Topik ini merangkum pertanyaan yang sering diajukan (FAQ) mengenai VPN Gateway.
Tautan cepat
Pertanyaan produk
Dapatkah saya menggunakan VPN Gateway untuk mengakses Internet?
Dapatkah VPC di wilayah yang berbeda berkomunikasi melalui VPN Gateway?
Dapatkah saya melakukan upgrade atau downgrade pada VPN Gateway?
Dapatkah VPN Gateway mengenkripsi traffic antara VPC dan Alamat IP publik?
Bagaimana cara menerapkan kontrol akses pada Alamat IP publik VPN Gateway?
Apakah VPN Gateway mendukung migrasi lintas akun atau penggantian VPC?
Apakah protokol WireGuard didukung untuk mengakses database lokal dari cloud?
Bagaimana proses konfigurasi untuk mengaktifkan IPsec-VPN/SSL-VPN?
Bagaimana cara memeriksa pemantauan bandwidth/traffic VPN Gateway?
Fitur IPsec-VPN
Berapa banyak Koneksi IPsec-VPN yang dapat saya buat untuk setiap VPN Gateway?
Dapatkah saya mengonfigurasi multiple remote network dalam satu Koneksi IPsec-VPN?
Fitur SSL-VPN
Apa itu koneksi non-lintas batas dan lintas batas?
Alibaba Cloud VPN Gateway menyediakan layanan yang mematuhi kebijakan dan peraturan terkait di Tiongkok. Layanan ini hanya mendukung koneksi non-lintas batas dan tidak mendukung Koneksi lintas batas. Jika Anda perlu mengakses resource lintas batas melalui koneksi VPN, lihat Bagaimana cara mengakses resource lintas batas melalui koneksi VPN?.
Koneksi non-lintas batas
Koneksi IPsec-VPN dianggap non-lintas batas jika wilayah data center lokal dan resource peer memenuhi salah satu kondisi berikut:
Data center lokal berada di Tiongkok daratan wilayah, dan resource peer berada di wilayah Alibaba Cloud di Tiongkok daratan.
Data center lokal berada di luar Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di luar Tiongkok daratan.
Koneksi SSL-VPN dianggap non-lintas batas jika wilayah client dan resource peer memenuhi salah satu kondisi berikut:
Client berada di Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di Tiongkok daratan.
Client berada di luar Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di luar Tiongkok daratan.
Contoh 1 | Contoh 2 |
Koneksi lintas batas
Koneksi IPsec-VPN dianggap lintas batas jika wilayah data center lokal dan resource peer memenuhi salah satu kondisi berikut:
Data center lokal berada di Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di luar Tiongkok daratan.
Data center lokal berada di luar Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di Tiongkok daratan.
Koneksi SSL-VPN dianggap lintas batas jika wilayah client dan resource peer memenuhi salah satu kondisi berikut:
Client berada di Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di luar Tiongkok daratan.
Client berada di luar Tiongkok daratan, dan resource peer berada di wilayah Alibaba Cloud di Tiongkok daratan.
Contoh 1 | Contoh 2 |
Klasifikasi wilayah
Kategori wilayah | Wilayah yang termasuk |
Tiongkok daratan | China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Hangzhou), China (Shanghai), China (Chengdu) |
Luar Tiongkok daratan | China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Philippines (Manila), South Korea (Seoul), Thailand (Bangkok), Germany (Frankfurt), UK (London), UAE (Dubai), US (Silicon Valley), US (Virginia) , SAU (Riyadh - Partner Region)), Mexico |
Bagaimana cara mengakses resource lintas batas melalui koneksi VPN?
Untuk mengakses resource lintas batas melalui koneksi VPN, gunakan Router transit (TR). TR memungkinkan komunikasi jaringan pribadi yang fleksibel antar-resource di berbagai wilayah, termasuk yang bersifat lintas batas.
Contoh topologi jaringan:
IPsec-VPN | SSL-VPN |
Dapatkah saya menggunakan VPN Gateway untuk mengakses internet?
Tidak.
VPN Gateway menyediakan akses jaringan pribadi ke VPC. Layanan ini tidak menyediakan akses Internet.
Prasyarat koneksi IPsec-VPN
Perangkat gateway di data center harus mendukung protokol IKEv1 dan IKEv2.
IPsec-VPN mendukung protokol IKEv1 dan IKEv2. Perangkat apa pun yang mendukung salah satu protokol tersebut dapat terhubung ke Alibaba Cloud VPN Gateway. Untuk informasi selengkapnya tentang cara memilih versi IKE, lihat Memilih versi IKE.
Perangkat gateway di data center harus memiliki Alamat IP publik statis (alamat IP publik tetap).
IPsec-VPN tidak mendukung pembentukan koneksi menggunakan Alamat IP publik dinamis. Dalam skenario di mana Alamat IP publik ditetapkan secara dinamis oleh penyedia layanan, seperti jaringan kantor atau broadband rumahan, Alamat IP publik akan berubah sehingga mustahil untuk membentuk Terowongan IPsec-VPN yang stabil dengan Alibaba Cloud VPN Gateway. Peer (Perangkat gateway lokal) harus memiliki Alamat IP publik statis untuk memastikan stabilitas saluran data.
