Todos os produtos
Search

Este produto

    VPN Gateway:Criptografe o tráfego privado no Express Connect com roteamento estático

    Central de documentação

    VPN Gateway:Criptografe o tráfego privado no Express Connect com roteamento estático

    Última atualização: Sep 25, 2026

    Quando um circuito Express Connect conecta seu data center à Alibaba Cloud, o tráfego percorre o link dedicado sem criptografia por padrão. Para atender aos requisitos de conformidade de segurança — prevenindo vazamentos e adulteração de dados — sobreponha uma conexão IPsec-VPN privada ao circuito e roteie o tráfego por túneis criptografados.

    Informações gerais

    • Antes de começar, recomendamos que você primeiro compreenda os princípios de criptografia do tráfego de rede privada em circuitos Express Connect. Para mais informações, consulte Encrypt Express Connect traffic.

    • Se o gateway local suportar o protocolo de roteamento dinâmico BGP, recomendamos que tanto a instância VBR quanto a conexão IPsec-VPN privada utilizem o protocolo de roteamento dinâmico BGP para implementar a criptografia do tráfego de rede privada em circuitos Express Connect. Para os tutoriais relacionados, consulte Encrypt private traffic over Express Connect with BGP.

    Exemplo de cenário

    Este tópico utiliza o cenário ilustrado na figura a seguir como exemplo. Uma empresa possui um data center (IDC, Internet Data Center) em Hangzhou e uma VPC na região China (Hangzhou) na Alibaba Cloud. Os services relevantes estão implantados na VPC por meio do Elastic Compute Service (ECS). Com o crescimento do negócio, o IDC local precisa se conectar à cloud. Com base em determinados requisitos de conformidade de segurança, a empresa precisa usar um circuito Express Connect e um transit router para implementar a comunicação de rede privada entre o IDC local e a VPC. Além disso, para reduzir o risco de vazamento de dados e impedir que dados confidenciais da empresa sejam roubados ou adulterados por pessoal interno ou externo, a empresa deseja que todo o tráfego transmitido pelo circuito Express Connect seja criptografado antes de ser enviado à Alibaba Cloud.

    Quando o IDC local implementa a comunicação de rede privada com a VPC por meio de um circuito Express Connect e um transit router, a empresa pode estabelecer uma conexão IPsec-VPN privada entre o gateway local e o transit router, utilizando essa conexão para criptografar o tráfego que passa pelo circuito Express Connect — atendendo aos altos requisitos de segurança de rede da empresa.

    image

    Planejamento de rede

    Importante

    Caso você precise planejar os blocos CIDR para o IDC local e as instâncias de rede relacionadas, certifique-se de que não haja sobreposição entre os blocos CIDR que precisam se comunicar entre si.

    Descrição do mecanismo de roteamento

    Para implementar a criptografia do tráfego de rede privada em circuitos Express Connect, é necessário garantir que o tráfego entre o IDC local e a VPC seja transmitido preferencialmente pela conexão IPsec-VPN privada, em vez do circuito Express Connect. Este tópico alcança esse objetivo por meio do controle de rotas:

    • Tráfego da VPC para o IDC local:

      O transit router pode aprender as rotas para o IDC local por meio da instância VBR e da conexão IPsec-VPN privada, respectivamente. Com base na prioridade de rotas do transit router, as rotas aprendidas por meio da instância VBR são preferidas por padrão. Esse mecanismo faz com que o tráfego da VPC para o IDC local seja transmitido preferencialmente pelo circuito Express Connect, o que inviabiliza a criptografia.

      Para contornar esse problema, adicione blocos CIDR do IDC local com máscaras de sub-rede diferentes. Ao adicionar um bloco CIDR do IDC local à instância VBR, utilize um bloco CIDR maior (ou seja, uma máscara de sub-rede mais curta). Ao adicionar um bloco CIDR do IDC local à tabela de rotas da conexão IPsec-VPN privada, utilize um bloco CIDR menor (ou seja, uma máscara de sub-rede mais longa).

