VPN Gateway：Gunakan perutean statis untuk mengenkripsi dan mentransmisikan trafik pribadi melalui sirkuit Express Connect

Langkah a: Pasang sirkuit Express Connect

Pasang sirkuit Express Connect untuk menghubungkan pusat data ke Alibaba Cloud.

1. Ajukan permohonan untuk sirkuit Express Connect.

   Ajukan permohonan untuk sirkuit Express Connect di wilayah China (Hangzhou). Untuk informasi lebih lanjut, lihat Mode Klasik atau Gambaran Umum Koneksi Terkelola. Dalam contoh ini, a dedicated connection over an Express Connect circuit dibuat.

2. Buat VBR.

   1. Masuk ke Konsol Express Connect.

   2. Di panel navigasi kiri, klik Virtual Border Routers (VBRs).

   3. Di bilah navigasi atas, pilih wilayah China (Hangzhou).

      Pastikan bahwa VBR dan sirkuit Express Connect ditempatkan di wilayah yang sama.

   4. Di halaman Virtual Border Routers (VBRs), klik Create VBR.

   5. Di panel Create VBR, atur parameter berikut dan klik OK.

      Tabel berikut hanya menjelaskan beberapa parameter. Parameter lainnya menggunakan nilai default. Untuk informasi lebih lanjut, lihat Buat dan Kelola VBR.

      Parameter	Deskripsi
      Name	Dalam contoh ini, VBR digunakan.
      Physical Connection Information	Dalam contoh ini, Dedicated Physical Connection dipilih, dan sirkuit Express Connect yang Anda pasang dipilih.
      VLAN ID	0 digunakan dalam contoh ini.
      Alibaba Cloud Side IPv4 Address	Dalam contoh ini, 10.0.0.1 dimasukkan.
      Data Center Side IPv4 Address	Dalam contoh ini, 10.0.0.2 dimasukkan.
      IPv4 Subnet Mask	Dalam contoh ini, 255.255.255.252 digunakan.

3. Tambahkan rute yang mengarah ke pusat data ke VBR.

   1. Di halaman Virtual Border Routers (VBRs), klik ID VBR.

   2. Klik tab Routes. Di tab Custom Route Entry, klik Add Route.

   3. Di panel Add Route, konfigurasikan parameter berikut dan klik OK.

      Parameter	Contoh
      Next Hop Type	Pilih Express Connect Circuit.
      Destination CIDR Block	Masukkan blok CIDR pusat data 192.168.0.0/16.
      Next Hop	Pilih sirkuit Express Connect yang Anda pasang.

      Penting

      Saat menambahkan rute yang mengarah ke pusat data ke VBR, pastikan panjang maskernya pendek. Dengan cara ini, rute yang dipelajari oleh router transit dari koneksi IPsec-VPN pribadi lebih spesifik daripada rute saat ini dan memiliki prioritas lebih tinggi.

4. Tambahkan rute yang mengarah ke VPC ke perangkat gateway pelanggan

   Catatan

   Dalam contoh ini, perangkat lunak Adaptive Security Appliance (ASA) 9.19.1 digunakan untuk menjelaskan cara mengonfigurasi firewall Cisco. Perintah mungkin berbeda tergantung pada versi perangkat lunak. Konsultasikan dokumentasi atau vendor Anda berdasarkan lingkungan aktual selama operasi. Untuk informasi lebih lanjut, lihat Konfigurasikan Gateway Lokal.

