Todos os produtos
Search

Este produto

    VPN Gateway:Combine static and BGP routing for encrypted traffic over a physical connection

    Central de documentação

    VPN Gateway:Combine static and BGP routing for encrypted traffic over a physical connection

    Última atualização: Sep 25, 2026

    Este guia explica como criptografar o tráfego em um circuito Express Connect criando uma conexão IPsec-VPN privada entre um dispositivo de gateway do cliente e um transit router — combinando roteamento estático no virtual border router (VBR) com roteamento dinâmico BGP sobre a conexão VPN.

    Informações gerais

    • Antes de começar, recomendamos que você compreenda os princípios de criptografia do tráfego de rede privada em circuitos Express Connect. Para mais informações, consulte Encrypt Express Connect traffic.

    • Se o dispositivo de gateway local suportar o protocolo de roteamento dinâmico BGP, recomendamos que tanto a instância VBR quanto a conexão IPsec-VPN privada utilizem o protocolo de roteamento dinâmico BGP para implementar a criptografia do tráfego de rede privada em circuitos Express Connect. Para tutoriais relacionados, consulte Encrypt private traffic over Express Connect with BGP.

    Cenário

    Este tópico utiliza o cenário ilustrado na figura a seguir como exemplo. Uma empresa possui um data center (IDC, Internet Data Center) em Hangzhou e uma VPC na região China (Hangzhou) da Alibaba Cloud. Os services relevantes estão implantados na VPC por meio do Elastic Compute Service (ECS). Com o crescimento dos negócios, o IDC local precisa se conectar à cloud. Com base em determinados requisitos de conformidade de segurança, a empresa precisa usar um circuito Express Connect e um transit router para implementar a comunicação de rede privada entre o IDC local e a VPC. Além disso, para reduzir o risco de vazamento de dados e evitar que dados confidenciais sejam roubados ou adulterados por pessoal interno ou externo, a empresa deseja que todo o tráfego transmitido pelo circuito Express Connect seja criptografado antes de chegar à Alibaba Cloud.

    Após estabelecer a conectividade privada entre o data center local e a VPC, a empresa pode criar uma conexão IPsec-VPN privada entre seu dispositivo de gateway do cliente e o transit router. Essa conexão IPsec-VPN privada criptografa o tráfego que passa pela conexão física, atendendo aos requisitos de segurança da empresa.

    image

    Plano de rede

    Importante

    Ao planejar os blocos CIDR do seu data center local e das instâncias de rede relacionadas, certifique-se de que os blocos CIDR não se sobreponham.

    Routing mechanism

    Para criptografar o tráfego privado em uma conexão física, controle a seleção de rotas da seguinte forma:

    • Tráfego da VPC para o data center local:

      O transit router aprende as rotas para o data center tanto pelo VBR quanto pela conexão IPsec-VPN privada. Por padrão, o transit router prefere a rota pelo VBR, fazendo com que o tráfego flua sem criptografia pela conexão física.

      Para direcionar o tráfego pelo caminho VPN criptografado, use máscaras de sub-rede diferentes. Adicione um bloco CIDR mais amplo (máscara mais curta) ao VBR e anuncie um bloco CIDR mais específico (máscara mais longa) pela conexão IPsec-VPN.

      Por exemplo, se o bloco CIDR do data center for 192.168.0.0/16 e o bloco CIDR do cliente no data center que se comunica com a VPC for 192.168.20.0/24, adicione o bloco CIDR do data center 192.168.0.0/16 à instância VBR e faça com que o dispositivo de gateway local anuncie o bloco CIDR específico do cliente 192.168.20.0/24 para a conexão IPsec-VPN privada. Isso garante que a rota aprendida pela conexão IPsec-VPN privada no transit router seja preferida, de modo que o tráfego da VPC para o cliente seja preferencialmente criptografado e transmitido pela conexão IPsec-VPN privada.

    • Tráfego do data center local para a VPC:

      O data center aprende automaticamente as rotas para a VPC pela conexão IPsec-VPN. Adicione também uma rota estática para o bloco CIDR da VPC no dispositivo de gateway do cliente com o próximo salto apontando para a conexão física e, em seguida, reduza sua prioridade para que a rota VPN aprendida dinamicamente tenha precedência. O tráfego flui então pela conexão IPsec-VPN criptografada.

