Hubungkan iPhone atau iPad ke VPC menggunakan SSL-VPN - VPN Gateway

Anda dapat menggunakan koneksi SSL-VPN untuk menghubungkan iPhone atau iPad ke VPC, sehingga memungkinkan akses aman ke sumber daya cloud Anda melalui internet.

Untuk informasi tentang cara menghubungkan jenis klien lainnya, lihat Hubungkan PC atau perangkat Android ke VPC menggunakan koneksi SSL-VPN.

Skenario

Topik ini menjelaskan cara membuat instans VPN Gateway dan Server IPsec, lalu menggunakan klien VPN bawaan pada iPhone atau iPad untuk mengakses instans Elastic Compute Service (ECS) di dalam VPC melalui alamat IP pribadinya secara aman.

Skenario ini menggunakan sumber daya berikut:

VPC
- Nama: vpc-demo
- Wilayah: Tiongkok (Hangzhou)
- Blok CIDR: 10.0.0.0/16
- vSwitch: Dua vSwitch dibuat dan diberi nama vsw1 dan vsw2.
  - vsw1 berada di Zona J dan blok CIDR-nya adalah 10.0.0.0/24.
  - vsw2 berada di Zona K dan blok CIDR-nya adalah 10.0.1.0/24.
- Instans ECS: Alamat IP pribadinya adalah 10.0.0.1 dan sistem operasinya adalah Alibaba Cloud Linux 3.2104 LTS 64-bit.
Jaringan lokal iPhone atau iPad: 172.16.0.0/16

Penting

Skenario ini memerlukan wilayah yang mendukung fitur Server IPsec. Fitur ini hanya tersedia di wilayah-wilayah berikut: Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Nanjing), Tiongkok (Qingdao), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hohhot), Tiongkok (Ulanqab), Tiongkok (Shenzhen), Tiongkok (Heyuan), Tiongkok (Guangzhou), Tiongkok (Chengdu), Tiongkok (Hong Kong), Jepang (Tokyo), Korea Selatan (Seoul), Singapura, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Filipina (Manila), Thailand (Bangkok), Jerman (Frankfurt), Inggris (London), AS (Virginia), AS (Silicon Valley), UEA (Dubai), Meksiko (Mexico City), Arab Saudi (Riyadh),.
Jika VPC Anda berada di wilayah yang tidak mendukung fitur Server IPsec, Anda tidak dapat menggunakan metode yang dijelaskan dalam topik ini karena metode ini bergantung pada fitur VPN bawaan iPhone dan iPad. Dalam hal ini, pertimbangkan salah satu solusi berikut:
- Metode 1: Buat VPC dan instans VPN Gateway di wilayah yang didukung, lalu hubungkan VPC tersebut ke VPC yang ingin Anda kelola. Untuk informasi lebih lanjut, lihat Akses sumber daya lintas VPC dari klien.
- Metode 2: Migrasikan layanan Anda ke VPC di wilayah yang didukung.

Langkah 1: Buat instans VPN Gateway

Instans VPN Gateway merupakan titik masuk dan keluar untuk koneksi SSL-VPN di cloud.

Jika Anda ingin menggunakan instans VPN Gateway yang sudah ada untuk skenario ini, pastikan instans tersebut memenuhi persyaratan berikut:
1. Tidak ada koneksi IPsec-VPN yang dikonfigurasi pada instans VPN Gateway tersebut. Jika koneksi IPsec-VPN sudah dikonfigurasi, Anda harus membuat instans VPN Gateway baru.
2. Fitur SSL-VPN harus diaktifkan.
3. Instans VPN Gateway harus ditingkatkan ke versi terbaru.
Jika Anda belum membuat instans VPN Gateway, lakukan langkah-langkah berikut:
1. Buka halaman VPN Gateway dan klik Create VPN Gateway.
2. Pada halaman VPN Gateway, konfigurasikan parameter berikut:
  - Instance Name: vpn-demo
  - Region: China (Hangzhou).
  - VPC: Pilih VPC yang ingin diakses oleh klien.
  - vSwitch 1/vSwitch 2: Pilih masing-masing vsw1 dan vsw2.
    
    Instans VPN Gateway menggunakan arsitektur dual-active. Untuk memastikan ketersediaan tinggi lintas zona di wilayah yang mendukung beberapa zona, VPC Anda harus memiliki setidaknya dua vSwitch di zona yang berbeda. Jika persyaratan ini tidak terpenuhi, buat vSwitch terlebih dahulu.
  - Maximum Bandwidth: 10 Mbps
  - IPsec-VPN: Disabled (Opsi ini tersedia hanya setelah Anda mengaktifkan SSL-VPN di bawah.)
  - SSL-VPN: Enable.
  - SSL-VPN Connections: 5.
  - Service-linked Role: Jika peran terkait layanan belum ada, klik Create Service-linked Role.
  Untuk deskripsi parameter secara detail, lihat Buat dan kelola instans VPN Gateway.
3. Setelah pembelian selesai, instans VPN Gateway akan muncul di halaman VPN Gateway.
  