   Konten berikut berisi informasi produk pihak ketiga, yang hanya untuk referensi. Alibaba Cloud tidak memberikan jaminan atau bentuk komitmen lainnya untuk performa dan keandalan produk pihak ketiga, atau dampak potensial dari operasi yang dilakukan menggunakan produk-produk ini.

   ciscoasa> enable
   Password: ********             # Masukkan kata sandi untuk masuk ke mode enable. 
   ciscoasa# configure terminal   # Masuk ke mode konfigurasi. 
   ciscoasa(config)#   
   
   Verifikasi bahwa antarmuka dikonfigurasi dan diaktifkan pada firewall Cisco. Dalam contoh ini, konfigurasi antarmuka berikut digunakan: 
   ciscoasa(config)# show running-config interface 
   !
   interface GigabitEthernet0/0                # Antarmuka yang terhubung ke VBR. 
    nameif VBR                                 # Nama antarmuka GigabitEthernet 0/0. 
    security-level 0
    ip address 10.0.0.1 255.255.255.252        # Alamat IP antarmuka GigabitEthernet0/0. 
   !
   interface GigabitEthernet0/2                #Antarmuka yang terhubung ke pusat data. 
    nameif private                             # Nama antarmuka GigabitEthernet 0/2. 
    security-level 100                         #Pastikan tingkat keamanan antarmuka yang terhubung ke pusat data lebih rendah daripada antarmuka yang terhubung ke Alibaba Cloud. 
    ip address 192.168.50.215 255.255.255.0    #Alamat IP antarmuka GigabitEthernet0/2. 
   !
   interface GigabitEthernet0/3                #Antarmuka yang terhubung ke terowongan IPsec-VPN pribadi 1.
    nameif VPN-IP1                             #Nama antarmuka GigabitEthernet0/3. 
    security-level 0
    ip address 192.168.10.136 255.255.255.0    #Alamat IP pribadi antarmuka GigabitEthernet0/3. 
   !
   interface GigabitEthernet0/4                #Antarmuka yang terhubung ke terowongan IPsec-VPN pribadi 2.
    nameif VPN-IP2                             #Nama antarmuka GigabitEthernet0/4. 
    security-level 0
    ip address 192.168.40.159  255.255.255.0   #Alamat IP pribadi antarmuka GigabitEthernet0/4. 
   !
   
   #Tambahkan rute statis yang mengarah ke VPC (172.16.0.0/16). 
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2     
      
   #Tambahkan rute yang mengarah ke klien di pusat data. 
   route private 192.168.0.0 255.255.0.0 192.168.50.216   

Langkah b: Konfigurasikan router transit

Setelah pusat data terhubung ke Alibaba Cloud melalui sirkuit Express Connect, Anda perlu mengonfigurasi router transit untuk bertukar data antara pusat data dan VPC.

1. Buat Instansi CEN.

   Di kotak dialog Create CEN Instance, klik Create CEN Only, masukkan nama, dan gunakan pengaturan default untuk parameter lainnya.

2. Buat Router Transit Edisi Perusahaan.

   Buat router transit di wilayah China (Hangzhou) untuk menghubungkan VBR dan VPC. Gunakan pengaturan default untuk parameter lainnya.

3. Buat Koneksi VPC.

   1. Di halaman detail CEN, klik tab Basic Information > Transit Router. Temukan router transit di wilayah China (Hangzhou) dan klik Create Connection di kolom Actions.

   2. Di halaman Connection with Peer Network Instance, konfigurasikan parameter berikut dan klik OK untuk menghubungkan VPC ke router transit.

      Tabel berikut hanya menjelaskan beberapa parameter. Parameter lainnya menggunakan nilai default. Untuk informasi lebih lanjut, lihat Gunakan Router Transit Edisi Perusahaan untuk Membuat Koneksi VPC.

      Parameter	Deskripsi
      Instance Type	Pilih Virtual Private Cloud (VPC).
      Region	Pilih China (Hangzhou).
      Attachment Name	Masukkan Lampiran-VPC.
      Network Instance	Pilih VPC Anda.
      VSwitch	Pilih vSwitch yang ditempatkan di zona router transit. Dalam contoh ini, vSwitch 2 dan vSwitch 3 dipilih. Jika wilayah memiliki beberapa zona, pilih setidaknya dua zona dan pilih satu vSwitch di setiap zona. Kami menyarankan Anda memilih vSwitch yang tidak digunakan.
      Advanced Settings	Dalam contoh ini, pengaturan default digunakan. Semua fitur lanjutan diaktifkan.

