VPN Gateway：Konfigurasi strongSwan

Dual egress—perutean dinamis BGP

Untuk informasi lebih lanjut, lihat Hubungkan VPC ke pusat data lokal dalam mode dual-tunnel dan gunakan perutean BGP. Lengkapi langkah-langkah Create a VPN gateway, Create customer gateways, Create an IPsec-VPN connection, dan Enable BGP dynamic routing .

1. Karena perangkat strongSwan memiliki dua alamat IP egress publik, buat dua gateway pelanggan.

2. Saat membuat koneksi IPsec-VPN, asosiasikan Tunnel 1 dengan egress publik 1 dan Tunnel 2 dengan egress publik 2. Contoh ini menggunakan Destination Routing Mode.

Dual egress—perutean statis

Untuk informasi lebih lanjut, lihat Menghubungkan VPC ke pusat data lokal dalam mode saluran ganda. Ikuti langkah-langkah berikut: Buat Gateway VPN, Buat gateway pelanggan, Buat koneksi IPsec, dan Mengonfigurasi rute Gateway VPN.

1. Karena perangkat strongSwan memiliki dua alamat IP egress publik, buat dua gateway pelanggan.

2. Saat membuat koneksi IPsec-VPN, asosiasikan Tunnel 1 dengan egress publik 1 dan Tunnel 2 dengan egress publik 2. Contoh ini menggunakan Destination Routing Mode.

Single egress—perutean dinamis BGP

Untuk informasi lebih lanjut, lihat Hubungkan VPC ke pusat data lokal dalam mode dual-tunnel dan gunakan perutean BGP. Lengkapi langkah-langkah Create a VPN gateway, Create customer gateways, Create an IPsec-VPN connection, dan Enable BGP dynamic routing .

1. Perangkat strongSwan memiliki satu alamat IP egress publik. Buat satu gateway pelanggan.

2. Saat membuat koneksi IPsec-VPN, asosiasikan kedua tunnel dengan gateway pelanggan yang sama. Contoh ini menggunakan Destination Routing Mode.

Single egress—perutean statis

Untuk informasi lebih lanjut, lihat Hubungkan VPC ke pusat data lokal dalam mode dual-tunnel. Lengkapi langkah-langkah Create a VPN gateway, Create a customer gateway, Create an IPsec connection, dan Configure VPN Gateway routes . Perhatikan poin-poin berikut:

1. Perangkat strongSwan memiliki satu alamat IP egress publik. Buat satu gateway pelanggan.

2. Saat membuat koneksi IPsec-VPN, pilih mode Protected Data Flows dan asosiasikan kedua tunnel dengan gateway pelanggan yang sama. Konfigurasikan parameter berikut:

   • Tetapkan Local Network ke blok CIDR VPC di sisi Alibaba Cloud, yaitu 192.168.0.0/16.

   • Tetapkan Remote Network ke blok CIDR pribadi pusat data lokal, yaitu 172.16.0.0/16.

Jika koneksi IPsec-VPN diasosiasikan dengan Transit Router, gunakan perutean dinamis BGP. Perutean statis tidak disarankan untuk skenario ini.

Dual egress—perutean statis dan perutean dinamis BGP

1. Tambahkan rute agar traffic ke alamat IPsec 1 melewati eth0 dan traffic ke alamat IPsec 2 melewati eth1.

   ip route add 47.XX.XX.151 via 172.16.20.253 dev eth0  # 172.16.20.253 adalah alamat gateway pribadi eth0.
   ip route add 47.XX.XX.87 via 172.16.21.253 dev eth1   # 172.16.21.253 adalah alamat gateway pribadi eth1.

   Verifikasi konektivitas ke kedua alamat IPsec.

   ping 47.XX.XX.151 
   ping 47.XX.XX.87 

2. Buat dua antarmuka jaringan virtual untuk membuat tunnel IPsec-VPN.

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 1. ID antarmuka adalah 42 dan antarmuka dasar adalah eth0 publik.
   ip link add ipsec1 type xfrm dev eth1 if_id 43 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 2. ID antarmuka adalah 43 dan antarmuka dasar adalah eth1 publik.
   ip link set ipsec0 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 1.
   ip link set ipsec1 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 2.

