VPN Gateway:Enhanced VPN Gateway Quick Start

Cenário

Uma empresa possui uma VPC na região Malásia (Kuala Lumpur) e precisa conectá-la a um IDC local usando um Enhanced VPN Gateway e o strongSwan.

Neste cenário, o IDC local possui um único endereço IP de saída público e usa uma conexão IPsec de túnel duplo para se conectar ao gateway VPN:

Etapa 1: Criar um Enhanced VPN Gateway

1. Acesse a página VPN Gateway. Na barra de navegação superior, selecione a região Malaysia (Kuala Lumpur).

2. Na aba Enhanced IPsec-VPN, clique em Create Enhanced IPsec-VPN.

   Importante

   O Enhanced VPN Gateway está em beta apenas por convite. Se a aba Enhanced IPsec-VPN não aparecer, entre em contato com o gerente de conta da Alibaba Cloud para ativar o serviço.

   • Region: Selecione a região onde sua VPC está localizada. Neste tópico, selecione Malaysia (Kuala Lumpur).

   • VPC: Selecione a VPC de destino para conexão.

   • vSwitch 1: Selecione o vSwitch na zona de disponibilidade A.

   • vSwitch 2: Selecione o vSwitch na zona de disponibilidade B. Este vSwitch deve estar em uma zona de disponibilidade diferente do vSwitch 1 para garantir alta disponibilidade entre zonas. Caso nenhum vSwitch esteja disponível, crie um antes de prosseguir.

     O sistema cria uma interface de rede elástica (ENI) em cada vSwitch. Essas ENIs atuam como interfaces para o tráfego entre a conexão IPsec e a VPC. Cada ENI consome um endereço IP do respectivo vSwitch.

Etapa 2: Criar um customer gateway

Um customer gateway é um objeto na Alibaba Cloud que registra o endereço IP público do dispositivo de gateway local. Como neste cenário o IDC local possui apenas um endereço IP de saída público, crie somente um customer gateway.

1. No painel de navegação à esquerda do console VPN Gateway, clique em Customer Gateways.

2. Clique em Create Customer Gateway e configure os parâmetros.

   • Name: Insira um nome para o customer gateway, por exemplo, cgw-idc-kl.

   • IP Address: Insira o IP de saída público do IDC local (XX.XX.3.3).

Etapa 3: Criar uma conexão IPsec

1. No painel de navegação à esquerda, clique em IPsec ConnectionsIPsec Connections e, em seguida, clique em IPsec Connections.

2. Configure os parâmetros básicos da conexão IPsec.

   • Bind VPN Gateway: Insira um nome significativo para o recurso, como ipsec-demo.

   • Name: Selecione Region.

   • Malaysia (Kuala Lumpur): Selecione Gateway Type.

   • Enhanced IPsec-VPN: O valor é definido automaticamente como Billing. Para mais informações, consulte Tráfego de Rede Pública CDT.

   • Pay-by-CDT: Selecione o Enhanced VPN Gateway criado na Etapa 1.

   • Bind VPN Gateway: Selecione Routing Mode. Neste modo, defina os segmentos de rede em ambas as extremidades. O sistema transmite automaticamente o tráfego correspondente pelo túnel e gera as rotas.

   • Protected Data Flows: Insira o bloco CIDR da VPC 10.0.0.0/16.

   • Local Network: Insira o bloco CIDR do data center 172.16.0.0/16.

   • Remote Network: Ao selecionar Effective Immediately, a Alibaba Cloud inicia proativamente a negociação com o par. Isso permite estabelecer a conexão rapidamente após a configuração do dispositivo remoto.

   • Yes: Para este cenário, mantenha esta opção desativada.

   • Configure os parâmetros do túnel.

     O Enhanced VPN Gateway suporta negociação de múltiplos algoritmos; portanto, use as configurações de criptografia padrão.

     • Enable BGP:

       • Tunnel 1 (Primary): Selecione o customer gateway criado na Etapa 2.

       • Customer Gateway: Esta chave é usada para autenticação durante a negociação IPsec. As chaves pré-compartilhadas em ambas as extremidades do túnel devem ser idênticas; caso contrário, o túnel não será estabelecido. Use uma chave forte contendo letras maiúsculas, minúsculas, dígitos e caracteres especiais.