   3. Klik Create More Connections untuk kembali ke halaman Connection with Peer Network Instance.

4. Buat Koneksi VBR.

   Di halaman Connection with Peer Network Instance, konfigurasikan parameter berikut dan klik OK untuk menghubungkan VBR ke router transit. Tabel berikut hanya menjelaskan beberapa parameter. Parameter lainnya menggunakan nilai default. Untuk informasi lebih lanjut, lihat Hubungkan VBR ke Router Transit Edisi Perusahaan.

   Parameter	Deskripsi
   Instance Type	Pilih Virtual Border Router (VBR).
   Region	Pilih China (Hangzhou).
   Attachment Name	Lampiran-VBR dimasukkan dalam contoh ini.
   Network Instance	VBR dipilih dalam contoh ini.
   Advanced Settings	Dalam contoh ini, pengaturan default digunakan. Semua fitur lanjutan diaktifkan.

Langkah c: Uji konektivitas

Setelah menyelesaikan konfigurasi sebelumnya, pusat data terhubung ke VPC. Anda dapat melakukan langkah-langkah berikut untuk menguji konektivitas.

1. Sambungkan ke ECS 1 di VPC. Untuk informasi lebih lanjut, lihat Gambaran Metode Koneksi.

2. Jalankan perintah ping untuk ping klien di pusat data.

   ping <alamat IP klien di pusat data>

   

   Seperti ditampilkan pada gambar sebelumnya, jika ECS 1 dapat menerima respons, pusat data dan VPC terhubung.

Langkah a: Buat koneksi IPsec-VPN pribadi

1. Tambahkan blok CIDR 10.10.10.0/24 untuk router transit. Untuk informasi lebih lanjut, lihat Blok CIDR Router Transit.

   Alamat IP gateway akan dialokasikan dari blok CIDR router transit untuk membuat koneksi IPsec-VPN pribadi. Blok CIDR router transit tidak boleh tumpang tindih dengan blok CIDR pusat data dan VPC yang digunakan untuk komunikasi.

2. Buat dua gateway pelanggan untuk mendaftarkan dua alamat IP VPN perangkat gateway pelanggan dengan Alibaba Cloud.

   1. Masuk ke Konsol Gateway VPN.

   2. Di panel navigasi kiri, pilih Interconnections > VPN > Customer Gateways.

   3. Di halaman Customer Gateway, klik Create Customer Gateway.

   4. Di panel Create Customer Gateway, atur parameter berikut dan klik OK.

      Tabel berikut hanya menjelaskan beberapa parameter. Parameter lainnya menggunakan nilai default. Untuk informasi lebih lanjut, lihat Buat dan Kelola Gateway Pelanggan.

      • Gateway Pelanggan 1

        • Name: Masukkan Customer-Gateway1.

        • IP Address: Masukkan salah satu alamat IP VPN perangkat gateway pelanggan, yaitu 192.168.10.136.

      • Gateway Pelanggan 2

        • Name: Masukkan Customer-Gateway2.

        • IP Address: Masukkan alamat IP VPN lainnya dari perangkat gateway pelanggan, yaitu 192.168.40.159.

3. Buat Koneksi IPsec-VPN.

   1. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

   2. Di halaman IPsec Connections, klik Bind CEN.

   3. Di halaman Create Ipsec-vpn Connection (CEN), konfigurasikan parameter dan klik OK. Tabel berikut menjelaskan parameter.

      Tabel berikut hanya menjelaskan parameter utama. Nilai default digunakan untuk parameter lainnya. Untuk informasi lebih lanjut, lihat Buat dan Kelola Koneksi IPsec-VPN dalam Mode Dual-Tunnel.