Blok CIDR data center dan VPC tidak boleh tumpang tindih.
Untuk informasi tentang cara menghubungkan data center ke VPC menggunakan Koneksi IPsec-VPN, lihat Panduan cepat VPN Gateway standar.
Gateway lokal yang kompatibel
Alibaba Cloud VPN Gateway mendukung protokol standar IKEv1 dan IKEv2. Oleh karena itu, perangkat apa pun yang mendukung protokol ini dapat terhubung ke Alibaba Cloud VPN Gateway. Contohnya meliputi perangkat dari H3C, Hillstone, Sangfor, Cisco ASA, Juniper, SonicWall, Nokia, IBM, dan Ixia. Untuk informasi selengkapnya, lihat Mengonfigurasi perangkat lokal.
Dapatkah VPC di wilayah yang berbeda berkomunikasi melalui VPN Gateway?
Ya.
Untuk informasi selengkapnya, lihat Menghubungkan dua VPC dalam mode dual-tunnel.
Jika Anda membuat Koneksi IPsec-VPN antar-VPC di wilayah yang berbeda, kualitas koneksi bergantung pada kondisi jaringan publik. Sebaiknya gunakan Cloud Enterprise Network (CEN) untuk membangun koneksi antar-VPC di wilayah yang berbeda. Untuk informasi selengkapnya, lihat Menghubungkan VPC lintas akun.
Apakah traffic antar-VPC dialihkan melalui internet?
Saat Anda menggunakan VPN Gateway untuk mengaktifkan komunikasi antar-VPC:
Jika kedua VPC berada di wilayah yang sama, traffic ditransmisikan melalui jaringan Alibaba Cloud, bukan Internet.
Jika kedua VPC berada di wilayah yang berbeda, traffic ditransmisikan melalui Internet.
Jika saya sudah membeli VPN Gateway, apakah saya masih perlu membeli bandwidth publik elastis?
Tidak. IPsec-VPN membangun saluran data terenkripsi melalui jaringan pribadi, dan traffic ditransmisikan melalui jaringan pribadi tersebut. Oleh karena itu, Instans ECS di VPC dapat berkomunikasi dengan data center melalui VPN tanpa perlu membeli elastic IP address (EIP) atau bandwidth publik.
Dapatkah saya mengubah VPC pada VPN gateway setelah dibuat?
Tidak. Setelah VPN Gateway dibuat, Anda tidak dapat mengubah VPC-nya. Untuk mengasosiasikan VPN Gateway dengan VPC lain, Anda harus membuat VPN Gateway baru dan memilih VPC target.
Jika VPN Gateway dan Instans ECS tidak berada dalam VPC yang sama dan Anda tidak ingin membuat ulang VPN Gateway, Anda dapat menggunakan VPC Peering Connection untuk menghubungkan jaringan pribadi kedua VPC tersebut, sehingga memungkinkan komunikasi resource lintas VPC.
Apakah VPN Gateway mendukung migration cross-account atau penggantian VPC?
Tidak. Setelah VPN Gateway dibuat, layanan ini tidak mendukung migrasi lintas akun atau penggantian VPC yang terasosiasi. Batasan dan metode penanganan untuk setiap skenario adalah sebagai berikut:
Migrasi lintas akun: VPN Gateway tidak mendukung migrasi langsung ke akun lain (termasuk skenario lintas akun di wilayah yang sama). Untuk menggunakan VPN Gateway di bawah akun lain, Anda perlu membuat instans VPN Gateway baru di bawah akun target.
Mengganti VPC: VPN Gateway yang telah dibuat tidak mendukung penggantian VPC yang terasosiasi. Untuk mengasosiasikan VPN Gateway dengan VPC lain, Anda perlu menghapus konfigurasi VPN yang ada, berhenti berlangganan dari instans tersebut, lalu membeli VPN Gateway baru.
Saat menghapus antarmuka jaringan elastis, muncul pesan "managed by dependent cloud services, created by VPN": Antarmuka jaringan elastis yang terikat pada VPN Gateway tidak dapat dihapus secara langsung. Anda harus melepaskan instans VPN Gateway terlebih dahulu, dan antarmuka jaringan elastis yang terikat akan dilepaskan secara otomatis. Metode pelepasannya adalah sebagai berikut:
VPN Gateway Tradisional: Jika instans belum kedaluwarsa, temukan VPN Gateway target di Konsol dan pilih Action di kolom Apply for Refund; jika instans telah kedaluwarsa, sistem akan melepaskannya secara otomatis.
VPN Gateway yang Ditingkatkan: Di kolom Action pada VPN Gateway target, klik Delete.
Dapatkah saya menggunakan VPN Gateway untuk menghubungkan dua VPC yang dimiliki oleh Akun Alibaba Cloud yang berbeda?
Ya. Anda dapat menghubungkan dua VPC yang dimiliki oleh Akun Alibaba Cloud yang berbeda dengan salah satu cara berikut:
Menggunakan VPN Gateway: Buat instans VPN Gateway di bawah masing-masing akun, lalu konfigurasikan Koneksi IPsec-VPN, gateway pelanggan, dan rute di bawah masing-masing akun untuk mengaktifkan konektivitas antara kedua VPC.
