VPN Gateway:Criptografar tráfego privado no Express Connect com BGP

Etapa 1: Habilitar comunicação privada entre o IDC e a VPC via circuito do Express Connect e roteador de trânsito

Etapa 1: Implantar um circuito do Express Connect

Implante um circuito do Express Connect para conectar seu IDC local à Alibaba Cloud.

1. Crie um circuito do Express Connect.

   Solicite um circuito do Express Connect na região China (Hangzhou). Consulte {{XREF_2}} ou {{XREF_3}}. Este exemplo utiliza uma conexão dedicada.

2. Crie uma instância VBR.

   1. Faça login no Express Connect console.

   2. No painel de navegação à esquerda, clique em VBRs.

   3. Na barra de navegação superior, selecione a região China East 1 (Hangzhou).

      A instância VBR deve ser implantada na mesma região do circuito do Express Connect.

   4. Na página VBRs, clique em Create VBR.

   5. No painel Create VBR, defina as configurações conforme as informações abaixo e clique em OK.

      Apenas os parâmetros fortemente relacionados a este tópico estão listados abaixo. Os demais parâmetros mantêm suas configurações padrão. Para mais informações, consulte {{XREF_4}}.

      Parâmetro	Descrição
      Name	Neste tópico, insira VBR.
      Physical Connection	Selecione Dedicated Express Connect Circuits como tipo e escolha a interface do circuito do Express Connect criada.
      VLAN ID	Insira 0.
      IPv4 Address of Gateway at Alibaba Cloud Side	Insira 10.0.0.1.
      IPv4 Address of Gateway at Customer Side	Insira 10.0.0.2.
      Subnet Mask (IPv4 Address)	Insira 255.255.255.252.

3. Configure um grupo BGP para o VBR.

   1. Na página VBRs, clique no ID da instância VBR.

   2. Na página de detalhes da instância do roteador de borda virtual (VBR), clique na aba BGP Groups.

   3. Na aba BGP Groups, clique em Create BGP Group, configure o grupo BGP conforme as informações a seguir e clique em OK.

      Somente os itens de configuração diretamente relacionados a este tópico estão listados aqui. Para mais informações, consulte {{XREF_5}}.

      • Name: Insira VBR-BGP.

      • Peer AS Number: Insira o número do sistema autônomo (ASN) 65530 do dispositivo de gateway local.

      • Local ASN: Insira o ASN BGP 65534 usado pela instância VBR.

4. Configure um par BGP para o VBR.

   1. Na página de detalhes da instância do roteador de borda, clique na aba BGP Peers.

   2. Na aba BGP Peers, clique em Create BGP Peer.

   3. No painel Create BGP Peer, configure as informações do par BGP e clique em OK.

      • BGP Groups: Selecione VBR-BGP.

      • BGP Peer IP Address: Insira o endereço IP do par BGP. Neste tópico, insira o endereço IP da interface no dispositivo de gateway local conectada ao circuito do Express Connect: 10.0.0.1.

5. Configure rotas BGP no dispositivo de gateway local.

   Nota

   Neste exemplo, utilizamos o software Adaptive Security Appliance (ASA) 9.19.1 para descrever a configuração de um firewall Cisco. Os comandos podem variar conforme a versão do software. Consulte a documentação ou seu fornecedor com base no seu ambiente real durante as operações. Para mais informações, consulte {{XREF_6}}.

   O conteúdo a seguir contém informações sobre produtos de terceiros, fornecidas apenas para referência. A Alibaba Cloud não oferece garantias ou qualquer outro tipo de compromisso quanto ao desempenho e confiabilidade de produtos de terceiros, nem sobre possíveis impactos decorrentes de operações realizadas com esses produtos.

   ping <IP address of a client in the data center> -s 1000 -c 10000

   Importante

   Ao anunciar os blocos CIDR do data center local para o VBR, recomendamos anunciar um bloco CIDR amplo. Isso garante que os blocos CIDR do data center local que o roteador de trânsito aprender posteriormente via conexão IPsec-VPN privada sejam mais específicos do que o bloco CIDR anunciado atualmente, tendo assim maior prioridade de rota.

Etapa 2: Configurar o roteador de trânsito

Após conectar o data center local à Alibaba Cloud via circuito do Express Connect, configure um roteador de trânsito para habilitar a comunicação de rede privada entre o data center local e a VPC.