      Parameter	Koneksi IPsec-VPN
      Name	Masukkan IPsecConnection.
      Region	Pilih wilayah tempat router transit yang ingin Anda asosiasikan berada. Koneksi IPsec-VPN dibuat di wilayah yang sama dengan router transit.
      Gateway Type	Pilih Private.
      Bind CEN	Pilih Current Account.
      CEN Instance ID	Masukkan ID instansi CEN yang dibuat di Langkah b. Sistem menampilkan ID dan blok CIDR router transit yang dibuat oleh instansi CEN di wilayah saat ini. Koneksi IPsec-VPN akan diasosiasikan dengan router transit.
      Transit Router	Sistem secara otomatis menampilkan router transit dari instansi CEN di wilayah saat ini.
      Routing Mode	Destination Routing Mode dipilih dalam contoh ini untuk mengontrol perutean trafik.
      Tunnel 1
      Customer Gateway	Pilih Customer-Gateway1.
      Pre-Shared Key	fddsFF111**** digunakan dalam contoh ini. Penting Koneksi IPsec-VPN dan perangkat gateway peer harus menggunakan kunci pra-berbagi yang sama. Jika tidak, sistem tidak dapat membuat koneksi IPsec-VPN.
      Encryption Configuration	Gunakan nilai default parameter kecuali parameter berikut. Atur parameter DH Group di bagian IKE Configurations ke group14. Atur parameter DH Group di bagian IPsec Configurations menjadi group14. Catatan Anda perlu memilih parameter enkripsi berdasarkan perangkat gateway lokal untuk memastikan bahwa konfigurasi enkripsi untuk koneksi IPsec sama dengan perangkat gateway lokal.
      Tunnel 2
      Customer Gateway	Pilih Customer-Gateway2.
      Pre-Shared Key	fddsFF222**** digunakan dalam contoh ini.
      Encryption Configuration	Gunakan nilai default parameter kecuali parameter berikut. Atur parameter DH Group di bagian IKE Configurations menjadi group14. Atur parameter DH Group di bagian IPsec Configurations menjadi group14. Catatan Anda perlu memilih parameter enkripsi berdasarkan perangkat gateway lokal untuk memastikan bahwa konfigurasi enkripsi untuk koneksi IPsec sama dengan perangkat gateway lokal.
      Advanced Configuration	Dalam contoh ini, pengaturan default digunakan. Semua fitur lanjutan diaktifkan.

      Di halaman detail koneksi IPsec-VPN, Anda dapat melihat bahwa alamat IP gateway digunakan untuk membuat koneksi IPsec-VPN pribadi ke perangkat gateway pelanggan.

4. Di halaman IPsec Connections, temukan koneksi IPsec-VPN yang Anda buat dan klik Generate Peer Configuration di kolom Actions.

   Konfigurasi peer IPsec merujuk pada konfigurasi VPN yang perlu Anda tambahkan saat membuat koneksi IPsec-VPN. Dalam contoh ini, Anda perlu menambahkan konfigurasi VPN ke perangkat gateway pusat data.

5. Di kotak dialog IPsec Connection Configuration, salin dan simpan konfigurasi ke mesin lokal. Konfigurasi ini diperlukan saat Anda mengonfigurasi perangkat gateway pusat data.

6. Konfigurasikan Perangkat Gateway Pelanggan.

   Setelah Anda membuat koneksi IPsec-VPN, Anda perlu menambahkan konfigurasi VPN pada perangkat gateway pelanggan agar koneksi IPsec-VPN pribadi dapat dibuat antara Alibaba Cloud dan perangkat gateway pelanggan.

   Klik untuk melihat konfigurasi perangkat gateway pelanggan.