      Por exemplo, se o bloco CIDR do IDC local for 192.168.0.0/16 e o bloco CIDR dos clientes no IDC local que se comunicam com a VPC for 192.168.20.0/24, adicione o bloco CIDR 192.168.0.0/16 do IDC local à instância VBR e adicione o bloco CIDR específico do cliente 192.168.20.0/24 à tabela de rotas da conexão IPsec-VPN privada. Isso garante que a rota aprendida pelo transit router por meio da conexão IPsec-VPN privada seja preferida, de modo que o tráfego da VPC para os clientes seja criptografado e transmitido preferencialmente pela conexão IPsec-VPN privada.

    • Tráfego do IDC local para a VPC:

      Adicione rotas para a instância VPC no IDC local, com os próximos saltos apontando para o circuito Express Connect e para a conexão IPsec-VPN privada, respectivamente. Em seguida, ajuste a prioridade das rotas para garantir que a rota apontando para a conexão IPsec-VPN privada seja preferida, de modo que o tráfego do IDC local para a VPC seja criptografado e transmitido preferencialmente pela conexão IPsec-VPN privada.

    Nota

    O mecanismo de roteamento atual também garante que, após a interrupção da conexão IPsec-VPN privada, o IDC local e a VPC ainda possam manter a comunicação de rede privada por meio do circuito Express Connect e do transit router, porém o tráfego deixará de ser criptografado.

    Planejamento de blocos CIDR

    Objetivos de configuração

    Planejamento de blocos CIDR

    Endereço IP

    VPC

    • Bloco CIDR primário: 172.16.0.0/16

    • vSwitch 1, localizado na zona H: 172.16.10.0/24

    • vSwitch 2, localizado na zona H: 172.16.20.0/24

    • vSwitch 3, localizado na zona J: 172.16.30.0/24

    • ECS1: 172.16.10.225

    • ECS2: 172.16.10.226

    VBR

    10.0.0.0/30

    • VLAN ID: 0

    • Endereço IP de interconexão IPv4 do lado da Alibaba Cloud: 10.0.0.1/30

    • Endereço IP de interconexão IPv4 do lado do cliente: 10.0.0.2/30

      Neste tópico, o lado do cliente se refere ao gateway local.

    IDC local

    Bloco CIDR do cliente: 192.168.20.0/24

    Endereço do cliente: 192.168.20.6

    Bloco CIDR do gateway local:

    • 10.0.0.0/30

    • 192.168.10.0/24

    • 192.168.40.0/24

    • Endereço IP de VPN 1: 192.168.10.136

    • Endereço IP de VPN 2: 192.168.40.159

      Um endereço IP de VPN é o endereço IP da interface no gateway local que estabelecerá uma conexão IPsec-VPN privada com o transit router.

    • Endereço IP da interface conectada ao circuito Express Connect: 10.0.0.2/30

    Pré-requisitos

    • Crie uma VPC na região China (Hangzhou) da Alibaba Cloud e implante os services relevantes usando o ECS. Para mais informações, consulte Create a VPC with an IPv4 CIDR block.

    • Verifique o gateway local para confirmar que ele suporta os protocolos padrão IKEv1 e IKEv2, permitindo estabelecer uma conexão IPsec-VPN privada com a Alibaba Cloud. Para confirmar se o gateway local suporta esses protocolos, consulte o fornecedor do equipamento.

    Procedimento

    Etapa 1: Ative a comunicação em rede privada entre o IDC e o VPC por meio de um circuito Express Connect e um transit router

    Etapa 1: Implante um circuito Express Connect

    Implante um circuito Express Connect para conectar o IDC local à Alibaba Cloud.

    1. Crie um circuito Express Connect.

      Solicite um circuito Express Connect na região China (Hangzhou). Para mais informações, consulte Apply for Classic Mode ou Hosted connection. Neste tópico, a opção Dedicated Physical Connection está selecionada.

    2. Crie uma instância VBR.

      1. Faça login no Express Connect console.

      2. No painel de navegação à esquerda, clique em Virtual Border Router (VBR).

      3. Na barra de menus superior, selecione a região China (Hangzhou).

        A região da instância VBR deve ser a mesma região à qual o circuito Express Connect pertence.

