Empresas com requisitos rigorosos de conformidade de segurança, como as dos setores financeiro e de saúde, podem precisar usar linhas dedicadas para se conectar à nuvem, criptografar dados sensíveis em trânsito ou evitar o uso de endereços IP públicos em conexões IPsec-VPN. As conexões IPsec-VPN privadas permitem que essas organizações se conectem a VPCs na Alibaba Cloud por meio de circuitos do Express Connect e transit routers. Essa configuração utiliza endereços IP privados para criptografar o tráfego entre o dispositivo de gateway do cliente e o transit router.
Como funciona
As conexões IPsec-VPN privadas baseiam-se em circuitos do Express Connect e transit routers. Para conectar um data center à nuvem, implante um circuito do Express Connect e um transit router para vincular o data center a uma VPC. Em seguida, atribua um ou dois endereços IP privados ao dispositivo de gateway do cliente, especifique o bloco CIDR do transit router e defina o endereço IP do gateway de VPN para criar as conexões IPsec-VPN. Certifique-se de que os endereços IP privados permitam a comunicação privada entre o dispositivo de gateway do cliente e o transit router.
Cada conexão IPsec-VPN privada entre o dispositivo de gateway do cliente e o transit router possui dois túneis. Em regiões multizona, esses túneis são implantados em zonas diferentes para garantir alta disponibilidade. Após criar a conexão IPsec-VPN privada, configure rotas para direcionar o tráfego privado entre o data center e a VPC pela conexão. Esse processo criptografa o tráfego privado transmitido pelo circuito do Express Connect e atende aos requisitos de conformidade de segurança.
A segunda figura mostra como um cliente no data center acessa uma instância ECS na VPC, com o tráfego privado criptografado e transmitido pelo circuito do Express Connect.
Cenários de uso
Combine conexões IPsec-VPN privadas com os recursos de controle de roteamento dos transit routers para controlar qual tráfego privado será criptografado e transmitido.
Criptografar e transmitir todo o tráfego privado
Criptografar e transmitir tráfego privado de diferentes ambientes
Criptografar e transmitir parte do tráfego privado
Referências
Se o seu dispositivo de gateway do cliente suportar roteamento dinâmico BGP, recomendamos que você use o roteamento dinâmico BGP para criptografar e transmitir dados pelos circuitos do Express Connect.
-
Para obter mais informações sobre roteamento dinâmico BGP, consulte os seguintes tópicos:
Caso o seu dispositivo de gateway do cliente não suporte roteamento dinâmico BGP, consulte Criptografar tráfego privado no Express Connect com roteamento estático.