VPN Gateway:Configure routes for a VPN gateway

Rotas estáticas vs. rotas BGP

Rotas estáticas: Baseadas em destino vs. baseadas em política

Escolha entre rotas baseadas em destino e rotas baseadas em política.

Prioridade de rotas

O VPN gateway compara o tráfego com as rotas na seguinte ordem:

1. Primeiro, o gateway verifica a Policy-based Route Table, correspondendo às rotas pela prioridade da política, e não pela regra de correspondência de prefixo mais longo.

2. Em seguida, o gateway verifica a Destination-based Route Table, correspondendo às rotas pela regra de correspondência de prefixo mais longo.

3. Por fim, o gateway verifica a BGP Route Table.

Visão geral de ponta a ponta

A conexão de uma VPC a um data center por meio de um VPN gateway envolve três tabelas de rotas:

Configuração de rota baseada em destino

Uma rota baseada em destino encaminha o tráfego com base no endereço IP de destino.

Regras de correspondência:

• Correspondência de prefixo mais longo: O tráfego corresponde à rota com a máscara de sub-rede mais longa. Por exemplo, se existirem as rotas 10.0.0.0/8 e 10.10.0.0/16, o tráfego destinado a 10.10.10.1 corresponderá à rota 10.10.0.0/16.

• Rotas ativas/standby (apenas para VPN gateways legados de túnel único): Apenas as rotas ativas correspondem; as rotas standby são ignoradas. Active/standby route configuration.

Configuração de rota baseada em política

Uma rota baseada em política corresponde ao tráfego tanto pelo endereço IP de origem quanto pelo endereço IP de destino, tendo prioridade sobre as rotas baseadas em destino e BGP.

Ordem de correspondência:

1. Prioridade da política: As rotas com o menor valor de prioridade correspondem primeiro.

2. Rotas com a mesma prioridade: Correspondidas sequencialmente pelo horário de criação. A primeira correspondência é utilizada.

Anunciar em uma tabela de rotas da VPC

Após a criação das rotas baseadas em política e em destino, elas ficam no estado Not published na tabela de rotas da VPC por padrão. É possível publicar rotas adicionadas manualmente diretamente na tabela de rotas do sistema da VPC, sem precisar adicioná-las manualmente na tabela de rotas da VPC.

• As rotas são anunciadas apenas na tabela de rotas do sistema da VPC, e não nas tabelas de rotas personalizadas. Para adicionar uma rota a uma tabela de rotas personalizada, use Add and delete route entries.

• Se existirem rotas com o mesmo bloco CIDR de destino tanto nas tabelas de rotas baseadas em política quanto nas baseadas em destino, a retirada da rota de uma tabela também a retirará da outra.

• Se já existir uma entrada de rota com o mesmo bloco CIDR de destino da rota a ser publicada, mas com um próximo salto diferente na tabela de rotas da VPC (por exemplo, apontando para uma conexão de peering ou um NAT gateway), o sistema indicará um conflito de rotas (rota duplicada) durante a publicação. Após avaliar seus requisitos de negócio, exclua a rota conflitante ou ajuste o plano de blocos CIDR e execute a operação de publicação novamente após resolver o conflito. Para obter mais informações, consulte Handle duplicate route errors.

Limitações

• VPN gateway de túnel duplo:

  • As rotas baseadas em destino não suportam 0.0.0.0/0 como bloco CIDR de destino. As rotas baseadas em política suportam 0.0.0.0/0 como bloco CIDR de destino.

• VPN gateway de túnel único (descontinuado):

  • Rotas baseadas em destino e baseadas em política: Nenhuma suporta 0.0.0.0/0 como bloco CIDR de destino.

  • Rotas baseadas em destino e baseadas em política: Nenhuma suporta um bloco CIDR que se sobreponha a 100.64.0.0/10 (incluindo o próprio 100.64.0.0/10, suas sub-redes e super-redes) como bloco CIDR de destino.

• Se o sistema indicar um conflito de rotas, consulte Handle duplicate route errors.

Visão geral de ponta a ponta

Princípios de anúncio de rota BGP

• Entrada na cloud: Rotas anunciadas pelo data center via BGP → propagadas para o VPN gateway → propagadas automaticamente para a tabela de rotas do sistema da VPC (requer propagação de rotas ativada).

• Saída da cloud: Entradas de rota do sistema na tabela de rotas do sistema da VPC → aprendidas automaticamente pelo VPN gateway (requer propagação de rotas ativada) → propagadas para o data center via BGP.

Procedimento

Antes de começar, certifique-se de que:

• O VPN gateway suporta BGP. Check whether a VPN gateway supports BGP.

• O dispositivo de gateway no seu data center suporta BGP.

Limitações

• Cada tabela de rotas BGP do VPN gateway suporta até 50 rotas (expansível para 200; entre em contato com seu gerente de conta).

• O VPN gateway não aceita rotas BGP cujo bloco CIDR de destino seja 0.0.0.0/0.

• Quando o BGP está ativado para várias conexões IPsec-VPN no mesmo VPN gateway, o Local ASN deve ser o mesmo para todas as conexões.

• Não troque rotas entre diferentes conexões IPsec-VPN.

• Quando uma VPC está associada a vários VPN gateways, os gateways não suportam paridade BGP entre si. Não troque rotas entre diferentes VPN gateways.

• Se uma VPC estiver associada a vários VPN gateways que usam BGP e se conectam ao mesmo Customer Gateway, o Local ASN das conexões IPsec-VPN em cada VPN gateway deve ser idêntico para evitar loops de roteamento.

• Se várias conexões IPsec-VPN de túnel duplo usarem BGP simultaneamente, os blocos CIDR de destino das rotas aprendidas por cada conexão não devem se sobrepor.

• Ao usar um circuito Express Connect e um VPN gateway para acesso ativo/standby a uma VPC, o ASN local configurado no Border Router (VBR) e no VPN gateway deve ser o mesmo.

• Se a VPC do VPN gateway pertencer a uma Cloud Enterprise Network (CEN), ative a sobreposição de rotas. Isso é ativado por padrão para instâncias CEN criadas após março de 2019.

• Se várias VPCs na mesma CEN se conectarem ao mesmo data center via BGP, as rotas dinâmicas podem se propagar pela CEN para outras VPCs, causando oscilação de rotas. Use rotas estáticas em vez disso.

• VPN gateway no modo de túnel único: Não propague rotas para 100.64.0.0/10 (incluindo suas sub-redes e super-redes). Você pode evitar esse problema Upgrade VPN Gateway to dual-tunnel mode.

Recomendações de configuração de rotas

• Use o mesmo método de roteamento para todas as conexões IPsec-VPN em um VPN gateway. Não misture rotas baseadas em destino, baseadas em política e BGP.

• Ao configurar rotas dinâmicas BGP, recomendamos usar o Destination Routing Mode para o Routing Mode da conexão IPsec.

Verificar se um VPN gateway suporta BGP

• VPN gateways recém-criados que suportam conexões IPsec-VPN de túnel duplo suportam BGP por padrão.

• Para VPN gateways existentes: Chame a operação DescribeVpnGateway e verifique se o campo Tag contém a tag VpnEnableBgp com o valor true.

• Opções de upgrade para gateways não suportados:

  - VPN gateway no modo de túnel duplo: Upgrade a VPN gateway (standard type only)

  - VPN gateway no modo de túnel único: Upgrade to dual-tunnel mode

Configuração de rota ativa/standby

• Para configurar ativo/standby em um VPN gateway legado de túnel único, Upgrade VPN Gateway to dual-tunnel mode. As conexões de túnel duplo fornecem ativo/standby por padrão, sem configuração de peso.

• Se você ainda precisar configurar um link ativo/standby no modo de túnel único, siga estas etapas:

  1. A rota primária tem um peso de 100 e a rota standby tem um peso de 0. Os blocos CIDR de destino devem ser os mesmos, mas os próximos saltos devem ser diferentes. Para rotas baseadas em política, os blocos CIDR de origem também devem ser os mesmos.

  2. Configure um health check para a conexão IPsec-VPN para ativar o failover automático. Essa opção encontra-se nas configurações de túnel da conexão IPsec-VPN.

  3. Para modificar o peso de uma rota, exclua primeiro a rota standby, modifique o peso da rota ativa e recrie a rota standby. O mesmo processo se aplica ao modificar o peso da rota standby.

  Para instâncias de VPN Gateway que não foram atualizadas desde 12 de outubro de 2023, se você precisar configurar rotas baseadas em política ativas/standby, certifique-se de que um link ativo/standby esteja especificado para cada bloco CIDR. Se um bloco CIDR tiver apenas um link configurado, o failover para outros blocos CIDR poderá falhar. Você pode evitar esse problema upgrading the VPN gateway ou Upgrade VPN Gateway to dual-tunnel mode. Esse problema não afeta instâncias de VPN Gateway criadas ou atualizadas após 12 de outubro de 2023.

• Após a configuração, a rota entra em vigor com base nas seguintes regras:

  Conexão IPsec-VPN para rota ativa	Conexão IPsec-VPN para rota standby	Rota efetiva
  Up (negociação bem-sucedida e health check normal)	Qualquer estado	Rota ativa
  Down	Up	Rota standby
  Down	Down	Rota ativa (padrão)

FAQ

P: Quando um ECS acessa recursos on-premises por meio de um VPN gateway, como o tráfego corresponde à tabela de rotas?

Quando um ECS se comunica com recursos on-premises por meio de uma VPN, o tráfego é encaminhado na seguinte ordem de correspondência:

1. Tabela de rotas da VPC: O sistema consulta primeiro a tabela de rotas da VPC. Se existir uma entrada de rota correspondente ao IP de destino (com o próximo salto sendo o VPN gateway), o tráfego será encaminhado para o VPN gateway.

2. Tabela de rotas do VPN gateway: Em seguida, o VPN gateway determina, com base em sua própria tabela de rotas (roteamento baseado em destino ou baseado em política), para qual conexão IPsec o tráfego será encaminhado.

P: O que devo fazer se o IDC on-premises não conseguir executar ping em um ECS na cloud ou se a conexão SSH falhar?

Solucione o problema na seguinte ordem:

1. Confirme se a configuração de rota da VPN está correta (a tabela de rotas da VPC contém uma entrada de rota apontando para o VPN gateway, e a tabela de rotas do VPN gateway tem a rota de destino correspondente ou a rota baseada em política configurada).

2. Verifique as regras do grupo de segurança do ECS na cloud:

   • Teste de ping (ICMP): Confirme se a direção de entrada do grupo de segurança permite o protocolo ICMP do bloco CIDR do IDC on-premises.

   • Conexão SSH (porta TCP 22): Confirme se a direção de entrada do grupo de segurança permite a porta TCP 22 do bloco CIDR do IDC on-premises.

Se a configuração de rota estiver normal, mas a conectividade ainda falhar, o bloqueio por grupo de segurança é uma causa comum e deve ser verificado primeiro para evitar um diagnóstico incorreto como problema de rota.

P: Quando um NAT gateway da VPC é usado junto com IPsec-VPN, como configuro as rotas do ECS?

Em um cenário onde um NAT gateway e um VPN gateway são combinados, o tráfego enviado por um ECS para serviços on-premises deve primeiro ser traduzido pelo NAT gateway e depois transmitido pelo túnel VPN. As etapas de configuração são as seguintes:

1. Crie uma tabela de rotas personalizada no console de tabela de rotas e associe-a ao vSwitch onde o ECS reside.

2. Adicione uma entrada de rota à tabela de rotas personalizada: defina o bloco CIDR de destino como o endereço do serviço interno on-premises e o próximo salto como o NAT gateway.

Para obter mais informações, consulte VPC NAT gateway working with VPN gateway to enable private network access between the cloud and on-premises networks.

P: Qual é o impacto de configurar o seletor de tráfego como 0.0.0.0/0 ou um bloco CIDR grande (como 10.0.0.0/8)?

O escopo do seletor de tráfego determina o tipo de tráfego que aciona a negociação IKE, mas o tráfego que realmente entra no túnel é controlado pelas decisões de rota:

• Configurar 0.0.0.0/0 não afeta diretamente a conectividade da rede on-premises. No entanto, se você apontar a rota 0.0.0.0/0 para o túnel VPN na tabela de rotas on-premises, todo o tráfego (incluindo acesso à Internet) tentará entrar no túnel, o que pode causar falha no acesso à Internet.

• Você pode configurar o bloco CIDR local como um intervalo grande (como 10.0.0.0/8), mas certifique-se de que a ACL de criptografia no dispositivo par também seja modificada para o bloco CIDR agregado correspondente. Se o bloco CIDR par não puder ser agregado, você pode usar 0.0.0.0/0 e adicionar entradas de rota específicas na conexão IPsec para obter controle granular de tráfego e reduzir o número de negociações SA.

Para obter mais informações, consulte Configuration recommendations and FAQ for interconnection between multiple CIDR blocks.

Tutoriais

Consulte Configure strongSwan.