      4. Na página Virtual Border Router (VBR), clique em Create VBR.

      5. No painel Create VBR, configure os parâmetros conforme as informações a seguir e clique em OK.

        A seguir, estão listados apenas os itens de configuração diretamente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Create and manage VBRs.

        Item de configuração

        Descrição

        Name

        Neste tópico, insira VBR.

        Physical Connection

        Neste tópico, selecione o tipo Dedicated Express Connect Circuits e, em seguida, selecione a interface do circuito Express Connect criado.

        VLAN ID

        Neste tópico, insira 0.

        IPv4 Address of Gateway at Alibaba Cloud Side

        Neste tópico, insira 10.0.0.1.

        IPv4 Address of Gateway at Customer Side

        Neste exemplo, insira 10.0.0.2.

        Subnet Mask (IPv4 Address)

        Neste exemplo, insira 255.255.255.252.

    3. Adicione uma rota com destino ao IDC local na instância VBR.

      1. Na página Virtual Border Router (VBR), clique no ID da instância VBR.

      2. Clique na aba Route e, em seguida, clique em Add Route Entry na aba Custom Route Entry.

      3. No painel Add Route Entry, configure os parâmetros conforme as informações a seguir e clique em OK.

        Item de configuração

        Entrada de rota

        Next Hop Type

        Selecione Express Connect Circuit.

        Destination CIDR Block

        Insira o bloco CIDR 192.168.0.0/16 do IDC local.

        Next Hop

        Selecione o circuito Express Connect que você criou.
        Importante

        Ao adicionar uma rota ao data center (IDC) na instância VBR, recomendamos utilizar um bloco CIDR amplo. Assim, as rotas ao data center (IDC) aprendidas posteriormente pelo transit router por meio da conexão IPsec-VPN privada serão mais específicas do que as rotas atuais e terão prioridade mais alta.

    4. Adicione uma rota ao VPC no dispositivo de gateway local.

      Nota

      Neste exemplo, o software Adaptive Security Appliance (ASA) 9.19.1 é utilizado para descrever como configurar um firewall Cisco. Os comandos podem variar conforme a versão do software. Consulte a documentação ou o fornecedor de acordo com o seu ambiente durante as operações. Para mais informações, consulte Configure local gateways.

      O conteúdo a seguir contém informações de produtos de terceiros, fornecidas apenas para referência. A Alibaba Cloud não oferece garantias nem qualquer outra forma de compromisso quanto ao desempenho e à confiabilidade de produtos de terceiros, nem quanto aos possíveis impactos das operações realizadas com esses produtos.

      ciscoasa> enable
Password: ********             # Enter the enable mode password.
ciscoasa# configure terminal   # Enter configuration mode.
ciscoasa(config)#   
#The interface configuration on the Cisco firewall is complete and the interfaces are enabled. The following section provides an example of the interface configuration used in this topic.
ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0                #The interface that connects to the VBR.
 nameif VBR                                 #The name of the GigabitEthernet0/0 interface.
 security-level 0
 ip address 10.0.0.1 255.255.255.252        #The IP address configured on the GigabitEthernet0/0 interface.
!
interface GigabitEthernet0/2                #The interface that connects to the data center (IDC).
 nameif private                             #The name of the GigabitEthernet0/2 interface.
 security-level 100                         #Specifies that the security-level of the interface that connects to the data center (IDC) is lower than that of the interface that connects to Alibaba Cloud.
 ip address 192.168.50.215 255.255.255.0    #The IP address configured on the GigabitEthernet0/2 interface.
!
interface GigabitEthernet0/3                #The interface connecting to private IPsec-VPN tunnel 1.
 nameif VPN-IP1                             #The name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0    #The private IP address configured for the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4                #The interface connecting to private IPsec-VPN tunnel 2.
 nameif VPN-IP2                             #The name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0   #The private IP address configured for the GigabitEthernet0/4 interface.
!
#Configure a static route to the Alibaba Cloud VPC (172.16.0.0/16).
route VBR 172.16.0.0 255.255.0.0 10.0.0.2     
#Configure a route to the on-premises IDC clients.
route private 192.168.0.0 255.255.0.0 192.168.50.216

    Etapa 2: Configure o transit router

    Após conectar o IDC local à Alibaba Cloud por meio do circuito Express Connect, configure o transit router para habilitar a comunicação em rede privada entre o IDC local e o VPC.

