VPN Gateway:Load balancing dengan beberapa koneksi IPsec-VPN publik

Contoh skenario

Topik ini menggunakan skenario yang ditunjukkan pada gambar sebelumnya sebagai contoh. Sebuah perusahaan memiliki pusat data di Hangzhou, Tiongkok, dan instans VPC di wilayah Tiongkok (Shanghai) Alibaba Cloud. Perusahaan tersebut telah men-deploy beban kerja terkait di instans VPC menggunakan Elastic Compute Service (ECS). Perusahaan ingin menghubungkan pusat data ke cloud melalui koneksi terenkripsi menggunakan layanan VPN Gateway agar pusat data dapat berkomunikasi dengan instans VPC. Selain itu, perusahaan ingin agar komunikasi antara pusat data dan instans VPC berlangsung melalui beberapa terowongan terenkripsi yang membentuk tautan ECMP guna menerapkan load balancing lalu lintas.

Perusahaan dapat membuat beberapa koneksi IPsec-VPN antara pusat data dan Alibaba Cloud untuk menghubungkan pusat data ke cloud melalui koneksi terenkripsi. Kemudian, perusahaan dapat menggunakan layanan Cloud Enterprise Network untuk menghubungkan beberapa koneksi IPsec-VPN tersebut dengan instans VPC. Setelah beberapa koneksi IPsec-VPN tersebut ditambahkan ke Cloud Enterprise Network, mereka secara otomatis membentuk tautan ECMP untuk memungkinkan komunikasi antara pusat data dan instans VPC serta mewujudkan load balancing lalu lintas.

Perencanaan jaringan

Perencanaan fitur jaringan

Fitur jaringan yang digunakan dalam skenario pada topik ini adalah sebagai berikut:

• Membuat koneksi IPsec-VPN antara pusat data dan Alibaba Cloud melalui Internet. Artinya, Gateway Type koneksi IPsec adalah Public.

• Jenis resource yang di-bind ke koneksi IPsec harus berupa CEN agar beberapa koneksi IPsec-VPN dapat membentuk tautan ECMP.

• Protokol perutean dinamis BGP digunakan antara koneksi IPsec dan pusat data.

Perencanaan Blok CIDR

Prasyarat

Ikhtisar konfigurasi

Langkah 1: Buat gateway pelanggan

Sebelum membuat koneksi IPsec-VPN, Anda harus membuat gateway pelanggan untuk mendaftarkan informasi perangkat gateway lokal Anda ke Alibaba Cloud.

1. Login ke Konsol VPN Gateway.

2. Di panel navigasi kiri, pilih Interconnections > VPN > Customer Gateways.

3. Di bilah navigasi atas, pilih wilayah gateway pelanggan.

   Saat memilih wilayah tempat gateway pelanggan berada, ikuti prinsip terdekat, yaitu memilih wilayah Alibaba Cloud yang paling dekat dengan pusat data Anda. Pada topik ini, China (Hangzhou) dipilih.

4. Pada halaman Customer Gateway, klik Create Customer Gateway.

5. Pada panel Create Customer Gateway, konfigurasikan parameter berdasarkan informasi berikut, lalu klik OK.

   Buat tiga gateway pelanggan di wilayah Tiongkok (Hangzhou) berdasarkan konfigurasi berikut, dan pertahankan pengaturan default untuk item konfigurasi lainnya. Untuk informasi selengkapnya, lihat Customer Gateway.

   Item konfigurasi	Deskripsi	Gateway pelanggan 1	Gateway pelanggan 2	Gateway pelanggan 3
   Name	Masukkan nama untuk gateway pelanggan.	Pada contoh ini, Customer-Gateway1 dimasukkan.	Pada contoh ini, Customer-Gateway2 dimasukkan.	Pada contoh ini, Customer-Gateway3 dimasukkan.
   IP Address	Masukkan alamat IP publik perangkat gateway lokal di sisi Alibaba Cloud yang akan dihubungkan.	Pada contoh ini, alamat IP publik 11.XX.XX.1 dari perangkat gateway lokal 1 dimasukkan.	Pada contoh ini, alamat IP publik 11.XX.XX.2 dari perangkat gateway lokal 2 dimasukkan.	Pada contoh ini, alamat IP publik 11.XX.XX.3 dari perangkat gateway lokal 3 dimasukkan.
   ASN	Masukkan ASN BGP yang digunakan oleh perangkat gateway lokal.	Pada contoh ini, 65530 dimasukkan.

Langkah 2: Buat koneksi IPsec-VPN

Setelah membuat gateway pelanggan, Anda perlu membuat koneksi IPsec di sisi Alibaba Cloud untuk membuat koneksi IPsec-VPN antara pusat data dan Alibaba Cloud.

1. Buka halaman IPsec Connections di konsol VPN, klik Bind CEN, dan lengkapi konfigurasi berikut:

2. Berdasarkan informasi konfigurasi berikut, buat tiga koneksi IPsec di wilayah Tiongkok (Hangzhou), dan pertahankan pengaturan default untuk item konfigurasi lainnya. Untuk informasi selengkapnya, lihat Kelola koneksi IPsec-VPN mode single-tunnel.