    Nota

    O mecanismo de roteamento atual também garante que, após a interrupção da conexão IPsec-VPN privada, o IDC local e a VPC ainda possam se comunicar por rede privada por meio do circuito Express Connect e do transit router, porém o tráfego deixará de ser criptografado.

    Basic CIDR block planning

    Resource

    CIDR block

    IP address

    VPC

    • Primary CIDR block: 172.16.0.0/16

    • vSwitch 1, located in zone H: 172.16.10.0/24

    • vSwitch 2, located in zone H: 172.16.20.0/24

    • vSwitch 3, located in zone J: 172.16.30.0/24

    • ECS1: 172.16.10.225

    • ECS2: 172.16.10.226

    VBR

    10.0.0.0/30

    • VLAN ID: 0

    • Alibaba Cloud-side IPv4 interconnection IP address: 10.0.0.1/30

    • Customer-side IPv4 interconnection IP address: 10.0.0.2/30

      In this topic, the customer side refers to the customer gateway device.

    On-premises data center

    Client CIDR block: 192.168.20.0/24

    Client IP address: 192.168.20.6

    Customer gateway device CIDR blocks:

    • 10.0.0.0/30

    • 192.168.10.0/24

    • 192.168.40.0/24

    • VPN IP address 1: 192.168.10.136

    • VPN IP address 2: 192.168.40.159

      The VPN IP address is the IP address of the interface on the customer gateway device that establishes the private IPsec-VPN connection with the transit router.

    • IP address of the interface connected to the physical connection: 10.0.0.2/30

    • AS number: 65530

    BGP CIDR block planning

    O bloco CIDR do túnel BGP deve ser um bloco CIDR com máscara de sub-rede /30 dentro de 169.254.0.0/16, e não pode ser 169.254.0.0/30, 169.254.1.0/30, 169.254.2.0/30, 169.254.3.0/30, 169.254.4.0/30, 169.254.5.0/30, 169.254.6.0/30 nem 169.254.169.252/30. Os dois túneis de uma conexão IPsec não podem utilizar o mesmo bloco CIDR de túnel.

    Resource

    Tunnel

    BGP tunnel CIDR block

    BGP IP address

    BGP AS number (local autonomous system number)

    IPsec connection instance

    Tunnel 1

    169.254.10.0/30

    169.254.10.1

    65534

    Tunnel 2

    169.254.20.0/30

    169.254.20.1

    On-premises gateway device

    Tunnel 1

    169.254.10.0/30

    169.254.10.2

    65530

    Tunnel 2

    169.254.20.0/30

    169.254.20.2

    Pré-requisitos

    • Crie uma VPC na região China (Hangzhou) da Alibaba Cloud e implante os services relevantes usando ECS. Para mais informações, consulte Create a VPC with an IPv4 CIDR block.

    • Verifique o dispositivo de gateway local para garantir que ele suporte os protocolos padrão IKEv1 e IKEv2, possibilitando o estabelecimento de uma conexão IPsec-VPN privada com a Alibaba Cloud. Para confirmar se o dispositivo de gateway local suporta os protocolos padrão IKEv1 e IKEv2, consulte o fornecedor do dispositivo.

    Procedimento

    Etapa 1: Conectar o data center a uma VPC

    Etapa 1: Implantar um circuito Express Connect

    Implante um circuito Express Connect para conectar o IDC local à Alibaba Cloud.

    1. Crie um circuito Express Connect.

      Solicite um circuito Express Connect na região China (Hangzhou). Para mais informações, consulte Apply for Classic Mode ou Hosted connection. Neste tópico, a opção Dedicated Physical Connection está selecionada.

    2. Crie uma instância VBR.

      1. Faça login no Express Connect console.

      2. No painel de navegação à esquerda, clique em Virtual Border Router (VBR).

      3. Na barra de menus superior, selecione a região China (Hangzhou).

        A região da instância VBR deve ser a mesma região à qual o circuito Express Connect pertence.

      4. Na página Virtual Border Router (VBR), clique em Create VBR.

      5. No painel Create VBR, configure as opções conforme as informações a seguir e clique em OK.

        A seguir, estão listados apenas os itens de configuração diretamente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Create and manage VBRs.

        Item de configuração

        Descrição

        Name

        Neste tópico, insira VBR.

