Data Transmission Service:Conecte um banco de dados da AWS ao Alibaba Cloud

Cenário de exemplo

Uma empresa possui uma VPC na região Germany (Frankfurt) do Alibaba Cloud e outra na região Europe (Frankfurt) da AWS. Este exemplo conecta as duas VPCs por meio de uma conexão IPsec-VPN usando o VPN Gateway do Alibaba Cloud e o VPN da AWS.

Pré-requisitos

• Uma VPC com recursos ECS implantados na região Germany (Frankfurt) do Alibaba Cloud. Crie uma VPC com um bloco CIDR IPv4.

• Uma VPC com recursos EC2 implantados na região Europe (Frankfurt) da AWS. Plataforma AWS.

• Os blocos CIDR das duas VPCs não se sobrepõem.

Planejamento de blocos CIDR

Fluxo de configuração

Etapa 1: Crie uma instância do VPN Gateway no Alibaba Cloud

Crie uma instância do VPN Gateway no Alibaba Cloud. O sistema atribui dois endereços IP para a conexão IPsec-VPN com a AWS.

1. Faça logon no console do VPN Gateway.

2. Na barra de navegação superior, selecione a região onde deseja criar o VPN gateway. O VPN gateway deve estar na mesma região da VPC.

3. Na página VPN Gateways, clique em Create VPN Gateway.

4. Configure o VPN Gateway com as configurações a seguir, clique em Buy Now e conclua o pagamento. Apenas os parâmetros relevantes para este exemplo estão listados. Use as configurações padrão para todos os demais. Crie e gerencie uma instância do VPN Gateway.

   Parâmetro	Descrição	Valor de exemplo
   Instance Name	O nome da instância do VPN Gateway.	Insira VPN Gateway.
   Region	A região de implantação.	Selecione Germany (Frankfurt).
   Gateway Type	O tipo de gateway.	Selecione Standard.
   Network Type	O tipo de rede.	Selecione Public.
   Tunnel	O modo de túnel para conexões IPsec-VPN na região: Dual-Tunnel ou Single-tunnel. Crie uma conexão IPsec-VPN.	Padrão: Dual-tunnel.
   VPC	A VPC a ser associada ao VPN Gateway.	Selecione a VPC na região Germany (Frankfurt).
   vSwitch	Um vSwitch da VPC. No modo dual-tunnel, especifique dois vSwitches. O sistema cria uma ENI em cada um para o tráfego VPC-para-IPsec (um IP cada). Não é possível alterar os vSwitches após a criação.	Selecione um vSwitch na VPC.
   vSwitch 2	Um segundo vSwitch em uma zona diferente para recuperação de desastres entre zonas. Para regiões com zona única, selecione dois vSwitches nessa zona.	Selecione o segundo vSwitch na VPC.
   IPsec-VPN	Ative o recurso IPsec-VPN.	Padrão: Enable.
   SSL-VPN	Ative o recurso SSL-VPN.	Padrão: Disable.

5. Retorne à página VPN Gateway. O status da instância muda de Preparing para Normal em 1 a 5 minutos. O sistema atribui dois endereços IP:

   Nome da instância do VPN Gateway	ID da instância do VPN Gateway	Endereço IP
   VPN Gateway	vpn-gw8dickm386d2qi2g****	Endereço IPsec 1 (endereço do túnel ativo por padrão): 8.XX.XX.146
   		Endereço IPsec 2 (endereço do túnel em standby por padrão): 8.XX.XX.74

Etapa 2: Implante a VPN na AWS

Implante a VPN na AWS para estabelecer a conexão IPsec-VPN. Consulte a documentação oficial da AWS para as operações detalhadas.

Etapa 3: Implante o VPN Gateway no Alibaba Cloud

Após configurar a VPN na AWS, implante o VPN Gateway no Alibaba Cloud para concluir a conexão IPsec-VPN.

