VPN Gateway:Konfigurasikan rute untuk gateway VPN

Rute statis vs. rute BGP

Rute statis: Berbasis tujuan vs. berbasis kebijakan

Pilih antara rute berbasis tujuan dan rute berbasis kebijakan.

Prioritas rute

Gateway VPN mencocokkan lalu lintas terhadap rute dalam urutan berikut:

1. Gateway pertama-tama memeriksa Policy-based Route Table, mencocokkan rute berdasarkan prioritas kebijakan, bukan berdasarkan aturan longest prefix match.

2. Gateway kemudian memeriksa Destination-based Route Table, mencocokkan rute berdasarkan aturan longest prefix match.

3. Akhirnya, gateway memeriksa BGP Route Table.

Ikhtisar end-to-end

Menghubungkan VPC ke data center melalui gateway VPN melibatkan tiga tabel rute:

Konfigurasi rute berbasis tujuan

Rute berbasis tujuan meneruskan lalu lintas berdasarkan alamat IP tujuan.

Aturan pencocokan:

• Longest prefix match: Lalu lintas dicocokkan dengan rute yang memiliki subnet mask terpanjang. Misalnya, jika rute 10.0.0.0/8 dan 10.10.0.0/16 keduanya ada, lalu lintas yang ditujukan ke 10.10.10.1 akan dicocokkan dengan rute 10.10.0.0/16.

• Rute aktif/standby (hanya untuk gateway VPN single-tunnel lawas): Hanya rute aktif yang dicocokkan; rute standby dilewati. Konfigurasi rute aktif/standby.

Konfigurasi rute berbasis kebijakan

Rute berbasis kebijakan mencocokkan lalu lintas berdasarkan alamat IP sumber dan alamat IP tujuan, serta memiliki prioritas lebih tinggi daripada rute berbasis tujuan dan rute BGP.

Urutan pencocokan:

1. Prioritas kebijakan: Rute dengan nilai prioritas terendah dicocokkan terlebih dahulu.

2. Rute dengan prioritas yang sama: Dicocokkan secara berurutan berdasarkan waktu pembuatan. Pencocokan pertama yang sesuai digunakan.

Umumkan ke tabel rute VPC

Setelah rute kebijakan dan rute tujuan dibuat, secara default statusnya adalah Not published ke tabel rute VPC. Anda dapat langsung memublikasikan rute yang ditambahkan secara manual ke tabel rute sistem VPC tanpa perlu menambahkan rute secara manual di tabel rute VPC.

• Rute hanya diumumkan ke tabel rute sistem VPC, bukan ke tabel rute kustom. Untuk menambahkan rute ke tabel rute kustom, gunakan Tambah dan hapus entri rute.

• Jika rute dengan Blok CIDR tujuan yang sama ada di kedua tabel rute (berbasis kebijakan dan berbasis tujuan), menarik rute dari satu tabel juga akan menariknya dari tabel lainnya.

• Jika entri rute dengan Blok CIDR tujuan yang sama dengan rute yang akan dipublikasikan tetapi lompatan berikutnya berbeda sudah ada di tabel rute VPC (misalnya, mengarah ke koneksi peering atau gateway NAT), sistem akan memberikan prompt konflik rute (rute duplikat) selama publikasi. Setelah mengevaluasi kebutuhan bisnis Anda, hapus rute yang bertentangan atau sesuaikan rencana Blok CIDR, lalu lakukan operasi publikasi lagi setelah konflik terselesaikan. Untuk informasi lebih lanjut, lihat Tangani error rute duplikat.

Batasan

• Gateway VPN dual-tunnel:

  • Rute berbasis tujuan tidak mendukung 0.0.0.0/0 sebagai Blok CIDR tujuan. Rute berbasis kebijakan mendukung 0.0.0.0/0 sebagai Blok CIDR tujuan.

• Gateway VPN single-tunnel (tidak lagi tersedia):

  • Rute berbasis tujuan dan rute berbasis kebijakan: Keduanya tidak mendukung 0.0.0.0/0 sebagai Blok CIDR tujuan.

  • Rute berbasis tujuan dan rute berbasis kebijakan: Keduanya tidak mendukung Blok CIDR yang tumpang tindih dengan 100.64.0.0/10 (termasuk 100.64.0.0/10 itu sendiri, subnet-nya, dan supernya) sebagai Blok CIDR tujuan.

• Jika sistem memberikan prompt konflik rute, lihat Tangani error rute duplikat.

Ikhtisar end-to-end

Prinsip pengumuman rute BGP

• Inbound ke cloud: Rute yang diumumkan oleh data center melalui BGP → disebar ke gateway VPN → secara otomatis disebar ke tabel rute sistem VPC (memerlukan aktivasi penyebaran rute).

• Outbound dari cloud: Entri rute sistem di tabel rute sistem VPC → secara otomatis dipelajari oleh gateway VPN (memerlukan aktivasi penyebaran rute) → disebar ke data center melalui BGP.

