VPN Gateway:IPsec-VPN connection (attached to a TR)

Console

Accédez à la page IPsec Connections dans la console vpn gateway, cliquez sur Bind CEN, puis configurez les paramètres suivants :

• Name : Adoptez une convention de nommage cohérente et lisible, telle que {project}-{env}-{type}.

• Region : Sélectionnez la région où le transit router de destination est déployé.

• Gateway Type :

  • Public (par défaut) : La connexion IPsec-VPN est établie via Internet.

  • Private : La connexion IPsec-VPN est établie via un réseau privé pour chiffrer le trafic privé. Pour plus d'informations sur les cas d'utilisation, consultez Chiffrer le trafic Express Connect.

• Tunnel Bandwidth :

  La fonctionnalité de bande passante de 3 Gbps est en avant-première sur invitation uniquement. Pour utiliser cette fonctionnalité, contactez votre gestionnaire de compte.

  • Standard : Bande passante de 1 Gbps par tunnel.

  • Large : Bande passante de 3 Gbps par tunnel.

• Bind CEN :

  • Same Account : Attachez la connexion IPsec-VPN à un TR appartenant au compte actuel.

  • Cross Account : Attachez la connexion IPsec-VPN à un TR appartenant à un autre compte. Une fois la connexion IPsec-VPN créée, suivez les étapes ci-dessous pour finaliser l'attachement :

    1. Sur la page IPsec Connections de votre compte, accordez des autorisations inter-comptes sur la connexion IPsec-VPN au TR.

    2. Dans le compte pair, créez une connexion VPN inter-comptes.

• CEN Instance ID : Sélectionnez l'instance Cloud Enterprise Network (CEN) à laquelle appartient le TR.

  Ce paramètre est requis uniquement lorsque vous définissez Bind CEN sur Same Account .

• Routing Mode :

  • Destination Routing Mode (par défaut) : Transfère le trafic en fonction de l'adresse IP de destination. Ce mode convient aux scénarios simples.

  • Protected Data Flows : Transfère le trafic en fonction des adresses IP source et de destination. Seul le trafic correspondant aux flux spécifiés est transmis via le tunnel VPN.

    Si vous sélectionnez ce mode, configurez le Local Network (les blocs CIDR du VPC devant communiquer) et le Remote Network (les blocs CIDR du centre de données local devant communiquer).

    Une fois la connexion IPsec-VPN configurée, le système génère automatiquement une route basée sur une politique. Le Source CIDR Block correspond au Local Network de la connexion IPsec-VPN, et le Destination CIDR Block correspond au Remote Network de la connexion IPsec-VPN. Le saut suivant pointe vers la connexion IPsec-VPN. Vous pouvez annoncer cette route dans la table de routage du VPC. Cette option est désactivée par défaut.

    • Lorsque vous configurez des flux de données protégés sur votre périphérique de passerelle local, assurez-vous que les blocs CIDR correspondent à ceux du côté Alibaba Cloud, mais avec les réseaux local et distant inversés.

    • Cliquez sur l'icône à droite de la zone de texte pour ajouter plusieurs blocs CIDR. Si vous configurez plusieurs blocs CIDR, définissez la version IKE sur ikev2.

• Effective Immediately : Lors de la création d'une connexion IPsec-VPN, sélectionnez Yes. Lors de la modification d'une connexion IPsec-VPN existante :

  • Yes : Le système déconnecte immédiatement le tunnel IPsec actuel et lance une nouvelle négociation IKE avec les nouveaux paramètres pour reconstruire le tunnel. Cela provoque une brève interruption du trafic.

  • No : La nouvelle configuration n'est pas appliquée immédiatement. Les nouveaux paramètres seront utilisés lors de la prochaine renégociation, qui se produit lorsque la durée de vie de la SA (Security Association) actuelle expire. Jusqu'à ce moment, le tunnel continue de fonctionner avec l'ancienne configuration.

• Advanced Configuration (including route table association and route forwarding) : Nous recommandons de sélectionner toutes les options.

  • Automatic Advertising : Active la fonctionnalité de Synchronisation des routes pour le TR. Cela annonce automatiquement les routes de la table de routage du TR vers la table de routage de la connexion IPsec-VPN.