        Physical Connection

        Neste tópico, selecione o tipo Dedicated Express Connect Circuits e, em seguida, selecione a interface do circuito Express Connect criada.

        VLAN ID

        Neste tópico, insira 0.

        IPv4 Address of Gateway at Alibaba Cloud Side

        Neste tópico, insira 10.0.0.1.

        IPv4 Address of Gateway at Customer Side

        Neste exemplo, insira 10.0.0.2.

        Subnet Mask (IPv4 Address)

        Neste exemplo, insira 255.255.255.252.

    3. Adicione uma rota destinada ao IDC local na instância VBR.

      1. Na página Virtual Border Router (VBR), clique no ID da instância VBR.

      2. Clique na aba Route e, em seguida, clique em Add Route Entry na aba Custom Route Entry.

      3. No painel Add Route Entry, configure as opções conforme as informações a seguir e clique em OK.

        Item de configuração

        Entrada de rota

        Next Hop Type

        Selecione Express Connect Circuit.

        Destination CIDR Block

        Insira o bloco CIDR 192.168.0.0/16 do IDC local.

        Next Hop

        Selecione o circuito Express Connect que você criou.
        Importante

        Ao adicionar uma rota para o data center (IDC) na instância VBR, recomendamos usar um bloco CIDR abrangente. Dessa forma, as rotas para o data center (IDC) que o transit router posteriormente aprende pela conexão IPsec-VPN privada serão mais específicas do que as rotas atuais e terão maior prioridade de roteamento.

    4. Adicione uma rota para a VPC no dispositivo de gateway local.

      Nota

      Neste exemplo, o software Adaptive Security Appliance (ASA) 9.19.1 é utilizado para descrever como configurar um firewall Cisco. Os comandos podem variar conforme a versão do software. Consulte a documentação ou o fornecedor de acordo com o ambiente real durante as operações. Para mais informações, consulte Configure local gateways.

      O conteúdo a seguir contém informações sobre products de terceiros, fornecidas apenas para referência. A Alibaba Cloud não oferece garantias nem qualquer outra forma de compromisso quanto ao desempenho e à confiabilidade de products de terceiros, nem quanto aos possíveis impactos das operações realizadas com esses products.

      ciscoasa> enable
Password: ********             # Enter the enable mode password.
ciscoasa# configure terminal   # Enter configuration mode.
ciscoasa(config)#   
#The interface configuration on the Cisco firewall is complete and the interfaces are enabled. The following section provides an example of the interface configuration used in this topic.
ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0                #The interface that connects to the VBR.
 nameif VBR                                 #The name of the GigabitEthernet0/0 interface.
 security-level 0
 ip address 10.0.0.1 255.255.255.252        #The IP address configured on the GigabitEthernet0/0 interface.
!
interface GigabitEthernet0/2                #The interface that connects to the data center (IDC).
 nameif private                             #The name of the GigabitEthernet0/2 interface.
 security-level 100                         #Specifies that the security-level of the interface that connects to the data center (IDC) is lower than that of the interface that connects to Alibaba Cloud.
 ip address 192.168.50.215 255.255.255.0    #The IP address configured on the GigabitEthernet0/2 interface.
!
interface GigabitEthernet0/3                #The interface connecting to private IPsec-VPN tunnel 1.
 nameif VPN-IP1                             #The name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0    #The private IP address configured for the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4                #The interface connecting to private IPsec-VPN tunnel 2.
 nameif VPN-IP2                             #The name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0   #The private IP address configured for the GigabitEthernet0/4 interface.
!
#Configure a static route to the Alibaba Cloud VPC (172.16.0.0/16).
route VBR 172.16.0.0 255.255.0.0 10.0.0.2     
#Configure a route to the on-premises IDC clients.
route private 192.168.0.0 255.255.0.0 192.168.50.216

    Etapa 2: Configurar um transit router

    Após conectar o IDC local à Alibaba Cloud por meio de um circuito Express Connect, configure o transit router para viabilizar a comunicação em rede privada entre o IDC local e a VPC.

    1. Create a CEN instance.

      Na caixa de diálogo Create a CEN instance., selecione Create CEN Only, defina um nome personalizado para a instância Cloud Enterprise Network (CEN) e mantenha os demais itens de configuração com os valores padrão.

