Smart Access Gateway:Backup do Express Connect

Pré-requisitos

• Uma VPC foi criada na região China (Beijing). Para mais informações, consulte crie e gerencie uma VPC.

• Uma instância do service Cloud Enterprise Network (CEN) foi criada e a VPC na região China (Beijing) foi associada à instância do CEN. Para mais informações, consulte crie uma instância do CEN.

• Um circuito do Express Connect está conectado à sua rede local na região China (Beijing) e uma instância de VBR foi criada. Para mais informações, consulte Connect to an Express Connect circuit in classic mode ou Connect to a shared Express Connect circuit.

Contexto

Uma empresa possui aplicações em uma VPC na região China (Beijing) e conectou sua rede local à vpc usando um circuito do Express Connect. Para garantir alta disponibilidade, a empresa deseja usar uma instância do SAG como backup para o circuito do Express Connect.

• Um dispositivo SAG-1000 é implantado no modo one-arm para conectar a rede local à Alibaba Cloud. Esse modo de implantação não exige alterações na topologia de rede existente.

• A rede local, a instância do SAG e a instância de VBR usam o BGP para aprender e trocar rotas. Isso simplifica o gerenciamento e a operação da rede.

• A instância do SAG é associada a uma instância do Cloud Connect Network (CCN) e a uma instância de VBR. Ambas as instâncias (CCN e VBR) são associadas à mesma instância do CEN para permitir a comunicação com a VPC.

• Quando uma instância do SAG é associada a uma instância do CCN e a um VBR, o CEN prioriza o circuito do Express Connect por padrão, aprendendo e anunciando suas rotas primeiro. Se o circuito do Express Connect falhar, o CEN passa a usar as rotas da instância do CCN. Consequentemente, todo o tráfego usa o circuito do Express Connect por padrão e faz failover para a instância do CCN.

Plano de rede

Planeje os blocos CIDR da sua rede com base nas necessidades do seu negócio e garanta que os blocos CIDR não se sobreponham.

Procedimento

Etapa 1: Comprar um dispositivo SAG

Após comprar um dispositivo SAG no console do SAG, a Alibaba Cloud envia o dispositivo para você e cria uma instância do SAG para que você gerencie o dispositivo.

1. Acesse o console do Smart Access Gateway.

2. No painel de navegação à esquerda, clique em SAG > Instances.

3. Na página SAG, escolha Purchase SAG > Create SAG (CPE).

4. Na página Smart Access Gateway, defina os seguintes parâmetros e clique em Buy Now.

   • Region: A região onde o dispositivo SAG é usado. Neste exemplo, selecione Mainland China.

   • Instance Type: O modelo do dispositivo SAG. Neste exemplo, selecione SAG-1000.

   • Have SAG Hardware Already: escolha se você já possui um dispositivo SAG. Neste exemplo, selecione No.

   • Version: A edição do dispositivo SAG. Este exemplo usa a edição padrão Standard Edition.

   • Quantity: O número de dispositivos SAG a serem comprados. Neste exemplo, selecione 1.

   • Region: A região de largura de banda usada pelo dispositivo Smart Access Gateway (SAG). Esta região é a mesma do dispositivo SAG e não pode ser modificada.

   • Instance Name: O nome da instância do SAG.

   • Peak Bandwidth: A largura de banda de pico da rede. Neste exemplo, selecione 50 Mbps.

   • Subscription Period: escolha uma duração de assinatura.

5. confirme as informações do pedido, selecione os termos de serviço e clique em Confirm Purchase.

6. Na caixa de diálogo Receiving Address, insira seu endereço de entrega e clique em Buy Now.

7. Na página Pay, selecione um método de pagamento e conclua o pagamento.

8. Você pode verificar se o pedido foi realizado na página do Smart Access Gateway. Os dispositivos SAG serão enviados em até dois dias úteis após a realização do pedido. Para que você atualize e verifique as informações de envio, execute as seguintes operações:

   1. Na página Smart Access Gateway, encontre a instância do SAG de destino.

   2. Na coluna Operation, clique no ícone e selecione View Shipping Update.

   3. No painel Order Updates, visualize as atualizações de envio.

Após a conclusão bem-sucedida do pedido, o status da instância do SAG será To Be Shipped.

Etapa 2: Ativar e conectar o dispositivo SAG

Após receber o dispositivo SAG, verifique se todos os acessórios estão incluídos. Para mais informações, consulte SAG-1000 device specifications.

