Menghubungkan ke VPC dari perangkat PC/Android melalui SSL-VPN - VPN Gateway

Anda dapat menggunakan SSL-VPN untuk menghubungkan klien (Windows, Linux, Android, dan macOS) ke VPC di cloud melalui jaringan internal, sehingga memungkinkan akses aman dalam lingkungan internet.

Untuk klien iOS/iPadOS, lihat Menghubungkan iPhone atau iPad ke VPC menggunakan SSL-VPN.

Skenario

Gunakan SSL-VPN jika Anda memiliki persyaratan berikut:

Tidak memiliki Alamat IP publik statis di lingkungan on-premises: SSL-VPN membangun koneksi dengan cara klien yang memulai dial-up, sehingga tidak memerlukan jaringan on-premises untuk memiliki Alamat IP publik statis. Fitur ini cocok untuk lingkungan dengan Alamat IP dinamis, seperti broadband rumahan, kantor mobile, atau kantor dengan alamat IP dinamis. Koneksi dapat dimulai selama perangkat klien dapat mengakses internet. Jika Anda sudah memiliki perangkat gateway dengan Alamat IP publik statis di lingkungan on-premises, Anda juga dapat memilih IPsec-VPN untuk membangun koneksi situs-ke-situs.
Hanya mengakses Instance ECS melalui jaringan internal: Instance ECS dalam VPC tidak perlu dikaitkan dengan Alamat IP publik. Setelah klien berhasil melakukan dial-up melalui SSL-VPN, klien dapat langsung menggunakan Alamat IP pribadi instance ECS untuk mengakses sumber daya dalam VPC yang sama.
Kontrol akses aman: Anda dapat mengonfigurasi grup keamanan yang terkait dengan instance ECS agar hanya mengizinkan traffic dari Client CIDR Block SSL-VPN, sehingga Anda dapat mencegah akses langsung melalui internet dan hanya mengizinkan akses setelah login melalui SSL-VPN. Hal ini mengurangi risiko mengekspos port berisiko tinggi (seperti SSH 22 dan RDP 3389) ke internet.

Contoh skenario

Tujuan: Membuat gateway SSL-VPN agar klien on-premises dapat mengakses instance ECS di VPC secara aman melalui alamat IP internal.

Rencana sumber daya adalah sebagai berikut:

VPC
- Nama: vpc-demo
- Wilayah: China (Hangzhou)
- Blok CIDR: 10.0.0.0/16
- vSwitch: Buat dua buah, masing-masing bernama vsw1 dan vsw2
  - vsw1 berada di zona J, Blok CIDR: 10.0.0.0/24
  - vsw2 berada di zona K, Blok CIDR: 10.0.1.0/24
- ECS: alamat 10.0.0.1, sistem operasi Alibaba Cloud Linux 3.2104 LTS 64-bit
Blok CIDR on-premises tempat klien berada: 172.16.0.0/16

Langkah 1: Konfigurasikan sumber daya VPN di cloud

Sebelum menghubungkan klien ke VPC, Anda perlu membuat dan mengonfigurasi gateway VPN, server SSL, dan klien SSL di konsol Alibaba Cloud.

1. Buat gateway VPN

Gateway VPN merupakan titik masuk dan keluar koneksi SSL-VPN di cloud.

Buka halaman VPN gateway di konsol dan klik Create VPN Gateway.
Konfigurasikan pada halaman VPN gateway:
- Instance Name: vpn-demo
- Region: China (Hangzhou).
- Virtual Private Cloud (VPC): Pilih VPC yang perlu diakses oleh klien.
- vSwitch 1/vSwitch 2: Pilih masing-masing vsw1 dan vsw2.
  Gateway VPN menggunakan arsitektur hot-standby di lapisan dasar. Di wilayah yang mendukung multi-zona untuk VPC, demi memastikan ketersediaan tinggi lintas zona, VPC harus memiliki minimal dua vSwitch yang berada di zona berbeda. Jika kondisi ini tidak terpenuhi, buat vSwitch terlebih dahulu.
- Maximum Bandwidth: 10M
- IPsec-VPN: Disabled (opsi untuk menonaktifkannya tersedia hanya setelah Anda mengaktifkan SSL-VPN di bawah).
- SSL-VPN: Enable.
- SSL-VPN Connections: 5.
- Service-linked Role: Jika belum membuatnya, klik Create Service-linked Role.
Untuk penjelasan detail parameter pembuatan gateway VPN, lihat Create and manage a VPN gateway instance.
Setelah pembelian dan pembayaran selesai, Anda dapat melihat gateway VPN yang telah dibuat di halaman VPN gateway.
Status gateway VPN yang baru dibuat adalah Preparing. Setelah sekitar 1 hingga 5 menit, statusnya berubah menjadi Normal, dan pada saat itu Anda dapat mulai menggunakannya.