Prosedur

Sebelum memulai, pastikan:

• Gateway VPN mendukung BGP. Periksa apakah gateway VPN mendukung BGP.

• Perangkat gateway di data center Anda mendukung BGP.

Batasan

• Setiap tabel rute BGP gateway VPN mendukung hingga 50 rute (dapat diperluas hingga 200; hubungi account manager Anda).

• Gateway VPN tidak menerima rute BGP yang Blok CIDR tujuannya adalah 0.0.0.0/0.

• Saat BGP diaktifkan untuk beberapa koneksi IPsec-VPN pada gateway VPN yang sama, Local ASN harus sama untuk semua koneksi.

• Jangan saling menukar rute antar koneksi IPsec-VPN yang berbeda.

• Saat VPC dikaitkan dengan beberapa gateway VPN, gateway tersebut tidak mendukung peering BGP satu sama lain. Jangan saling menukar rute antar gateway VPN yang berbeda.

• Jika VPC dikaitkan dengan beberapa gateway VPN yang semuanya menggunakan BGP dan terhubung ke Customer Gateway yang sama, Local ASN untuk koneksi IPsec-VPN pada setiap gateway VPN harus identik untuk mencegah loop perutean.

• Jika beberapa koneksi IPsec-VPN dual-tunnel menggunakan BGP secara bersamaan, Blok CIDR tujuan dari rute yang dipelajari oleh setiap koneksi tidak boleh tumpang tindih.

• Saat menggunakan sirkuit Express Connect dan gateway VPN untuk akses aktif/standby ke VPC, ASN lokal yang dikonfigurasi pada Border Router (VBR) dan gateway VPN harus sama.

• Jika VPC gateway VPN termasuk dalam Cloud Enterprise Network (CEN), aktifkan overlapping rute. Fitur ini diaktifkan secara default untuk instans CEN yang dibuat setelah Maret 2019.

• Jika beberapa VPC dalam CEN yang sama terhubung ke data center yang sama melalui BGP, rute dinamis dapat disebarkan melalui CEN ke VPC lain, menyebabkan route flapping. Gunakan rute statis sebagai gantinya.

• Gateway VPN dalam mode single-tunnel: Jangan sebarkan rute untuk 100.64.0.0/10 (termasuk subnet dan supernya). Anda dapat menghindari masalah ini dengan Upgrade koneksi IPsec-VPN ke mode dual-tunnel.

Rekomendasi konfigurasi rute

• Gunakan metode perutean yang sama untuk semua koneksi IPsec-VPN pada gateway VPN. Jangan mencampur rute berbasis tujuan, berbasis kebijakan, dan rute BGP.

• Saat mengonfigurasi rute dinamis BGP, kami merekomendasikan Anda menggunakan Destination Routing Mode untuk Routing Mode koneksi IPsec.

Periksa apakah gateway VPN mendukung BGP

• Gateway VPN yang baru dibuat dan mendukung koneksi IPsec-VPN dual-tunnel mendukung BGP secara default.

• Untuk gateway VPN yang sudah ada: Panggil operasi DescribeVpnGateway dan verifikasi bahwa bidang Tag berisi tag VpnEnableBgp dengan nilai true.

• Opsi upgrade untuk gateway yang tidak didukung:

  - Gateway VPN mode dual-tunnel: Upgrade gateway VPN (hanya tipe standar)

  - Gateway VPN mode single-tunnel: Upgrade ke mode dual-tunnel

Konfigurasi rute aktif/standby

• Untuk mengonfigurasi aktif/standby pada gateway VPN single-tunnel lawas, Upgrade koneksi IPsec-VPN ke mode dual-tunnel. Koneksi dual-tunnel menyediakan aktif/standby secara default tanpa perlu konfigurasi bobot.

• Jika Anda masih perlu mengonfigurasi tautan aktif/standby dalam mode single-tunnel, ikuti langkah-langkah berikut:

  1. Rute utama memiliki bobot 100 dan rute standby memiliki bobot 0. Blok CIDR tujuan harus sama, tetapi lompatan berikutnya harus berbeda. Untuk rute berbasis kebijakan, Blok CIDR sumber juga harus sama.

  2. Konfigurasikan pemeriksaan kesehatan untuk koneksi IPsec-VPN guna mengaktifkan failover otomatis. Anda dapat menemukan opsi ini di pengaturan konfigurasi saluran data koneksi IPsec-VPN.

  3. Untuk memodifikasi bobot rute, hapus terlebih dahulu rute standby, modifikasi bobot rute aktif, lalu buat ulang rute standby. Proses yang sama berlaku saat memodifikasi bobot rute standby.

  Untuk instans VPN Gateway yang belum di-upgrade sejak 12 Oktober 2023, jika Anda perlu mengonfigurasi rute berbasis kebijakan aktif/standby, pastikan tautan aktif/standby ditentukan untuk setiap Blok CIDR. Jika suatu Blok CIDR hanya memiliki satu tautan yang dikonfigurasi, failover untuk Blok CIDR lainnya mungkin gagal. Anda dapat menghindari masalah ini dengan meng-upgrade gateway VPN atau Upgrade koneksi IPsec-VPN ke mode dual-tunnel. Masalah ini tidak memengaruhi instans VPN Gateway yang dibuat atau di-upgrade setelah 12 Oktober 2023.

