Data Transmission Service:Connect an Azure database to Alibaba Cloud

Cenário

O exemplo a seguir mostra uma configuração típica entre clouds:

• Uma VNet na região Germany West Central no Azure com uma instância de VM.

• Uma VPC na região Germany (Frankfurt) no Alibaba Cloud com uma instância do Elastic Compute Service (ECS).

• A empresa deseja conectar a VNet do Azure e a VPC do Alibaba Cloud por meio de uma conexão IPsec-VPN associada a um VPN Gateway.

Pré-requisitos

Certifique-se de ter os seguintes recursos:

• Uma rede virtual na região Germany West Central no Azure, com uma instância de VM implantada. Para obter instruções, consulte a documentação do portal do Azure.

• Uma VPC na região Germany (Frankfurt) no Alibaba Cloud, com uma ECS instance.

• Blocos CIDR que não se sobreponham para a VNet do Azure e a VPC do Alibaba Cloud.

Requisitos de segurança

Configure a segurança em ambas as plataformas para permitir o tráfego entre a VPC do Alibaba Cloud e a VNet do Azure.

• Alibaba Cloud: As regras do grupo de segurança devem permitir o tráfego de entrada e saída entre a VPC (10.0.0.0/16) e a VNet do Azure (192.168.0.0/16). Para mais detalhes, consulte Add a security group rule e Query security group rules.

• Azure: As regras do grupo de segurança de rede devem permitir o tráfego do bloco CIDR da VPC do Alibaba Cloud. Para mais detalhes, entre em contato com o suporte do Azure.

• Específico para DTS: Adicione o bloco CIDR 100.104.0.0/16 aos gateways de rede local do Azure (Etapa 2) e ao campo Local Network da conexão IPsec-VPN do Alibaba Cloud (Etapa 3). O DTS usa endereços IP neste bloco para transmissão de dados. Para a lista completa, consulte Add the CIDR blocks of DTS servers to a whitelist.

Etapa 1: Crie uma instância do VPN Gateway no Alibaba Cloud

Crie uma instância do VPN Gateway no Alibaba Cloud. Após a criação, a instância recebe dois endereços IP para a conexão IPsec-VPN com a VNet do Azure.

1. Acesse o console do VPN Gateway e configure os seguintes parâmetros. Somente os parâmetros principais estão listados aqui. Para todos os parâmetros, consulte Create and manage a VPN Gateway instance.

   Parâmetro	Descrição	Exemplo
   Name	Nome da instância do VPN Gateway.	VPN Gateway
   Region	Região da instância do VPN Gateway.	Germany (Frankfurt)
   Gateway Type	Tipo de gateway.	Standard
   Network Type	Tipo de rede.	Public
   Tunnels	Modo de túnel. Para túnel duplo versus túnel único, consulte IPsec-VPN dual-tunnel mode.	Dual-tunnel (padrão)
   VPC	VPC a ser associada à instância do VPN Gateway.	Selecione a VPC em Germany (Frankfurt).
   vSwitch	Um vSwitch da VPC. No modo de túnel duplo, são necessários dois vSwitches. O sistema cria uma interface de rede elástica (ENI) em cada vSwitch para troca de tráfego. Cada ENI usa um endereço IP do seu vSwitch. Não é possível alterar os vSwitches associados após a criação do VPN Gateway.	Selecione um vSwitch na VPC.
   vSwitch 2	Um segundo vSwitch. Para recuperação de desastres entre zonas, selecione vSwitches em zonas diferentes. Se a VPC tiver apenas uma zona, selecione dois vSwitches diferentes na mesma zona para alta disponibilidade. Se não existir um segundo vSwitch, create one.	Selecione um segundo vSwitch.
   IPsec-VPN	Ative ou desative o IPsec-VPN.	Enable (padrão)
   SSL-VPN	Ative ou desative o SSL-VPN.	Disable (padrão)

2. Retorne à página VPN Gateway. O estado da instância é inicialmente Provisioning e muda para Active após 1 a 5 minutos, o que indica que a instância está pronta para uso.

3. Anote os dois endereços IP atribuídos à instância do VPN Gateway. Eles serão usados nas etapas seguintes.

   Instância do VPN Gateway	Endereço IP
   VPN Gateway (vpn-gw8dickm386d2qi2g\\\\)	IPsec address 1 (active): 8.XX.XX.130
   	IPsec address 2 (standby): 8.XX.XX.75

Etapa 2: Implante recursos de VPN no Azure

Configure os seguintes recursos de VPN no Azure para estabelecer a conexão IPsec-VPN com o Alibaba Cloud. Para obter instruções detalhadas, consulte a documentação do portal do Azure ou entre em contato com o suporte do Azure.