2. Buat server SSL

Server SSL digunakan untuk menentukan rentang jaringan cloud yang dapat diakses oleh klien dan mengonfigurasi kolam alamat IP klien.

Buka halaman SSL Servers, alihkan ke wilayah China (Hangzhou) di bilah menu atas, lalu klik Create SSL Server.
Pada panel Create SSL Server, konfigurasikan server SSL berdasarkan informasi berikut:
- Name: Masukkan server-demo
- VPN Gateway: Pilih gateway VPN yang baru saja Anda buat.
- Local Network: Masukkan blok CIDR VPC 10.0.0.0/16.
  Blok CIDR ini merupakan rentang jaringan cloud yang ingin Anda izinkan diakses oleh klien, biasanya merupakan blok CIDR VPC Anda.
- Client CIDR Block: Kolam alamat yang digunakan gateway VPN untuk mengalokasikan alamat IP ke adapter jaringan virtual klien. Kolam ini tidak boleh tumpang tindih dengan Local Network atau blok CIDR yang sudah digunakan oleh klien (misalnya, Blok CIDR on-premises tempat klien berada), karena akan menyebabkan konflik routing. Kami merekomendasikan Anda memilih subnet yang tidak bertabrakan dengan jaringan yang ada (misalnya, 10.200.200.0/24) dari rentang alamat privat yang didefinisikan dalam RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) dan alokasikan ke klien.
Biarkan opsi lain tetap pada nilai default-nya. Untuk penjelasan detail parameter pembuatan server SSL, lihat Create and manage an SSL server.

3. Buat klien SSL dan unduh sertifikat

Klien SSL bertanggung jawab atas manajemen sertifikat klien. Setiap klien yang perlu terhubung harus mengimpor sertifikat untuk otentikasi identitas dan enkripsi.

Di panel navigasi kiri, pilih Interconnections - VPN-SSL Clients. Di bilah menu atas, pastikan wilayahnya adalah China (Hangzhou). Di halaman SSL Client, klik Create SSL Client.
Pada panel Create SSL Client, masukkan client-demo untuk nama, pilih server-demo untuk SSL server, lalu klik OK.
Di halaman SSL Client, temukan klien SSL yang telah dibuat dan klik Download certificate di kolom Actions-nya.

Langkah 2: Konfigurasikan klien

Ikuti metode konfigurasi yang sesuai berdasarkan sistem operasi klien.

Klien Windows

Unduh klien OpenVPN yang kompatibel dengan versi sistem Windows Anda, lalu selesaikan instalasi sesuai petunjuk antarmuka:
- Sistem Windows 64-bit (Intel/AMD): Klien OpenVPN (Windows 64-bit).
- Sistem Windows ARM64: Klien OpenVPN (Windows ARM64).
Ekstrak sertifikat klien SSL yang telah diunduh dan salin semua file hasil ekstraksi ke direktori konfigurasi OpenVPN.
- Jalur default: C:\Program Files\OpenVPN\config
- Catatan: Jika Anda telah mengubah jalur instalasi, salin file tersebut ke folder config di direktori instalasi aktual Anda.
Buka file config.ovpn dengan Notepad dan tambahkan satu baris di akhir: disable-dco.
Fitur Data Channel Offload (DCO) yang diperkenalkan di OpenVPN 2.6 memiliki masalah kompatibilitas pada beberapa sistem Windows (seperti versi tertentu Windows 10/11). Konfigurasi ini digunakan untuk menonaktifkan DCO guna mengatasi masalah beberapa perangkat yang tidak dapat terhubung.
Klik kanan ikon OpenVPN di tray pojok kanan bawah desktop, lalu klik Connect untuk membangun koneksi VPN.
Jika Status ditampilkan sebagai Connected dan alamat IP telah diberikan, koneksi telah berhasil dibangun.