   Item konfigurasi	Deskripsi	Koneksi IPsec 1	Koneksi IPsec 2	Koneksi IPsec 3
   Name	Masukkan nama untuk koneksi IPsec.	Pada contoh ini, IPsec connection 1 dimasukkan.	Pada contoh ini, IPsec connection 2 dimasukkan.	Pada contoh ini, IPsec connection 3 dimasukkan.
   Region	Pilih wilayah tempat router transit dideploy. Koneksi IPsec-VPN dibuat di wilayah yang sama dengan router transit.	Pilih China (Hangzhou).
   Gateway Type	Pilih jenis jaringan koneksi IPsec.	Pada contoh ini, Public dipilih.
   Bind CEN	Pilih akun tempat router transit yang ingin Anda asosiasikan dengan koneksi IPsec berada.	Pilih Same Account.
   CEN Instance ID	Pilih instans Cloud Enterprise Network.	Pada contoh ini, instans Cloud Enterprise Network yang Anda buat pada prasyarat dipilih. Konsol menampilkan ID dan blok CIDR router transit yang dibuat untuk instans CEN di wilayah saat ini. Koneksi IPsec-VPN akan disambungkan ke router transit ini.
   Zone	Pilih zona tempat Anda ingin mendeploy koneksi IPsec dari zona yang didukung oleh router transit.	Pada contoh ini, Hangzhou Zone H dipilih.
   Routing Mode	Pilih mode perutean.	Pada contoh ini, Destination Routing Mode dipilih. Catatan Jika Anda menggunakan protokol perutean dinamis BGP, kami merekomendasikan agar Anda menggunakan Destination Routing Mode.
   Effective Immediately	Tentukan apakah konfigurasi koneksi IPsec langsung berlaku. Nilai yang valid: Yes. Start negotiations after the configuration is completed. No. Start negotiations when inbound traffic is detected.	Pada contoh ini, Yes dipilih.
   Customer Gateway	Pilih gateway pelanggan yang diasosiasikan dengan koneksi IPsec.	Pada contoh ini, Customer-Gateway1 dipilih.	Pada contoh ini, Customer-Gateway2 dipilih.	Pada contoh ini, Customer-Gateway3 dipilih.
   Pre-Shared Key	Masukkan kunci autentikasi koneksi IPsec, yang digunakan untuk otentikasi identitas antara perangkat gateway lokal dan koneksi IPsec. Kunci harus terdiri dari 1 hingga 100 karakter dan dapat berisi angka, huruf besar dan kecil, serta karakter berikut ~`!@#$%^&*()_-+={}[]\|;:',.<>/?. Tidak boleh mengandung spasi. Jika Anda tidak menentukan kunci pra-bersama, sistem akan menghasilkan string acak sepanjang 16 karakter sebagai kunci pra-bersama. Setelah membuat koneksi IPsec, Anda dapat melihat kunci pra-bersama yang dihasilkan sistem dengan mengklik tombol Edit terowongan. Penting Kunci pra-bersama koneksi IPsec-VPN harus sama dengan kunci pra-bersama perangkat gateway peer. Jika tidak, koneksi IPsec-VPN tidak dapat dibuat.	Pada contoh ini, fddsFF123**** dimasukkan.	Pada contoh ini, fddsFF456**** dimasukkan.	Pada contoh ini, masukkan fddsFF789****.
   Enable BGP	Pilih apakah akan mengaktifkan fitur BGP. Fitur BGP dinonaktifkan secara default.	Pada contoh ini, fitur BGP diaktifkan.
   Local ASN	Masukkan ASN koneksi IPsec.	Pada contoh ini, masukkan 65531.	Pada contoh ini, masukkan 65531.	Pada contoh ini, masukkan 65531.
   Encryption Configuration	Tambahkan konfigurasi enkripsi seperti konfigurasi IKE dan konfigurasi IPsec.	Semua item konfigurasi mempertahankan nilai default kecuali parameter berikut. Pilih group14 untuk DH Group (Perfect Forward Secrecy) pada IKE Configurations. Pilih group14 untuk DH Group (Perfect Forward Secrecy) pada IPsec Settings. Catatan Anda perlu memilih parameter enkripsi berdasarkan perangkat gateway lokal untuk memastikan bahwa konfigurasi enkripsi untuk koneksi IPsec sama dengan konfigurasi pada perangkat gateway lokal.
   BGP Configuration
   Tunnel CIDR Block	Masukkan blok CIDR yang digunakan untuk membuat terowongan terenkripsi. Blok CIDR terowongan harus berupa subnet /30 dalam 169.254.0.0/16. Tidak boleh berupa 169.254.0.0/30, 169.254.1.0/30, 169.254.2.0/30, 169.254.3.0/30, 169.254.4.0/30, 169.254.5.0/30, 169.254.6.0/30, atau 169.254.169.252/30.	Pada contoh ini, masukkan 169.254.10.0/30.	Pada contoh ini, masukkan 169.254.11.0/30.	Pada contoh ini, masukkan 169.254.12.0/30.
   Local BGP IP address	Masukkan alamat IP BGP koneksi IPsec. Alamat ini merupakan alamat IP dalam blok CIDR terowongan.	Pada contoh ini, masukkan 169.254.10.1.	Pada contoh ini, masukkan 169.254.11.1.	Pada contoh ini, masukkan 169.254.12.1.
   Advanced Configuration	Tentukan apakah akan mengaktifkan pengaturan lanjutan untuk menerapkan pengumuman rute dan pembelajaran rute koneksi IPsec secara otomatis. Pengaturan lanjutan diaktifkan secara default.	Pada contoh ini, nilai default dipertahankan, artinya semua pengaturan lanjutan diaktifkan.

