Configurando a VPN Site a Site

Nesse exemplo, você configura os dois túneis para usar o roteamento dinâmico BGP.

1. Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em VPN Site a Site.

2. Clique em Criar Conexão IPSec.

3. Informe os seguintes valores:

   • Nome: informe um nome descritivo para a conexão IPSec. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Criar no Compartimento: deixe como está (o compartimento da VCN).
   • CPE (Customer Premises Equipment): selecione o objeto CPE criado anteriormente. Se você estiver configurandoIPSec sobre FastConnect, o CPE escolhido deverá ter um label confirmando que IPSec sobre FastConnect está ativado para esse CPE. O roteamento BGP é preferencial para conexões que usam IPSec em vez de FastConnect. Se necessário, marque a caixa de seleção para indicar que o CPE está atrás de um dispositivo NAT. Se a caixa de seleção estiver marcada, forneça as seguintes informações:
     • Tipo de Identificador de IKE do CPE: Selecione o tipo de identificador que o IKE (Internet Key Exchange) usa para identificar o dispositivo CPE. Um FQDN ou um endereço IPv4 pode ser um identificador. Por padrão, a Oracle usa o endereço IP público do CPE. Se o seu CPE estiver protegido por um dispositivo NAT, talvez você precise informar outro valor. Você pode informar o novo valor aqui ou pode alterar o valor posteriormente.
     • Identificador de IKE do CPE: Especifique as informações que o IKE usa para identificar o dispositivo CPE.
   • Compartimento do Gateway de Roteamento Dinâmico: deixe como está (o compartimento da VCN).
   • Gateway de Roteamento Dinâmico: selecione o DRG criado anteriormente.
   • Rotas para sua Rede on-premises: Deixe vazio porque essa conexão IPSec usa roteamento dinâmico do BGP. Você configura os dois túneis para usar BGP nas etapas a seguir.

4. Para Túnel 1 (obrigatório):

   • Nome: informe um nome descritivo para o túnel. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Fornecer segredo compartilhado personalizado (opcional): Por padrão, o sistema Oracle fornece o segredo compartilhado para o túnel. Se quiser fornecê-lo, marque essa caixa de seleção e informe o segredo compartilhado. Você pode alterar o segredo compartilhado posteriormente.
   • Versão do IKE: A versão do IKE (Internet Key Exchange) a ser usada para esse túnel. Só selecione IKEv2 se o seu CPE suportar essa versão. Depois disso, você deve configurar o CPE para usar apenas o IKEv2 para esse túnel.
   • Tipo de Roteamento: Selecione Roteamento Dinâmico BGP.
   • Se o seu CPE selecionado suportar IPSec por FastConnect, as seguintes definições serão necessárias:
     • IP de headend do túnel Oracle: Informe o endereço IP do ponto final do túnel IPSec Oracle (o headend da VPN). A Oracle divulgará o IP da VPN como uma rota de host /32 por meio da sessão BGP FastConnect. Se houver alguma sobreposição de endereço com uma rota de VCN, isso terá precedência devido à correspondência de prefixo mais longa.
     • Circuito virtual associado: Selecione um circuito virtual que foi ativado para IPSec por meio de FastConnect quando foi criado. O túnel será mapeado para o circuito virtual escolhido e o IP de headend definido só poderá ser acessado no local por meio do circuito virtual associado.
     • Tabela de roteamento de DRG: Escolha ou crie uma tabela de roteamento de DRG. Para evitar problemas com roteamento recursivo, o anexo do circuito virtual e o anexo do túnel IPSec usados para IPsec sobre FC devem usar diferentes tabelas de roteamento do DRG.
   • ASN do BGP: digite o ASN da sua rede.
   • IPv4 Dentro da Interface de Túnel - CPE: Digite o endereço IPv4 do BGP com a máscara de sub-rede (/30 ou /31) para a extremidade do CPE do túnel. Por exemplo: 10.0.0.16/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
   • IPv4 Dentro da Interface de Túnel - Oracle: Digite o endereço IPv4 do BGP com a máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel. Por exemplo: 10.0.0.17/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
   • Se você planeja usar IPv6 e IPv4, clique em Ativar IPv6 e informe os seguintes detalhes:
     • IPv6 Dentro da Interface de Túnel - CPE: Informe o endereço IPv6 do BGP com máscara de sub-rede (/126) para a extremidade do CPE do túnel. Por exemplo: 2001:db2::6/126. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
     • IPv6 Dentro da Interface de Túnel - Oracle: Informe o endereço IP do BGP com máscara de sub-rede (/126) para a extremidade Oracle do túnel. Por exemplo: 2001:db2::7/126. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
     • Se você clicar em Mostrar Opções Avançadas, poderá alterar as seguintes definições para o Túnel 1:
       • Iniciação da Oracle: Essa definição indica se a extremidade Oracle da conexão IPSec pode fazer a inicialização do túnel IPSec. O padrão é Iniciador ou Respondedor. Você também pode optar por definir a extremidade Oracle como respondedor somente, o que exigiria que o dispositivo CPE iniciasse o túnel IPSec. A Oracle recomenda deixar essa opção na definição padrão.
       • NAT-T Ativado: Essa definição indica se o dispositivo CPE está atrás de um dispositivo NAT. O padrão é Automático. As outras opções são Desativado e Ativado. A Oracle recomenda deixar essa opção na definição padrão.
       • Ativar Timeout de Detecção de Ponto Morto: Clicar nessa opção permite verificar periodicamente a estabilidade da conexão com o CPE e detectar se o CPE foi desativado. Se você selecionar essa opção, também poderá selecionar o intervalo mais longo entre as mensagens de integridade do dispositivo CPE antes que a conexão IPSec indique que perdeu o contato com o CPE. O padrão é 20 segundos. A Oracle recomenda deixar essa opção na definição padrão.
     • Se você expandir a seção Configuração da Fase Um (ISAKMP) e clicar em Definir opções personalizadas, poderá fazer as seguintes definições opcionais (você deve selecionar uma de cada opção):
       • Algoritmos de Criptografia Personalizados: Você pode escolher entre as opções fornecidas no menu pull-down.
       • Algoritmos de Autenticação Personalizados: Você pode escolher entre as opções fornecidas no menu pull-down.
       • Grupos Difie-Hellman: Você pode escolher entre as opções fornecidas no menu pull-down.

