O IPsec-VPN oferece dois modos de vinculação: VPN Gateway e Transit Router. Cada um atende a arquiteturas de rede com diferentes requisitos de escala e disponibilidade.
Guia rápido
-
Quantas VPCs você precisa conectar?
Uma VPC → Escolha VPN Gateway
Várias VPCs (na mesma região ou entre regiões) → Escolha Transit Router
-
Você precisa de balanceamento de carga ECMP?
Não (recuperação de desastres ativo-standby é suficiente) → VPN Gateway atende a essa necessidade
Sim (vários links transportam tráfego simultaneamente) → Escolha Transit Router
-
Qual é o requisito de largura de banda para uma única conexão IPsec?
1 Gbps ou menos → Ambos os modos são adequados
1 a 2 Gbps → Escolha Transit Router (suporta até 2 Gbps por conexão)
Mais de 2 Gbps → Escolha Transit Router e use várias conexões com ECMP para dimensionar a largura de banda
-
Você precisa do SSL-VPN?
Precisa de acesso remoto SSL-VPN → Escolha Standard VPN Gateway
Não → Decida com base nos critérios anteriores
Comparação de recursos
|
Recurso |
VPN Gateway |
Transit Router |
|
Casos de uso |
Conectar um data center on-premises a uma única VPC |
Conectar um data center on-premises a várias VPCs |
|
Algoritmos de criptografia suportados |
|
|
|
Modo de túnel |
Túnel duplo (ativo-standby) Algumas instâncias legadas de VPN Gateway suportam apenas conexões IPsec-VPN de túnel único. Atualize para o modo de túnel duplo. |
Túnel duplo (ECMP) Conexões IPsec legadas de túnel único não oferecem alta disponibilidade. Exclua e recrie a conexão IPsec em um horário que não afete a conectividade da rede. Novas conexões IPsec usam o modo de túnel duplo por padrão. |
|
Mecanismo de alta disponibilidade |
Failover ativo-standby: o tráfego passa pelo túnel ativo por padrão e muda automaticamente para o túnel standby se o túnel ativo falhar. |
Balanceamento de carga ECMP: ambos os túneis transmitem tráfego simultaneamente e fornecem redundância mútua. |
|
Largura de banda máxima por conexão IPsec |
Enhanced: 1 Gbps (dedicado por conexão) Standard: todas as conexões compartilham a largura de banda do VPN Gateway, com máximo de 1.000 Mbps (ou 500 Mbps em algumas regiões). |
2 Gbps (até 1 Gbps por túnel) O modo legado de túnel único suporta no máximo 1 Gbps. |
|
Dimensionamento de largura de banda |
Standard: não suportado. |
Suporta ECMP em várias conexões, com balanceamento de carga em até 32 túneis (16 conexões IPsec). |
|
pps |
120.000 pps por instância de VPN Gateway (compartilhado por todas as conexões) |
120.000 pps por túnel (no modo de túnel duplo) O modo legado de túnel único suporta 120.000 pps por conexão. |
|
SSL-VPN |
Suportado em Standard VPN Gateways |
Não suportado |
|
Roteamento dinâmico BGP |
Enhanced: 200 rotas por padrão Standard: 50 rotas por padrão |
1.000 rotas por túnel, totalizando 2.000 rotas |
Diferenças entre Enhanced e Standard VPN Gateways:
Enhanced: faturado com base no , fornece 1 Gbps de largura de banda dedicada por conexão IPsec e não suporta o algoritmo SM.
Standard: faturado com base na , todas as conexões IPsec compartilham a largura de banda do VPN Gateway e suporta roteamento baseado em políticas e o algoritmo SM.
Para uma comparação detalhada, consulte Enhanced vs. Standard VPN Gateways.
Modos de túnel
Modo de túnel duplo
O modo de túnel duplo é o padrão para novas conexões IPsec.
Cada conexão IPsec inclui dois túneis implantados em diferentes zonas de disponibilidade.
Oferece recuperação de desastres no nível de zona e redundância de link.
Quando vinculado a um VPN Gateway, opera no modo ativo-standby. Quando vinculado a um Transit Router, opera no modo ECMP.