   Setelah koneksi IPsec dibuat, sistem secara otomatis menetapkan alamat IP gateway untuk setiap koneksi IPsec, yang digunakan untuk membuat koneksi IPsec-VPN antara koneksi IPsec dan perangkat gateway lokal. Anda dapat melihat alamat IP gateway pada halaman detail koneksi IPsec.

   Pada contoh ini, alamat IP gateway yang ditetapkan sistem untuk koneksi IPsec 1, koneksi IPsec 2, dan koneksi IPsec 3 ditunjukkan pada tabel berikut.

   Koneksi IPsec	Alamat IP gateway
   Koneksi IPsec 1	120.XX.XX.191
   Koneksi IPsec 2	47.XX.XX.213
   Koneksi IPsec 3	47.XX.XX.161

   Catatan

   Sistem hanya menetapkan alamat IP gateway ke koneksi IPsec setelah koneksi IPsec diasosiasikan dengan instans router transit.

3. Kembali ke halaman IPsec-VPN connection, temukan koneksi IPsec yang baru saja Anda buat, lalu pilih Generate Peer Configuration di kolom Actions.

   Unduh konfigurasi ketiga koneksi IPsec secara terpisah dan simpan ke komputer lokal Anda untuk digunakan nanti saat menambahkan konfigurasi VPN ke perangkat gateway lokal.

Langkah 3: Konfigurasi perangkat gateway lokal

Setelah membuat koneksi IPsec, tambahkan konfigurasi VPN dan konfigurasi BGP ke perangkat gateway lokal 1, perangkat gateway lokal 2, dan perangkat gateway lokal 3 berdasarkan konfigurasi koneksi IPsec yang diunduh dan langkah-langkah berikut, sehingga koneksi IPsec-VPN dapat dibuat antara pusat data dan Alibaba Cloud.

1. Konfigurasi perangkat gateway lokal.

   Contoh konfigurasi untuk perangkat gateway lokal 1

   1. Login ke CLI firewall Cisco dan masuk ke mode konfigurasi.

      ciscoasa> enable
      Password: ********             # Masukkan password untuk masuk ke mode enable. 
      ciscoasa# configure terminal   # Masuk ke mode konfigurasi. 
      ciscoasa(config)#     

   2. Lihat konfigurasi antarmuka.

      Pastikan firewall Cisco telah menyelesaikan konfigurasi antarmuka dan mengaktifkan antarmuka tersebut. Berikut adalah contoh konfigurasi antarmuka yang digunakan dalam topik ini.

      # Lihat konfigurasi antarmuka perangkat gateway lokal 1.
      ciscoasa(config)# show running-config interface
      !
      interface GigabitEthernet0/0                # Antarmuka menghadap Internet.
       nameif outside1
       security-level 0
       ip address 11.XX.XX.1 255.255.255.255      # Alamat IP publik.
      !
      interface GigabitEthernet0/1                # Antarmuka menghadap pusat data.
       nameif private
       security-level 100
       ip address 192.168.50.216 255.255.255.0
      !

   3. Aktifkan IKEv2 untuk antarmuka yang menghadap publik.

      crypto ikev2 enable outside1
      crypto ikev2 enable outside1 #Aktifkan IKEv2 untuk antarmuka outside1 (antarmuka menghadap publik) perangkat gateway lokal 1.

   4. Buat kebijakan IKEv2 dan tentukan algoritma autentikasi, algoritma enkripsi, grup DH, dan masa berlaku SA untuk fase IKE. Pengaturan ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut ke perangkat gateway lokal 1
      crypto ikev2 policy 10     
       encryption aes             #Tentukan algoritma enkripsi.
       integrity sha              #Tentukan algoritma autentikasi.
       group 14                   #Tentukan grup DH.
       prf sha                    #Pengaturan prf harus konsisten dengan pengaturan integrity. Di sisi Alibaba Cloud, prf secara default konsisten dengan algoritma autentikasi.
       lifetime seconds 86400     #Tentukan masa berlaku SA.

   5. Buat proposal IPsec dan profil, serta tentukan algoritma enkripsi fase IPsec, algoritma autentikasi, grup DH, dan masa berlaku SA di sisi firewall Cisco. Ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 1
      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Buat proposal ipsec.
       protocol esp encryption aes                         #Tentukan algoritma enkripsi. Protokol menggunakan ESP. Sisi Alibaba Cloud selalu menggunakan protokol ESP.
       protocol esp integrity sha-1                        #Tentukan algoritma autentikasi. Protokol menggunakan ESP. Sisi Alibaba Cloud selalu menggunakan protokol ESP.
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Buat profil ipsec dan terapkan proposal yang dibuat. 
       set ikev2 local-identity address                    #Tentukan bahwa ID lokal menggunakan format alamat IP, yang harus konsisten dengan format RemoteId di sisi Alibaba Cloud.
       set pfs group14                                     #Tentukan pfs dan grup DH.
       set security-association lifetime seconds 86400     #Tentukan masa berlaku SA berbasis waktu.
       set security-association lifetime kilobytes unlimited #Nonaktifkan masa berlaku SA berbasis traffic.