Tanpa VPN Gateway: Gunakan VPC Peering Connection atau Cloud Enterprise Network (CEN) sebagai gantinya.
Bagaimana cara memilih VPC untuk diasosiasikan dengan VPN Gateway?
Setelah VPN Gateway dibuat, Anda tidak dapat mengganti VPC yang terasosiasi. Lakukan pemilihan sebelum pembuatan berdasarkan deployment resource Anda di cloud:
Belum ada resource yang di-deploy di cloud: Buat VPC terlebih dahulu, lalu asosiasikan VPC tersebut saat Anda membuat VPN Gateway.
Resource cloud (seperti ECS dan RDS) berada dalam satu VPC: Asosiasikan VPN Gateway dengan VPC tempat resource tersebut berada.
Resource cloud tersebar di multiple VPC: Sebaiknya gunakan VPN Gateway yang terasosiasi dengan Router transit (TR) untuk berkomunikasi dengan multiple VPC melalui Koneksi IPsec-VPN. Untuk informasi selengkapnya, lihat Mengikat ke router transit.
Apakah pembuatan VPN Gateway mengubah alamat IP publik dari Instans ECS yang ada?
Tidak. Pembuatan VPN Gateway tidak memengaruhi Alamat IP publik dari Instans ECS yang ada di VPC. Alamat IP publik Instans ECS tetap tidak berubah.
Apakah protokol WireGuard didukung untuk mengakses database lokal dari cloud?
Saat ini, Koneksi IPsec-VPN Alibaba Cloud hanya mendukung protokol IPsec standar (termasuk versi IKEv1 dan IKEv2), dan protokol WireGuard tidak didukung.
Untuk memungkinkan aplikasi backend cloud mengakses database lokal, sebaiknya gunakan IPsec-VPN untuk membangun saluran data terenkripsi dan membentuk LAN virtual antara server lokal dan VPC cloud guna mengaktifkan akses timbal balik yang aman:
Buat VPN Gateway di Konsol Alibaba Cloud dan konfigurasikan koneksi IPsec, tentukan Blok CIDR lokal (Blok CIDR tempat VPC berada) dan Blok CIDR remote (Blok CIDR tempat server database lokal berada).
Selesaikan konfigurasi IPsec-VPN yang sesuai pada Perangkat gateway lokal, pastikan parameter IKE/IPsec di kedua sisi konsisten.
Konfigurasikan aturan routing yang benar untuk memastikan bahwa traffic antara Blok CIDR VPC cloud dan Blok CIDR server lokal diteruskan dengan benar.
Setelah menyelesaikan konfigurasi di atas dan mengonfirmasi bahwa status koneksi IPsec adalah "Phase 2 negotiation succeeded", Anda dapat mencapai akses timbal balik yang aman antara layanan cloud dan database lokal.
IPsec server vs. SSL server
Item | IPsec server | SSL server |
Skenario penggunaan | Menyediakan koneksi end-to-site. | Menyediakan koneksi end-to-site. |
Mode client | Client seluler iOS terhubung melalui IPsec-VPN. | Client seluler Android dan komputer terhubung melalui SSL-VPN. |
Mode koneksi | Menggunakan fitur VPN bawaan iOS. | Menggunakan OpenVPN. |
Metode enkripsi | IPsec | Sertifikat SSL |
Dapatkah saya mengonfigurasi multiple remote network dalam satu koneksi IPsec-VPN?
Ya.
Sebelum Anda mengonfigurasi multiple remote network untuk Koneksi IPsec-VPN, tinjau saran konfigurasi untuk multiple Blok CIDR. Untuk informasi selengkapnya, lihat Saran konfigurasi untuk skenario multi-Blok CIDR.
Berapa banyak koneksi IPsec-VPN yang dapat saya buat untuk setiap VPN Gateway?
Secara default, Anda dapat membuat hingga 10 Koneksi IPsec-VPN untuk setiap VPN Gateway. Anda dapat menyesuaikan Kuota di Konsol Alibaba Cloud. Untuk informasi selengkapnya, lihat Mengelola kuota.
Bagaimana cara mengonfigurasi sisi lokal saat multiple koneksi IPsec-VPN menggunakan VPN Gateway dan gateway pelanggan yang sama?
Sisi Alibaba Cloud: Saat multiple Koneksi IPsec-VPN diasosiasikan dengan VPN Gateway dan gateway pelanggan yang sama, parameter negosiasi IPsec setiap koneksi (seperti algoritma enkripsi, algoritma autentikasi, grup DH, dan kunci pra-bersama) harus konsisten.
Sisi lokal: Anda tidak perlu menyiapkan koneksi fisik terpisah atau antarmuka tambahan untuk setiap Koneksi IPsec-VPN. Anda hanya perlu memastikan bahwa konfigurasi IPsec pada Perangkat gateway lokal Anda sesuai dengan parameter negosiasi koneksi terkait di sisi Alibaba Cloud.
