Como Trabalhar com a VPN Site a Site
Este tópico contém alguns detalhes sobre como trabalhar com a VPN Site a Site e os componentes relacionados. Consulte também estes tópicos:
- Visão Geral da VPN Site a Site
- Início Rápido da VPN Site a Site
- Configurando a VPN Site a Site
- Configuração do CPE
- Usando o Auxiliar de Configuração de CPE
- Perguntas mais Frequentes sobre a VPN Site a Site
- Métricas da VPN Site a Site
- Solução de Problemas da VPN Site a Site
Serviço de VPN Site a Site atualizado
A VPN Site a Site v2 melhora a disponibilidade e a confiabilidade das conexões IPSec e possibilita novas funcionalidades. A VPN Site a Site v2 está disponível em todas as regiões comerciais. Todas as conexões IPSec recém-criadas são criadas usando a VPN Site a Site v2. O processo de configuração da VPN Site a Site v2 é idêntico à configuração da VPN Site a Site v1.
As novas funções que dependem da VPN Site a Site v2 incluem:
A Oracle continuará a suportar a VPN Site a Site v1. Se você tiver a VPN Site a Site v1 e quiser usar um dos recursos adicionados disponíveis para a VPN Site a Site v2, será necessário criar uma nova conexão e encerrar a conexão mais antiga. Não há caminho de migração para alterar uma conexão v1 para uma conexão v2 no momento.
Migração para VPN baseada em política
O serviço v2 da VPN Site a Site do Oracle Cloud Infrastructure suporta totalmente VPNs IPsec baseadas em política com até 50 domínios de criptografia por túnel.
Para evitar possíveis interrupções de tráfego, se você tiver sido migrado do serviço v1 da VPN Site a Site para a VPN Site a Site v2 e tiver configurado seu CPE com vários domínios de criptografia, modifique suas configurações de túnel no lado OCI da conexão para corresponder à sua configuração de CPE. Este artigo explica por que essa modificação é tão importante e as etapas necessárias para configurar o OCI para usar VPNs IPsec baseadas em política.
Por que você deve migrar para o recurso VPN baseado em política
O serviço v1 da VPN Site a Site é sempre configurado como uma VPN baseada em rota e usa um domínio de criptografia para tipos de roteamento BGP e estático. Para interoperabilidade de VPN baseada em política, a VPN Site a Site v1 suporta um CPE configurado para VPNs baseadas em política se o CPE atuar como o iniciador e apenas um único domínio de criptografia for enviado ao OCI. A configuração de vários domínios de criptografia neste cenário resultará na instabilidade do túnel, onde você pode observar o túnel batendo ou que o tráfego que atravessa o túnel tem acessibilidade instável.
Com o serviço v2 da VPN Site a Site, agora há uma opção de tipo de roteamento baseado em política, além dos tipos de roteamento BGP e estático disponíveis anteriormente. VPN Site a Site Os tipos de roteamento BGP e estático do v2 permanecerão baseados em rota e suportarão um único domínio de criptografia qualquer/qualquer. Essas opções funcionam com uma única configuração de CPE baseada em política de domínio de criptografia. No entanto, isso não é recomendado e o envio de mais de um domínio de criptografia resultará em instabilidade de túnel.
O tipo de roteamento baseado em política disponível para a VPN Site a Site v2 é uma VPN baseada em política com todos os recursos, permitindo que você configure o lado do OCI para corresponder totalmente à configuração baseada em política do seu CPE e aceite todas as associações de segurança individuais (SAs) necessárias para um túnel IPSec VPN estável.
Para obter mais informações sobre domínios de criptografia e os diferentes tipos de túnel de VPN IPsec, consulte ID de Proxy ou Domínio de Criptografia Suportado.
Depois que seus túneis forem migrados da VPN Site a Site v1 para v2, eles continuarão usando o mesmo tipo de roteamento (BGP ou estático) configurado antes da migração. Esta seção detalhará o processo passo a passo para modificar seus túneis baseados em rota existentes para usar o roteamento baseado em política.
Exibindo o Status e a Configuração do Túnel
Quando você cria a conexão IPSec de forma bem-sucedida, o sistema Oracle gera informações de configuração importantes para cada um dos túneis IPSec resultantes. Para obter um exemplo, consulte tarefa 2h no processo geral de configuração. Você pode ver essas informações e o status dos túneis a qualquer momento. Isso inclui o status do BGP, caso o túnel tenha sido configurado para usar roteamento dinâmico BGP.
