access cross-VPC resources from a client using SSL-VPN - VPN Gateway: Central de Documentação do Alibaba Cloud

Após estabelecer uma conexão SSL-VPN com uma VPC, o cliente acessa, por padrão, apenas os recursos dessa VPC. Para permitir o acesso a recursos em outras VPCs, interconecte-as primeiro usando Cloud Enterprise Network (CEN) ou conexão de peering de VPC. Em seguida, adicione rotas nos product relevantes para habilitar o acesso às demais VPCs pela conexão SSL-VPN. Isso possibilita o acesso a recursos em outras VPCs, estejam elas na mesma região, em regiões diferentes ou sob contas distintas.

Visão geral

O método de interconexão determina se o cliente pode acessar recursos em outras VPCs na mesma região, em regiões diferentes ou sob contas distintas. Tanto CEN quanto VPC peering connection suportam esses cenários. Após interconectar as VPCs, adicione os blocos CIDR de todas as VPCs de destino ao servidor SSL e configure rotas no lado do cliente nos product relevantes. Assim, o cliente acessa recursos nas VPCs interconectadas pela conexão SSL-VPN.

Para obter mais informações sobre as diferenças entre CEN e conexões de peering de VPC, consulte VPC Interconnection.

CEN	Conexão de peering de VPC

Exemplo

Este tópico apresenta um exemplo baseado no cenário da figura a seguir. Um cliente estabeleceu uma conexão SSL-VPN com a VPC1 e acessa recursos nela. Funcionários remotos também precisam acessar recursos na VPC2. Para isso, interconecte a VPC1 e a VPC2 usando CEN ou conexão de peering de VPC. Depois, adicione rotas ao servidor SSL e à VPC1 ou VPC2. Assim, o cliente poderá acessar recursos na VPC2 pela conexão SSL-VPN.

Pré-requisitos

Uma conexão SSL-VPN está estabelecida entre o cliente e a VPC1, permitindo que o cliente acesse recursos na VPC1. Para mais informações, consulte Connect a PC or an Android client to a VPC by using an SSL-VPN connection.
Na página de detalhes do servidor SSL, localize o bloco CIDR do cliente configurado e o endereço IP virtual atribuído ao cliente. Essas informações são necessárias para configurações subsequentes e testes de conectividade.

Neste exemplo, o Client CIDR Block é 10.10.10.0/24. Na seção SSL Connections, o endereço IP virtual atribuído ao cliente é 10.10.10.6.

Importante
Certifique-se de que o bloco CIDR do cliente não se sobreponha aos blocos CIDR dos recursos que você deseja conectar na VPC1 e na VPC2. Além disso, garanta que os blocos CIDR da VPC1 e da VPC2 não se sobreponham entre si. Caso exista sobreposição, modifique the client CIDR block. Essa ação interrompe a conexão SSL-VPN e exige que o cliente se reconecte.

Procedimento

Este tópico descreve como configurar a comunicação entre VPCs usando CEN ou conexão de peering de VPC. Escolha um dos métodos.

Etapa 1: Interconectar as VPCs

CEN

Nota

Este tópico descreve como usar o CEN para interconectar VPCs em regiões diferentes pertencentes à mesma conta. Para usar o CEN em outros cenários, como interconectar VPCs de contas diferentes, consulte Guia de início rápido do CEN.

Crie a CEN instance.

Ao criar a instância CEN, selecione Create CEN Only, especifique um nome para a instância CEN e mantenha os valores padrão para os demais parâmetros.
Crie transit router instances.

Crie uma instância de transit router (TR) na região China (Hangzhou) e outra na região China (Shanghai). Mantenha os valores padrão para todos os outros parâmetros.

Crie conexões de VPC.

Conecte a VPC1 ao transit router na região China (Hangzhou) e a VPC2 ao transit router na região China (Shanghai).

Faça login no console do CEN.
Na página CEN Instance, clique em no ID da instância CEN que deseja gerenciar.
Na aba Basic Settings > Transit Router, localize uma instância de transit router e clique em Create Connection na coluna Actions.

Na página Connection with Peer Network Instance, conecte a VPC1 e a VPC2 aos respectivos transit routers conforme as configurações a seguir.