Pemeriksaan kemampuan perangkat: Verifikasi apakah Perangkat gateway lokal Anda mendukung mode koneksi IPsec satu-ke-banyak. Jika tidak, Anda perlu menyesuaikan arsitektur jaringan atau mengganti Perangkat gateway lokal Anda.
Cara mengonfigurasi ACL jaringan
Jenis VPN Gateway | Aturan yang diperlukan |
IPsec-VPN | Dalam ACL jaringan, konfigurasikan aturan outbound dan inbound untuk mengizinkan traffic dari Blok CIDR dan alamat IP berikut. Hal ini memastikan bahwa VPN Gateway dapat membentuk koneksi IPsec-VPN.
|
SSL-VPN | Dalam ACL jaringan, konfigurasikan aturan outbound dan inbound untuk mengizinkan traffic dari Blok CIDR dan alamat IP berikut, serta buka port SSL-VPN. Hal ini memastikan bahwa VPN Gateway dapat membentuk koneksi SSL-VPN.
|
Dapatkah saya melakukan upgrade atau downgrade pada VPN Gateway?
Ya.
Untuk melakukan upgrade atau downgrade bandwidth VPN Gateway Anda, lihat Upgrade.
Untuk melakukan upgrade atau downgrade jumlah maksimum koneksi SSL konkuren untuk VPN Gateway Anda, lihat Mengubah koneksi konkuren SSL.
Untuk mengaktifkan fitur IPsec-VPN atau SSL-VPN pada VPN Gateway Anda, lihat Mengaktifkan IPsec-VPN dan Mengaktifkan fitur SSL-VPN.
Melihat informasi koneksi SSL client
Ya.
Untuk informasi selengkapnya, lihat Melihat koneksi SSL client.
Instans VPN Gateway yang dibuat setelah 10 Desember 2022 mendukung fitur ini secara default.
Secara default, instans VPN Gateway yang dibuat sebelum 10 Desember 2022 tidak mendukung tampilan informasi koneksi SSL client. Untuk mengaktifkannya, lakukan upgrade pada instans VPN Gateway.
SSL-VPN pada instans lawas
Tidak.
Untuk menggunakan fitur SSL-VPN, Anda harus melakukan upgrade VPN Gateway ke versi terbaru. Untuk informasi selengkapnya, lihat Upgrade VPN Gateway.
Memilih versi IKE
Saat Anda mengonfigurasi Koneksi IPsec-VPN, pilih versi IKE berdasarkan versi IKE yang didukung oleh perangkat gateway peer dan apakah Anda perlu berkomunikasi di seluruh multiple Blok CIDR.
Komunikasi multi-Blok CIDR berarti Anda telah mengonfigurasi multiple Local Network atau Remote Network saat mengonfigurasi koneksi IPsec.
Dukungan IKE perangkat peer | Komunikasi multi-CIDR | Konfigurasi |
Hanya IKEv1 | Ya |
|
Tidak | Gunakan IKEv1 untuk koneksi IPsec-VPN dan perangkat gateway peer. | |
Hanya IKEv2 | Ya |
|
Tidak | Gunakan IKEv2 untuk koneksi IPsec-VPN dan perangkat gateway peer. | |
IKEv1 dan IKEv2 | Ya |
|
Tidak | Gunakan IKEv2 untuk koneksi IPsec-VPN dan perangkat gateway peer. Dibandingkan dengan IKEv1, IKEv2 menyederhanakan proses negosiasi Security Association (SA) dan memberikan dukungan yang lebih baik untuk skenario dengan multiple Blok CIDR. Gunakan IKEv2. |
Mengapa negosiasi IPsec-VPN lambat berlaku, dan berapa lama waktu normal yang dibutuhkan?
Waktu berlaku normal: Jika konfigurasi di kedua ujung Koneksi IPsec-VPN (sisi Alibaba Cloud dan sisi Perangkat gateway lokal) benar dan saling cocok, negosiasi IPsec-VPN pada dasarnya berlaku dalam hitungan detik.
Pemecahan masalah kelambatan: Jika negosiasi lambat berlaku, verifikasi apakah konfigurasi di kedua ujung disesuaikan selama periode ini, seperti memodifikasi parameter negosiasi IKE/IPsec, konfigurasi rute, atau aturan security group. Perubahan konfigurasi memicu negosiasi ulang, yang dapat menambah waktu negosiasi.
Bagaimana cara memicu negosiasi ulang koneksi IPsec-VPN?
Koneksi IPsec-VPN tidak mendukung operasi restart langsung.
Jika Anda perlu memicu negosiasi ulang saluran data secara paksa (misalnya, saat perubahan konfigurasi tidak berlaku secara otomatis), Anda dapat memodifikasi item konfigurasi apa pun (seperti Pre-shared key atau SA lifetime) dan menyimpannya. Setelah konfigurasi berlaku, ubah item konfigurasi kembali ke nilai aslinya dan simpan lagi untuk memicu sistem memulai ulang negosiasi IKE/IPsec.
