VPN Gateway:Enkripsi traffic privat melalui Express Connect dengan perutean statis

Langkah 1a: Deploy sirkuit Express Connect

1. Ajukan sirkuit Express Connect di wilayah China (Hangzhou). Lihat Meminta Mode Klasik atau Ikhtisar koneksi hosted. Contoh ini menggunakan koneksi fisik khusus.

2. Buat VBR.

   1. Login ke Konsol Express Connect.

   2. Di panel navigasi kiri, klik Virtual Border Routers (VBRs).

   3. Di bilah navigasi atas, pilih China (Hangzhou). VBR dan sirkuit Express Connect harus berada di wilayah yang sama.

   4. Klik Create VBR.

   5. Di panel Create VBR, atur parameter berikut dan klik OK. Untuk parameter lainnya, gunakan nilai default. Lihat Buat dan kelola VBR.

   Parameter	Nilai contoh
   Name	VBR
   Physical connection information	Pilih Dedicated Physical Connection dan pilih sirkuit Express Connect yang telah Anda deploy
   VLAN ID	0
   Alibaba Cloud side IPv4 address	10.0.0.1
   Data center side IPv4 address	10.0.0.2
   IPv4 subnet mask	255.255.255.252

3. Tambahkan rute yang mengarah ke data center pada VBR.

   1. Di halaman Virtual Border Routers (VBRs), klik ID VBR.

   2. Klik tab Routes, lalu tab Custom route entry, dan klik Add route.

   3. Di panel Add route, konfigurasikan parameter berikut dan klik OK.

   Penting

   Gunakan masker pendek (/16) di sini. Hal ini memungkinkan rute IPsec-VPN yang lebih spesifik (/24) memiliki prioritas lebih tinggi daripada rute ini saat terowongan aktif.

   Parameter	Nilai contoh
   Next hop type	Express Connect Circuit
   Destination CIDR block	192.168.0.0/16
   Next hop	Sirkuit Express Connect yang telah Anda deploy

4. Tambahkan rute yang mengarah ke VPC pada perangkat gateway pelanggan. Verifikasi bahwa antarmuka sudah dikonfigurasi pada firewall Cisco:

   Catatan

   Contoh ini menggunakan perangkat lunak Cisco Adaptive Security Appliance (ASA) versi 9.19.1. Perintah dapat berbeda antar versi—lihat dokumentasi vendor Anda untuk lingkungan Anda. Lihat Konfigurasi gateway lokal. Konfigurasi Cisco berikut hanya disediakan sebagai referensi. Alibaba Cloud tidak memberikan jaminan apa pun mengenai kinerja atau keandalan produk pihak ketiga.

   ciscoasa> enable
   Password: ********             # Masukkan password mode enable.
   ciscoasa# configure terminal   # Masuk ke mode konfigurasi.
   ciscoasa(config)#
   
   ciscoasa(config)# show running-config interface
   !
   interface GigabitEthernet0/0                # Terhubung ke VBR.
    nameif VBR
    security-level 0
    ip address 10.0.0.1 255.255.255.252
   !
   interface GigabitEthernet0/2                # Terhubung ke data center.
    nameif private
    security-level 100                         # Harus lebih rendah daripada antarmuka yang terhubung ke Alibaba Cloud.
    ip address 192.168.50.215 255.255.255.0
   !
   interface GigabitEthernet0/3                # Terhubung ke terowongan IPsec-VPN privat 1.
    nameif VPN-IP1
    security-level 0
    ip address 192.168.10.136 255.255.255.0
   !
   interface GigabitEthernet0/4                # Terhubung ke terowongan IPsec-VPN privat 2.
    nameif VPN-IP2
    security-level 0
    ip address 192.168.40.159  255.255.255.0
   !
   
   # Rute statis ke VPC (172.16.0.0/16).
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2
   
   # Rute ke subnet client data center.
   route private 192.168.0.0 255.255.0.0 192.168.50.216

Langkah 1b: Konfigurasikan transit router

1. Buat instans Cloud Enterprise Network (CEN). Di kotak dialog Create CEN instance, klik Create CEN Only, masukkan nama, dan pertahankan pengaturan default.

2. Buat transit router edisi perusahaan di wilayah China (Hangzhou) untuk menghubungkan VBR dan VPC. Pertahankan pengaturan default.

