Utilisation d'un VPN site à site
Cette rubrique contient des détails sur l'utilisation d'un VPN site à site et des composants associés. Reportez-vous également aux rubriques suivantes :
- Présentation du VPN site à site
- Démarrage rapide du VPN site à site
- Configuration d'un VPN site à site
- Configuration du CPE
- Utilisation de l'application d'aide de configuration de CPE
- FAQ sur le VPN site à site
- Mesures de VPN site à site
- Dépannage de VPN site à site
Service de VPN site à site mis à jour
Le VPN site à site v2 améliore la disponibilité et la fiabilité des connexions IPSec et offre de nouvelles fonctionnalités. Le VPN site à site version 2 est disponible dans toutes les régions commerciales. Toutes les connexions IPSec nouvellement créées le sont avec le VPN site à site version 2. Le processus de configuration d'un VPN site à site version 2 est identique à celui d'un VPN site à site version 1.
Les nouvelles fonctions qui dépendent du VPN site à site version 2 sont les suivantes :
- Plusieurs domaines de cryptage
- Visualisation des messages de journal VPN site à site
- IPSec sur FastConnect
Oracle continuera à prendre en charge le VPN site à site v1. Si vous disposez du VPN site à site version 1 et que vous souhaitez utiliser l'une des fonctionnalités ajoutées disponibles pour le VPN site à site version 2, vous devez créer une connexion et mettre fin à l'ancienne. Il n'existe actuellement aucun chemin de migration permettant de changer une connexion version 1 en connexion version 2.
Migration vers un VPN basé sur une stratégie
Le service v2 de VPN site à site d'Oracle Cloud Infrastructure prend entièrement en charge les VPN IPsec basés sur des stratégies avec jusqu'à 50 domaines de cryptage par tunnel.
Pour éviter d'éventuelles perturbations du trafic, si vous avez été migré du service v1 du VPN site à site vers le VPN site à site v2 et que vous avez configuré votre CPE avec plusieurs domaines de cryptage, modifiez vos configurations de tunnel côté OCI de la connexion afin qu'elles correspondent à votre configuration de CPE. Cet article explique pourquoi cette modification est si importante et les étapes requises pour configurer OCI afin qu'il utilise des VPN IPsec basés sur des stratégies.
Pourquoi vous devez migrer vers la fonctionnalité VPN basée sur une stratégie
Le service v1 de VPN site à site est toujours configuré en tant que VPN basé sur un routage et utilise un domaine de cryptage quelconque pour les types de routage BGP et statique. Pour l'interopérabilité de VPN basée sur une stratégie, le VPN site à site v1 prend en charge un CPE configuré pour les VPN basés sur une stratégie si le CPE agit en tant qu'initiateur et qu'un seul domaine de cryptage est envoyé à OCI. La configuration de plusieurs domaines de chiffrement dans ce scénario entraînera l'instabilité du tunnel où vous pouvez observer le battement du tunnel ou que le trafic traversant le tunnel présente une accessibilité instable.
Avec le service v2 de VPN site à site, il existe désormais une option de type de routage basé sur une stratégie en plus des types de routage BGP et statique précédemment disponibles. Les types de routage BGP et statique du VPN site à site v2 restent basés sur un routage et prennent en charge un seul domaine de cryptage, quel que soit le domaine. Ces options fonctionnent avec une configuration de CPE basée sur une stratégie de domaine de cryptage unique. Toutefois, cela n'est pas recommandé et l'envoi de plusieurs domaines de cryptage entraînera l'instabilité du tunnel.
Le type de routage basé sur une stratégie disponible pour le VPN site à site v2 est un VPN basé sur une stratégie complet, ce qui vous permet de configurer le côté OCI pour qu'il corresponde entièrement à la configuration basée sur une stratégie de votre CPE et d'accepter toutes les associations de sécurité individuelles requises pour un tunnel VPN IPSec stable.
Pour plus d'informations sur les domaines de cryptage et les différents types de tunnel VPN IPsec, reportez-vous à Domaine de cryptage ou ID de proxy pris en charge.
Une fois que vos tunnels ont été migrés du VPN site à site v1 vers v2, ils continuent à utiliser le même type de routage (BGP ou statique) que celui configuré avant la migration. Cette section détaille le processus étape par étape de modification de vos tunnels basés sur un routage existants pour utiliser le routage basé sur une stratégie.
