VPN Gateway:Buat IPsec VPN VPC-ke-VPC dengan dual-tunnel

Skenario

Topik ini menggambarkan skenario di mana sebuah perusahaan telah men-deploy layanan pada Instance ECS di dua VPC, yaitu VPC1 dan VPC2, di wilayah Jerman (Frankfurt). Seiring pertumbuhan bisnis, layanan di VPC1 dan VPC2 perlu saling mengakses satu sama lain.

Untuk membangun jaringan yang aman, perusahaan menggunakan VPN Gateway guna membuat koneksi IPsec-VPN antara kedua VPC tersebut. Hal ini mengenkripsi data yang dikirimkan dan memungkinkan resource di kedua VPC saling mengakses secara aman.

Perencanaan Blok CIDR

Perencanaan Blok CIDR VPC

Konfigurasi BGP IPsec-VPN

Anda dapat membangun komunikasi antar-VPC menggunakan koneksi IPsec-VPN dengan route statis atau Perutean dinamis BGP. Tabel berikut mencantumkan konfigurasi BGP yang diperlukan.

Sebelum memulai

• Mode dual-tunnel untuk koneksi IPsec-VPN hanya tersedia di wilayah dan zona ketersediaan berikut.

  Wilayah dan zona ketersediaan yang didukung

  Wilayah	Zona
  Tiongkok (Hangzhou)	K, J, I, H, G
  Tiongkok (Shanghai)	L, M, N, A, B, E, F, G
  Tiongkok (Nanjing - Local Region)	A
  Tiongkok (Shenzhen)	A (Tidak lagi tersedia untuk pembelian), C, E, D, F
  Tiongkok (Heyuan)	A, B
  Tiongkok (Guangzhou)	A, B
  Tiongkok (Qingdao)	B, C
  Tiongkok (Beijing)	F, E, H, G, A, C, J, I, L, K
  Tiongkok (Zhangjiakou)	A, B, C
  Tiongkok (Hohhot)	A, B
  Tiongkok (Ulanqab)	A, B, C
  Tiongkok (Chengdu)	A, B
  Tiongkok (Hong Kong)	B, C, D
  Singapura	A, B, C
  Thailand (Bangkok)	A
  Jepang (Tokyo)	A, B, C
  Korea Selatan (Seoul)	A
  Filipina (Manila)	A
  Indonesia (Jakarta)	A, B, C
  Malaysia (Kuala Lumpur)	A, B
  Inggris (London)	A, B
  Jerman (Frankfurt)	A, B, C
  AS (Silicon Valley)	A, B
  AS (Virginia)	A, B
  Meksiko	A
  SAU (Riyadh - Partner Region)	A, B
  UEA (Dubai)	A

• Anda telah membuat VPC1 dan VPC2 di wilayah Jerman (Frankfurt), serta men-deploy layanan pada Instance ECS di dalam VPC tersebut. Untuk informasi selengkapnya, lihat Buat VPC dengan blok CIDR IPv4.

• Anda telah memverifikasi bahwa aturan security group untuk Instance ECS di kedua VPC memungkinkan mereka saling berkomunikasi. Untuk informasi selengkapnya, lihat Kueri aturan security group dan Tambahkan aturan security group.

Konfigurasi

Langkah 1: Buat instance VPN Gateway

1. Masuk ke Konsol VPN Gateway.

2. Di bilah navigasi atas, pilih wilayah tempat Anda ingin membuat instance VPN Gateway.

   Contoh ini menggunakan Jerman (Frankfurt).

   Catatan

   Instance VPN Gateway dan instance VPC harus berada di wilayah yang sama agar dapat diasosiasikan.

3. Pada halaman VPN Gateways, klik Create VPN Gateway.

4. Di halaman pembelian, konfigurasikan instance VPN Gateway dengan pengaturan berikut, lalu klik Buy Now dan selesaikan pembayaran.