       Se a caixa de seleção Definir configurações personalizadas não estiver marcada, as definições padrão serão propostas.

       Para entender essas opções com mais detalhes, incluindo as propostas padrão, consulte Parâmetros IPSec Suportados.

     • Vida Útil da Chave de Sessão do IKE em Segundos: O padrão é 28800 que equivale a 8 horas.
     • Se você expandir as opções de Configuração da Fase Dois (IPSec) e clicar em Definir opções personalizadas, poderá fazer as seguintes definições opcionais para o Túnel 1 (selecione um algoritmo de criptografia):
       • Algoritmos de Criptografia Personalizados: Você pode escolher entre as opções fornecidas no menu pull-down. Se você selecionar um algoritmo de criptografia AES-CBC, também deverá selecionar um algoritmo de autenticação.
       • Algoritmos de Autenticação Personalizados: Você pode escolher entre as opções fornecidas no menu pull-down. O algoritmo de criptografia escolhido pode ter autenticação incorporada; nesse caso, não há opção selecionável.

       Se a caixa de seleção Definir configurações personalizadas não estiver marcada, as definições padrão serão propostas.

       Para todas as opções da Fase Dois, se você selecionar uma única opção, ela substituirá a definição padrão e será a única opção proposta para o dispositivo CPE.

     • Vida Útil da Chave de Sessão IPSec em Segundos: O padrão é 3600, que equivale a 1 hora.
     • Ativar PFS (Perfect Forward Secrecy): Por padrão, essa opção está ativada. Permite que você escolha o Grupo Diffie-Hellman PFS (Perfect Forward Secrecy). Você pode escolher entre as opções fornecidas no menu pull-down. Se você não fizer uma seleção, GROUP5 será proposto.
5. Na guia Túnel 2, você pode usar as mesmas opções descritas para o Túnel 1. Você também pode escolher diferentes opções ou deixar o túnel desconfigurado porque seu dispositivo CPE só suporta um túnel.
6. Você pode clicar em Mostrar Opções de Tag para adicionar tags para a conexão IPSec agora ou adicioná-las posteriormente. Para obter mais informações, consulte: Tags de Recursos.

7. Clique em Criar Conexão IPSec.

   A conexão IPSec é criada e exibida na página. Ela fica no estado Provisionando por pouco tempo.