    1. Create a CEN instance.

      Na caixa de diálogo Create a CEN instance., selecione Create CEN Only, defina um nome personalizado para a instância Cloud Enterprise Network (CEN) e mantenha os valores padrão para os demais itens de configuração.

    2. Create a transit router.

      Crie uma instância de transit router na região China (Hangzhou) para conectar a instância VBR e a instância VPC. Mantenha os valores padrão para os demais itens de configuração.

    3. Crie uma conexão VPC.

      1. Na aba Basic Information > Forwarding Router da página de detalhes da instância CEN, localize a instância de transit router na região China (Hangzhou) e clique em Create Connection na coluna Actions.

      2. Na página Connection with Peer Network Instance, configure os parâmetros conforme as informações a seguir e clique em OK para conectar a instância VPC ao transit router.

        A seguir, estão descritos apenas os itens de configuração diretamente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Procedure.

        Item de configuração

        Descrição

        Instance Type

        Selecione Virtual Private Cloud (VPC).

        Region

        Selecione China (Hangzhou).

        Attachment Name

        Defina um nome personalizado como VPC-Attachment.

        Network Instance

        Selecione VPC.

        VSwitch

        Selecione uma instância vSwitch em uma zona compatível com o transit router.

        Neste tópico, vSwitch 2 e vSwitch 3 são selecionados. Em regiões com suporte a múltiplas zonas, selecione ao menos uma instância vSwitch em cada uma de, no mínimo, duas zonas. Recomenda-se usar vSwitches sem cargas de trabalho ativas para criar a conexão VPC.

        Advanced Settings

        Utilize a configuração de rota padrão, habilitando todas as três configurações avançadas.

      3. Clique em Create More Connections para retornar à página Connection with Peer Network Instance.

    4. Crie uma conexão VBR.

      Na página Connection with Peer Network Instance, configure a conexão conforme as informações a seguir e clique em OK para conectar a instância VBR ao transit router. Apenas os itens de configuração diretamente relacionados a este tópico estão listados abaixo. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Connect a VBR to a transit router.

      Item de configuração

      Descrição

      Instance Type

      Selecione Virtual Border Router (VBR).

      Region

      Selecione China (Hangzhou).

      Attachment Name

      Defina o nome personalizado como VBR-Attachment.

      Network Instance

      Selecione VBR.

      Advanced Settings

      Utilize a configuração de rota padrão, habilitando todas as três configurações avançadas.

    Etapa 3: Teste a conectividade em rede privada

    Após concluir as configurações anteriores, a comunicação em rede privada entre o data center (IDC) e o VPC estará estabelecida. Execute as etapas a seguir para testar a conectividade em rede privada.

    Nota

    Verifique as regras do grupo de segurança aplicadas às instâncias ECS no VPC e as regras de controle de acesso aplicadas aos clientes no data center (IDC). Certifique-se de que tanto as regras do grupo de segurança das instâncias ECS quanto as regras de controle de acesso dos clientes no data center (IDC) permitam a comunicação entre esses clientes e as instâncias ECS no VPC. Para mais informações, consulte View security group rules e Add a security group rule.

    Nesta etapa, as regras de controle de acesso do data center (IDC) devem permitir o protocolo ICMP e o bloco CIDR do VPC, enquanto as regras do grupo de segurança das instâncias ECS devem permitir o protocolo ICMP e o bloco CIDR do data center (IDC).

