VPN Gateway:Configure strongSwan

Saída dupla - Roteamento dinâmico BGP

Para mais informações, consulte Dual-tunnel mode with BGP. Conclua as etapas Create a VPN gateway, Create customer gateways, Create an IPsec-VPN connection e Enable BGP dynamic routing.

1. Como o dispositivo strongSwan possui dois endereços IP de saída pública, crie dois customer gateways.

2. Ao criar a conexão IPsec-VPN, associe o Túnel 1 à saída pública 1 e o Túnel 2 à saída pública 2. Este exemplo utiliza o Destination Routing Mode.

Saída dupla - Roteamento estático

Para mais informações, consulte Standard VPN Gateway quick start. Conclua as etapas Create a VPN gateway, Create a customer gateway, Create an IPsec connection e Configure VPN Gateway routes.

1. Como o dispositivo strongSwan possui dois endereços IP de saída pública, crie dois customer gateways.

2. Ao criar a conexão IPsec-VPN, associe o Túnel 1 à saída pública 1 e o Túnel 2 à saída pública 2. Este exemplo utiliza o Destination Routing Mode.

Saída única - Roteamento dinâmico BGP

Para mais informações, consulte Dual-tunnel mode with BGP. Conclua as etapas Create a VPN gateway, Create customer gateways, Create an IPsec-VPN connection e Enable BGP dynamic routing.

1. O dispositivo strongSwan possui um endereço IP de saída pública. Crie um customer gateway.

2. Ao criar a conexão IPsec-VPN, associe ambos os túneis ao mesmo customer gateway. Este exemplo utiliza o Destination Routing Mode.

Saída única - Roteamento estático

Para mais informações, consulte Standard VPN Gateway quick start. Conclua as etapas Create a VPN gateway, Create a customer gateway, Create an IPsec connection e Configure VPN Gateway routes. Observe os seguintes pontos:

1. O dispositivo strongSwan possui um endereço IP de saída pública. Crie um customer gateway.

2. Ao criar a conexão IPsec-VPN, selecione o modo Protected Data Flows e associe ambos os túneis ao mesmo customer gateway. Configure os seguintes parâmetros:

   • Defina Local Network como o bloco CIDR da VPC no lado da Alibaba Cloud, que é 192.168.0.0/16.

   • Defina Remote Network como o bloco CIDR privado do data center on-premises, que é 172.16.0.0/16.

Saída dupla - Roteamento estático e roteamento dinâmico BGP

1. Adicione rotas para direcionar o tráfego destinado ao endereço IPsec 1 pela eth0 e o tráfego destinado ao endereço IPsec 2 pela eth1.

   ip route add 47.XX.XX.151 via 172.16.20.253 dev eth0  # 172.16.20.253 is the private gateway address of eth0.
   ip route add 47.XX.XX.87 via 172.16.21.253 dev eth1   # 172.16.21.253 is the private gateway address of eth1.

   Verifique a conectividade com ambos os endereços IPsec.

   ping 47.XX.XX.151 
   ping 47.XX.XX.87 

2. Crie duas interfaces de rede virtuais para estabelecer os túneis IPsec-VPN.

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1. The interface ID is 42 and the underlying interface is the public interface eth0.
   ip link add ipsec1 type xfrm dev eth1 if_id 43 # Create an XFRM virtual network interface for Tunnel 2. The interface ID is 43 and the underlying interface is the public interface eth1.
   ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1.
   ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   Importante

   A configuração para criar uma interface de rede virtual é temporária. Após reiniciar o dispositivo strongSwan, adicione a configuração novamente e execute o comando sudo systemctl restart strongswan;swanctl --load-all (este comando requer permissões de root). Consulte o conteúdo a seguir para adicionar um script de inicialização ao dispositivo strongSwan, de modo que a interface de rede virtual seja adicionada automaticamente após a reinicialização do dispositivo.

   Clique para visualizar o Script de inicialização.

   1. Crie um arquivo de script.

      vi xfrm.sh

   2. Adicione o seguinte conteúdo e salve o arquivo.

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1. The interface ID is 42 and the underlying interface is the public interface eth0.
      sudo ip link add ipsec1 type xfrm dev eth1 if_id 43 # Create an XFRM virtual network interface for Tunnel 2. The interface ID is 43 and the underlying interface is the public interface eth1.
      sudo ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1.
      sudo ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   3. Encontre o caminho absoluto do script.

      sudo find / -name xfrm.sh

   4. Execute o comando sudo vi /etc/rc.d/rc.local para adicionar o caminho absoluto do script ao arquivo /etc/rc.d/rc.local.