Koneksi IPsec-VPN dengan NAT
Misalnya, sebuah data center berencana menggunakan alamat IP 42.XX.XX.1 untuk membangun Koneksi IPsec-VPN dengan Alibaba Cloud VPN Gateway. Namun, data center tersebut menggunakan SNAT, yang menerjemahkan IP sumber dari 42.XX.XX.1 menjadi 47.XX.XX.21. Dalam kasus ini, saat Anda membuat gateway pelanggan di Konsol VPN Gateway, Anda harus mengatur alamat IP gateway pelanggan menjadi 47.XX.XX.21. Hal ini memungkinkan Alibaba Cloud VPN Gateway untuk membangun Koneksi IPsec-VPN dengan data center.
Gunakan port IPsec default (UDP 500 dan 4500) untuk membangun Koneksi IPsec-VPN antara data center Anda dan VPN Gateway. Jangan menerjemahkan nomor port.
Di sisi Alibaba Cloud, jika VPC tempat VPN Gateway berhadapan publik terasosiasi juga memiliki NAT Gateway yang dikonfigurasi, NAT Gateway tidak akan menerjemahkan alamat IP dari instans VPN Gateway berhadapan publik tersebut.
Meningkatkan bandwidth IPsec-VPN
Saat Koneksi IPsec-VPN diasosiasikan dengan instans VPN Gateway, bandwidth maksimum instans adalah 1.000 Mbit/s (500 Mbit/s di beberapa wilayah). Untuk meningkatkan bandwidth Koneksi IPsec-VPN, asosiasikan Koneksi IPsec-VPN dengan instans Router transit (TR) untuk menghubungkan data center Anda ke Alibaba Cloud. Kemudian Anda dapat menggunakan TR untuk mengaktifkan komunikasi jaringan antara data center dan VPC Anda.
Saat Koneksi IPsec-VPN diasosiasikan dengan instans TR, bandwidth maksimum satu Koneksi IPsec-VPN adalah 1.000 Mbit/s. Untuk meningkatkan total bandwidth, Anda dapat membangun multiple Koneksi IPsec-VPN antara TR dan data center. Hal ini memungkinkan traffic antara data center dan Alibaba Cloud ditransmisikan melalui multiple Koneksi IPsec-VPN secara bersamaan, seperti yang ditunjukkan pada gambar berikut. Untuk informasi selengkapnya, lihat Load balancing dengan multiple Koneksi IPsec-VPN publik dan Membuat multiple Koneksi IPsec-VPN pribadi untuk menerapkan load balancing.
Skenario Koneksi IPsec-VPN publik:
Skenario Koneksi IPsec-VPN pribadi:
Meneruskan traffic lintas zona?
Ya.
Saat Anda membuat instans VPN Gateway, Anda harus menentukan vSwitch. Sistem men-deploy VPN Gateway di zona tempat vSwitch yang ditentukan berada. Setelah instans VPN Gateway dibuat, instans tersebut dapat meneruskan traffic untuk Instans ECS di semua zona VPC.
Tergantung pada pengaturan Anda, Anda mungkin perlu menambahkan rute untuk mengaktifkan instans VPN Gateway agar dapat meneruskan traffic dari Instans ECS. Misalnya, jika vSwitch di beberapa zona diasosiasikan dengan tabel rute kustom VPC, Anda harus menambahkan rute kustom yang mengarah ke instans VPN Gateway ke tabel rute kustom tersebut.
Mengatasi konflik rute
Jika error dilaporkan saat Anda menambahkan rute ke instans VPN Gateway, error ini biasanya terjadi karena salah satu alasan berikut:
Blok CIDR tujuan dari rute yang ingin Anda tambahkan sama dengan Blok CIDR tujuan dari rute yang sudah ada di VPC. Periksa rute di tabel rute VPC untuk mengatasi konflik rute.
Rute yang ingin Anda tambahkan bertentangan dengan rute yang sudah ada pada instans VPN Gateway. Periksa rute berbasis kebijakan dan rute berbasis tujuan dari instans VPN Gateway untuk mengatasi konflik rute.
Jika Anda menambahkan rute berbasis tujuan yang Blok CIDR tujuan dan lompatan berikutnya sama dengan rute berbasis tujuan yang sudah ada pada instans VPN Gateway, konflik rute akan terjadi.
Jika Anda menambahkan rute berbasis kebijakan yang Blok CIDR sumber, Blok CIDR tujuan, dan lompatan berikutnya sama dengan rute berbasis kebijakan yang sudah ada pada instans VPN Gateway, konflik rute akan terjadi.
Mengapa koneksi VPN tidak mencapai bandwidth yang dibeli?
Meskipun VPN Gateway menyediakan bandwidth yang Anda beli, faktor-faktor berikut memengaruhi throughput aktual:
Fitur, kapasitas koneksi, ukuran paket rata-rata, dan protokol (TCP dan UDP) dari perangkat yang diasosiasikan dengan gateway pelanggan.
Latensi jaringan antara perangkat yang diasosiasikan dengan gateway pelanggan dan VPN Gateway.
CatatanJika Anda membeli instans VPN Gateway berhadapan publik atau menggunakan Koneksi IPsec-VPN berhadapan publik, kapasitas bandwidth publik dan latensi Internet dapat memengaruhi throughput Anda.