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
-
Clique na conexão IPSec em que está interessado.
Os detalhes de cada túnel são exibidos, incluindo o status do IPSec, o status do BGP (se o túnel usar roteamento dinâmico BGP) e o endereço IP da Oracle VPN (o headend da VPN).
- Para exibir o segredo compartilhado de um túnel:
- Clique no túnel no qual você está interessado.
- Ao lado do campo Segredo Compartilhado, clique em Mostrar.
- Para exibir as rotas do BGP propagadas e recebidas de um túnel (incluindo o AS PATH para cada rota):
- Clique no túnel no qual você está interessado.
- Em Recursos, clique em Rotas do BGP Recebidas ou Rotas do BGP Propagadas.
Usando o Auxiliar de Configuração de CPE
Depois de configurar a VPN Site a Site, o engenheiro de rede deve configurar o CPE (Customer-Premises Equipment) na sua extremidade da conexão. A configuração inclui detalhes sobre sua rede virtual na nuvem (VCN) e os túneis IPSec na VPN Site a Site. O Auxiliar de Configuração CPE gera as informações para o engenheiro da rede. Para obter mais informações, consulte Usando o Auxiliar de Configuração de CPE.
Alterando as Rotas Estáticas
Você pode alterar as rotas estáticas para uma conexão IPSec existente. Você pode fornecer até 10 rotas estáticas.
Lembre-se de que uma conexão IPSec pode usar roteamento estático ou roteamento dinâmico BGP. Você associa as rotas estáticas à conexão IPSec geral e não aos túneis individuais. Se uma conexão IPSec tiver rotas estáticas associadas a ela, o sistema Oracle as usará para rotear o tráfego de um túnel somente se o próprio túnel estiver configurado para usar roteamento estático. Se o sistema estiver configurado para usar o roteamento dinâmico BGP, as rotas estáticas da conexão IPSec serão ignoradas.
A conexão IPSec permanece inativa enquanto é reprovisionada com as suas alterações de rota estática.
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
-
Para a conexão IPSec do seu interesse, clique no menu Ações (
) e depois clique em Editar.As rotas estáticas atuais são exibidas.
- Faça as alterações desejadas e clique em Salvar Alterações.
Alterando o Identificador IKE do CPE Usado pelo Sistema Oracle
Se o seu CPE estiver atrás de um dispositivo NAT, talvez você precise fornecer o identificador IKE do seu CPE ao sistema Oracle. Você pode especificá-lo ao criar a conexão IPSec ou pode editar a conexão IPSec posteriormente e alterar o valor. O sistema Oracle espera que o valor seja um endereço IP ou um nome de domínio totalmente qualificado (FQDN). Ao determinar o valor, especifique seu tipo também.
A conexão IPSec permanece inativa enquanto é reprovisionada para usar o identificador IKE do seu CPE.
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
-
Para a conexão IPSec do seu interesse, clique no menu Ações (
) e depois clique em Editar.O identificador IKE do CPE atual que o sistema Oracle está usando é exibido na parte inferior da caixa de diálogo.
- Digite seus novos valores Tipo de Identificador IKE do CPE e Identificador IKE do CPE e, em seguida, clique em Salvar Alterações.
Usando o IKEv2
O sistema Oracle suporta o IKE (Internet Key Exchange) versão 1 e o IKE versão 2 (IKEv2).
Se quiser usar o IKEv2 e o seu CPE suportá-lo, você deverá:
- Configure cada túnel IPSec para usar o IKEv2 na Console do sistema Oracle. Consulte os procedimentos a seguir.
- Configure o seu CPE para usar parâmetros de criptografia IKEv2 suportados pelo CPE. Para obter uma lista de parâmetros suportados pelo sistema Oracle, consulte Parâmetros IPSec Suportados.
Se você criar uma nova conexão IPSec manualmente, poderá especificar o IKEv2 ao criar a conexão IPSec na Console do sistema Oracle. Consulte o procedimento imediatamente a seguir.
Se, em vez disso, você usar o workflow de início rápido da VPN, a conexão IPSec será configurada para usar apenas o IKEv1. No entanto, após a conclusão do workflow, você poderá editar os túneis IPSec resultantes na Console do sistema Oracle e alterá-los para usar o IKEv2.