    2. Create a transit router.

      Crie uma instância de transit router na região China (Hangzhou) para conectar a instância VBR e a instância VPC. Mantenha os valores padrão para os demais itens de configuração.

    3. Crie uma conexão VPC.

      1. Na aba Basic Information > Forwarding Router da página de detalhes da instância CEN, localize a instância de transit router na região China (Hangzhou) e clique em Create Connection na coluna Actions.

      2. Na página Connection with Peer Network Instance, configure as opções conforme as informações a seguir e clique em OK para conectar a instância VPC ao transit router.

        A seção a seguir descreve apenas os itens de configuração diretamente relacionados a este tópico. Mantenha os valores padrão para os demais itens. Para mais informações, consulte Procedure.

        Item de configuração

        Descrição

        Instance Type

        Selecione Virtual Private Cloud (VPC).

        Region

        Selecione China (Hangzhou).

        Attachment Name

        Defina um nome personalizado como VPC-Attachment.

        Network Instance

        Selecione VPC.

        VSwitch

        Selecione uma instância vSwitch em uma zona compatível com o transit router.

        Neste tópico, vSwitch 2 e vSwitch 3 estão selecionados. Em regiões com suporte a múltiplas zonas, selecione ao menos uma instância vSwitch em cada uma de pelo menos duas zonas. Recomenda-se utilizar vSwitches sem workloads ativos para criar a conexão VPC.

        Advanced Settings

        Use a configuração de rota padrão, ou seja, ative as três configurações avançadas.

      3. Clique em Create More Connections para retornar à página Connection with Peer Network Instance.

    4. Crie uma conexão VBR.

      Na página Connection with Peer Network Instance, configure a conexão conforme as informações a seguir e clique em OK para conectar a instância VBR ao transit router. Apenas os itens de configuração diretamente relacionados a este tópico estão listados abaixo. Mantenha os demais itens com os valores padrão. Para mais informações, consulte Connect a VBR to a transit router.

      Item de configuração

      Descrição

      Instance Type

      Selecione Virtual Border Router (VBR).

      Region

      Selecione China (Hangzhou).

      Attachment Name

      Defina o nome personalizado como VBR-Attachment.

      Network Instance

      Selecione VBR.

      Advanced Settings

      Use a configuração de rota padrão, isto é, ative as três configurações avançadas.

    Etapa 3: Testar a conectividade de rede privada

    Após concluir as configurações anteriores, a comunicação em rede privada entre o data center (IDC) e a VPC estará estabelecida. Execute as etapas a seguir para testar a conectividade de rede privada.

    Nota

    Verifique as regras do grupo de segurança aplicadas às instâncias ECS na VPC e as regras de controle de acesso aplicadas aos clientes no data center (IDC). Certifique-se de que tanto as regras do grupo de segurança das instâncias ECS quanto as regras de controle de acesso dos clientes no data center (IDC) permitam a comunicação entre esses clientes e as instâncias ECS na VPC. Para mais informações, consulte View security group rules e Add a security group rule.

    Nesta etapa, as regras de controle de acesso do data center (IDC) devem permitir o protocolo ICMP e o bloco CIDR da VPC, e as regras do grupo de segurança das instâncias ECS devem permitir o protocolo ICMP e o bloco CIDR do data center (IDC).

    1. Faça login na instância ECS1 na VPC. Para mais informações, consulte Connection method overview.

    2. Execute o comando ping para acessar qualquer cliente no bloco CIDR do data center (IDC).

      ping <the IP address of a client in the data center>
      [root@iZr***viZ ~]# ping 192.168.20.6
PING 192.168.20.6 (192.168.20.6) 56(84) bytes of data.
64 bytes from 192.168.20.6: icmp_seq=1 ttl=60 time=153 ms
64 bytes from 192.168.20.6: icmp_seq=2 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=3 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=4 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=5 ttl=60 time=152 ms
64 bytes from 192.168.20.6: icmp_seq=6 ttl=60 time=152 ms
^Z
[1]+  Stopped                 ping 192.168.20.6

      Conforme mostrado na saída acima, se a instância ECS1 receber pacotes de resposta, a comunicação em rede privada entre o IDC local e a VPC estará estabelecida.

    Etapa 2: Criptografar o tráfego de rede privada

    Após estabelecer uma conexão privada entre o data center e o VPC, crie uma conexão IPsec-VPN privada entre o dispositivo de gateway do cliente e o transit router. Em seguida, configure rotas para direcionar o tráfego pela conexão IPsec-VPN e assim criptografar o tráfego da rede privada.

