VPN Gateway:Panduan Cepat Enhanced VPN Gateway

Perencanaan resource

• Resource cloud: VPC dengan Blok CIDR 10.0.0.0/16 di wilayah Malaysia (Kuala Lumpur).

  • vSwitch 1: Di zona ketersediaan A, dengan Blok CIDR 10.0.0.0/24.

  • vSwitch 2: Di zona ketersediaan B, dengan Blok CIDR 10.0.1.0/24.

  • Instance ECS: Dideploy di vSwitch 1, dengan alamat IP 10.0.0.1.

  • VPN Gateway: Buat satu koneksi IPsec. Sistem secara otomatis menetapkan dua alamat IP publik untuk koneksi ini.

    • Alamat IPsec 1 (untuk saluran data primary): XX.XX.1.1

    • Alamat IPsec 2 (untuk saluran data secondary): XX.XX.2.2

• Resource lokal: IDC lokal dengan Blok CIDR 172.16.0.0/16.

  • Perangkat strongSwan: Alamat IP pribadi 172.16.0.1.

  • Alamat IP egress publik: XX.XX.3.3

• Konfigurasi enkripsi: harus konsisten antara sisi cloud dan lokal.

  • Versi IKE: v2

  • Mode negosiasi: main

  • Algoritma enkripsi: AES-256-GCM-16 / SHA-256 / DH Group 14. Anda harus secara eksplisit menentukannya di sisi lokal; Enhanced VPN Gateway di sisi cloud secara otomatis mendukungnya.

  • SA lifetime: 86400 detik.

• Metode perutean: Gunakan perutean statis dalam mode berbasis kebijakan (policy-based). Dalam mode ini, Anda menentukan jaringan di kedua ujung untuk menentukan trafik mana—yang dikenal sebagai "interesting traffic"—yang melewati saluran data VPN. Sistem secara otomatis merutekan trafik ini dan membuat entri rute yang diperlukan.

Prasyarat

• Blok CIDR VPC dan Blok CIDR IDC lokal tidak tumpang tindih.

• Anda telah membuat VPC seperti yang dijelaskan dalam bagian perencanaan resource. VPC tersebut berisi dua vSwitch di zona ketersediaan berbeda dan setidaknya satu instance ECS untuk menguji konektivitas.

• Server Linux telah dideploy di IDC lokal Anda. Topik ini menggunakan CentOS Stream 9 sebagai contoh. Server tersebut memiliki satu alamat IP egress publik. Anda akan menginstal strongSwan pada server ini untuk bertindak sebagai gateway lokal.

1. Konfigurasi aturan firewall

Di perangkat strongSwan, izinkan protokol ESP (nomor protokol IP 50), Port UDP 500, dan Port UDP 4500 untuk mengizinkan akses dari dua alamat IPsec di sisi cloud.

Perintah berikut menggunakan iptables sebagai contoh. Sesuaikan perintah berdasarkan tool firewall yang Anda gunakan.

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. Aktifkan IP forwarding

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. Instal strongSwan

dnf install epel-release -y
dnf install strongswan -y

4. Konfigurasi strongSwan

1. Buat cadangan file konfigurasi asli:

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Buat file konfigurasi baru:

   vi /etc/strongswan/swanctl/swanctl.conf

3. Tambahkan konfigurasi berikut dan simpan file tersebut. Ganti nilai placeholder dengan nilai aktual Anda.

   # Konfigurasi IPsec-VPN dual-tunnel strongSwan untuk: Alibaba Cloud Enhanced VPN Gateway + satu IP egress publik lokal + mode berbasis kebijakan
   #
   # CATATAN: Hanya ubah parameter yang ditandai "MODIFY". Biarkan sisanya tetap default.
   # Detail algoritma: aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
   # Ketersediaan tinggi: vco1 (priority=1) adalah saluran data primary, dan vco2 (priority=2) adalah saluran data secondary. Failover otomatis.
   connections {
      # === Tunnel 1 (Primary) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY: Alamat IP pribadi antarmuka jaringan server strongSwan. Jika server berada di belakang perangkat NAT, masukkan alamat IP pribadinya. Jika antarmuka jaringan server langsung diberi alamat IP publik, masukkan alamat IP publik tersebut.
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY: Alamat IP egress publik gateway lokal Anda.
         }
         remote_addrs = XX.XX.1.1                 # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 1.
         remote {
            auth = psk
            id = XX.XX.1.1                        # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 1. Harus sesuai dengan remote_addrs.
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # MODIFY: Blok CIDR jaringan lokal Anda (interesting traffic).
               remote_ts = 10.0.0.0/16            # MODIFY: Blok CIDR VPC Anda (interesting traffic).
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 1                       # Menentukan saluran data primary. Disarankan agar Anda tidak mengubah parameter ini.
            }
         }
      }
      # === Tunnel 2 (Secondary) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY: Alamat IP antarmuka jaringan server strongSwan. Harus sama dengan local_addrs untuk Tunnel 1.
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY: Alamat IP egress publik gateway lokal Anda. Harus sama dengan id untuk Tunnel 1.
         }
         remote_addrs = XX.XX.2.2                 # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 2.
         remote {
            auth = psk
            id = XX.XX.2.2                        # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 2. Harus sesuai dengan remote_addrs.
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # MODIFY: Blok CIDR jaringan lokal Anda. Harus sama dengan local_ts untuk Tunnel 1.
               remote_ts = 10.0.0.0/16            # MODIFY: Blok CIDR VPC Anda. Harus sama dengan remote_ts untuk Tunnel 1.
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 2                       # Menentukan saluran data secondary. Disarankan agar Anda tidak mengubah parameter ini.
            }
         }
      }
   }
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 1.
         secret = your-psk-here                   # MODIFY: Kunci pra-bersama untuk Tunnel 1. Harus sesuai dengan kunci yang dikonfigurasi di Konsol Alibaba Cloud.
      }
      ike-vco2 {
         id = XX.XX.2.2                           # MODIFY: Alamat IP publik Alibaba Cloud Tunnel 2.
         secret = your-psk-here                   # MODIFY: Kunci pra-bersama untuk Tunnel 2. Harus sesuai dengan kunci yang dikonfigurasi di Konsol Alibaba Cloud.
      }
   }

5. Jalankan strongSwan dan verifikasi status saluran data

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

Jika kedua saluran data menampilkan ESTABLISHED dan CHILD_SA berada dalam status INSTALLED, berarti koneksi IPsec-VPN telah berhasil dibuat antara perangkat strongSwan dan Alibaba Cloud VPN Gateway.

Every 2.0s: swanctl --list-sas    iZ8psgynxxx: Fri Mar 13 14:53:47 2026
plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file
available
vco1: #11, ESTABLISHED, IKEv2, fbf8cda98d1d4f45_i c8a12ae19f8303d8_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.1.1x.58' @ XX.XX.1.1x.58[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 1534s ago, rekeying in 81327s
   vco_child1: #10, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 10638s ago, rekeying in 73995s, expires in 75762s
      in  c31a70fc, 892248 bytes, 10622 packets,    1s ago
      out c53ef972, 892332 bytes, 10623 packets,    1s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16
vco2: #10, ESTABLISHED, IKEv2, 9b259bb527d43acf_i f53df17098e08519_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.2.2x.121' @ XX.XX.2.2x.121[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 3270s ago, rekeying in 81252s
   vco_child2: #9, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 12865s ago, rekeying in 71956s, expires in 73535s
      in  c11c544e,      0 bytes,     0 packets,    7s ago
      out c7acef03,      0 bytes,     0 packets,   14s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16

Verifikasi konektivitas

1. Pastikan bahwa aturan grup keamanan instance ECS Anda mengizinkan trafik ICMP. Kemudian, login ke perangkat strongSwan Anda dan ping alamat IP pribadi instance ECS cloud.

   ping 10.0.0.1

   Paket balasan mengonfirmasi bahwa komunikasi telah terbentuk antara IDC lokal dan VPC cloud.

2. Pastikan firewall lokal Anda mengizinkan trafik ICMP. Kemudian, login ke instance ECS di VPC (10.0.0.1) dan ping alamat IP pribadi perangkat strongSwan.

   ping 172.16.0.1

   Jika Anda menerima paket balasan, koneksi balik juga telah terbentuk.

Verifikasi ketersediaan tinggi

1. Dari instance ECS, jalankan ping berkelanjutan ke server lokal:

   ping 172.16.0.1 -c 10000

2. Hentikan saluran data primary. Di Konsol Alibaba Cloud, ubah kunci pra-bersama saluran data primary untuk membuat ketidaksesuaian kunci. Hal ini menyebabkan saluran data primary gagal.

3. Amati hasil ping. Setelah gangguan singkat, komunikasi dilanjutkan. Hal ini menunjukkan bahwa trafik secara otomatis dialihkan ke saluran data secondary.

4. Pulihkan saluran data primary. Ubah kembali kunci pra-bersama saluran data primary ke nilai yang benar. Setelah saluran data primary dipulihkan, trafik secara otomatis kembali ke saluran data primary.