      Pressione a tecla i para entrar no modo de edição; adicione o caminho absoluto do script /root/xfrm.sh ao arquivo /etc/rc.d/rc.local; pressione a tecla Esc para sair do modo de edição e insira :wq para salvar a configuração.

   5. Conceda permissões de execução ao arquivo rc.local e ao script xfrm.sh.

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

3. Modifique o arquivo de configuração do strongSwan.

   1. Faça backup do arquivo de configuração original do strongSwan.

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. Crie um novo arquivo de configuração do strongSwan.

      vi /etc/strongswan/swanctl/swanctl.conf

   3. Adicione a seguinte configuração. Cada valor de parâmetro deve corresponder à configuração do túnel da Alibaba Cloud.

      Importante

      Para roteamento estático, descomente as linhas updown = /root/connect_1.sh e updown = /root/connect_2.sh na configuração.

      connections {
         vco1 {                            # Add the VPN configuration for IPsec-VPN Tunnel 1.
            version = 2                    # Specify the IKE version. It must be the same as the IKE version of Tunnel 1 on the Alibaba Cloud side. 2 indicates IKEv2.
            local_addrs  = 172.16.20.80       # The IP address of the first on-premises network interface card.
            remote_addrs = 47.XX.XX.151       # Specify the peer IP address of Tunnel 1 as the gateway IP address of Tunnel 1 on the Alibaba Cloud side, which is IPsec address 1.
            dpd_delay = 10
            rekey_time = 84600             # Specify the SA lifetime for Tunnel 1. It must be the same as the SA lifetime in the IKE configurations of Tunnel 1 on the Alibaba Cloud side.
            over_time = 1800               
            proposals = aes128-sha1-modp1024  # Specify the encryption algorithm, authentication algorithm, and DH group for Tunnel 1. They must be the same as those in the IKE configurations of Tunnel 1 on the Alibaba Cloud side. group2 corresponds to modp1024.
            encap = yes
      
            local {
               auth = psk                  # Set the authentication method for the on-premises side to PSK, which is the pre-shared key method.
               id = 120.XX.XX.202             # The first on-premises public egress IP address. It must be the same as the RemoteId of Tunnel 1 on the Alibaba Cloud side.
            }
            remote {
               auth = psk                  # Set the authentication method for the peer to PSK. This means Alibaba Cloud uses the pre-shared key method.
               id = 47.XX.XX.151             # IPsec address 1 on the Alibaba Cloud side. It must be the same as the LocalId of Tunnel 1 on the Alibaba Cloud side.
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    # The policy-based traffic selector for the destination-based routing mode on Alibaba Cloud is 0.0.0.0/0.
                  remote_ts = 0.0.0.0/0    # The policy-based traffic selector for the destination-based routing mode on Alibaba Cloud is 0.0.0.0/0.
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        # Specify the SA lifetime for Tunnel 1. It must be the same as the SA lifetime in the IPsec configurations of Tunnel 1 on the Alibaba Cloud side.
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024   # Specify the encryption algorithm, authentication algorithm, and DH group for Tunnel 1. They must be the same as those in the IPsec configurations of Tunnel 1 on the Alibaba Cloud side. group2 corresponds to modp1024.
      
                  if_id_out = 42           # Specify the egress and ingress interfaces for Tunnel 1 as the XFRM virtual network interface of Tunnel 1.
                  if_id_in = 42
                  #updown = /root/connect_1.sh         # Execute the /root/connect_1.sh script to configure routes based on the UP and DOWN status of Tunnel 1. This parameter is required only when you use static routing.
               }
            }
         }
        vco2 {                             # Add the VPN configuration for IPsec-VPN Tunnel 2.
            version = 2                    # Specify the IKE version. It must be the same as the IKE version of Tunnel 2 on the Alibaba Cloud side. 2 indicates IKEv2.
            local_addrs  = 172.16.21.248        # The IP address of the second on-premises network interface card.
            remote_addrs = 47.XX.XX.87       # IPsec address 2 on the Alibaba Cloud side.
            dpd_delay = 10
            rekey_time = 84600             # SA lifetime. Must match Tunnel 2 IKE configurations.
            over_time = 1800               # 
            proposals = aes128-sha1-modp1024  # group2 = modp1024. Must match Tunnel 2 IKE configurations.
            encap = yes
      
