Utilisation du RPV site à site
Cette rubrique contient des détails sur l'utilisation d'un RPV site à site et des composants connexes. Voir également ces rubriques :
- Aperçu du RPV site à site
- Démarrage rapide du RPV site à site
- Configuration du RPV site à site
- Configuration de l'équipement local d'abonné
- Utilisation de l'application d'aide pour la configuration de l'équipement local d'abonné
- RPV site à site - FAQ
- Mesures du RPV site à site
- Dépannage du RPV site à site
Migration vers un RPV basé sur des politiques
Le service RPV site-à-site v2 d'Oracle Cloud Infrastructure prend entièrement en charge les RPV IPsec basés sur des politiques, avec jusqu'à 50 domaines de chiffrement par tunnel.
Pour éviter les interruptions de trafic potentielles, si vous avez été migré du service v1 du RPV theSite vers le RPV site à site v2 et que vous avez configuré votre équipement local d'abonné avec plusieurs domaines de chiffrement, modifiez les configurations de tunnel du côté OCI de la connexion pour qu'elles correspondent à votre configuration d'équipement local d'abonné. Cet article explique pourquoi cette modification est si importante et les étapes requises pour configurer OCI afin qu'il utilise des RPV IPsec basés sur des politiques.
Pourquoi vous devriez migrer vers la fonction VPN basé sur des politiques
Le service RPV site-à-site v1 est toujours configuré en tant que RPV basé sur des routes et utilise un domaine de chiffrement de tout type pour BGP et les types de routage statique. Pour l'interopérabilité RPV basée sur des politiques, le RPV site à site v1 prend en charge un équipement local d'abonné configuré pour des RPV basés sur des politiques si l'équipement local d'abonné agit en tant qu'initiateur et qu'un seul domaine de chiffrement est envoyé à OCI. La configuration de plusieurs domaines de chiffrement dans ce scénario entraînera l'instabilité du tunnel où vous pouvez observer le battement du tunnel ou que le trafic traversant le tunnel a une accessibilité instable.
Avec le service RPV site-à-site v2, il existe maintenant une option de type de routage basé sur des politiques en plus des types de routage BGP et statique précédemment disponibles. Le protocole BGP du RPV site à site v2 et les types de routage statique resteront basés sur des routes et prendront en charge un seul domaine de chiffrement, quel qu'il soit. Ces options fonctionnent avec une configuration d'équipement local d'abonné basée sur une politique de domaine de chiffrement unique. Toutefois, cela n'est pas recommandé et l'envoi de plus d'un domaine de chiffrement entraînera l'instabilité du tunnel.
Le type de routage basé sur des politiques disponible pour le RPV site à site v2 est un RPV basé sur des politiques doté de fonctions complètes, qui vous permet de configurer le côté OCI pour qu'il corresponde entièrement à la configuration basée sur des politiques de votre équipement local d'abonné et d'accepter toutes les associations de sécurité individuelles requises pour un tunnel RPV IPSec stable.
Pour plus d'informations sur les domaines de chiffrement et les différents types de tunnel RPV IPsec, voir Domaine de chiffrement ou mandataire pris en charge.
Une fois que vos tunnels ont été migrés du RPV site à site v1 vers v2, ils continueront à utiliser le même type de routage (BGP ou statique) que celui configuré avant la migration. Cette section détaille le processus étape par étape pour modifier vos tunnels existants basés sur des routes afin d'utiliser un routage basé sur des politiques.
Consultation du statut et de la configuration du tunnel
Lorsque vous créez la connexion IPSec, Oracle produit des informations de configuration importantes pour chacun des tunnels IPSec obtenus. Pour un exemple, voir Tâche 2h dans le processus global de configuration. Vous pouvez consulter ces informations ainsi que le statut des tunnels à tout moment. Cela inclut le statut BGP si le tunnel est configuré pour utiliser le routage dynamique BGP.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
La liste des connexions IPSec du compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
-
Cliquez sur la connexion IPSec qui vous intéresse.
Les détails de chaque tunnel sont affichés, notamment le statut IPSec, le statut BGP (si le tunnel utilise un routage dynamique BGP) et l'adresse IP du RPV Oracle (tête du réseau privé virtuel).
- Pour voir la clé secrète partagée d'un tunnel :
- Cliquez sur le tunnel qui vous intéresse.
- À côté du champ Secret partagé, cliquez sur Afficher.
- Pour voir les routes BGP annoncées et reçues d'un tunnel (y compris le chemin AS pour chaque route) :
- Cliquez sur le tunnel qui vous intéresse.