Affichage du statut et de la configuration d'un tunnel
Lorsque vous créez la connexion IPSec, Oracle génère des informations de configuration importantes pour chacun des tunnels IPSec résultants. Pour obtenir un exemple, reportez-vous à la tâche 2h du processus de configuration global. Vous pouvez visualiser ces informations et le statut des tunnels à tout moment. Cela inclut le statut BGP si le tunnel est configuré pour utiliser le routage dynamique BGP.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
-
Cliquez sur la connexion IPSec qui vous intéresse.
Les détails de chaque tunnel sont affichés, notamment le statut IPSec, le statut BGP (si le tunnel utilise le routage dynamique BGP) et l'adresse IP du VPN Oracle (tête de réseau du VPN).
- Pour afficher la clé secrète partagée d'un tunnel, procédez comme suit :
- Cliquez sur le tunnel qui vous intéresse.
- En regard du champ Clé secrète partagée, cliquez sur Afficher.
- Pour afficher les routages BGP publiés et reçus d'un tunnel (avec le chemin AS pour chaque routage), procédez comme suit :
- Cliquez sur le tunnel qui vous intéresse.
- Sous Ressources, cliquez sur Routages BGP reçus ou Routages BGP publiés.
Utilisation de l'application d'aide de configuration de CPE
Une fois que vous avez configuré le VPN site à site, l'ingénieur réseau doit configurer le CPE (Customer-Premises Equipment) à votre extrémité de la connexion. La configuration inclut des détails sur votre réseau cloud virtuel et les tunnels IPSec du VPN site à site. L'application d'aide de configuration de CPE génère les informations nécessaires à l'ingénieur réseau. Pour plus d'informations, reportez-vous à Utilisation de l'application d'aide de configuration de CPE.
Modification des routages statiques
Vous pouvez changer les routages statiques pour une connexion IPSec existante. Vous pouvez indiquer jusqu'à 10 routages statiques.
N'oubliez pas qu'une connexion IPSec peut utiliser un routage statique ou un routage dynamique BGP. Vous associez les routages statiques à la connexion IPSec globale, et non aux tunnels individuels. Lorsque des routages statiques sont associés à une connexion IPSec, Oracle les utilise pour acheminer le trafic d'un tunnel uniquement si ce dernier est configuré pour utiliser le routage statique. S'il est configuré pour utiliser le routage dynamique BGP, les routages statiques de la connexion IPSec sont ignorés.
La connexion IPSec est arrêtée lorsqu'elle est reprovisionnée avec vos modifications de routage statique.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le menu Actions (
), puis sur Modifier.Les routages statiques en cours s'affichent.
- Apportez les modifications nécessaires, puis cliquez sur Enregistrer les modifications.
Modification de l'identificateur IKE CPE utilisé par Oracle
Si votre CPE se trouve derrière un dispositif NAT, vous devrez peut-être fournir son identificateur IKE à Oracle. Vous pouvez l'indiquer lors de la création de la connexion IPSec, ou modifier ultérieurement cette dernière afin de changer la valeur. Oracle s'attend à ce que la valeur soit une adresse IP ou un nom de domaine qualifié complet. Lorsque vous spécifiez la valeur, vous spécifiez également son type.
La connexion IPSec est arrêtée lorsqu'elle est de nouveau provisionnée pour utiliser votre identificateur IKE CPE.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le menu Actions (
), puis sur Modifier.L'identificateur IKE CPE actuellement utilisé par Oracle s'affiche dans la partie inférieure de la boîte de dialogue.
- Indiquez les nouvelles valeurs pour Type d'identificateur IKE CPE et Identificateur IKE CPE, puis cliquez sur Enregistrer les modifications.
Utilisation d'IKEv2
Oracle prend en charge IKE (Internet Key Exchange) version 1 et 2 (IKEv2).
Si vous souhaitez utiliser IKEv2 et que votre CPE le prend en charge, effectuez les tâches suivantes :
- Configurez chaque tunnel IPSec de sorte à utiliser IKEv2 dans la console Oracle. Reportez-vous aux procédures suivantes.
- Configurez le CPE afin qu'il utilise les paramètres de cryptage IKEv2 qu'il prend en charge. Pour obtenir la liste des paramètres pris en charge par Oracle, reportez-vous à Paramètres IPSec pris en charge.