            local {
               auth = psk                  # Pre-shared key authentication.
               id = 47.XX.XX.127              # Second on-premises public egress IP. Must match RemoteId of Tunnel 2.
            }
            remote {
               auth = psk                  # Set the authentication method for the peer to PSK. This means Alibaba Cloud uses the pre-shared key method.
               id = 47.XX.XX.87             # IPsec address 2 on the Alibaba Cloud side. It must be the same as the LocalId of Tunnel 2 on the Alibaba Cloud side.
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    # The policy-based traffic selector for the destination-based routing mode on Alibaba Cloud is 0.0.0.0/0.
                  remote_ts = 0.0.0.0/0    # The policy-based traffic selector for the destination-based routing mode on Alibaba Cloud is 0.0.0.0/0.
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        # Specify the SA lifetime for Tunnel 2. It must be the same as the SA lifetime in the IPsec configurations of Tunnel 2 on the Alibaba Cloud side.
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024     # Specify the encryption algorithm, authentication algorithm, and DH group for Tunnel 2. They must be the same as those in the IPsec configurations of Tunnel 2 on the Alibaba Cloud side. group2 corresponds to modp1024.
                  if_id_out = 43           # Specify the egress and ingress interfaces for Tunnel 2 as the XFRM virtual network interface of Tunnel 2.
                  if_id_in = 43
                  #updown = /root/connect_2.sh           # Execute the /root/connect_2.sh script to configure routes based on the UP and DOWN status of Tunnel 2. This parameter is required only when you use static routing.
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            id = 47.XX.XX.151               # The public IP address of Tunnel 1 of the VPN gateway on the Alibaba Cloud side.
            secret = ChangeMe***            # Specify the pre-shared key for Tunnel 1. The key must be the same as the pre-shared key of Tunnel 1 on the Alibaba Cloud side.
         }
         ike-vco2 {
            id = 47.XX.XX.87                # The public IP address of Tunnel 2 of the VPN gateway on the Alibaba Cloud side.
            secret = ChangeMe***            # Specify the pre-shared key for Tunnel 2. The key must be the same as the pre-shared key of Tunnel 2 on the Alibaba Cloud side.
         }
      }

4. Reinicie o processo do strongSwan, recarregue a configuração do strongSwan e verifique o status do túnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Conforme mostrado abaixo, se o status após vco1 e vco2 for ESTABLISHED, a conexão IPsec-VPN entre o dispositivo strongSwan e o VPN gateway foi estabelecida com sucesso. No entanto, as redes ainda não conseguem se comunicar normalmente, sendo necessário configurar rotas.

   plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file available
   vco2: #4, ESTABLISHED, IKEv2, 2d3fbef28a433cfd_i 3f1960ea7d80a293_r*
      local  '47.___.127' @ ___[4500]
      remote '47.__ __87' @ ___
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 3424s ago, rekeying in 79868s
      vco_child2: #4, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 3424s ago, rekeying in 81353s, expires in 82976s
         in  c7f56760 (-|0x0000002b),  16396 bytes,   245 packets,   47s ago
         out 2b09776f (-|0x0000002b),   9621 bytes,   149 packets,   47s ago
         local  0.0.0.0/0
         remote 0.0.0.0/0
   vco1: #1, ESTABLISHED, IKEv2, 96ccc381f9e7693e_i* d1a7dec1832e5cb6_r
      local  '120.___.202' @ ___
      remote '47.__ ___.151' @ ___
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 3447s ago, rekeying in 79436s
      vco_child1: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 3447s ago, rekeying in 81457s, expires in 82953s
         in  c8f4286f (-|0x0000002a),  16127 bytes,   239 packets,   43s ago
         out f5bccc3d (-|0x0000002a),   9828 bytes,   152 packets,   43s ago
         local  0.0.0.0/0
   

5. Configure as rotas.

   Consulte a seção correspondente ao método de roteamento planejado.

   Roteamento dinâmico BGP

   Nota

   Após reiniciar o dispositivo strongSwan, adicione a configuração BGP novamente.

   1. Configure os endereços IP BGP nas interfaces XFRM.

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. Instale o FRR (Free Range Routing) para suporte a BGP.

      yum install -y frr

   3. Execute o comando vi /etc/frr/daemons para editar o arquivo de configuração e ativar o roteamento dinâmico BGP.

      Pressione a tecla i para entrar no modo de edição; altere o valor do parâmetro bgpd para yes para ativar o roteamento dinâmico BGP; pressione a tecla Esc para sair do modo de edição e insira :wq para salvar a configuração.