- Sous Ressources, cliquez sur Routes BGP reçues ou sur Routes BGP annoncées.
Utilisation de l'application d'aide pour la configuration de l'équipement local d'abonné
Après que vous avez configuré RPV site à site, votre ingénieur de réseau doit paramétrer l'équipement local d'abonné (CPE) à votre extrémité de la connexion. La configuration comprend des détails sur votre réseau en nuage virtuel (VCN) et les tunnels IPSec du RPV site à site. L'application d'aide pour la configuration de l'équipement local d'abonné génère les informations destinées à votre ingénieur réseau. Pour plus d'informations, voir Utilisation de l'application d'aide pour la configuration de l'équipement local d'abonné.
Modification des routes statiques
Vous pouvez modifier les routes statiques pour une connexion IPSec existante. Vous pouvez fournir jusqu'à 10 routes statiques.
N'oubliez pas qu'une connexion IPSec peut utiliser un routage statique ou un routage dynamique BGP. Vous associez les routes statiques à la connexion IPSec globale, et non aux tunnels individuels. Si une connexion IPSec est associée à des routes statiques, Oracle utilise celles-ci pour diriger le trafic d'un tunnel uniquement si le tunnel lui-même est configuré pour utiliser le routage statique. S'il est configuré pour utiliser le routage dynamique BGP, les routes statiques de la connexion IPSec sont ignorées.
La connexion IPSec s'arrête pendant son reprovisionnement à l'aide des changements de route statique.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
La liste des connexions IPSec du compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le menu Actions (
), puis sur Modifier.Les routes statiques courantes sont affichées.
- Apportez vos modifications et cliquez sur Enregistrer les modifications.
Modification de l'identificateur IKE de CPE utilisé par Oracle
Si votre équipement local d'abonné est derrière un appareil NAT, vous devrez peut-être donner à Oracle son identificateur IKE. Vous pouvez le définir lors de la création de la connexion IPSec ou changer sa valeur lorsque vous modifiez la connexion par la suite. Pour Oracle, la valeur doit être une adresse IP ou un nom de domaine complet. Lorsque vous la définissez, vous spécifiez également son type.
La connexion IPSec s'arrête pendant son reprovisionnement afin d'utiliser l'identificateur IKE de votre CPE.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
La liste des connexions IPSec du compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le menu Actions (
), puis sur Modifier.L'ID IKE de CPE courant qu'utilise Oracle est affiché au bas de la boîte de dialogue.
- Entrez les nouvelles valeurs dans les champs Type d'identificateur IKE de l'équipement local d'abonné et Identificateur IKE de l'équipement local d'abonné, puis cliquez sur Enregistrer les modifications.
Utilisation d'IKEv2
Oracle prend en charge Internet Key Exchange (IKE) version 1 et version 2 (IKEv2).
Si vous voulez utiliser IKEv2 et que votre CPE le prend en charge, vous devez :
- Configurer dans la console Oracle chaque tunnel IPSec pour qu'il utilise IKEv2. Voir les rubriques suivantes.
- Configurer votre CPE afin qu'il utilise les paramètres de chiffrement IKEv2 qu'il prend en charge. Pour obtenir la liste des paramètres pris en charge par Oracle, voir Paramètres IPSec pris en charge.
Si vous créez une connexion IPSec manuellement, vous pouvez spécifier IKEv2 dans la console Oracle. Voir la procédure qui suit immédiatement.
Si vous utilisez plutôt le flux de travail de démarrage rapide de RPV, la connexion IPSec est configurée pour n'utiliser qu'IKEv1. Toutefois, une fois le flux de travail terminé, vous pouvez modifier les tunnels IPSec obtenus dans la console Oracle et les modifier pour qu'ils utilisent IKEv2.
Pour configurer manuellement une connexion IPSec utilisant IKEv2 :
- Lors de la création d'une connexion IPSec dans la console Oracle, dans la section Options avancées, cliquez sur l'onglet Tunnel 1.
- Dans le menu Version du protocole IKE, sélectionnez IKEv2.
- Répétez l'étape précédente pour l'onglet Tunnel 2.
- Lors de la configuration ultérieure de votre CPE, indiquez l'utilisation exclusive d'IKEv2 et des paramètres de chiffrement d'IKEv2 connexes que le CPE prend en charge.