Para configurar manualmente uma nova conexão IPSec que usa o IKEv2:
- Ao criar a conexão IPSec na Console do sistema Oracle, na seção Opções Avançadas, clique na guia Túnel 1.
- No menu Versão do IKE, selecione IKEv2.
- Repita a etapa anterior para a guia Túnel 2.
- Posteriormente, ao configurar o seu CPE, configure-o para usar somente o IKEv2 e os parâmetros de criptografia relacionados ao IKEv2 que o CPE suporta.
A Oracle recomenda a execução do processo a seguir para um túnel por vez a fim de evitar a interrupção da sua conexão geral. Se sua conexão não for redundante (por exemplo, não tiver diversos túneis), haverá um período de indisponibilidade durante o upgrade para o IKEv2.
- Altere a versão do IKE do túnel na Console do sistema Oracle:
- Clique na conexão IPSec em que está interessado.
- Clique no túnel para ver os detalhes.
- Clique em Editar.
- No menu Versão do IKE, selecione IKEv2.
- Clique em Salvar Alterações.
- Atualize a sua configuração do CPE para o túnel usar o IKEv2 e os parâmetros de criptografia relacionados suportados pelo CPE. Para obter uma lista de parâmetros suportados pelo sistema Oracle, consulte Parâmetros IPSec Suportados.
- Se as associações de segurança não forem recodificadas imediatamente, force uma recodificação para esse túnel no seu CPE. Em outras palavras, remova as associações de segurança da fase 1 e da fase 2 e não espere que elas expirem. Alguns dispositivos CPE aguardam que as SAs expirem antes da recodificação. Forçar a recodificação permite confirmar imediatamente se a configuração da versão do IKE está correta.
- Para confirmar, certifique-se de que as associações de segurança do túnel sejam corretamente recodificadas. Se isso não ocorrer, confirme se a versão correta do IKE está definida na Console do sistema Oracle e no seu CPE. Confirme também se o CPE está usando os parâmetros desejados.
Após confirmar que o primeiro túnel está funcionando, repita as etapas anteriores para o segundo túnel.
Alterando o Segredo Compartilhado Usado por um Túnel IPSec
Quando você configura uma VPN Site a Site, por padrão, a Oracle fornece o segredo compartilhado (também chamado de chave pré-compartilhada) de cada túnel. Você pode ter um segredo compartilhado específico que deseja usar. Você pode especificar o segredo compartilhado de cada túnel ao criar a conexão IPSec ou pode editar os túneis e fornecer um novo segredo compartilhado. Para o segredo compartilhado, só são permitidos números, letras e espaços. A Oracle recomenda o uso de um segredo compartilhado diferente para cada túnel.
Quando você altera o segredo compartilhado de um túnel, tanto a conexão IPSec geral quanto o túnel passam para o estado Provisionando enquanto o túnel é reprovisionado com o novo segredo compartilhado. O outro túnel na conexão IPSec permanece no estado Disponível. No entanto, enquanto o primeiro túnel estiver sendo reprovisionado, não será possível alterar a configuração do segundo túnel.
Alterando de Roteamento Estático para Roteamento Dinâmico BGP
Se quiser alterar o uso de roteamento estático para roteamento dinâmico BGP em uma VPN Site a Site existente, siga o processo nesta seção.
Quando você altera o tipo de roteamento de um túnel, o status IPSec do túnel não é alterado durante o reprovisionamento. No entanto, o roteamento pelo túnel é afetado. O tráfego é interrompido temporariamente até que o engenheiro da rede configure o seu dispositivo CPE de acordo com a alteração do tipo de roteamento.Se a sua VPN Site a Site existente estiver atualmente configurada para usar um único túnel, esse processo interromperá sua conexão com a Oracle. Se, em vez disso, a VPN Site a Site usar diversos túneis, a Oracle recomenda a reconfiguração de um túnel por vez para evitar a interrupção da conexão.
Pré-requisitos:
- Você leu esta seção: Roteamento da VPN Site a Site
-
Você reuniu as informações de roteamento BGP necessárias:
- O ASN da sua rede. O ASN do BGP da Oracle para a nuvem comercial é 31898, exceto a região Centro da Sérvia (Jovanovac), que é 14544. Para a Nuvem do Governo, consulte ASN de BGP da Oracle.