Após verificar o dispositivo, ative-o e conecte-o.

1. Acesse o console do Smart Access Gateway.

2. Na barra de navegação superior, selecione a região onde sua instância do SAG está implantada.

3. Na página Smart Access Gateway, encontre a instância de destino e vincule o dispositivo à instância do SAG. Para mais informações, consulte Add a device.

4. Após vincular o dispositivo, retorne à página Smart Access Gateway. Na coluna Operation da instância de destino, clique em > Activate.

5. Na caixa de diálogo Activate, clique em OK.

6. Após a ativação do dispositivo, conecte o dispositivo SAG à sua rede local conforme mostrado no diagrama de topologia.

   Use um cabo de rede para conectar a porta WAN do dispositivo SAG à porta G11 do switch camada 3.

   Este exemplo usa a porta WAN (Porta 5). Se a Porta 5 no seu dispositivo não for uma porta WAN, você pode alterar a função da porta. Para mais informações, consulte Assign port roles.

   Nota

   • Apenas os dispositivos SAG-1000 V2.0 suportam a atribuição de função de porta.

   • Antes de atribuir as funções das portas, certifique-se de que o dispositivo SAG esteja ligado, com um sinal 4G estável e conectado à Alibaba Cloud.

Etapa 3: Configurar o dispositivo SAG

Após conectar o dispositivo, configure-o no console do Smart Access Gateway.

Antes de começar, certifique-se de que o dispositivo esteja ligado, com um sinal 4G estável e conectado à Alibaba Cloud.

1. Acesse o console do Smart Access Gateway.

2. Configure a porta WAN.

   1. Acesse o console do Smart Access Gateway.

   2. Na barra de navegação superior, selecione a região de destino.

   3. Na página SAG, clique no ID da instância do SAG de destino.

   4. Na página de detalhes da instância, clique na aba Device Settings.

   5. No painel à esquerda da aba, clique em Manage WAN Ports.

   6. Na seção WAN (Port 5), edite as configurações clicando em Edit.

   7. Na caixa de diálogo Configure WAN (Port 5), defina os seguintes parâmetros e clique em OK.

      • Connection Type: Selecione Static IP.

      • IP Address: O endereço ip da porta WAN. Neste exemplo, insira 192.168.100.1.

      • Mask: A máscara de sub-rede do endereço IP da porta WAN. Neste exemplo, insira 255.255.255.252.

      • Gateway : O endereço IP do gateway. Neste exemplo, insira 192.168.100.2.

        Nota

        Após configurar o gateway, o dispositivo SAG gera uma rota padrão.

3. Configure o BGP.

   Nota

   Para dispositivos SAG-1000 executando a versão de software 1.0, não há uma porta dedicada para circuitos do Express Connect. Ao configurar o BGP no console web do SAG, não use o número AS do circuito do Express Connect como o número AS do par. Fazer isso configura incorretamente as propriedades da interface da porta e impede que o dispositivo SAG aprenda rotas da VPC por meio do CEN.

   1. No painel à esquerda, clique em Manage Routes.

   2. Na seção BGP Protocol Settings, edite as configurações clicando em Edit.

   3. Na caixa de diálogo Configure BGP Route Protocol, configure o BGP com base no seu plano de rede e clique em OK.

      • Local AS: Neste exemplo, insira 65435.

      • Router ID: Neste exemplo, insira 192.168.2.2.

      • Hold Time: Neste exemplo, insira 180 segundos.

      • Keep Alive: Neste exemplo, insira 60 segundos.

5. ative o BGP para a porta WAN.

   1. Na seção Dynamic Routing Settings, clique em Enable BGP Protocol.

   2. Na caixa de diálogo Change Routing Protocol, clique em OK.

   3. Na lista de portas, encontre a Porta 5 (WAN) e edite as configurações clicando em Edit na coluna Operation.

   4. Na caixa de diálogo Modify BGP Dynamic Routing Settings, modifique as configurações, selecione BGP Protocol, configure o IP do par e o AS do par e clique em OK.

      O IP do par e o AS do par correspondem ao endereço IP da porta G11 e ao número AS do BGP do switch camada 3 conectado, respectivamente.

      • Peer AS: Neste exemplo, use 65430.

      • Peer IP: Neste exemplo, use 192.168.100.2.