• Setelah konfigurasi, rute berlaku berdasarkan aturan berikut:

  Koneksi IPsec-VPN untuk rute aktif	Koneksi IPsec-VPN untuk rute standby	Rute efektif
  Up (negosiasi berhasil dan pemeriksaan kesehatan normal)	Status apa pun	Rute aktif
  Down	Up	Rute standby
  Down	Down	Rute aktif (default)

FAQ

T: Saat ECS mengakses sumber daya on-premises melalui gateway VPN, bagaimana lalu lintas mencocokkan tabel rute?

Saat ECS berkomunikasi dengan sumber daya on-premises melalui VPN, lalu lintas diteruskan dalam urutan pencocokan berikut:

1. Tabel rute VPC: Sistem pertama-tama menanyakan tabel rute VPC. Jika entri rute yang sesuai dengan IP tujuan ada (dengan lompatan berikutnya adalah gateway VPN), lalu lintas diteruskan ke gateway VPN.

2. Tabel rute gateway VPN: Gateway VPN kemudian menentukan, berdasarkan tabel rutennya sendiri (perutean berbasis tujuan atau berbasis kebijakan), ke koneksi IPsec mana lalu lintas diteruskan.

T: Apa yang harus saya lakukan jika IDC on-premises tidak dapat melakukan ping ke ECS cloud atau koneksi SSH gagal?

Lakukan troubleshooting dalam urutan berikut:

1. Konfirmasi bahwa konfigurasi rute VPN benar (tabel rute VPC berisi entri rute yang mengarah ke gateway VPN, dan tabel rute gateway VPN telah dikonfigurasi dengan rute tujuan atau rute berbasis kebijakan yang sesuai).

2. Periksa aturan grup keamanan ECS cloud:

   • Uji ping (ICMP): Konfirmasi bahwa arah inbound grup keamanan mengizinkan protokol ICMP dari Blok CIDR IDC on-premises.

   • Koneksi SSH (port TCP 22): Konfirmasi bahwa arah inbound grup keamanan mengizinkan port TCP 22 dari Blok CIDR IDC on-premises.

Jika konfigurasi rute normal tetapi konektivitas tetap gagal, pemblokiran oleh grup keamanan merupakan penyebab umum dan harus diperiksa terlebih dahulu untuk menghindari diagnosis keliru sebagai masalah rute.

T: Saat gateway NAT VPC digunakan bersama IPsec-VPN, bagaimana cara mengonfigurasi rute ECS?

Dalam skenario di mana gateway NAT dan gateway VPN digabungkan, lalu lintas yang dikirim oleh ECS ke layanan on-premises harus terlebih dahulu diterjemahkan oleh gateway NAT lalu ditransmisikan melalui saluran data VPN. Langkah-langkah konfigurasinya sebagai berikut:

1. Buat tabel rute kustom di konsol tabel rute dan kaitkan dengan vSwitch tempat ECS berada.

2. Tambahkan entri rute ke tabel rute kustom: atur Blok CIDR tujuan ke alamat layanan internal on-premises dan lompatan berikutnya ke gateway NAT.

Untuk informasi lebih lanjut, lihat Gateway NAT VPC bekerja sama dengan gateway VPN untuk mengaktifkan akses jaringan pribadi antara cloud dan jaringan on-premises.

T: Apa dampak dari mengonfigurasi traffic selector sebagai 0.0.0.0/0 atau Blok CIDR besar (seperti 10.0.0.0/8)?

Cakupan traffic selector menentukan jenis lalu lintas yang memicu negosiasi IKE, tetapi lalu lintas yang benar-benar memasuki saluran data dikendalikan oleh keputusan rute:

• Mengonfigurasi 0.0.0.0/0 tidak secara langsung memengaruhi konektivitas jaringan on-premises. Namun, jika Anda mengarahkan rute 0.0.0.0/0 ke saluran data VPN di tabel rute on-premises, semua lalu lintas (termasuk akses Internet) akan mencoba memasuki saluran data, yang dapat menyebabkan akses Internet gagal.

• Anda dapat mengonfigurasi Blok CIDR lokal sebagai rentang besar (seperti 10.0.0.0/8), tetapi pastikan ACL crypto pada perangkat peer juga dimodifikasi ke Blok CIDR agregat yang sesuai. Jika Blok CIDR peer tidak dapat diagregasi, Anda dapat menggunakan 0.0.0.0/0 dan menambahkan entri rute spesifik di bawah koneksi IPsec untuk mencapai kontrol lalu lintas detail halus dan mengurangi jumlah negosiasi SA.

Untuk informasi lebih lanjut, lihat Rekomendasi konfigurasi dan FAQ untuk interkoneksi antara beberapa Blok CIDR.

Tutorial

Lihat Konfigurasikan strongSwan.