Jika Anda perlu menguji bandwidth VPN Gateway, gunakan tool iPerf3. Laju transfer perintah seperti FTP, SCP, dan CP tidak mencerminkan Throughput jaringan yang sebenarnya karena dibatasi oleh kecepatan I/O disk. Untuk informasi selengkapnya tentang cara menggunakan tool iPerf3, lihat Menggunakan iPerf3 untuk menguji bandwidth sirkuit Express Connect.
Jika Anda memiliki persyaratan tinggi untuk kualitas transmisi, gunakan Cloud Enterprise Network (CEN).
Mengapa kecepatan transmisi IPsec-VPN lebih lambat daripada Internet, atau latensinya lebih tinggi daripada leased line?
Sumber overhead performa: Di atas Paket data asli, IPsec-VPN menambahkan overhead pemrosesan enkripsi dan dekripsi, enkapsulasi header, dan mekanisme keamanan, yang meningkatkan latensi RTT dan menghasilkan throughput yang lebih rendah dibandingkan akses Internet murni atau leased line fisik.
Perbandingan dengan leased line: Leased line fisik tidak melewati backbone network penyedia layanan Internet dan tidak memiliki overhead enkripsi, sehingga dapat mengoptimalkan RTT dan mengurangi latensi.
Dapatkah VPN Gateway mengenkripsi traffic antara VPC dan alamat IP publik?
Ya.
Untuk menggunakan VPN Gateway guna mengenkripsi traffic dari resource di VPC ke Alamat IP publik, kondisi berikut harus dipenuhi:
Tambahkan Blok CIDR tempat Alamat IP publik berada ke VPN Gateway:
Jika Anda menggunakan IPsec-VPN, Anda perlu menambahkan Blok CIDR publik ke Remote Network pada koneksi IPsec.
Jika Anda menggunakan SSL-VPN, Anda perlu menambahkan Blok CIDR publik ke Client CIDR Block pada SSL server.
Tetapkan Blok CIDR publik sebagai Blok CIDR yang ditentukan pengguna untuk VPC guna memastikan bahwa VPC dapat mengakses Blok CIDR publik tersebut. Untuk informasi selengkapnya tentang Blok CIDR yang ditentukan pengguna, lihat FAQ VPC dan FAQ VPC.
Kuota entri rute terlampaui
Jika Anda tidak dapat menambahkan entri rute baru atau Koneksi IPsec-VPN tidak dapat mempelajari rute BGP karena kuota entri rute terpenuhi.
Tingkatkan kuota entri rute.
Anda dapat meningkatkan kuota untuk entri rute berbasis kebijakan, entri rute berbasis tujuan, atau entri rute BGP. Untuk informasi selengkapnya, lihat Kuota IPsec-VPN.
Konfigurasikan rute agregat.
Tanpa memengaruhi bisnis Anda, gabungkan multiple entri rute yang dikonfigurasi menjadi satu entri rute tunggal.
Misalnya, jika Anda telah mengonfigurasi tiga rute berbasis tujuan dengan Blok CIDR tujuan 10.10.1.0/24, 10.10.2.0/24, dan 10.10.3.0/24, yang lompatan berikutnya semuanya mengarah ke koneksi IPsec yang sama (misalnya, koneksi IPsec 1), Anda dapat menambahkan rute berbasis tujuan dengan Blok CIDR tujuan 10.10.0.0/22 dan lompatan berikutnya mengarah ke koneksi IPsec 1, lalu menghapus tiga rute berbasis tujuan di atas untuk menghemat kuota entri rute berbasis tujuan.
Saat bandwidth VPN jenuh atau penggunaan bandwidth tinggi, bagaimana cara menemukan IP sumber dan IP tujuan teratas?
Anda dapat mengaktifkan Log aliran VPC untuk mengumpulkan dan menganalisis traffic antarmuka jaringan elastis VPN. Untuk informasi selengkapnya, lihatMemeriksa traffic VPN Gateway menggunakan Log aliran ENI.
Saat mengunggah file besar, mengapa kecepatannya menurun secara bertahap hingga 0?
Dampak saturasi bandwidth: Saat bandwidth VPN Gateway jenuh, koneksi IPsec atau SSL lainnya di bawah VPN Gateway mungkin mengalami perlambatan dan kehilangan paket. Anda dapat melihat Penggunaan bandwidth melalui Memantau instans VPN Gateway untuk memeriksa apakah bandwidth jenuh.
Saran verifikasi: Sebaiknya uji ulang kecepatan unggah dan unduh selama periode tanpa traffic berat untuk mengonfirmasi kemampuan bandwidth aktual VPN Gateway.
Apa jenis alamat IP publik dari VPN gateway?
Jenis Alamat IP publik VPN Gateway adalah BGP multi-jalur. Jenis ini memberikan pengalaman akses yang cepat dan stabil kepada pengguna dengan menghubungkan ke multiple jalur penyedia layanan dan memilih Jalur optimal secara otomatis.
Apa perbedaan antara mode single-tunnel dan dual-tunnel?
Koneksi IPsec pada instans VPN Gateway yang baru dibeli secara default berada dalam mode dual-tunnel. Instans VPN Gateway yang ada secara default hanya mendukung pembuatan Koneksi IPsec-VPN mode single-tunnel. Sebaiknya segera Upgrade VPN Gateway ke mode dual-tunnel untuk mendapatkan ketersediaan koneksi yang lebih tinggi. Upgrade ke mode dual-tunnel tidak mengubah metode penagihan dan tidak menimbulkan biaya tambahan.