Oracle recommande d'effectuer le processus suivant pour un tunnel à la fois pour éviter la perturbation de votre connexion globale. Si votre connexion n'est pas redondante (par exemple, ne comporte pas plusieurs tunnels), prévoyez un temps d'arrêt pendant que vous effectuez la mise à niveau vers IKEv2.
- Modifiez la version IKE du tunnel dans la console Oracle :
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
- Cliquez sur la connexion IPSec qui vous intéresse.
- Cliquez sur le tunnel pour en voir les détails.
- Cliquez sur Modifier.
- Dans le menu Version du protocole IKE, sélectionnez IKEv2.
- Cliquez sur Enregistrer les modifications.
- Mettez à jour la configuration de votre équipement local d'abonné afin que le tunnel utilise IKEv2 et les paramètres de chiffrement connexes pris en charge par l'équipement. Pour obtenir la liste des paramètres pris en charge par Oracle, voir Paramètres IPSec pris en charge.
- Si les clés ne sont pas renouvelées immédiatement pour les associations de sécurité, forcez ce renouvellement pour ce tunnel de votre CPE. Autrement dit, effacez les associations de sécurité de la phase 1 et de la phase 2, et n'attendez pas qu'elles expirent. Certains appareils CPE attendent l'expiration des associations de sécurité avant de renouveler la clé. Forcer le renouvellement de la clé vous permet de confirmer immédiatement l'exactitude de la configuration de la version IKE.
- Pour vérifier, assurez-vous que le renouvellement de clé des associations de sécurité pour le tunnel est effectué correctement. Si ce n'est pas le cas, vérifiez que la version appropriée d'IKE est définie dans la console Oracle et sur votre CPE, et que celui-ci utilise les paramètres voulus.
Après avoir confirmé que le premier tunnel est à nouveau opérationnel, répétez les étapes précédentes pour le second tunnel.
Modification de la clé secrète partagée utilisée par un tunnel IPSec
Lorsque vous configurez un RPV site à site, Oracle fournit par défaut la clé secrète partagée (également appelée clé prépartagée) de chaque tunnel. Vous pouvez remplacer cette clé secrète partagée par celle que vous voulez utiliser. Vous pouvez définir une clé secrète partagée pour chaque tunnel lorsque vous créez la connexion IPSec. Vous pouvez également modifier les tunnels, puis fournir une nouvelle clé secrète partagée à chacun. Seuls les chiffres, lettres et espaces sont autorisés pour la clé secrète partagée. Oracle recommande d'utiliser une clé secrète partagée différente pour chaque tunnel.
Lorsque vous modifiez la clé secrète partagée d'un tunnel, la connexion IPSec globale et le tunnel passent à l'état En provisionnement pendant que le tunnel est reprovisionné avec la nouvelle clé secrète partagée. L'autre tunnel dans la connexion IPSec demeure à l'état Disponible. Toutefois, lors du reprovisionnement du premier tunnel, vous ne pouvez pas modifier la configuration du second.
Passage du routage statique au routage dynamique BGP
Si vous souhaitez changer un RPV site à site pour qu'il utilise le routage dynamique BGP à la place du routage statique, suivez le processus dans cette section.
Lorsque vous modifiez le type de routage d'un tunnel, le statut IPSec de celui-ci ne change pas pendant le reprovisionnement. Cependant, le routage par le tunnel est affecté. Le trafic est temporairement interrompu jusqu'à ce que votre ingénieur réseau configure votre appareil CPE conformément à la modification du type d'acheminement.Si votre RPV site à site existant est actuellement configuré afin de n'utiliser qu'un seul tunnel, ce processus interrompra votre connexion à Oracle. Si votre RPV site à site en utilise plusieurs, Oracle recommande de reconfigurer un tunnel à la fois pour éviter d'interrompre votre connexion à Oracle.
Préalables :
- Vous avez lu cette section : Routage pour RPV site à site.
-
Vous avez collecté les informations de routage BGP requises :
- Le numéro ASN de votre réseau. Le numéro ASN BGP d'Oracle pour le nuage commercial est 31898, à l'exception de la région Serbie - Centre (Jovanovac) qui est 14544. Pour le nuage gouvernemental, voir Numéro ASN BGP d'Oracle.
- Pour chaque tunnel : L'adresse IP BGP de chaque extrémité du tunnel (les deux adresses pour un tunnel donné doivent être une paire d'un sous-réseau /30 ou /31, et faire partie du domaine de chiffrement du RPV site à site)
Répétez le processus suivant pour chaque tunnel de la connexion IPSec :
-
Reconfigurez le type de routage du tunnel du routage statique au routage dynamique BGP :
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
-
Cliquez sur la connexion IPSec qui vous intéresse.