   As informações exibidas sobre o túnel incluem:

   • O endereço IPv4 ou IPv6 da Oracle VPN (para o head-end da Oracle VPN).
   • O status do IPSec do túnel (os valores possíveis são Ativo, Inativo e Indisponível para Manutenção). Nesse ponto, o status é Inativo. O seu engenheiro de rede deve configurar o dispositivo CPE para que seja possível estabelecer o(s) túnel(eis).
   • O status do BGP do túnel. Nesse ponto, o status é Inativo. O seu engenheiro de rede deve configurar o dispositivo CPE.

   Para exibir o segredo compartilhado do túnel, clique no túnel para exibir os detalhes e, em seguida, clique em Mostrar ao lado de Segredo Compartilhado.

   Você também pode clicar na guia Detalhes da Fase para ver os detalhes da Fase Um (ISAKMP) e da Fase Dois (IPSec) do túnel.

8. Copie o endereço IP da VPN da Oracle e o segredo compartilhado de cada um dos túneis para um e-mail ou para outro local de modo que possa fornecê-lo ao engenheiro de rede que configura o dispositivo CPE.

   Você pode verificar essas informações sobre o túnel na Console a qualquer momento.

Agora você criou todos os componentes necessários para a VPN Site a Site. Em seguida, o seu engenheiro de rede deve configurar o dispositivo CPE para que o tráfego de rede possa fluir entre a rede on-premises e a VCN.

1. Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em VPN Site a Site.

2. Clique em Criar Conexão IPSec.

3. Informe os seguintes valores:

   • Criar no Compartimento: deixe como está (o compartimento da VCN).
   • Nome: informe um nome descritivo para a conexão IPSec. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Compartimento do CPE (Customer Premises Equipment): deixe como está (o compartimento da VCN).
   • CPE (Customer Premises Equipment): selecione o objeto CPE criado anteriormente. Se você estiver configurandoIPSec sobre FastConnect, o CPE escolhido deverá ter um label confirmando que IPSec sobre FastConnect está ativado para esse CPE. IPSec sobre FastConnect está disponível para conexões que usam roteamento estático, mas não é recomendado.
   • Compartimento do Gateway de Roteamento Dinâmico: deixe como está (o compartimento da VCN).
   • Gateway de Roteamento Dinâmico: selecione o DRG criado anteriormente.
   • CIDR de Rota Estática: insira pelo menos um CIDR de roteamento estático (consulte a lista de informações a serem coletadas Antes de Começar). Para esse exemplo, digite 10.0.0.0/16. Você pode digitar até 10 rotas estáticas e poderá alterar as rotas estáticas posteriormente.
4. Clique em Mostrar Opções Avançadas.
5. Na guia Identificador IKE do CPE (opcional): O sistema Oracle assume como padrão o endereço IP público do CPE. Se o seu CPE estiver protegido por um dispositivo NAT, talvez você precise informar outro valor. Você pode informar o novo valor aqui ou pode alterar o valor posteriormente.

6. Na guia Túnel 1 (opcional):

   • Nome do Túnel: informe um nome descritivo para o túnel. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Fornecer segredo compartilhado personalizado (opcional): Por padrão, o sistema Oracle fornece o segredo compartilhado para o túnel. Se quiser fornecê-lo, marque essa caixa de seleção e informe o segredo compartilhado. Você pode alterar o segredo compartilhado posteriormente.
   • Versão do IKE: A versão do IKE (Internet Key Exchange) a ser usada para esse túnel. Só selecione IKEv2 se o seu CPE suportar essa versão. Depois disso, você deve configurar o CPE para usar apenas o IKEv2 para esse túnel.
   • Tipo de Roteamento: Deixe o botão de opção Roteamento Estático selecionado.
   • Interface de Túnel Interno - CPE (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade CPE do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.16/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
   • Interface de Túnel Interno - Oracle (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.17/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.

