Menghubungkan iPhone atau iPad ke VPC menggunakan SSL-VPN - VPN Gateway

Anda dapat menggunakan Koneksi SSL-VPN untuk menghubungkan iPhone atau iPad ke VPC, memungkinkan akses aman ke sumber daya cloud melalui internet.

Untuk informasi mengenai cara menghubungkan jenis klien lain, lihat Menghubungkan PC/perangkat Android ke VPC melalui SSL-VPN.

Skenario

Topik ini menjelaskan cara membuat instans VPN Gateway dan IPsec server. Selanjutnya, Anda dapat menggunakan klien VPN bawaan pada iPhone atau iPad untuk mengakses instans Elastic Compute Service (ECS) di VPC secara aman menggunakan Alamat IP pribadi-nya.

Skenario ini menggunakan sumber daya berikut:

VPC
- Nama: vpc-demo
- Region: China (Hangzhou)
- Blok CIDR: 10.0.0.0/16
- vSwitch: Dua vSwitch telah dibuat dengan nama vsw1 dan vsw2.
  - vsw1 berada di Zone J dengan Blok CIDR 10.0.0.0/24.
  - vsw2 berada di Zone K dengan Blok CIDR 10.0.1.0/24.
- Instans ECS: Alamat IP pribadi adalah 10.0.0.1 dan sistem operasinya adalah Alibaba Cloud Linux 3.2104 LTS 64-bit.
Jaringan lokal iPhone atau iPad: 172.16.0.0/16

Penting

Skenario ini mengharuskan wilayah VPC mendukung fitur Server IPsec. Saat ini, fitur tersebut hanya tersedia di wilayah berikut: China (Hangzhou), China (Shanghai), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Chengdu), China (Hong Kong), Japan (Tokyo), South Korea (Seoul), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Philippines (Manila), Thailand (Bangkok), Germany (Frankfurt), UK (London), US (Virginia), US (Silicon Valley), UAE (Dubai), Mexico , SAU (Riyadh - Partner Region).
Jika VPC Anda berada di region yang tidak mendukung fitur IPsec server, Anda tidak dapat menggunakan metode yang dijelaskan dalam topik ini karena bergantung pada fitur VPN bawaan iPhone dan iPad. Dalam kasus ini, pertimbangkan salah satu solusi berikut:
- Metode 1: Buat VPC dan instans VPN Gateway di region yang didukung, lalu hubungkan VPC tersebut ke VPC yang ingin Anda kelola. Untuk informasi selengkapnya, lihat Mengakses sumber daya lintas VPC.
- Metode 2: Migrasikan layanan Anda ke VPC di region yang didukung.

Langkah 1: Membuat instans VPN Gateway

Instans VPN Gateway berfungsi sebagai titik masuk dan keluar untuk Koneksi SSL-VPN di cloud.

Jika Anda ingin menggunakan instans VPN Gateway yang sudah ada untuk skenario ini, pastikan instans tersebut memenuhi persyaratan berikut:
1. Tidak ada Koneksi IPsec-VPN yang dikonfigurasi pada instans VPN Gateway. Jika Koneksi IPsec-VPN sudah dikonfigurasi, Anda harus membuat instans VPN Gateway baru.
2. Aktifkan fitur SSL-VPN telah selesai dilakukan.
3. Instans VPN Gateway telah ditingkatkan ke versi terbaru.
Jika Anda belum memiliki instans VPN Gateway, lakukan langkah-langkah berikut:
1. Buka halaman VPN gateway di konsol dan klik Create VPN Gateway.
2. Konfigurasikan parameter berikut pada halaman VPN gateway:
  - Instance Name: vpn-demo
  - Region: China (Hangzhou).
  - Virtual Private Cloud (VPC): Pilih VPC yang perlu diakses oleh klien.
  - vSwitch 1/vSwitch 2: Pilih vsw1 dan vsw2 secara berurutan.
    VPN gateway menggunakan arsitektur hot-standby di lapisan dasar. Di region tempat VPC mendukung multiple zona, untuk memastikan ketersediaan tinggi lintas zona, VPC harus memiliki setidaknya dua vSwitch yang berlokasi di zona berbeda. Jika kondisi ini tidak terpenuhi, Buat vSwitch terlebih dahulu.
  - Maximum Bandwidth: 10M
  - IPsec-VPN: Disabled (opsi untuk menonaktifkannya hanya tersedia setelah Anda mengaktifkan SSL-VPN di bawah).
  - SSL-VPN: Enable.
  - SSL-VPN Connections: 5.
  - Service-linked Role: Jika Anda belum membuatnya, klik Create Service-linked Role.
  Untuk deskripsi terperinci mengenai parameter pembuatan VPN gateway, lihat Membuat dan mengelola instans VPN gateway.
3. Setelah pembelian dan pembayaran selesai, Anda dapat melihat VPN gateway yang dibuat pada halaman VPN gateway.
  Status VPN gateway yang baru dibuat adalah Preparing. Setelah sekitar 1 hingga 5 menit, status akan berubah menjadi Normal, dan pada saat itu Anda dapat mulai menggunakannya.