Parâmetro	Conectar VPC1	Conectar VPC2
Network Type	Selecione Virtual Private Cloud (VPC).	Selecione Virtual Private Cloud (VPC).
Region	Selecione China (Hangzhou).	Selecione China (Shanghai).
Account	Mantenha o valor padrão: Your Account.
Attachment Name	Insira VPC1-Attachment.	Insira VPC2-Attachment.
Networks	Selecione VPC1.	Selecione VPC2.
vSwitch	Selecione instâncias de vSwitch em zonas suportadas pelo transit router. Em regiões com suporte a múltiplas zonas, selecione pelo menos uma instância de vSwitch em duas zonas diferentes. Essas duas instâncias fornecem recuperação de desastres no nível de zona para o tráfego entre a VPC e o transit router. Se não houver vSwitches suficientes, crie vSwitches.
Advanced Settings	Mantenha as configurações padrão para ative todas as opções avançadas. Nota Se a tabela de rotas da VPC já contiver uma entrada cujo bloco CIDR de destino seja 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16, o sistema não conseguirá adicionar a entrada automaticamente. Adicione manualmente uma entrada de rota apontando para a conexão da VPC na tabela de rotas da VPC para habilitar a comunicação entre a VPC e o transit router. À direita de Networks, clique em Check Route para verificar se tal rota existe na instância de rede.

Crie uma conexão inter-regional.

Como a VPC1 e a VPC2 estão em regiões diferentes, crie uma conexão inter-regional entre os transit routers nas regiões China (Hangzhou) e China (Shanghai) para interconectá-los.

Na aba Basic Settings > Transit Router, localize uma instância de transit router e clique em Create Connection na coluna Actions.

Na página Connection with Peer Network Instance, crie a conexão inter-regional conforme as informações a seguir.

Parâmetro	Descrição
Network Type	Selecione Inter-region Connection.
Region	Selecione China (Hangzhou).
Peer region	Selecione China (Shanghai).
Bandwidth Allocation Mode	Selecione Pay-By-Data-Transfer. Nota Se você selecione Pay-By-Data-Transfer, as taxas de transferência de dados da conexão inter-regional serão faturadas pelo CDT.
Bandwidth	Insira um valor de largura de banda para a conexão inter-regional em Mbit/s.
Advanced Settings	Mantenha as configurações padrão para ative todas as opções avançadas.

Conexão de peering de VPC

Nota

Este tópico descreve como usar uma conexão de peering de VPC para interconectar VPCs em regiões diferentes pertencentes à mesma conta. Para usar conexões de peering de VPC em outros cenários, como interconectar VPCs de contas diferentes, consulte Use a VPC peering connection to enable private communication between VPCs.

Crie uma conexão de peering de VPC.
1. Faça login no console de Conexão de Peering de VPC. Na barra de navegação superior, selecione a região da VPC solicitante.
  
  Neste exemplo, a VPC1 é a VPC solicitante. Selecione a região China (Hangzhou).
2. Se esta for a primeira vez que você usa uma conexão de peering de VPC, na página VpcPeer, clique em Activate CDT e, em seguida, clique em Activate na caixa de diálogo exibida.
3. Na página VpcPeer, clique em Create VPC Peering Connection e configure os seguintes parâmetros.
  
  Selecione a Requester VPC. Para Accepter Account Type, selecione Your Account. Para Accepter Region Type, selecione Cross-region. Para Link Type, selecione Gold. Para Accepter Region, selecione China (Shanghai). Selecione a Accepter VPC e clique em OK.
Configure rotas para a conexão de peering de VPC.
1. Na página VpcPeer, localize a conexão de peering de VPC criada. Na coluna Requester VPC, clique em Configure route para adicionar uma entrada de rota para a VPC1 apontando para a VPC2. Isso permite que o cliente acesse a VPC2 pela VPC1. Na caixa de diálogo Configure Route Entries, defina Name como to-SH, Destination CIDR Block como 172.16.0.0/16 e Next Hop como a instância de conexão de peering. Em seguida, clique em OK.
2. (Opcional) Na coluna Accepter VPC, clique em Configure route para adicionar uma entrada de rota para a VPC2 apontando para a VPC1.
  
  Após concluir esta etapa, a VPC1 e a VPC2 poderão se comunicar por meio de uma conexão privada. Pule esta etapa se não precisar de comunicação privada entre a VPC1 e a VPC2.

Etapa 2: Adicionar bloco CIDR de destino

Adicione o bloco CIDR da VPC2 ao servidor SSL para permitir que o cliente acesse recursos nesse bloco CIDR.