7. Na guia Túnel 2 (opcional):

   • Nome do Túnel: informe um nome descritivo para o túnel. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Fornecer segredo compartilhado personalizado (opcional): Por padrão, o sistema Oracle fornece o segredo compartilhado para o túnel. Se quiser fornecê-lo, marque essa caixa de seleção e informe o segredo compartilhado. Você pode alterar o segredo compartilhado posteriormente.
   • Versão do IKE: A versão do IKE (Internet Key Exchange) a ser usada para esse túnel. Só selecione IKEv2 se o seu CPE suportar essa versão. Depois disso, você deve configurar o CPE para usar apenas o IKEv2 para esse túnel.
   • Tipo de Roteamento: Deixe o botão de opção Roteamento Estático selecionado.
   • Interface de Túnel Interno - CPE (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade CPE do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Use um endereço IP diferente do utilizado para o túnel 1. Por exemplo: 10.0.0.18/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
   • Interface de Túnel Interno - Oracle (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Use um endereço IP diferente do utilizado para o túnel 1. Por exemplo: 10.0.0.19/31. O endereço IP deve fazer parte do domínio de criptografia da VPN Site a Site.
8. Tags: deixe como está. Você poderá adicionar tags posteriormente, se quiser. Para obter mais informações, consulte: Tags de Recursos.

9. Clique em Criar Conexão IPSec.

   A conexão IPSec é criada e exibida na página. Ela permanecerá no estado Provisionamento por um curto período.

   As informações exibidas sobre o túnel incluem:

   • O endereço IP da Oracle VPN (para o headend da Oracle VPN).
   • O status do IPSec do túnel (os valores possíveis são Ativo, Inativo e Indisponível para Manutenção). Nesse ponto, o status é Inativo. O seu engenheiro de rede ainda deve configurar o seu dispositivo CPE.

   Para exibir o segredo compartilhado do túnel, clique no túnel para exibir os detalhes e, em seguida, clique em Mostrar ao lado de Segredo Compartilhado.

10. Copie o endereço IP da Oracle VPN e o segredo compartilhado de cada um dos túneis para um e-mail ou para outro local de modo que possa fornecê-lo ao engenheiro da rede que configurará o dispositivo CPE.

    Você pode verificar essas informações sobre o túnel na Console a qualquer momento.

Agora você criou todos os componentes necessários para a VPN Site a Site. Em seguida, o seu engenheiro de rede deve configurar o dispositivo CPE para que o tráfego de rede possa fluir entre a rede on-premises e a VCN.

Para obter mais informações, consulte Configuração do CPE.

1. Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em VPN Site a Site.

2. Clique em Criar Conexão IPSec.

3. Informe os seguintes valores:

   • Criar no Compartimento: deixe como está (o compartimento da VCN).
   • Nome: informe um nome descritivo para a conexão IPSec. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Compartimento do CPE (Customer Premises Equipment): deixe como está (o compartimento da VCN).
   • CPE (Customer Premises Equipment): selecione o objeto CPE criado anteriormente. Se você estiver configurandoIPSec sobre FastConnect, o CPE escolhido deverá ter um label confirmando que IPSec sobre FastConnect está ativado para esse CPE. IPSec sobre FastConnect está disponível para conexões que usam roteamento baseado em política, mas não é recomendado.
   • Compartimento do Gateway de Roteamento Dinâmico: deixe como está (o compartimento da VCN).
   • Gateway de Roteamento Dinâmico: selecione o DRG criado anteriormente.
   • CIDR de Rota Estática: insira pelo menos um CIDR de roteamento estático (consulte a lista de informações a serem coletadas Antes de Começar). Para esse exemplo, digite 10.0.0.0/16. Você pode digitar até 10 rotas estáticas e poderá alterar as rotas estáticas posteriormente.
4. Clique em Mostrar Opções Avançadas.
5. Na guia Identificador IKE do CPE (opcional): O sistema Oracle assume como padrão o endereço IP público do CPE. Se o seu CPE estiver protegido por um dispositivo NAT, talvez você precise informar outro valor. Você pode informar o novo valor aqui ou pode alterar o valor posteriormente.

6. Na guia Túnel 1 (opcional):

   • Nome do Túnel: informe um nome descritivo para o túnel. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Fornecer segredo compartilhado personalizado (opcional): Por padrão, o sistema Oracle fornece o segredo compartilhado para o túnel. Se quiser fornecê-lo, marque essa caixa de seleção e informe o segredo compartilhado. Você pode alterar o segredo compartilhado posteriormente.
   • Versão do IKE: A versão do IKE (Internet Key Exchange) a ser usada para esse túnel. Só selecione IKEv2 se o seu CPE suportar essa versão. Depois disso, você deve configurar o CPE para usar apenas o IKEv2 para esse túnel.
   • Tipo de Roteamento: Selecione o botão de opção para o roteamento Baseado em política.
   • On-premises: Você pode fornecer vários blocos de prefixo IPv4 CIDR ou IPv6 usados por recursos em sua rede on-premises, com roteamento determinado pelas políticas de dispositivo CPE.
     Observação
     
