VPN Gateway:Memulai mengikat IPsec-VPN ke Transit Router

Perencanaan resource

• Cloud: VPC dengan blok CIDR 10.0.0.0/16 di wilayah China (Hangzhou).

  • vSwitch 1: Di zona ketersediaan H, dengan blok CIDR 10.0.0.0/24.

  • vSwitch 2: Di zona ketersediaan J, dengan blok CIDR 10.0.2.0/24.

  • Instance ECS: Alamat IP 10.0.0.1, digunakan untuk pengujian konektivitas.

  • Instans CEN: Menampung Transit Router.

  • Transit Router: Dibuat di wilayah East China 1 (Hangzhou). Rentang alamat TR: 10.10.10.0/24 (tidak boleh bentrok dengan blok CIDR VPC, IDC, atau BGP).

• On-premises: IDC dengan blok CIDR 172.16.0.0/16.

  • Perangkat strongSwan: Alamat IP privat 172.16.0.1.

  • Alamat IP publik: XX.XX.3.3.

• encryption algorithm: IKEv2 / AES-128 / SHA-1 / DH Group 2 / SA lifetime 86400 detik. Kedua ujung tunnel harus dikonfigurasi dengan parameter enkripsi yang sama.

• Routing mode: Gunakan BGP dynamic routing. Perencanaan blok CIDR BGP adalah sebagai berikut (blok CIDR tunnel harus berupa /30 dalam rentang 169.254.0.0/16, dan kedua tunnel tidak boleh sama).

  Resource	Tunnel	tunnel subnet	BGP IP address	BGP AS number
  IPsec connection (cloud side)	Tunnel 1	169.254.10.0/30	169.254.10.1	65535
  	Tunnel 2	169.254.20.0/30	169.254.20.1	65535
  Local gateway device (IDC)	Tunnel 1	169.254.10.0/30	169.254.10.2	65530
  	Tunnel 2	169.254.20.0/30	169.254.20.2	65530

  local autonomous system number kedua tunnel harus sama; nomor AS remote (IDC) juga disarankan sama untuk kedua tunnel.

Prasyarat

• Blok CIDR VPC, blok CIDR IDC, dan subnet tunnel BGP tidak boleh saling bentrok.

• VPC telah dibuat, dan vSwitch telah dibuat di masing-masing dua zona berbeda (zona tempat vSwitch berada harus termasuk dalam Daftar zona yang didukung oleh Transit Router). Setidaknya ada satu instance ECS di VPC untuk verifikasi konektivitas.

• Instans CEN dan Transit Router (TR) telah dibuat dengan kondisi berikut terpenuhi:

  • VPC dilampirkan ke TR.

  • Route propagation dan Route synchronization diaktifkan antara VPC dan TR.

  • Blok CIDR dikonfigurasi untuk TR.

• Server Linux telah dideploy di IDC lokal (artikel ini menggunakan CentOS Stream 9 sebagai contoh) dengan satu egress publik. strongSwan (untuk tunnel IPsec) dan FRRouting (untuk BGP) akan diinstal pada server ini sebagai gateway lokal.

1. Konfigurasi aturan firewall

Di perangkat strongSwan, izinkan protokol ESP (nomor protokol IP 50), Port UDP 500, dan Port UDP 4500 untuk mengizinkan akses dari dua alamat IPsec sisi cloud.

Contoh berikut menggunakan iptables. Sesuaikan dengan tool firewall Anda.

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. Aktifkan IP forwarding

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. Instal strongSwan

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4. Buat antarmuka XFRM dan skrip updown

Karena skenario dual-tunnel perlu membedakan traffic masing-masing tunnel, Anda harus membuat antarmuka virtual XFRM untuk menghindari konflik kebijakan perutean kernel. Dalam mode BGP dynamic routing, Anda juga perlu mengonfigurasi alamat tunnel BGP pada antarmuka XFRM.

# Buat antarmuka tunnel XFRM (masing-masing sesuai dengan tunnel 1 dan tunnel 2; dengan satu egress publik, antarmuka dasar untuk keduanya adalah eth0)
sudo ip link add ipsec0 type xfrm dev eth0 if_id 42
sudo ip link add ipsec1 type xfrm dev eth0 if_id 43
sudo ip link set ipsec0 up
sudo ip link set ipsec1 up

# Konfigurasi alamat tunnel BGP lokal pada antarmuka XFRM
sudo ip address add 169.254.10.2/30 dev ipsec0
sudo ip address add 169.254.20.2/30 dev ipsec1