Perbedaan | Mode single-tunnel | Mode dual-tunnel |
Jumlah saluran data di bawah satu koneksi IPsec-VPN | Satu | Dua |
Jumlah vSwitch yang terasosiasi | Anda hanya perlu menentukan satu vSwitch saat membuat instans VPN gateway. | Saat membuat instans VPN gateway, Anda perlu menentukan dua vSwitch yang didistribusikan di zona yang berbeda. |
Ketersediaan tinggi | Anda perlu mencapai Ketersediaan tinggi dengan membuat multiple koneksi IPsec-VPN di bawah satu instans VPN gateway atau dengan membuat multiple instans VPN gateway. | Ketersediaan tinggi dapat dicapai melalui dua saluran data di bawah satu koneksi IPsec-VPN. |
Mengonfigurasi bobot rute | Didukung | Tidak didukung |
Fitur pemeriksaan kesehatan | Didukung | Tidak didukung |
Alamat IP VPN gateway | Setelah instans VPN gateway dibuat, sistem hanya menetapkan satu alamat IP ke instans VPN gateway. VPN gateway menggunakan alamat IP ini untuk membangun koneksi IPsec-VPN atau SSL-VPN dengan peer. | Setelah instans VPN gateway dibuat, sistem menetapkan hingga tiga alamat IP ke instans VPN gateway (dalam skenario di mana instans VPN gateway memiliki fitur IPsec-VPN dan SSL-VPN yang diaktifkan). Di antaranya, koneksi IPsec-VPN menggunakan dua alamat IP untuk membangun dua saluran data terenkripsi, dan koneksi SSL-VPN menggunakan satu alamat IP untuk membangun koneksi dengan client. Ketiga alamat IP tersebut berbeda satu sama lain. |
Bagaimana cara menghapus secondary tunnel pada IPsec-VPN?
Secondary tunnel tidak dapat dihapus. Alibaba Cloud IPsec-VPN menggunakan arsitektur dual-tunnel high availability secara default. Kedua saluran data bersama-sama memastikan redundansi tautan dan disaster recovery zona, sehingga sistem tidak mengizinkan Anda menghapus secondary tunnel.
Pastikan kedua saluran data dikonfigurasi dan dalam status tersedia. Jika Anda hanya mengonfigurasi atau menggunakan salah satu saluran data:
Anda tidak dapat memperoleh redundansi tautan, dan kegagalan satu saluran data akan langsung menyebabkan gangguan bisnis.
Anda tidak dapat memperoleh disaster recovery zona.
Dalam skenario ini, VPN Gateway tidak memberikan komitmen SLA.
Sebaiknya rujuk dokumentasi konfigurasi vendor Perangkat gateway lokal dan selesaikan konfigurasi kedua saluran data secara bersamaan untuk memastikan Ketersediaan tinggi koneksi VPN.
Saya membeli VPN gateway dual-tunnel tetapi hanya ingin menggunakan single-tunnel. Bagaimana cara mengonfigurasinya?
Metode ini menghilangkan redundansi tautan dan disaster recovery zona, dan hanya disarankan untuk skenario pengujian khusus atau transisi.
Saat membuat koneksi IPsec, pastikan parameter saluran data pertama dikonfigurasi dengan benar. Gateway pelanggan dan parameter lain dari saluran data kedua dapat ditentukan secara sembarang.
Di sisi IDC lokal, konfigurasikan hanya koneksi IPsec yang sesuai dengan saluran data 1, dan jangan konfigurasikan parameter negosiasi saluran data 2.
Bagaimana cara menerapkan kontrol akses pada IP publik VPN gateway?
VPN Gateway itu sendiri tidak mendukung konfigurasi langsung daftar putih IP sumber publik di tingkat produk. Untuk dua skenario IPsec-VPN dan SSL-VPN, mekanisme kontrol aksesnya adalah sebagai berikut:
IPsec-VPN: Saat membuat Koneksi IPsec-VPN, Anda harus mengonfigurasi Alamat IP publik gateway pelanggan di sisi Alibaba Cloud. VPN Gateway hanya menerima permintaan negosiasi IKE/IPsec dari Alamat IP gateway pelanggan ini. Alamat IP dari sumber lain tidak dapat membangun Terowongan IPsec dengan VPN Gateway, sehingga tidak diperlukan kontrol akses IP sumber tambahan.
SSL-VPN: Koneksi SSL-VPN tidak membatasi Alamat IP sumber client, dan kontrol akses bergantung pada verifikasi Sertifikat klien. Jika Anda perlu memperkuat kontrol akses, Anda dapat menggunakan IDaaS untuk menerapkan otentikasi dua faktor.
Jika Anda perlu memfilter network traffic subnet tempat VPN Gateway berada berdasarkan IP sumber, Anda dapat menggunakan fitur ACL jaringan VPC. Buat ACL jaringan di Konsol VPC, tetapkan aturan inbound untuk membatasi IP sumber, lalu asosiasikan ACL jaringan dengan vSwitch tempat VPN Gateway berada. Untuk informasi selengkapnya, lihat Cara mengonfigurasi ACL jaringan.