   6. Buat grup terowongan dan tentukan kunci pra-bersama terowongan. Ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 1
      tunnel-group 120.XX.XX.191 type ipsec-l2l                  #Atur mode enkapsulasi terowongan menjadi l2l.
      tunnel-group 120.XX.XX.191 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF123****  #Tentukan kunci pra-bersama peer terowongan, yaitu kunci pra-bersama di sisi Alibaba Cloud.
       ikev2 local-authentication pre-shared-key fddsFF123****   #Tentukan kunci pra-bersama terowongan lokal, yang harus konsisten dengan sisi Alibaba Cloud.
      !

   7. Buat antarmuka terowongan.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 1
      interface Tunnel1                                  #Buat antarmuka terowongan.
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #Tentukan alamat IP antarmuka.
       tunnel source interface outside1                  #Tentukan alamat sumber terowongan sebagai antarmuka menghadap publik GigabitEthernet0/0.
       tunnel destination 120.XX.XX.191                   #Tentukan alamat tujuan terowongan sebagai alamat IP publik koneksi IPsec 1 di sisi Alibaba Cloud.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #Terapkan profil ipsec ALIYUN-PROFILE ke terowongan.
       no shutdown                                       #Aktifkan antarmuka terowongan.
      !

   8. Konfigurasi rute.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 1
      route outside1 120.XX.XX.191 255.255.255.255 192.XX.XX.172   #Konfigurasi rute untuk mengakses alamat IP publik koneksi IPsec 1 di sisi Alibaba Cloud, dengan lompatan berikutnya adalah alamat jaringan publik.
      route private 192.168.0.0 255.255.255.0 192.168.50.215         #Konfigurasi rute ke pusat data.
      route private 192.168.1.0 255.255.255.0 192.168.50.215
      route private 192.168.2.0 255.255.255.0 192.168.50.215
      router bgp 65530
       address-family ipv4 unicast
        neighbor 169.254.10.1 remote-as 65531       #Tentukan tetangga BGP, yaitu alamat IP BGP koneksi IPsec 1 di sisi Alibaba Cloud.
        neighbor 169.254.10.1 ebgp-multihop 255
        neighbor 169.254.10.1 activate              #Aktifkan tetangga BGP.
        network 192.168.0.0 mask 255.255.255.0        #Umumkan blok CIDR pusat data.
        network 192.168.1.0 mask 255.255.255.0
        network 192.168.2.0 mask 255.255.255.0
       exit-address-family

   Contoh konfigurasi untuk perangkat gateway lokal 2

   1. Login ke CLI firewall Cisco dan masuk ke mode konfigurasi.

      ciscoasa> enable
      Password: ********             # Masukkan password untuk masuk ke mode enable. 
      ciscoasa# configure terminal   # Masuk ke mode konfigurasi. 
      ciscoasa(config)#     

   2. Lihat konfigurasi antarmuka.

      Pastikan konfigurasi antarmuka pada firewall Cisco lengkap dan antarmuka diaktifkan. Berikut adalah contoh konfigurasi antarmuka dalam topik ini.

      # Lihat konfigurasi antarmuka perangkat gateway lokal 2.
      ciscoasa(config)# show running-config interface
      !
      interface GigabitEthernet0/0
       nameif outside1
       security-level 0
       ip address 11.XX.XX.2 255.255.255.255
      !
      interface GigabitEthernet0/1
       nameif private
       security-level 100
       ip address 192.168.50.218 255.255.255.0
      !

   3. Aktifkan fitur IKEv2 untuk antarmuka yang menghadap publik.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 2
      crypto ikev2 enable outside1 #Aktifkan IKEv2 pada antarmuka outside1 (antarmuka menghadap publik) perangkat gateway lokal 2.

   4. Buat kebijakan IKEv2 dan tentukan algoritma autentikasi, algoritma enkripsi, grup DH, dan masa berlaku SA untuk fase IKE. Pengaturan ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut ke perangkat gateway lokal 2.
      crypto ikev2 policy 10     
       encryption aes             #Tentukan algoritma enkripsi.
       integrity sha              #Tentukan algoritma autentikasi.
       group 14                   #Tentukan grup DH.
       prf sha                    #Jaga agar prf konsisten dengan integrity. Di sisi Alibaba Cloud, prf secara default konsisten dengan algoritma autentikasi.
       lifetime seconds 86400     #Tentukan masa berlaku SA.

   5. Buat proposal IPsec dan profil, serta tentukan algoritma enkripsi, algoritma autentikasi, grup DH, dan masa berlaku SA untuk fase IPsec di sisi firewall Cisco. Pengaturan ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut ke perangkat gateway lokal 2.
      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Buat proposal IPsec.
       protocol esp encryption aes                         #Tentukan algoritma enkripsi. Protokol adalah ESP. Sisi Alibaba Cloud selalu menggunakan protokol ESP.
       protocol esp integrity sha-1                        #Tentukan algoritma autentikasi. Protokol menggunakan ESP; sisi Alibaba Cloud selalu menggunakan protokol ESP.
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Buat profil IPsec dan terapkan proposal yang dibuat. 
       set ikev2 local-identity address                    #Tentukan bahwa ID lokal menggunakan format alamat IP, konsisten dengan format RemoteId di sisi Alibaba Cloud.
       set pfs group14                                     #Tentukan PFS dan grup DH.
       set security-association lifetime seconds 86400     #Tentukan masa berlaku SA berbasis waktu.
       set security-association lifetime kilobytes unlimited #Nonaktifkan masa berlaku SA berbasis traffic.