   Parameter	Deskripsi
   Instance Name	Masukkan nama untuk instance VPN Gateway. Contoh ini menggunakan VPN Gateway 1.
   Resource group	Pilih kelompok sumber daya untuk instance VPN Gateway. Pada contoh ini, kelompok sumber daya default dipilih. Jika Anda tidak memilih kelompok sumber daya, sistem secara otomatis menetapkan instance VPN Gateway ke kelompok sumber daya default.
   Region	Pilih wilayah tempat Anda ingin membuat instance VPN Gateway. Contoh ini menggunakan Jerman (Frankfurt).
   Gateway Type	Pilih jenis gateway untuk instance VPN Gateway. Contoh ini menggunakan Standard.
   Network type	Pilih jenis jaringan instance VPN Gateway. Contoh ini menggunakan Public.
   Tunnel	Secara default, Dual-tunnel dipilih.
   VPC	Pilih VPC yang akan diasosiasikan dengan instance VPN Gateway. Contoh ini menggunakan VPC1.
   vSwitch	Pilih vSwitch pertama di VPC1. Jika Anda memilih Single-tunnel, Anda hanya perlu menentukan satu vSwitch. Jika Anda memilih Dual-tunnel, Anda perlu menentukan dua vSwitch. Setelah fitur IPsec-VPN diaktifkan, sistem membuat antarmuka jaringan elastis (ENI) untuk masing-masing dari dua vSwitch sebagai antarmuka untuk berkomunikasi dengan VPC melalui koneksi IPsec-VPN. Setiap ENI menggunakan satu alamat IP di vSwitch. Catatan Sistem memilih vSwitch secara default. Anda dapat mengubah atau menggunakan vSwitch default. Setelah gateway VPN dibuat, Anda tidak dapat mengubah vSwitch yang diasosiasikan dengan gateway VPN tersebut. Anda dapat melihat vSwitch yang diasosiasikan dengan gateway VPN, zona tempat vSwitch tersebut berada, dan ENI di vSwitch tersebut pada halaman detail gateway VPN.
   vSwitch 2	Pilih vSwitch kedua di VPC1. Tentukan dua vSwitch di zona berbeda dalam VPC yang diasosiasikan untuk menerapkan pemulihan bencana lintas zona untuk koneksi IPsec-VPN. Untuk wilayah yang hanya mendukung satu zona, pemulihan bencana lintas zona tidak didukung. Kami menyarankan agar Anda menentukan dua vSwitch di zona tersebut untuk menerapkan ketersediaan tinggi koneksi IPsec-VPN. Anda juga dapat memilih vSwitch yang sama dengan vSwitch pertama.
   Maximum bandwidth	Pilih bandwidth maksimum publik untuk instance VPN Gateway. Satuan: Mbps.
   Traffic	Metode penagihan untuk instance VPN Gateway. Nilai default adalah Pay By Traffic. Untuk informasi selengkapnya, lihat Penagihan.
   IPsec-VPN	Mengaktifkan atau menonaktifkan fitur IPsec-VPN. Contoh ini menggunakan Enable.
   SSL-VPN	Mengaktifkan atau menonaktifkan fitur SSL-VPN. Contoh ini menggunakan Close.
   Billing cycle	Siklus penagihan instance VPN Gateway. Nilai default adalah By Hour.
   Create Service-Linked Role	Klik Create Service-Linked Role. Sistem secara otomatis membuat peran terkait layanan AliyunServiceRoleForVpn. VPN Gateway menggunakan peran ini untuk mengakses resource di layanan cloud lainnya. Untuk informasi selengkapnya, lihat AliyunServiceRoleForVpn. Jika Created ditampilkan, peran tersebut sudah ada di akun Anda dan tidak perlu tindakan tambahan.

5. Kembali ke halaman VPN Gateway untuk melihat instance VPN Gateway baru.

   Instance VPN Gateway baru memiliki status awal Preparing. Setelah sekitar 1 hingga 5 menit, status berubah menjadi Normal. Instance VPN Gateway dengan status Normal siap digunakan.

6. Ulangi Langkah 3 hingga Langkah 4 untuk membuat instance VPN Gateway lain bernama VPN Gateway 2 di wilayah Jerman (Frankfurt). Asosiasikan dengan VPC2 dan gunakan pengaturan yang sama seperti VPN Gateway 1.