     • Tunnel 2 (Secondary):

       • Pre-Shared Key: Selecione o mesmo customer gateway usado no túnel primário, pois o IDC local neste cenário possui apenas um endereço IP de saída público.

       • Customer Gateway: Neste tópico, use a mesma chave do túnel primário.

     Importante

     O Enhanced VPN Gateway habilita a negociação de múltiplos algoritmos por padrão. Vários algoritmos comuns vêm pré-selecionados na configuração de criptografia. O sistema negocia automaticamente com o dispositivo de gateway local para encontrar um algoritmo suportado. Caso precise especificar manualmente um algoritmo, expanda a seção Pre-Shared Key para modificar as configurações.

   • Após clicar em Encryption Configuration, uma caixa de diálogo solicitará a publicação da rota. Clique em OK por enquanto.

     A inicialização do recurso de conexão IPsec leva cerca de 5 minutos. Durante esse período, o Cancel permanece como Status , e não é possível configurar rotas. Configure primeiro o dispositivo strongSwan na Etapa 4 e conclua a configuração de rotas na Etapa 5.

   • Anote os endereços IP públicos dos dois túneis em nuvem. Eles serão necessários para configurar o strongSwan.

     1. Retorne à página IPsec ConnectionsIPsec-VPN connection e localize a conexão IPsec recém-criada.

     2. Na coluna Preparing, anote o IPsec Address 1 e o IPsec Address 2. Este tópico usa XX.XX.1.1 e XX.XX.2.2 como exemplos.

   Etapa 4: Configurar o strongSwan

   Importante

   As informações sobre produtos de terceiros neste tópico servem apenas como referência. A Alibaba Cloud não faz promessas, expressas ou implícitas, sobre o desempenho ou a confiabilidade de produtos de terceiros, nem é responsável por quaisquer impactos decorrentes de sua operação.

   O exemplo a seguir mostra como configurar o strongSwan em um sistema operacional 64-bit CentOS Stream 9. Para outros sistemas operacionais, consulte a documentação oficial do strongSwan.

   1. Configurar regras de firewall

   No dispositivo strongSwan, permita o protocolo ESP (número de protocolo IP 50), a porta UDP 500 e a porta UDP 4500 para permitir o acesso proveniente dos dois endereços IPsec na nuvem.

   Os comandos abaixo usam iptables como exemplo. Modifique-os conforme a ferramenta de firewall utilizada.

   iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
   iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
   iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

   2. Ative o encaminhamento de IP

   echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
   sudo sysctl -p

   3. Instale o strongSwan

   dnf install epel-release -y
   dnf install strongswan -y

   4. Configure o strongSwan

   1. Faça backup do arquivo de configuração original:

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. Crie um novo arquivo de configuração:

      vi /etc/strongswan/swanctl/swanctl.conf

   3. Adicione a seguinte configuração e salve o arquivo. Substitua os valores de espaço reservado pelos seus valores reais.