Klien Linux

Jalankan perintah berikut untuk menginstal klien OpenVPN dan membuat direktori conf.

CentOS

yum install -y openvpn
mkdir -p /etc/openvpn/conf

Ubuntu

apt-get update
apt-get install -y openvpn
mkdir -p /etc/openvpn/conf

Ekstrak dan salin sertifikat klien SSL yang telah diunduh ke direktori /etc/openvpn/conf/.

[root@iZt4n******* conf]# ls -lh /etc/openvpn/conf/
total 16K
-rw-r--r-- 1 root root 1.3K Nov 26 01:07 ca.crt
-rw-r--r-- 1 root root  218 Nov 26 01:21 config.ovpn
-rw-r--r-- 1 root root 1.2K Nov 26 01:07 vsc-rj9s*******.crt
-rw-r--r-- 1 root root 1.7K Nov 26 01:07 vsc-rj9s*******.key

Masuk ke direktori /etc/openvpn/conf/ dan jalankan perintah berikut untuk membangun koneksi VPN.
```
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
```

(Opsional) Aktifkan proses OpenVPN agar otomatis berjalan saat boot

Edit file /etc/rc.local dan tambahkan perintah ke dalam file tersebut.

#Buka file /etc/rc.local dalam mode edit
vi /etc/rc.local 
#Tekan tombol i untuk memasuki mode edit file, lalu tambahkan perintah berikut ke file /etc/rc.local
cd /etc/openvpn/conf/
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
#Tekan tombol Esc untuk keluar dari mode edit file, lalu masukkan perintah berikut untuk menyimpan dan keluar dari file
:wq

Tambahkan izin eksekusi ke file /etc/rc.local.
```
chmod +x /etc/rc.local
```

Klien Android

Unduh dan instal Klien OpenVPN (versi Android).
Dokumen ini menggunakan klien yang menjalankan Android 9.0 dengan klien OpenVPN 3.0.5 terinstal.
Transfer sertifikat klien SSL yang telah diunduh ke perangkat Android dan ekstrak sertifikat tersebut.
Catatan
- Jika perangkat Android Anda tidak memiliki perangkat lunak dekompresi, Anda dapat mengekstrak sertifikat di komputer lalu mentransfer file hasil ekstraksi ke klien Android.
- Pastikan file hasil ekstraksi berada dalam folder yang sama, seperti yang ditunjukkan pada gambar berikut.

Buka klien OpenVPN, impor file config.ovpn, dan tambahkan koneksi VPN.

Import the config file

No.	Deskripsi
①	Pilih metode koneksi OVPN Profile.
②	Temukan file `config.ovpn` di direktori penyimpanan.
③	Klik IMPORT untuk mengimpor file `config.ovpn`.
④	Sistem secara otomatis membaca informasi dalam file `config.ovpn` dan menampilkan alamat IP publik gateway VPN yang akan dihubungi. Klik ADD untuk menambahkan koneksi VPN.

Klik tombol slider untuk mengaktifkan koneksi VPN.

Klien Mac (GUI, direkomendasikan untuk chip seri M)

Buka halaman Tunnelblick Releases dan temukan versi stabil terbaru untuk mengunduh file dmg. Dokumen ini menggunakan contoh versi Tunnelblick 4.0.1 (build 5971). Di panel Assets, unduh file dalam format .dmg.
Instal perangkat lunak Tunnelblick.
No.
Deskripsi
①
Klik ganda paket instalasi Tunnelblick yang telah diunduh.
②
Klik ganda ikon Tunnelblick.
③
Pilih I have configuration files.
④
Klik OK.
Pertama-tama ekstrak sertifikat klien SSL yang telah diunduh, lalu seret file config.ovpn hasil ekstraksi ke panel konfigurasi untuk membangun koneksi VPN.
No.
Deskripsi
①
Klik ikon Tunnelblick di Launchpad untuk membuka perangkat lunak Tunnelblick.
②
Seret file hasil ekstraksi config.ovpn ke panel Configurations.
③
Pilih Only Me.
④
Klik Connect.