3. Buat koneksi VPC.

   1. Klik Create More Connections untuk kembali ke halaman Connection with peer network instance.

   Parameter	Nilai
   Instance type	Virtual Private Cloud (VPC)
   Region	China (Hangzhou)
   Attachment name	VPC-Attachment
   Network instance	VPC Anda
   vSwitch	vSwitch 2 dan vSwitch 3. Jika wilayah memiliki beberapa zona, pilih minimal dua zona dengan satu vSwitch masing-masing. Gunakan vSwitch yang tidak digunakan.
   Advanced settings	Default (semua fitur lanjutan diaktifkan)

4. Buat koneksi VBR di halaman yang sama. Konfigurasikan parameter berikut dan klik OK. Lihat Hubungkan VBR ke transit router.

   Parameter	Nilai
   Instance type	Virtual Border Router (VBR)
   Region	China (Hangzhou)
   Attachment name	VBR-Attachment
   Network instance	VBR
   Advanced settings	Default (semua fitur lanjutan diaktifkan)

Langkah 1c: Verifikasi konektivitas

Sebelum menambahkan enkripsi, pastikan data center dan VPC dapat berkomunikasi.

1. Terhubung ke ECS 1. Lihat Ikhtisar metode koneksi.

2. Lakukan ping ke client di data center:

   ping <alamat IP client di data center>

Jika ECS 1 menerima balasan, berarti data center dan VPC telah terhubung.

Langkah 2a: Buat koneksi IPsec-VPN privat

1. Tambahkan blok CIDR 10.10.10.0/24 ke transit router. Lihat Blok CIDR transit router. Sistem mengalokasikan alamat IP gateway dari blok ini untuk terowongan IPsec. Pastikan blok ini tidak tumpang tindih dengan blok CIDR data center atau VPC.

2. Daftarkan kedua alamat IP VPN perangkat gateway pelanggan sebagai gateway pelanggan.

   • Customer-Gateway1: Alamat IP 192.168.10.136

   • Customer-Gateway2: Alamat IP 192.168.40.159

   1. Masuk ke Konsol VPN GatewayKonsol VPN Gateway.

   2. Di panel navigasi kiri, pilih Interconnections > VPN > Customer Gateways.

   3. Di halaman Customer Gateway, klik Create Customer Gateway.

   4. Buat dua gateway pelanggan dengan pengaturan berikut. Untuk parameter lainnya, gunakan nilai default. Lihat Gateway pelanggan.

3. Buat koneksi IPsec-VPN. Setelah koneksi dibuat, halaman detail menampilkan alamat IP gateway yang dialokasikan untuk kedua terowongan.

   1. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

   2. Di halaman IPsec Connections, klik Bind CEN.

   3. Di halaman Create IPsec-VPN Connection, konfigurasikan parameter berikut, lalu klik OK. Gunakan nilai default untuk semua parameter lainnya. Untuk informasi selengkapnya, lihat Membuat dan mengelola koneksi saluran data ganda.

   Penting

   Kunci pra-bersama harus sesuai dengan kunci pra-bersama yang dikonfigurasi pada perangkat gateway pelanggan. Ketidaksesuaian kunci mencegah terowongan terbentuk.

   Catatan

   Pilih parameter enkripsi yang sesuai dengan yang ada pada perangkat gateway pelanggan Anda. Fase IKE dan IPsec harus menggunakan algoritma identik di kedua sisi.

   Parameter	Nilai
   Name	IPsecConnection
   Region	Wilayah transit router yang akan disambungkan. Koneksi IPsec-VPN dibuat di wilayah yang sama dengan transit router.
   Gateway type	Private
   Bind CEN	Same Account
   CEN instance ID	Instans CEN yang dibuat di langkah 1b. Sistem menampilkan ID instans transit router dan blok CIDR.
   Transit Router	Diisi otomatis dari instans CEN.
   Routing mode	Destination Routing Mode
   Tunnel 1 — Customer gateway	Customer-Gateway1
   Tunnel 1 — Pre-shared key	fddsFF111****
   Tunnel 1 — Encryption configuration	Nilai default, kecuali: atur DH group ke group14 di konfigurasi IKE dan IPsec.
   Tunnel 2 — Customer gateway	Customer-Gateway2
   Tunnel 2 — Pre-shared key	fddsFF222****
   Tunnel 2 — Encryption configuration	Nilai default, kecuali: atur DH group ke group14 di konfigurasi IKE dan IPsec.
   Advanced configuration	Default (semua fitur lanjutan diaktifkan)

   

4. Di halaman IPsec Connections, temukan koneksi tersebut dan klik Generate Peer Configuration di kolom Actions.

5. Di kotak dialog IPsec Connection Configuration, salin dan simpan konfigurasi tersebut. Anda akan membutuhkan nilai-nilai ini saat mengonfigurasi perangkat gateway pelanggan.

