Conexão VPN Redundante com AWS Usando BGP

Seguindo o artigo original sobre conectar seus ativos AWS ao Cato, o artigo abaixo elabora sobre a funcionalidade estendida do BGP. A funcionalidade BGP permite ter uma conexão VPN redundante com a nuvem AWS para garantir máxima redundância.

Configurar BGP com AWS

Este procedimento explica como configurar um site IKEv1 ou IKEv2 que usa BGP para se conectar à AWS.

  1. Certifique-se de ter pelo menos 2 Endereços IP públicos na Aplicação de Gerenciamento Cato (Rede > Alocação de IP):

    IP_Allocation.png

  2. No AWS, crie um Gateway Virtual Privado:

    360002046957-blobid0.png

  3. Navegue até o Seu Painel VPN > Criar VPC. A partir daqui, crie seu novo VPC:

    360002150038-blobid1.png

  4. Navegue até os Gateways do Cliente. Crie 2 Gateways do Cliente usando o novo Endereço IP alocado acima (na mesma Região AWS):

    a. Nome - precisa ser reconhecível para você.

    b. Endereço IP - estes são Endereços IP Públicos que foram alocados para você na Aplicação de Gerenciamento Cato.

    c. VPC - para cada Gateway do Cliente, será necessário garantir que você selecione o mesmo VPC.

    360002150078-blobid2.png

  5. Navigate to 'Site-To-Site VPN Connections' and create 2 VPN Connections (1 to each of the new Customer Gateways you have just created):

    a.Tag de Nome - Nome descritivo

    b. Gateway do Cliente - Selecione aqui um dos Gateways do Cliente que você criou

    c.Opção de Roteamento - Selecione Dinâmico (BGP)

    d.Opções de Túnel - Você estipula os IPs do Túnel se necessário, mas se deixado como padrão, o AWS usará a faixa 169.x.x.x.

    360002047017-blobid3.png

    Nota: AWS usa o IP do Túnel para criar o par BGP com Cato sobre o túnel IPsec.

  6. Clique em Download da Configuração para cada uma das novas Conexões VPN que você acabou de configurar:

    360002151218-blobid0.png

  7. Dentro deste arquivo obtenha as seguintes informações para ajudar a configurar a Aplicação de Gerenciamento Cato:

    a. Chave Pré-compartilhada

    b. Configuração BGP (Endereço IP Privado e ASN)

    360002047057-mceclip0.png

  8. Na Aplicação de Gerenciamento Cato, navegue até o Site que você deseja configurar IPsec/BGP.

    a. A configuração aqui é exatamente a mesma que você faria para um site IPsec padrão, exceto que você precisa adicionar os endereços IP privados que você tem na configuração da AWS que baixou anteriormente.

    Exemplo de site IKEv1:

    360002150318-blobid7.png

    Exemplo de site IKEv2:

    AWS_IPsec_IKEv2.png

    b. Na seção BGP, insira o seguinte:

    i. ASN's

    ii. IPs Privados

    iii. Informações de Roteamento


    Nota: O túnel com a Métrica mais baixa será a rota preferida.

  9. Para verificar o status da conexão BGP selecione Mostrar Status do BGP.

  10. Para verificar no AWS, navegue até Conexão de Site-para-Site > Selecione sua conexão VPC > Detalhes do Túnel. A partir daqui você pode ver se a conexão VPN está e se as rotas BGP foram propagadas para o AWS.

    tunnel_details.png

  11. Nota: Se você quiser ver quais rotas foram publicadas no site AWS, vá para Tabela de Roteamento > Encontre sua Tabela de Roteamento > Selecione Rotas.

360002150458-blobid11.png

Teste de Failover BGP

Embora a Amazon não suporte o teste de failover dentro da plataforma AWS, o teste de failover BGP pode ser feito usando o Aplicativo de Gerenciamento Cato:

  1. De trás de um site Socket ou conectando com o Cliente Cato, pingue um host dentro do ambiente AWS.

  2. No Aplicativo de Gerenciamento Cato, vá para o site IPsec com BGP.

  3. Altere o endereço IP para criar um failover:

    Certifique-se de salvar o endereço IP original, você precisará dele após o teste ser concluído.

    1. Na seção BGP, para a conexão principal, altere o endereço IP de Cato ou do Vizinho:

    2. Na seção IPsec, altere os IPs Privados para Cato ou Vizinho para o mesmo endereço IP no passo anterior.

    3. Clique em Salvar.

  4. Os pings começam a cair e então a conexão falha e você vê que o failover BGP está funcionando corretamente.

  5. Para voltar para o link principal, altere o endereço IP do BGP e do IPsec para as configurações originais, Após alguns pings descartados, a conexão retorna para a conexão principal.

Esse artigo foi útil?

Usuários que acharam isso útil: 1 de 1

0 comentário