VPN Gateway:Menghubungkan VPC Alibaba Cloud ke VPC AWS

Blok CIDR VPC

Perencanaan blok CIDR BGP

Lewati bagian ini jika Anda hanya berencana menggunakan static routing.

Kedua tunnel di sisi Alibaba Cloud harus menggunakan Local ASN yang sama. ASN BGP peer untuk kedua tunnel dapat berbeda, tetapi disarankan untuk menggunakan ASN BGP peer yang sama untuk keduanya.

Setiap blok CIDR tunnel BGP harus unik dalam satu instance Gateway VPN.

Buat customer gateway

1. Masuk ke Konsol Gateway VPN.

2. Di panel navigasi kiri, pilih Interconnections > VPN > Customer Gateways.

3. Di bilah navigasi atas, pilih Germany (Frankfurt). Customer gateway dan Gateway VPN harus berada di wilayah yang sama.

4. Pada halaman Customer Gateways, klik Create Customer Gateway.

5. Di panel Create Customer Gateway, konfigurasikan pengaturan berikut lalu klik OK. Buat dua customer gateway menggunakan alamat IP luar Tunnel 1 dari setiap koneksi VPN situs-ke-situs AWS. Untuk parameter yang tidak tercantum di sini, pertahankan nilai default. Lihat Customer gateways.

   Penting

   Gunakan hanya alamat IP luar Tunnel 1 dari setiap koneksi VPN situs-ke-situs AWS. Alamat IP luar Tunnel 2 tidak digunakan. Setelah koneksi IPsec-VPN dibuat, Tunnel 2 dari setiap koneksi VPN situs-ke-situs AWS tetap terputus secara default.

   Parameter	Deskripsi	Customer Gateway 1	Customer Gateway 2
   Name	Nama untuk customer gateway.	Customer Gateway 1	Customer Gateway 2
   IP Address	Alamat IP luar tunnel AWS.	3.XX.XX.52	3.XX.XX.56
   ASN	ASN BGP dari virtual private gateway AWS. Diperlukan untuk perutean dinamis BGP.	64512	64512

Buat koneksi IPsec-VPN

1. Di panel navigasi kiri, pilih Interconnections > VPN > IPsec Connections.

2. Di halaman IPsec Connections, klik Bind VPN Gateway.

3. Di halaman Create IPsec-VPN Connection, konfigurasikan pengaturan berikut lalu klik OK.

   Parameter	Deskripsi	Nilai contoh
   IPsec-VPN Connection Name	Nama untuk koneksi IPsec-VPN.	Koneksi IPsec-VPN
   Region	Wilayah tempat Gateway VPN dideploy.	Germany (Frankfurt)
   Attach a VPN Gateway	Instance Gateway VPN yang akan dikaitkan dengan koneksi IPsec-VPN.	Gateway VPN (dibuat di Langkah 1)
   Routing Mode	Cara traffic dirutekan melalui tunnel. Destination-based Routing merutekan berdasarkan IP tujuan. Traffic Of Interest Pattern merutekan berdasarkan pasangan IP sumber dan tujuan.	Static routing: pilih Traffic Of Interest Pattern (Disarankan). Atur Local Network ke 10.0.0.0/16 dan Remote Network ke 192.168.0.0/16. Perutean dinamis BGP: pilih Destination-based Routing (disarankan).
   Effective Immediately	Apakah negosiasi IKE dimulai segera setelah konfigurasi. Yes: negosiasi dimulai segera. No: negosiasi dipicu oleh traffic.	Yes
   Enable BGP	Apakah akan menggunakan perutean dinamis BGP. Dinonaktifkan secara default. Untuk menggunakan BGP, aktifkan setelah koneksi dibuat dan tambahkan konfigurasi BGP secara terpisah.	Disabled (static routing). Aktifkan setelah pembuatan untuk BGP.
   Tunnel 1 – Customer Gateway	Customer gateway untuk tunnel aktif.	Customer Gateway 1
   Tunnel 1 – Pre-Shared Key	Kunci autentikasi untuk tunnel aktif. 1–100 karakter: angka, huruf, dan karakter khusus ` ~!@#$%^&*()_-+={}[]|;:',.<>/?``. Harus sesuai dengan kunci yang dikonfigurasi di tunnel AWS yang terhubung.	Sama dengan kunci pra-bersama tunnel AWS
   Tunnel 1 – Encryption Configurations	Pengaturan IKE, IPsec, DPD, dan Penelusuran NAT.	Di bawah IKE Configurations, atur SA Life Cycle (seconds) ke 28800. Di bawah IPsec Configurations, atur SA Life Cycle (seconds) ke 3600. Pertahankan semua nilai lainnya pada default. Lihat Konfigurasikan koneksi IPsec-VPN.
   Tunnel 2 – Customer Gateway	Customer gateway untuk tunnel cadangan.	Customer Gateway 2
   Tunnel 2 – Pre-Shared Key	Kunci autentikasi untuk tunnel cadangan. Harus sesuai dengan kunci di tunnel AWS yang terhubung.	Sama dengan kunci pra-bersama tunnel AWS
   Tunnel 2 – Encryption Configurations	Pengaturan IKE, IPsec, DPD, dan Penelusuran NAT.	Sama seperti Tunnel 1: Siklus Hidup SA IKE 28800 detik, Siklus Hidup SA IPsec 3600 detik.

4. Di pesan Created, klik Cancel.

Konfigurasikan rute Gateway VPN

Periksa status koneksi VPN

Sebelum menjalankan pengujian end-to-end, pastikan koneksi IPsec-VPN telah terbentuk:

1. Di Konsol Gateway VPN, buka Interconnections > VPN > IPsec Connections.

2. Temukan koneksi IPsec-VPN yang telah Anda buat. Pastikan status tunnel menunjukkan Connected.

Jika statusnya bukan Connected, periksa:

• Apakah kunci pra-bersama di kedua sisi sesuai.

• Apakah nilai Siklus Hidup SA IKE dan Siklus Hidup SA IPsec di kedua sisi sesuai (masing-masing 28800 detik dan 3600 detik).

• Aturan grup keamanan dan ACL jaringan di sisi Alibaba Cloud dan AWS mengizinkan lalu lintas antara kedua blok CIDR VPC.

Uji konektivitas end-to-end

Sebelum pengujian, pastikan ACL jaringan dan aturan security group di kedua platform mengizinkan traffic antara kedua VPC.

1. Masuk ke instance ECS di VPC Alibaba Cloud. Lihat Pilih metode koneksi jarak jauh untuk instance ECS.

2. Jalankan ping untuk mencapai instance EC2 AWS:

   ping <alamat IP pribadi instance EC2 AWS>

   Jika instance ECS menerima balasan, kedua VPC dapat berkomunikasi.

   

Uji failover ketersediaan tinggi

Koneksi IPsec-VPN dual-tunnel menyediakan failover otomatis: jika tunnel aktif gagal, traffic dialihkan ke tunnel cadangan.

1. Tetap masuk ke instance ECS dan jalankan ping berkelanjutan:

   ping <alamat IP pribadi instance EC2 AWS> -c 10000

2. Hentikan tunnel aktif dengan mengubah kunci pra-bersamanya di sisi Alibaba Cloud. Ketidaksesuaian kunci menyebabkan tunnel terputus.

3. Amati output ping. Setelah gangguan singkat, traffic secara otomatis dilanjutkan melalui tunnel cadangan.

Untuk memantau traffic tunnel, buka tab Monitoring koneksi IPsec-VPN di konsol Alibaba Cloud. Lihat Pantau koneksi IPsec-VPN.