  • Automatically Associate with Default Route Table of Transit Router : Le trafic entrant dans le TR depuis la connexion IPsec-VPN est transféré selon la table de routage par défaut du TR.

  • Automatically Advertise System Routes to Default Route Table of Transit Router : Active la fonctionnalité de Propagation des routes pour le TR. Le TR apprend automatiquement les routes de la table de routage de la connexion IPsec-VPN.

• BGP Configurations : Pour plus d'informations, consultez Activer ou désactiver BGP.

• Tunnel Configurations : Pour plus d'informations sur les paramètres du Tunnel 1 (Primary) et du Tunnel 1 (Backup), consultez Configuration du tunnel et du chiffrement.

API

Appelez l'opération CreateVpnAttachment pour créer une connexion IPsec-VPN attachée à un TR.

Étapes suivantes

Après avoir créé la connexion IPsec-VPN, suivez les étapes ci-dessous pour connecter vos VPC et votre centre de données local :

1. Configurez les routes.

2. Configurez votre périphérique de passerelle local : Sur le périphérique de passerelle de votre centre de données local, tel qu'un pare-feu ou un routeur, configurez IPsec et BGP (si activé) pour qu'ils correspondent aux paramètres de la connexion IPsec-VPN sur Alibaba Cloud.

Activer ou désactiver BGP

Avant d'activer BGP pour une connexion IPsec-VPN, assurez-vous que l'instance Customer Gateway associée est configurée avec le numéro de système autonome (ASN) local.

La connexion IPsec-VPN dispose des paramètres BGP suivants :

• Local ASN : L'ASN du côté Alibaba Cloud après l'activation de BGP. Les deux tunnels utilisent le même ASN. Valeur par défaut : 45104. Valeurs valides : 1 à 4294967295. Nous recommandons d'utiliser un ASN privé pour le périphérique local pair.

• Tunnel CIDR Block : Le bloc CIDR d'interconnexion utilisé pour établir une connexion de peering BGP. Au sein d'une instance de passerelle VPN, le bloc CIDR de chaque tunnel doit être unique. Le bloc CIDR doit être un sous-réseau /30 dans 169.254.0.0/16 et ne peut pas être 169.254.0.0/30, 169.254.1.0/30, 169.254.2.0/30, 169.254.3.0/30, 169.254.4.0/30, 169.254.5.0/30 ou 169.254.169.252/30.

• Local BGP IP address : L'adresse IP BGP du côté Alibaba Cloud, qui doit se trouver dans le bloc CIDR du tunnel. Par exemple, dans le bloc CIDR 169.254.10.0/30, vous pouvez utiliser 169.254.10.1.

Pour plus d'informations sur la prise en charge de la fonctionnalité BGP, les principes d'annonce des routes et les limites, consultez Routage dynamique BGP (attaché à un TR).

Console

Activer BGP

• Lors de la création d'une connexion IPsec-VPN :

  • Dans la section Dual-Tunnel Settings, activez Enable BGP et configurez le Local ASN.

  • Dans la section BGP Configuration de chaque tunnel, saisissez le Tunnel CIDR Block et l'Local BGP IP address.

• Pour une connexion IPsec-VPN existante, accédez à sa page de détails et activez Enable BGP dans la section IPsec Connections.

  Assurez-vous que l'instance de passerelle client est configurée avec un ASN. Sinon, créez une nouvelle passerelle client. Ensuite, sur la page de détails de la connexion IPsec-VPN, cliquez sur Edit dans la colonne Actions de chaque tunnel pour associer le tunnel à la nouvelle passerelle client.

Désactiver BGP

Sur la page de détails de la connexion IPsec-VPN, désactivez le commutateur de la BGP Configuration dans la section IPsec Connections.

API

• Lors de la création d'une nouvelle connexion IPsec, ajustez le paramètre EnableTunnelsBgp de l'opération CreateVpnAttachment pour activer BGP, et ajustez les paramètres TunnelOptionsSpecification -> TunnelBgpConfig pour configurer les options BGP de chaque tunnel.

• Pour une connexion IPsec existante, ajustez le paramètre EnableTunnelsBgp de l'opération ModifyVpnConnectionAttribute pour activer ou désactiver BGP, et configurez les options BGP de chaque tunnel en ajustant les paramètres TunnelOptionsSpecification -> TunnelBgpConfig.