   4. Ative e inicie o FRR.

      systemctl enable frr
      systemctl restart frr

   5. Adicione a configuração BGP. Substitua os endereços IP e números AS pelos seus valores reais.

      1. Acesse a interface de configuração do FRR.

         vtysh

      2. Entre no modo de configuração.

         config terminal

      3. Adicione a configuração BGP com os seguintes comandos.

         Substitua os seguintes valores pelos seus endereços reais:

         • Substitua "169.254.10.1" e "169.254.20.1" pelos endereços IP BGP reais dos túneis no lado da Alibaba Cloud.

         • Substitua "65535" pelo número AS BGP real do VPN Gateway.

         • Substitua "172.16.20.0/24" e "172.16.21.0/24" pelos blocos CIDR reais do seu data center on-premises.

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. Execute exit para sair do modo de configuração e execute show ip bgp para visualizar as rotas BGP.

      É possível observar que o dispositivo strongSwan aprendeu com sucesso as rotas da VPC na nuvem, e o data center on-premises e a VPC na nuvem podem se comunicar normalmente.

           Network          Next Hop            Metric LocPrf    Weight Path
      *>  172.16.20.0/24   0.0.0.0                  0             32768 i
      *>  172.16.21.0/24   0.0.0.0                  0             32768 i
      *   192.168.10.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.20.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.40.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.50.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.55.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      

   Roteamento estático

   Crie dois scripts que o strongSwan chama para configurar rotas e controlar o fluxo de tráfego.

   1. Crie e edite o script /root/connect_1.sh.

      vi /root/connect_1.sh

   2. Adicione e salve o seguinte conteúdo.

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec0 metric 100
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec0 metric 100
      fi

      Este script adiciona uma rota para o tráfego do data center on-premises para a VPC da Alibaba Cloud (192.168.0.0/16) através da interface de rede virtual XFRM do Túnel 1 quando o túnel está ativo. O valor métrico desta rota é definido como 100, o que lhe confere prioridade maior do que a rota do Túnel 2. Se o Túnel 1 cair, o script revoga a rota.

   3. Crie e edite o script /root/connect_2.sh.

      vi /root/connect_2.sh

   4. Adicione e salve o seguinte conteúdo.

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec1 metric 101
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec1 metric 101
      fi

      Este script adiciona uma rota para o tráfego do data center on-premises para a VPC da Alibaba Cloud (192.168.0.0/16) através da interface de rede virtual XFRM do Túnel 2 quando o túnel está ativo. O valor métrico desta rota é definido como 101, o que lhe confere prioridade menor do que a rota do Túnel 1. Se o Túnel 2 cair, o script revoga a rota.

   5. Conceda permissões de execução aos dois scripts.

      sudo chmod +x /root/connect_1.sh
      sudo chmod +x /root/connect_2.sh

   6. Reinicie o processo do strongSwan.

      sudo systemctl restart strongswan

   7. Verifique as rotas.

      route -n

      

Saída única - Roteamento dinâmico BGP

1. Crie duas interfaces de rede virtuais para estabelecer os túneis IPsec-VPN.

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1. The interface ID is 42 and the underlying interface is the public interface eth0.
   ip link add ipsec1 type xfrm dev eth0 if_id 43 # Create an XFRM virtual network interface for Tunnel 2. The interface ID is 43 and the underlying interface is the public interface eth0.
   ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1.
   ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   Importante

   A configuração para criar uma interface de rede virtual é temporária. Após reiniciar o dispositivo strongSwan, adicione a configuração novamente e execute o comando sudo systemctl restart strongswan;swanctl --load-all (este comando requer permissões de root). Consulte o conteúdo a seguir para adicionar um script de inicialização ao dispositivo strongSwan, de modo que a interface de rede virtual seja adicionada automaticamente após a reinicialização do dispositivo.

   Clique para visualizar o Script de inicialização.

   1. Crie um arquivo de script.

      vi xfrm.sh

   2. Adicione e salve a seguinte configuração.

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1. The interface ID is 42 and the underlying interface is the public interface eth0.
      sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # Create an XFRM virtual network interface for Tunnel 2. The interface ID is 43 and the underlying interface is the public interface eth0.
      sudo ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1.
      sudo ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   3. Encontre o caminho absoluto do script.

      sudo find / -name xfrm.sh

   4. Execute o comando sudo vi /etc/rc.d/rc.local para adicionar o caminho absoluto do script ao arquivo /etc/rc.d/rc.local.