    1. Faça login na instância ECS1 no VPC. Para mais informações, consulte Connection method overview.

    2. Execute o comando ping para acessar qualquer cliente no bloco CIDR do data center (IDC).

      ping <the IP address of a client in the data center>
      [root@iZr***viZ ~]# ping 192.168.20.6
PING 192.168.20.6 (192.168.20.6) 56(84) bytes of data.
64 bytes from 192.168.20.6: icmp_seq=1 ttl=60 time=153 ms
64 bytes from 192.168.20.6: icmp_seq=2 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=3 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=4 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=5 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=6 ttl=60 time=152 ms
^Z
[1]+  Stopped                 ping 192.168.20.6

      Conforme mostrado na saída anterior, se a instância ECS1 receber os pacotes de resposta, a comunicação em rede privada entre o IDC local e o VPC estará estabelecida.

    Etapa 2: Criptografe o tráfego em rede privada nos circuitos Express Connect

    Após estabelecer a comunicação em rede privada entre o data center (IDC) e o VPC, crie uma conexão IPsec-VPN do tipo rede privada entre o dispositivo de gateway local e o transit router. Em seguida, use a configuração de rotas para direcionar o tráfego entre o data center (IDC) e o VPC pela conexão IPsec-VPN privada, criptografando assim o tráfego em rede privada no circuito Express Connect.

    Etapa 1: Estabelecer uma conexão IPsec-VPN privada

    1. Adicione o bloco CIDR 10.10.10.0/24 ao transit router. Para mais informações, consulte Add a CIDR block to an existing router.

      O bloco CIDR do transit router é utilizado para atribuir endereços IP de gateway à conexão IPsec, possibilitando o estabelecimento de uma conexão IPsec-VPN privada. Esse bloco CIDR não pode conflitar com os blocos CIDR do data center (IDC) nem com os da VPC que precisam participar da comunicação de rede.

    2. Crie dois customer gateways para registrar os dois endereços IP de VPN do dispositivo de gateway local na Alibaba Cloud.

      1. Faça login no VPN gateway console.

      2. No painel de navegação à esquerda, escolha Interconnections - VPN - Customer Gateways.

      3. Na página Customer Gateway, clique em Create Customer Gateway.

      4. No painel Create Customer Gateway, configure os parâmetros conforme as informações a seguir e clique em OK.

        Esta seção lista apenas os itens de configuração diretamente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Customer Gateway.

        • Customer gateway 1

          • Name: Defina o nome do customer gateway como Customer-Gateway1.

          • IP Address: Insira o endereço IP de VPN 1 do dispositivo de gateway local: 192.168.10.136.

        • Customer gateway 2

          • Name: Defina o nome do customer gateway como Customer-Gateway2.

          • IP Address: Insira o endereço IP de VPN 2 do dispositivo de gateway local: 192.168.40.159.

    3. Crie uma conexão VPC.

      1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

      2. Na página IPsec Connections, clique em Bind CEN.

      3. Na página Create IPsec-VPN Connection, configure a conexão IPsec conforme as informações a seguir e clique em OK.

        A seção a seguir lista apenas os itens de configuração fortemente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte IPsec-VPN connection (attached to a TR).

        Item de configuração

        Conexão IPsec

        Name

        Defina o valor como IPsec connection.

        Region

        Selecione a região onde o transit router está implantado.

        A conexão ipsec-vpn é criada na mesma região do transit router.

        Gateway Type

        Selecione Private.

        Bind CEN

        Selecione Same Account.

        CEN Instance ID

        Selecione a instância do Cloud Enterprise Network (CEN) criada em Step 2.

        O console exibe o ID e o bloco CIDR do transit router criado para a instância CEN na região atual. A conexão ipsec-vpn será associada a esse transit router.

        Routing Mode

        Este tópico utiliza o modo Destination Routing Mode, e o tráfego transmitido é controlado por rotas.

        Tunnel 1

        Customer Gateway

        Associe Customer-Gateway1.

        Pre-Shared Key

        fddsFF111****.

        Importante

        A chave pré-compartilhada da conexão IPsec-VPN deve ser idêntica à chave pré-compartilhada do dispositivo de gateway remoto. Caso contrário, a conexão IPsec-VPN não poderá ser estabelecida.

        Encryption Configuration

        Exceto pelos parâmetros listados a seguir, mantenha os valores padrão para os demais itens de configuração.

        • Para DH Group (Perfect Forward Secrecy) em IKE Configurations, selecione group14.