6. Konfigurasikan perangkat gateway pelanggan.

   1. Login ke CLI Cisco ASA dan masuk ke mode konfigurasi:

      ciscoasa> enable
      Password: ********             # Masukkan password mode enable.
      ciscoasa# configure terminal   # Masuk ke mode konfigurasi.
      ciscoasa(config)#

   2. Verifikasi konfigurasi antarmuka dan rute. Antarmuka terowongan seharusnya sudah tersedia sejak langkah 1a:

      ciscoasa(config)# show running-config interface
      !
      interface GigabitEthernet0/3                # Terhubung ke terowongan IPsec-VPN privat 1.
       nameif VPN-IP1
       security-level 0
       ip address 192.168.10.136 255.255.255.0
      !
      interface GigabitEthernet0/4                # Terhubung ke terowongan IPsec-VPN privat 2.
       nameif VPN-IP2
       security-level 0
       ip address 192.168.40.159  255.255.255.0
      !
      # Rute ke alamat IP gateway transit router — diperlukan untuk menetapkan koneksi IPsec-VPN privat.
      route VBR 10.10.10.49 255.255.255.255 10.0.0.2   # Rute ke alamat IP gateway terowongan 1 di sisi Alibaba Cloud.
      route VBR 10.10.10.50 255.255.255.255 10.0.0.2   # Rute ke alamat IP gateway terowongan 2 di sisi Alibaba Cloud.

   3. Aktifkan IKEv2 pada antarmuka VPN:

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. Buat kebijakan IKEv2. Nilainya harus sesuai dengan konfigurasi fase IKE di Alibaba Cloud.

      Penting

      Alibaba Cloud hanya menerima satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan DH group dalam fase IKE. Konfigurasikan tepat satu nilai pada firewall Cisco agar sesuai.

      crypto ikev2 policy 10
       encryption aes         # Algoritma enkripsi.
       integrity sha          # Algoritma autentikasi.
       group 14               # DH group.
       prf sha                # Harus sesuai dengan nilai integrity (sha). Ini adalah nilai default di Alibaba Cloud.
       lifetime seconds 86400 # Masa berlaku SA.

   5. Buat proposal dan profil IPsec. Nilainya harus sesuai dengan konfigurasi fase IPsec di Alibaba Cloud.

      Penting

      Alibaba Cloud hanya menerima satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan DH group dalam fase IPsec. Konfigurasikan tepat satu nilai pada firewall Cisco agar sesuai.

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL
       protocol esp encryption aes      # Algoritma enkripsi. Alibaba Cloud menggunakan ESP, jadi gunakan ESP di sini.
       protocol esp integrity sha-1     # Algoritma autentikasi. Alibaba Cloud menggunakan ESP, jadi gunakan ESP di sini.
      crypto ipsec profile ALIYUN-PROFILE
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL
       set ikev2 local-identity address              # Format ID lokal: alamat IP (sesuai dengan format ID remote Alibaba Cloud).
       set pfs group14                               # Perfect Forward Secrecy (PFS) DH group.
       set security-association lifetime seconds 86400
       set security-association lifetime kilobytes unlimited  # Nonaktifkan masa berlaku SA berbasis traffic.

   6. Buat grup terowongan dan atur kunci pra-bersama. Kunci harus sesuai dengan yang dikonfigurasi di Alibaba Cloud.

      tunnel-group 10.10.10.49 type ipsec-l2l                   # Terowongan 1: mode l2l (LAN-to-LAN).
      tunnel-group 10.10.10.49 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF111****  # Kunci pra-bersama sisi Alibaba Cloud.
       ikev2 local-authentication pre-shared-key fddsFF111****   # Harus sesuai dengan kunci Alibaba Cloud.
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                   # Terowongan 2: mode l2l.
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  # Kunci pra-bersama sisi Alibaba Cloud.
       ikev2 local-authentication pre-shared-key fddsFF222****   # Harus sesuai dengan kunci Alibaba Cloud.
      !

   7. Buat antarmuka terowongan:

      interface Tunnel1
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252
       tunnel source interface VPN-IP1              # Sumber: alamat IP GigabitEthernet0/3.
       tunnel destination 10.10.10.49               # Tujuan: alamat IP gateway terowongan 1 di sisi Alibaba Cloud.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE
       no shutdown
      !
      interface Tunnel2
       nameif ALIYUN2
       ip address 169.254.20.2 255.255.255.252
       tunnel source interface VPN-IP2              # Sumber: alamat IP GigabitEthernet0/4.
       tunnel destination 10.10.10.50               # Tujuan: alamat IP gateway terowongan 2 di sisi Alibaba Cloud.
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE
       no shutdown
      !