   Setelah instance VPN Gateway dibuat, tabel berikut menjelaskan konfigurasinya.

   Nama instance	VPC terkait	Alamat IP
   VPN Gateway 1	VPC1	Alamat IPsec 1: 47.XX.XX.87 Alamat IPsec 2: 47.XX.XX.78
   VPN Gateway 2	VPC2	Alamat IPsec 1: 47.XX.XX.207 Alamat IPsec 2: 47.XX.XX.15

Langkah 2: Buat customer gateway

1. Di panel navigasi kiri, pilih Interconnections > VPN > Customer Gateways.

2. Di bilah navigasi atas, pilih wilayah tempat Anda ingin membuat instance customer gateway.

   Catatan

   Instance customer gateway dan vpn gateway harus berada di wilayah yang sama agar dapat terhubung.

3. Pada halaman Customer Gateway, klik Create Customer Gateway.

4. Di panel Create Customer Gateway, konfigurasikan instance customer gateway seperti yang dijelaskan dalam tabel berikut, lalu klik OK.

   Buat empat instance customer gateway di wilayah Jerman (Frankfurt) untuk membangun tunnel vpn. Tabel berikut menjelaskan parameter yang diperlukan. Untuk semua parameter lainnya, gunakan nilai default atau biarkan kosong.

   Parameter	Deskripsi	Jerman (Frankfurt)	Jerman (Frankfurt)	Jerman (Frankfurt)	Jerman (Frankfurt)
   Name	Masukkan nama untuk instance customer gateway.	VPN Gateway 1-Customer1	VPN Gateway 1-Customer2	VPN Gateway 2-Customer1	VPN Gateway 2-Customer2
   IP Address	Masukkan alamat IP instance vpn gateway peer. Catatan Dalam skenario ini, setiap vpn gateway bertindak sebagai customer gateway untuk yang lainnya.	Alamat IP untuk alamat IPsec 1 VPN Gateway 2: 47.XX.XX.207.	Alamat IP untuk alamat IPsec 2 VPN Gateway 2: 47.XX.XX.15.	Alamat IP untuk alamat IPsec 1 VPN Gateway 1: 47.XX.XX.87.	Alamat IP untuk alamat IPsec 2 VPN Gateway 1: 47.XX.XX.78.
   ASN	Masukkan ASN BGP instance vpn gateway peer.	ASN BGP untuk tunnel aktif VPN Gateway 2: 65500.	ASN BGP untuk tunnel standby VPN Gateway 2: 65500.	ASN BGP untuk tunnel aktif VPN Gateway 1: 65530.	ASN BGP untuk tunnel standby VPN Gateway 1: 65530.

Langkah 3: Buat koneksi IPsec

Setelah membuat gateway vpn dan customer gateway, buat dua koneksi IPsec untuk membangun koneksi IPsec-VPN.

1. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

2. Pada halaman IPsec Connections, klik Bind VPN Gateway, konfigurasikan koneksi IPsec seperti berikut, lalu klik OK.

   Buat dua koneksi IPsec di wilayah Jerman (Frankfurt) menggunakan pengaturan dalam tabel berikut.