        • Para DH Group (Perfect Forward Secrecy) em IPsec Configurations, selecione group14.

        Nota

        É necessário selecionar os parâmetros de criptografia de acordo com o dispositivo de gateway local para garantir que as configurações de criptografia da conexão IPsec sejam idênticas às do dispositivo de gateway local.

        Tunnel 2

        Customer Gateway

        Associe Customer-Gateway2.

        Pre-Shared Key

        fddsFF222****.

        Encryption Configuration

        Mantenha os valores padrão para os itens não descritos na tabela a seguir.

        • Defina DH Group (Perfect Forward Secrecy) em IKE Configurations como group14.

        • Defina DH Group (Perfect Forward Secrecy) em IPsec Configurations como group14.

        Nota

        É necessário selecionar os parâmetros de criptografia de acordo com o dispositivo de gateway local para garantir que as configurações de criptografia da conexão IPsec sejam idênticas às do dispositivo de gateway local.

        Advanced Settings

        Utilize a configuração de rota padrão, ou seja, ative todas as opções de configuração avançada.

        Após criar a conexão IPsec, você pode visualizar os endereços IP de gateway na página de detalhes da conexão. A conexão IPsec utiliza esses dois endereços IP de gateway para estabelecer uma conexão IPsec-VPN privada com o dispositivo de gateway local. Após a criação, clique na aba Tunnel na página de detalhes da conexão IPsec para verificar os endereços IP de gateway dos dois túneis: o endereço IP de gateway do Tunnel 1 é 10.10.10.49 e o do Tunnel 2 é 10.10.10.50. O status de conexão de ambos os túneis é Phase 2 negotiation succeeded e o status é Normal.

    4. Retorne à página IPsec-VPN connection, localize a conexão IPsec criada e clique em Generate Peer Configuration na coluna Actions.

      A configuração do peer corresponde à configuração de VPN que deve ser adicionada ao peer da conexão IPsec. No cenário descrito neste tópico, essas configurações precisam ser adicionadas ao dispositivo de gateway local.

    5. Na caixa de diálogo IPsec-VPN Connection Configuration, copie a configuração e salve-a localmente para uso posterior na configuração do dispositivo de gateway local.

    6. Configure o dispositivo de gateway do cliente.

      Após criar a conexão IPsec, adicione a configuração de VPN ao dispositivo de gateway local para que uma conexão IPsec-VPN privada possa ser estabelecida entre esse dispositivo e a Alibaba Cloud.

      Click to view the configuration of the on-premises gateway device.

      1. Faça login na janela de linha de comando do firewall Cisco e entre no modo de configuração.

        ciscoasa> enable
Password: ********             #Enter the password for enable mode.
ciscoasa# configure terminal   #Enter configuration mode.
ciscoasa(config)#

      2. Visualize a configuração de interface e a configuração de rota.

        A configuração de interface já está concluída no firewall Cisco e as interfaces estão habilitadas. A seguir, um exemplo de configuração de interface utilizado neste tópico.

        ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/3               #The interface that connects to private IPsec-VPN tunnel 1.
 nameif VPN-IP1                            #The name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0   #The private IP address configured for the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4               #The interface that connects to private IPsec-VPN tunnel 2.
 nameif VPN-IP2                            #The name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0  #The private IP address configured for the GigabitEthernet0/4 interface.
!
#Configure a route to the transit router CIDR block (gateway IP address of the IPsec connection) to establish a private IPsec-VPN connection.
route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of tunnel 1 on the Alibaba Cloud side.
route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of tunnel 2 on the Alibaba Cloud side.

      3. Ative o IKEv2 para a interface.

        crypto ikev2 enable VPN-IP1
crypto ikev2 enable VPN-IP2

      4. Crie uma IKEv2 Policy e especifique o algoritmo de autenticação, o algoritmo de criptografia, o grupo DH e o tempo de vida da SA para a fase IKE. Essas configurações devem ser consistentes com as do lado da Alibaba Cloud.