   Penting

   Antarmuka XFRM tidak bertahan setelah reboot. Anda harus mengonfigurasi skrip startup berikut agar antarmuka dibuat ulang secara otomatis dan strongSwan dimuat ulang setiap kali boot.

   Klik untuk melihat skrip startup.

   1. Buat file skrip.

      vi xfrm.sh

   2. Tambahkan konten berikut dan simpan file.

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 1. ID antarmuka adalah 42 dan antarmuka dasar adalah eth0 publik.
      sudo ip link add ipsec1 type xfrm dev eth1 if_id 43 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 2. ID antarmuka adalah 43 dan antarmuka dasar adalah eth1 publik.
      sudo ip link set ipsec0 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 1.
      sudo ip link set ipsec1 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 2.

   3. Cari jalur mutlak skrip tersebut.

      sudo find / -name xfrm.sh

   4. Tambahkan jalur skrip ke /etc/rc.d/rc.local agar dijalankan saat startup. Ganti /path/to/xfrm.sh dengan jalur aktual yang dikembalikan oleh perintah find sebelumnya.

      echo '/path/to/xfrm.sh' | sudo tee -a /etc/rc.d/rc.local

   5. Berikan izin eksekusi ke file rc.local dan skrip xfrm.sh.

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /path/to/xfrm.sh

3. Ubah file konfigurasi strongSwan.

   1. Buat cadangan file konfigurasi strongSwan asli.

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. Buat file konfigurasi strongSwan baru.

      vi /etc/strongswan/swanctl/swanctl.conf

   3. Tambahkan konfigurasi berikut. Setiap nilai parameter harus sesuai dengan konfigurasi tunnel Alibaba Cloud yang bersesuaian.

      Penting

      Untuk perutean statis, hapus komentar baris updown = /root/connect_1.sh dan updown = /root/connect_2.sh dalam konfigurasi.

      connections {
         vco1 {                            # Tambahkan konfigurasi VPN untuk Tunnel IPsec-VPN 1.
            version = 2                    # Tentukan versi IKE. Harus sama dengan versi IKE Tunnel 1 di sisi Alibaba Cloud. Angka 2 menunjukkan IKEv2.
            local_addrs  = 172.16.20.80       # Alamat IP kartu antarmuka jaringan lokal pertama.
            remote_addrs = 47.XX.XX.151       # Tentukan alamat IP peer Tunnel 1 sebagai alamat IP gateway Tunnel 1 di sisi Alibaba Cloud, yaitu alamat IPsec 1.
            dpd_delay = 10
            rekey_time = 84600             # Tentukan masa aktif SA untuk Tunnel 1. Harus sama dengan masa aktif SA dalam konfigurasi IKE Tunnel 1 di sisi Alibaba Cloud.
            over_time = 1800               
            proposals = aes128-sha1-modp1024  # Tentukan algoritma enkripsi, algoritma autentikasi, dan grup DH untuk Tunnel 1. Harus sama dengan konfigurasi IKE Tunnel 1 di sisi Alibaba Cloud. group2 sesuai dengan modp1024.
            encap = yes
      
            local {
               auth = psk                  # Tetapkan metode autentikasi sisi lokal ke PSK, yaitu metode kunci pra-bersama.
               id = 120.XX.XX.202             # Alamat IP egress publik lokal pertama. Harus sama dengan RemoteId Tunnel 1 di sisi Alibaba Cloud.
            }
            remote {
               auth = psk                  # Tetapkan metode autentikasi peer ke PSK. Artinya Alibaba Cloud menggunakan metode kunci pra-bersama.
               id = 47.XX.XX.151             # Alamat IPsec 1 di sisi Alibaba Cloud. Harus sama dengan LocalId Tunnel 1 di sisi Alibaba Cloud.
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    # Pemilih traffic berbasis kebijakan untuk mode perutean berbasis tujuan di Alibaba Cloud adalah 0.0.0.0/0.
                  remote_ts = 0.0.0.0/0    # Pemilih traffic berbasis kebijakan untuk mode perutean berbasis tujuan di Alibaba Cloud adalah 0.0.0.0/0.
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        # Tentukan masa aktif SA untuk Tunnel 1. Harus sama dengan masa aktif SA dalam konfigurasi IPsec Tunnel 1 di sisi Alibaba Cloud.
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024   # Tentukan algoritma enkripsi, algoritma autentikasi, dan grup DH untuk Tunnel 1. Harus sama dengan konfigurasi IPsec Tunnel 1 di sisi Alibaba Cloud. group2 sesuai dengan modp1024.
      
