Conectar um iPhone ou iPad a uma VPC usando SSL-VPN - VPN Gateway: Central de Documentação do Alibaba Cloud

Use uma conexão SSL-VPN para conectar um iPhone ou iPad a uma VPC. Isso permite acesso seguro aos seus recursos na nuvem pela internet.

Para obter informações sobre como conectar outros tipos de clientes, consulte Conectar um PC ou dispositivo Android a uma VPC usando uma conexão SSL-VPN .

Cenário

Este tópico descreve como criar uma instância de VPN Gateway e um servidor IPsec. Em seguida, use o cliente VPN nativo em um iPhone ou iPad para acessar com segurança uma instância do Elastic Compute Service (ECS) em uma VPC pelo endereço IP privado.

Este cenário utiliza os seguintes recursos:

VPC
- Nome: vpc-demo
- Região: China (Hangzhou)
- Bloco CIDR: 10.0.0.0/16
- vSwitches: Dois vSwitches criados com os nomes vsw1 e vsw2.
  - O vsw1 está na Zona J e seu bloco CIDR é 10.0.0.0/24.
  - O vsw2 está na Zona K e seu bloco CIDR é 10.0.1.0/24.
- Instância ECS: O endereço IP privado é 10.0.0.1 e o sistema operacional é Alibaba Cloud Linux 3.2104 LTS 64-bit.
Rede local do iPhone ou iPad: 172.16.0.0/16

Importante

Este cenário exige uma região compatível com o recurso de servidor IPsec. Esse recurso está disponível apenas nas seguintes regiões: China (Hangzhou), China (Shanghai), China (Nanjing), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Chengdu), China (Hong Kong), Japão (Tóquio), Coreia do Sul (Seul), Singapura, Malásia (Kuala Lumpur), Indonésia (Jacarta), Filipinas (Manila), Tailândia (Bangkok), Alemanha (Frankfurt), Reino Unido (Londres), EUA (Virgínia), EUA (Vale do Silício), Emirados Árabes Unidos (Dubai), México (Cidade do México), Arábia Saudita (Riade),.
Se sua VPC estiver em uma região sem suporte ao recurso de servidor IPsec, não será possível usar o método descrito neste tópico, que depende da funcionalidade VPN nativa de iPhones e iPads. Nesse caso, considere uma das soluções abaixo:
- Método 1: Crie uma VPC e uma instância de VPN Gateway em uma região compatível e conecte essa VPC àquela que você deseja gerenciar. Para mais informações, consulte Acessar recursos entre VPCs a partir de um cliente.
- Método 2: Migre seus serviços para uma VPC em uma região compatível.

Etapa 1: Criar uma instância de VPN Gateway

A instância de VPN Gateway funciona como ponto de entrada e saída para conexões SSL-VPN na nuvem.

Para usar uma instância de VPN Gateway existente neste cenário, verifique se ela atende aos seguintes requisitos:
1. Não há conexões IPsec-VPN configuradas na instância de VPN Gateway. Se já existirem conexões IPsec-VPN configuradas, crie uma nova instância de VPN Gateway.
2. O recurso SSL-VPN deve estar ativado.
3. A instância de VPN Gateway deve ser atualizada para a versão mais recente.
Se ainda não tiver criado uma instância de VPN Gateway, execute as etapas a seguir:
1. Acesse a página VPN Gateway e clique em Create VPN Gateway.
2. Na página VPN Gateway, defina os seguintes parâmetros:
  - Instance Name: vpn-demo
  - Region: China (Hangzhou).
  - VPC: Selecione a VPC que seu cliente precisa acessar.
  - vSwitch 1/vSwitch 2: Selecione vsw1 e vsw2, respectivamente.
    
    Os gateways VPN usam arquitetura ativo-ativo. Em regiões com suporte a múltiplas zonas, sua VPC deve ter pelo menos dois vSwitches em zonas diferentes para garantir alta disponibilidade entre zonas. Se sua VPC não possuir vSwitches em zonas distintas, crie um vSwitch primeiro.
  - Maximum Bandwidth: 10 Mbps
  - IPsec-VPN: Disabled. (Esta opção fica disponível somente após ativar o SSL-VPN.)
  - SSL-VPN: Enable.
  - SSL-VPN Connections: 5.
  - Service-linked Role: Se nenhuma função vinculada ao serviço tiver sido criada, clique em Create Service-linked Role.
  Para descrições detalhadas dos parâmetros, consulte Criar e gerenciar uma instância de VPN Gateway .
3. Após concluir a compra, o novo VPN Gateway aparecerá na página VPN Gateway.
  
