séparément.	Disabled (routage statique). Activez après la création pour BGP.
   Tunnel 1 – Customer Gateway	Passerelle cliente pour le tunnel actif.	Customer Gateway 1
   Tunnel 1 – Pre-Shared Key	Clé d'authentification pour le tunnel actif. 1 à 100 caractères : chiffres, lettres et caractères spéciaux ` ~!@#$%^&*()_-+={}[]	;:',.<>/?``. Doit correspondre à la clé configurée sur le tunnel AWS connecté.	Identique à la clé pré-partagée du tunnel AWS
   Tunnel 1 – Encryption Configurations	Paramètres IKE, IPsec, DPD et traversée NAT.	Sous IKE Configurations, définissez SA Life Cycle (seconds) sur 28800. Sous IPsec Configurations, définissez SA Life Cycle (seconds) sur 3600. Conservez toutes les autres valeurs par défaut. Consultez Configurer les connexions IPsec-VPN.
   Tunnel 2 – Customer Gateway	Passerelle cliente pour le tunnel de secours.	Customer Gateway 2
   Tunnel 2 – Pre-Shared Key	Clé d'authentification pour le tunnel de secours. Doit correspondre à la clé du tunnel AWS connecté.	Identique à la clé pré-partagée du tunnel AWS
   Tunnel 2 – Encryption Configurations	Paramètres IKE, IPsec, DPD et traversée NAT.	Identique au Tunnel 1 : cycle de vie SA IKE 28800 s, cycle de vie SA IPsec 3600 s.

4. Dans le message Created, cliquez sur Cancel.

Configurer les routes de la passerelle VPN

Vérifier le statut de la connexion VPN

Avant d'effectuer des tests de bout en bout, confirmez que la connexion IPsec-VPN est établie :

1. Dans la console VPN Gateway, accédez à Actions > Enable Automatic BGP Propagation > Enable Automatic BGP Propagation.

2. Trouvez la connexion IPsec-VPN que vous avez créée. Confirmez que le statut du tunnel indique Connected.

Si le statut n'est pas Connected, vérifiez :

• Que les clés pré-partagées correspondent des deux côtés.

• Que les valeurs du cycle de vie SA IKE et du cycle de vie SA IPsec correspondent des deux côtés (respectivement 28 800 s et 3 600 s).

• Que les règles de groupe de sécurité et les listes de contrôle d'accès réseau (ACL) des côtés Alibaba Cloud et AWS autorisent le trafic entre les deux blocs CIDR de VPC.

Tester la connectivité de bout en bout

Avant le test, vérifiez que les ACL réseau et les règles de groupe de sécurité des deux plateformes autorisent le trafic entre les deux VPC.

1. Connectez-vous à une instance ECS dans le VPC Alibaba Cloud. Consultez Sélectionner une méthode de connexion à distance pour une instance ECS.

2. Exécutez ping pour atteindre l'instance EC2 AWS :

   ping <private IP address of the AWS EC2 instance>

   Si l'instance ECS reçoit des réponses, les deux VPC peuvent communiquer.

   [root@iZgw8cpobl xxx Z ~]# ping 192.168.10.113
   PING 192.168.10.113 (192.168.10.113) 56(84) bytes of data.
   64 bytes from 192.168.10.113: icmp_seq=1 ttl=126 time=5.12 ms
   64 bytes from 192.168.10.113: icmp_seq=2 ttl=126 time=5.64 ms
   64 bytes from 192.168.10.113: icmp_seq=3 ttl=126 time=4.97 ms
   64 bytes from 192.168.10.113: icmp_seq=4 ttl=126 time=5.08 ms
   ^Z
   [1]+  Stopped                 ping 192.168.10.113
   [root@iZgw8cp xxx kZ ~]#

Tester le basculement haute disponibilité

Une connexion IPsec-VPN à double tunnel offre un basculement automatique : si le tunnel actif tombe en panne, le trafic bascule vers le tunnel de secours.

1. Restez connecté à l'instance ECS et exécutez un ping continu :

   ping <private IP address of the AWS EC2 instance> -c 10000

2. Interrompez le tunnel actif en modifiant sa clé pré-partagée côté Alibaba Cloud. Une incompatibilité de clé entraîne la rupture du tunnel.

3. Surveillez la sortie du ping. Après une brève interruption, le trafic reprend automatiquement via le tunnel de secours.

Pour surveiller le trafic du tunnel, accédez à l'onglet OK de la connexion IPsec-VPN dans la console Alibaba Cloud. Consultez Surveiller une connexion IPsec-VPN.