Oracle Cloud Infrastructure - Dokumentation

VPN-Verbindung zu AWS

Der Site-to-Site-VPN-Service von Oracle Cloud Infrastructure (OCI) bietet eine sichere IPSec-Verbindung zwischen einem On-Premise-Netzwerk und einem virtuellen Cloud-Netzwerk (VCN). Sie können ein Site-to-Site-VPN auch verwenden, um Oracle Cloud Infrastructure-Ressourcen mit anderen Cloud-Serviceanbietern zu verbinden.

Dieses Thema enthält eine Best Practices-Konfiguration für einen IPSec-VPN-Tunnel zwischen OCI und AWS mit dem OCI Site-to-Site-VPN-Service und dem AWS Site-to-Site-VPN-Service.

Hinweis

In diesem Dokument wird davon ausgegangen, dass Sie bereits ein virtuelles Cloud-Netzwerk (VCN) und ein dynamisches Routinggateway (DRG) bereitgestellt haben und alle VCN-Routentabellen und Sicherheitslisten konfiguriert haben, die für dieses Szenario und alle Äquivalente in AWS erforderlich sind.

Pre-Shared Key: Wenn Sie sich darauf verlassen, dass AWS automatisch einen Pre-Shared Key für einen Tunnel generiert, enthält der generierte Schlüssel möglicherweise Punkt (.) oder Unterstrich (_). OCI unterstützt diese Zeichen in einem Pre-Shared Key nicht. Wenn das automatisch generierte AWS-Kennwort diese Zeichen enthält, ändern Sie den Pre-Shared Key für den relevanten Tunnel, bevor Sie die VPN-Konfiguration abschließen.

Routingtyp: In diesem Szenario wird Border Gateway Protocol (BGP) verwendet, um Routen zwischen AWS und OCI auszutauschen. Verwenden Sie das BGP nach Möglichkeit für IPsec-Tunnel. Optional kann statisches Routing auch zwischen AWS und OCI verwendet werden.

Sie können die Site-to-Site-VPN-Version prüfen, die von der IPSec-Verbindung auf einer IPSec-Verbindungsseite auf der Registerkarte IPSec-Verbindungsinformationen verwendet wird.

Eine Liste der vom Hersteller unterstützten IPSec-Parameter für alle OCI-Regionen finden Sie unter Unterstützte IPSec-Parameter.

AWS - Temporäres Kundengateway erstellen

Im ersten Schritt im Konfigurationsprozess wird ein temporäres Kundengateway erstellt. Dieses temporäre Kundengateway wird verwendet, um das AWS-Standort-to-Site-VPN anfänglich bereitzustellen und den AWS-VPN-Endpunkt für den Tunnel verfügbar zu gestalten. OCI erfordert die öffentliche IP des Remote-VPN-Peers, bevor eine IPSec-Verbindung erstellt wird. Nachdem dieser Prozess abgeschlossen ist, wird ein neues Kundengateway konfiguriert, dass die tatsächliche öffentliche IP des OCI-VPN-Endpunkts darstellt.

  1. Blenden Sie im AWS-Hauptportal das Menü Services oben links auf dem Bildschirm ein. Navigieren Sie zu VPC unter Networking & Content Delivery.
  2. Scrollen sie im linken Menü nach unten, und wählen Sie unter Virtual Private Network (VPN) die Option Customer Gateways aus.
  3. Wählen Sie Kundengateway erstellen aus, um ein Kundengateway zu erstellen.
  4. Sie gelangen zur Seite Create Customer Gateway. Geben Sie folgende Details ein:
    • Name: Geben Sie diesem Kundengateway einen temporären Namen. In diesem Beispiel wird der Name TempGateway verwendet.
    • Routing: Wählen Sie Dynamisch aus.
    • BGP ASN: Geben Sie die OCI-BGP-ASN ein. Die BGP-ASN von Oracle für die kommerzielle Cloud ist 31898, mit Ausnahme der Region Serbia Central (Jovanovac) mit 14544.

    • IP-Adresse: Verwenden Sie eine gültige IPv4-Adresse für das temporäre Gateway. In diesem Beispiel wird 1.1.1.1 verwendet.

      Wenn Sie das temporäre Kundengateway konfiguriert haben, wählen Sie Kundengateway erstellen aus, um das Provisioning abzuschließen.

AWS - Virtuelles privates Gateway erstellen und anhängen
  1. From the AWS left-hand menu, scroll down and select Virtual Private Gateways under Virtual Private Network (VPN).
  2. Wählen Sie die Schaltfläche Create Virtual Private Gateway, um ein neues virtuelles privates Gateway zu erstellen.
  3. Sie gelangen zur Seite Create Virtual Private Gateway. Geben Sie folgende Details ein:
    • Name: Geben Sie einen Namen für das virtuelle private Gateway (VPG) an.

