VPN Gateway:Memulai: Koneksi IPsec ke router transit

Perencanaan sumber daya

• Cloud: Virtual Private Cloud (VPC) dengan blok CIDR 10.0.0.0/16 di wilayah China (Hangzhou).

  • vSwitch 1: Di zona ketersediaan H, dengan blok CIDR 10.0.0.0/24.

  • vSwitch 2: Di zona ketersediaan J, dengan blok CIDR 10.0.2.0/24.

  • Instance ECS: Ditempatkan di vSwitch dengan alamat IP 10.0.0.1 untuk pengujian konektivitas.

  • Instans CEN: Digunakan untuk meng-host Transit Router.

  • Transit Router: Dibuat di wilayah China (Hangzhou), dengan blok CIDR TR 10.10.10.0/24. Blok CIDR ini tidak boleh tumpang tindih dengan blok CIDR VPC atau IDC lokal.

• Lokal: IDC lokal dengan blok CIDR 172.16.0.0/16.

  • Perangkat strongSwan: Alamat IP privat 172.16.0.1.

  • Alamat IP publik: XX.XX.3.3.

• Algoritma enkripsi: IKEv2 / AES-128-CBC / SHA-1 / DH Group 2. Parameter enkripsi harus identik di kedua ujung tunnel.

• Metode perutean: perutean berbasis tujuan. Anda akan menambahkan route statis ke tabel rute Transit Router untuk mengarahkan lalu lintas yang ditujukan ke IDC lokal ke koneksi IPsec.

Prasyarat

• Blok CIDR VPC dan IDC lokal tidak tumpang tindih.

• VPC telah dibuat, dengan dua vSwitch di zona ketersediaan berbeda. Setidaknya satu instance ECS ada di dalam VPC untuk menguji konektivitas.

• Instans CEN dan Transit Router (TR) telah dibuat, serta kondisi berikut terpenuhi:

  • VPC dilampirkan ke TR.

  • Route learning dan route propagation diaktifkan antara VPC dan TR.

  • Blok CIDR dikonfigurasi untuk TR.

• Server Linux ditempatkan di IDC lokal Anda. Tutorial ini menggunakan CentOS Stream 9 sebagai contoh. Server harus memiliki alamat IP publik. Anda akan menginstal strongSwan pada server ini untuk bertindak sebagai perangkat gateway lokal.

1. Konfigurasi aturan firewall

Di perangkat strongSwan, izinkan lalu lintas masuk untuk protokol ESP (nomor protokol IP 50), Port UDP 500, dan Port UDP 4500 dari dua alamat IPsec sisi cloud.

Perintah berikut menggunakan iptables sebagai contoh. Sesuaikan perintah berdasarkan tool firewall yang Anda gunakan.

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. Aktifkan IP forwarding

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. Instal strongSwan

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4. Buat antarmuka XFRM dan skrip updown

Dalam skenario dual-tunnel, Anda perlu membedakan lalu lintas antar tunnel. Buat antarmuka virtual XFRM untuk menghindari konflik kebijakan perutean kernel.

# Buat antarmuka XFRM untuk Tunnel 1 dan Tunnel 2 masing-masing
sudo ip link add xfrm1 type xfrm dev eth0 if_id 1
sudo ip link add xfrm2 type xfrm dev eth0 if_id 2
sudo ip link set xfrm1 up
sudo ip link set xfrm2 up

# Tambahkan rute ECMP untuk menyeimbangkan beban traffic ke blok CIDR cloud di kedua tunnel
sudo ip route add 10.0.0.0/16 nexthop dev xfrm1 weight 1 nexthop dev xfrm2 weight 1

Buat skrip updown untuk secara otomatis mematikan antarmuka XFRM yang sesuai saat tunnel terputus. Hal ini memungkinkan kernel Linux mengalihkan lalu lintas ke tunnel aktif.

sudo tee /usr/local/bin/xfrm-updown.sh > /dev/null << 'EOF'
#!/bin/bash
XFRM_IF="xfrm${PLUTO_IF_ID_IN}"
case "${PLUTO_VERB}" in
    up-client)
        ip link set "${XFRM_IF}" up 2>/dev/null
        ;;
    down-client)
        ip link set "${XFRM_IF}" down 2>/dev/null
        ;;
esac
EOF
sudo chmod +x /usr/local/bin/xfrm-updown.sh

Untuk memastikan antarmuka dan rute XFRM tetap aktif setelah reboot, tambahkan perintah ke skrip startup.