   6. Buat grup terowongan dan tentukan kunci pra-bersama terowongan, yang harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut ke perangkat gateway lokal 2
      tunnel-group 47.XX.XX.213 type ipsec-l2l                  #Tentukan mode enkapsulasi terowongan sebagai l2l.
      tunnel-group 47.XX.XX.213 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF456****  #Tentukan kunci pra-bersama peer terowongan, yaitu kunci pra-bersama di sisi Alibaba Cloud.
       ikev2 local-authentication pre-shared-key fddsFF456****   #Tentukan kunci pra-bersama lokal terowongan, yang harus konsisten dengan sisi Alibaba Cloud.
      !

   7. Buat antarmuka terowongan.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 2
      interface Tunnel1                                  #Buat antarmuka terowongan.
       nameif ALIYUN1
       ip address 169.254.11.2 255.255.255.252           #Tentukan alamat IP antarmuka.
       tunnel source interface outside1                  #Tentukan alamat sumber terowongan sebagai antarmuka menghadap publik GigabitEthernet0/0.
       tunnel destination 47.XX.XX.213                   #Tentukan alamat tujuan terowongan sebagai alamat IP publik koneksi IPsec 2 di sisi Alibaba Cloud.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #Tentukan bahwa terowongan menggunakan profil ipsec ALIYUN-PROFILE.
       no shutdown                                       #Aktifkan antarmuka terowongan.
      !

   8. Konfigurasi rute.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 2
      route outside1 47.XX.XX.213 255.255.255.255 192.XX.XX.173   #Konfigurasi rute untuk mengakses alamat IP publik koneksi IPsec 2 di sisi Alibaba Cloud, dengan lompatan berikutnya adalah alamat jaringan publik.
      route private 192.168.0.0 255.255.255.0 192.168.50.217         #Konfigurasi rute ke pusat data.
      route private 192.168.1.0 255.255.255.0 192.168.50.217
      route private 192.168.2.0 255.255.255.0 192.168.50.217
      router bgp 65530
       address-family ipv4 unicast
        neighbor 169.254.11.1 remote-as 65531       #Tentukan tetangga BGP, yaitu alamat IP BGP koneksi IPsec 2 di sisi Alibaba Cloud.
        neighbor 169.254.11.1 ebgp-multihop 255
        neighbor 169.254.11.1 activate              #Aktifkan tetangga BGP.
        network 192.168.0.0 mask 255.255.255.0        #Umumkan blok CIDR pusat data.
        network 192.168.1.0 mask 255.255.255.0
        network 192.168.2.0 mask 255.255.255.0
       exit-address-family

   Contoh konfigurasi perangkat gateway lokal 3

   1. Login ke CLI firewall Cisco dan masuk ke mode konfigurasi.

      ciscoasa> enable
      Password: ********             # Masukkan password untuk masuk ke mode enable. 
      ciscoasa# configure terminal   # Masuk ke mode konfigurasi. 
      ciscoasa(config)#     

   2. Verifikasi konfigurasi antarmuka.

      Pastikan konfigurasi antarmuka pada firewall Cisco lengkap dan antarmuka diaktifkan. Berikut adalah contoh konfigurasi antarmuka dalam topik ini.

      # Lihat konfigurasi antarmuka perangkat gateway lokal 3.
      ciscoasa(config)# show running-config interface
      !
      interface GigabitEthernet0/0
       nameif outside1
       security-level 0
       ip address 11.XX.XX.3 255.255.255.255
      !
      interface GigabitEthernet0/1
       nameif private
       security-level 100
       ip address 192.168.50.213 255.255.255.0
      !

   3. Aktifkan IKEv2 pada antarmuka publik.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 3
      crypto ikev2 enable outside1 #Aktifkan fitur IKEv2 untuk antarmuka outside1 (antarmuka menghadap publik) perangkat gateway lokal 3.

   4. Buat Kebijakan IKEv2 dan tentukan algoritma autentikasi, algoritma enkripsi, grup DH, dan masa berlaku SA untuk fase IKE. Pengaturan ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 3
      crypto ikev2 policy 10     
       encryption aes             #Tentukan algoritma enkripsi.
       integrity sha              #Tentukan algoritma autentikasi.
       group 14                   #Tentukan grup DH.
       prf sha                    #Jaga agar prf konsisten dengan integrity. Di sisi Alibaba Cloud, prf secara default konsisten dengan algoritma autentikasi.
       lifetime seconds 86400     #Tentukan masa berlaku SA.

   5. Buat proposal IPsec dan profil, serta tentukan algoritma enkripsi fase IPsec, algoritma autentikasi, grup DH, dan masa berlaku SA di sisi firewall Cisco. Ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 3
      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Buat proposal ipsec.
       protocol esp encryption aes                         #Tentukan algoritma enkripsi. Protokol menggunakan ESP, dan sisi Alibaba Cloud selalu menggunakan protokol ESP.
       protocol esp integrity sha-1                        #Tentukan algoritma autentikasi. Protokol menggunakan ESP, dan sisi Alibaba Cloud selalu menggunakan protokol ESP.
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Buat profil ipsec dan terapkan proposal yang dibuat. 
       set ikev2 local-identity address                    #Tentukan bahwa ID lokal menggunakan format alamat IP, yang harus konsisten dengan format RemoteId di sisi Alibaba Cloud.
       set pfs group14                                     #Tentukan pfs dan grup DH.
       set security-association lifetime seconds 86400     #Tentukan masa berlaku SA berbasis waktu.
       set security-association lifetime kilobytes unlimited #Nonaktifkan masa berlaku SA berbasis traffic.

