Manage VPN gateway instances - VPN Gateway - Centre de documentation Alibaba Cloud

Une instance de passerelle VPN est un point d'entrée et de sortie cloud qui connecte un VPC à un centre de données sur site. Si vous sélectionnez le mode IPsec-VPN dans le mode de liaison de la passerelle VPN, vous devez d'abord créer une instance de passerelle VPN.

Si vous sélectionnez une connexion IPsec en mode de liaison TR, vous n'avez pas besoin de créer une instance de passerelle VPN. Vous pouvez directement créer une Connexion IPsec-VPN (jointe à un TR) .

Fonctionnalités

Une instance de passerelle VPN est un dispositif de passerelle déployé côté Alibaba Cloud qui sert de point de terminaison cloud pour un tunnel chiffré. Créez d'abord une passerelle VPN, puis créez une connexion IPsec basée sur cette passerelle.
Lors de la création d'une instance de passerelle VPN, associez un VPC et spécifiez 2 vSwitches dans différentes zones afin d'établir une connexion IPsec-VPN à double tunnel et d'assurer une reprise après sinistre au niveau de la zone.

Pour les régions ne prenant en charge qu'une seule zone, la reprise après sinistre au niveau de la zone n'est pas disponible. Nous vous recommandons de spécifier deux instances vSwitch différentes dans la zone afin d'assurer la haute disponibilité des connexions IPsec.
Après la création d'une instance de passerelle VPN, le système crée une interface réseau élastique (ENI) sous chacun des deux vSwitches spécifiés. Ces interfaces servent à l'échange de trafic entre la passerelle VPN et le VPC. Chaque ENI occupe 1 adresse IP privée sous le vSwitch. Assurez-vous que le vSwitch dispose de suffisamment d'adresses IP disponibles.

Créer une passerelle VPN

Les passerelles VPN sont disponibles en deux formats : Améliorée et Standard. Pour plus de détails sur leurs différences, consultez Passerelle VPN améliorée par rapport à standard.

Passerelle VPN améliorée (console)

Important

Seules les régions suivantes prennent actuellement en charge la passerelle VPN améliorée : China (Beijing), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Chengdu), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), US (Silicon Valley), US (Virginia), Germany (Frankfurt), UK (London).

Accédez à la page Console Passerelle VPN, basculez vers l'onglet Enhanced IPsec-VPN et cliquez sur Create Enhanced IPsec-VPN pour commencer la configuration :

Region : Sélectionnez la région où se trouve le VPC à connecter.
VPC : Sélectionnez le VPC cible.
vSwitch 1 et vSwitch 2 : Sélectionnez le VPC associé et 2 vSwitches déployés dans différentes zones pour garantir la haute disponibilité inter-zones. Une fois l'IPsec-VPN activé, le système crée une interface réseau élastique (ENI) sous chacun des 2 vSwitches. Ces interfaces servent à l'échange de trafic avec le VPC via des connexions IPsec. Chaque ENI occupe 1 adresse IP sous le vSwitch.

Passerelle VPN standard (console)

Accédez à la page Console Passerelle VPN, sur l'onglet Standard VPN Gateway, cliquez sur Create VPN Gateway pour commencer la configuration :

S'il n'y a pas d'onglet Standard VPN Gateway , cliquez directement sur Create VPN Gateway .

Région et zone : Sélectionnez la région où se trouve le VPC.
Type de passerelle : Sélectionnez Standard. Une fois une connexion IPsec établie, l'algorithme cryptographique commercial standard international (algorithme cryptographique standard) sera utilisé.
Network Type : Sélectionnez Réseau public. Une adresse IP publique sera attribuée pour établir une connexion IPsec. Pour établir une connexion IPsec privée, nous vous recommandons d'utiliser Utiliser une connexion IPsec privée pour lier le routeur de transit d'entreprise.
Tunnel : Sélectionnez Double tunnel.
VPC et vSwitch virtuel : Sélectionnez le VPC associé et 2 vSwitches déployés dans différentes zones pour garantir la haute disponibilité inter-zones. Une fois l'IPsec-VPN activé, le système crée une interface réseau élastique (ENI) sous chacun des 2 vSwitches. Ces interfaces servent à l'échange de trafic avec le VPC via des connexions IPsec. Chaque ENI occupe 1 adresse IP sous le vSwitch. Une fois une passerelle VPN créée, les vSwitches associés ne peuvent pas être modifiés.
Peak Bandwidth : La spécification de bande passante maximale prise en charge par une passerelle VPN varie selon la région. Si vous sélectionnez une spécification de bande passante de 5 Mbps ou 10 Mbps, la bande passante de pointe du centre de données sur site vers la passerelle VPN est limitée à 10 Mbps. Pour plus de détails, consultez Quotas et limites.
Activez IPsec-VPN et désactivez SSL-VPN.

