VPN Gateway:Conectar uma VPC da Alibaba Cloud a uma VPC da AWS

Blocos CIDR da VPC

Planejamento de blocos CIDR para BGP

Ignore esta seção se planeja usar apenas roteamento estático.

Ambos os túneis no lado da Alibaba Cloud devem usar o mesmo Local ASN . Os ASNs BGP pares dos dois túneis podem ser diferentes, mas recomenda-se usar o mesmo ASN BGP par para ambos.

Cada bloco CIDR de túnel BGP deve ser exclusivo dentro de uma instância de VPN Gateway.

Criar customer gateways

1. Faça logon no console do VPN Gateway.

2. No painel de navegação à esquerda, escolha Interconnections > VPN > Customer Gateways.

3. Na barra de navegação superior, selecione Germany (Frankfurt). O customer gateway e o VPN Gateway devem estar na mesma região.

4. Na página Customer Gateways, clique em Create Customer Gateway.

5. No painel Create Customer Gateway, configure as seguintes definições e clique em OK. Crie dois customer gateways usando os endereços IP externos do Tunnel 1 de cada conexão VPN site-to-site da AWS. Para parâmetros não listados aqui, mantenha os valores padrão. Consulte Customer gateways.

   Importante

   Use apenas o endereço IP externo do Tunnel 1 de cada conexão VPN site-to-site da AWS. O endereço IP externo do Tunnel 2 não é utilizado. Após a criação da conexão IPsec-VPN, o Tunnel 2 de cada conexão VPN site-to-site da AWS permanece desconectado por padrão.

   Parâmetro	Descrição	Customer Gateway 1	Customer Gateway 2
   Name	Nome do customer gateway.	Customer Gateway 1	Customer Gateway 2
   IP Address	Endereço IP externo do túnel da AWS.	3.XX.XX.52	3.XX.XX.56
   ASN	ASN BGP do virtual private gateway da AWS. Necessário para roteamento dinâmico BGP.	64512	64512

Criar uma conexão IPsec-VPN

1. No painel de navegação à esquerda, escolha Interconnections > VPN > IPsec Connections.

2. Na página IPsec Connections, clique em Bind VPN Gateway.

3. Na página Create IPsec-VPN Connection, configure as seguintes definições e clique em OK.

   Parâmetro	Descrição	Valor de exemplo
   IPsec-VPN Connection Name	Nome da conexão IPsec-VPN.	Conexão IPsec-VPN
   Region	Região onde o VPN Gateway está implantado.	Germany (Frankfurt)
   Attach a VPN Gateway	Instância do VPN Gateway a ser associada à conexão IPsec-VPN.	VPN Gateway (criado na Etapa 1)
   Routing Mode	Como o tráfego é roteado pelo túnel. Destination-based Routing roteia por IP de destino. Traffic Of Interest Pattern roteia por par de IPs de origem e destino.	Roteamento estático: selecione Traffic Of Interest Pattern (Recomendado). Defina Local Network como 10.0.0.0/16 e Remote Network como 192.168.0.0/16. Roteamento dinâmico BGP: selecione Destination-based Routing (recomendado).
   Effective Immediately	Se deve iniciar a negociação IKE imediatamente após a configuração. Yes: a negociação começa imediatamente. No: a negociação é acionada pelo tráfego.	Yes
   Enable BGP	Se deve usar roteamento dinâmico BGP. Desativado por padrão. Para usar BGP, ative-o após a criação da conexão e adicione as configurações BGP separadamente.	Desativado (roteamento estático). Ative após a criação para BGP.
   Tunnel 1 – Customer Gateway	Customer gateway para o túnel ativo.	Customer Gateway 1
   Tunnel 1 – Pre-Shared Key	Chave de autenticação para o túnel ativo. 1–100 caracteres: dígitos, letras e caracteres especiais ` ~!@#$%^&*()_-+={}[]	;:',.<>/?``. Deve corresponder à chave configurada no túnel conectado da AWS.	Igual à chave pré-compartilhada do túnel da AWS
   Tunnel 1 – Encryption Configurations	Configurações de IKE, IPsec, DPD e travessia de NAT.	Em IKE Configurations, defina SA Life Cycle (seconds) como 28800. Em IPsec Configurations, defina SA Life Cycle (seconds) como 3600. Mantenha todos os outros valores nos padrões. Consulte Configurar conexões IPsec-VPN.
   Tunnel 2 – Customer Gateway	Customer gateway para o túnel em standby.	Customer Gateway 2
   Tunnel 2 – Pre-Shared Key	Chave de autenticação para o túnel em standby. Deve corresponder à chave no túnel conectado da AWS.	Igual à chave pré-compartilhada do túnel da AWS
   Tunnel 2 – Encryption Configurations	Configurações de IKE, IPsec, DPD e travessia de NAT.	Igual ao Tunnel 1: Ciclo de vida SA IKE 28800 s, Ciclo de vida SA IPsec 3600 s.