    • ASN: Wählen Sie Amazon default ASN aus.

      Wenn Sie das virtuelle private Gateway konfiguriert haben, wählen Sie die Schaltfläche Virtuelles privates Gateway erstellen aus, um das Provisioning abzuschließen.

  4. Stellen Sie sicher, dass das VPG noch auf der Seite "Virtuelles privates Gateway" ausgewählt ist, und wählen Sie das Menü Aktionen (drei Punkte) und dann An VPC anhängen aus.
  5. Die Seite Attach to VPC für das ausgewählte virtuelle private Gateway wird aufgerufen.

    Wählen Sie die VPC aus der Liste, und wählen Sie dann die Schaltfläche Ja, anhängen, um das Anhängen des VPG an die VPC abzuschließen.

AWS - VPN-Verbindung erstellen
  1. Scrollen sie im linken Menü nach unten, und wählen Sie unter Virtual Private Network (VPN) die Option Site-to-Site-VPN-Verbindungen aus.
  2. Wählen Sie VPN-Verbindung erstellen aus, um ein neues virtuelles privates Gateway zu erstellen.
  3. Die Seite VPN-Verbindung erstellen wird aufgerufen. Geben Sie folgende Details ein:
    • Name-Tag: Geben Sie der VPN-Verbindung einen Namen an.
    • Target Gateway Type: Wählen Sie Virtual Private Gateway und dann das zuvor erstellte virtuelle private Gateway aus der Liste.
    • Kundengateway: Wählen Sie Existing und dann das temporäre Kundengateway aus der Liste.
    • Routingoptionen: Wählen Sie Dynamic (requires BGP) aus.
    • Tunnel innerhalb Ip-Version: Wählen Sie IPv4 aus.

    • Lokales/Remote-IPv4-Netzwerk-CIDR: Lassen Sie beide Felder leer, und erstellen Sie ein beliebiges/beliebiges routenbasiertes IPSec-VPN.

      Gehen Sie zum nächsten Schritt. Wählen Sie NICHT die Schaltfläche VPN-Verbindung erstellen aus.

  4. Blättern Sie auf der Seite Create VPN Connection nach unten zu Tunnel Options.

    Wählen Sie ein /30-CIDR aus dem lokalen Linkbereich 169.254.0.0/16 aus. Geben Sie das vollständige CIDR im Feld Inside IPv4 CIDR for Tunnel 1 ein.

    Stellen Sie sicher, dass OCI die ausgewählte /30-Adresse für die internen Tunnel-IPs unterstützt. OCI lässt die Verwendung folgender IP-Bereiche für Innentunnel-IPs nicht zu:

    • 169.254.10.0-169.254.19.255
    • 169.254.100.0-169.254.109.255
    • 169.254.192.0-169.254.201.255

    Gehen Sie zum nächsten Schritt. Wählen Sie NICHT die Schaltfläche VPN-Verbindung erstellen aus.

  5. Aktivieren Sie unter Advanced Options for Tunnel 1 das Optionsfeld Edit Tunnel 1 Options. Eine zusätzliche Gruppe von Optionen wird erweitert.

    Wenn Sie die für diesen Tunnel verwendeten kryptografische Algorithmen einschränken möchten, konfigurieren Sie die gewünschten Optionen für Phase 1 und Phase 2 hier. Wir empfehlen, IKEv2 für diese Verbindung zu verwenden. Deaktivieren Sie das Kontrollkästchen "IKEv1", um zu verhindern, dass IKEv1 verwendet wird. Informationen zu den von OCI unterstützten Optionen für Phase 1 und Phase 2 finden Sie unter Unterstützte Parameter IPSec.

    Nachdem Sie alle gewünschten Optionen konfiguriert haben, wählen Sie unten die Schaltfläche VPN-Verbindung erstellen, um das Provisioning für die VPN-Verbindung abzuschließen.

AWS - Konfiguration herunterladen

Während des Provisionings der VPN-Verbindung die Konfiguration aller Tunnelinformationen herunterladen. Diese Textdatei ist erforderlich, um die Konfiguration des Tunnels in der OCI-Konsole abzuschließen.

  1. Stellen Sie sicher, dass die VPN-Verbindung ausgewählt ist, und wählen Sie dann die Schaltfläche Konfiguration herunterladen aus.
  2. Wählen Sie unter Anbieter und Plattform die Einstellung Generisch, und klicken Sie dann auf die Schaltfläche Herunterladen, um eine Textkopie der Konfiguration auf einer lokalen Festplatte zu speichern.
  3. Suchen Sie nach IPSec Tunnel #1, Abschnitt #1 Internet Key Exchange Configuration. Hier finden Sie einen automatisch generierten Pre-Shared Key für den Tunnel. Speichern Sie diesen Wert.