Setelah menyelesaikan langkah-langkah ini, periksa status koneksi di halaman detail koneksi IPsec-VPN. Jika terowongan belum terbentuk, jalankan diagnostik self-service. Lihat Diagnostik self-service.

Langkah 2b: Konfigurasikan rute

Koneksi IPsec-VPN kini telah terbentuk, tetapi traffic masih mengalir melalui sirkuit Express Connect langsung. Tambahkan rute berikut untuk mengalihkan traffic melalui terowongan terenkripsi.

1. Ubah rute pada perangkat gateway pelanggan agar lebih memilih terowongan IPsec daripada sirkuit Express Connect:

   Penting

   Dengan konfigurasi ini, traffic dari data center ke VPC lebih memilih terowongan 1 (metrik 4). Saat terowongan 1 mati, traffic beralih ke terowongan 2 (metrik 5). Sirkuit Express Connect (metrik 10) berfungsi sebagai cadangan tanpa enkripsi.

   # Rute ke VPC melalui terowongan IPsec-VPN privat (metrik lebih rendah = prioritas lebih tinggi).
   route ALIYUN1 172.16.0.0 255.255.0.0 10.10.10.49 4
   route ALIYUN2 172.16.0.0 255.255.0.0 10.10.10.50 5
   
   # Turunkan prioritas rute Express Connect agar berfungsi sebagai cadangan.
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2  10

2. Tambahkan rute berbasis tujuan pada koneksi IPsec-VPN yang mengarah ke data center.

   1. Masuk ke Konsol VPN GatewayKonsol VPN Gateway.

   2. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

   3. Di bilah navigasi atas, pilih China (Hangzhou).

   4. Di halaman IPsec Connections, klik ID koneksi IPsec-VPN.

   5. Di tab Destination-based Route Table, klik Add Route Entry.

   6. Di panel Add Route Entry, tambahkan tiga rute berikut dan klik OK untuk masing-masing.

   Penting

   Rute-rute ini harus menggunakan awalan lebih panjang daripada rute VBR (192.168.0.0/16). Transit router kemudian lebih memilih rute koneksi IPsec-VPN untuk traffic yang ditujukan ke data center.

   Parameter	Blok CIDR 1	Blok CIDR 2	Blok CIDR 3
   Destination CIDR block	192.168.10.0/24	192.168.20.0/24	192.168.40.0/24
   Next hop type	IPsec-VPN connection	IPsec-VPN connection	IPsec-VPN connection
   Next hop	Koneksi IPsec-VPN yang telah Anda buat	Koneksi IPsec-VPN yang telah Anda buat	Koneksi IPsec-VPN yang telah Anda buat

3. Tambahkan rute kustom ke tabel rute transit router. Menambahkan rute tujuan IPsec pada langkah sebelumnya mengganggu koneksi IPsec-VPN privat karena transit router tidak lagi memiliki jalur ke alamat IP VPN perangkat gateway pelanggan. Pulihkan konektivitas dengan menambahkan rute host spesifik melalui VBR.

   1. Di tab Route Table di konsol CEN, klik tab Route Entry dan klik Add Route Entry.

   2. Di kotak dialog Add Route Entry, tambahkan dua rute berikut dan klik OK untuk masing-masing.

   Parameter	Blok CIDR 1	Blok CIDR 2
   Destination CIDR	192.168.10.136/32	192.168.40.159/32
   Whether it is a black hole route	No	No
   Next hop connection	VBR-Attachment	VBR-Attachment

Langkah 2c: Verifikasi enkripsi

Setelah menyelesaikan konfigurasi, pastikan traffic mengalir melalui terowongan terenkripsi.

1. Terhubung ke ECS 1 dan kirim traffic berkelanjutan ke client di data center:

   • -s 1000: Kirim 1.000 byte per paket.

   • -c 10000: Kirim 10.000 permintaan.

   ping <alamat IP client di data center> -s 1000 -c 10000

2. Masuk ke Konsol Gateway VPNKonsol Gateway VPN.

3. Di bilah navigasi atas, pilih China (Hangzhou).

4. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

5. Di halaman IPsec Connections, klik ID koneksi IPsec-VPN.

Jika halaman detail menunjukkan aktivitas transfer data, berarti traffic telah terenkripsi dan mengalir melalui koneksi IPsec-VPN privat.