VPN Gateway:Active/standby connection with IPsec-VPN and Express Connect

Criar um circuito do Express Connect

Solicite um circuito do Express Connect na região China (Hangzhou). Consulte Solicitar uma conexão dedicada ou Procedimento para conectar-se a um circuito compartilhado do Express Connect.

Criar um VBR

1. Faça logon no console do Express Connect.

2. No painel de navegação à esquerda, clique em Virtual Border Routers (VBRs).

3. Na barra de navegação superior, selecione China (Hangzhou).

4. Clique em Create VBR, configure os parâmetros abaixo e clique em OK.

   Parâmetro	Valor
   Account	Current Account
   Name	VBR (ou qualquer nome)
   Physical Connection Interface	Selecione o circuito do Express Connect solicitado
   VLAN ID	0
   VBR Bandwidth	Selecione um limite de largura de banda
   Alibaba Cloud-Side IPv4	10.1.0.1
   Customer-Side IPv4	10.1.0.2
   IPv4 Subnet Mask	255.255.255.252

Configurar um grupo BGP

1. Na página Virtual Border Routers (VBRs), clique no ID do VBR.

2. Na página de detalhes, clique na aba BGP Groups e depois em Create BGP Group.

3. Defina os seguintes parâmetros e clique em OK.

   Parâmetro	Valor
   Name	test (ou qualquer nome)
   Peer AS Number	65530
   BGP Key	(deixe em branco neste exemplo)
   Description	test (ou qualquer descrição)

Configurar um peer BGP

1. Na página de detalhes do VBR, clique na aba BGP Peers e depois em Create BGP Peer.

2. Preencha os parâmetros a seguir e clique em OK.

   Parâmetro	Valor
   BGP Group	Selecione o grupo BGP criado
   BGP Peer IP	10.1.0.2 (endereço IP da porta no dispositivo de gateway on-premises)

Criar um VPN Gateway

1. Faça logon no console do VPN Gateway.

2. Na barra de navegação superior, selecione China (Hangzhou).

3. Na página VPN Gateways, clique em Create VPN Gateway.

4. Na página de compra, configure os parâmetros listados, clique em Buy Now e conclua o pagamento.

   Quando o IPsec-VPN está ativado, o sistema cria uma elastic network interface (ENI) em cada vSwitch selecionado. Cada ENI ocupa um endereço IP. Após criar o VPN Gateway, não é possível alterar os vSwitches associados.

   Parâmetro	Valor
   Instance Name	Insira um nome
   Region	China (Hangzhou) — deve corresponder à região da VPC2
   Gateway Type	Standard
   Network Type	Public
   VPC	VPC2
   Tunnel	O sistema exibe o modo de túnel suportado na região atual
   vSwitch 1	Selecione um vSwitch na VPC2 (o sistema seleciona o primeiro vSwitch por padrão)
   vSwitch 2	Necessário apenas para o modo de túnel duplo
   Peak Bandwidth	Selecione uma largura de banda
   Traffic	Pay-by-traffic (padrão)
   Subscription Duration	Por padrão, o VPN Gateway é faturado por hora
   IPsec-VPN	Enable
   SSL-VPN	Disable
   Service-linked Role	Clique em Create Service-linked Role para criar a função AliyunServiceRoleForVpn

5. Traffic: Os gateways VPN são faturados com base na transferência de dados por padrão. Para mais informações, consulte Faturamento.

6. Subscription Duration: Os gateways VPN são faturados por hora por padrão.

7. Retorne à página VPN Gateways. Aguarde de 1 a 5 minutos até que o status do gateway mude de Preparing para Normal e anote o endereço IP público do VPN Gateway. Você precisará dele ao configurar o dispositivo de gateway on-premises.

Criar um customer gateway

1. No painel de navegação à esquerda, escolha Interconnections > VPN > Customer Gateways.

2. Clique em Create Customer Gateway, configure os parâmetros abaixo e clique em OK.

   Parâmetro	Valor
   Name	Insira um nome
   IP Address	211.XX.XX.68 (endereço IP público do dispositivo de gateway on-premises)
   ASN	(deixe em branco neste exemplo)
   Description	(opcional)

Criar uma conexão IPsec-VPN

1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

2. Clique em Bind VPN Gateway.

3. Configure os parâmetros a seguir e clique em OK. Para mais informações, consulte Criar uma conexão IPsec-VPN no modo de túnel único.

   Parâmetro	Valor
   IPsec Connection Name	Insira um nome
   Region	China (Hangzhou)
   Attach VPN Gateway	Selecione o VPN Gateway criado
   Routing Mode	Destination-based Routing Mode
   Effective Immediately	No (a negociação inicia quando o tráfego é detectado)
   Customer Gateway	Selecione o customer gateway criado
   Pre-Shared Key	Use o valor gerado aleatoriamente por padrão ou insira uma chave personalizada
   Encryption Configurations	IKEv1; outras configurações usam os padrões

Configurar rotas do VPN Gateway

Após criar a conexão IPsec-VPN, anuncie a rota do IDC on-premises para a VPC2 para que o transit router possa aprendê-la.

1. Clique em OK na caixa de diálogo Created.

2. No painel de navegação à esquerda, escolha Interconnections > VPN > VPN Gateways e clique no ID do VPN Gateway.

3. Na aba Destination-based Route Table, clique em Add Route Entry.

4. Defina os parâmetros abaixo e clique em OK.

   Duas rotas baseadas em destino com o mesmo bloco CIDR de destino não podem ter ambas o peso 100.