  Um novo gateway VPN inicia no estado Preparing . Ele muda para Normal em aproximadamente 1 a 5 minutos, quando estará pronto para uso.

Etapa 2: Criar um servidor IPsec

Um servidor IPsec define políticas de conexão para clientes, incluindo o método de autenticação, a rede na nuvem acessível e o pool de endereços dos clientes.

Acesse a página IPsec-VPN Server. Na barra de navegação superior, selecione China (Hangzhou). Em seguida, clique em Create IPsec-VPN Server.

Na página Create IPsec-VPN Server, configure os seguintes parâmetros:

Name: Insira server-demo.
VPN Gateway: Selecione a instância de VPN Gateway criada.
Local Network: Insira 10.0.0.0/16.

Este parâmetro especifica o bloco CIDR da rede na nuvem que o cliente acessará. Geralmente, trata-se do bloco CIDR da sua VPC.
Client CIDR Block: Este é o pool de endereços do qual a instância de VPN Gateway atribui endereços IP aos clientes. O bloco CIDR do cliente não pode sobrepor-se à Local Network nem ao bloco CIDR da rede onde o cliente reside, como a rede local do cliente. Recomendamos usar um bloco CIDR privado menos comum do RFC 1918, como 10.222.222.0/24.
Pre-Shared Key: Esta chave autentica a comunicação entre o servidor IPsec e o cliente. Uma chave é gerada aleatoriamente por padrão. Você também pode especificar manualmente uma chave, mas garanta que ela seja forte. Por exemplo, a chave deve ter pelo menos 16 caracteres e conter letras maiúsculas e minúsculas, dígitos e caracteres especiais. Armazene essa chave com segurança e faça sua rotação regularmente.
Effective Immediately: Selecione Yes.

Yes: A negociação começa imediatamente após a conclusão da configuração. No: A negociação inicia apenas quando o tráfego for gerado.

Mantenha os demais parâmetros em seus estados padrão. Para mais informações sobre esses parâmetros, consulte Criar e gerenciar um servidor IPsec.

Depois que o servidor IPsec for criado, acesse a página IPsec-VPN Server e anote o IP Address. Você precisará desse endereço IP ao configurar o cliente no seu iPhone ou iPad.

Etapa 3: Configurar seu iPhone ou iPad

Nesta etapa, adicione uma configuração de VPN IKEv2 no seu iPhone ou iPad para se conectar ao servidor IPsec criado.

Os passos a seguir usam um iPhone com iOS como exemplo:

Acesse e toque em Add VPN Configuration....
- Type: Mantenha o valor padrão IKEv2.
- Description: Insira demo.
- Server: Insira o Pre-Shared Key do IPsec-VPN Server anotado na Etapa 2.
- Remote ID: Insira o mesmo IPsec-VPN Server da Etapa 2.
- Local ID: Deixe este parâmetro vazio.
- User Authentication: Selecione None.
- Use Certificate: Desative esta opção.
- Secret: Insira a Edit. Para obter a chave, localize o Actions na coluna Actions.
- Proxy: Desative esta opção.
Após concluir a configuração, toque em Done no canto superior direito.
Na página VPN, selecione a configuração de VPN criada e ative a opção Status. O status Connected indica que a conexão foi estabelecida.

Etapa 4: Testar a conexão

Faça login na instância ECS e instale o serviço Nginx.

# Run the following commands on the ECS instance. Alibaba Cloud Linux 3 is used as an example.
yum install -y nginx
systemctl start nginx.service

No grupo de segurança associado à instância ECS, adicione uma regra de entrada para permitir tráfego do Client CIDR Block (10.222.222.0/24) para acessar a instância ECS na porta TCP 80.
No seu iPhone ou iPad, abra o navegador Safari e insira o endereço IP privado da instância ECS: 10.0.0.1. Se a página de boas-vindas do Nginx aparecer, o acesso à instância ECS foi bem-sucedido.

A página de boas-vindas do Nginx confirma que o servidor web está instalado e funcionando corretamente.