Nota

Se o cliente precisar acessar recursos em várias VPCs interconectadas, adicione os blocos CIDR de todas essas VPCs ao servidor SSL.

Faça login no console do VPN Gateway.
No painel de navegação à esquerda, escolha Network Interconnection > VPN > SSL Servers.
Na barra de navegação superior, selecione a região do servidor SSL.
Na página SSL Servers, localize o servidor SSL que deseja gerencie e clique em Edit na coluna Actions.
No painel Modify SSL Server, clique em Add Local CIDR Block, insira o bloco CIDR da VPC2 e clique em OK.

Etapa 3: Configurar uma rota para o cliente

CEN

Anuncie a rota destinada ao cliente da VPC1 para o CEN. Isso permite que a VPC2 se comunique com o cliente pelo CEN.

Faça login no console da VPC.
Na barra de navegação superior, selecione a região da VPC1.
No painel de navegação à esquerda, clique em Route Tables.
Na página Route Tables, localize a tabela de rotas da VPC1 e clique em seu ID.
Na aba Route Entry List > Custom Route, localize a entrada de rota com o bloco CIDR de destino 10.10.10.0/24. Na coluna Route Advertisement Status dessa rota, clique em Advertise. Confirme se o status mudou para Advertised to CEN. Para cancele o anúncio, clique em Withdraw.

Conexão de peering de VPC

Faça login no console de Conexão de Peering de VPC. Na página VpcPeer, localize a conexão de peering de VPC criada. Na coluna Accepter VPC, clique em Configure route para configure uma rota para a VPC2 apontando para o cliente.

Nota

Se o cliente precisar acessar recursos em várias VPCs interconectadas, adicione uma rota para o cliente na tabela de rotas de cada VPC de destino.

Na caixa de diálogo Configure Route Entries exibida, defina Name como to-SSL-VPN, defina Destination CIDR Block como 10.10.10.0/24, selecione a instância de conexão de peering como Next Hop e clique em OK.

Etapa 4: Testar a conectividade

Após concluir a configuração, o cliente poderá acessar recursos na VPC2, e os recursos na VPC2 também poderão acessar o cliente.

Abra a interface de linha de comando no seu cliente.
Execute o comando ifconfig para visualize a interface de rede da conexão SSL-VPN estabelecida.

Execute o comando ping <ECS IP address> -I <SSL-VPN tunnel interface> para enviar ping para a instância ECS2 a partir da interface de túnel SSL-VPN. Receber pacotes de resposta, conforme mostrado na saída a seguir, confirma que o cliente consegue acessar recursos na VPC2.

Nota

Antes de execute o comando ping, certifique-se de que as regras do grupo de segurança da instância ECS2 e as regras de controle de acesso no cliente permitam tráfego ICMP.

[root@iZ          Z ~]# ifconfig
eth0: flags=4163&lt;UP,BROADCAST,RUNNING,MULTICAST&gt;  mtu 1500
        inet 172.16.32.133  netmask 255.255.255.0  broadcast 172.16.32.255
        xxx
        xxx
        xxx
        xxx
        xxx
lo: flags=73&lt;UP,LOOPBACK,RUNNING&gt;  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        xxx
        xxx
        xxx
        xxx
tun0: flags=4305&lt;UP,POINTOPOINT,RUNNING,NOARP,MULTICAST&gt;  mtu 1500
        inet 10.10.10.6  netmask 255.255.255.255  destination 10.10.10.5
        xxx
        xxx
        xxx
        xxx
[root@iZ          Z ~]# ping 172.16.20.218 -I tun0
PING 172.16.20.218 (172.16.20.218) from 10.10.10.6 tun0: 56(84) bytes of data.
64 bytes from 172.16.20.218: icmp_seq=1 ttl=61 time=49.3 ms
64 bytes from 172.16.20.218: icmp_seq=2 ttl=61 time=9.72 ms
64 bytes from 172.16.20.218: icmp_seq=3 ttl=61 time=9.68 ms
64 bytes from 172.16.20.218: icmp_seq=4 ttl=61 time=9.73 ms
^Z
[1]+  Stopped                 ping 172.16.20.218 -I tun0
[root@iZb          Z ~]#

Faça login na instância ECS2 na VPC2 e execute o comando ping <client virtual address> para enviar ping para o cliente. Se a instância ECS2 receber pacotes de resposta conforme mostrado na saída a seguir, isso indica que a instância ECS2 também consegue acessar o cliente.