   Parameter	Deskripsi	Koneksi IPsec 1	Koneksi IPsec 2
   Name	Masukkan nama untuk koneksi IPsec.	Untuk tutorial ini, masukkan IPsec Connection 1.	Untuk tutorial ini, masukkan IPsec Connection 2.
   Region	Pilih wilayah tempat gateway VPN yang akan diasosiasikan dengan koneksi IPsec-VPN ditempatkan. Koneksi IPsec-VPN dibuat di wilayah yang sama dengan gateway VPN.	Pilih Jerman (Frankfurt).	Pilih Jerman (Frankfurt).
   Bind VPN Gateway	Pilih gateway vpn yang akan diasosiasikan dengan koneksi IPsec.	Untuk tutorial ini, pilih VPN Gateway 1.	Untuk tutorial ini, pilih VPN Gateway 2.
   Routing Mode	Pilih mode perutean. Catatan Jika Anda berencana menggunakan BGP untuk koneksi IPsec, pilih Destination Routing Mode.	Untuk tutorial ini, pilih Destination Routing Mode.	Untuk tutorial ini, pilih Destination Routing Mode.
   Effective Immediately	Menentukan apakah koneksi IPsec langsung berlaku. Nilai yang valid: Yes. Start negotiations after the configuration is completed. No. Start negotiations when inbound traffic is detected. Catatan Saat membangun koneksi IPsec-VPN antara dua VPC menggunakan gateway vpn, atur Effective Immediately ke Yes untuk salah satu koneksi IPsec. Ini akan memulai negosiasi IPsec segera setelah konfigurasi selesai.	Untuk tutorial ini, pilih Yes.	Untuk tutorial ini, pilih No.
   Enable BGP	Untuk menggunakan protokol perutean BGP untuk koneksi IPsec, aktifkan opsi ini. Opsi ini dinonaktifkan secara default.	Untuk tutorial ini, gunakan pengaturan default. Anda dapat menambahkan konfigurasi BGP setelah koneksi IPsec dibuat.	Untuk tutorial ini, gunakan pengaturan default. Anda dapat menambahkan konfigurasi BGP setelah koneksi IPsec dibuat.
   Tunnel 1	Konfigurasikan pengaturan VPN untuk Tunnel 1 (active tunnel). Secara default, Tunnel 1 adalah active tunnel dan Tunnel 2 adalah standby tunnel. Anda tidak dapat mengubah pengaturan ini.
   Customer Gateway	Pilih customer gateway yang akan diasosiasikan dengan active tunnel.	Untuk tutorial ini, pilih VPN Gateway 1-Customer1.	Untuk tutorial ini, pilih VPN Gateway 2-Customer1.
   Pre-Shared Key	Masukkan kunci pra-bersama untuk mengotentikasi active tunnel. Kunci harus terdiri dari 1 hingga 100 karakter dan dapat berisi angka, huruf kapital, huruf kecil, serta karakter khusus berikut: ~`!@#$%^&*()_-+={}[]\|;:',.<>/?. Jika Anda membiarkan bidang ini kosong, sistem akan menghasilkan string acak sepanjang 16 karakter. Penting Kunci pra-bersama koneksi IPsec-VPN harus sama dengan kunci pra-bersama perangkat gateway peer. Jika tidak, koneksi IPsec-VPN tidak dapat dibangun.	Untuk tutorial ini, masukkan fddsFF123.	Untuk tutorial ini, masukkan fddsFF123.
   Encryption Configuration	Konfigurasikan pengaturan untuk IKE, IPsec, DPD, dan Penelusuran NAT.	Untuk tutorial ini, gunakan pengaturan default.	Untuk tutorial ini, gunakan pengaturan default.
   Tunnel 2	Konfigurasikan pengaturan VPN untuk Tunnel 2 (standby tunnel).
   Customer Gateway	Pilih customer gateway yang akan diasosiasikan dengan standby tunnel.	Untuk tutorial ini, pilih VPN Gateway 1-Customer2.	Untuk tutorial ini, pilih VPN Gateway 2-Customer2.
   Pre-Shared Key	Masukkan kunci pra-bersama untuk mengautentikasi saluran data cadangan.	Untuk tutorial ini, masukkan fddsFF456.	Untuk tutorial ini, masukkan fddsFF456.
   Encryption Configuration	Konfigurasikan pengaturan untuk IKE, IPsec, DPD, dan Penelusuran NAT.	Untuk tutorial ini, gunakan pengaturan default.	Untuk tutorial ini, gunakan pengaturan default.

3. Di kotak dialog Created, klik OK.

   Tabel berikut merangkum konfigurasi hasilnya.