   6. Buat grup terowongan dan tentukan kunci pra-bersama terowongan. Ini harus konsisten dengan sisi Alibaba Cloud.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 3
      tunnel-group 47.XX.XX.161 type ipsec-l2l                  #Tentukan mode enkapsulasi terowongan sebagai l2l.
      tunnel-group 47.XX.XX.161 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF789****  #Tentukan kunci pra-bersama peer terowongan, yaitu kunci pra-bersama di sisi Alibaba Cloud.
       ikev2 local-authentication pre-shared-key fddsFF789****   #Tentukan kunci pra-bersama ujung lokal terowongan, yang harus konsisten dengan sisi Alibaba Cloud.
      !

   7. Buat antarmuka terowongan.

      #Tambahkan konfigurasi berikut pada perangkat gateway lokal 3
      interface Tunnel1                                  #Buat antarmuka terowongan.
       nameif ALIYUN1
       ip address 169.254.12.2 255.255.255.252           #Tentukan alamat IP antarmuka.
       tunnel source interface outside1                  #Tentukan alamat sumber terowongan sebagai antarmuka menghadap publik GigabitEthernet0/0.
       tunnel destination 47.XX.XX.161                   #Tentukan alamat tujuan terowongan sebagai alamat IP publik koneksi IPsec 3 di sisi Alibaba Cloud.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #Tentukan bahwa terowongan menerapkan profil ipsec ALIYUN-PROFILE.
       no shutdown                                       #Aktifkan antarmuka terowongan.
      !

   8. Konfigurasi rute.

      #Tambahkan konfigurasi berikut ke perangkat gateway lokal 3
      route outside1 47.XX.XX.161 255.255.255.255 192.XX.XX.174   #Konfigurasi rute untuk mengakses alamat IP publik koneksi IPsec 3 di sisi Alibaba Cloud, dengan lompatan berikutnya adalah alamat jaringan publik.
      route private 192.168.0.0 255.255.255.0 192.168.50.214         #Konfigurasi rute ke pusat data.
      route private 192.168.1.0 255.255.255.0 192.168.50.214
      route private 192.168.2.0 255.255.255.0 192.168.50.214
      router bgp 65530
       address-family ipv4 unicast
        neighbor 169.254.12.1 remote-as 65531       #Tentukan tetangga BGP, yaitu alamat IP BGP koneksi IPsec 3 di sisi Alibaba Cloud.
        neighbor 169.254.12.1 ebgp-multihop 255
        neighbor 169.254.12.1 activate              #Aktifkan tetangga BGP.
        network 192.168.0.0 mask 255.255.255.0        #Umumkan blok CIDR pusat data.
        network 192.168.1.0 mask 255.255.255.0 
        network 192.168.2.0 mask 255.255.255.0 
       exit-address-family

   Setelah menyelesaikan konfigurasi di atas, koneksi IPsec-VPN dapat berhasil dibuat antara pusat data dan Alibaba Cloud, dan rute pusat data diumumkan ke BGP Route Table koneksi IPsec melalui protokol perutean dinamis BGP.

2. Tambahkan konfigurasi rute di pusat data sesuai kebutuhan berdasarkan lingkungan jaringan aktual Anda, sehingga lalu lintas dari klien pusat data ke VPC dapat dikirimkan melalui perangkat gateway lokal 1, perangkat gateway lokal 2, dan perangkat gateway lokal 3 secara bersamaan. Untuk perintah spesifik, konsultasikan vendor perangkat terkait.

Langkah 4: Buat koneksi VPC

Setelah membuat koneksi IPsec, koneksi IPsec secara otomatis diasosiasikan dengan instans router transit. Anda perlu membuat koneksi VPC di konsol Cloud Enterprise Network untuk mengasosiasikan instans VPC dengan instans router transit juga, sehingga memungkinkan komunikasi timbal balik antara pusat data dan VPC.

1. Login ke Konsol CEN.

2. Pada halaman CEN Instance, klik ID instans CEN yang ingin Anda kelola.

3. Pada tab Basic Settings > Transit Router, temukan instans router transit di wilayah Tiongkok (Shanghai) lalu klik Create Connection di kolom Actions.

4. Pada halaman Connection with Peer Network Instance, konfigurasikan parameter berdasarkan informasi berikut, lalu klik OK.

   Hubungkan instans VPC di Tiongkok (Shanghai) ke router transit berdasarkan informasi berikut, dan pertahankan item konfigurasi lainnya pada pengaturan default. Untuk informasi selengkapnya, lihat Buat koneksi VPC.

