Todos os produtos
Search

Este produto

    VPN Gateway:Standard VPN Gateway quick start

    Central de documentação

    VPN Gateway:Standard VPN Gateway quick start

    Última atualização: Jul 24, 2026

    Conecte seu Internet Data Center (IDC) local a uma Virtual Private Cloud (VPC) da Alibaba Cloud usando um Traditional VPN Gateway e o software open source strongSwan.

    Cenário

    Uma empresa criou uma VPC na região China (Hangzhou) e deseja usar um Traditional VPN Gateway com strongSwan para estabelecer conectividade de rede entre a VPC na nuvem e o IDC local.

    Neste cenário, o IDC possui apenas um IP de saída público e estabelece uma conexão IPsec de túnel duplo com o VPN Gateway da Alibaba Cloud:

    image

    Plano de recursos

    • Nuvem: VPC com bloco CIDR 10.0.0.0/16 na região China (Hangzhou)

      • vSwitch 1: Zona de disponibilidade I, bloco CIDR 10.0.0.0/24

      • vSwitch 2: Zona de disponibilidade J, bloco CIDR 10.0.1.0/24

      • Instância ECS: localizada no vSwitch 1, endereço IP 10.0.0.1

      • VPN Gateway: após a criação, o sistema atribui automaticamente dois endereços IP públicos:

        • Endereço IPsec 1 (túnel ativo): [[0]]

        • Endereço IPsec 2 (túnel em espera): [[0]]

    • Local: Bloco CIDR do IDC local 172.16.0.0/16

      • Dispositivo strongSwan: IP privado 172.16.0.1

      • IP de saída público: XX.XX.3.3

    • Configuração de criptografia: Configurações padrão do console — AES-128 / SHA-1 / Grupo DH 2 (notação strongSwan). Os algoritmos de criptografia e autenticação, além do grupo DH, devem ser idênticos em ambas as extremidades.

    • Roteamento: Use roteamento baseado em destino. Esse modo define qual tráfego flui pelo túnel VPN. Basta especificar os blocos CIDR nas duas extremidades; o sistema tratará o tráfego correspondente como "tráfego interessante", roteando-o automaticamente pelo túnel e gerando a rota adequada.

    Importante

    Este tutorial aborda apenas o cenário de IP de saída público único com roteamento estático. Para cenários com dois IPs de saída públicos ou roteamento dinâmico BGP, consulte strongSwan configuration.

    Pré-requisitos

    • Os blocos CIDR da VPC e do IDC local não devem se sobrepor.

    • Crie uma VPC conforme descrito no plano de recursos, com um vSwitch em cada uma das duas zonas de disponibilidade distintas. Implante pelo menos uma instância ECS na VPC para validar a conectividade.

    • Implante um servidor Linux no IDC local (este tutorial usa CentOS Stream 9) com um IP de saída público. Você instalará o strongSwan neste servidor para atuar como gateway local.

    Etapa 1: Criar um Traditional VPN Gateway

    1. Acesse a página do console VPN Gateway page e clique em Create VPN Gateway para configurar os seguintes parâmetros principais:

      • Instance Name: Insira um nome significativo para a instância, como vpn-gw-docdev.

      • Region and Availability Zone: Selecione a região onde a VPC está localizada. Este tutorial utiliza China (Hangzhou).

      • Gateway Type: Selecione Standard.

      • Network Type: Selecione Public.

      • VPC: Selecione a VPC à qual deseja se conectar.

      • vSwitch 1: Selecione um vSwitch na Zona de Disponibilidade I.

      • vSwitch 2: Selecione um vSwitch na Zona de Disponibilidade J. Ele deve estar em uma zona diferente do vSwitch 1 para garantir alta disponibilidade entre zonas. Caso não haja vSwitch disponível, crie um antes de prosseguir.

      • Bandwidth: Selecione a largura de banda conforme a necessidade do seu negócio. Este tutorial usa o valor padrão.

      • IPsec-VPN: Enable.

      • SSL-VPN: Close.

      • Billing Cycle: Mantenha o valor padrão.

      • Create Service-Linked Role: Certifique-se de criar uma função vinculada ao service. O VPN Gateway usa essa função para acessar recursos em outros produtos da cloud.

    2. Clique em Buy Now e conclua o pagamento. A inicialização da instância do VPN Gateway leva de 1 a 5 minutos. O sistema atribuirá dois endereços IP públicos ao VPN Gateway para os túneis ativo e em espera.