- Para cada túnel: O endereço IP do BGP de cada extremidade do túnel (os dois endereços de um túnel devem ser um par de sub-rede /30 ou /31 e devem fazer parte do domínio de criptografia da VPN Site a Site)
Repita o processo a seguir para cada túnel na conexão IPSec:
-
Reconfigure o tipo de roteamento do túnel de roteamento estático para roteamento dinâmico BGP:
-
-
Clique na conexão IPSec em que está interessado.
Os túneis são listados, e o status de cada túnel é mostrado. O Status do BGP do túnel no qual você está interessado deverá mostrar apenas um hífen (nenhum valor). Isso significa que o túnel está atualmente configurado para usar roteamento estático.
- Clique no túnel para ver todos os detalhes.
- Clique em Editar.
-
Faça o seguinte:
- Tipo de Roteamento: Selecione o botão de opção para Roteamento Dinâmico BGP.
- ASN do BGP: digite o ASN do BGP da sua rede.
- Interface de Túnel Interno - CPE: informe o endereço IP BGP com máscara de sub-rede (/30 ou /31) para a extremidade CPE do túnel. Por exemplo: 10.0.0.16/31.
- Interface de Túnel Interno - Oracle: informe o endereço IP BGP com máscara de sub-rede (/30 ou /31) para a extremidade Oracle do túnel. Por exemplo: 10.0.0.17/31.
- Clique em Salvar Alterações.
O Status do BGP do túnel passa para Inativo.
-
- Peça ao seu engenheiro de rede ´para atualizar a configuração de túnel do seu dispositivo CPE de modo a usar BGP.
- No seu lado da conexão, confirme se a sessão BGP do túnel apresenta um estado estabelecido. Se não tiver, certifique-se de que os endereços IP corretos estão configurados para o túnel na Console do sistema Oracle e também para o seu dispositivo CPE.
- Na Console do sistema Oracle, confirme se o Status do BGP do túnel agora é Ativo.
- Confirme se o seu dispositivo CPE está obtendo rotas do sistema Oracle e se o seu dispositivo CPE está propagando rotas para o sistema Oracle. Se quiser propagar as rotas do sistema Oracle usadas no BGP de volta para a sua rede local, certifique-se de que o seu dispositivo CPE esteja configurado de forma adequada. A sua política existente para propagar as rotas estáticas para a sua rede local talvez não funcione em relação às rotas BGP obtidas.
- Envie uma solicitação de ping para o endereço do Oracle BGP no seu lado da conexão para confirmar se o tráfego está fluindo.
Após confirmar que o primeiro túnel está funcionando e utilizando BGP, repita o processo para o segundo túnel.
Conforme observado em Roteamento da VPN Site a Site, as rotas estáticas ainda configuradas para a conexão IPSec geral NÃO substituem o roteamento do BGP. Essas rotas estáticas são ignoradas quando o sistema Oracle roteia o tráfego por meio de um túnel que está configurado para usar BGP.
Além disso, é possível alterar o tipo de roteamento de um túnel de volta para roteamento estático, se necessário. Você poderá fazer isso se a janela de tempo de indisponibilidade programada para o dispositivo CPE estiver terminando em breve e houver problemas para estabelecer a sessão BGP. Quando retornar ao roteamento estático, certifique-se de que a conexão IPSec geral ainda tem as rotas estáticas desejadas configuradas.
Monitorando a Sua VPN Site a Site
Você pode monitorar a integridade, a capacidade e o desempenho dos recursos do Oracle Cloud Infrastructure usando métricas, alarmes e notificações. Para obter mais informações, consulte os serviços Monitoring e Notifications.
Para obter informações sobre como monitorar a sua conexão, consulte Métricas da VPN Site a Site.
Exibindo as Suas Mensagens de Log da VPN Site a Site
Você pode exibir as mensagens de log geradas para vários aspectos operacionais da VPN Site a Site, como as negociações que ocorrem ao CRIAR um túnel IPSec. A ativação e o acesso às mensagens de log da VPN Site a Site podem ser feitos por meio da VPN Site a Site ou do Serviço Logging.
- Para obter uma visão geral do serviço Logging, consulte Visão Geral do Serviço Logging.
- Para obter detalhes sobre como ativar e acessar as mensagens de log da VPN Site a Site por meio do serviço Logging, consulte Logs de Serviço.
-
Para obter detalhes sobre o esquema de mensagem de log da VPN Site a Site, consulte Detalhes da VPN Site a Site.