                  if_id_out = 42           # Tentukan antarmuka egress dan ingress untuk Tunnel 1 sebagai antarmuka jaringan virtual XFRM Tunnel 1.
                  if_id_in = 42
                  #updown = /root/connect_1.sh         # Jalankan skrip /root/connect_1.sh untuk mengonfigurasi rute berdasarkan status UP dan DOWN Tunnel 1. Parameter ini hanya diperlukan saat menggunakan perutean statis.
               }
            }
         }
        vco2 {                             # Tambahkan konfigurasi VPN untuk Tunnel IPsec-VPN 2.
            version = 2                    # Tentukan versi IKE. Harus sama dengan versi IKE Tunnel 2 di sisi Alibaba Cloud. Angka 2 menunjukkan IKEv2.
            local_addrs  = 172.16.21.248        # Alamat IP kartu antarmuka jaringan lokal kedua.
            remote_addrs = 47.XX.XX.87       # Alamat IPsec 2 di sisi Alibaba Cloud.
            dpd_delay = 10
            rekey_time = 84600             # Masa aktif SA. Harus sesuai dengan konfigurasi IKE Tunnel 2.
            over_time = 1800
            proposals = aes128-sha1-modp1024  # group2 = modp1024. Harus sesuai dengan konfigurasi IKE Tunnel 2.
            encap = yes
      
            local {
               auth = psk                  # Autentikasi kunci pra-bersama.
               id = 47.XX.XX.127              # Alamat IP egress publik lokal kedua. Harus sesuai dengan RemoteId Tunnel 2.
            }
            remote {
               auth = psk                  # Tetapkan metode autentikasi peer ke PSK. Artinya Alibaba Cloud menggunakan metode kunci pra-bersama.
               id = 47.XX.XX.87             # Alamat IPsec 2 di sisi Alibaba Cloud. Harus sama dengan LocalId Tunnel 2 di sisi Alibaba Cloud.
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    # Pemilih traffic berbasis kebijakan untuk mode perutean berbasis tujuan di Alibaba Cloud adalah 0.0.0.0/0.
                  remote_ts = 0.0.0.0/0    # Pemilih traffic berbasis kebijakan untuk mode perutean berbasis tujuan di Alibaba Cloud adalah 0.0.0.0/0.
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        # Tentukan masa aktif SA untuk Tunnel 2. Harus sama dengan masa aktif SA dalam konfigurasi IPsec Tunnel 2 di sisi Alibaba Cloud.
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024     # Tentukan algoritma enkripsi, algoritma autentikasi, dan grup DH untuk Tunnel 2. Harus sama dengan konfigurasi IPsec Tunnel 2 di sisi Alibaba Cloud. group2 sesuai dengan modp1024.
                  if_id_out = 43           # Tentukan antarmuka egress dan ingress untuk Tunnel 2 sebagai antarmuka jaringan virtual XFRM Tunnel 2.
                  if_id_in = 43
                  #updown = /root/connect_2.sh           # Jalankan skrip /root/connect_2.sh untuk mengonfigurasi rute berdasarkan status UP dan DOWN Tunnel 2. Parameter ini hanya diperlukan saat menggunakan perutean statis.
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            id = 47.XX.XX.151               # Alamat IP publik Tunnel 1 gateway VPN di sisi Alibaba Cloud.
            secret = ChangeMe***            # Tentukan kunci pra-bersama untuk Tunnel 1. Kunci harus sama dengan kunci pra-bersama Tunnel 1 di sisi Alibaba Cloud.
         }
         ike-vco2 {
            id = 47.XX.XX.87                # Alamat IP publik Tunnel 2 gateway VPN di sisi Alibaba Cloud.
            secret = ChangeMe***            # Tentukan kunci pra-bersama untuk Tunnel 2. Kunci harus sama dengan kunci pra-bersama Tunnel 2 di sisi Alibaba Cloud.
         }
      }

4. Restart proses strongSwan, muat ulang konfigurasi strongSwan, dan periksa status tunnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Output berikut mengonfirmasi bahwa koneksi IPsec-VPN telah terbentuk. Namun, konektivitas jaringan memerlukan konfigurasi rute pada langkah berikutnya.