Si la passerelle VPN créée n'a pas l'IPsec-VPN activé, dans la colonne Feature Configuration de la passerelle VPN cible, cliquez sur Activer après IPsec Connections.

L'activation de l'IPsec-VPN pour une passerelle VPN existante vous oblige à payer la différence de prix de la fonctionnalité pour la durée restante du cycle de facturation actuel.
Subscription Duration :

Le cycle de facturation de la passerelle VPN. Valeur par défaut : Facturation horaire.

API

Appelez CreateEnhancedVpnGateway pour créer une passerelle VPN améliorée.

Important
La passerelle VPN améliorée a été lancée en février 2024 et est actuellement en aperçu sur invitation uniquement. Pour utiliser cette fonctionnalité, contactez votre ingénieur Alibaba Cloud pour obtenir l'accès. Régions prises en charge : Malaisie (Kuala Lumpur), Royaume-Uni (Londres), Chine (Chengdu), États-Unis (Virginie), États-Unis (Silicon Valley), Chine (Hong Kong) et Singapour.
Appelez CreateVpnGateway pour créer une passerelle VPN standard.

Étapes suivantes

Pour activer la communication entre le VPC cloud et le centre de données sur site (IDC), après la création de l'instance de passerelle VPN, vous devez également :

Passerelle client : Enregistrez les informations du dispositif de passerelle sur site (telles que l'adresse IP et le numéro AS BGP) sur Alibaba Cloud.
Créer une connexion IPsec-VPN : Créez un tunnel chiffré IPsec entre la passerelle VPN Alibaba Cloud et le dispositif de passerelle sur site pour garantir que la connexion peut être établie correctement.

Mettre à niveau une passerelle VPN (type standard uniquement)

Si une passerelle VPN standard n'est pas la dernière version, nous vous recommandons vivement de la mettre à niveau pour bénéficier de meilleures fonctionnalités et d'une meilleure compatibilité.

Important

Il s'agit uniquement d'une mise à niveau de version, et non d'une migration vers le type Amélioré (le type Amélioré nécessite une recréation).

Vérification de la mise à niveau : Sur la page des détails de la passerelle VPN, vous pouvez déterminer si la passerelle VPN est la dernière version en fonction de l'état du bouton Mettre à niveau. Une passerelle VPN nouvellement achetée est la dernière version par défaut.
Coût de la mise à niveau :
- La mise à niveau d'une passerelle VPN prend environ 10 minutes.
  
  Important
  Pendant la mise à niveau, la passerelle VPN ne peut pas fournir de services et les connexions existantes seront interrompues. Nous vous recommandons d'effectuer la mise à niveau pendant une fenêtre de maintenance du réseau afin d'éviter d'affecter les opérations commerciales.
- La mise à niveau d'une passerelle VPN n'entraîne aucun frais.
Restrictions de mise à niveau :
- Lorsque la passerelle VPN n'a aucune connexion IPsec, la configuration reste inchangée avant et après la mise à niveau.
- Lorsque la passerelle VPN possède des connexions IPsec :
  - IKEv1 + plusieurs blocs CIDR : Passez à IKEv2 ou divisez les plusieurs blocs CIDR en plusieurs connexions.
  - Passerelles créées avant le 21 mars 2019 qui n'ont pas été mises à niveau : Après la mise à niveau, vous devez configurer manuellement le routage.
  - Dans les autres scénarios, la configuration de la connexion IPsec reste inchangée avant et après la mise à niveau.

Console

Connectez-vous à la console Passerelle VPN. Dans la barre de navigation supérieure, sélectionnez la région de la passerelle VPN.
Cliquez sur l'ID de la passerelle VPN cible pour accéder à la page des détails, puis cliquez sur Mettre à niveau.