Konflik aturan ICMP security group dengan prioritas yang sama menyebabkan kegagalan VPN
Gejala: Tidak dapat melakukan ping resource di VPC setelah Koneksi SSL-VPN terbentuk.
Penyebab: Terdapat dua aturan ICMP inbound dengan prioritas 1 di security group:
Tolak semua sumber (0.0.0.0/0)
Izinkan Blok CIDR client VPN (10.200.200.0/24)
Ketika dua aturan memiliki prioritas yang sama, aturan tolak didahulukan, menyebabkan traffic ICMP diblokir.
Solusi: Tingkatkan nilai prioritas aturan tolak (misalnya, dari 1 menjadi 2) agar aturan izinkan (prioritas 1) dicocokkan terlebih dahulu dan berlaku.
Semakin kecil nilai prioritas aturan security group, semakin tinggi prioritasnya. Setelah Anda meningkatkan nilai prioritas aturan tolak, aturan izinkan akan dicocokkan terlebih dahulu.
Bagaimana cara membeli/menagih VPN gateway?
Anda perlu mengonfirmasi jenis VPN Gateway yang ingin dibeli:
Gateway IPsec-VPN (menghubungkan IDC ke VPC):
Gateway IPsec-VPN yang Ditingkatkan: bayar sesuai penggunaan. Saat ini, hanya biaya Lalu lintas internet yang dikenakan (ditagih oleh CDT), dan biaya koneksi IPsec tidak dikenakan untuk saat ini.
Gateway IPsec-VPN Standar: ditagih berdasarkan spesifikasi bandwidth (mulai dari 5 Mbps, mendukung 5/10/20/50/100/200/500/1.000 Mbps), prabayar bulanan/tahunan.
Metode pembelian: Membuat gateway IPsec-VPN.
Gateway SSL-VPN (menghubungkan client ke VPC): ditagih berdasarkan jumlah maksimum koneksi konkuren (misalnya, paket 20/50/100/500/1.000 pengguna), tidak bergantung pada jumlah sertifikat—jumlah paket = konkurensi maksimum, bukan jumlah sertifikat yang dibuat. Metode pembelian: Membuat gateway SSL-VPN
Apakah IPsec-VPN yang terikat pada router transit (TR) tetap ditagih setelah terputus? Bagaimana cara menghentikan penagihan?
Meskipun Koneksi IPsec-VPN telah terputus atau tidak ada data yang ditransmisikan:
Selama koneksi IPsec masih ada, biaya instans koneksi IPsec terus dikenakan.
Selama koneksi VPN (koneksi instans jaringan pada TR) masih ada, biaya koneksi TR terus dikenakan.
Untuk aturan penagihan spesifik, lihat Penagihan.
Cara menghentikan penagihan: Untuk menghentikan penagihan, pertama hapus koneksi VPN pada router transit terkait di Konsol Cloud Enterprise Network, lalu hapus koneksi IPsec terkait di Konsol IPsec-VPN.
Apakah VPN gateway mendukung Savings Plans atau potongan paket sumber daya?
Tidak. VPN Gateway saat ini tidak mendukung penawaran potongan biaya seperti Savings Plans atau paket sumber daya. Semua biaya diselesaikan secara independen berdasarkan item penagihan aktual (metode penagihan subscription atau bayar sesuai penggunaan).
Di antaranya, Gateway IPsec-VPN yang Ditingkatkan saat ini tidak mengenakan biaya koneksi IPsec.
Bagaimana proses konfigurasi untuk mengaktifkan IPsec-VPN / SSL-VPN?
Proses untuk kedua jenis ini berbeda:
IPsec-VPN (site-to-site): ① Buat VPN Gateway → ② Buat gateway pelanggan (masukkan Alamat IP publik peer) → ③ Buat koneksi IPsec (konfigurasikan kunci pra-bersama, Blok CIDR lokal/peer, versi IKE, dan algoritma) → ④ Konfigurasikan routing (tambahkan rute yang mengarah ke VPN Gateway di tabel rute VPC) → ⑤ Konfigurasikan parameter terkait pada perangkat lokal. Referensi: Panduan cepat VPN Gateway yang ditingkatkan.
SSL-VPN (akses client): ① Buat VPN Gateway (jenis SSL) → ② Buat SSL server (konfigurasikan Blok CIDR lokal dan Blok CIDR client) → ③ Buat Sertifikat klien → ④ Unduh konfigurasi client dan perangkat lunak client → ⑤ Hubungkan. Referensi: Menghubungkan ke VPC dari PC/perangkat Android melalui SSL-VPN.
Bagaimana cara memeriksa pemantauan bandwidth/Trafik Gateway VPN?
Dua titik masuk:
Konsol VPN Gateway → Pilih instans → Lihat grafik pemantauan (termasuk traffic saluran data, bandwidth inbound dan outbound).
Konsol CloudMonitor → Cari "VPN Gateway" → Pilih wilayah dan instans. Referensi: Memantau instans VPN Gateway.