      Pressione a tecla i para entrar no modo de edição; adicione o caminho absoluto do script /root/xfrm.sh ao arquivo /etc/rc.d/rc.local; pressione a tecla Esc para sair do modo de edição e insira :wq para salvar a configuração.

   5. Conceda permissões de execução ao arquivo rc.local e ao script xfrm.sh.

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

2. Modifique o arquivo de configuração do strongSwan.

   1. Faça backup do arquivo de configuração original do strongSwan.

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. Crie um novo arquivo de configuração do strongSwan.

      vi /etc/strongswan/swanctl/swanctl.conf

   3. A configuração a seguir é semelhante ao exemplo de saída dupla. Apenas as diferenças estão anotadas. Adicione e salve a seguinte configuração.

      connections {
         vco1 {
            version = 2
            local_addrs  = 172.16.20.80    # Both tunnels use the same eth0 interface (single egress).
            remote_addrs = 47.XX.XX.151
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800               
            proposals = aes128-sha1-modp1024
            encap = yes
      
            local {
               auth = psk
               id = 120.XX.XX.202
            }
            remote {
               auth = psk
               id = 47.XX.XX.151
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0
                  remote_ts = 0.0.0.0/0
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024
      
                  if_id_out = 42
                  if_id_in = 42
               }
            }
         }
        vco2 {
            version = 2
            local_addrs  = 172.16.20.80    # Same as vco1 (single egress).
            remote_addrs = 47.XX.XX.87
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800               # 
            proposals = aes128-sha1-modp1024
            encap = yes
      
            local {
               auth = psk
               id = 120.XX.XX.202          # Same public egress IP as vco1 (single egress).
            }
            remote {
               auth = psk
               id = 47.XX.XX.87
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0
                  remote_ts = 0.0.0.0/0
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes128-sha1-modp1024
                  if_id_out = 43
                  if_id_in = 43
                
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            secret = ChangeMe***
         }
         }
         ike-vco2 {
            secret = ChangeMe***
         }
         }
      }

3. Reinicie o processo do strongSwan, recarregue a configuração do strongSwan e verifique o status do túnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Conforme mostrado na saída a seguir, se o status após vco1 e vco2 for ESTABLISHED, a conexão IPsec-VPN entre o dispositivo strongSwan e o VPN gateway foi estabelecida com sucesso. No entanto, as redes ainda não conseguem se comunicar normalmente, sendo necessário configurar rotas.

   plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file available
   vco2: #5, ESTABLISHED, IKEv2, e9cf2986f8fdcb37_i 6be3688815c6a80f_r*
      local  '120.___.202' @ 172.___[4500]
      remote '47.___.87' @ 47.___[4500]
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 1096s ago, rekeying in 82251s
      vco_child2: #5, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 1096s ago, rekeying in 83517s, expires in 85304s
         in  cbc4e224,      0 bytes,      0 packets
         out 064a42f5,      0 bytes,      0 packets
         local  172.16.0.0/16
         remote 192.168.0.0/16
   vco1: #1, ESTABLISHED, IKEv2, 387cbee015ffc74b_i* 70f63f78844ef7de_r
      local  '120.___.202' @ 172.___
      remote '47.___.151' @ 47.___[4500]
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 1128s ago, rekeying in 82830s
      vco_child1: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 1128s ago, rekeying in 83970s, expires in 85272s
         in  cd130507,      0 bytes,      0 packets
         out 6436d869,      0 bytes,      0 packets
         local  172.16.0.0/16
         remote 192.168.0.0/16
   

4. Configure o roteamento dinâmico BGP.

   Nota

   Após reiniciar o dispositivo strongSwan, adicione a configuração BGP novamente.

   1. Configure os endereços IP BGP nas interfaces XFRM.

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. Instale o FRR (Free Range Routing) para suporte a BGP.

      yum install -y frr

   3. Execute o comando vi /etc/frr/daemons para editar o arquivo de configuração e ativar o roteamento dinâmico BGP.

      Pressione a tecla i para entrar no modo de edição; altere o valor do parâmetro bgpd para yes para ativar o roteamento dinâmico BGP; pressione a tecla Esc para sair do modo de edição e insira :wq para salvar a configuração.