      # strongSwan dual-tunnel IPsec-VPN configuration for: Alibaba Cloud Enhanced VPN Gateway + single on-premises public egress IP + policy-based mode
      #
      # NOTE: Only modify parameters marked with "MODIFY". Keep the rest as default.
      # Algorithm details: aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
      # High availability: vco1 (priority=1) is the primary tunnel, and vco2 (priority=2) is the secondary tunnel. Failover is automatic.
      connections {
         # === Tunnel 1 (Primary) ===
         vco1 {
            version = 2
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800
            proposals = aes256gcm16-sha256-modp2048
            encap = yes
            local_addrs  = 172.16.0.1                # MODIFY: The private IP address of the strongSwan server's network interface. If the server is behind a NAT device, enter its private IP address. If the server's network interface is directly assigned the public IP address, enter the public IP address.
            local {
               auth = psk
               id = XX.XX.3.3                        # MODIFY: The public egress IP address of your on-premises gateway.
            }
            remote_addrs = XX.XX.1.1                 # MODIFY: The public IP address of Alibaba Cloud Tunnel 1.
            remote {
               auth = psk
               id = XX.XX.1.1                        # MODIFY: The public IP address of Alibaba Cloud Tunnel 1. Must match remote_addrs.
            }
            children {
               vco_child1 {
                  local_ts  = 172.16.0.0/16          # MODIFY: The CIDR block of your on-premises network (interesting traffic).
                  remote_ts = 10.0.0.0/16            # MODIFY: The CIDR block of your VPC (interesting traffic).
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes256gcm16-sha256-modp2048
                  priority = 1                       # Specifies the primary tunnel. We recommend that you do not modify this parameter.
               }
            }
         }
         # === Tunnel 2 (Secondary) ===
         vco2 {
            version = 2
            dpd_delay = 10
            rekey_time = 84600
            over_time = 1800
            proposals = aes256gcm16-sha256-modp2048
            encap = yes
            local_addrs  = 172.16.0.1                # MODIFY: The IP address of the strongSwan server's network interface. Must be the same as local_addrs for Tunnel 1.
            local {
               auth = psk
               id = XX.XX.3.3                        # MODIFY: The public egress IP address of your on-premises gateway. Must be the same as id for Tunnel 1.
            }
            remote_addrs = XX.XX.2.2                 # MODIFY: The public IP address of Alibaba Cloud Tunnel 2.
            remote {
               auth = psk
               id = XX.XX.2.2                        # MODIFY: The public IP address of Alibaba Cloud Tunnel 2. Must match remote_addrs.
            }
            children {
               vco_child2 {
                  local_ts  = 172.16.0.0/16          # MODIFY: The CIDR block of your on-premises network. Must be the same as local_ts for Tunnel 1.
                  remote_ts = 10.0.0.0/16            # MODIFY: The CIDR block of your VPC. Must be the same as remote_ts for Tunnel 1.
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes256gcm16-sha256-modp2048
                  priority = 2                       # Specifies the secondary tunnel. We recommend that you do not modify this parameter.
               }
            }
         }
      }
      secrets {
         ike-vco1 {
            id = XX.XX.1.1                           # MODIFY: The public IP address of Alibaba Cloud Tunnel 1.
            secret = your-psk-here                   # MODIFY: The pre-shared key for Tunnel 1. Must match the key configured in the Alibaba Cloud console.
         }
         ike-vco2 {
            id = XX.XX.2.2                           # MODIFY: The public IP address of Alibaba Cloud Tunnel 2.
            secret = your-psk-here                   # MODIFY: The pre-shared key for Tunnel 2. Must match the key configured in the Alibaba Cloud console.
         }
      }

   5. Iniciar o strongSwan e verifique o status do túnel

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   Se ambos os túneis exibirem ESTABLISHED e o CHILD_SA estiver no estado INSTALLED, isso indica que uma conexão IPsec-VPN foi estabelecida com sucesso entre o dispositivo strongSwan e o VPN Gateway da Alibaba Cloud.

   Every 2.0s: swanctl --list-sas    iZ8psgynxxx: Fri Mar 13 14:53:47 2026
   plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file
   available
   vco1: #11, ESTABLISHED, IKEv2, fbf8cda98d1d4f45_i c8a12ae19f8303d8_r*
      local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
      remote 'XX.XX.1.1x.58' @ XX.XX.1.1x.58[4500]
      AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
      established 1534s ago, rekeying in 81327s
      vco_child1: #10, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
         installed 10638s ago, rekeying in 73995s, expires in 75762s
         in  c31a70fc, 892248 bytes, 10622 packets,    1s ago
         out c53ef972, 892332 bytes, 10623 packets,    1s ago
         local  172.16.0.0/16
         remote 10.0.0.0/16
   vco2: #10, ESTABLISHED, IKEv2, 9b259bb527d43acf_i f53df17098e08519_r*
      local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
      remote 'XX.XX.2.2x.121' @ XX.XX.2.2x.121[4500]
      AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
      established 3270s ago, rekeying in 81252s
      vco_child2: #9, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
         installed 12865s ago, rekeying in 71956s, expires in 73535s
         in  c11c544e,      0 bytes,     0 packets,    7s ago
         out c7acef03,      0 bytes,     0 packets,   14s ago
         local  172.16.0.0/16
         remote 10.0.0.0/16

   Etapa 5: Configure rotas na nuvem

   Como este tópico usa o modo baseado em políticas, o sistema adiciona automaticamente uma entrada de rota à IPsec-VPN connection do Enhanced VPN Gateway.