    Etapa 2a: Criar uma conexão IPsec-VPN privada

    1. Adicione o bloco CIDR 10.10.10.0/24 ao transit router. Para mais informações, consulte Add a CIDR block to an existing router.

      O bloco CIDR do transit router é usado para atribuir endereços IP de gateway à conexão IPsec, permitindo que uma conexão IPsec-VPN privada seja estabelecida. Esse bloco CIDR não pode conflitar com os blocos CIDR do data center (IDC) e do VPC que precisam participar da comunicação de rede.

    2. Crie dois customer gateways para registrar os endereços IP de VPN e o BGP ASN do dispositivo de gateway do cliente na Alibaba Cloud.

      1. Faça login no VPN gateway console.

      2. No painel de navegação à esquerda, escolha Interconnections - VPN - Customer Gateways.

      3. Na página Customer Gateway, clique em Create Customer Gateway.

      4. No painel Create Customer Gateway, configure os parâmetros a seguir e clique em OK.

        A seguir, são descritos apenas os parâmetros diretamente relacionados a este tópico. Mantenha os valores padrão para os demais parâmetros. Para mais informações, consulte Customer Gateway.

        • Customer gateway 1

          • Name: Defina o nome do customer gateway como Customer-Gateway1.

          • IP Address: Insira o endereço IP de VPN 1 do dispositivo de gateway local: 192.168.10.136.

          • ASN: Insira o número BGP AS do dispositivo de gateway local: 65530.

        • Customer gateway 2

          • Name: Defina o nome do customer gateway como Customer-Gateway2.

          • IP Address: Insira o endereço IP de VPN 2 do dispositivo de gateway local: 192.168.40.159.

          • ASN: Insira o número BGP AS do dispositivo de gateway local: 65530.

    3. Crie uma conexão VPC.

      1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

      2. Na página IPsec Connections, clique em Bind CEN.

      3. Na página Create IPsec-VPN Connection, configure a conexão IPsec com base nas informações a seguir e clique em OK.

        A seguir, são listados apenas os itens de configuração diretamente relacionados a este tópico. Os demais itens mantêm seus valores padrão. Para mais informações, consulte IPsec-VPN connection (attached to a TR).

        Parâmetro

        Conexão IPsec

        Name

        Defina como IPsec-Connection.

        Region

        Selecione a região onde o transit router está implantado.

        A conexão ipsec-vpn é criada na mesma região do transit router.

        Gateway Type

        Selecione Private.

        Bind CEN

        Selecione Same Account.

        CEN Instance ID

        Selecione a instância do Cloud Enterprise Network (CEN) que você criou.

        O console exibe o ID e o bloco CIDR do transit router criado para a instância CEN na região atual. A conexão ipsec-vpn será anexada a esse transit router.

        Routing Mode

        Este tópico utiliza o modo Destination Routing Mode, e o tráfego transmitido é controlado por rotas.

        Enable BGP

        Ative o recurso BGP.

        Local ASN

        Insira o número BGP AS da conexão IPsec: 65534.

        Tunnel 1

        Customer Gateway

        Associe Customer-Gateway1.

        Pre-Shared Key

        fddsFF111****.

        Importante

        A chave pré-compartilhada da conexão IPsec-VPN deve ser idêntica à do dispositivo de gateway par. Caso contrário, a conexão IPsec-VPN não poderá ser estabelecida.

        Encryption Configuration

        Mantenha os valores padrão para todos os demais itens de configuração, exceto os parâmetros a seguir.

        • Selecione group14 para DH Group (Perfect Forward Secrecy) em IKE Settings.

        • Selecione group14 para DH Group (Perfect Forward Secrecy) em IPsec Settings.

        Nota

        Os parâmetros de criptografia devem ser selecionados de acordo com o dispositivo de gateway local, garantindo que as configurações de criptografia da conexão IPsec sejam idênticas às do dispositivo de gateway local.

        BGP Configuration

        • Tunnel CIDR Block: Insira 169.254.10.0/30.

        • Local BGP IP address: Insira 169.254.10.1.

        Tunnel 2

        Customer Gateway

        Associe Customer-Gateway2.