   Nama VPC	Nama gateway VPN	Nama koneksi IPsec	Tunnel	Nama customer gateway
   VPC1	VPN Gateway 1	IPsec Connection 1	active tunnel	VPN Gateway 1-Customer1
   			standby tunnel	VPN Gateway 1-Customer2
   VPC2	VPN Gateway 2	IPsec Connection 2	active tunnel	VPN Gateway 2-Customer1
   			standby tunnel	VPN Gateway 2-Customer2

Langkah 4: Konfigurasi rute

Dalam mode dual-tunnel, koneksi IPsec-VPN mendukung route statis maupun Perutean dinamis BGP. Bagian berikut menjelaskan metode-metode tersebut. Anda hanya perlu mengonfigurasi satu protokol perutean.

Konfigurasi route statis

Contoh berikut menggunakan rute berbasis tujuan.

1. Di panel navigasi kiri, pilih Interconnections > VPN > VPN Gateways.

2. Di bilah navigasi atas, pilih wilayah tempat instance gateway VPN berada.

3. Pada halaman VPN Gateway, temukan instance VPN Gateway yang ingin Anda kelola dan klik ID-nya.

4. Pada tab Destination-based Route Table, klik Add Route Entry.

5. Di panel Add Route Entry, konfigurasikan rute berbasis tujuan dan klik OK.

   Anda perlu menambahkan entri rute untuk VPN Gateway 1 dan VPN Gateway 2.

   Parameter	Deskripsi	VPN Gateway 1	VPN Gateway 2
   Destination CIDR Block	Blok CIDR tujuan tempat Anda ingin mengarahkan traffic.	Masukkan blok CIDR pribadi VPC 2: 192.168.0.0/16.	Masukkan blok CIDR pribadi VPC 1: 10.0.0.0/16.
   Next Hop Type	Jenis lompatan berikutnya.	Pilih IPsec Connections.	Pilih IPsec Connections.
   Next Hop	Instance yang berfungsi sebagai lompatan berikutnya.	Pilih koneksi IPsec-VPN 1.	Pilih koneksi IPsec-VPN 2.
   Advertise to VPC	Menentukan apakah rute diiklankan ke tabel rute VPC tempat gateway VPN ditempatkan.	Pilih Yes.	Pilih Yes.

Konfigurasi Perutean dinamis BGP

1. Tambahkan konfigurasi BGP ke koneksi IPsec-VPN.

   1. Di panel navigasi kiri, buka Interconnections > VPN > IPsec Connections.

   2. Pada halaman IPsec Connections, temukan koneksi IPsec-VPN yang ingin Anda kelola dan klik ID-nya.

   3. Di bagian IPsec Connections, klik Enable BGP. Di kotak dialog BGP Configuration, atur parameter dan klik OK.

      Anda harus mengonfigurasi BGP untuk koneksi IPsec-VPN 1 dan koneksi IPsec-VPN 2.

      Parameter	Deskripsi	Koneksi IPsec-VPN 1	Koneksi IPsec-VPN 2
      Local ASN	ASN gateway VPN.	Pada contoh ini, masukkan 65530.	Pada contoh ini, masukkan 65500.
      Tunnel 1	Pengaturan BGP active tunnel.	Konfigurasikan active tunnel koneksi IPsec-VPN 1.	Konfigurasikan active tunnel koneksi IPsec-VPN 2.
      Tunnel CIDR Block	Blok CIDR yang digunakan untuk komunikasi BGP. Blok CIDR tunnel harus berupa blok CIDR /30 yang berada dalam rentang 169.254.0.0/16. Blok CIDR tunnel tidak boleh 169.254.0.0/30, 169.254.1.0/30, 169.254.2.0/30, 169.254.3.0/30, 169.254.4.0/30, 169.254.5.0/30, 169.254.6.0/30, atau 169.254.169.252/30. Catatan Pada gateway VPN, blok CIDR setiap tunnel harus unik.	Pada contoh ini, masukkan 169.254.10.0/30.	Pada contoh ini, masukkan 169.254.11.0/30.
      Local BGP IP address	Alamat IP BGP gateway VPN. Alamat IP ini harus termasuk dalam blok CIDR BGP.	Pada contoh ini, masukkan 169.254.10.1.	Pada contoh ini, masukkan 169.254.11.2.
      Tunnel 2	Pengaturan BGP standby tunnel.	Konfigurasikan standby tunnel koneksi IPsec-VPN 1.	Konfigurasikan standby tunnel koneksi IPsec-VPN 2.
      Tunnel CIDR Block	Blok CIDR yang digunakan untuk komunikasi BGP. Blok CIDR tunnel harus berupa blok CIDR /30 yang berada dalam rentang 169.254.0.0/16. Blok CIDR tunnel tidak boleh 169.254.0.0/30, 169.254.1.0/30, 169.254.2.0/30, 169.254.3.0/30, 169.254.4.0/30, 169.254.5.0/30, 169.254.6.0/30, atau 169.254.169.252/30. Catatan Pada gateway VPN, blok CIDR setiap tunnel harus unik.	Pada contoh ini, masukkan 169.254.20.0/30.	Pada contoh ini, masukkan 169.254.21.0/30.
      Local BGP IP address	Alamat IP BGP gateway VPN. Alamat IP ini harus termasuk dalam blok CIDR BGP.	Pada contoh ini, masukkan 169.254.20.1.	Pada contoh ini, masukkan 169.254.21.2.