   Após a conclusão da configuração, a seção BGP Protocol Settings mostra que o AS local é 65435, o router ID é 192.168.2.2, o hold time é 180 e o keep-alive time é 60. O endereço IP da Porta 5 (WAN) é 192.168.100.1 e seu protocolo de roteamento está definido como ative BGP.

6. Configure a sincronização de rotas locais.

   1. Na página de detalhes da instância do SAG, clique na aba Network Configuration.

   2. No painel à esquerda, clique em Method to Synchronize with On-premises Routes.

   3. Selecione Static Routing, clique em Add Static Route e clique em OK.

      Adicione uma rota estática para o bloco CIDR da rede local que precisa se comunicar com a cloud: 172.16.0.0/12.

Etapa 4: Configurar o VBR

Configure a instância de VBR no console do Express Connect para estabelecer uma relação de par BGP com o switch camada 3.

1. Configure um grupo BGP.

   1. Acesse o console do Express Connect.

   2. Na barra de navegação superior, selecione a região de destino.

   3. No painel de navegação à esquerda, clique em Virtual Border Router(VBR).

   4. Na página Virtual Border Router(VBR), clique no ID da instância de VBR de destino.

   5. Na página de detalhes da instância de VBR, clique na aba BGP Groups.

   6. Na aba BGP Groups, clique em Create BGP Group e configure o grupo BGP com as seguintes informações.

      • Name: O nome do grupo BGP. Neste exemplo, insira test.

      • Peer ASN: O número AS do switch camada 3. Neste exemplo, insira 65430.

      • BGP Key: A chave para o grupo BGP. Este parâmetro não é configurado neste exemplo.

      • Description: A descrição para o grupo BGP. Neste exemplo, insira SAGtest.

   7. Clique em OK.

2. Configure um par BGP.

   1. Na página de detalhes da instância de VBR, clique na aba BGP Peers.

   2. Na aba BGP Peers, clique em Create BGP Peer.

   3. No painel Create BGP Peer, configure as informações do par BGP e clique em OK.

      • BGP Group: O grupo BGP a ser associado. Neste exemplo, selecione o grupo BGP que foi recém-criado.

      • BGP Peer IP: O endereço IP do par BGP. Neste exemplo, insira 192.168.110.1, que é o endereço IP da porta G12 do switch camada 3.

   Após a criação, o novo registro do par BGP aparece na lista BGP Peers. O BGP Peer IP é 192.168.110.1, o Network Type é ipv4, o Peer ASN é 65430, o Status é Available e o BGP neighbor underlying status é Idle.

Etapa 5: Configurar o switch e o roteador

Configure o switch camada 3 e o roteador de saída que se conectam ao dispositivo SAG. A seguir, são apresentadas configurações de exemplo para um fornecedor específico. As configurações podem variar entre fabricantes, portanto, consulte a documentação do seu dispositivo para obter detalhes.

1. Configure as rotas para o switch camada 3.

   
   interface GigabitEthernet 0/11
   no switchport
   ip address 192.168.100.2 255.255.255.252     # Port IP of the switch that connects to the SAG device
   interface GigabitEthernet 0/12
   no switchport
   ip address 192.168.110.1 255.255.255.252     # Port IP of the switch that connects to the VBR
   router bgp 65430
   bgp router-id 192.168.1.1
   network 172.16.0.0 mask 255.240.0.0          # Advertise the private CIDR block of the on-premises network
   neighbor 192.168.100.1 remote-as 65435       # Establish a BGP peer relationship with the SAG device
   neighbor 192.168.100.1 timers 60 180         # Configure the Keep Alive and Hold Time for the BGP session
   neighbor 192.168.110.2 remote-as 45104       # Establish a BGP peer relationship with the VBR
   exit
                   

   Importante

   Ao anunciar o bloco CIDR privado local, anuncie apenas as sub-redes que exigem comunicação com a VPC. Seja seletivo com as rotas anunciadas pelo circuito do Express Connect. Para evitar loops de roteamento, não anuncie de volta para a cloud as rotas aprendidas da cloud (como da VPC, de outros SAGs ou de VBRs).

2. Configure as rotas para o roteador de saída.

   
   ip route 192.168.100.0 255.255.255.252  192.168.80.2  # Route from the egress router to the SAG device
                   

Etapa 6: Configurar conexões com a cloud

Após configurar o dispositivo, configure as conexões de rede na cloud para conectar sua rede local à Alibaba Cloud.