    AWS generiert möglicherweise einen Pre-Shared Key mit Punkt (.) oder Unterstrich (_). OCI unterstützt die Verwendung dieser Zeichen in einem Pre-Shared Key nicht. Ein Schlüssel, der diese Zeichen enthält, muss geändert werden. Um den Pre-Shared Key in AWS für einen Tunnel zu ändern, wählen Sie die VPN-Verbindung aus. Wählen Sie dann das Menü Aktionen (drei Punkte) und dann VPN-Tunneloptionen ändern aus.

  4. Scrollen sie in der heruntergeladenen Konfiguration unter Tunnel 1 nach unten zu Abschnitt #3 Tunnel Interface Configuration.

    Notieren Sie sich die folgenden Werte, um die Site-to-Site-VPN-Konfiguration in OCI abzuschließen:

    • Externe IP-Adresse des virtuellen privaten Gateways
    • Interne IP für das Kundengateway
    • Interne IP für das virtuelle private Gateway
    • BGP-ASN des virtuellen privaten Gateways Die Standard-ASN ist 64512.
OCI - CPE-Objekt erstellen
  1. öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter Kundenkonnektivität die Option Customer-Premises-Geräte aus.
  2. Wählen Sie Customer-Premises Equipment erstellen aus.
  3. Geben Sie folgende Werte ein:
    • In Compartment erstellen: Wählen Sie das Compartment für das gewünschte VCN aus.
    • Name: Ein aussagekräftiger Name für das CPE-Objekt. Er muss nicht eindeutig sein und kann später in der Konsole nicht geändert werden (Sie können ihn jedoch mit der API ändern). Geben Sie keine vertraulichen Informationen ein.

      In diesem Beispiel wird TO_AWS als Name verwendet.

    • IP-Adresse: Geben Sie die externe IP-Adresse des Virtual Private Gateways ein, die in der von AWS heruntergeladenen Konfiguration angezeigt wird.
    • CPE-Anbieter: Wählen Sie Sonstige aus.
  4. Wählen Sie CPE erstellen aus.
OCI - IPsec-Verbindung erstellen
  1. öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter Kundenkonnektivität die Option Site-to-Site-VPN aus.
  2. Wählen Sie IPSec-Verbindung erstellen aus.
  3. Geben Sie folgende Werte ein:
    • Erstellen in Compartment: Übernehmen Sie die Vorgabe (das VCN-Compartment).
    • Name: Geben Sie einen aussagekräftigen Namen für die IPSec-Verbindung ein (Beispiel: OCI-AWS-1). Er muss nicht eindeutig sein und kann später geändert werden. Geben Sie keine vertraulichen Informationen ein.
    • Compartment Customer Premises Equipment: Übernehmen Sie die Vorgabe (das Compartment des VCN).
    • Customer-Premises Equipment: Wählen Sie das zuvor erstellte CPE-Objekt namens TO_AWS aus.
    • Compartment dynamisches Routinggateway: Übernehmen Sie die Vorgabe (das VCN-Compartment).
    • Dynamisches Routinggateway: Wählen Sie das zuvor erstellte DRG aus.
    • CIDR mit statischer Route: Geben Sie die Standardroute 0.0.0.0/0 ein. Da der aktive Tunnel BGP nutzt, ignoriert OCI diese Route. Ein Eintrag ist für den zweiten Tunnel der IPsec-Verbindung erforderlich, der standardmäßig statisches Routing verwendet. Die Adresse wird in diesem Szenario jedoch nicht verwendet. Wenn Sie statisches Routing für diese Verbindung verwenden möchten, geben sie statische Routen ein, die virtuelle AWS-Netzwerke darstellen. Für jede IPsec-Verbindung können bis zu 10 statische Routen konfiguriert werden.
  4. Geben Sie die folgenden Details auf der Registerkarte Tunnel 1 ein (erforderlich):
    • Name: Geben Sie einen aussagekräftigen Namen für den Tunnel ein (Beispiel: AWS-TUNNEL-1). Er muss nicht eindeutig sein und kann später geändert werden. Geben Sie keine vertraulichen Informationen ein.
    • Benutzerdefiniertes Shared Secret angeben: Geben Sie den Pre-Shared Key ein, der von IPSec für diesen Tunnel verwendet wird. Aktivieren Sie dieses Kontrollkästchen, und geben Sie den Pre-Shared Key aus der AWS-VPN-Konfigurationsdatei ein.
    • IKE-Version: Wählen Sie IKEv2 aus.
    • Routingtyp: Wählen Sie Dynamisches B GP-Routing aus.
    • BGP-ASN: Geben Sie die von AWS verwendete BGP-ASN aus der AWS-VPN-Konfigurationsdatei ein. Die Standard-AWS-BGP-ASN lautet 64512.
    • IPv4 Interne Tunnelschnittstelle - CPE: Geben Sie die interne IP-Adresse des virtuellen privaten Gateways aus der AWS-VPN-Konfigurationsdatei ein. Verwenden Sie die vollständige CIDR-Notation für diese IP-Adresse.
    • IPv4 Interne Tunnelschnittstelle - Oracle: Geben Sie die von OCI verwendete interne IP-Adresse ein. Geben Sie die interne IP-Adresse für das Kundengateway aus der AWS-VPN-Konfigurationsdatei ein. Verwenden Sie die vollständige CIDR-Notation für diese IP-Adresse.
  5. Wählen Sie IPSec-Verbindung erstellen aus.