Create a CEN instance

{{XREF_7}}.

Na caixa de diálogo Create a CEN instance., selecione Create CEN Only, personalize o nome da instância da Cloud Enterprise Network (CEN) e mantenha os demais itens de configuração com seus valores padrão.

1. {{XREF_8}}.

   Crie uma instância de roteador de trânsito na região China (Hangzhou) para conectar a instância VBR e a instância da VPC. Mantenha as configuraçõCreate a transit router es padrão para os demais itens.

2. Crie uma conexão de VPC.

   1. Na aba Basic Information > Forwarding Router da página de detalhes da instância CEN, localize a instância do roteador de trânsito na região China (Hangzhou) e clique em Create Connection na coluna Actions.

   2. Na página Connection with Peer Network Instance, defina as configurações conforme as informações abaixo e clique em OK para conectar a instância da VPC ao roteador de trânsito.

      A seção a seguir descreve apenas os itens de configuração intimamente relacionados a este tópico. Mantenha as configurações padrão para os demais itens. Para mais informações, consulte {{XREF_9}}.

      Item de configuração	Descrição
      Instance Type	Selecione Virtual Private Cloud (VPC).
      Region	Selecione China (Hangzhou).
      Attachment Name	Defina um nome personalizado como VPC-Attachment.
      Network Instance	Selecione VPC.
      VSwitch	Selecione uma instância de vSwitch em uma zona suportada pelo roteador de trânsito. Neste tópico, selecionamos o vSwitch 2 e o vSwitch 3. Em regiões com suporte a múltiplas zonas, é obrigatório selecionar pelo menos uma instância de vSwitch em cada uma de, no mínimo, duas zonas distintas. Recomendamos utilizar vSwitches que não estejam executando cargas de trabalho para criar a conexão da VPC.
      Advanced Settings	Utilize a configuração de rota padrão, ou seja, ative todas as três configurações avançadas.

   3. Clique em Create More Connections para retornar à página Connection with Peer Network Instance.

3. Crie uma conexão VBR.

   Na página Connection with Peer Network Instance, configure a conexão conforme as informações a seguir e clique em OK para conectar a instância VBR ao roteador de trânsito. Apenas os itens de configuração fortemente relacionados a este tópico estão listados abaixo. Mantenha os demais itens com seus valores padrão. Para mais informações, consulte {{XREF_10}}.

   Item de configuração	Descrição
   Instance Type	Selecione Virtual Border Router (VBR).
   Region	Selecione China (Hangzhou).
   Attachment Name	Defina o nome personalizado como VBR-Attachment.
   Network Instance	Selecione VBR.
   Advanced Settings	Utilize a configuração de rota padrão, isto é, ative todas as três configurações avançadas.

Etapa 3: Testar a conectividade de rede privada

Após concluir as configurações anteriores, o data center local e a VPC poderão se comunicar pela rede privada. Siga as etapas abaixo para testar essa conectividade.

1. Faça login na instância ECS1 na VPC. Para mais informações, consulte {{XREF_13}}.

2. Execute o comando ping para acessar qualquer cliente no bloco CIDR do data center (IDC).

   ping <IP address of a client in the data center> -s 1000 -c 10000

   ping <IP address of a client in the data center> -s 1000 -c 10000

   Conforme mostrado na saída anterior, se a instância ECS1 receber pacotes de resposta, significa que a comunicação de rede privada entre o IDC local e a VPC foi estabelecida com sucesso.

Etapa 2: Criptografar o tráfego de rede privada do circuito do Express Connect

Depois que o data center local e a VPC conseguirem se comunicar pela rede privada, crie uma conexão IPsec-VPN do tipo rede privada entre o dispositivo de gateway local e o roteador de trânsito. Em seguida, utilize configurações de rota para direcionar o tráfego entre o data center local e a VPC através da conexão IPsec-VPN privada, garantindo assim a criptografia do tráfego de rede privada do circuito do Express Connect.

Etapa 1: Estabelecer uma conexão IPsec-VPN privada

1. Adicione o bloco CIDR do roteador de trânsito 10.10.10.0/24 ao roteador de trânsito. Para mais informações, consulte {{XREF_14}}.