Les tunnels sont répertoriés et le statut de chacun est affiché. Le statut BGP du tunnel qui vous intéresse doit afficher uniquement un tiret (aucune valeur), ce qui signifie que le tunnel est actuellement configuré pour utiliser un routage statique.
- Cliquez sur le tunnel pour voir tous ses détails.
- Cliquez sur Modifier.
-
Effectuez les opérations suivantes :
- Type d'acheminement : sélectionnez le bouton radio du routage dynamique BGP.
- ASN BGP : entrez l'ASN BGP de votre réseau.
- Interface de tunnel interne - CPE : Entrez l'adresse IP BGP avec masque de sous-réseau (soit /30 ou /31) pour le côté CPE du tunnel. Par exemple : 10.0.0.16/31.
- Interface de tunnel interne - Oracle : Entrez l'adresse IP BGP avec masque de sous-réseau (soit /30 ou /31) pour l'extrémité Oracle du tunnel. Par exemple : 10.0.0.17/31.
- Cliquez sur Enregistrer les modifications.
Le statut BGP du tunnel devient Inactif.
- Demandez à votre ingénieur réseau de mettre à jour la configuration de tunnel de votre appareil CPE pour que ce dernier utilise BGP.
- À votre extrémité de la connexion, confirmez que la session BGP du tunnel est à l'état établi. Si ce n'est pas le cas, assurez-vous d'avoir configuré les adresses IP correctes pour le tunnel dans la console Oracle et pour votre appareil CPE.
- Dans la console Oracle, confirmez que le statut BGP du tunnel est maintenant Actif.
- Confirmez que votre appareil CPE apprend des routes d'Oracle et qu'il lui en annonce. Si vous voulez annoncer à nouveau les routes Oracle de BGP à votre réseau sur place, assurez-vous que votre appareil CPE est configuré en conséquence. Votre politique existante pour annoncer les routes statiques vers votre réseau sur place risque de ne pas fonctionner pour les routes apprises de BGP.
- Émettez une commande ping sur l'adresse IP BGP d'Oracle depuis votre extrémité de la connexion pour confirmer que le trafic circule.
Après avoir confirmé que le premier tunnel est fonctionnel avec BGP, répétez le processus pour le second tunnel.
Comme indiqué dans Routage pour RPV site à site, les routes statiques encore configurées pour la connexion IPSec globale NE REMPLACENT PAS le routage BGP. Ces routes statiques sont ignorées lorsqu'Oracle dirige le trafic dans un tunnel configuré pour utiliser BGP.
Vous pouvez également rétablir le type de routage statique d'un tunnel, si nécessaire. Vous pouvez effectuer cette opération si la fenêtre d'arrêt programmée pour l'appareil CPE se termine bientôt et si vous ne parvenez pas à établir la session BGP. Lorsque vous retournez au routage statique, assurez-vous que la connexion IPSec globale contient toujours les routes statiques que vous avez configurées.
Surveillance de votre RPV site à site
Vous pouvez surveiller l'état, la capacité et la performance de vos ressources Oracle Cloud Infrastructure à l'aide de mesures, d'alarmes et d'avis. Pour plus d'informations, voir Surveillance et Avis.
Pour des informations sur la surveillance de votre connexion, voir Mesures du RPV site à site.
Consultation des messages de journal du RPV site à site
Vous pouvez voir les messages de journal générés pour divers aspects opérationnels du RPV site à site, notamment les négociations qui surviennent lors de l'affichage d'un tunnel IPSec. L'activation et la consultation des messages de journal d'un RPV site à site peuvent être effectués au moyen de RPV site à site ou du service Journalisation.
- Pour un aperçu général du service Journalisation, reportez-vous à Aperçu du service de journalisation.
- Pour plus de détails sur l'activation et la consultation des messages de journal de RPV site à site au moyen du service Journalisation, consultez Journaux de service.
-
Pour plus de détails sur le schéma de message de journal RPV site à site, consultez Informations détaillées sur le RPV site à site.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
-
La liste des connexions IPSec du compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le nom de la connexion.
La page de détails de la connexion s'affiche.
- Sur le côté gauche de l'écran, sous Ressources, cliquez sur Journaux.
Si vous ne voyez pas cette option, la connexion est dotée de l'ancien type v1 de RPV site à site. La journalisation des messages nécessite RPV site à site v2.