    Die IPSec-Verbindung wird erstellt und auf der Seite angezeigt. Die Verbindung befindet sich kurzzeitig im Status Provisioning.

  6. Notieren Sie sich nach dem Provisioning der IPSec-Verbindung die Oracle-VPN-IP-Adresse des Tunnels. Diese Adresse werden verwendet, um ein neues Kundengateway im AWS-Portal zu erstellen.
    1. Öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter Kundenkonnektivität die Option Site-to-Site-VPN aus.

      Eine Liste der IPSec-Verbindungen in dem Compartment, das Sie geöffnet haben, wird angezeigt. Wenn die gesuchte Policy nicht angezeigt wird, stellen Sie sicher, dass Sie das richtige Compartment anzeigen. Um Policys anzuzeigen, die an ein anderes Compartment angehängt sind, wählen Sie unter Listengeltungsbereich dieses Compartment in der Liste aus.

    2. Wählen Sie die gewünschte IPSec-Verbindung aus (Beispiel: OCI-AWS-1).
    3. Suchen Sie die Oracle-VPN-IP-Adresse von AWS-TUNNEL-1.
AWS - Neues Kundengateway erstellen
Wechseln Sie in der AWS-Konsole zu "Customer Gateways", und erstellen Sie ein Kundengateway mit den folgenden Details:
  • Name: Geben Sie diesem Kundengateway einen Namen.
  • Routing: Wählen Sie Dynamisch aus.
  • BGP ASN: Geben Sie die OCI-BGP-ASN ein. Die BGP-ASN von Oracle für die kommerzielle Cloud ist 31898, mit Ausnahme der Region Serbia Central (Jovanovac) mit 14544.

  • IP Address: Geben Sie die Oracle VPN IP-Adresse für Tunnel 1 ein. Verwenden Sie die in der vorherigen Aufgabe gespeicherte IP.

    Wählen Sie Create Customer Gateway aus, um das Provisioning abzuschließen.

AWS - VPN-Verbindung für neues Kundengateway ändern

Diese Aufgabe ersetzt das temporäre Kundengateway durch ein Gateway, das die OCI-VPN-IP-Adresse verwendet.

  1. Navigieren Sie in die AWS-Konsole zu Site-to-Site-VPN-Verbindungen, und wählen Sie die VPN-Verbindung.
  2. Wählen Sie das Menü Aktionen (drei Punkte) und dann VPN-Verbindung ändern aus.
  3. Die Seite VPN-Verbindung ändern wird aufgerufen. Geben Sie folgende Details ein:
    • Zieltyp: Wählen Sie Customer Gateway in der Liste aus.

    • Target Customer Gateway ID: Wählen Sie das neue Customer Gateway mit der OCI-VPN-IP-Adresse in der Liste aus.

      Wählen Sie die Schaltfläche Speichern, um die Konfiguration zu speichern, wenn Sie fertig sind

      Nach einigen Minuten schließt AWS das Provisioning der VPN-Verbindung ab, und das VPN IPSec zwischen AWS und OCI wird gestartet.

  4. An dieser Stelle können Sie das temporäre Kundengateway löschen.
Verifizierung

Navigieren Sie zur IPSec-Verbindung in OCI und zu den Site-to-Site-VPN-Verbindungen in AWS, um den Tunnelstatus zu prüfen.

  • Der OCI-Tunnel unter der IPSec-Verbindung zeigt den IPSec-Status Up an, um einen operativen Tunnel zu bestätigen.
  • Im IPv4-BGP-Status wird ebenfalls Up angezeigt, was eine eingerichtete BGP-Session angibt.
  • Der Tunnelstatus auf der Registerkarte Tunneldetails für die Site-to-Site-VPN-Verbindung in AWS zeigt Up an.

Ein Monitoring-Service ist auch in OCI verfügbar, um Cloud-Ressourcen aktiv und passiv Zu überwachen. Informationen zum Monitoring von OCI Site-to-Site-VPN finden Sie unter Site-to-Site-VPN-Metriken.

Bei Problemen finden Sie weitere Informationen unter Site-to-Site-VPN - Fehlerbehebung.