        Pre-Shared Key

        fddsFF222****.

        Encryption Configuration

        Mantenha os valores padrão para todos os demais itens de configuração, exceto os parâmetros a seguir.

        • Para o DH Group (Perfect Forward Secrecy) em IKE Settings, selecione group14.

        • Para o DH Group (Perfect Forward Secrecy) em IPsec Settings, selecione group14.

        Nota

        Os parâmetros de criptografia devem ser selecionados de acordo com o dispositivo de gateway local, garantindo que as configurações de criptografia da conexão IPsec sejam idênticas às do dispositivo de gateway local.

        BGP Configuration

        • Tunnel CIDR Block: Insira 169.254.20.0/30.

        • Local BGP IP address: Insira 169.254.20.1.

        Advanced Configuration (including route table association and route forwarding)

        Use a configuração de rota padrão, ou seja, ative todas as opções de configuração avançada.

        Após criar a conexão IPsec, você pode visualizar os endereços IP de gateway da conexão IPsec na página de detalhes da conexão. A conexão IPsec utiliza esses dois endereços IP de gateway para estabelecer uma conexão IPsec-VPN privada com o dispositivo de gateway local.

    4. Volte à página IPsec-VPN connection, localize a conexão IPsec criada e clique em Generate Peer Configuration na coluna Actions.

      A configuração do par corresponde à configuração de VPN que deve ser adicionada ao par da conexão IPsec. No cenário descrito neste tópico, essas configurações devem ser adicionadas ao dispositivo de gateway local.

    5. Na caixa de diálogo IPsec-VPN Connection Configuration, copie a configuração e salve-a localmente para uso posterior na configuração do dispositivo de gateway local.

    6. Configure o dispositivo de gateway do cliente.

      Após criar a conexão IPsec-VPN, adicione a configuração de VPN ao dispositivo de gateway do cliente para estabelecer uma conexão IPsec-VPN privada com a Alibaba Cloud.

      Customer gateway configuration

      1. Faça login na janela de linha de comando do firewall Cisco e entre no modo de configuração.

        ciscoasa> enable
Password: ********             #Enter the password for enable mode.
ciscoasa# configure terminal   #Enter configuration mode.
ciscoasa(config)#

      2. Visualize as configurações de interface e rota.

        As interfaces do firewall Cisco já foram configuradas e ativadas. A seguir, são apresentadas as configurações de interface utilizadas neste tópico.

        ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/3               #Interface for private IPsec-VPN tunnel 1.
 nameif VPN-IP1                            #Name of the GigabitEthernet0/3 interface.
 security-level 0
 ip address 192.168.10.136 255.255.255.0   #Private IP address of the GigabitEthernet0/3 interface.
!
interface GigabitEthernet0/4               #Interface for private IPsec-VPN tunnel 2.
 nameif VPN-IP2                            #Name of the GigabitEthernet0/4 interface.
 security-level 0
 ip address 192.168.40.159  255.255.255.0  #Private IP address of the GigabitEthernet0/4 interface.
!

#Configure routes to the gateway IP addresses of the IPsec connection to establish the private IPsec-VPN connection.
route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of Tunnel 1 on the Alibaba Cloud side.
route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #Configure a route to the private IP address of Tunnel 2 on the Alibaba Cloud side.

      3. Ative o IKEv2 para a interface.

        crypto ikev2 enable VPN-IP1
crypto ikev2 enable VPN-IP2

      4. Crie uma IKEv2 Policy e especifique o algoritmo de autenticação, o algoritmo de criptografia, o grupo DH e o tempo de vida da SA para a fase IKE. Essas configurações devem ser idênticas às da Alibaba Cloud.

        Importante

        Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IKE Configurations. Recomenda-se adotar o mesmo procedimento no firewall Cisco, garantindo que os valores correspondam à configuração da Alibaba Cloud.

        crypto ikev2 policy 10     
 encryption aes             #Specify the encryption algorithm.
 integrity sha              #Specify the authentication algorithm.
 group 14                   #Specify the DH group.
 prf sha                    #The prf value must be the same as the integrity value. On the Alibaba Cloud side, prf defaults to the same value as the authentication algorithm.
 lifetime seconds 86400     #Specify the SA lifetime.