   Item konfigurasi	Deskripsi	Koneksi VPC
   Network Type	Pilih jenis instans jaringan.	Pada contoh ini, VPC dipilih.
   Region	Pilih wilayah tempat instans jaringan berada.	Pada contoh ini, China (Shanghai) dipilih.
   Transit Router	Sistem secara otomatis menampilkan ID instans router transit yang dibuat di wilayah saat ini.
   Account	Pilih apakah akun Alibaba Cloud tempat instans jaringan berada sama dengan akun yang Anda gunakan untuk login.	Pada contoh ini, Your Account dipilih.
   Billing Method	Metode penagihan koneksi VPC. Nilai default adalah Pay-As-You-Go. Untuk informasi selengkapnya tentang aturan penagihan router transit, lihat Ikhtisar penagihan.
   Attachment Name	Masukkan nama koneksi VPC.	Pada contoh ini, masukkan VPC connection.
   Network Instance	Pilih instans jaringan.	Pada contoh ini, instans VPC di Tiongkok (Shanghai) dipilih.
   vSwitch	Pilih instans vSwitch di zona yang didukung oleh router transit. Jika router transit hanya mendukung satu zona di wilayah saat ini, Anda harus memilih vSwitch di zona tersebut. Jika router transit mendukung beberapa zona di wilayah saat ini, Anda harus memilih vSwitch di minimal dua zona berbeda. Hal ini menyediakan pemulihan bencana lintas zona untuk lalu lintas antara VPC dan router transit. Pilih vSwitch di setiap zona untuk mengurangi rute memutar dan penundaan transmisi, serta meningkatkan kinerja. Pastikan setiap vSwitch yang dipilih memiliki alamat IP yang tersedia. Jika VPC tidak memiliki vSwitch di zona yang didukung oleh router transit, atau jika vSwitch tidak memiliki alamat IP yang tersedia, Anda harus membuat vSwitch. Untuk informasi selengkapnya, lihat Buat dan kelola vSwitch.	Pada contoh ini, vSwitch 1 dipilih di Zona F dan vSwitch 2 dipilih di Zona G.
   Advanced Settings	Tentukan apakah akan mengaktifkan semua pengaturan lanjutan. Secara default, semua pengaturan lanjutan diaktifkan.	Pertahankan pengaturan default untuk mengaktifkan semua pengaturan lanjutan.

Langkah 5: Buat koneksi antar-wilayah

Karena instans router transit tempat koneksi IPsec disambungkan dan instans router transit tempat instans VPC disambungkan berada di wilayah berbeda, pusat data dan instans VPC tidak dapat berkomunikasi secara default. Anda harus membuat koneksi antar-wilayah antara instans router transit di wilayah Tiongkok (Hangzhou) dan Tiongkok (Shanghai) untuk mengaktifkan komunikasi cross-region antara pusat data dan instans VPC.

1. Pada halaman CEN Instance, temukan instans Cloud Enterprise Network yang ingin Anda kelola lalu klik ID-nya.

2. Pada tab Basic Settings > Bandwidth Plans, klik Set Inter-region Bandwidth.

3. Pada halaman Connection with Peer Network Instance, konfigurasikan koneksi antar-wilayah berdasarkan informasi berikut, lalu klik OK.

   Buat koneksi antar-wilayah berdasarkan informasi berikut dan pertahankan pengaturan default untuk item konfigurasi lainnya. Untuk informasi selengkapnya, lihat Buat koneksi antar-wilayah.

   Item konfigurasi	Deskripsi
   Network Type	Pilih Inter-region Connection.
   Region	Pilih wilayah yang ingin Anda hubungkan. Pada contoh ini, China (Hangzhou) dipilih.
   Transit Router	Sistem secara otomatis menampilkan ID instans router transit di wilayah saat ini.
   Attachment Name	Masukkan nama untuk koneksi antar-wilayah. Pada contoh ini, inter-region connection dimasukkan.
   Peer Region	Pilih wilayah peer yang ingin Anda hubungkan. Pada contoh ini, China (Shanghai) dipilih.
   Transit Router	Sistem secara otomatis menampilkan ID instans router transit di wilayah saat ini.
   Bandwidth Allocation Mode	Koneksi antar-wilayah mendukung metode alokasi bandwidth berikut: Allocate from Bandwidth Plan: mengalokasikan bandwidth dari paket bandwidth yang dibeli. Pay-By-Data-Transfer: dikenakan biaya berdasarkan traffic aktual yang digunakan oleh koneksi antar-wilayah. Pada contoh ini, Pay-By-Data-Transfer dipilih.
   Bandwidth	Masukkan nilai bandwidth koneksi antar-wilayah. Satuan: Mbps.
   Default Line Type	Gunakan jenis tautan default.
   Advanced Settings	Pertahankan pengaturan default, artinya semua opsi pengaturan lanjutan dipilih.

Setelah membuat koneksi antar-wilayah, sistem secara otomatis menyelesaikan distribusi dan pembelajaran rute. Koneksi IPsec mengumumkan rute instans VPC ke pusat data melalui protokol perutean dinamis BGP, dan juga mengumumkan rute pusat data ke router transit, sehingga pusat data dan instans VPC dapat saling berkomunikasi. Untuk informasi selengkapnya tentang rute, lihat Deskripsi rute di akhir topik ini.

Langkah 6: Verifikasi konektivitas

Setelah membuat koneksi antar-wilayah, pusat data dan instans VPC dapat menerapkan load balancing lalu lintas melalui tiga koneksi IPsec-VPN. Bagian berikut menjelaskan cara menguji konektivitas jaringan dan cara memverifikasi bahwa lalu lintas diseimbangkan di ketiga koneksi IPsec-VPN tersebut.