Certifique-se de que ambos os túneis estejam configurados e disponíveis. Se você configurar apenas um túnel, a redundância será perdida e a conexão não estará coberta pelo SLA.
Modo de túnel único
O túnel único é um modo legado e não é suportado para novas conexões IPsec.
Conexões IPsec de túnel único existem apenas em algumas instâncias legadas de VPN Gateway.
Não oferece recuperação de desastres no nível de zona.
Atualize para o modo de túnel duplo o mais breve possível.
Tipos de rede
Ao criar uma conexão IPsec vinculada a um Transit Router, escolha um dos seguintes tipos de rede:
|
Tipo de rede |
Descrição |
Casos de uso |
|
Internet |
Estabelece um túnel IPsec pela Internet. |
Cenários sem conexão física ou onde uma VPN serve como standby para uma conexão física. |
|
Rede privada |
Estabelece um túnel IPsec sobre uma conexão física existente para criptografar seu tráfego. |
Cenários com uma conexão física existente ou onde a conformidade exige transmissão criptografada. |
Apenas conexões IPsec vinculadas a um Transit Router suportam o tipo de rede privada.
Modos de roteamento
O IPsec-VPN suporta três modos de roteamento que determinam como o tráfego é roteado da nuvem para o seu data center on-premises:
Roteamento dinâmico BGP
Este é o modo mais flexível. A nuvem e seu gateway on-premises usam o Border Gateway Protocol (BGP) para aprender e anunciar rotas automaticamente. As rotas são atualizadas automaticamente quando sua rede muda.
Benefícios:
Aprendizado e convergência automática de rotas, eliminando a necessidade de manutenção manual da tabela de rotas.
Adaptação automática a mudanças na topologia da rede, como adição ou remoção de sub-redes.
Failover automático de rotas para recuperação mais rápida.
Ideal para redes de médio a grande porte e cenários com múltiplos sites.
Requisitos:
Seu gateway on-premises deve suportar BGP.
Configure um Número de Sistema Autônomo (ASN) BGP e endereços IP de pares BGP para os túneis.
Rota de destino estática
Configure manualmente rotas estáticas que apontem para seus blocos CIDR on-premises. Este modo é simples e direto, adequado para cenários com topologia de rede estável e pequeno número de sub-redes.
Benefícios:
Configuração simples sem dependência de BGP.
Adequado para redes de pequena escala e provas de conceito (PoCs).
Limitações:
Exige atualizações manuais de rota quando o data center on-premises mudar.
Limite de 50 rotas para Enhanced VPN Gateway e 30 para Standard VPN Gateway.
Roteamento baseado em políticas
Aplica políticas com base em blocos CIDR de origem e destino para direcionar o tráfego para conexões IPsec específicas, oferecendo controle granular.
Benefícios:
Controle de roteamento granular baseado em endereços de origem e destino.
Indicado para distribuição de tráfego entre várias conexões.
Limitações:
Suportado apenas pelo Standard VPN Gateway.
Limite padrão de 20 rotas baseadas em políticas.
Configuração e manutenção mais complexas.
Comparação de modos de roteamento
|
Recurso |
Roteamento dinâmico BGP |
Rota de destino estática |
Roteamento baseado em políticas |
|
Configuração de rota |
Aprendizado automático |
Configuração manual |
Configuração manual |
|
Modos de vinculação aplicáveis |
VPN Gateway, Transit Router |
VPN Gateway, Transit Router |
Apenas Standard VPN Gateway |
|
Recomendação |
Altamente recomendado |
Adequado para cenários simples |
Para necessidades específicas, como controle granular de roteamento baseado em endereços de origem e destino. |
Resumo da decisão
VPN Gateway
Conecte-se a uma única VPC.
Forneça acesso remoto cliente-site com SSL-VPN (requer um Standard VPN Gateway).
Atenda aos requisitos de disponibilidade com recuperação de desastres ativo-standby.
Transit Router
Conecte várias VPCs, na mesma região ou entre regiões.
Alcance alta disponibilidade e balanceamento de carga com ECMP.
Criptografe o tráfego em uma conexão física.
Necessite de mais de 1 Gbps de largura de banda para uma única conexão.
Construa uma rede full-mesh para conectividade multi-site em grande escala.
Suporte um grande número de rotas BGP (até 2.000).