   1. Masuk ke CLI firewall Cisco dan masuk ke mode konfigurasi.

      ciscoasa> enable
      Password: ********             # Masukkan kata sandi untuk masuk ke mode enable. 
      ciscoasa# configure terminal   # Masuk ke mode konfigurasi. 
      ciscoasa(config)#     

   2. Lihat konfigurasi antarmuka dan konfigurasi rute.

      Verifikasi bahwa antarmuka dikonfigurasi dan diaktifkan pada firewall Cisco. Dalam contoh ini, konfigurasi antarmuka berikut digunakan:

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3                #Antarmuka yang terhubung ke terowongan IPsec-VPN pribadi 1.
       nameif VPN-IP1                             #Nama antarmuka GigabitEthernet0/3. 
       security-level 0
       ip address 192.168.10.136 255.255.255.0    #Alamat IP pribadi antarmuka GigabitEthernet0/3. 
      !
      interface GigabitEthernet0/4                #Antarmuka yang terhubung ke terowongan IPsec-VPN pribadi 2.
       nameif VPN-IP2                             #Nama antarmuka GigabitEthernet0/4. 
       security-level 0
       ip address 192.168.40.159  255.255.255.0   #Alamat IP pribadi antarmuka GigabitEthernet0/4. 
      !
      
      #Tambahkan rute yang mengarah ke blok CIDR router transit (alamat IP gateway koneksi IPsec-VPN) untuk membuat koneksi IPsec-VPN pribadi. 
      route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #Konfigurasikan rute yang mengarah ke alamat IP pribadi Terowongan 1 di sisi Alibaba Cloud.
      route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #Konfigurasikan rute yang mengarah ke alamat IP pribadi Terowongan 2 di sisi Alibaba Cloud.

   3. Aktifkan IKEv2 untuk antarmuka.

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. Buat kebijakan IKEv2 dan tentukan algoritma autentikasi, algoritma enkripsi, grup DH, dan masa hidup SA di fase IKE pada firewall Cisco. Nilai-nilai tersebut harus sama dengan yang ada di Alibaba Cloud.

      Penting

      Saat mengonfigurasi koneksi IPsec-VPN di Alibaba Cloud, Anda hanya dapat menentukan satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan grup DH di fase IKE. Kami menyarankan Anda menentukan hanya satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan grup DH di fase IKE pada firewall Cisco. Nilai-nilai tersebut harus sama dengan yang ada di Alibaba Cloud.

      crypto ikev2 policy 10     
       encryption aes             # Tentukan algoritma enkripsi. 
       integrity sha              # Tentukan algoritma autentikasi. 
       group 14                   # Tentukan grup DH. 
       prf sha                    # Nilai parameter prf harus sama dengan parameter integrity. Secara default, nilai-nilai ini sama di Alibaba Cloud. 
       lifetime seconds 86400     # Tentukan masa hidup SA.

   5. Buat proposal IPsec dan profil, serta tentukan algoritma enkripsi, algoritma autentikasi, grup DH, dan masa hidup SA di fase IPsec pada firewall Cisco. Nilai-nilai tersebut harus sama dengan yang ada di Alibaba Cloud.

      Penting

      Saat mengonfigurasi koneksi IPsec-VPN di Alibaba Cloud, Anda hanya dapat menentukan satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan grup DH di fase IPsec. Kami menyarankan Anda menentukan hanya satu nilai untuk algoritma enkripsi, algoritma autentikasi, dan grup DH di fase IPsec pada firewall Cisco. Nilai-nilai tersebut harus sama dengan yang ada di Alibaba Cloud.

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    # Buat proposal IPsec. 
       protocol esp encryption aes                         # Tentukan algoritma enkripsi. Protokol Encapsulating Security Payload (ESP) digunakan di Alibaba Cloud. Oleh karena itu, gunakan protokol ESP. 
       protocol esp integrity sha-1                        # Tentukan algoritma autentikasi. Protokol ESP digunakan di Alibaba Cloud. Oleh karena itu, gunakan protokol ESP. 
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            # Buat profil IPsec dan terapkan proposal yang dibuat.  
       set ikev2 local-identity address                    # Atur format ID lokal menjadi alamat IP, yang sama dengan format ID remote di Alibaba Cloud. 
       set pfs group14                                     # Tentukan Perfect Forward Secrecy (PFS) dan grup DH. 
       set security-association lifetime seconds 86400     # Tentukan masa hidup SA berbasis waktu. 
       set security-association lifetime kilobytes unlimited # Nonaktifkan masa hidup SA berbasis trafik.