Klien Mac (command line)

Buka jendela command line Terminal. Jika Homebrew belum terinstal di klien Anda, jalankan perintah berikut untuk menginstal Homebrew.
Catatan
Karena skrip instalasi Homebrew berisi perintah sudo, Anda akan diminta memasukkan kata sandi administrator selama proses. Saat muncul "Press RETURN/ENTER to continue...", tekan tombol Enter untuk melanjutkan.
```
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
```
Jalankan perintah berikut untuk menginstal klien OpenVPN.
```
brew install openvpn
```
Ekstrak dan salin sertifikat klien SSL yang telah diunduh ke direktori konfigurasi.
1. Backup direktori /opt/homebrew/etc/openvpn.
```
cp -r  /opt/homebrew/etc/openvpn /opt/homebrew/etc/openvpn_bak
```
2. Jalankan perintah berikut untuk menghapus file konfigurasi OpenVPN saat ini.
```
rm /opt/homebrew/etc/openvpn/*
```
3. Jalankan perintah berikut untuk menyalin sertifikat klien SSL yang telah diunduh ke direktori konfigurasi.
```
cp /path/to/certs.zip /opt/homebrew/etc/openvpn/
```
  Catatan
  /path/to/certs.zip adalah jalur sertifikat klien SSL yang diunduh pada langkah pembuatan klien SSL, biasanya berada di direktori Downloads pengguna saat ini, misalnya /Users/example/Downloads/certs.zip.

Jalankan perintah berikut untuk mengekstrak sertifikat.

cd /opt/homebrew/etc/openvpn/
unzip /opt/homebrew/etc/openvpn/certs.zip

Pilih metode menjalankan.
Jalankan di foreground
Anda dapat menjalankan perintah berikut untuk memulai proses klien dan membangun koneksi VPN:
```
sudo /opt/homebrew/opt/openvpn/sbin/openvpn --config /opt/homebrew/etc/openvpn/config.ovpn
```
Setelah menjalankan perintah ini, proses akan terus berjalan di foreground. Saat Anda perlu memutus koneksi, tekan Ctrl+C untuk menghentikan perintah.
Jalankan di background
Jalankan perintah berikut agar proses klien VPN berjalan di background sebagai layanan dan otomatis dimulai saat boot:
```
cp config.ovpn openvpn.conf
sudo brew services start openvpn
```
Saat Anda perlu menghentikannya, jalankan perintah berikut:
```
sudo brew services stop  openvpn
```

Langkah 3: Uji konektivitas

Konfigurasikan aturan grup keamanan
Untuk memastikan klien dapat mengakses sumber daya di VPC, tambahkan aturan masuk di grup keamanan yang terkait dengan instance ECS agar mengizinkan traffic dari Client CIDR Block (10.200.200.0/24).
- Untuk pengujian konektivitas: Izinkan protokol ICMP agar perintah ping dapat berfungsi dengan baik.
- Untuk akses bisnis: Izinkan port spesifik yang dibutuhkan oleh bisnis Anda, seperti TCP 22 (SSH), TCP 3389 (RDP), dan TCP 80/443 (layanan web).

Uji ping

Di perangkat klien, gunakan perintah ping untuk mengakses instance ECS:

ping 10.0.0.1

Jika ping berhasil, klien telah terhubung ke instance ECS melalui jaringan internal:

C:\Users\Administrator>ping 10.0.0.1

Pinging 10.0.0.1 with 32 bytes of data:
Reply from 10.0.0.1: bytes=32 time=8ms TTL=63
Reply from 10.0.0.1: bytes=32 time=8ms TTL=63
Reply from 10.0.0.1: bytes=32 time=8ms TTL=63
Reply from 10.0.0.1: bytes=32 time=8ms TTL=63

Ping statistics for 10.0.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 8ms, Maximum = 8ms, Average = 8ms