   Esse bloco CIDR do roteador de trânsito serve para atribuir endereços IP de gateway à conexão IPsec, permitindo o estabelecimento de uma conexão IPsec-VPN privada. O bloco CIDR do roteador de trânsito não pode entrar em conflito com os blocos CIDR do data center (IDC) e da VPC que participarão da comunicação de rede.

2. Crie dois gateways de cliente para registrar os endereços IP da VPN e o ASN BGP do dispositivo de gateway do cliente na Alibaba Cloud.

   1. Faça login no VPN gateway console.

   2. No painel de navegação à esquerda, escolha Interconnections - VPN - Customer Gateways.

   3. Na página Customer Gateway, clique em Create Customer Gateway.

   4. No painel Create Customer Gateway, configure os seguintes parâmetros e clique em OK.

      Apenas os parâmetros diretamente relacionados a este tópico são descritos abaixo. Mantenha os valores padrão para os demais parâmetros. Para mais informações, consulte {{XREF_15}}.

      • Gateway de cliente 1

        • Name: Defina o nome do gateway de cliente como Customer-Gateway1.

        • IP Address: Insira o endereço IP da VPN 1 do dispositivo de gateway local: 192.168.10.136.

        • ASN: Insira o número AS BGP do dispositivo de gateway local: 65530.

      • Gateway de cliente 2

        • Name: Defina o nome do gateway de cliente como Customer-Gateway2.

        • IP Address: Insira o endereço IP da VPN 2 do dispositivo de gateway local: 192.168.40.159.

        • ASN: Insira o número AS BGP do dispositivo de gateway local: 65530.

3. Crie uma conexão IPsec.

   1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

   2. Na página IPsec Connections, clique em Bind CEN.

   3. Na página Create IPsec-VPN Connection, configure a conexão IPsec conforme as informações abaixo e clique em OK.

      O conteúdo a seguir lista apenas os itens de configuração intimamente relacionados a este tópico. Os demais itens mantêm suas configurações padrão. Para mais informações, consulte {{XREF_16}}.

      Parâmetro	Conexão IPsec
      Name	Defina como IPsec-Connection.
      Region	Selecione a região onde o roteador de trânsito está implantado. A conexão ipsec-vpn é criada na mesma região do roteador de trânsito.
      Gateway Type	Selecione Private.
      Bind CEN	Selecione Same Account.
      CEN Instance ID	Selecione a instância da Cloud Enterprise Network (CEN) que você criou. O console exibe o ID e o bloco CIDR do roteador de trânsito criado para a instância CEN na região atual. A conexão ipsec-vpn será anexada a este roteador de trânsito.
      Routing Mode	Este tópico utiliza o Destination Routing Mode; assim, o tráfego transmitido é controlado por rotas.
      Enable BGP	Ative o recurso BGP.
      Local ASN	Insira o número AS BGP da conexão IPsec: 65534.
      Túnel 1
      Customer Gateway	Associe o Customer-Gateway1.
      Pre-Shared Key	fddsFF111****. Importante A chave pré-compartilhada da conexão IPsec-VPN deve ser idêntica à chave pré-compartilhada do dispositivo de gateway par. Caso contrário, a conexão IPsec-VPN não poderá ser estabelecida.
      Encryption Configuration	Mantenha os valores padrão para todos os outros itens de configuração, exceto pelos parâmetros a seguir. Selecione group14 para DH Group (Perfect Forward Secrecy) nas IKE Settings. Selecione group14 para DH Group (Perfect Forward Secrecy) nas IPsec Settings. Nota É necessário selecionar os parâmetros de criptografia com base no dispositivo de gateway local para garantir que as configurações de criptografia da conexão IPsec correspondam às do dispositivo de gateway local.
      BGP Configuration	Tunnel CIDR Block: Insira 169.254.10.0/30. Local BGP IP address: Insira 169.254.10.1.
      Túnel 2
      Customer Gateway	Associe o Customer-Gateway2.
      Pre-Shared Key	fddsFF222****.
      Encryption Configuration	Mantenha os valores padrão para todos os outros itens de configuração, exceto pelos parâmetros a seguir. Para o DH Group (Perfect Forward Secrecy) nas IKE Settings, selecione group14. Para o DH Group (Perfect Forward Secrecy) nas IPsec Settings, selecione group14. Nota É necessário selecionar os parâmetros de criptografia com base no dispositivo de gateway local para garantir que as configurações de criptografia da conexão IPsec correspondam às do dispositivo de gateway local.
      BGP Configuration	Tunnel CIDR Block: Insira 169.254.20.0/30. Local BGP IP address: Insira 169.254.20.1.
      Advanced Configuration (including route table association and route forwarding)	Utilize a configuração de rota padrão, ou seja, ative todas as opções de configuração avançada.