Langkah 2: Membuat IPsec server

IPsec server mendefinisikan kebijakan koneksi untuk klien, termasuk metode autentikasi, jaringan cloud yang dapat diakses, dan address pool klien.

Buka halaman IPsec-VPN Server, beralih ke region China (Hangzhou) di bilah navigasi atas, lalu klik Create IPsec-VPN Server.

Pada halaman Create IPsec-VPN Server, konfigurasikan parameter berikut:

Name: Masukkan server-demo.
VPN Gateway: Pilih instans VPN Gateway yang telah Anda buat.
Local Network: Masukkan 10.0.0.0/16.
Parameter ini menentukan Blok CIDR jaringan cloud yang akan diakses oleh client. Biasanya, ini adalah Blok CIDR VPC Anda.
Client CIDR Block: merujuk pada address pool tempat instans VPN Gateway menetapkan alamat IP ke perangkat iPhone/iPad. Address pool tidak boleh tumpang tindih dengan Local Network atau Blok CIDR yang sudah digunakan oleh client (misalnya, Blok CIDR on-premises tempat client berada). Sebaiknya gunakan Blok CIDR pribadi yang jarang digunakan dari RFC 1918 (misalnya, 10.222.222.0/24).
Pre-Shared Key: Kunci ini digunakan untuk autentikasi antara IPsec server dan client. Kunci dihasilkan secara acak secara default. Anda juga dapat menentukan kunci secara manual, tetapi Anda harus memastikan kuncinya kuat. Misalnya, kunci harus memiliki panjang minimal 16 karakter dan mengandung huruf besar dan kecil, angka, serta karakter khusus. Simpan kunci ini dengan aman dan rotasi secara berkala.
Effective Immediately: Pilih Yes.
Yes: Negosiasi dimulai segera setelah konfigurasi selesai. No: Negosiasi hanya dimulai ketika traffic dipicu.

Biarkan parameter lainnya dalam keadaan default. Untuk informasi selengkapnya tentang parameter ini, lihat Membuat dan mengelola IPsec-VPN server.

Setelah IPsec server dibuat, buka halaman IPsec-VPN Server dan catat IP Address. Anda akan memerlukan alamat IP ini saat mengonfigurasi klien di iPhone atau iPad.

Langkah 3: Mengonfigurasi iPhone atau iPad Anda

Pada langkah ini, Anda menambahkan konfigurasi VPN IKEv2 pada iPhone atau iPad untuk terhubung ke IPsec server yang telah dibuat.

Langkah-langkah berikut menggunakan iPhone yang menjalankan iOS sebagai contoh:

Buka , lalu ketuk Add VPN Configuration...:
- Type: Gunakan nilai default IKEv2.
- Description: Masukkan demo.
- Server: Masukkan IP Address dari IPsec-VPN Server yang telah Anda catat di akhir Langkah 2.
- Remote ID: Sama seperti di atas. Masukkan kembali IP Address dari IPsec-VPN Server yang telah Anda catat di akhir Langkah 2.
- Local ID: Biarkan parameter ini kosong.
- User Authentication: Pilih None.
- Use certificate: Disabled.
- Key: Masukkan Pre-Shared Key yang Anda tetapkan saat membuat IPsec-VPN Server. Anda bisa mendapatkannya dengan mengklik tombol Edit di kolom Actions pada IPsec-VPN Server yang baru saja Anda buat.
- Proxy: Disabled.
Setelah konfigurasi selesai, klik Finish di pojok kanan atas.
Pada halaman VPN, pilih konfigurasi VPN target, lalu aktifkan sakelar Status. Tunggu hingga status VPN menampilkan Connected, yang menandakan bahwa koneksi VPN berhasil.

Langkah 4: Menguji koneksi

Masuk ke instans ECS dan instal layanan Nginx.

# Jalankan perintah berikut pada instans ECS. Alibaba Cloud Linux 3 digunakan sebagai contoh.
yum install -y nginx
systemctl start nginx.service

Dalam security group yang terkait dengan instans ECS, tambahkan aturan inbound untuk mengizinkan Client CIDR Block (10.222.222.0/24) mengakses port TCP/80 pada instans ECS.
Pada iPhone atau iPad Anda, buka browser Safari dan masukkan Alamat IP pribadi instans ECS: 10.0.0.1. Jika halaman selamat datang Nginx muncul, berarti Anda telah berhasil mengakses instans ECS.
Halaman tersebut menampilkan judul Welcome to HTTP Server Test Page! dan pesan "the httpd web server is successfully installed and working", yang menandakan bahwa layanan web berjalan sebagaimana mestinya.