5. Konfigurasi strongSwan

1. Buat cadangan file konfigurasi asli:

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Buat file konfigurasi baru:

   vi /etc/strongswan/swanctl/swanctl.conf

3. Tambahkan dan simpan konfigurasi berikut. Ganti alamat IP dan kunci contoh dengan nilai aktual Anda.

   # Konfigurasi IPsec-VPN dual-tunnel strongSwan
   # Untuk koneksi IPsec yang dilampirkan ke Transit Router Alibaba Cloud
   # dengan satu IP publik lokal, menggunakan perutean berbasis tujuan.
   #
   # Hanya ubah parameter yang ditandai "(Modify)". Pertahankan nilai default untuk parameter lainnya.
   # Konfigurasi ini menggunakan antarmuka XFRM (if_id) untuk membedakan traffic tunnel dan ECMP untuk load balancing.
   
   connections {
   
      # === Tunnel 1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # (Modify) IP privat NIC server strongSwan. Di lingkungan NAT, gunakan IP privat.
         local {
            auth = psk
            id = XX.XX.3.3                         # (Modify) Alamat IP publik lokal.
         }
   
         remote_addrs = XX.XX.1.1                  # (Modify) Alamat IP publik Tunnel 1 di Alibaba Cloud.
         remote {
            auth = psk
            id = XX.XX.1.1                         # (Modify) IP publik yang sama seperti remote_addrs di atas.
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 1                        # Sesuai dengan antarmuka xfrm1.
               if_id_out = 1
            }
         }
   
         if_id_in = 1
         if_id_out = 1
      }
   
      # === Tunnel 2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # (Modify) IP privat yang sama seperti Tunnel 1.
         local {
            auth = psk
            id = XX.XX.3.3                         # (Modify) IP publik lokal yang sama seperti Tunnel 1.
         }
   
         remote_addrs = XX.XX.2.2                  # (Modify) Alamat IP publik Tunnel 2 di Alibaba Cloud.
         remote {
            auth = psk
            id = XX.XX.2.2                         # (Modify) IP publik yang sama seperti remote_addrs di atas.
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 2                        # Sesuai dengan antarmuka xfrm2.
               if_id_out = 2
            }
         }
   
         if_id_in = 2
         if_id_out = 2
      }
   }
   
   secrets {
      ike-tunnel1 {
         id-1 = XX.XX.3.3                          # (Modify) Alamat IP publik lokal.
         id-2 = XX.XX.1.1                          # (Modify) Alamat IP publik Tunnel 1 di Alibaba Cloud.
         secret = "your-psk-here"                  # (Modify) Kunci pra-bersama untuk Tunnel 1. Harus sesuai dengan kunci di Alibaba Cloud.
      }
      ike-tunnel2 {
         id-1 = XX.XX.3.3                          # (Modify) Alamat IP publik lokal.
         id-2 = XX.XX.2.2                          # (Modify) Alamat IP publik Tunnel 2 di Alibaba Cloud.
         secret = "your-psk-here"                  # (Modify) Kunci pra-bersama untuk Tunnel 2. Harus sesuai dengan kunci di Alibaba Cloud.
      }
   }

   Penting

   • Parameter if_id_in dan if_id_out mengikat setiap tunnel ke antarmuka XFRM yang sesuai (xfrm1 atau xfrm2), memastikan lalu lintas dari kedua tunnel tidak saling mengganggu.

   • Selector traffic local_ts dan remote_ts diatur ke 0.0.0.0/0. Tabel rute pada antarmuka XFRM menentukan lalu lintas mana yang masuk ke tunnel. Dalam perutean berbasis tujuan, selector traffic sisi cloud juga diatur ke 0.0.0.0/0.

6. Jalankan strongSwan dan verifikasi status tunnel

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

Jika kedua tunnel menunjukkan status ESTABLISHED dan status CHILD_SA adalah INSTALLED, koneksi IPsec antara perangkat strongSwan dan Alibaba Cloud berhasil dibuat.

# Contoh output yang diharapkan (disingkat)
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

Uji konektivitas

1. Pertama, pastikan bahwa aturan grup keamanan untuk instance ECS mengizinkan lalu lintas ICMP. Kemudian, login ke perangkat strongSwan dan jalankan perintah berikut untuk ping instance ECS:

   ping 10.0.0.1

   Jika Anda menerima balasan, koneksi antara VPC dan IDC lokal telah berhasil dibuat.

2. Pertama, pastikan bahwa perangkat strongSwan atau server lokal lainnya mengizinkan lalu lintas ICMP. Kemudian, login ke instance ECS (10.0.0.1) di VPC dan ping alamat IP privat perangkat strongSwan:

   ping 172.16.0.1

   Jika Anda menerima balasan, koneksi balik juga berfungsi dengan baik.

Uji ketersediaan tinggi

Secara default, koneksi IPsec yang dilampirkan ke Transit Router menggunakan kedua tunnel secara simultan untuk load balancing dan ketersediaan tinggi dalam konfigurasi Equal-Cost Multi-Path (ECMP). Jika satu tunnel gagal, lalu lintas secara otomatis dialihkan ke tunnel aktif lainnya tanpa intervensi manual.

1. Jalankan ping terus-menerus dari instance ECS ke server di IDC lokal:

   ping 172.16.0.1 -c 10000

2. Hentikan salah satu tunnel. Misalnya, di konsol Alibaba Cloud, ubah kunci pra-bersama untuk Tunnel 1 agar terjadi ketidaksesuaian kunci. Hal ini akan menyebabkan tunnel terputus.

3. Amati hasil ping. Ping seharusnya dilanjutkan setelah gangguan singkat, menunjukkan bahwa lalu lintas telah secara otomatis dialihkan ke Tunnel 2.

4. Pulihkan tunnel dengan mengembalikan kunci pra-bersama Tunnel 1 ke nilai yang benar. Setelah tunnel dibuat ulang, lalu lintas akan kembali diseimbangkan di kedua tunnel.