5. Konfigurasi strongSwan

1. Cadangkan file konfigurasi asli:

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Buat file konfigurasi baru:

   vi /etc/strongswan/swanctl/swanctl.conf

3. Tambahkan konfigurasi berikut. Ganti alamat IP dan kunci contoh dengan nilai aktual Anda.

   # Konfigurasi IPsec-VPN dual-tunnel strongSwan
   # Berlaku untuk: Koneksi IPsec yang terikat ke Transit Router Alibaba Cloud + egress publik tunggal lokal + BGP dynamic routing
   #
   #
   # Gunakan antarmuka XFRM (if_id) untuk membedakan traffic kedua tunnel; rute dipelajari secara dinamis oleh BGP.
   
   connections {
   
      # === Tunnel 1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # Alamat IP NIC lokal strongSwan (sesuaikan: di lingkungan NAT, gunakan IP privat; jika NIC langsung mengikat IP publik, gunakan IP publik)
         local {
            auth = psk
            id = XX.XX.3.3                         # IP egress publik lokal (sesuaikan)
         }
   
         remote_addrs = XX.XX.1.1                  # IP publik tunnel 1 di sisi Alibaba Cloud (sesuaikan)
         remote {
            auth = psk
            id = XX.XX.1.1                         # IP publik tunnel 1 di sisi Alibaba Cloud, sama dengan remote_addrs di atas (sesuaikan)
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 42                       # Sesuai dengan antarmuka ipsec0
               if_id_out = 42
            }
         }
   
         if_id_in = 42
         if_id_out = 42
      }
   
      # === Tunnel 2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # Alamat IP NIC lokal strongSwan, sama dengan tunnel 1 (sesuaikan)
         local {
            auth = psk
            id = XX.XX.3.3                         # IP egress publik lokal, sama dengan tunnel 1 (sesuaikan)
         }
   
         remote_addrs = XX.XX.2.2                  # IP publik tunnel 2 di sisi Alibaba Cloud (sesuaikan)
         remote {
            auth = psk
            id = XX.XX.2.2                         # IP publik tunnel 2 di sisi Alibaba Cloud, sama dengan remote_addrs di atas (sesuaikan)
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 43                       # Sesuai dengan antarmuka ipsec1
               if_id_out = 43
            }
         }
   
         if_id_in = 43
         if_id_out = 43
      }
   }
   
   secrets {
      ike-tunnel1 {
      ike-tunnel1 {
         id-1 = XX.XX.3.3                          # (Sesuaikan) Alamat IP publik on-premises.
         id-2 = XX.XX.1.1                          # (Sesuaikan) Alamat IP publik Tunnel 1 di Alibaba Cloud.
      }
      ike-tunnel2 {
      ike-tunnel2 {
         id-1 = XX.XX.3.3                          # (Sesuaikan) Alamat IP publik on-premises.
         id-2 = XX.XX.2.2                          # (Sesuaikan) Alamat IP publik Tunnel 2 di Alibaba Cloud.
      }
   }

   Penting

   • if_id_in dan if_id_out mengikat setiap tunnel ke antarmuka XFRM yang sesuai (ipsec0 / ipsec1), memastikan traffic kedua tunnel tidak saling mengganggu.

   • local_ts dan remote_ts diatur ke 0.0.0.0/0; rute yang dipelajari oleh BGP menentukan traffic mana yang masuk ke tunnel. Dalam mode rute tujuan, traffic selector di sisi cloud juga 0.0.0.0/0.

6. Jalankan strongSwan dan verifikasi status tunnel

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

Jika kedua tunnel menunjukkan status ESTABLISHED dan CHILD_SA menunjukkan INSTALLED, koneksi IPsec berhasil dibuat.

# Contoh output yang diharapkan (disingkat)
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

7. Konfigurasi BGP dynamic routing (FRRouting)

Setelah tunnel IPsec dibuat, jaringan masih belum dapat berkomunikasi. Anda perlu mengonfigurasi BGP pada perangkat gateway lokal untuk membuat neighbor BGP dengan sisi Alibaba Cloud, secara otomatis mengiklankan blok CIDR lokal, dan mempelajari blok CIDR sisi cloud.

Catatan: Setelah perangkat strongSwan/FRR restart, Anda harus menambahkan ulang antarmuka XFRM, alamat tunnel BGP, dan konfigurasi BGP.

1. Instal FRRouting:

   sudo dnf install frr -y

2. Aktifkan daemon bgpd:

   Edit /etc/frr/daemons, ubah bgpd=no menjadi bgpd=yes, simpan, lalu jalankan FRR:

   sudo sed -i 's/^bgpd=no/bgpd=yes/' /etc/frr/daemons
   sudo systemctl enable frr
   sudo systemctl restart frr

3. Tambahkan konfigurasi BGP:

   Masuk ke antarmuka konfigurasi vtysh dan tambahkan konfigurasi berikut. Saat mengeksekusi, ganti alamat dengan nilai aktual Anda:

   • 169.254.10.1 dan 169.254.20.1: Ganti dengan alamat BGP lokal kedua tunnel di sisi Alibaba Cloud (yaitu neighbor BGP remote perangkat lokal).

