VPN Gateway:Express Connect dan IPsec-VPN sebagai tautan utama dan cadangan

Contoh skenario

Topik ini menjelaskan arsitektur jaringan redundan yang menggunakan tautan Express Connect dan koneksi IPsec sebagai tautan utama dan cadangan.

Dalam skenario ini, tautan Express Connect menggunakan Border Gateway Protocol (BGP), sedangkan koneksi IPsec menggunakan BGP atau route statis.

Perencanaan Sumber Daya

Rencana resource Alibaba Cloud:

• VPC: VPC dengan blok CIDR 10.0.0.0/16 di wilayah Jerman (Frankfurt).

  • vSwitch 1: 10.0.0.0/24, yang berisi instance ECS dengan alamat IP 10.0.0.1 untuk pengujian konektivitas.

  • vSwitch 2: 10.0.1.0/24.

• TR: Instans CEN dan router transit (TR) dengan blok CIDR 10.3.0.0/24 dibuat di wilayah Jerman (Frankfurt).

• ECR: Express Connect Router (ECR) dengan Autonomous System Number (ASN) 65001.

• VBR: Port fisik dibuat untuk menghubungkan ke perangkat gateway lokal, dan Virtual Border Router (VBR) dibuat berdasarkan port tersebut.

  • Alibaba Cloud Side IPv4 Address: 10.1.0.1.

  • Data Center Side IPv4 Address: 10.1.0.2.

  • IPv4 Subnet Mask: 255.255.255.252.

• Koneksi IPsec:

  • Jika Anda menggunakan BGP, pengaturan BGP adalah sebagai berikut:

    • Tunnel 1: Blok CIDR terowongan adalah 169.254.10.0/30, dan alamat IP BGP sisi Alibaba Cloud adalah 169.254.10.1.

    • Tunnel 2: Blok CIDR terowongan adalah 169.254.20.0/30, dan alamat IP BGP sisi Alibaba Cloud adalah 169.254.20.1.

• ASN sisi Alibaba Cloud: 65001.

  Anda hanya dapat menyesuaikan ASN di cloud setelah bergabung dengan ECR. Jika tidak, nilai default 45104 akan digunakan.

Rencana resource IDC lokal:

• Jaringan lokal: 172.16.0.0/16, yang berisi server dengan alamat IP 172.16.0.1 untuk pengujian konektivitas.

• Perangkat gateway lokal:

  • Terhubung ke Alibaba Cloud melalui tautan Express Connect. Alamat IP antarmuka jaringan untuk tautan Express Connect adalah 10.1.0.2.

  • Mendukung fitur IPsec-VPN. Jika Anda menggunakan BGP, pengaturan BGP adalah sebagai berikut:

    • Tunnel 1: Blok CIDR terowongan adalah 169.254.10.0/30, dan alamat IP BGP lokal adalah 169.254.10.2.

    • Tunnel 2: Blok CIDR terowongan adalah 169.254.20.0/30, dan alamat IP BGP lokal adalah 169.254.20.2.

    Jika koneksi IPsec menggunakan route statis, pastikan perangkat gateway lokal Anda mendukung perutean Equal-Cost Multi-Path (ECMP) statis. Saat Anda mengaitkan koneksi IPsec dengan TR, kedua terowongan secara otomatis membentuk tautan ECMP untuk traffic dari cloud ke IDC lokal Anda. Jika IDC lokal Anda tidak mendukung ECMP untuk traffic ke cloud, terjadi perutean asimetris.

  • Satu alamat IP publik digunakan untuk lalu lintas keluar: 3.3.XX.XX. Alamat IP publik ini digunakan untuk membuat koneksi IPsec.

• ASN lokal: 65002.

Langkah 1. Buat sumber daya

1. Di wilayah Jerman (Frankfurt), buat port fisik khusus atau bersama dan hubungkan ke perangkat gateway lokal.

2. Buat VPC dan vSwitch, instance ECS, instans CEN, TR, ECR, dan VBR sesuai definisi dalam rencana resource.

Langkah 2. Hubungkan tautan Express Connect

ping 172.16.0.1

Langkah 3. Hubungkan koneksi IPsec

Langkah 4. Konfigurasikan tautan utama dan cadangan

• Pemilihan jalur utama/cadangan untuk lalu lintas keluar (konfigurasi sisi Alibaba Cloud)

  Berdasarkan prioritas rute TR, rute dari instans VBR atau ECR memiliki prioritas lebih tinggi daripada rute dari koneksi IPsec. Oleh karena itu, tidak diperlukan konfigurasi tambahan. Lalu lintas keluar dari cloud secara otomatis memprioritaskan tautan Express Connect.