      5. Crie uma proposta e um perfil IPsec. Especifique o algoritmo de criptografia, o algoritmo de autenticação, o grupo DH e o tempo de vida da SA para a fase IPsec. Essas configurações devem corresponder à configuração da Alibaba Cloud.

        Importante

        Na Alibaba Cloud, é possível especificar apenas um valor para os parâmetros Encryption Algorithm, Authentication Algorithm e DH Group na fase IPsec Configurations. Recomenda-se adotar o mesmo procedimento no firewall Cisco, garantindo que os valores correspondam à configuração da Alibaba Cloud.

        crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #Create an IPsec proposal.
 protocol esp encryption aes                         #Specify the encryption algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
 protocol esp integrity sha-1                        #Specify the authentication algorithm. The protocol is ESP, which is required on the Alibaba Cloud side.
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #Create an IPsec profile and apply the created proposal. 
 set ikev2 local-identity address                    #Set the local ID format to IP address to match the RemoteId format on the Alibaba Cloud side.
 set pfs group14                                     #Specify PFS and the DH group.
 set security-association lifetime seconds 86400     #Specify the time-based SA lifetime.
 set security-association lifetime kilobytes unlimited #Disable the traffic-based SA lifetime.

      6. Crie um grupo de túnel e especifique a chave pré-compartilhada do túnel, que deve ser idêntica à configurada na Alibaba Cloud.

        tunnel-group 10.10.10.49 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 1.
tunnel-group 10.10.10.49 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF111****  #Specify the pre-shared key of the peer of tunnel 1, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF111****   #Specify the pre-shared key of the local end of tunnel 1, which must be consistent with that on the Alibaba Cloud side.
!
tunnel-group 10.10.10.50 type ipsec-l2l                    #Specify l2l as the encapsulation mode of tunnel 2.
tunnel-group 10.10.10.50 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF222****  #Specify the pre-shared key of the peer of tunnel 2, that is, the pre-shared key on the Alibaba Cloud side.
 ikev2 local-authentication pre-shared-key fddsFF222****   #Specify the pre-shared key of the local end of tunnel 2, which must be consistent with that on the Alibaba Cloud side.
!

      7. Crie uma interface de túnel.

        interface Tunnel1                                  #Create the interface for tunnel 1.
 nameif ALIYUN1
 ip address 169.254.10.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP1                   #Specify the source address of tunnel 1 as interface GigabitEthernet0/3.
 tunnel destination 10.10.10.49                    #Specify the destination address of tunnel 1 as the private IP address of tunnel 1 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 1 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 1 interface.
!
interface Tunnel2                                  #Create the interface for tunnel 2.
 nameif ALIYUN2                
 ip address 169.254.20.2 255.255.255.252           #Specify the IP address of the interface.
 tunnel source interface VPN-IP2                   #Specify the source address of tunnel 2 as interface GigabitEthernet0/4.
 tunnel destination 10.10.10.50                    #Specify the destination address of tunnel 2 as the private IP address of tunnel 2 on the Alibaba Cloud side.
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #Specify that tunnel 2 uses the ipsec profile ALIYUN-PROFILE.
 no shutdown                                       #Enable the tunnel 2 interface.
!

      Após concluir essas configurações, o dispositivo de gateway do cliente estabelece uma conexão IPsec-VPN privada com a Alibaba Cloud, mas o peering BGP ainda não está estabelecido. Verifique o status na página de detalhes da conexão IPsec no console da Alibaba Cloud. Se a conexão falhar, consulte Self-service diagnostics.IPsec-VPN only

    Etapa 2b: Configurar o roteamento

    Após criar a conexão IPsec-VPN privada, o tráfego entre o data center e o VPC ainda flui pela conexão física não criptografada. Configure rotas para direcionar o tráfego pela conexão IPsec-VPN criptografada.

    1. Adicione configurações BGP ao dispositivo de gateway do cliente para estabelecer um relacionamento de peering BGP com a conexão IPsec. Isso permite que o data center local e o VPC aprendam mutuamente as rotas um do outro por meio do roteamento dinâmico BGP.