Configuration du tunnel et du chiffrement

Important

Lorsque vous créez une connexion IPsec-VPN en mode double tunnel, configurez les deux tunnels et assurez-vous qu'ils sont actifs. Si vous ne configurez ou n'utilisez qu'un seul tunnel, vous perdez la redondance de liaison et la reprise après sinistre au niveau de la zone de disponibilité.

Lors de la création ou de la modification d'une connexion IPsec-VPN, configurez les trois ensembles de paramètres de tunnel suivants :

1. Basic Settings :

   • Customer Gateway : Sélectionnez l'instance de passerelle client représentant votre périphérique de passerelle local. Les deux tunnels peuvent être associés à la même passerelle client.

   • Pre-Shared Key : La clé secrète utilisée pour l'authentification. Les clés pré-partagées des deux tunnels doivent correspondre exactement aux clés configurées sur le périphérique de passerelle local. Si vous laissez ce paramètre vide, le système génère une clé aléatoire.

2. Encryption Configuration : Les paramètres configurés côté cloud et localement doivent être cohérents.

   • IKE Configurations (Chiffrement de phase 1)

     Paramètre	Description
     Version	Nous recommandons d'utiliser ikev2. Cela simplifie le processus de négociation SA et offre une meilleure prise en charge des scénarios avec plusieurs blocs CIDR.
     Negotiation Mode	main (par défaut) : Mode principal. Ce mode chiffre les informations d'identité pendant la transmission et offre une sécurité supérieure lors de la négociation par rapport au mode agressif. aggressive : Mode agressif. Ce mode offre une négociation plus rapide et un taux de réussite plus élevé. Après une négociation réussie, les deux modes offrent le même niveau de sécurité pour la transmission des données.
     Encryption Algorithm	L'algorithme de chiffrement utilisé lors de la négociation de phase 1. Algorithmes pris en charge : AES128-GCM16 (en avant-première), AES256-GCM16 (en avant-première), AES128, AES192, AES256, DES et 3DES (non recommandé). Les algorithmes de chiffrement AES128-GCM16 et AES256-GCM16 sont en avant-première sur invitation uniquement. Pour les utiliser, contactez votre gestionnaire de compte.
     Authentication Algorithm	L'algorithme d'authentification utilisé lors de la négociation de phase 1. Algorithmes pris en charge : sha1 (par défaut), md5, sha256, sha384 et sha512. Lors de la configuration du VPN sur certains périphériques de passerelle locaux, vous devrez peut-être spécifier un algorithme PRF. L'algorithme PRF doit être identique à l'algorithme d'authentification IKE.
     DH Group (Perfect Forward Secrecy)	Sélectionnez l'algorithme d'échange de clés Diffie-Hellman (DH) pour la négociation de phase 1. disabled : Désactive l'algorithme d'échange de clés DH. Sélectionnez disabled pour les clients qui ne prennent pas en charge la confidentialité persistante (PFS). Si vous sélectionnez un groupe autre que disabled, la fonctionnalité PFS est activée par défaut. Cela nécessite la mise à jour de la clé à chaque renégociation. Par conséquent, activez également PFS sur votre périphérique de passerelle local. group1/2/5/14/15-24 : Un numéro de groupe DH plus élevé indique une sécurité supérieure mais consomme également plus de ressources. La prise en charge des groupes DH 15 à 24 est en avant-première sur invitation uniquement. Pour utiliser ces groupes, contactez votre gestionnaire de compte.
     SA Life Cycle (seconds)	La durée de vie de la SA (Security Association) établie en phase 1. Valeur par défaut : 86400. Valeurs valides : 0 à 86400. La configuration de la durée de vie côté cloud doit être cohérente avec la configuration locale.
     LocalId	L'identifiant de l'extrémité locale du tunnel. Par défaut, l'adresse IP du tunnel est utilisée comme identifiant local. Ce paramètre identifie le point de terminaison Alibaba Cloud lors de la négociation de la connexion IPsec-VPN. La valeur peut être une adresse IP ou un nom de domaine complet (FQDN) et ne peut pas contenir d'espaces. Nous recommandons d'utiliser une adresse IP privée comme identifiant pour l'extrémité locale du tunnel. Si vous utilisez un FQDN pour LocalId, tel que example.aliyun.com, l'ID pair configuré sur votre périphérique de passerelle local doit correspondre à la valeur de LocalId. Nous recommandons de définir le mode de négociation sur aggressive.
     RemoteId	L'identifiant de l'extrémité distante du tunnel. Par défaut, l'adresse IP de la passerelle client associée est utilisée comme identifiant distant. Ce paramètre identifie le périphérique de passerelle local lors de la négociation de la connexion IPsec-VPN. La valeur peut être une adresse IP ou un nom de domaine complet (FQDN) et ne peut pas contenir d'espaces. Nous recommandons d'utiliser une adresse IP privée comme identifiant pour l'extrémité distante du tunnel. Si vous utilisez un FQDN pour RemoteId, tel que example.aliyun.com, l'ID local configuré sur votre périphérique de passerelle local doit correspondre à la valeur de RemoteId. Nous recommandons de définir le mode de négociation sur aggressive.