   

5. Konfigurasi rute.

   Lihat bagian yang sesuai dengan metode perutean yang akan Anda gunakan.

   Perutean dinamis BGP

   Alamat IP BGP yang ditetapkan ke antarmuka XFRM (ip address add) tidak bertahan setelah reboot. Tambahkan perintah ini ke skrip startup XFRM yang dijelaskan sebelumnya. Konfigurasi BGP FRR akan bertahan secara otomatis setelah Anda menjalankan write memory di vtysh (lihat langkah terakhir di bawah).

   1. Konfigurasi alamat IP BGP pada antarmuka XFRM.

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. Instal FRR (Free Range Routing) untuk dukungan BGP.

      yum install -y frr

   3. Edit vi /etc/frr/daemons dan tetapkan parameter bgpd ke yes untuk mengaktifkan BGP.

      Edit file, lakukan perubahan, lalu simpan.

   4. Aktifkan dan mulai FRR.

      systemctl enable frr
      systemctl restart frr

   5. Tambahkan konfigurasi BGP. Ganti alamat IP dan nomor AS dengan nilai aktual Anda.

      1. Masuk ke antarmuka konfigurasi FRR.

         vtysh

      2. Masuk ke mode konfigurasi.

         config terminal

      3. Tambahkan konfigurasi BGP dengan perintah berikut.

         Ganti nilai berikut dengan alamat aktual Anda:

         • Ganti "169.254.10.1" dan "169.254.20.1" dengan alamat IP BGP aktual tunnel di sisi Alibaba Cloud.

         • Ganti "65535" dengan nomor AS BGP aktual Gateway VPN.

         • Ganti "172.16.20.0/24" dan "172.16.21.0/24" dengan blok CIDR aktual pusat data lokal Anda.

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. Jalankan exit untuk keluar dari mode konfigurasi, lalu jalankan show ip bgp untuk melihat rute BGP.

      Output mengonfirmasi bahwa perangkat strongSwan telah mempelajari rute VPC. Pusat data lokal dan VPC kini dapat berkomunikasi.

   7. Simpan konfigurasi BGP agar bertahan setelah FRR direstart.

      write memory

   Perutean statis

   Buat dua skrip yang dipanggil strongSwan untuk mengonfigurasi rute dan mengontrol aliran traffic.

   1. Buat dan edit skrip /root/connect_1.sh.

      vi /root/connect_1.sh

   2. Tambahkan dan simpan konten berikut.

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec0 metric 100
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec0 metric 100
      fi

      Skrip ini menambahkan rute untuk traffic dari pusat data lokal ke VPC Alibaba Cloud (192.168.0.0/16) melalui antarmuka jaringan virtual XFRM Tunnel 1 saat tunnel aktif. Nilai metric rute ini diatur ke 100, memberikan prioritas lebih tinggi daripada rute Tunnel 2. Jika Tunnel 1 mati, skrip mencabut rute tersebut.

   3. Buat dan edit skrip /root/connect_2.sh.

      vi /root/connect_2.sh

   4. Tambahkan dan simpan konten berikut.

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec1 metric 101
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec1 metric 101
      fi

      Skrip ini menambahkan rute untuk traffic dari pusat data lokal ke VPC Alibaba Cloud (192.168.0.0/16) melalui antarmuka jaringan virtual XFRM Tunnel 2 saat tunnel aktif. Nilai metric rute ini diatur ke 101, memberikan prioritas lebih rendah daripada rute Tunnel 1. Jika Tunnel 2 mati, skrip mencabut rute tersebut.