Si vous créez manuellement une connexion IPSec, vous pouvez utiliser la console Oracle pour indiquer IKEv2. Reportez-vous à la procédure qui suit immédiatement.
Si vous utilisez plutôt le workflow de démarrage rapide du VPN, la connexion IPSec est configurée pour utiliser IKEv1 uniquement. Toutefois, une fois le workflow terminé, vous pouvez modifier les tunnels IPSec obtenus dans la console Oracle pour qu'ils utilisent IKEv2.
Pour configurer manuellement une nouvelle connexion IPSec qui utilise IKEv2, procédez comme suit :
- Lors de la création de la connexion IPSec dans la console Oracle, dans la section Options avancées, cliquez sur l'onglet Tunnel 1.
- Dans le menu Version IKE, sélectionnez IKEv2.
- Répétez l'étape précédente pour l'onglet Tunnel 2.
- Plus tard, lors de la configuration de votre CPE, assurez-vous qu'il utilise uniquement IKEv2 et les paramètres de cryptage associés qu'il prend en charge.
Oracle recommande de réaliser le processus suivant tunnel par tunnel afin d'éviter toute interruption de votre connexion globale. Si votre connexion n'est pas redondante (par exemple, si elle ne comporte pas plusieurs tunnels), attendez-vous à subir un temps d'inactivité lors de la mise à niveau vers IKEv2.
- Modifiez la version IKE du tunnel dans la console Oracle :
- Cliquez sur la connexion IPSec qui vous intéresse.
- Cliquez sur le tunnel pour afficher ses détails.
- Cliquez sur Modifier.
- Dans le menu Version IKE, sélectionnez IKEv2.
- Cliquez sur Enregistrer les modifications.
- Mettez à jour la configuration de votre CPE pour que le tunnel utilise IKEv2 et les paramètres de cryptage associés pris en charge. Pour obtenir la liste des paramètres pris en charge par Oracle, reportez-vous à Paramètres IPSec pris en charge.
- Si les associations de sécurité n'ont pas immédiatement recréé de clé, forcez ce processus pour ce tunnel sur le CPE. En d'autres termes, effacez les associations de sécurité de phase 1 et de phase 2, et n'attendez pas qu'elles expirent. Certains dispositifs CPE attendent que les associations de sécurité expirent avant de recréer une clé. Le fait de forcer cette opération permet de vérifier immédiatement que la configuration de la version IKE est correcte.
- Pour vérifier cela, assurez-vous que les associations de sécurité du tunnel recréent correctement la clé. Si ce n'est pas le cas, vérifiez que la version IKE correcte est définie dans la console Oracle et sur le CPE, et que le CPE utilise les paramètres souhaités.
Une fois que vous avez vérifié que le premier tunnel fonctionne à nouveau, répétez les étapes précédentes pour le deuxième tunnel.
Modification de la clé secrète partagée utilisée par un tunnel IPSec
Lorsque vous configurez un VPN site à site, Oracle fournit par défaut la clé secrète partagée de chaque tunnel (également appelée clé prépartagée). Vous pouvez avoir une clé secrète partagée spécifique à utiliser à la place. Vous pouvez spécifier la clé secrète partagée de chaque tunnel lorsque vous créez la connexion IPSec, ou vous pouvez modifier les tunnels et indiquer chaque nouvelle clé secrète partagée. Pour la clé secrète partagée, seuls les chiffres, les lettres et les espaces sont autorisés. Oracle recommande d'utiliser une clé secrète partagée différente pour chaque tunnel.
Lorsque vous modifiez la clé secrète partagée d'un tunnel, la connexion IPSec globale et le tunnel passent à l'état Provisionnement alors que le tunnel est à nouveau provisionné avec la nouvelle clé secrète partagée. L'autre tunnel de la connexion IPSec garde l'état Disponible. Cependant, lorsque le premier tunnel est reprovisionné, vous ne pouvez pas modifier la configuration du deuxième tunnel.
Passage d'un routage statique à un routage dynamique BGP
Pour modifier un VPN site à site existant afin qu'il utilise le routage dynamique BGP au lieu du routage statique, suivez le processus de cette section.