   Publique essa rota na tabela de rotas da VPC. A publicação direciona o tráfego das instâncias ECS na VPC para a rede do IDC local através do gateway VPN.

   1. Clique no ID da instância do Enhanced VPN Gateway criado para abrir sua página de detalhes.

   2. Acesse a aba Gateway IP Address. Localize a entrada de rota de destino gerada automaticamente pelo sistema (rede de destino 172.16.0.0/16, próximo salto é a conexão IPsec).

   3. Na coluna Destination-based Route Table da entrada de rota desejada, clique em Destination-based Route Table para publicar a rota na tabela de rotas da VPC.

      Após publicar a rota, uma nova entrada é adicionada à tabela de rotas da VPC com a rede de destino 172.16.0.0/16 e o próximo salto definido como o gateway VPN. O tráfego das instâncias ECS na VPC destinado à rede do IDC local é roteado automaticamente pelo túnel VPN.

   Verifique a conexão

   Verifique a conectividade

   1. Certifique-se de que as regras do grupo de segurança da sua instância ECS permitem tráfego ICMP. Em seguida, faça login no dispositivo strongSwan e execute ping para o endereço IP privado da instância ECS na nuvem.

      ping 10.0.0.1

      Pacotes de resposta confirmam que a comunicação foi estabelecida entre o IDC local e a VPC na nuvem.

   2. Verifique se o firewall local permite tráfego ICMP. Depois, faça login na instância ECS na VPC (10.0.0.1) e execute ping para o endereço IP privado do dispositivo strongSwan.

      ping 172.16.0.1

      Se receber pacotes de resposta, a conexão reversa também está estabelecida.

   Verifique a alta disponibilidade

   1. A partir da instância ECS, execute um ping contínuo para o servidor local:

      ping 172.16.0.1 -c 10000

   2. Interrompa o túnel primário. No console da Alibaba Cloud, modifique a chave pré-compartilhada do túnel primário para criar uma incompatibilidade de chaves. Isso causará a falha do túnel primário.

   3. Observe os resultados do ping. Após uma breve interrupção, a comunicação é retomada. Isso indica que o tráfego passou automaticamente para o túnel secundário (failover).

   4. Restaure o túnel primário. Altere a chave pré-compartilhada do túnel primário de volta para o valor correto. Após a restauração, o tráfego retorna automaticamente ao túnel primário (failback).

   Solução de problemas

   Problemas comuns e soluções:

   Sintoma	Possível Causa	Solução
   Falha na negociação do túnel.	Falha de conectividade de rede	Verifique se o dispositivo strongSwan consegue executar ping para os endereços IPsec da Alibaba Cloud. Confirme se o firewall do IDC local permite tráfego UDP nas portas 500 e 4500.
   	Incompatibilidade de chave pré-compartilhada	Verifique se as chaves pré-compartilhadas são idênticas em ambas as extremidades, incluindo maiúsculas, minúsculas e caracteres especiais.
   	Incompatibilidade de parâmetros IKE	Confira se a versão IKE, algoritmo de criptografia, algoritmo de autenticação, grupo DH e outros parâmetros correspondem em ambas as extremidades.
   O túnel está estabelecido, mas os pings falham.	Rotas não configuradas.	Verifique se você publicou a rota de destino do gateway VPN para a tabela de rotas da VPC.
   	Restrições de grupo de segurança	Verifique se o grupo de segurança da ECS permite tráfego ICMP proveniente da rede do IDC local (172.16.0.0/16).
   	Restrições de firewall local	Verifique se o firewall local permite tráfego proveniente da rede da VPC (10.0.0.0/16).
   	Rota ausente no lado do strongSwan	Confirme se o encaminhamento de IP está habilitado no dispositivo strongSwan e se outros servidores no seu IDC utilizam o dispositivo strongSwan como próximo salto para o tráfego destinado à rede da VPC.

   Para mais informações, consulte Solucionar problemas de conexões IPsec.