1. Crie uma instância de CCN.

   1. Acesse o console do Smart Access Gateway.

   2. Na barra de navegação superior, selecione a área Mainland China.

      A área da instância do CCN deve ser a mesma área onde o dispositivo SAG é usado.

   3. No painel de navegação à esquerda, clique em CCN.

   4. Na página CCN, clique em Create CCN Instance.

   5. No painel Create CCN Instance, configure um nome para a instância do CCN e clique em OK.

2. Associe instâncias de rede.

   1. No painel de navegação à esquerda, clique em Smart Access Gateway .

   2. Na página SAG, encontre a instância de destino e clique em Network Configuration na coluna Operation.

   3. No painel à esquerda, clique em Network Instance Details.

   4. Na aba Network Instance Details, clique em Add Network, selecione a instância do CCN que você criou e clique em OK.

   5. Da mesma forma, associe a instância de VBR existente à instância do SAG. Para mais informações, consulte Attach a network instance.

      Quando uma instância do SAG é associada a uma instância do CCN e a uma instância de VBR, o tráfego da rede local usa o circuito do Express Connect por padrão. Se o circuito falhar, o tráfego faz failover para a instância do CCN, usando uma conexão criptografada pela internet.

3. Associe as instâncias do CCN e do VBR à instância do CEN. Para mais informações, consulte Attach a network instance.

   Após associar as instâncias, a rede local poderá se comunicar com a VPC que já está associada à instância do CEN.

   Nota

   Se a sua rede local, a instância de VBR e a VPC estiverem em regiões diferentes, você deve comprar um plano de largura de banda do CEN e configurar uma largura de banda de conexão entre regiões para permitir a comunicação entre instâncias de rede em regiões diferentes. Para mais informações, consulte Use a bandwidth plan e Cross-region connection bandwidth.

4. Configure regras de grupo de segurança.

   Configure uma regra de grupo de segurança para as instâncias do ECS na sua VPC. A regra deve permitir o tráfego de entrada do seu bloco CIDR privado local (172.16.0.0/12) para acessar recursos nas instâncias. Para mais informações, consulte Add a security group rule.

Etapa 7: Adicionar uma política de roteamento do CEN

Adicione uma política de roteamento no CEN para controlar como as rotas da VPC são anunciadas para o dispositivo SAG. Esta política é crucial para gerenciar o comportamento de failover.

Com esta política, quando a instância do CCN aprende a rota da VPC a partir do VBR, ela não anuncia essa rota para o dispositivo SAG. Isso força o tráfego entre a rede local e a VPC a usar o circuito do Express Connect. Se o circuito do Express Connect falhar, o CCN não poderá mais aprender a rota a partir do VBR. Em vez disso, ele anuncia a rota da VPC que aprende do CEN para o dispositivo SAG, redirecionando o tráfego através do SAG.

1. Acesse o console do CEN.

2. Na página CEN Instance, clique no ID da instância do CEN de destino.

3. Na aba Basic Information, clique na aba Transit Router e clique no ID do transit router conectado à instância do CCN.

4. Na página de detalhes do transit router, clique na aba Route Table.

5. Na aba Route Table, clique na aba Route Maps.

6. Na aba Route Maps, clique em Add Route Map.

7. Na página Add Route Map, configure os parâmetros com as seguintes informações e clique em OK.

   Parâmetro	Descrição
   Policy Priority	Insira uma prioridade para a política de roteamento.
   Description	Insira uma descrição para a política de roteamento.
   Region	Mainland China CCN é selecionado por padrão e não pode ser alterado.
   Policy direction	Selecione Outbound Gateway.
   Match Conditions	Selecione um tipo de rede. Selecione Source Instance Type. Em seguida, selecione VBR.
   Action policy	Selecione Allow.

Etapa 8: Verificar a conexão e o failover

1. Após concluir a configuração, teste o failover desativando a porta do Express Connect no seu switch camada 3. Verifique se a rota para a VPC foi alternada; o próximo salto para a rota da VPC agora deve apontar para a instância do SAG. Consulte o manual do fabricante do seu dispositivo para obter os comandos de visualização de rotas.

2. Teste a conectividade de rede acessando um recurso na cloud na VPC a partir de um cliente na sua rede local.