• Pemilihan jalur utama/cadangan untuk lalu lintas masuk (konfigurasi sisi IDC lokal)

  Atur prioritas rute pada perangkat gateway lokal Anda:

  • Jika koneksi IPsec menggunakan perutean BGP, atur prioritas sebagai berikut: Rute BGP yang dipelajari melalui tautan Express Connect > rute BGP yang dipelajari melalui koneksi IPsec.

  • Jika koneksi IPsec menggunakan perutean statis, atur prioritas sebagai berikut: Rute BGP yang dipelajari melalui tautan Express Connect > rute statis dengan next hop mengarah ke koneksi IPsec.

  Contoh berikut menunjukkan konfigurasi pada firewall Cisco ASA (versi perangkat lunak 9.19.1) di mana koneksi IPsec menggunakan perutean BGP.

  Penting

  Perintah konfigurasi dapat berbeda tergantung versi perangkat lunak. Saat melakukan operasi, rujuk dokumentasi lingkungan Anda atau konsultasikan dengan vendor terkait. Informasi tentang produk pihak ketiga hanya untuk referensi. Alibaba Cloud tidak memberikan jaminan, baik tersurat maupun tersirat, terkait kinerja dan keandalan produk pihak ketiga, serta tidak bertanggung jawab atas potensi masalah yang mungkin timbul akibat penggunaan produk tersebut.

  router bgp 65002
   bgp router-id 10.1.0.2
   bgp log-neighbor-changes
  
   address-family ipv4 unicast
    network 172.16.0.0 mask 255.255.0.0
  
    neighbor 10.1.0.1 remote-as 65001
    neighbor 10.1.0.1 activate
    neighbor 10.1.0.1 weight 1000       #Set the weight of routes learned over the Express Connect link to 1000.
  
    neighbor 169.254.10.1 remote-as 65001
    neighbor 169.254.10.1 ebgp-multihop 255
    neighbor 169.254.10.1 activate
    neighbor 169.254.10.1 weight 500    #Set the weight of routes learned over the IPsec connection to 500. This weight is lower than that of routes learned over the Express Connect link to ensure that traffic from the on-premises IDC to the VPC is preferentially transmitted over the Express Connect link.
   exit-address-family

Langkah 5. Verifikasi failover

Setelah memastikan rute sudah benar, gunakan fitur simulasi gangguan Express Connect untuk menguji keandalan tautan cadangan.

1. Jalankan pengujian ping berkelanjutan

   Pada instance ECS, jalankan pengujian ping berkelanjutan ke server lokal. Jangan tutup terminal.

   Pada sistem Linux, jalankan: ping 172.16.0.1.

   Pada sistem Windows, jalankan: ping -t 172.16.0.1.

2. Jalankan simulasi gangguan

   Gunakan fitur Failure drill Express Connect untuk mensimulasikan kegagalan tautan Express Connect. Dalam contoh ini, durasi simulasi adalah 5 menit.

   Peringatan

   Simulasi gangguan mensimulasikan kegagalan dengan mematikan resource tertentu, sehingga resource tersebut berada dalam status gangguan buatan. Pastikan Anda telah mempersiapkan diri menghadapi potensi gangguan layanan.

3. Amati perubahan status selama dan setelah simulasi

   • Hasil pengujian ping berkelanjutan

     • Saat simulasi dimulai: Ping sempat terputus sebentar lalu kembali, tetapi dengan latensi jauh lebih tinggi daripada sebelum simulasi. Hal ini menunjukkan bahwa traffic telah secara otomatis beralih ke koneksi IPsec.

     • Saat simulasi berakhir: Latensi ping kembali ke level sebelum simulasi. Hal ini menunjukkan bahwa traffic telah kembali ke tautan Express Connect.

   • Tren traffic pada koneksi instans jaringan yang terhubung ke TR

     Di kolom Monitoring koneksi instans jaringan, klik ikon pemantauan yang sesuai untuk mengamati tren metrik.

     • Saat simulasi dimulai: Traffic pada koneksi ECR turun ke nol, dan traffic pada koneksi VPN meningkat. Hal ini menunjukkan bahwa traffic telah secara otomatis beralih dari tautan Express Connect ke tautan cadangan VPN.

     • Saat simulasi berakhir: Traffic pada koneksi VPN turun ke nol, dan traffic pada koneksi ECR kembali normal. Hal ini menunjukkan bahwa traffic telah secara otomatis kembali dari tautan VPN ke tautan utama Express Connect.

   • Entri tabel rute TR

     • Saat simulasi dimulai: Rute ke koneksi ECR ditarik. Status entri rute yang mengarah ke koneksi VPN berubah dari Candidate menjadi Available, dan next hop beralih ke tautan cadangan VPN.

     • Saat simulasi berakhir: Rute ke koneksi ECR diiklankan kembali dan menjadi rute aktif karena prioritasnya lebih tinggi. Status entri rute yang mengarah ke koneksi VPN kembali menjadi Candidate, dan next hop kembali ke tautan utama Express Connect.