   • 65535: Ganti dengan local autonomous system number koneksi IPsec Alibaba Cloud.

   • 65530: Ganti dengan nomor BGP AS IDC lokal.

   • 172.16.0.0/24: Ganti dengan blok CIDR IDC lokal yang perlu Anda iklankan ke sisi cloud.

   sudo vtysh

   configure terminal
   route-map allow-all permit 1
   exit
   
   router bgp 65530
    bgp router-id 169.254.10.2
    neighbor 169.254.10.1 remote-as 65535
    neighbor 169.254.10.1 timers 10 30
    neighbor 169.254.20.1 remote-as 65535
    neighbor 169.254.20.1 timers 10 30
   
    address-family ipv4 unicast
     network 172.16.0.0/24
     neighbor 169.254.10.1 soft-reconfiguration inbound
     neighbor 169.254.10.1 route-map allow-all in
     neighbor 169.254.10.1 route-map allow-all out
     neighbor 169.254.20.1 soft-reconfiguration inbound
     neighbor 169.254.20.1 route-map allow-all in
     neighbor 169.254.20.1 route-map allow-all out
     maximum-paths 32
    exit-address-family
   exit
   exit
   write memory

4. Konfirmasi neighbor dan rute BGP:

   show ip bgp summary
   show ip bgp

   • State/PfxRcd kedua neighbor (169.254.10.1 dan 169.254.20.1) di show ip bgp summary harus menunjukkan jumlah prefix yang diterima (bukan Active/Idle), menandakan neighbor BGP telah terbentuk.

   • Di show ip bgp, Anda harus dapat melihat blok CIDR VPC sisi cloud yang dipelajari melalui BGP (seperti 10.0.0.0/24 dan 10.0.2.0/24), dan setiap blok CIDR memiliki dua path ekuivalen (masing-masing melalui tunnel 1 dan tunnel 2), membentuk ECMP.

   # Contoh output show ip bgp summary yang diharapkan (sebagian konten dihilangkan)
   Neighbor        V         AS   ... State/PfxRcd
   169.254.10.1    4      65535   ...            2
   169.254.20.1    4      65535   ...            2
   
   # Contoh output show ip bgp yang diharapkan
   *> 10.0.0.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i
   *> 10.0.2.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i

5. Konfirmasi bahwa rute ECMP telah diinstal di kernel:

   ip route show 10.0.0.0/24
   # Yang diharapkan: satu rute dengan dua nexthop, masing-masing melalui ipsec0 dan ipsec1

Uji konektivitas

1. Pastikan terlebih dahulu aturan grup keamanan ECS telah mengizinkan protokol ICMP, lalu ping ECS sisi cloud dari klien di IDC lokal:

   ping 10.0.0.1

   Balasan mengonfirmasi konektivitas antara VPC dan IDC on-premises.

   Catatan: Saat melakukan ping dari perangkat strongSwan itu sendiri, tentukan alamat IP internal IDC sebagai alamat sumber (misalnya, ping -I 172.16.0.1 10.0.0.1) untuk mencegah kernel memilih alamat tunnel BGP (169.254.x.x) sebagai alamat sumber, yang akan menyebabkan jalur balik gagal.

2. Pastikan perangkat strongSwan atau server on-premises lainnya mengizinkan traffic ICMP. Masuk ke instance ECS (10.0.0.1) di VPC dan ping perangkat strongSwan:

   ping 172.16.0.1

   Balasan mengonfirmasi konektivitas dua arah.

Uji ketersediaan tinggi

Koneksi IPsec yang terikat ke Transit Router dan menggunakan BGP secara default menggunakan kedua tunnel secara simultan dalam mode ECMP (Equal-Cost Multi-Path), dengan lalu lintas dibagi beban antara kedua tunnel. Saat salah satu tunnel gagal, BGP secara otomatis menarik rute tunnel tersebut, dan lalu lintas konvergen ke tunnel lain tanpa alih manual.

1. Jaga agar ECS terus melakukan ping ke server IDC:

   ping 172.16.0.1 -c 10000

2. Hentikan salah satu tunnel: Di konsol Alibaba Cloud, ubah pre-shared key tunnel 1 koneksi IPsec (sehingga kunci di kedua ujung tidak sesuai). Tunnel akan terputus, dan neighbor BGP-nya juga akan terputus.

3. Amati hasil ping: Setelah gangguan singkat, komunikasi kembali normal, menandakan lalu lintas telah secara otomatis konvergen ke tunnel 2.

4. Pulihkan tunnel: Ubah kembali pre-shared key tunnel 1 ke nilai yang benar. Setelah tunnel dan neighbor BGP dipulihkan, lalu lintas akan kembali dibagi beban antara kedua tunnel.