     Consulte Domínios de criptografia para túneis baseados em política para saber as limitações sobre quantos blocos de prefixo IPv4 CIDR ou IPv6 podem ser usados.
   • Oracle Cloud: Você pode fornecer vários blocos de prefixo IPv4 CIDR ou IPv6 usados pelos recursos em sua VCN.
     Observação
     
     Consulte Domínios de criptografia para túneis baseados em política para saber as limitações sobre quantos blocos de prefixo IPv4 CIDR ou IPv6 podem ser usados.
   • Interface de Túnel Interno - CPE (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade CPE do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.16/31. O endereço IP deve fazer parte de um dos domínios de criptografia da VPN Site a Site.
   • Interface de Túnel Interno - Oracle (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.17/31. O endereço IP deve fazer parte de um dos domínios de criptografia da VPN Site a Site.

7. Na guia Túnel 2 (opcional):

   • Nome do Túnel: informe um nome descritivo para o túnel. Esse nome não precisa ser exclusivo e você pode alterá-lo posteriormente. Evite inserir informações confidenciais.
   • Fornecer segredo compartilhado personalizado (opcional): Por padrão, o sistema Oracle fornece o segredo compartilhado para o túnel. Se quiser fornecê-lo, marque essa caixa de seleção e informe o segredo compartilhado. Você pode alterar o segredo compartilhado posteriormente.
   • Versão do IKE: A versão do IKE (Internet Key Exchange) a ser usada para esse túnel. Só selecione IKEv2 se o seu CPE suportar essa versão. Depois disso, você deve configurar o CPE para usar apenas o IKEv2 para esse túnel.
   • Tipo de Roteamento: Selecione o botão de opção para o roteamento Baseado em política.
   • On-premises: Você pode fornecer vários blocos de prefixo IPv4 CIDR ou IPv6 usados por recursos em sua rede on-premises, com roteamento determinado pelas políticas de dispositivo CPE.
     Observação
     
     Consulte Domínios de criptografia para túneis baseados em política para saber as limitações.
   • Oracle Cloud: Você pode fornecer vários blocos de prefixo IPv4 CIDR ou IPv6 usados pelos recursos em sua VCN.
     Observação
     
     Consulte Domínios de criptografia para túneis baseados em política para saber as limitações.
   • Interface de Túnel Interno - CPE (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade CPE do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.16/31. O endereço IP deve fazer parte de um dos domínios de criptografia da VPN Site a Site.
   • Interface de Túnel Interno - Oracle (opcional): você pode fornecer um endereço IP com máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel a fim de monitorá-lo ou diagnosticar/solucionar problemas com ele. Por exemplo: 10.0.0.17/31. O endereço IP deve fazer parte de um dos domínios de criptografia da VPN Site a Site.
8. Tags: deixe como está. Você poderá adicionar tags posteriormente, se quiser. Para obter mais informações, consulte: Tags de Recursos.

9. Clique em Criar Conexão IPSec.

   A conexão IPSec é criada e exibida na página. Ela permanecerá no estado Provisionamento por um curto período.

   As informações exibidas sobre o túnel incluem:

   • O endereço IP da Oracle VPN (para o headend da Oracle VPN).
   • O status do IPSec do túnel (os valores possíveis são Ativo, Inativo e Indisponível para Manutenção). Nesse ponto, o status é Inativo. O seu engenheiro de rede ainda deve configurar o seu dispositivo CPE.

   Para exibir o segredo compartilhado do túnel, clique no túnel para exibir os detalhes e, em seguida, clique em Mostrar ao lado de Segredo Compartilhado.

10. Copie o endereço IP da VPN da Oracle e o segredo compartilhado de cada um dos túneis para um e-mail ou para outro local; depois, entregue-o ao engenheiro de rede que configura o dispositivo CPE.

    Você pode verificar essas informações sobre o túnel na Console a qualquer momento.

Agora você criou todos os componentes necessários para a VPN Site a Site. Em seguida, o seu engenheiro de rede deve configurar o dispositivo CPE para que o tráfego de rede possa fluir entre a rede on-premises e a VCN.

Para obter mais informações, consulte Configuração do CPE.