  Instans VPN Gateway yang baru dibuat berada dalam status Preparing. Statusnya akan berubah menjadi Normal dalam waktu sekitar 1 hingga 5 menit. Setelah itu, instans siap digunakan.

Langkah 2: Buat server IPsec

Server IPsec menentukan kebijakan koneksi untuk klien, termasuk metode autentikasi, jaringan cloud yang dapat diakses, dan kolam alamat klien.

Buka halaman IPsec-VPN Server. Di bilah navigasi atas, pilih Tiongkok (Hangzhou). Lalu, klik Create IPsec-VPN Server.

Pada halaman Create IPsec-VPN Server, konfigurasikan parameter berikut:

Name: Masukkan server-demo.
VPN Gateway: Pilih instans VPN Gateway yang telah Anda buat.
Local Network: Masukkan 10.0.0.0/16.

Parameter ini menentukan blok CIDR jaringan cloud yang akan diakses oleh klien. Biasanya, ini adalah blok CIDR VPC Anda.
Client CIDR Block: Ini adalah kolam alamat tempat instans VPN Gateway memberikan alamat IP kepada klien. Blok CIDR klien tidak boleh tumpang tindih dengan Local Network atau blok CIDR jaringan tempat klien berada, seperti jaringan lokal klien. Kami merekomendasikan agar Anda menggunakan blok CIDR pribadi yang kurang umum dari RFC 1918, misalnya 10.222.222.0/24.
Pre-Shared Key: Kunci ini digunakan untuk autentikasi antara server IPsec dan klien. Secara default, kunci dihasilkan secara acak. Anda juga dapat menentukan kunci secara manual, tetapi pastikan kunci tersebut kuat. Misalnya, kunci harus memiliki panjang minimal 16 karakter dan mengandung huruf kapital, huruf kecil, angka, serta karakter khusus. Simpan kunci ini secara aman dan ganti secara berkala.
Effective Immediately: Pilih Yes.

Yes: Negosiasi dimulai segera setelah konfigurasi selesai. No: Negosiasi dimulai hanya saat trafik diinisiasi.

Biarkan parameter lain dalam keadaan default. Untuk informasi lebih lanjut tentang parameter ini, lihat Buat dan kelola server IPsec.

Setelah server IPsec dibuat, buka halaman IPsec-VPN Server dan catat IP Address. Anda akan memerlukan alamat IP ini saat mengonfigurasi klien di iPhone atau iPad Anda.

Langkah 3: Konfigurasi iPhone atau iPad Anda

Pada langkah ini, Anda menambahkan konfigurasi VPN IKEv2 di iPhone atau iPad untuk terhubung ke server IPsec yang telah Anda buat.

Langkah-langkah berikut menggunakan iPhone yang menjalankan iOS sebagai contoh:

Buka , lalu ketuk Add VPN Configuration....
- Type: Biarkan nilai default IKEv2.
- Description: Masukkan demo.
- Server: Masukkan IP Address dari IPsec-VPN Server yang telah Anda catat di Langkah 2.
- Remote ID: Masukkan IP Address yang sama dari IPsec-VPN Server di Langkah 2.
- Local ID: Biarkan parameter ini kosong.
- User Authentication: Pilih None.
- Use Certificate: Matikan sakelar ini.
- Secret: Masukkan Pre-Shared Key yang Anda atur saat membuat IPsec-VPN Server. Untuk mendapatkan kunci tersebut, temukan IPsec-VPN Server yang baru saja Anda buat dan klik Edit di kolom Actions.
- Proxy: Matikan sakelar ini.
Setelah menyelesaikan konfigurasi, ketuk Done di pojok kanan atas.
Di halaman VPN, pilih konfigurasi VPN yang telah Anda buat dan nyalakan sakelar Status. Status Connected menunjukkan bahwa koneksi telah berhasil dibuat.

Langkah 4: Uji koneksi

# Jalankan perintah berikut pada instans ECS. Alibaba Cloud Linux 3 digunakan sebagai contoh.
yum install -y nginx
systemctl start nginx.service

Pada grup keamanan yang terkait dengan instans ECS, tambahkan aturan masuk untuk mengizinkan traffic dari Client CIDR Block (10.222.222.0/24) mengakses instans ECS pada port TCP 80.
Di iPhone atau iPad Anda, buka browser Safari dan masukkan alamat IP pribadi instans ECS: 10.0.0.1. Jika halaman selamat datang Nginx muncul, berarti Anda telah berhasil mengakses instans ECS.

Halaman selamat datang Nginx mengonfirmasi bahwa server web telah terinstal dan berfungsi dengan benar.