1. Crie uma sub-rede de gateway na rede virtual. Esta sub-rede é necessária para o gateway de rede virtual.

   

2. Crie um gateway de rede virtual. Associe o gateway à rede virtual que se conecta ao Alibaba Cloud. Ative o modo ativo-ativo e crie dois endereços IP públicos. Use os valores padrão para outros parâmetros. Após a criação, visualize os dois endereços IP públicos atribuídos ao gateway na página de endereços IP públicos. Neste exemplo: 4.XX.XX.224 e 4.XX.XX.166.

   Nota

   A criação do gateway de rede virtual do Azure pode levar 45 minutos ou mais. Monitore o status da implantação na página de visão geral do gateway.

   

   

3. Crie dois gateways de rede local. Cada gateway de rede local corresponde a um endereço IP da instância do VPN Gateway do Alibaba Cloud. Adicione os seguintes blocos CIDR a cada gateway de rede local:

   • VPC do Alibaba Cloud: 10.0.0.0/16

   • Bloco CIDR do DTS: 100.104.0.0/16

   Importante

   O bloco CIDR 100.104.0.0/16 é necessário para a transmissão de dados do DTS. Para mais informações, consulte Add the CIDR blocks of DTS servers to a whitelist.

   

4. Crie duas conexões VPN site a site. Para a segunda conexão, associe-a ao outro gateway de rede local. Mantenha todas as outras configurações iguais.

   • Defina Connection type como Site-to-site (IPsec).

   • Associe a conexão ao gateway de rede virtual.

   • Selecione o gateway de rede local correspondente.

   • Defina a chave compartilhada. Use a mesma chave compartilhada para o túnel IPsec-VPN correspondente do Alibaba Cloud.

   • Use os valores padrão para os outros parâmetros.

   Importante

   Tanto o Alibaba Cloud quanto o Azure suportam o modo de túnel duplo, mas diferem na arquitetura do túnel. Uma conexão IPsec-VPN do Azure vincula ambos os túneis ao mesmo gateway de rede local por padrão, enquanto o Alibaba Cloud atribui endereços IP diferentes a cada túnel. Para ativar ambos os túneis, crie duas conexões VPN site a site separadas no Azure, cada uma associada a um gateway de rede local diferente.

   

   

Etapa 3: Crie uma conexão IPsec-VPN no Alibaba Cloud

Após implantar os recursos de VPN do Azure, configure o Alibaba Cloud para concluir a conexão IPsec-VPN.

Etapa 4: Verifique a conectividade de rede

Após concluir a configuração em ambas as plataformas, teste a conexão entre a VNet do Azure e a VPC do Alibaba Cloud.

1. Faça login em uma instância de VM do Azure na VNet do Azure. Para obter instruções, consulte a documentação do portal do Azure.

2. Execute o comando ping para o endereço IP privado da instância do ECS do Alibaba Cloud. Uma resposta bem-sucedida confirma que a VNet do Azure e a VPC do Alibaba Cloud podem se comunicar.

      ping 10.0.0.1

   

Solução de problemas

Se o teste de ping falhar, verifique o seguinte:

1. Verifique o status da conexão IPsec-VPN. No console do VPN Gateway do Alibaba Cloud, verifique se o status da conexão IPsec-VPN está Connected e se ambos os túneis estão ativos.

2. Verifique a publicação da rota. Confirme a publicação da rota baseada em políticas na VPC (status Advertised na aba Policy-based Route Table).

3. Verifique as regras do grupo de segurança. Tanto no Alibaba Cloud quanto no Azure, confirme se as regras do grupo de segurança permitem o tráfego ICMP e os blocos CIDR relevantes.

4. Verifique o status da conexão VPN do Azure. No portal do Azure, verifique o status da conexão VPN site a site. Se a conexão aparecer como Not connected, verifique se a chave pré-compartilhada e as configurações de criptografia são idênticas no Azure e no Alibaba Cloud.

5. Redefina o gateway de VPN. Se a conexão estava funcionando anteriormente, tente redefinir o gateway de rede virtual do Azure. Para obter instruções, consulte a documentação do VPN Gateway do Azure.

Próximos passos

Depois de estabelecer a conectividade, adicione os CIDR blocks of DTS servers às configurações de segurança do seu banco de dados (regras de grupo de segurança, políticas de firewall e listas de permissões). Os endereços IP necessários dependem do tipo de tarefa do DTS:

• Data migration

• Data synchronization

• Data validation