Supprimer une passerelle VPN

Passerelle VPN améliorée (console)

Dans la colonne Actions de la passerelle VPN cible, cliquez sur Supprimer.

Avant la suppression, assurez-vous que la passerelle VPN ne possède aucune connexion IPsec , aucun serveur SSL , ni aucun serveur IPsec .

Passerelle VPN standard (console)

Avant la suppression, assurez-vous que la passerelle VPN ne possède aucune connexion IPsec, aucun serveur SSL, ni aucun serveur IPsec.

Cliquez sur Supprimer dans la colonne Actions de la passerelle VPN cible.

API

VPN amélioré : Appelez DeleteEnhancedVpnGateway pour le supprimer.
VPN standard : Appelez DeleteVpnGateway pour le supprimer.

Quotas et limites

Passerelle VPN améliorée

Pour les passerelles VPN standard existantes, la migration directe vers le format IPsec-VPN amélioré n'est pas prise en charge. Nous vous recommandons d'en créer une nouvelle.
Une passerelle VPN améliorée ne prend pas en charge le traitement des paquets IP fragmentés déchiffrés.
Lorsque vous ajoutez une route dans une passerelle VPN améliorée, le trafic existant nécessite 30 secondes pour expirer, après quoi la nouvelle route est utilisée pour guider le transfert. Pour les modifications et suppressions de routes, le transfert du trafic prend effet immédiatement.
Lorsque les entrées de routage BGP reçues par un seul tunnel d'une passerelle VPN améliorée dépassent 2000, la fonction d'apprentissage des routes du tunnel actuel sera interrompue.
Pour les autres restrictions de quota, consultez Quotas et limites.

Passerelle VPN standard

La spécification de bande passante maximale prise en charge par une passerelle VPN standard varie selon la région.

Catégorie

Région

Jusqu'à 1000 Mbps

Chine (Hangzhou), Chine (Shanghai), Chine (Qingdao), Chine (Pékin), Chine (Zhangjiakou), Chine (Hohhot), Chine (Ulanqab), Chine (Shenzhen), Chine (Heyuan), Chine (Guangzhou), Chine (Chengdu), Chine (Hong Kong), Singapour, Japon (Tokyo), Malaisie (Kuala Lumpur), Indonésie (Jakarta), Thaïlande (Bangkok), Corée du Sud (Séoul), Philippines (Manille), États-Unis (Silicon Valley), États-Unis (Virginie), Allemagne (Francfort), Royaume-Uni (Londres), Mexique

Jusqu'à 500 Mbps

Émirats arabes unis (Dubaï), Arabie saoudite (Riyad)

La région Arabie saoudite (Riyad) est exploitée par un partenaire.

Pour les instances de passerelle VPN nouvellement achetées, les connexions IPsec utilisent le mode double tunnel par défaut. Les instances de passerelle VPN existantes ne prennent en charge la création de connexions IPsec-VPN qu'en mode simple tunnel par défaut. Nous vous recommandons de passer au mode double tunnel dès que possible pour une meilleure disponibilité de la connexion.

Pour les passerelles VPN standard avec différents modes de tunnel IPsec-VPN et différentes spécifications de bande passante, la bande passante de pointe dans les deux sens entre le centre de données sur site et la passerelle VPN standard n'est pas exactement la même.

Mode de tunnel IPsec-VPN	Valeur de spécification de bande passante de la passerelle VPN standard	Bande passante de pointe en direction sortante	Bande passante de pointe en direction entrante
Double tunnel	> 10 Mbps	Valeur de spécification de bande passante de la passerelle VPN standard.	Valeur de spécification de bande passante de la passerelle VPN standard.
Double tunnel	≤ 10 Mbps	Valeur de spécification de bande passante de la passerelle VPN standard.	10 Mbps.
Tunnel unique	> 100 Mbps	Valeur de spécification de bande passante de la passerelle VPN standard.	Valeur de spécification de bande passante de la passerelle VPN standard.
Tunnel unique	≤ 100 Mbps	Valeur de spécification de bande passante de la passerelle VPN standard.	100 Mbps.

Pour les autres restrictions de quota, consultez Quotas et limites.