    Etapa 2: Criar um customer gateway

    O customer gateway registra o endereço IP público do seu dispositivo de gateway local na Alibaba Cloud. Como o IDC neste cenário possui apenas um IP de saída público, crie somente um customer gateway.

    1. No painel de navegação à esquerda do console do VPN Gateway, clique em Customer Gateways.

    2. Configure os seguintes parâmetros:Create Customer Gateway

      • Name: Insira um nome para o customer gateway, como cgw-idc-docdev.

      • IP Address: Insira o IP de saída público do IDC local (XX.XX.3.3).

    Etapa 3: Criar uma conexão IPsec

    1. No painel de navegação à esquerda do console do VPN Gateway, clique em IPsec Connections.Bind VPN Gateway

    2. Configure os parâmetros básicos da conexão IPsec:

      • Name: Insira um nome significativo para o recurso, como ipsec-docdev.

      • Region: Selecione China (Hangzhou).

      • Bind VPN Gateway: Selecione o VPN Gateway criado na Etapa 1.

      • Routing Mode: Selecione Destination Routing Mode. Nesse modo, você define os blocos CIDR nas duas extremidades; o sistema roteia automaticamente o tráfego correspondente pelo túnel e gera a rota adequada.

      • Local Network: Insira o bloco CIDR da VPC 10.0.0.0/16.

      • Remote Network: Insira o bloco CIDR do IDC 172.16.0.0/16.

      • Effective Immediately: Selecione Yes. A Alibaba Cloud inicia a negociação com o par, permitindo estabelecer a conexão rapidamente após a configuração do dispositivo remoto.

      • Enable BGP: Não ativado neste tutorial.

    3. Configure os parâmetros do túnel:

      • Tunnel 1 (Primary):

        • Customer Gateway: Selecione o customer gateway criado na Etapa 2.

        • Pre-Shared Key: Chave pré-compartilhada usada para autenticação de identidade durante a negociação do túnel IPsec. A chave deve ser idêntica nas extremidades local e remota; caso contrário, o túnel não será estabelecido. Utilize uma senha forte contendo letras maiúsculas, minúsculas, dígitos e caracteres especiais.

        • Encryption Configuration: Mantenha os valores padrão. Este tutorial utiliza o algoritmo de criptografia padrão (AES128), algoritmo de autenticação (SHA1) e grupo DH (group2).

      • Tunnel 1 (Backup):

        • Customer Gateway: Selecione o mesmo customer gateway do túnel ativo (o IDC neste cenário possui apenas um IP de saída público).

        • Pre-Shared Key: Este tutorial utiliza a mesma chave do túnel ativo.

        • Encryption Configuration: Mantenha a mesma configuração do túnel ativo. Utilize os valores padrão.

    4. Após clicar em OK, o sistema perguntará se deseja publicar a rota. Clique em Cancel por enquanto.

      A inicialização do recurso de conexão IPsec leva cerca de 5 minutos (status: Preparing ), período em que não é possível configurar rotas. Prossiga para a Etapa 4 para configurar o strongSwan primeiro. A configuração de rotas será concluída na Etapa 5.

    5. Anote os IPs públicos dos dois túneis do lado da cloud. Eles serão necessários na configuração do strongSwan:

      • Retorne à página de lista de IPsec-VPN connection e localize a conexão IPsec recém-criada.

      • Na coluna Gateway IP Address, anote o Endereço IPsec 1 e o Endereço IPsec 2. Este tutorial usa XX.XX.1.1 e XX.XX.2.2 como exemplos.

    Etapa 4: Configurar o strongSwan

    Importante

    As informações a seguir sobre produtos de terceiros servem apenas como referência. A Alibaba Cloud não oferece garantias, expressas ou implícitas, quanto ao desempenho ou confiabilidade de produtos de terceiros, nem sobre qualquer impacto decorrente de operações realizadas neles.

    O exemplo abaixo utiliza o sistema operacional CentOS Stream 9 de 64 bits para configurar o strongSwan. Para outros sistemas operacionais, consulte official strongSwan documentation.

    1. Configurar regras de firewall

    No dispositivo strongSwan, permita o protocolo ESP (número de protocolo IP 50), a porta UDP 500 e a porta UDP 4500 para permitir o acesso aos dois endereços IPsec da cloud.