      #Add BGP configurations to establish BGP peering between the customer gateway device and the IPsec connection.
router bgp 65530
 address-family ipv4 unicast
  neighbor 169.254.10.1 remote-as 65534       #Specify the BGP peer, which is the IP address of Tunnel 1 on the Alibaba Cloud side.
  neighbor 169.254.10.1 activate              #Activate the BGP peer.
  neighbor 169.254.20.1 remote-as 65534       #Specify the BGP peer, which is the IP address of Tunnel 2 on the Alibaba Cloud side.
  neighbor 169.254.20.1 activate              #Activate the BGP peer.
  network 192.168.10.0 mask 255.255.255.0     #Advertise a CIDR block of the on-premises data center. This CIDR block must be more specific than the CIDR block that is added to the VBR instance.
  network 192.168.20.0 mask 255.255.255.0
  network 192.168.40.0 mask 255.255.255.0 
  maximum-paths 5                             #Increase the number of BGP ECMP equal-cost routes.
 exit-address-family
 
#Change the administrative distance of the static route to the Alibaba Cloud VPC (172.16.0.0/16) to a value higher than the BGP route's administrative distance. A higher administrative distance indicates a lower priority. The default administrative distance for eBGP is 20.
route VBR 172.16.0.0 255.255.0.0 10.0.0.2 30

    2. Adicione uma entrada de rota personalizada ao transit router.

      Após concluir a configuração de rotas acima, a conexão IPsec-VPN privada é interrompida. É necessário adicionar uma rota específica com destino ao endereço IP de VPN do dispositivo de gateway local à tabela de rotas do transit router, com o próximo salto apontando para a instância VBR, a fim de restabelecer a conexão IPsec-VPN privada.

      1. Permaneça na aba Route Table, clique na aba Route e em seguida clique em Create Route.

      2. Na caixa de diálogo Add Route Entry, configure as informações da entrada de rota e clique em OK.

        Parâmetro

        Bloco CIDR 1

        CIDR block 2

        Destination CIDR

        Insira o endereço IP de VPN 1 do dispositivo de gateway local: 192.168.10.136/32.

        Insira o endereço IP de VPN 2 do dispositivo de gateway local: 192.168.40.159/32.

        Blackhole Route?

        Selecione No.

        Next Hop Connection

        Selecione VBR-Attachment.

    3. Adicione uma política de roteamento à tabela de rotas do transit router para impedir que a conexão IPsec-VPN privada anuncie as rotas de endereço IP de VPN de volta ao data center, o que criaria um loop de roteamento.

      1. Faça login no Cloud Enterprise Network console.

      2. Na página CEN Instance, localize a instância CEN que você criou e clique no ID da instância.

      3. Na página de detalhes da instância, clique no ID do transit router correspondente à região China (Hangzhou).

      4. Na página de detalhes do transit router, clique na aba Forwarding router routing table e em seguida clique em Routing Policy.

      5. Na aba Routing Policy, clique em Add Route Map. Configure a política de rota e clique em OK.

        Este tópico descreve apenas os parâmetros relevantes para este cenário. Para os demais parâmetros, utilize os valores padrão. Consulte Routing policies.

        • Policy priority: Neste tópico, insira 40.

        • Associate routing tables: Mantenha o valor padrão.

        • Effective Direction: Selecione Outbound Gateway.

        • Match Condition:

          • Destination Instance IDs: o ID da instância de conexão IPsec.

          • Route Prefix: Selecione Exact match e insira 192.168.10.136/32 e 192.168.40.159/32 como endereços IP de VPN do dispositivo de gateway local.

        • Strategic Behavior: Selecione Reject.

    Etapa 3: Verificar o efeito da criptografia

    Após concluir as configurações anteriores, se você conseguir visualizar dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec, o tráfego de rede privada que passa pelo circuito do Express Connect está criptografado.

    1. Faça login na instância ECS1 no VPC. Execute o comando ping para acessar continuamente qualquer cliente no bloco CIDR do IDC local.

      ping <IP address of a client in the data center> -s 1000 -c 10000

      • -s 1000: especifica o envio de pacotes de 1000 bytes.

      • -c 10000: envia continuamente 10000 pacotes de requisição.

    2. Faça login no VPN Gateway console.

    3. Na barra de navegação superior, selecione a região China (Hangzhou).

    4. No painel de navegação à esquerda, escolha Interconnections - VPN - IPsec Connections.

    5. Na página IPsec-VPN connection, localize a conexão IPsec criada e clique no ID da conexão IPsec.

      Visualize os dados de monitoramento de transmissão de tráfego na página de detalhes da conexão IPsec. IPsec