4. Na mensagem Created, clique em Cancel.

Configurar rotas do VPN Gateway

Verificar o status da conexão VPN

Antes de executar testes ponta a ponta, confirme se a conexão IPsec-VPN foi estabelecida:

1. No console do VPN Gateway, acesse Interconnections > VPN > IPsec Connections.

2. Localize a conexão IPsec-VPN criada. Confirme se o status do túnel exibe Connected.

Se o status não for Connected, verifique:

• Se as chaves pré-compartilhadas em ambos os lados correspondem.

• Se os valores de Ciclo de Vida SA IKE e Ciclo de Vida SA IPsec correspondem em ambos os lados (28800 s e 3600 s, respectivamente).

• Se as regras de grupo de segurança e ACLs de rede nos lados da Alibaba Cloud e da AWS permitem tráfego entre os dois blocos CIDR das VPCs.

Testar a conectividade ponta a ponta

Antes de testar, verifique se as ACLs de rede e as regras de grupo de segurança em ambas as plataformas permitem tráfego entre as duas VPCs.

1. Faça logon em uma instância ECS na VPC da Alibaba Cloud. Consulte Selecionar um método de conexão remota para uma instância ECS.

2. Execute ping para alcançar a instância EC2 da AWS:

   ping <private IP address of the AWS EC2 instance>

   Se a instância ECS receber respostas, as duas VPCs conseguem se comunicar.

   [root@iZgw8cpobl xxx Z ~]# ping 192.168.10.113
   PING 192.168.10.113 (192.168.10.113) 56(84) bytes of data.
   64 bytes from 192.168.10.113: icmp_seq=1 ttl=126 time=5.12 ms
   64 bytes from 192.168.10.113: icmp_seq=2 ttl=126 time=5.64 ms
   64 bytes from 192.168.10.113: icmp_seq=3 ttl=126 time=4.97 ms
   64 bytes from 192.168.10.113: icmp_seq=4 ttl=126 time=5.08 ms
   ^Z
   [1]+  Stopped                 ping 192.168.10.113
   [root@iZgw8cp xxx kZ ~]#

Testar failover de alta disponibilidade

Uma conexão IPsec-VPN de túnel duplo fornece failover automático: se o túnel ativo falhar, o tráfego muda para o túnel em standby.

1. Permaneça logado na instância ECS e execute um ping contínuo:

   ping <private IP address of the AWS EC2 instance> -c 10000

2. Interrompa o túnel ativo alterando sua chave pré-compartilhada no lado da Alibaba Cloud. Uma incompatibilidade de chave faz com que o túnel caia.

3. Observe a saída do ping. Após uma breve interrupção, o tráfego retoma automaticamente pelo túnel em standby.

Para monitorar o tráfego do túnel, acesse a aba Monitoring da conexão IPsec-VPN no console da Alibaba Cloud. Consulte Monitorar uma conexão IPsec-VPN.