2. Aktifkan propagasi BGP untuk VPN Gateway 1 dan VPN Gateway 2.

   1. Di panel navigasi kiri, pilih Interconnections > VPN > VPN Gateways.

   2. Pada halaman VPN Gateways, temukan gateway VPN yang ingin Anda kelola. Di kolom Actions, pilih Enable Automatic BGP Propagation.

   3. Di kotak dialog Enable Automatic BGP Propagation, klik OK.

Langkah 5: Uji verifikasi

Setelah menyelesaikan langkah-langkah sebelumnya, VPC1 dan VPC2 dapat berkomunikasi. Bagian ini menjelaskan cara menguji konektivitas antara kedua VPC dan memverifikasi ketersediaan tinggi koneksi IPsec-VPN dalam mode dual-tunnel.

1. Uji konektivitas.

   1. Masuk ke instance ECS1 di VPC1.

      Untuk informasi selengkapnya tentang cara masuk ke instance ECS, lihat Pilih metode koneksi.

   2. Untuk memverifikasi bahwa kedua VPC dapat berkomunikasi, jalankan perintah ping yang menargetkan instance ECS3 di VPC2.

      ping <alamat IP instance ECS3>

      Respons yang mirip dengan berikut menunjukkan bahwa kedua VPC dapat berkomunikasi.

      

2. Uji ketersediaan tinggi.

   1. Masuk ke instance ECS1 di VPC1.

      Untuk informasi selengkapnya tentang cara masuk ke instance ECS, lihat Pilih metode koneksi.

   2. Jalankan perintah berikut untuk melakukan ping terus-menerus dari ECS1 ke ECS3.

      ping <alamat IP instance ECS3> -c 10000

   3. Putuskan active tunnel.

      Pada contoh ini, Anda dapat memutuskan active tunnel dengan mengubah kunci pra-bersama koneksi IPsec 1. Koneksi tunnel gagal jika kunci pra-bersama di kedua ujung tunnel tidak cocok.

   4. Periksa status komunikasi pada instance ECS1. Anda akan mengamati periode singkat kehilangan paket, setelah itu konektivitas dipulihkan. Hal ini menunjukkan bahwa ketika active tunnel terputus, traffic secara otomatis dialihkan ke standby tunnel.

      

      Catatan

      Saat pusat data lokal terhubung ke VPC menggunakan koneksi IPsec-VPN dalam mode dual-tunnel, Alibaba Cloud secara otomatis mengalihkan traffic dari VPC ke pusat data lokal ke standby tunnel jika active tunnel terputus. Namun, jalur traffic dari pusat data lokal ke VPC bergantung pada konfigurasi peruteannya. Jika pusat data lokal Anda tidak mendukung failover otomatis ke standby tunnel, Anda dapat menggunakan CloudMonitor untuk memantau active tunnel. Jika terjadi gangguan, Anda harus mengubah konfigurasi perutean pusat data lokal secara manual agar traffic dialihkan ke standby tunnel. Untuk informasi selengkapnya, lihat Pantau koneksi IPsec-VPN.