1. Crie os customer gateways.

   1. Faça logon no console do VPN Gateway.

   2. No painel de navegação à esquerda, escolha Interconnections > VPN > Customer Gateways.

   3. Na barra de navegação superior, selecione a região do VPN gateway. O customer gateway deve estar na mesma região.

   4. Na página Customer Gateways, clique em Create Customer Gateway.

   5. No painel Create Customer Gateway, configure os parâmetros a seguir e clique em OK. Crie dois customer gateways. Use os endereços IP externos dos túneis das conexões VPN site-to-site da AWS como os endereços IP dos customer gateways. Apenas os parâmetros relevantes para este exemplo estão listados. Para todos os demais parâmetros, mantenha as configurações padrão. Para mais informações, consulte Customer gateways. > Importante: Use apenas o endereço IP externo do Túnel 1 de cada conexão VPN site-to-site da AWS como o endereço do customer gateway. Os endereços IP externos do Túnel 2 não são utilizados. Após criar a conexão IPsec-VPN, o Túnel 2 de cada conexão VPN site-to-site não fica conectado por padrão. | Parâmetro | Descrição | Customer Gateway 1 | Customer Gateway 2 | |---|---|---|---| | Name | Insira um nome para o customer gateway. | Insira Customer Gateway 1. | Insira Customer Gateway 2. | | IP Address | Insira o endereço IP externo do túnel na AWS. | Insira 3.XX.XX.52. | Insira 3.XX.XX.56. | | ASN | Insira o ASN BGP do virtual private gateway da AWS. Necessário apenas para roteamento dinâmico BGP. | Insira 64512. | Insira 64512. |

2. Crie uma conexão IPsec-VPN.

   1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

   2. Na página IPsec Connections, clique em Bind VPN Gateway.

   3. Na página Create IPsec-VPN Connection, configure os parâmetros e clique em OK. | Parâmetro | Descrição | Valor de exemplo | |---|---|---| | IPsec-VPN Connection Name | Insira um nome para a conexão. | Insira IPsec-VPN connection. | | Region | Selecione a região do VPN gateway. A conexão é criada na mesma região. | Selecione Germany (Frankfurt). | | Bind VPN Gateway | Selecione o VPN Gateway a ser associado. | Selecione o VPN Gateway criado. | | Routing Mode | Selecione um modo de roteamento. Destination Routing Mode: Roteia o tráfego com base no endereço IP de destino. Protected Data Flows: Roteia com base nos endereços IP de origem e destino. | Para roteamento estático, selecione Protected Data Flows (recomendado). Defina Local Network como 10.0.0.0/16. Defina Remote Network como 192.168.0.0/16. Para roteamento dinâmico BGP, selecione Destination Routing Mode (recomendado). | | Effective Immediately | Yes: A negociação começa imediatamente. No: A negociação é acionada pelo tráfego. | Selecione Yes. | | Enable BGP | Ative o BGP para a conexão. Desativado por padrão. | Mantenha o padrão. Para usar roteamento dinâmico BGP, adicione a configuração BGP separadamente após a criação da conexão. | | Tunnel 1 | Configure o Túnel 1 (túnel ativo). O Túnel 1 é o túnel ativo e o Túnel 2 é o túnel em standby. Isso não pode ser alterado. | | | Customer Gateway | Selecione o customer gateway para o túnel ativo. | Selecione Customer Gateway 1. | | Pre-Shared Key | Insira a chave de autenticação para o túnel ativo. A chave deve ter de 1 a 100 caracteres e pode conter dígitos, letras maiúsculas e minúsculas, e os seguintes caracteres especiais: ` ~!@#$%^&*()_-+={}[]\|;:',.<>/? ``. Se não for especificada, o sistema gera uma cadeia aleatória de 16 caracteres. | A chave deve corresponder à chave do túnel conectado da AWS. | | Encryption Configurations | Configure IKE, IPsec, Dead Peer Detection (DPD) e travessia de NAT. | Em IKE Configurations, defina SA Life Cycle (seconds) como 28800 para corresponder ao valor da AWS. Em IPsec Configurations, defina SA Life Cycle (seconds) como 3600 para corresponder ao valor da AWS. Para todos os demais parâmetros, use os valores padrão. Para mais informações, consulte Conexões IPsec-VPN (VPN Gateway). | | Tunnel 2 | Configure o Túnel 2 (túnel em standby). | | | Customer Gateway | Selecione o customer gateway para o túnel em standby. | Selecione Customer Gateway 2. | | Pre-Shared Key | Insira a chave de autenticação para o túnel em standby. | A chave deve corresponder à chave do túnel conectado da AWS. | | Encryption Configuration | Configure IKE, IPsec, DPD e travessia de NAT. | Em IKE Configurations, defina SA Life Cycle (seconds) como 28800 para corresponder ao valor da AWS. Em IPsec Configurations, defina SA Life Cycle (seconds) como 3600 para corresponder ao valor da AWS. Para todos os demais parâmetros, use os valores padrão. Para mais informações, consulte Conexões IPsec-VPN (VPN Gateway). | > Importante: A chave pré-compartilhada de cada túnel deve corresponder à chave no dispositivo gateway par. Caso contrário, a conexão IPsec-VPN não será estabelecida.