Uji port layanan
Untuk memverifikasi lebih lanjut akses bisnis, Anda dapat mencoba mengakses layanan yang berjalan di instance ECS. Misalnya, instal dan mulai layanan web (seperti Nginx) di instance ECS:
```
# Jalankan di instance ECS (menggunakan Alibaba Cloud Linux 3 sebagai contoh:)
yum install -y nginx
systemctl start nginx.service
```
Setelah memastikan grup keamanan yang terkait dengan instance ECS mengizinkan traffic pada port TCP 80 dari blok CIDR klien, akses http://10.0.0.1 di browser klien.
Jika Anda dapat melihat halaman selamat datang Nginx, akses bisnis berfungsi dengan baik.

FAQ

Bagaimana cara menggunakan metode autentikasi username dan password?

Anda dapat mengaktifkan otentikasi dua faktor, sehingga klien hanya dapat membangun koneksi SSL-VPN setelah lulus kedua tahap autentikasi: autentikasi sertifikat dan autentikasi username serta password.

Apakah klien perlu memasukkan alamat gateway VPN saat menghubungkan?

Anda tidak perlu memasukkan alamat gateway VPN secara manual saat menghubungkan. File konfigurasi config.ovpn yang diunduh dari konsol sudah berisi alamat IP publik gateway VPN. Setelah diimpor ke klien OpenVPN, alamat tersebut akan dikenali secara otomatis tanpa perlu input tambahan.

Saya sudah memiliki klien OpenVPN lain yang terinstal di lingkungan on-premises. Apakah saya dapat menggunakannya secara bersamaan?

Ya, Anda dapat menggunakannya secara bersamaan, tetapi Anda perlu menghindari konflik file konfigurasi. Jika beberapa klien OpenVPN berbagi direktori config yang sama, sertifikat yang diimpor dan file config.ovpn dapat saling menimpa atau dimuat secara salah, sehingga menyebabkan konflik OpenVPN dan anomali koneksi.

Kami merekomendasikan Anda mengisolasi keduanya sebagai berikut:

Instal klien OpenVPN yang digunakan oleh SSL-VPN Alibaba Cloud di jalur berbeda dari klien yang sudah ada (misalnya, jika klien yang ada berada di C:\Program Files\OpenVPN, instal klien baru di direktori lain).
Pastikan folder config kedua klien benar-benar terpisah. File sertifikat SSL-VPN Alibaba Cloud hanya diekstrak dan disalin ke folder config di direktori instalasi saat ini.
Saat menghubungkan, mulai koneksi dari klien di direktori instalasi yang sesuai, dan hindari mencampur beberapa set file konfigurasi dalam satu klien yang sama.

Bagaimana cara memutus koneksi VPN di klien Linux atau Mac?

Buka command line dan jalankan perintah berikut untuk mencari proses OpenVPN dan catat ID prosesnya.
```
ps aux | grep openvpn
```
Jalankan perintah berikut untuk menghentikan proses OpenVPN.
```
kill -9 <process ID>
```

Setelah terhubung melalui SSL-VPN, apakah saya tetap perlu membeli bastion host untuk login ke instance ECS melalui SSH?

Tidak. Selama koneksi SSL-VPN berfungsi sebagaimana mestinya dan grup keamanan yang terkait dengan instance ECS telah mengizinkan traffic port TCP 22 dari Client CIDR Block, Anda dapat langsung menggunakan alat SSH untuk melakukan login SSH melalui Alamat IP pribadi instance ECS, tanpa perlu membeli bastion host tambahan.

Jika perusahaan Anda memiliki kebutuhan audit sesi, kontrol izin detail halus, atau login kolaboratif multi-pengguna untuk operasi O&M, Anda dapat menggunakan bastion host bersama SSL-VPN. Namun, bastion host bukan prasyarat untuk membangun koneksi SSL-VPN atau login ke instance ECS melalui jaringan internal.

Tidak dapat terhubung berhasil?