        Importante

        Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IKE Configurations. Recomenda-se fazer o mesmo no firewall Cisco e garantir que os valores correspondam à configuração da Alibaba Cloud.

        crypto ikev2 policy 10     
 encryption aes             #Specify the encryption algorithm.
 integrity sha              #Specify the authentication algorithm.
 group 14                   #Specify the DH group.
 prf sha                    #The prf value must be the same as the integrity value. On the Alibaba Cloud side, prf defaults to the same value as the authentication algorithm.
 lifetime seconds 86400     #Specify the SA lifetime.

      5. Crie uma proposta e um perfil IPsec. Especifique o algoritmo de criptografia, o algoritmo de autenticação, o grupo DH e o tempo de vida da SA para a fase IPsec. Essas configurações devem corresponder à configuração da Alibaba Cloud.

        Importante

        Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IPsec Configurations. Recomenda-se fazer o mesmo no firewall Cisco e garantir que os valores correspondam à configuração da Alibaba Cloud.

        crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Create an IPsec proposal.
 protocol esp encryption aes                         #Specify the encryption algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
 protocol esp integrity sha-1                        #Specify the authentication algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Create an IPsec profile and apply the created proposal. 
 set ikev2 local-identity address                    #Set the local ID format to IP address to match the RemoteId format on the Alibaba Cloud side.
 set pfs group14                                     #Specify PFS and the DH group.
 set security-association lifetime seconds 86400     #Specify the time-based SA lifetime.
 set security-association lifetime kilobytes unlimited #Disable the traffic-based SA lifetime.

      6. Crie um grupo de túnel e especifique a chave pré-compartilhada do túnel, que deve ser consistente com a do lado da Alibaba Cloud.

        tunnel-group 10.10.10.49 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 1.
tunnel-group 10.10.10.49 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF111****  #Specify the pre-shared key of the peer of tunnel 1, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF111****   #Specify the pre-shared key of the local end of tunnel 1, which must be consistent with that on the Alibaba Cloud side.
!
tunnel-group 10.10.10.50 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 2.
tunnel-group 10.10.10.50 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF222****  #Specify the pre-shared key of the peer of tunnel 2, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF222****   #Specify the pre-shared key of the local end of tunnel 2, which must be consistent with that on the Alibaba Cloud side.
!

      7. Crie uma interface de túnel.

        interface Tunnel1                                  #Create the interface for tunnel 1.
 nameif ALIYUN1
 ip address 169.254.10.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP1                   #Specify the source address of tunnel 1 as interface GigabitEthernet0/3.
 tunnel destination 10.10.10.49                    #Specify the destination address of tunnel 1 as the private IP address of tunnel 1 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 1 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 1 interface.
!
interface Tunnel2                                  #Create the interface for tunnel 2.
 nameif ALIYUN2                
 ip address 169.254.20.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP2                   #Specify the source address of tunnel 2 as interface GigabitEthernet0/4.
 tunnel destination 10.10.10.50                    #Specify the destination address of tunnel 2 as the private IP address of tunnel 2 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 2 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 2 interface.
!

      Após concluir as configurações acima, o data center (IDC) consegue estabelecer com sucesso uma conexão IPsec-VPN privada com a Alibaba Cloud. O status dessa conexão pode ser verificado na página de detalhes da instância da conexão IPsec no console da Alibaba Cloud. Caso a conexão não seja estabelecida com sucesso no seu ambiente, tente solucionar o problema por conta própria. Para mais informações, consulte Self-service diagnostics. Após concluir a configuração, verifique o status de conexão dos dois túneis na aba Tunnel do VPN gateway. Tanto o Tunnel 1 (endereço IP de gateway 10.10.10.4910.10.10.49) quanto o Tunnel 2 (endereço IP de gateway 10.10.10.50) exibem Phase 2 negotiation succeeded e o status é Normal, indicando que a conexão IPsec-VPN privada foi estabelecida com sucesso.

    Etapa 2: Configure as rotas

    Após criar a conexão IPsec-VPN privada, o tráfego entre o data center (IDC) e a VPC ainda é transmitido pelo circuito do Express Connect e não é criptografado. Adicione as rotas necessárias para que o tráfego entre o data center (IDC) e a VPC passe pela conexão IPsec-VPN privada.

