Atualmente, apenas as seguintes regiões suportam o Enhanced VPN Gateway: China (Beijing), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Chengdu), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), US (Silicon Valley), US (Virginia), Germany (Frankfurt), UK (London).
O VPN Gateway está disponível em dois tipos — aprimorado e padrão — que diferem em largura de banda, IP público, algoritmos de criptografia e faturamento.
Seleção rápida
Escolha o tipo aprimorado quando:
Para uso pela primeira vez, recomendamos selecionar o tipo aprimorado, pois é mais fácil de configurar (suporta vários algoritmos para compatibilidade).
Você precisa de maior largura de banda por conexão do que um gateway padrão oferece.
São necessárias as criptografias AES128-GCM-16 e AES256-GCM-16, ou grupos DH de 15 a 24.
Há necessidade de mais seletores de tráfego (até 10).
Opte pelo tipo padrão quando:
Conexões SSL-VPN (cliente para site) forem necessárias.
Comparação detalhada
Item | Enhanced VPN gateway | Standard VPN gateway |
Largura de banda | A instância do gateway não possui especificação de largura de banda. Cada conexão IPsec conta com uma largura de banda dedicada de 1 Gbps, independente das demais conexões. | As instâncias de gateway possuem uma especificação de largura de banda: até 1.000 Mbps (500 Mbps em algumas regiões). Todas as conexões IPsec na instância compartilham essa largura de banda. |
IP público da cloud | Cada túnel recebe um endereço IP público dedicado, não compartilhado com outros túneis. | Todos os túneis IPsec em uma instância de gateway compartilham o endereço IP público do gateway. |
Uso de IP privado | Consome um IP privado de cada um dos dois vSwitches associados (para ENIs). Total: dois IPs privados. | Consome um endereço IP privado de cada um dos dois vSwitches associados (para ENIs). Total: dois IPs privados. |
Número de seletores de tráfego | 10 | 5 |
Compatibilidade com múltiplos algoritmos | Suportado. Configure vários algoritmos de criptografia para simplificar as conexões com dispositivos de terceiros. | Não suportado. É necessário especificar uma única combinação de algoritmos que corresponda exatamente ao dispositivo par. |
Algoritmo de criptografia | Criptografia: Adiciona suporte para AES128-GCM-16 e AES256-GCM-16. Grupo DH: Adiciona suporte para grupos de 15 a 24 (10 grupos no total). | Criptografia: AES-128, AES-192, AES-256, 3DES e DES. Grupo DH: Apenas grupos 1, 2, 5 e 14. |
SSL-VPN | Não suportado | Suportado |
Rota baseada em política | Não suportado | Suportado, até 20 rotas. |
Entradas de rota BGP | 200 | 50 (pode ser aumentado para 200 mediante solicitação). |
Faturamento | Cobrado por: Conexão IPsec Itens faturáveis: {{XREF_0}}{{XREF_1}} | Cobrado por: VPN gateway Itens faturáveis: {{XREF_3}} |
Diagramas de arquitetura
Enhanced VPN gateway:
Standard VPN gateway:
Largura de banda
Aprimorado: Largura de banda dedicada para cada conexão
Um enhanced VPN gateway não possui atributo de largura de banda configurável. Cada conexão IPsec obtém uma largura de banda dedicada de 1 Gbps, independente das outras conexões.
Por exemplo, duas conexões IPsec em um gateway aprimorado possuem, cada uma, largura de banda dedicada de 1 Gbps. O tráfego em uma conexão não afeta a outra.
Cada túnel tem 1 Gbps de largura de banda. Como uma conexão IPsec utiliza dois túneis em modo ativo-standby, apenas o túnel ativo transporta tráfego; portanto, a largura de banda efetiva por conexão é de 1 Gbps.
Padrão: Largura de banda compartilhada para todas as conexões
Um standard VPN gateway possui um atributo de largura de banda configurável (200 Mbps, 500 Mbps ou 1.000 Mbps). Todas as conexões IPsec no gateway compartilham essa largura de banda.
Por exemplo, com um gateway de 200 Mbps e duas conexões IPsec, ambas compartilham os 200 Mbps. Um tráfego intenso em uma conexão reduz a largura de banda disponível para a outra.
Endereços IP públicos e privados
Aprimorado: Endereços IP públicos dedicados
O sistema atribui um endereço IP público exclusivo a cada túnel IPsec.
Como cada conexão IPsec inclui dois túneis (modo túnel duplo), cada conexão utiliza dois endereços IP públicos independentes.
Configure seu gateway local para estabelecer túneis IPsec com ambos os endereços IP públicos.
Vantagem: Melhor isolamento de falhas — a alteração de um IP público em um túnel não afeta os demais.
Padrão: Endereços IP públicos compartilhados
Todas as conexões IPsec em um standard VPN gateway compartilham os endereços IP públicos do gateway.
Independentemente da quantidade de conexões IPsec criadas, todos os túneis utilizam os IPs públicos do gateway.
Observação: Caso um IP público apresente problemas, todas as conexões IPsec no gateway serão afetadas.
Endereços IP privados
Ambos os tipos lidam com IPs privados da mesma forma. Ao criar um gateway, associe-o a uma VPC e a dois vSwitches em zonas diferentes. O sistema cria uma ENI em cada vSwitch para o tráfego entre o gateway e a VPC.
Cada ENI consome um endereço IP privado de seu respectivo vSwitch.
Um VPN Gateway consome dois endereços IP privados no total (um de cada vSwitch).
Verifique se os vSwitches possuem endereços IP disponíveis suficientes.
Próximas etapas
Iniciando com uma VPN aprimorada
{{XREF_4}}.
Iniciando com uma VPN padrão
{{XREF_5}}.
Migrando para um enhanced VPN gateway
A migração pode causar interrupções na rede. Avalie os riscos e prepare um plano de contingência antes de prosseguir.
Não é possível atualizar diretamente um standard VPN gateway para a versão aprimorada. Você deve criar um novo.
Etapas recomendadas para a migração:
Crie um enhanced VPN gateway e associe-o à mesma VPC.
Crie uma conexão IPsec no gateway aprimorado e anote os novos endereços IP públicos do lado da cloud.
Configure seu gateway local para direcionar os túneis IPsec aos novos IPs públicos.
Verifique se a nova conexão funciona corretamente e, em seguida, exclua a antiga conexão IPsec do gateway padrão.
Exclua o standard VPN gateway.