Uma conexão IPsec-VPN no modo de túnel duplo usa um túnel ativo e um túnel em espera para fornecer alta disponibilidade. Se o túnel ativo falhar, o tráfego passa automaticamente por failover para o túnel em espera. Este tópico descreve como atualizar uma conexão IPsec-VPN para o modo de túnel duplo.
Contexto
Antes da atualização, recomendamos entender a Description of dual-tunnel mode.
Apenas instâncias de VPN Gateway Standard existentes no modo de túnel único podem ser atualizadas para o modo de túnel duplo. As instâncias de VPN Gateway Enhanced já usam o modo de túnel duplo por padrão.
Alterações de largura de banda após a atualização
-
Para instâncias de VPN Gateway de túnel único com largura de banda de até 100 Mbps:
Modo de túnel IPsec-VPN
Pico de largura de banda de saída
Pico de largura de banda de entrada
Antes da atualização
A largura de banda da instância do VPN Gateway.
100 Mbps.
Após a atualização
A largura de banda da instância do VPN Gateway.
A largura de banda da instância do VPN Gateway.
Para instâncias de VPN Gateway de túnel único com largura de banda superior a 100 Mbps, o pico de largura de banda permanece inalterado após a atualização e corresponde à largura de banda da instância.
Regiões e zonas suportadas
As instâncias de VPN Gateway nas seguintes regiões e zonas suportam a atualização para o modo de túnel duplo.
Também é possível chamar a operação de API DescribeVpnGatewayAvailableZones para consultar as zonas suportadas em uma região específica. Se os resultados retornados pela API divergirem da tabela a seguir, os resultados da API prevalecerão.
Região | Zonas que suportam a associação de VPN Gateways |
China (Hangzhou) | K, J, I, H, G |
China (Shanghai) | L, M, N, A, B, E, F, G |
China (Shenzhen) | A (indisponível para compra), C, E, D, F |
China (Heyuan) | A, B |
China (Guangzhou) | A, B |
China (Qingdao) | B, C |
China (Beijing) | F, E, H, G, A, C, J, I, L, K |
China (Zhangjiakou) | A, B, C |
China (Hohhot) | A, B |
China (Ulanqab) | A, B, C |
China (Chengdu) | A, B |
China (Zhongwei) | A, B |
China (Hong Kong) | B, C, D |
Singapore | A, B, C |
Thailand (Bangkok) | A, B |
Japan (Tokyo) | A, B, C |
South Korea (Seoul) | A, B |
Philippines (Manila) | A, B |
Indonesia (Jakarta) | A, B, C |
Malaysia (Kuala Lumpur) | A, B |
Malaysia (Johor) | A, B |
UK (London) | A, B |
France (Paris) | A, B |
Germany (Frankfurt) | A, B, C |
US (Silicon Valley) | A, B |
US (Virginia) | A, B |
US (Atlanta) Esta região está indisponível no momento. Para usá-la, entre em contato com o gerente da sua conta e faça a solicitação. | A, B |
Mexico | A, B |
Brazil (São Paulo) | A, B |
SAU (Riyadh - Partner Region) | A, B |
UAE (Dubai) | A, B |
Pré-requisitos
Antes de atualizar uma conexão IPsec-VPN para o modo de túnel duplo, verifique se os seguintes requisitos são atendidos:
Impacto da atualização
O VPN Gateway fica indisponível durante a atualização, o que interrompe as conexões existentes. Recomendamos realizar a atualização durante uma janela de manutenção para evitar interrupções no serviço.
A atualização leva cerca de 10 minutos, período em que a instância do VPN Gateway não pode encaminhar tráfego.
Não realize operações na instância do VPN Gateway durante a atualização.
Procedimento
Faça login no console do VPN Gateway.
Na barra de navegação superior, selecione a região onde a instância do VPN Gateway está localizada.
Na página VPN Gateways, encontre a instância do VPN Gateway de destino e clique no ID da instância.
No canto superior direito da página de detalhes da instância, clique em Enable Zone Redundancy.
-
Na caixa de diálogo Enable Zone Redundancy, especifique a instância do vSwitch e ative a verificação do ambiente de atualização. Após garantir que o ambiente atende aos requisitos de atualização e compreender os riscos, confirme a ação e clique em Enable.
Se a pré-verificação falhar, resolva o problema com base nos pré-requisitos. Para mais informações, consulte Prerequisites.
Após clicar em Enable, o sistema iniciará a atualização diretamente. Aguarde a conclusão.
Próximos passos
Após a atualização da instância do VPN Gateway:
-
Se apenas o recurso IPsec-VPN foi mantido antes da atualização, ative o túnel em espera:
Após a atualização, a instância do VPN Gateway terá dois endereços IPsec: o endereço original (endereço IPsec 1) e o endereço recém-alocado pelo sistema (endereço IPsec 2). Eles são usados para estabelecer o túnel ativo e o túnel em espera, respectivamente. Esses dois endereços são exibidos na coluna de endereços IP da lista de instâncias e, por padrão, ambos os túneis estão associados ao mesmo gateway do cliente.
O túnel ativo é o mesmo de antes da atualização, e sua configuração permanece inalterada. O túnel em espera fica indisponível por padrão. Na aba Tunnel da página de detalhes da conexão IPsec, Tunnel 1 (Primary) mostra Phase 2 negotiations succeeded. e Tunnel 1 (Backup) mostra Phase 1 negotiations failed..
Adicione a configuração relevante no dispositivo do gateway par para conectar o túnel em espera e garantir que seu status seja exibido como bem-sucedido. Para mais informações, consulte Standard VPN Gateway quick start.
-
Se o recurso SSL-VPN foi mantido antes da atualização, após a atualização:
A configuração do SSL-VPN permanece inalterada. Ative o recurso IPsec-VPN na coluna Feature Configuration da instância do VPN Gateway e, em seguida, crie uma conexão IPsec-VPN no modo de túnel duplo. Para mais informações, consulte IPsec connections (VPN gateway).
O endereço ip do VPN Gateway se tornará um endereço SSL, que pode ser usado apenas para o recurso SSL-VPN. Depois de ativar o recurso IPsec-VPN, o sistema realoca dois endereços IPsec para a instância do VPN Gateway estabelecer uma conexão IPsec-VPN no modo de túnel duplo. Na lista de instâncias do VPN Gateway, visualize o campo ssl address para confirmar que o endereço de conexão SSL-VPN foi mantido.
-
Se a VPC associada à instância do VPN Gateway estiver conectada ao Cloud Enterprise Network:
Se existir uma entrada de rota personalizada que aponte para a instância do VPN Gateway na tabela de rotas da VPC, e a entrada de rota tiver sido anunciada para o Cloud Enterprise Network, ela deixará de ser anunciada após a conclusão da atualização. Anuncie a entrada de rota para o Cloud Enterprise Network novamente. Para mais informações, consulte Advertise routes to a transit router.
Ao usar uma conexão IPsec-VPN no modo de túnel duplo, certifique-se de que os túneis ativo e em espera estejam disponíveis. Se apenas um dos túneis for configurado ou usado, a conexão IPsec-VPN não poderá fornecer redundância ativo-em espera nem recuperação de desastres no nível de zona.