   4. Ative e inicie o FRR.

      systemctl enable frr
      systemctl restart frr

   5. Adicione a configuração BGP. Substitua os endereços IP e números AS pelos seus valores reais.

      1. Acesse a interface de configuração do FRR.

         vtysh

      2. Entre no modo de configuração.

         config terminal

      3. Adicione a configuração BGP com os seguintes comandos.

         Substitua os seguintes valores pelos seus endereços reais:

         • Substitua "169.254.10.1" e "169.254.20.1" pelos endereços IP BGP reais dos túneis no lado da Alibaba Cloud.

         • Substitua "65535" pelo número AS BGP real do VPN Gateway.

         • Substitua "172.16.20.0/24" e "172.16.21.0/24" pelos blocos CIDR reais do seu data center on-premises.

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. Execute exit para sair do modo de configuração e execute show ip bgp para visualizar as rotas BGP.

      É possível observar que o dispositivo strongSwan aprendeu com sucesso as rotas da VPC na nuvem, e o data center on-premises e a VPC na nuvem podem se comunicar normalmente.

           Network          Next Hop            Metric LocPrf    Weight Path
      *>  172.16.20.0/24   0.0.0.0                  0             32768 i
      *>  172.16.21.0/24   0.0.0.0                  0             32768 i
      *   192.168.10.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.20.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.40.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.50.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      *   192.168.55.0/24  169.254.20.1           200                 0 65535 i
      *>                   169.254.10.1           100                 0 65535 i
      

Saída única - Roteamento estático

1. Faça backup do arquivo de configuração original do strongSwan.

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. Crie um novo arquivo de configuração do strongSwan.

   vi /etc/strongswan/swanctl/swanctl.conf

3. Com base no plano em Example scenario, adicione e salve a seguinte configuração.

   connections {
      vco1 {
         version = 2
         local_addrs  = 172.16.20.80
         remote_addrs = 47.XX.XX.151
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800               
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local {
            auth = psk
            id = 120.XX.XX.202
         }
         remote {
            auth = psk
            id = 47.XX.XX.151
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16   # Policy-based: on-premises private CIDR block.
               remote_ts = 192.168.0.0/16  # Policy-based: VPC CIDR block.
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                # Active tunnel (higher priority).
            }
         }
      }
     vco2 {
         version = 2
         local_addrs  = 172.16.20.80
         remote_addrs = 47.XX.XX.87
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800               
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local {
            auth = psk
            id = 120.XX.XX.202
         }
         remote {
            auth = psk
            id = 47.XX.XX.87
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16   # Policy-based: on-premises private CIDR block.
               remote_ts = 192.168.0.0/16  # Policy-based: VPC CIDR block.
               mode = tunnel 
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                # Standby tunnel (lower priority).
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = 47.XX.XX.151
         secret = ChangeMe***
      }
      ike-vco2 {
         id = 47.XX.XX.87
         secret = ChangeMe***
      }
   }

4. Reinicie o processo do strongSwan, recarregue a configuração do strongSwan e verifique o status do túnel.

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Conforme mostrado na saída a seguir, se o status após vco1 e vco2 for ESTABLISHED, a conexão IPsec-VPN entre o dispositivo strongSwan e o VPN gateway foi estabelecida com sucesso, e o data center on-premises e a VPC podem se comunicar mutuamente.

   plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file available
   vco2: #5, ESTABLISHED, IKEv2, e9cf2986f8fdcb37_i 6be3688815c6a80f_r*
      local  '120.___.202' @ 172.___[4500]
      remote '47.___.87' @ 47.___[4500]
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 1096s ago, rekeying in 82251s
      vco_child2: #5, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 1096s ago, rekeying in 83517s, expires in 85304s
         in  cbc4e224,      0 bytes,      0 packets
         out 064a42f5,      0 bytes,      0 packets
         local  172.16.0.0/16
         remote 192.168.0.0/16
   vco1: #1, ESTABLISHED, IKEv2, 387cbee015ffc74b_i* 70f63f78844ef7de_r
      local  '120.___.202' @ 172.___
      remote '47.___.151' @ 47.___[4500]
      AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
      established 1128s ago, rekeying in 82830s
      vco_child1: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
         installed 1128s ago, rekeying in 83970s, expires in 85272s
         in  cd130507,      0 bytes,      0 packets
         out 6436d869,      0 bytes,      0 packets
         local  172.16.0.0/16
         remote 192.168.0.0/16