   5. Berikan izin eksekusi ke kedua skrip.

      sudo chmod +x /root/connect_1.sh
      sudo chmod +x /root/connect_2.sh

   6. Restart proses strongSwan.

      sudo systemctl restart strongswan

   7. Verifikasi rute.

      route -n

      

Single egress—perutean dinamis BGP

1. Buat dua antarmuka jaringan virtual untuk membuat tunnel IPsec-VPN.

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 1. ID antarmuka adalah 42 dan antarmuka dasar adalah eth0 publik.
   ip link add ipsec1 type xfrm dev eth0 if_id 43 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 2. ID antarmuka adalah 43 dan antarmuka dasar adalah eth0 publik.
   ip link set ipsec0 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 1.
   ip link set ipsec1 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 2.

   Penting

   Antarmuka XFRM tidak bertahan setelah reboot. Anda harus mengonfigurasi skrip startup berikut agar antarmuka dibuat ulang secara otomatis dan strongSwan dimuat ulang setiap kali boot.

   Klik untuk melihat skrip startup.

   1. Buat file skrip.

      vi xfrm.sh

   2. Tambahkan dan simpan konfigurasi berikut.

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 1. ID antarmuka adalah 42 dan antarmuka dasar adalah eth0 publik.
      sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # Buat antarmuka jaringan virtual XFRM untuk Tunnel 2. ID antarmuka adalah 43 dan antarmuka dasar adalah eth0 publik.
      sudo ip link set ipsec0 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 1.
      sudo ip link set ipsec1 up # Aktifkan antarmuka jaringan virtual XFRM untuk Tunnel 2.

   3. Cari jalur mutlak skrip tersebut.

      sudo find / -name xfrm.sh

   4. Tambahkan jalur skrip ke /etc/rc.d/rc.local agar dijalankan saat startup. Ganti /path/to/xfrm.sh dengan jalur aktual yang dikembalikan oleh perintah find sebelumnya.

      echo '/path/to/xfrm.sh' | sudo tee -a /etc/rc.d/rc.local

   5. Berikan izin eksekusi ke file rc.local dan skrip xfrm.sh.

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /path/to/xfrm.sh

2. Ubah file konfigurasi strongSwan.

   1. Buat cadangan file konfigurasi strongSwan asli.

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. Buat file konfigurasi strongSwan baru.

      vi /etc/strongswan/swanctl/swanctl.conf

   3. Konfigurasi berikut mirip dengan contoh dual-egress. Hanya perbedaan yang diberi anotasi. Tambahkan dan simpan konfigurasi berikut.

      connections {
         vco1 {
            version = 2
            local_addrs  = 172.16.20.80    # Kedua tunnel menggunakan antarmuka eth0 yang sama (single egress).
            remote_addrs = 47.XX.XX.151
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800
            proposals = aes128-sha1-modp1024
            encap = yes
      
            local {
               auth = psk
               id = 120.XX.XX.202
            }
            remote {
               auth = psk
               id = 47.XX.XX.151
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0
                  remote_ts = 0.0.0.0/0
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024
      
                  if_id_out = 42
                  if_id_in = 42
               }
            }
         }
        vco2 {
            version = 2
            local_addrs  = 172.16.20.80    # Sama dengan vco1 (single egress).
            remote_addrs = 47.XX.XX.87
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800
            proposals = aes128-sha1-modp1024
            encap = yes
      
            local {
               auth = psk
               id = 120.XX.XX.202          # Alamat IP egress publik yang sama dengan vco1 (single egress).
            }
            remote {
               auth = psk
               id = 47.XX.XX.87
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0
                  remote_ts = 0.0.0.0/0
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024
                  if_id_out = 43
                  if_id_in = 43
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            id = 47.XX.XX.151
            secret = ChangeMe***
         }
         ike-vco2 {
            id = 47.XX.XX.87
            secret = ChangeMe***
         }
      }

3. Restart proses strongSwan, muat ulang konfigurasi strongSwan, dan periksa status tunnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Output berikut mengonfirmasi bahwa koneksi IPsec-VPN telah terbentuk. Konfigurasikan rute pada langkah berikutnya untuk mengaktifkan konektivitas jaringan.