   • IPsec Configurations (Chiffrement de phase 2)

     Configurez les paramètres pour la négociation de phase 2 :

     • Encryption Algorithm, Authentication Algorithm, DH Group (Perfect Forward Secrecy), et SA Life Cycle (seconds) : Consultez les descriptions des options correspondantes dans la section IKE Configurations de la phase 1.

     • DPD : Nous recommandons de maintenir cette fonctionnalité activée. DPD (Dead Peer Detection) vérifie si le périphérique pair est actif. Si un pair ne répond pas (après 30 secondes), la SA est supprimée et une renégociation est automatiquement lancée.

     • NAT Traversal : Nous recommandons de maintenir cette fonctionnalité activée. Lorsqu'elle est activée, le système détecte automatiquement les périphériques NAT lors de la négociation du tunnel. Si un périphérique NAT est détecté, l'encapsulation UDP 4500 est utilisée. Pendant la transmission des données, la validation du port UDP est ignorée pour garantir que les paquets dont les numéros de port ont été réécrits par le NAT soient toujours reçus correctement.

4. BGP Configuration : Cette option n'est disponible qu'après l'activation de BGP. Pour plus d'informations, consultez Activer ou désactiver BGP.

Gérer une connexion IPsec-VPN

Modifier les configurations de tunnel

Console

Cliquez sur l'Instance ID de la connexion IPsec-VPN cible pour ouvrir la page de détails. Dans la colonne Actions du tunnel cible, cliquez sur Edit pour modifier la configuration du tunnel.

Pour une description de chaque paramètre, consultez Configuration du tunnel et du chiffrement.

Important

Lorsque vous créez une connexion IPsec-VPN en mode double tunnel, configurez les deux tunnels et assurez-vous qu'ils sont actifs. Si vous ne configurez ou n'utilisez qu'un seul tunnel, vous perdez la redondance de liaison et la reprise après sinistre au niveau de la zone de disponibilité.

API

Appelez l'opération ModifyTunnelAttribute pour modifier la configuration du tunnel.

Modifier une connexion IPsec-VPN

• Si une connexion IPsec-VPN est attachée à une instance de transit router, vous ne pouvez pas modifier l'instance de transit router associée ni le type de passerelle. Vous pouvez uniquement modifier le Routing Mode et le paramètre Effective Immediately.

• Si une connexion IPsec-VPN n'est pas attachée à un transit router, vous ne pouvez pas modifier son type de passerelle. Vous pouvez uniquement modifier le Routing Mode et le paramètre Effective Immediately.

Console

1. Accédez à la page IPsec Connections dans la console VPC, basculez vers la région cible, puis cliquez sur Edit dans la colonne Actions de la connexion IPsec-VPN cible.

2. Sur la page Modify IPsec-VPN Connection, modifiez les paramètres tels que le nom et les réseaux interconnectés, puis cliquez sur OK.

   Pour une description de chaque paramètre, consultez Créer une connexion IPsec-VPN.

API

Appelez l'opération ModifyVpnConnectionAttribute pour modifier la configuration de la connexion IPsec-VPN.