    1. Modifique a configuração de rotas no dispositivo de gateway local.

      #Configure a route to the VPC so that traffic is transmitted over the private IPsec-VPN connection
route ALIYUN1 172.16.0.0 255.255.0.0 10.10.10.49 4        
route ALIYUN2 172.16.0.0 255.255.0.0 10.10.10.50 5 
#Modify the priority of the static route pointing to the Express Connect circuit so that its priority is lower than that of the static route pointing to the private IPsec-VPN connection.
route VBR 172.16.0.0 255.255.0.0 10.0.0.2  10
      Importante

      Neste cenário, o tráfego do data center (IDC) para a VPC é transmitido preferencialmente pelo Tunnel 1. Quando o Tunnel 1 é interrompido, o tráfego passa automaticamente pelo Tunnel 2. O tráfego da VPC para o data center (IDC) é distribuído aleatoriamente entre os dois túneis.

    2. Adicione uma entrada de rota para o data center (IDC) na conexão IPsec.

      1. Faça login no VPN Gateway console.

      2. No painel de navegação à esquerda, escolha Interconnections- VPN - IPsec Connections.

      3. Na barra de status superior, selecione a região China (Hangzhou).

      4. Na página IPsec Connections, localize a instância de conexão IPsec de destino e clique em seu ID.

      5. Na aba Destination-based Route Table, clique em Add Route Entry.

      6. No painel Add Route Entry, configure a rota de destino com as informações abaixo e clique em OK.

        Importante

        Ao adicionar uma rota para o data center (IDC), certifique-se de que o bloco CIDR de destino seja mais específico do que o bloco CIDR adicionado à instância VBR, para que a rota para o data center (IDC) aprendida pelo transit router pela conexão IPsec-VPN privada seja preferida.

        Item de configuração

        Bloco CIDR 1

        Bloco CIDR 2

        Bloco CIDR 3

        Destination CIDR Block

        Insira 192.168.10.0/24.

        Insira 192.168.20.0/24.

        Insira 192.168.40.0/24.

        Next Hop Type

        Selecione IPsec-VPN connection.

        Next Hop

        Selecione a conexão IPsec que você criou.

    3. Adicione uma entrada de rota personalizada para o transit router.

      Após concluir a configuração de rotas descrita acima, a conexão IPsec-VPN privada é interrompida. Adicione uma rota específica com destino ao endereço IP de VPN do dispositivo de gateway local à tabela de rotas do transit router, com o próximo salto apontando para a instância VBR, para restabelecer a conexão IPsec-VPN privada.

      1. Permaneça na aba Route Table, clique na aba Route e, em seguida, clique em Create Route.

      2. Na caixa de diálogo Add Route Entry, configure as informações da entrada de rota e clique em OK.

        Parâmetro

        Bloco CIDR 1

        CIDR block 2

        Destination CIDR

        Insira o endereço IP de VPN 1 do dispositivo de gateway local 192.168.10.136/32.

        Insira o endereço IP de VPN 2 do dispositivo de gateway local 192.168.40.159/32.

        Blackhole Route?

        Selecione No.

        Next Hop Connection

        Selecione VBR-Attachment.

    Etapa 3: Verifique o efeito da criptografia

    Após concluir as configurações anteriores, se for possível visualizar dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec, o tráfego de rede privada pelo circuito do Express Connect está sendo criptografado.

    1. Faça login na instância ECS1 na VPC. Execute o comando ping para acessar continuamente qualquer cliente no bloco CIDR do IDC local.

      ping <IP address of a client in the data center> -s 1000 -c 10000

      • -s 1000: especifica o envio de pacotes de 1000 bytes.

      • -c 10000: envia continuamente 10000 pacotes de requisição.

    2. Faça login no VPN Gateway console.

    3. Na barra de navegação superior, selecione a região China (Hangzhou).

    4. No painel de navegação à esquerda, escolha Interconnections - VPN - IPsec Connections.

    5. Na página IPsec-VPN connection, localize a conexão IPsec criada e clique no ID da conexão IPsec.

      Visualize os dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec. IPsec