   

4. Konfigurasi perutean dinamis BGP.

   Alamat IP BGP yang ditetapkan ke antarmuka XFRM (ip address add) tidak bertahan setelah reboot. Tambahkan perintah ini ke skrip startup XFRM yang dijelaskan sebelumnya. Konfigurasi BGP FRR akan bertahan secara otomatis setelah Anda menjalankan write memory di vtysh (lihat langkah terakhir di bawah).

   1. Konfigurasi alamat IP BGP pada antarmuka XFRM.

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. Instal FRR (Free Range Routing) untuk dukungan BGP.

      yum install -y frr

   3. Edit vi /etc/frr/daemons dan tetapkan parameter bgpd ke yes untuk mengaktifkan BGP.

      Edit file, lakukan perubahan, lalu simpan.

   4. Aktifkan dan mulai FRR.

      systemctl enable frr
      systemctl restart frr

   5. Tambahkan konfigurasi BGP. Ganti alamat IP dan nomor AS dengan nilai aktual Anda.

      1. Masuk ke antarmuka konfigurasi FRR.

         vtysh

      2. Masuk ke mode konfigurasi.

         config terminal

      3. Tambahkan konfigurasi BGP dengan perintah berikut.

         Ganti nilai berikut dengan alamat aktual Anda:

         • Ganti "169.254.10.1" dan "169.254.20.1" dengan alamat IP BGP aktual tunnel di sisi Alibaba Cloud.

         • Ganti "65535" dengan nomor AS BGP aktual Gateway VPN.

         • Ganti "172.16.20.0/24" dan "172.16.21.0/24" dengan blok CIDR aktual pusat data lokal Anda.

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. Jalankan exit untuk keluar dari mode konfigurasi, lalu jalankan show ip bgp untuk melihat rute BGP.

      Output mengonfirmasi bahwa perangkat strongSwan telah mempelajari rute VPC. Pusat data lokal dan VPC kini dapat berkomunikasi.

   7. Simpan konfigurasi BGP agar bertahan setelah FRR direstart.

      write memory

Single egress—perutean statis

1. Buat cadangan file konfigurasi strongSwan asli.

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Buat file konfigurasi strongSwan baru.

   vi /etc/strongswan/swanctl/swanctl.conf

3. Konfigurasi berikut mirip dengan contoh dual-egress. Perbedaan utama: pemilih traffic berbasis kebijakan (local_ts/remote_ts) dan priority untuk failover aktif/cadangan. Tambahkan dan simpan konfigurasi berikut.

   connections {
      vco1 {
         version = 2
         local_addrs  = 172.16.20.80
         remote_addrs = 47.XX.XX.151
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local {
            auth = psk
            id = 120.XX.XX.202
         }
         remote {
            auth = psk
            id = 47.XX.XX.151
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16   # Berbasis kebijakan: blok CIDR pribadi pusat data lokal.
               remote_ts = 192.168.0.0/16  # Berbasis kebijakan: blok CIDR VPC.
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                # Tunnel aktif (prioritas lebih tinggi).
            }
         }
      }
     vco2 {
         version = 2
         local_addrs  = 172.16.20.80
         remote_addrs = 47.XX.XX.87
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local {
            auth = psk
            id = 120.XX.XX.202
         }
         remote {
            auth = psk
            id = 47.XX.XX.87
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16   # Berbasis kebijakan: blok CIDR pribadi pusat data lokal.
               remote_ts = 192.168.0.0/16  # Berbasis kebijakan: blok CIDR VPC.
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                # Tunnel cadangan (prioritas lebih rendah).
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = 47.XX.XX.151
         secret = ChangeMe***
      }
      ike-vco2 {
         id = 47.XX.XX.87
         secret = ChangeMe***
      }
   }

4. Restart proses strongSwan, muat ulang konfigurasi strongSwan, dan periksa status tunnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Output berikut mengonfirmasi bahwa koneksi IPsec-VPN telah terbentuk. Pusat data lokal dan VPC kini dapat berkomunikasi.