- Dans la page des détails des journaux, réglez le champ Activer le journal à Activé. Un nouvel écran apparaît.
Les détails des options à l'écran se trouvent sous Activation de la journalisation pour une ressource. Les journaux sont traités de la même façon, quel que soit le type de ressource qui les a générés.
- Cliquez sur Activer le journal.
La page de détails du journal s'affiche et le journal sera en cours de création (un message "Création du journal" s'affiche).
La journalisation doit déjà être activée pour que vous puissiez voir le journal de messages. Pour voir le journal de messages :
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
-
La liste des connexions IPSec du compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
- Sur le côté gauche de l'écran, sous Ressources, cliquez sur Journaux.
Si vous ne voyez pas cette option, la connexion est dotée de l'ancien type v1 de RPV site à site. La journalisation des messages nécessite RPV site à site v2.
- Cliquez sur le nom du journal qui vous intéresse. Un nouvel onglet du navigateur s'ouvre affichant le journal demandé.
Voir Obtention des détails d'un journal pour plus de détails sur l'utilisation de l'écran d'affichage du journal.
Désactivation ou arrêt de RPV site à site
Si vous souhaitez désactiver le RPV site à site entre votre réseau sur place et votre réseau VCN, il vous suffit de détacher la passerelle DRG du VCN au lieu de supprimer la connexion IPSec. Si vous utilisez également la passerelle DRG avec FastConnect, son détachement interrompt également la circulation du trafic sur FastConnect.
Vous pouvez supprimer la connexion IPSec. Toutefois, si vous souhaitez la rétablir par la suite, votre ingénieur réseau devra configurer de nouveau votre appareil CPE avec un nouveau jeu d'informations de configuration de tunnel d'Oracle.
Si vous voulez supprimer définitivement RPV site à site, vous devez d'abord mettre fin à la connexion IPSec. Vous pouvez ensuite supprimer l'objet CPE. Si vous n'utilisez pas la passerelle DRG pour une autre connexion à votre réseau sur place, vous pouvez la détacher du réseau VCN, puis la supprimer.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur RPV site-à-site.
Une liste des connexions IPSec dans le compartiment que vous consultez est affichée. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
- Cliquez sur la connexion IPSec qui vous intéresse.
- Cliquez sur Mettre fin.
- Confirmez la suppression à l'invite.
Pendant une courte période durant sa suppression, la connexion IPSec sera à l'état Fin en cours.
Préalable : Il ne doit pas y avoir de connexion IPSec entre l'objet CPE et une passerelle DRG.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur Appareil client.
La liste des objets CPE du compartiment que vous consultez s'affiche. Si vous ne voyez pas celui qui vous intéresse, assurez-vous que vous consultez le compartiment approprié (sélectionnez-le dans la liste située dans la partie gauche de la page).
- Pour l'objet d'équipement local d'abonné à supprimer, cliquez sur le menu Actions (), puis sur Supprimer.
- Confirmez la suppression à l'invite.
Pendant une courte période durant sa suppression, l'objet sera à l'état Fin en cours.
Gestion des marqueurs pour une connexion IPSec ou un objet CPE
Appliquez des marqueurs à vos ressources afin de les organiser en fonction des besoins de l'entreprise. Appliquez des marqueurs au moment de la création d'une ressource, ou mettez à jour la ressource plus tard avec les marqueurs souhaités. Pour des informations générales sur l'application de marqueurs, voir Marqueurs de ressource.
Déplacement d'une connexion IPSec ou d'un objet CPE vers un autre compartiment
Vous pouvez déplacer vos ressources d'un compartiment à un autre. Après que la ressource a été déplacée dans un nouveau compartiment, les politiques inhérentes s'appliquent immédiatement et ont une incidence sur l'accès à la ressource au moyen de la console. Le déplacement de l'objet CPE vers un autre compartiment n'a aucune incidence sur la connexion entre votre centre de données et Oracle Cloud Infrastructure. Pour plus d'informations, voir Utilisation des compartiments.
- Ouvrez le menu de navigation et cliquez sur Réseau. Sous Connectivité client, cliquez sur Appareil client.
- Recherchez l'objet CPE dans la liste, cliquez sur le menu Actions (), puis sur Déplacer la ressource.
- Sélectionnez le compartiment de destination dans la liste.
- Cliquez sur Déplacer la ressource.
Gestion de votre passerelle DRG
Pour les tâches liées aux passerelles DRG, voir Passerelles de routage dynamique.