-
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
-
Para a conexão IPSec do seu interesse, clique no nome da conexão.
A página de detalhes da conexão é exibida.
- No lado esquerdo da tela, em Recursos, clique em Logs.
Se você não vir essa opção, a conexão terá o tipo v1 mais antigo da VPN Site a Site. O log de mensagens exige a VPN Site a Site v2.
- Na página de detalhes Logs, defina o campo Ativar Log como Ativado. Uma nova tela é exibida.
Os detalhes das opções na tela estão em Ativando o Registro em Log de um Recurso. Os logs são tratados da mesma forma, independentemente do tipo de recurso que gera o log.
- Clique em Ativar Log.
A página de detalhes do Log é exibida e o log estará em processo de criação (uma mensagem "Criando log" é exibida).
Você já deve ter o registro em log ativado para exibir o log de mensagens. Para exibir o log de mensagens:
-
Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em VPN Site a Site.
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
- No lado esquerdo da tela, em Recursos, clique em Logs.
Se você não vir essa opção, a conexão terá o tipo v1 mais antigo da VPN Site a Site. O log de mensagens exige a VPN Site a Site v2.
- Clique no Nome do Log do seu interesse. Isso abrirá uma nova guia do browser mostrando o log solicitado.
Consulte Obtendo Detalhes de um Log para obter detalhes sobre como usar a tela de exibição de log.
Desativando ou Encerrando a VPN Site a Site
Se quiser desativar a VPN Site a Site entre a sua rede on-premises e a VCN, você poderá simplesmente desanexar o DRG da VCN, em vez de excluir a conexão IPSec. Se você também estiver usando o DRG com o FastConnect, desanexar o DRG também interromperá o fluxo de tráfego no FastConnect.
Você pode excluir a conexão IPSec. No entanto, se quiser restabelecê-la posteriormente, o seu engenheiro de rede terá de configurar o seu dispositivo CPE novamente com um novo conjunto de informações de configuração de túnel do sistema Oracle.
Se você quiser excluir permanentemente a VPN Site a Site, encerre primeiro a conexão IPSec. Em seguida, você pode excluir o objeto CPE. Se você não estiver usando o DRG para outra conexão com a sua rede local, poderá desanexá-lo da VCN e depois excluí-lo.
-
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
- Clique na conexão IPSec em que está interessado.
- Clique em Encerrar.
- Confirme a exclusão quando solicitado.
A conexão IPSec permanecerá no estado Encerrando por um curto período enquanto estiver sendo excluída.
Pré-requisito: não deve haver uma conexão IPSec entre o objeto CPE e um DRG.
-
Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em Equipamento local do cliente.
É exibida uma lista dos objetos CPE do compartimento que você está verificando. Se você não vir o que está procurando, verifique se você está exibindo o compartimento correto (selecione na lista à esquerda da página).
- Para o objeto CPE que você deseja excluir, clique no menu Ações () e, em seguida, clique em Excluir.
- Confirme a exclusão quando solicitado.
O objeto permanecerá no estado Encerrando por um curto período durante a exclusão.
Gerenciando Tags para uma Conexão IPSec ou um Objeto CPE
Aplique tags aos seus recursos para ajudar a organizá-los de acordo com as necessidades da sua empresa. Aplique tags no momento da criação de um recurso ou atualize o recurso posteriormente com as tags desejadas. Para obter informações gerais sobre a aplicação de tags, consulte Tags de Recursos.
Movendo uma Conexão IPSec ou um Objeto CPE para um Compartimento Distinto
Você pode mover os seus recursos de um compartimento para outro. Após você mover o recurso para o novo compartimento, as políticas inerentes serão aplicadas imediatamente e afetarão o acesso ao recurso por meio da Console. Mover o objeto CPE para outro compartimento não afeta a conexão entre o seu data center e o Oracle Cloud Infrastructure. Para obter mais informações, consulte Trabalhando com Compartimentos.
-
Abra o menu de navegação e clique em Rede. Em Conectividade do cliente, clique em Equipamento local do cliente.
- Localize o objeto CPE na lista, clique no menu Ações () e depois clique em Mover Recurso.
- Escolha o compartimento de destino na lista.
- Clique em Mover Recurso.
Gerenciando o Seu DRG
Para tarefas relacionadas a DRGs, consulte Gateways de Roteamento Dinâmico.