      Após criar a conexão IPsec, visualize os endereços IP de gateway da conexão IPsec na página de detalhes da conexão. A conexão IPsec utiliza esses dois endereços IP de gateway para estabelecer uma conexão IPsec-VPN privada com o dispositivo de gateway local.

4. Retorne à página IPsec-VPN connection, localize a conexão IPsec criada e clique em Generate Peer Configuration na coluna Actions.

   A configuração par corresponde às configurações de VPN que devem ser adicionadas ao par da conexão IPsec. No cenário descrito neste tópico, adicione essas configurações ao dispositivo de gateway local.

5. Na caixa de diálogo IPsec-VPN Connection Configuration, copie a configuração e salve-a localmente para usar posteriormente na configuração do dispositivo de gateway local.

6. Configure o dispositivo de gateway local.

   Após criar uma conexão IPsec, adicione as configurações de VPN ao dispositivo de gateway local para estabelecer uma conexão IPsec-VPN privada entre o dispositivo de gateway local e a Alibaba Cloud.

   Clique para visualizar as configurações do dispositivo de gateway local.

   1. Faça login na janela de linha de comando do firewall Cisco e entre no modo de configuração.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   2. Visualize a configuração da interface e a configuração de rota.

      O firewall Cisco concluiu a configuração da interface e a interface está ativada. Abaixo está um exemplo de configuração de interface utilizada neste tópico.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   3. Ative o IKEv2 para a interface.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   4. Crie uma Política IKEv2 e especifique o algoritmo de autenticação, algoritmo de criptografia, grupo DH e tempo de vida da SA para a fase IKE. Essas configurações devem ser consistentes com as do lado da Alibaba Cloud.

      Importante

      Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IKE Configurations. Recomendamos fazer o mesmo no seu firewall Cisco e garantir que os valores correspondam à configuração da Alibaba Cloud.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   5. Crie uma proposta e um perfil IPsec. Especifique o algoritmo de criptografia, algoritmo de autenticação, grupo DH e tempo de vida da SA para a fase IPsec. Essas configurações devem corresponder à configuração da Alibaba Cloud.

      Importante

      Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IPsec Configurations. Recomendamos fazer o mesmo no seu firewall Cisco e garantir que os valores correspondam à configuração da Alibaba Cloud.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   6. Crie um grupo de túneis e especifique a chave pré-compartilhada do túnel, que deve ser consistente com a do lado da Alibaba Cloud.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   7. Crie uma interface de túnel.

      ping <IP address of a client in the data center> -s 1000 -c 10000

   Após concluir as configurações acima, o dispositivo de gateway local poderá estabelecer uma conexão IPsec-VPN privada com a Alibaba Cloud. No entanto, o vizinho BGP ainda não estará estabelecido. Visualize o status da conexão IPsec-VPN privada na página de detalhes da instância de conexão IPsec no console da Alibaba Cloud. Se a conexão IPsec-VPN privada não for estabelecida no seu ambiente, solucione o problema. Para mais informações, consulte {{XREF_17}}.

Etapa 2: Configurar rotas

Após criar a conexão IPsec-VPN privada, o tráfego entre o data center local e a VPC continua sendo transmitido pelo circuito do Express Connect, sem criptografia. Adicione rotas para que o tráfego entre o data center local e a VPC passe a ser transmitido pela conexão IPsec-VPN privada.

1. Adicione configurações de rota BGP no dispositivo de gateway local.

   ping <IP address of a client in the data center> -s 1000 -c 10000

   Importante

   Ao anunciar o bloco CIDR do data center local para a conexão IPsec-VPN privada, certifique-se de que esse bloco seja mais específico do que o bloco CIDR do data center local anunciado para a instância VBR. Isso garante que as rotas do data center local aprendidas pelo roteador de trânsito via conexão IPsec-VPN privada tenham maior preferência.