   6. Buat grup terowongan dan tentukan kunci pra-berbagi untuk terowongan, yang harus sama dengan yang ada di sisi Alibaba Cloud.

      tunnel-group 10.10.10.49 type ipsec-l2l                    #Atur mode enkripsi ke l2l untuk Terowongan 1. 
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  # Tentukan kunci pra-berbagi peer untuk Terowongan 1, yaitu kunci pra-berbagi di sisi Alibaba Cloud. 
       ikev2 local-authentication pre-shared-key fddsFF111**** # Tentukan kunci pra-berbagi lokal untuk Terowongan 1, yang harus sama dengan yang ada di Alibaba Cloud. 
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #Atur mode enkripsi ke l2l untuk Terowongan 2. 
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  # Tentukan kunci pra-berbagi peer untuk Terowongan 2, yaitu kunci pra-berbagi di sisi Alibaba Cloud. 
       ikev2 local-authentication pre-shared-key fddsFF222****   # Tentukan kunci pra-berbagi lokal untuk Terowongan 2, yang harus sama dengan yang ada di Alibaba Cloud. 
      !

   7. Buat antarmuka terowongan.

      interface Tunnel1                                  # Buat antarmuka untuk Terowongan 1. 
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           # Tentukan alamat IP antarmuka. 
       tunnel source interface VPN-IP1                   #Tentukan alamat sumber Terowongan 1 sebagai alamat IP GigabitEthernet0/3. 
       tunnel destination 10.10.10.49                    #Tentukan alamat tujuan Terowongan 1 sebagai alamat IP pribadi Terowongan 1 di sisi Alibaba Cloud. 
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    # Terapkan profil IPsec ALIYUN-PROFILE pada Terowongan 1. 
       no shutdown                                       # Aktifkan antarmuka untuk Terowongan 1. 
      !
      interface Tunnel2                                  # Buat antarmuka untuk Terowongan 2. 
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           # Tentukan alamat IP antarmuka. 
       tunnel source interface VPN-IP2                   #Tentukan alamat sumber Terowongan 2 sebagai alamat IP GigabitEthernet0/4. 
       tunnel destination 10.10.10.50                    #Tentukan alamat tujuan Terowongan 2 sebagai alamat IP pribadi Terowongan 2 di sisi Alibaba Cloud. 
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE # Terapkan profil IPsec ALIYUN-PROFILE pada Terowongan 2. 
       no shutdown                                       # Aktifkan antarmuka untuk Terowongan 2. 
      !

   Setelah Anda menyelesaikan langkah-langkah sebelumnya, koneksi IPsec-VPN pribadi dapat dibuat antara pusat data dan Alibaba Cloud. Anda dapat memeriksa status koneksi di halaman detail koneksi IPsec-VPN. Jika koneksi IPsec-VPN pribadi tidak dibuat, lakukan pemecahan masalah sesuai. Untuk informasi lebih lanjut, lihat Diagnostik Mandiri untuk Koneksi IPsec-VPN.

Langkah b: Konfigurasikan rute

Setelah koneksi IPsec-VPN pribadi dibuat, data masih ditransmisikan melalui sirkuit Express Connect antara pusat data dan VPC. Selain itu, data tidak dienkripsi. Anda perlu menambahkan rute untuk mengenkripsi dan mentransmisikan data melalui koneksi IPsec-VPN pribadi.