   4. Na mensagem Created, clique em Cancel.

3. Configure as rotas do VPN gateway.

   Use roteamento estático

   Se você selecionou Protected Data Flows para Routing Mode, o sistema cria automaticamente uma rota baseada em política no estado Unpublished. Publique a rota na VPC.

   1. No painel de navegação à esquerda, escolha Interconnections > VPN > VPN Gateways.

   2. Na barra de navegação superior, selecione a região onde o VPN gateway reside.

   3. Na página VPN Gateways, clique no ID do VPN gateway de destino.

   4. Na página de detalhes, clique na aba Policy-based Route Table, localize a rota e clique em Advertise na coluna Actions.

   5. Na caixa de diálogo Advertise Route, clique em OK.

   Use roteamento dinâmico BGP

   1. Adicione configurações BGP à conexão IPsec-VPN.

      1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

      2. Na página IPsec Connections, clique no ID da conexão IPsec-VPN.

      3. Na seção IPsec Connections, ative Enable BGP. Na caixa de diálogo BGP Configuration, configure as seguintes configurações e clique em OK. | Parâmetro | Descrição | Valor de exemplo | |---|---|---| | Local ASN | Insira o número do sistema autônomo. | Insira 65530. | | Tunnel 1 | Adicione configurações BGP para o túnel ativo. | | | Tunnel CIDR Block | Insira o bloco CIDR para o túnel criptografado. | Insira 169.254.116.208/30. | | Local BGP IP address | Insira o endereço IP BGP. Deve estar dentro do bloco CIDR do túnel. | Insira 169.254.116.210. | | Tunnel 2 | Adicione configurações BGP para o túnel em standby. | | | Tunnel CIDR Block | Insira o bloco CIDR para o túnel criptografado. | Insira 169.254.214.96/30. | | Local BGP IP address | Insira o endereço IP BGP. Deve estar dentro do bloco CIDR do túnel. | Insira 169.254.214.98. |

   2. Ative a propagação automática de rotas BGP.

      1. No painel de navegação à esquerda, escolha Interconnections > VPN > VPN Gateways.

      2. Na página VPN Gateways, localize o VPN gateway de destino. Na coluna Actions, escolha > Enable Automatic BGP Propagation.

      3. Na caixa de diálogo Enable Automatic BGP Propagation, clique em OK.

Etapa 4: Teste a conectividade

Após a configuração, teste a conexão IPsec-VPN acessando uma instância EC2 da AWS a partir de uma instância ECS do Alibaba Cloud.

1. Faça logon em uma instância ECS na VPC do Alibaba Cloud. Selecione um método de conexão remota para uma instância ECS.

2. Execute o comando ping para verificar a conectividade com a instância EC2 da AWS. As mensagens de resposta confirmam que as VPCs podem se comunicar.

      ping <private IP address of the AWS EC2 instance>

   

3. Teste a alta disponibilidade. A conexão IPsec-VPN dual-tunnel alterna automaticamente o tráfego para o túnel em standby se o túnel ativo falhar.

   1. Permaneça conectado à instância ECS.

   2. Execute um ping contínuo para a instância EC2 da AWS: `` ping <private IP address of the AWS EC2 instance> -c 10000 ``

   3. Interrompa o túnel ativo — por exemplo, modificando a chave pré-compartilhada no Alibaba Cloud para causar uma incompatibilidade de chaves.

   4. Verifique se a comunicação é retomada após uma breve interrupção, confirmando que o tráfego alternou para o túnel em standby. Monitore o tráfego dos túneis na aba Monitoring. Monitore uma conexão IPsec-VPN.

Próximos passos

Após estabelecer a conexão VPN, configure o DTS para usá-la no acesso ao banco de dados. De acordo com o tipo de tarefa -- sincronização de dados, migração de dados ou validação de dados -- adicione os endereços IP dos servidores DTS às configurações de segurança do banco de dados, como regras de grupo de segurança, firewalls e listas de permissões.

Ao criar uma instância do DTS pela conexão VPN:

• Access method: Selecione Express Connect, VPN Gateway, or Smart Access Gateway como método de acesso, de acordo com o tipo de tarefa do DTS.

• VPC: Selecione a VPC do Alibaba Cloud conectada à AWS por meio do VPN gateway.

• Database address: Insira o endereço IP privado do banco de dados da AWS, acessível pelo túnel VPN.

• Security: Verifique se as regras de grupo de segurança da AWS permitem tráfego de entrada do bloco CIDR da VPC do Alibaba Cloud na porta do banco de dados.