2. Adicione uma entrada de rota personalizada ao roteador de trânsito.

   Após concluir a configuração de rota anterior, a conexão IPsec-VPN privada será interrompida. Adicione uma rota específica destinada ao endereço IP da VPN do dispositivo de gateway local na tabela de rotas do roteador de trânsito, com o próximo salto apontando para a instância VBR, para restabelecer a conexão IPsec-VPN privada.

   1. Permaneça na aba Route Table, clique na aba Route e clique em Create Route.

   2. Na caixa de diálogo Add Route Entry, configure as informações da entrada de rota e clique em OK.

      Parâmetro	Bloco CIDR 1	CIDR block 2
      Destination CIDR	Insira o endereço IP da VPN 1 do dispositivo de gateway local: 192.168.10.136/32.	Insira o endereço IP da VPN 2 do dispositivo de gateway local: 192.168.40.159/32.
      Blackhole Route?	Selecione No.
      Next Hop Connection	Selecione VBR-Attachment.

3. Adicione a primeira política de roteamento à tabela de rotas do roteador de trânsito.

   O data center local aprende o bloco CIDR da VPC tanto da instância VBR quanto da conexão IPsec-VPN privada. Para garantir que o tráfego do data center local para a nuvem entre na VPC preferencialmente pela conexão IPsec-VPN privada, configure uma política de roteamento no roteador de trânsito de modo que a prioridade do bloco CIDR da VPC anunciado ao data center local pela instância VBR seja inferior à prioridade do bloco CIDR da VPC anunciado ao data center local pela conexão IPsec-VPN privada.

   1. Faça login no CEN console.

   2. Na página CEN Instance, localize a instância CEN criada e clique no ID da instância desejada.

   3. Na página de detalhes da instância CEN, clique no ID do roteador de trânsito na região China East 1 (Hangzhou).

   4. Na página de detalhes do roteador de trânsito, clique na aba Forwarding router routing table e clique em Routing Policy.

   5. Na aba Routing Policy, clique em Add Route Map. Configure a política de roteamento conforme as informações abaixo e clique em OK.

      O conteúdo a seguir lista apenas os itens de configuração fortemente relacionados a este tópico. Os demais itens permanecem com suas configurações padrão. Para mais informações, consulte {{XREF_18}}.

      Parâmetro	Mapa de rota
      Policy priority	Insira 30.
      Associate routing tables	Mantenha o valor padrão.
      Effective direction	Selecione Outbound Gateway.
      Match Condition	Destination Instance IDs: ID da instância VBR. Route Prefix: Insira 172.16.10.0/24 e 172.16.20.0/24 e selecione Exact match.
      Strategic Behavior	Selecione Allow.
      Add Action Object	Neste tópico, selecione Add AS Path e insira 65525, 65526 e 65527 para reduzir a prioridade dos blocos CIDR da VPC que a instância VBR anuncia ao IDC local.

4. Adicione a segunda política de roteamento à tabela de rotas do roteador de trânsito para impedir que a conexão IPsec-VPN privada propague a rota do endereço IP da VPN do dispositivo de gateway local para o IDC local. Isso evita loops de roteamento.

   • Policy priority: Neste tópico, insira 40.

   • Associate routing tables: Mantenha o valor padrão.

   • Effective Direction: Selecione Outbound Gateway.

   • Match Condition:

     • Destination Instance IDs: o ID da instância de conexão IPsec.

     • Route Prefix: Selecione Exact match e insira 192.168.10.136/32 e 192.168.40.159/32 para o endereço IP da VPN do dispositivo de gateway local.

   • Strategic Behavior: Selecione Reject.

Etapa 3: Verificar o efeito da criptografia

Após concluir as configurações anteriores, se for possível visualizar dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec, significa que o tráfego de rede privada no circuito do Express Connect está criptografado.

1. Faça login na instância ECS1 na VPC. Execute o comando ping para acessar continuamente qualquer cliente no bloco CIDR do IDC local.

   ping <IP address of a client in the data center> -s 1000 -c 10000

   • -s 1000: especifica o envio de pacotes de 1000 bytes.

   • -c 10000: envia continuamente 10000 pacotes de solicitação.

2. Faça login no VPN Gateway console.

3. Na barra de navegação superior, selecione a região China (Hangzhou).

4. No painel de navegação à esquerda, escolha Interconnections - VPN - IPsec Connections.

5. Na página IPsec-VPN connection, localize a conexão IPsec criada e clique no ID da conexão IPsec.

   Visualize os dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec.