Conectar um iPhone ou iPad a uma VPC usando SSL-VPN - VPN Gateway: Central de Documentação do Alibaba Cloud

Use uma conexão SSL-VPN para conectar um iPhone ou iPad a uma VPC. Isso permite acesso seguro aos seus recursos na cloud pela internet.

Para obter informações sobre como conectar outros tipos de clientes, consulte Connect a PC or Android device to a VPC by using an SSL-VPN connection .

Cenário

Este tópico descreve como criar uma instância de VPN Gateway e um servidor IPsec. Em seguida, use o cliente VPN nativo em um iPhone ou iPad para acessar com segurança uma instância do Elastic Compute Service (ECS) em uma VPC pelo endereço IP privado.

Este cenário utiliza os seguintes recursos:

VPC
- Nome: vpc-demo
- Região: China (Hangzhou)
- Bloco CIDR: 10.0.0.0/16
- vSwitches: Dois vSwitches criados com os nomes vsw1 e vsw2.
  - O vsw1 está na Zona J e seu bloco CIDR é 10.0.0.0/24.
  - O vsw2 está na Zona K e seu bloco CIDR é 10.0.1.0/24.
- Instância ECS: O endereço IP privado é 10.0.0.1 e o sistema operacional é Alibaba Cloud Linux 3.2104 LTS 64-bit.
Rede local do iPhone ou iPad: 172.16.0.0/16

Importante

Este cenário exige uma região compatível com o recurso IPsec server. Esse recurso está disponível apenas nas seguintes regiões: China (Hangzhou), China (Shanghai), China (Nanjing), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Chengdu), China (Hong Kong), Japan (Tokyo), South Korea (Seoul), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Philippines (Manila), Thailand (Bangkok), Germany (Frankfurt), UK (London), US (Virginia), US (Silicon Valley), UAE (Dubai), Mexico (Mexico City), Saudi Arabia (Riyadh),.
Se sua VPC estiver em uma região sem suporte ao recurso de servidor IPsec, não será possível usar o método descrito neste tópico, que depende da funcionalidade VPN nativa de iPhones e iPads. Nesse caso, considere uma das soluções abaixo:
- Método 1: Crie uma VPC e uma instância de VPN Gateway em uma região compatível e conecte essa VPC à VPC que você deseja gerenciar. Para mais informações, consulte Access resources across VPCs from a client.
- Método 2: Migre seus services para uma VPC em uma região compatível.

Etapa 1: Criar uma instância de VPN Gateway

A instância de VPN Gateway funciona como ponto de entrada e saída para conexões SSL-VPN na cloud.

Para usar uma instância de VPN Gateway existente neste cenário, verifique se ela atende aos seguintes requisitos:
1. Não há IPsec-VPN connections configuradas na instância de VPN Gateway. Se já existirem conexões IPsec-VPN configuradas, crie uma nova instância de VPN Gateway.
2. O SSL-VPN feature must be enabled.
3. A instância de VPN Gateway deve estar upgraded to the latest version.
Se ainda não tiver criado uma instância de VPN Gateway, siga as etapas abaixo:
1. Acesse a página VPN gateway no console e clique em Create VPN Gateway.
2. Configure os parâmetros na página VPN gateway:
  - Instance Name: vpn-demo
  - Region: China (Hangzhou).
  - Virtual Private Cloud (VPC): Selecione a VPC que o cliente precisa acessar.
  - vSwitch 1/vSwitch 2: Selecione vsw1 e vsw2, respectivamente.
    
    O VPN gateway usa arquitetura hot-standby na camada subjacente. Em regiões onde a VPC oferece suporte a múltiplas zonas, garanta alta disponibilidade entre zonas incluindo pelo menos dois vSwitches em zonas diferentes na VPC. Caso essa condição não seja atendida, Create a vSwitch primeiro.
  - Maximum Bandwidth: 10M
  - IPsec-VPN: Disabled (a opção de desativar só fica disponível após ativar o SSL-VPN abaixo).
  - SSL-VPN: Enable.
  - SSL-VPN Connections: 5.
  - Service-linked Role: Se ainda não tiver criado uma, clique em Create Service-linked Role.
  Para obter uma descrição detalhada dos parâmetros de criação de um VPN gateway, consulte Create and manage a VPN gateway instance .
3. Após concluir a compra e o pagamento, visualize o VPN gateway criado na página VPN gateway.
  
  O status do novo VPN gateway é Preparing . Após cerca de 1 a 5 minutos, o status muda para Normal , momento em que você pode começar a usá-lo.

Etapa 2: Criar um servidor IPsec

Um servidor IPsec define políticas de conexão para os clientes, incluindo o método de autenticação, a rede da cloud acessível e o pool de endereços dos clientes.

Acesse a página IPsec-VPN Server. Na barra de navegação superior, selecione China (Hangzhou). Em seguida, clique em Create IPsec-VPN Server.

Na página Create IPsec-VPN Server, configure os seguintes parâmetros:

Name: Insira server-demo.
VPN Gateway: Selecione a instância de VPN Gateway criada.
Local Network: Insira 10.0.0.0/16.

Este parâmetro especifica o bloco CIDR da rede na cloud que o cliente acessará. Geralmente, corresponde ao bloco CIDR da sua VPC.
Client CIDR Block: Pool de endereços do qual a instância de VPN Gateway atribui endereços IP aos clientes. O bloco CIDR do cliente não pode se sobrepor à Local Network nem ao bloco CIDR da rede onde o cliente reside, como a rede local do cliente. Recomendamos usar um bloco CIDR privado menos comum do RFC 1918, como 10.222.222.0/24.
Pre-Shared Key: Chave usada para autenticação entre o servidor IPsec e o cliente. Uma chave é gerada aleatoriamente por padrão. Também é possível especificar manualmente uma chave, mas garanta que ela seja forte. Por exemplo, a chave deve ter pelo menos 16 caracteres e conter letras maiúsculas e minúsculas, dígitos e caracteres especiais. Armazene essa chave com segurança e faça a rotação regularmente.
Effective Immediately: Selecione Yes.

Yes: A negociação começa imediatamente após a conclusão da configuração. No: A negociação inicia apenas quando houver tráfego.

Mantenha os demais parâmetros com os valores padrão. Para mais informações sobre esses parâmetros, consulte Create and manage an IPsec server.

Após criar o servidor IPsec, acesse a página IPsec-VPN Server e anote o IP Address. Você precisará desse endereço IP ao configurar o cliente no seu iPhone ou iPad.

Etapa 3: Configurar seu iPhone ou iPad

Nesta etapa, adicione uma configuração de VPN IKEv2 no seu iPhone ou iPad para se conectar ao servidor IPsec criado.

Os passos a seguir usam um iPhone com iOS como exemplo:

Acesse e toque em Add VPN Configuration....
- Type: Mantenha o valor padrão IKEv2.
- Description: Insira demo.
- Server: Insira o Pre-Shared Key do IPsec-VPN Server anotado na Etapa 2.
- Remote ID: Insira o mesmo IPsec-VPN Server obtido na Etapa 2.
- Local ID: Deixe este parâmetro vazio.
- User Authentication: Selecione None.
- Use Certificate: Desative esta opção.
- Secret: Insira a Edit. Para obter a chave, localize o Actions na coluna Actions.
- Proxy: Desative esta opção.
Após concluir a configuração, toque em Done no canto superior direito.
Na página VPN, selecione a configuração de VPN criada e ative a chave Status. O status Connected indica que a conexão foi estabelecida.

Etapa 4: Testar a conexão

Faça login na instância ECS e instale o service Nginx.

# Run the following commands on the ECS instance. Alibaba Cloud Linux 3 is used as an example.
yum install -y nginx
systemctl start nginx.service

No grupo de segurança associado à instância ECS, add an inbound rule para permitir que o tráfego proveniente do Client CIDR Block (10.222.222.0/24) acesse a instância ECS na porta TCP 80.
No seu iPhone ou iPad, abra o navegador Safari e insira o endereço IP privado da instância ECS: 10.0.0.1. Se a página de boas-vindas do Nginx aparecer, o acesso à instância ECS foi bem-sucedido.

A página de boas-vindas do Nginx confirma que o servidor web está instalado e funcionando corretamente.