   Parâmetro	Valor
   Destination CIDR Block	172.16.0.0/16 (bloco CIDR do IDC on-premises)
   Next Hop Type	IPsec-VPN connection
   Next Hop	Selecione a conexão IPsec-VPN criada
   Advertise to VPC	Yes
   Weight	100 (alta prioridade)

Carregar a configuração de VPN no dispositivo de gateway on-premises

1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

2. Localize a conexão IPsec-VPN e clique em Generate Peer Configuration na coluna Actions.

3. Aplique a configuração baixada ao dispositivo de gateway on-premises. Para exemplos específicos por dispositivo, consulte Exemplos de configurações de dispositivos de gateway on-premises.

Criar uma instância do CEN

Criar uma instância do CEN e selecione Create CEN Instance Only.

Criar um transit router

1. Na página Instances, clique no ID da instância do CEN.

2. Na aba Basic Settings > Transit Router, clique em Create Transit Router.

3. Configure os parâmetros a seguir e clique em OK.

   Parâmetro	Valor
   Region	China (Hangzhou)
   Edition	Determinado automaticamente pelo sistema
   Enable Multicast	Disabled (padrão)
   Name	Insira um nome
   Transit Router CIDR	(não configurado neste exemplo)

Conectar a VPC1 e a VPC2 ao transit router

1. Na aba Basic Settings > Transit Router, localize o transit router em China (Hangzhou) e clique em Create Connection na coluna Actions.

2. Na página Connection with Peer Network Instance, configure os parâmetros e clique em OK. Repita o processo para cada VPC. Selecione vSwitches em pelo menos duas zonas para habilitar recuperação de desastres entre zonas entre a VPC e o transit router. Certifique-se de que cada vSwitch selecionado tenha pelo menos um endereço IP livre.

   Na primeira vez que você conecta uma VPC, o sistema cria automaticamente uma service-linked role chamada AliyunServiceRoleForCEN. Essa função permite que o transit router crie uma ENI no vSwitch da VPC. Consulte AliyunServiceRoleForCEN .

   Parâmetro	VPC1	VPC2
   Network Type	VPC	VPC
   Region	China (Hangzhou)	China (Hangzhou)
   Resource Owner ID	Your Account	Your Account
   Billing Method	Pay-As-You-Go	Pay-As-You-Go
   Attachment Name	VPC1-test	VPC2-test
   Networks	VPC1	VPC2
   vSwitch	Um vSwitch na Zona H e um na Zona I	Um vSwitch na Zona H e um na Zona I
   Advanced Settings	Manter padrões (todos os itens selecionados)	Manter padrões (todos os itens selecionados)

Conectar o VBR ao transit router

1. Na aba Basic Settings > Transit Router, clique novamente em Create Connection.

2. Preencha os parâmetros abaixo e clique em OK.

   Parâmetro	Valor
   Network Type	Virtual Border Router (VBR)
   Region	China (Hangzhou)
   Resource Owner ID	Your Account
   Attachment Name	VBR
   Networks	Selecione a instância do VBR
   Advanced Settings	Manter padrões

Anunciar a rota da VPN da VPC2 para o CEN

Após anunciar a rota do VPN Gateway para a VPC2, o status de anúncio da rota na VPC2 é Not Advertised por padrão. Anuncie-a manualmente para que o transit router aprenda a rota para o IDC on-premises a partir da VPC2.

1. Faça logon no console do Cloud Enterprise Network e clique no ID da instância do CEN.

2. Localize o transit router em China (Hangzhou) e clique em seu ID.

3. Na aba Network Instance Route Table, selecione a instância de rede da VPC2.

4. Encontre a rota para 172.16.0.0/16 e clique em Advertise na coluna Advertise Status.

5. Na caixa de diálogo PublishRoute, clique em OK.

# Configure the port that connects to the Express Connect circuit.
interface GigabitEthernet 0/12
no switchport
ip address 10.1.0.2 255.255.255.252     # Must match the VBR customer-side peer IPv4 address.

# Establish a BGP session with the VBR and advertise the on-premises IDC CIDR block.
router bgp 65530
bgp router-id 10.1.0.2
network 172.16.0.0 mask 255.255.0.0    # Advertise the on-premises IDC CIDR block.
neighbor 10.1.0.1 remote-as 45104      # BGP peer with the VBR (Alibaba Cloud AS: 45104).
exit

# Add a low-priority static route to VPC1 via the VPN Gateway.
# preference 255 ensures this route is used only when the BGP route from Express Connect is unavailable.
ip route 192.168.0.0 255.255.0.0 <Public IP address of the VPN Gateway> preference 255

Verificar a operação normal

1. A partir de um cliente no IDC on-premises, execute ping para uma instância ECS na VPC1 (192.168.0.0/16). Uma resposta bem-sucedida confirma a conectividade básica.

2. Execute traceroute para confirmar que o tráfego flui pelo circuito do Express Connect. A saída deve incluir saltos através da faixa de IP do VBR (10.1.0.0/30). Se você visualizar 10.1.0.1 no caminho, o tráfego está passando pelo circuito do Express Connect conforme esperado.

   traceroute 192.168.20.161
   ...
     2    <1 ms    10.1.0.1       # VBR Alibaba Cloud-side IP — traffic is on the Express Connect circuit.
   ...

Verificar o failover

1. No dispositivo de gateway on-premises, desligue a porta conectada ao circuito do Express Connect.

2. A partir do cliente, execute ping para a mesma instância ECS. Uma resposta bem-sucedida confirma que o link IPsec-VPN de standby está ativo.

3. Execute traceroute novamente. Os saltos do VBR (10.1.0.1) não devem mais aparecer. Em vez disso, você deve ver o IP público do VPN Gateway no caminho, confirmando que o failover está funcionando.

4. Restaure a porta do circuito do Express Connect e verifique se o tráfego retorna ao caminho do Express Connect (10.1.0.1 reaparece na saída do traceroute).