1. Uji konektivitas jaringan.

   1. Login ke instans ECS di instans VPC. Untuk informasi selengkapnya, lihat Hubungkan ke instans ECS.

   2. Jalankan perintah ping pada instans ECS untuk mencoba mengakses klien di pusat data.

      ping <alamat IP klien di pusat data>

      Jika paket respons diterima, jaringan antara pusat data dan instans VPC terhubung, dan resource dapat saling mengakses.

2. Verifikasi load balancing lalu lintas.

   Kirim permintaan akses secara terus-menerus dari beberapa klien di pusat data ke instans ECS. Jika Anda dapat melihat data pemantauan lalu lintas pada halaman detail koneksi IPsec 1, koneksi IPsec 2, dan koneksi IPsec 3 masing-masing, hal ini membuktikan bahwa lalu lintas antara pusat data dan instans VPC telah mencapai load balancing melalui tiga koneksi IPsec-VPN tersebut.

   1. Login ke Konsol VPN Gateway.

   2. Di bilah status atas, pilih wilayah tempat koneksi IPsec berada.

   3. Di panel navigasi kiri, pilih Interconnections - VPN - IPsec Connections.

   4. Pada halaman IPsec Connections, temukan koneksi IPsec target lalu klik ID koneksi IPsec tersebut.

      Buka halaman detail koneksi IPsec dan lihat data pemantauan lalu lintas di bawah tab Monitor.

Deskripsi rute

Pada topik ini, konfigurasi rute default digunakan saat membuat koneksi IPsec, koneksi VPC, dan koneksi antar-wilayah. Dengan konfigurasi rute default, Cloud Enterprise Network secara otomatis menyelesaikan pengumuman dan pembelajaran rute untuk mengaktifkan komunikasi timbal balik antara pusat data dan instans VPC. Konfigurasi rute default dijelaskan sebagai berikut:

Koneksi IPsec

Saat membuat koneksi IPsec, jika Anda langsung mengikatnya ke instans router transit dan mengaktifkan semua pengaturan lanjutan, sistem secara otomatis melakukan konfigurasi rute berikut untuk koneksi IPsec:

• Secara default, koneksi IPsec diasosiasikan dengan tabel rute default instans router transit. Instans router transit meneruskan lalu lintas dari koneksi IPsec dengan mengkueri tabel rute default.

• Rute berbasis tujuan yang Anda tambahkan untuk koneksi IPsec atau rute lokal yang dipelajari koneksi IPsec melalui protokol perutean dinamis BGP secara otomatis diumumkan ke tabel rute default instans router transit.

• Router transit secara otomatis menyebarkan rute lain di tabel rute default-nya ke tabel rute BGP koneksi IPsec-VPN.

  Koneksi IPsec secara otomatis mengumumkan rute cloud yang dipelajarinya ke pusat data melalui protokol perutean dinamis BGP.

Instans VPC

Saat membuat koneksi VPC, jika Anda mengaktifkan semua pengaturan lanjutan, sistem secara otomatis melakukan konfigurasi rute berikut untuk instans VPC:

• Associate with Default Route Table of Transit Router

  Setelah fitur ini diaktifkan, koneksi VPC secara otomatis diasosiasikan dengan tabel rute default router transit. Router transit meneruskan lalu lintas instans VPC dengan mengkueri tabel rute default.

• Propagate system routes to transit router route table

  Setelah fitur ini diaktifkan, instans VPC mengumumkan rute sistemnya sendiri ke tabel rute default router transit untuk mengaktifkan komunikasi antar instans jaringan.

• Auto-add transit router routes to all VPC route tables

  Setelah fitur ini diaktifkan, sistem secara otomatis mengonfigurasi tiga entri rute 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16 di semua tabel rute instans VPC, yang lompatan berikutnya semuanya mengarah ke koneksi VPC.

  Penting

  Jika entri rute dengan blok CIDR tujuan 10.0.0.0/8, 172.16.0.0/12, atau 192.168.0.0/16 sudah ada di tabel rute VPC, sistem tidak dapat menambahkan entri rute secara otomatis. Dalam kasus ini, Anda harus menambahkan entri rute secara manual yang mengarah ke koneksi VPC di tabel rute VPC untuk mengaktifkan penerusan lalu lintas antara VPC dan router transit.

  Anda dapat mengklik Check Route untuk memeriksa apakah rute tersebut ada di instans jaringan.

koneksi antar-wilayah

Jika Anda mengaktifkan semua pengaturan lanjutan saat membuat koneksi antar-wilayah, sistem secara otomatis melakukan konfigurasi rute berikut untuk koneksi antar-wilayah:

• Associate with Default Route Table of Transit Router

  Mengasosiasikan koneksi antar-wilayah dengan tabel rute sistem router transit di kedua wilayah. Lalu lintas antar-wilayah diteruskan berdasarkan tabel rute sistem ini.

• Propagate system routes to transit router route table

  Membentuk hubungan pembelajaran rute antara koneksi antar-wilayah dan tabel rute sistem router transit di kedua wilayah.

• Automatically Advertise Routes to Peer Region

  Mengumumkan rute dari tabel rute router transit lokal ke tabel rute router transit peer, sehingga mengaktifkan konektivitas antar-wilayah untuk instans jaringan.

Tampilan entri rute