    O exemplo a seguir usa iptables. Ajuste os comandos conforme a ferramenta de firewall utilizada:

    iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

    2. Habilitar o encaminhamento de IP

    echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

    3. Instalar o strongSwan

    dnf install epel-release -y
dnf install strongswan -y

    Etapa 4: Configurar o strongSwan

    1. Faça backup do arquivo de configuração original: mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

    2. Crie um novo arquivo de configuração: vi /etc/strongswan/swanctl/swanctl.conf

    3. Adicione e salve a configuração abaixo. Substitua os endereços IP e a chave pré-compartilhada do exemplo pelos seus valores reais:

      # strongSwan dual-tunnel IPsec-VPN configuration for: Alibaba Cloud Traditional VPN Gateway + on-premises single public egress IP + destination-based routing (traffic selector)
#
# Only parameters marked with "(Modify)" need to be changed for your environment. Keep all other parameters as default.
# Algorithm note: aes128-sha1-modp1024 = AES-128 / SHA-1 / DH Group 2 (console default)
# Active/standby logic: vco1 (priority=1) is the active tunnel, and vco2 (priority=2) is the standby tunnel. Failover is automatic when the active tunnel fails.

connections {

   # === Tunnel 1 (Active) ===
   vco1 {
      version = 2
      dpd_delay = 10
      rekey_time = 84600
      over_time = 1800
      proposals = aes128-sha1-modp1024
      encap = yes

      local_addrs  = 172.16.0.1                # (Modify) Private IP of the strongSwan NIC. In a NAT environment, use the private IP. If the NIC is bound to the public IP, use the public IP.
      local {
         auth = psk
         id = XX.XX.3.3                        # (Modify) On-premises public egress IP
      }

      remote_addrs = XX.XX.1.1                 # (Modify) Public IP of Tunnel 1 on Alibaba Cloud
      remote {
         auth = psk
         id = XX.XX.1.1                        # (Modify) Public IP of Tunnel 1 on Alibaba Cloud. Must match remote_addrs above.
      }

      children {
         vco_child1 {
            local_ts  = 172.16.0.0/16          # (Modify) On-premises traffic selector CIDR block
            remote_ts = 10.0.0.0/16            # (Modify) Alibaba Cloud traffic selector CIDR block
            mode = tunnel
            rekey_time = 85500
            life_time = 86400
            dpd_action = restart
            start_action = start
            close_action = start
            esp_proposals = aes128-sha1-modp1024
            priority = 1                       # Specifies the active tunnel. Do not modify.
         }
      }
   }

   # === Tunnel 2 (Standby) ===
   vco2 {
      version = 2
      dpd_delay = 10
      rekey_time = 84600
      over_time = 1800
      proposals = aes128-sha1-modp1024
      encap = yes

      local_addrs  = 172.16.0.1                # (Modify) Private IP of the strongSwan NIC. Same as local_addrs of Tunnel 1.
      local {
         auth = psk
         id = XX.XX.3.3                        # (Modify) On-premises public egress IP. Same as Tunnel 1.
      }

      remote_addrs = XX.XX.2.2                 # (Modify) Public IP of Tunnel 2 on Alibaba Cloud
      remote {
         auth = psk
         id = XX.XX.2.2                        # (Modify) Public IP of Tunnel 2 on Alibaba Cloud. Must match remote_addrs above.
      }

      children {
         vco_child2 {
            local_ts  = 172.16.0.0/16          # (Modify) On-premises traffic selector CIDR block. Same as local_ts of Tunnel 1.
            remote_ts = 10.0.0.0/16            # (Modify) Alibaba Cloud traffic selector CIDR block. Same as remote_ts of Tunnel 1.
            mode = tunnel
            rekey_time = 85500
            life_time = 86400
            dpd_action = restart
            start_action = start
            close_action = start
            esp_proposals = aes128-sha1-modp1024
            priority = 2                       # Specifies the standby tunnel. Do not modify.
         }
      }
   }
}

secrets {
   ike-vco1 {
      id = XX.XX.1.1                           # (Modify) Public IP of Tunnel 1 on Alibaba Cloud
      secret = your-psk-here                   # (Modify) Pre-shared key for Tunnel 1. Must match the key on the Alibaba Cloud side.
   }
   ike-vco2 {
      id = XX.XX.2.2                           # (Modify) Public IP of Tunnel 2 on Alibaba Cloud
      secret = your-psk-here                   # (Modify) Pre-shared key for Tunnel 2. Must match the key on the Alibaba Cloud side.
   }
}

    5. Iniciar o strongSwan e verificar o status do túnel

    sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

    Se ambos os túneis exibirem ESTABLISHED e CHILD_SA estiver no estado INSTALLED, a conexão IPsec-VPN entre o dispositivo strongSwan e o VPN Gateway da Alibaba Cloud foi estabelecida com sucesso.

    Etapa 5: Publicar rotas da cloud

    Como este tutorial utiliza roteamento baseado em destino, o sistema gera automaticamente uma entrada de rota na Policy-based Route Table do VPN Gateway.

    Publique essa rota na tabela de rotas da VPC com um único clique para direcionar o tráfego das instâncias ECS na VPC destinado ao bloco CIDR do IDC para o VPN Gateway:

    1. Retorne à página de lista do VPN Gateway e clique no ID da instância criada na Etapa 1 para abrir a página de detalhes.

    2. Clique na aba Policy-based Route Table. Você verá a entrada de rota de destino gerada automaticamente pelo sistema após a conexão IPsec usar o roteamento baseado em destino (bloco CIDR de destino 172.16.0.0/16, próximo salto é a conexão IPsec).

    3. Na coluna Actions da entrada de rota desejada, clique em Advertise para publicar a rota na tabela de rotas da VPC.

      Após a publicação, uma nova entrada de rota é adicionada à tabela de rotas da VPC: bloco CIDR de destino 172.16.0.0/16, tendo o VPN Gateway como próximo salto. O tráfego das instâncias ECS na VPC para o bloco CIDR do IDC passa a ser transmitido automaticamente pelo túnel VPN.

    Verificar

    Verificar a conectividade

    1. Certifique-se de que as regras do grupo de segurança da ECS allows inbound ICMP traffic estejam corretas. Em seguida, faça login no dispositivo strongSwan e execute o seguinte comando para enviar ping à ECS do lado da cloud:

      ping 10.0.0.1

      Se você receber pacotes de resposta, a VPC e o IDC local conseguem se comunicar.

    2. Garanta que o firewall local permita tráfego ICMP de entrada. Depois, faça login na instância ECS ([[0]]) e envie ping para o dispositivo strongSwan:

      ping 172.16.0.1

      Se houver pacotes de resposta, a conectividade reversa também está normal.

    Verificar a alta disponibilidade

    1. Inicie um ping contínuo da instância ECS para o servidor local:

      ping 172.16.0.1 -c 10000

    2. Interrompa o túnel ativo: no console da Alibaba Cloud, altere a chave pré-compartilhada do túnel ativo para gerar uma incompatibilidade.

    3. Observe os resultados do ping: o tráfego é retomado após uma breve interrupção, indicando alternância automática para o túnel em espera.

    4. Restaure o túnel ativo: reverta a chave pré-compartilhada para o valor correto. O tráfego retornará ao túnel ativo após sua recuperação.

    Solução de problemas

    Problemas comuns e respectivas soluções:

    Sintoma

    Possível causa

    Solução

    O console exibe Negotiation Failed

    Problema de conectividade de rede

    Verifique se o dispositivo strongSwan consegue enviar ping para os endereços IPsec da Alibaba Cloud. Confirme se o firewall do IDC local permite as portas UDP 500 e 4500.

    Incompatibilidade de chave pré-compartilhada

    Confira se as chaves pré-compartilhadas em ambas as extremidades são idênticas, incluindo maiúsculas, minúsculas e caracteres especiais.

    Incompatibilidade de parâmetros IKE

    Verifique se a versão IKE, algoritmo de criptografia, algoritmo de autenticação e grupo DH correspondem em ambos os lados. Traditional VPN Gateways não suportam múltiplos conjuntos de algoritmos — os parâmetros devem ser idênticos nas duas pontas.

    Túnel estabelecido, mas ping falha

    Rota não publicada

    Verifique se a rota de destino do VPN Gateway foi publicada na tabela de rotas da VPC.

    Restrição de grupo de segurança

    Confira se o grupo de segurança da ECS permite tráfego ICMP proveniente do bloco CIDR do IDC (172.16.0.0/16).

    Restrição de firewall local

    Verifique se o firewall do IDC local permite tráfego originado do bloco CIDR da VPC (10.0.0.0/16).

    Rota ausente no dispositivo strongSwan

    Confirme se o encaminhamento de IP está habilitado no dispositivo strongSwan e se outros servidores no IDC possuem uma rota para o bloco CIDR da VPC tendo o dispositivo strongSwan como próximo salto.