Setelah klien SSL-VPN terhubung berhasil, klien secara otomatis membangun interkoneksi jaringan internal dengan instance ECS dalam VPC yang sama, tanpa perlu menambahkan entri rute atau menghubungkan jaringan secara tambahan. Oleh karena itu, jika koneksi telah terbentuk tetapi akses gagal, masalahnya biasanya bukan pada tautan VPN itu sendiri, melainkan pada kontrol akses di sisi ECS tujuan.

Gejala	Kemungkinan penyebab dan langkah troubleshooting
Tidak dapat terhubung, misalnya log klien menampilkan pesan `AUTH_FAILED` atau `TLS Handshake failed`	1. Masalah jaringan: Pastikan perangkat klien Anda dapat mengakses internet dengan baik, dan firewall jaringan lokal atau perangkat lunak keamanan tidak memblokir klien OpenVPN dari mengakses alamat IP publik dan port gateway VPN (TCP/1194 secara default). 2. Masalah sertifikat: Pastikan file `config.ovpn` dan file sertifikat terkait yang Anda impor lengkap dan tidak dimodifikasi. Coba unduh dan impor ulang sertifikat dari konsol.
Terkoneksi berhasil, tetapi `ping` tidak dapat menjangkau instance ECS di VPC	1. Aturan grup keamanan (item pertama yang harus diperiksa): Saat Ping gagal, login ke Konsol ECS terlebih dahulu dan periksa apakah grup keamanan instance telah menambahkan aturan masuk untuk mengizinkan protokol `ICMP` dan traffic port layanan dari Client CIDR Block yang dikonfigurasi di server SSL (misalnya, `10.200.200.0/24`). Perhatikan bahwa Alamat sumber harus merupakan blok CIDR klien yang dikonfigurasi di server SSL, bukan alamat IP publik gateway VPN atau segmen jaringan fisik lokal tempat klien berada. 2. Firewall internal ECS: Periksa apakah firewall di dalam sistem operasi ECS (seperti firewalld atau iptables) memblokir permintaan ICMP.
Terkoneksi berhasil, dan `ping` juga berhasil, tetapi layanan di instance ECS (seperti situs web dan SSH) tidak dapat diakses	1. Aturan grup keamanan: Periksa grup keamanan ECS untuk memastikan port layanan yang sesuai (seperti TCP 80 dan TCP 22) telah diizinkan untuk blok CIDR klien Anda. 2. Status listening layanan: Login ke instance ECS dan pastikan port tersebut sedang dalam status listening (misalnya, gunakan `netstat -nltp` pada sistem Linux) 3. Firewall ECS mengizinkan port: Login ke instance ECS dan pastikan firewall sistem operasi ECS itu sendiri mengizinkan port tersebut
Setelah terhubung ke VPN, tidak dapat mengakses jaringan lokal (seperti printer) atau tidak dapat mengakses internet	Konflik routing: Client CIDR Block yang Anda konfigurasi di server SSL mungkin bertabrakan dengan blok CIDR jaringan lokal Anda saat ini. Kembali ke Langkah 1, ubah blok CIDR klien server SSL menjadi blok CIDR yang lebih jarang digunakan (seperti `10.240.240.0/24`), lalu unduh ulang sertifikat dan konfigurasikan klien.
Instance ECS tidak dapat secara aktif `ping` klien	Perilaku normal. Untuk alasan keamanan, firewall sistem operasi klien secara default memblokir permintaan koneksi aktif dari sumber eksternal (termasuk peer VPN). Ini adalah perilaku yang diharapkan dan tidak memengaruhi akses klien ke sumber daya cloud. Jika ada permintaan dari sumber daya cloud untuk mengakses klien, izinkan protokol ICMP di firewall klien.

Untuk pertanyaan lebih lanjut, lihat SSL-VPN connection FAQ.

No.	Deskripsi
①	Klik ganda paket instalasi Tunnelblick yang telah diunduh.
②	Klik ganda ikon Tunnelblick.
③	Pilih I have configuration files.
④	Klik OK.

No.	Deskripsi
①	Klik ikon Tunnelblick di Launchpad untuk membuka perangkat lunak Tunnelblick.
②	Seret file hasil ekstraksi `config.ovpn` ke panel Configurations.
③	Pilih Only Me.
④	Klik Connect.