[root@iZuf		8c1Z ~]# ping 10.10.10.6
PING 10.10.10.6 (10.10.10.6) 56(84) bytes of data.
64 bytes from 10.10.10.6: icmp_seq=1 ttl=61 time=9.79 ms
64 bytes from 10.10.10.6: icmp_seq=2 ttl=61 time=9.47 ms
64 bytes from 10.10.10.6: icmp_seq=3 ttl=61 time=9.46 ms
64 bytes from 10.10.10.6: icmp_seq=4 ttl=61 time=9.45 ms
^C
[1]+  Stopped                 ping 10.10.10.6
[root@iZuf641 8c1Z ~]#

Perguntas frequentes

Falha na conectividade após anunciar rota para o CEN

Ao criar conexões de VPC e inter-regionais com todas as Advanced Settings ativadas, o transit router propaga e aprende rotas automaticamente. No entanto, se você não ative todas as Advanced Settings, adicionar entradas de rota personalizadas ou tiver conflitos de rota em seu ambiente, o transit router pode falhar ao aprender rotas ou criar entradas de rota. Isso pode causar falhas de conexão. Verifique as rotas de cada instância no seu cenário de interconexão de VPC nos consoles dos product relevantes. Certifique-se de que cada instância tenha rotas para as VPCs interconectadas e para o cliente. Se alguma rota estiver ausente, adicione-a manualmente. Para mais informações, consulte Add a custom route entry to an Enterprise Edition transit router e Add a custom route entry.

Usando o cenário deste tópico como exemplo, clique em para ver as descrições das entradas de rota necessárias para que cada instância alcance a VPC2 e o cliente.

Servidor SSL: Adicione o bloco CIDR da VPC2 ao Local CIDR Block do servidor SSL.

Outras instâncias:

Tabela de rotas da instância	Bloco CIDR de destino	Próximo salto	Descrição
Tabela de rotas do sistema da VPC1	172.16.0.0/12	VPC1-Attachment	Rota para a VPC2. Se você ative a configuração avançada Auto-add transit router routes to all VPC route tables ao criar a conexão da VPC, o sistema cria automaticamente esta rota na tabela de rotas do sistema da VPC1.
Tabela de rotas do sistema da VPC1	10.10.10.0/24	Instância do VPN Gateway	Rota para o cliente. Após criar o servidor SSL, o sistema cria automaticamente esta rota na tabela de rotas do sistema da VPC1.
Tabela de rotas padrão do TR em China (Hangzhou)	172.16.20.0/24	TR	Rota para a VPC2. Se você ative a configuração avançada Automatically Advertise Routes to Peer Region para a conexão inter-regional, o sistema propaga automaticamente esta rota para a tabela de rotas padrão do transit router em China (Hangzhou).
Tabela de rotas padrão do TR em China (Hangzhou)	10.10.10.0/24	VPC1-Attachment	Rota para o cliente. Após anunciar esta rota na VPC1, o sistema a propaga automaticamente para a tabela de rotas padrão do transit router em China (Hangzhou) com base na configuração avançada Automatically Advertise System Routes to Default Route Table of Transit Router da VPC1-Attachment.
Tabela de rotas padrão do TR em China (Shanghai)	172.16.20.0/24	VPC2-Attachment	Rota para a VPC2. Se você ative a configuração avançada Automatically Advertise System Routes to Default Route Table of Transit Router ao criar a conexão da VPC, o sistema propaga automaticamente as rotas do sistema da VPC2 para a tabela de rotas padrão do transit router em China (Shanghai).
Tabela de rotas padrão do TR em China (Shanghai)	10.10.10.0/24	TR	Rota para o cliente. Se você ative a configuração avançada Automatically Advertise Routes to Peer Region para a conexão inter-regional, o sistema propaga automaticamente esta rota para a tabela de rotas padrão do transit router em China (Shanghai).
Tabela de rotas do sistema da VPC2	10.0.0.0/8	VPC2-Attachment	Rota para o cliente. Se você ative a configuração avançada Auto-add transit router routes to all VPC route tables ao criar a conexão da VPC, o sistema cria automaticamente esta rota na tabela de rotas do sistema da VPC2.