1. Modifikasi rute pada perangkat gateway pelanggan.

   #Tambahkan rute yang mengarah ke VPC untuk mentransmisikan trafik melalui koneksi IPsec-VPN pribadi.
   route ALIYUN1 172.16.0.0 255.255.0.0 10.10.10.49 4        
   route ALIYUN2 172.16.0.0 255.255.0.0 10.10.10.50 5 
   
   #Modifikasi prioritas rute statis yang mengarah ke sirkuit Express Connect. Pastikan prioritasnya lebih rendah daripada rute statis yang mengarah ke koneksi IPsec-VPN pribadi. 
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2  10

   Penting

   Dalam skenario ini, trafik dari pusat data ke VPC lebih disukai ditransmisikan melalui Terowongan 1. Saat Terowongan 1 down, trafik ditransmisikan melalui Terowongan 2. Transmisikan trafik dari VPC ke pusat data melalui terowongan acak.

2. Tambahkan rute yang mengarah ke pusat data untuk koneksi IPsec-VPN.

   1. Masuk ke Konsol Gateway VPN.

   2. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

   3. Di bilah navigasi atas, pilih wilayah China (Hangzhou).

   4. Di halaman IPsec Connections, temukan koneksi IPsec-VPN yang ingin Anda kelola dan klik ID-nya.

   5. Di tab Destination-based Route Table, klik Add Route Entry.

   6. Di panel Add Route Entry, konfigurasikan parameter berikut dan klik OK.

      Penting

      Saat menambahkan rute yang mengarah ke pusat data, pastikan blok CIDR tujuannya lebih spesifik daripada blok CIDR rute yang ditambahkan ke VBR. Dengan cara ini, rute yang dipelajari oleh router transit dari koneksi IPsec-VPN pribadi untuk merutekan trafik ke pusat data memiliki prioritas lebih tinggi.

      Parameter	Blok CIDR 1	Blok CIDR 2	Blok CIDR 3
      Destination CIDR Block	Masukkan 192.168.10.0/24.	Masukkan 192.168.20.0/24.	Masukkan 192.168.40.0/24.
      Next Hop Type	Pilih IPsec-VPN connection.
      Next Hop	Pilih koneksi IPsec-VPN yang Anda buat.

3. Tambahkan rute kustom untuk router transit.

   Setelah Anda menambahkan rute sebelumnya, koneksi IPsec-VPN pribadi akan terputus. Dalam kasus ini, Anda perlu menambahkan rute spesifik yang mengarah ke alamat IP VPN perangkat gateway pelanggan ke tabel rute router transit, dan atur hop berikutnya ke VBR untuk membuat ulang koneksi IPsec-VPN pribadi.

   1. Di tab Route Table di Konsol CEN, klik tab Route Entry dan klik Add Route Entry.

   2. Di kotak dialog Add Route Entry, konfigurasikan parameter dan klik OK. Tabel berikut menjelaskan parameter.

      Parameter	Blok CIDR 1	CIDR block 2
      Destination CIDR	Masukkan salah satu alamat IP VPN perangkat gateway pelanggan, yaitu 192.168.10.136/32.	Masukkan alamat IP VPN lainnya dari perangkat gateway pelanggan, yaitu 192.168.40.159/32.
      Whether it is a black hole route	Pilih No.
      Next Hop Connection	Pilih VBR-Attachment.

Langkah c: Verifikasi pengaturan enkripsi

Setelah Anda menyelesaikan konfigurasi, jika Anda dapat melihat detail transfer data di halaman detail koneksi IPsec-VPN, trafik telah dienkripsi.

1. Sambungkan ke ECS 1 di VPC. Jalankan perintah ping untuk ping klien di blok CIDR pusat data.

   ping <Alamat IP klien di pusat data> -s 1000 -c 10000

   • -s 1000: Kirim 1.000 byte.

   • -c 10000: Kirim permintaan secara terus-menerus sebanyak 10.000 kali.

2. Masuk ke Konsol Gateway VPN.

3. Di bilah navigasi atas, pilih wilayah China (Hangzhou).

4. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

5. Di halaman IPsec Connections, temukan koneksi IPsec-VPN yang Anda buat dan klik ID-nya.

   Pergi ke halaman detail koneksi IPsec-VPN untuk melihat detail transfer data.