Supprimer une connexion IPsec-VPN

Avant de supprimer une connexion IPsec-VPN, assurez-vous que celle-ci est détachée de l'instance de transit router.

Console

Accédez à la page IPsec Connections dans la console VPC, basculez vers la région cible, puis cliquez sur Delete dans la colonne Actions de la connexion IPsec-VPN cible.

API

Appelez l'opération DeleteVpnAttachment pour supprimer la connexion IPsec-VPN.

Autorisation TR inter-comptes

Console

1. Cliquez sur l'Instance ID de la connexion IPsec-VPN cible pour ouvrir sa page de détails.

2. Accédez à l'onglet Cross-account Authorization et cliquez sur Cross-account Authorization. Dans la boîte de dialogue Attach to CEN qui s'affiche, configurez les paramètres suivants :

   • Peer Account UID : Saisissez l'ID du compte principal du compte pair.

     Comment obtenir l'ID du compte Alibaba Cloud (compte principal) ?

     Survolez votre photo de profil dans le coin supérieur droit de la console pour obtenir l'ID :

     • Si vous êtes connecté avec le compte principal : Cliquez sur le nom de votre compte dans le coin supérieur droit de la console et consultez l'Account ID dans le panneau déroulant qui s'affiche.

     • Si vous êtes connecté en tant qu'utilisateur RAM : Cliquez sur votre photo de profil dans le coin supérieur droit. Dans le panneau d'informations utilisateur qui s'affiche, confirmez que l'identité actuelle est un utilisateur RAM. Dans la liste des informations, localisez le champ Main Account ID et cliquez sur l'icône de copie pour obtenir l'ID du compte principal.

   • Peer CEN Instance ID : Saisissez l'ID de l'instance CEN à laquelle appartient le TR du compte pair.

   • Payer :

     • CEN Instance Owner : Le compte pair paie les frais de connexion TR et frais de traitement du trafic TR pour la connexion VPN.

     • VPN Owner : Votre compte paie les frais de connexion TR et frais de traitement du trafic TR pour la connexion VPN.

4. Une fois l'autorisation accordée avec succès, créez une connexion VPN inter-comptes dans le compte pair pour finaliser l'attachement.

API

Connectez-vous au compte auquel appartient le TR :

1. Appelez l'opération GrantInstanceToTransitRouter pour autoriser la connexion IPsec-VPN à utiliser le TR.

2. Appelez l'opération CreateTransitRouterVpnAttachment pour créer une connexion VPN.

Annexe : Mode tunnel unique (hérité)

Pour les connexions IPsec-VPN à tunnel unique existantes attachées à un TR, nous recommandons vivement de les supprimer et de les recréer afin d'activer le mode double tunnel.

La procédure pour le mode tunnel unique est similaire à celle du mode double tunnel, avec les différences clés suivantes :

• Contrairement au mode double tunnel, tous les paramètres du mode tunnel unique sont configurés au niveau de la connexion. Il n'y a pas de niveau de configuration distinct pour les tunnels.

• Le mode tunnel unique prend en charge une fonctionnalité de vérification de l'état, désactivée par défaut. Nous ne recommandons pas d'activer la vérification de l'état dans des scénarios autres que actif/standby. Si vous devez configurer des vérifications de l'état, ajoutez une entrée de route dans votre centre de données local avec la destination définie sur l'IP source, un masque de sous-réseau /32 et le saut suivant pointant vers la connexion IPsec-VPN. Cela garantit le bon fonctionnement des vérifications de l'état.

  Paramètre	Description
  Destination IP Address	L'adresse IP de votre centre de données local accessible par Alibaba Cloud via la connexion IPsec-VPN. Cette adresse IP doit répondre aux requêtes ICMP.
  Source IP Address	L'adresse IP côté Alibaba Cloud accessible par votre centre de données local via la connexion IPsec-VPN.
  Retry Interval	L'intervalle entre les tentatives de vérification de l'état. Unité : secondes. Valeur par défaut : 3.
  Number of Retries	Le nombre de tentatives de vérification de l'état. Valeur par défaut : 3.
  Switch Route	Indique s'il faut retirer la route annoncée en cas d'échec de la vérification de l'état. Valeur par défaut : Yes.