Lorsque vous modifiez le type de routage d'un tunnel, son statut IPSec ne change pas lors du reprovisionnement. Cependant, le routage par le biais du tunnel est affecté. Le trafic est interrompu temporairement jusqu'à ce que l'ingénieur réseau configure votre dispositif CPE conformément à la modification du type de routage. Si votre VPN site à site existant est actuellement configuré pour utiliser un seul tunnel, ce processus perturbera votre connexion à Oracle. S'il utilise plusieurs tunnels, Oracle recommande de reconfigurer chaque tunnel un à un afin d'éviter de perturber votre connexion à Oracle.
Prérequis :
- Vous avez lu cette section : Routage du VPN site à site.
-
Vous avez collecté les informations de routage BGP nécessaires :
- Numéro ASN de votre réseau. Le numéro ASN BGP d'Oracle pour le cloud commercial est 31898, à l'exception de la région Serbie centrale (Jovanovac), à savoir 14544. Pour Government Cloud, reportez-vous à Numéro ASN BGP d'Oracle.
- Pour chaque tunnel : adresse IP BGP de chaque extrémité du tunnel (les deux adresses d'un tunnel donné doivent être une paire provenant d'un sous-réseau /30 ou /31, et doivent faire partie du domaine de cryptage du VPN site à site).
Répétez la procédure suivante pour chaque tunnel de la connexion IPSec :
-
Reconfigurez le type de routage du tunnel pour passer du routage statique au routage dynamique BGP :
-
-
Cliquez sur la connexion IPSec qui vous intéresse.
Les tunnels sont répertoriés avec leur statut. Le statut BGP du tunnel qui vous intéresse ne doit afficher qu'un tiret (aucune valeur), ce qui signifie que le tunnel est actuellement configuré pour utiliser le routage statique.
- Cliquez sur le tunnel pour afficher tous ses détails.
- Cliquez sur Modifier.
-
Effectuez les actions suivantes :
- Type de routage : sélectionnez le bouton radio Routage dynamique BGP.
- Numéro ASN BGP : saisissez le numéro ASN BGP de votre réseau.
- Interface de tunnel interne - CPE : entrez l'adresse IP BGP avec un masque de sous-réseau (/30 ou /31) pour l'extrémité CPE du tunnel. Par exemple : 10.0.0.16/31.
- Interface de tunnel interne - Oracle : saisissez l'adresse IP BGP avec un masque de sous-réseau (/30 ou /31) pour l'extrémité Oracle du tunnel. Par exemple : 10.0.0.17/31.
- Cliquez sur Enregistrer les modifications.
Le statut BGP du tunnel passe à Arrêté.
-
- Demandez à l'ingénieur réseau de mettre à jour la configuration de tunnel de votre dispositif CPE pour utiliser BGP.
- De votre côté de la connexion, vérifiez que la session BGP du tunnel à l'état Etabli. Si ce n'est pas le cas, vérifiez que vous avez configuré les bonnes adresses IP pour le tunnel dans la console Oracle, ainsi que pour le dispositif CPE.
- Dans la console Oracle, vérifiez que le statut BGP du tunnel est désormais Démarré.
- Vérifiez que votre dispositif CPE apprend les routages d'Oracle et qu'il publie des routages vers Oracle. Pour republier les routages Oracle de BGP vers votre réseau sur site, vérifiez que le dispositif CPE est configuré en conséquence. Votre stratégie existante pour publier les routages statiques vers votre réseau sur site peut ne pas fonctionner pour les routages appris à partir de BGP.
- Envoyez une commande ping à l'adresse IP BGP Oracle de votre côté de la connexion pour vérifier que le trafic circule.
Une fois que vous avez vérifié que le premier tunnel fonctionne avec BGP, répétez le processus pour le deuxième tunnel.
Comme indiqué dans Routage du VPN site à site, les routages statiques qui sont encore configurés pour la connexion IPSec globale n'écrasent pas le routage BGP. Ces routages statiques sont ignorés lorsqu'Oracle achemine le trafic via un tunnel configuré pour utiliser BGP.
En outre, vous pouvez rétablir le routage statique d'un tunnel si nécessaire. Vous pouvez effectuer cette opération si la fenêtre de temps d'inactivité programmée pour le dispositif CPE se termine bientôt et que vous avez des difficultés à établir la session BGP. Lorsque vous repassez au routage statique, assurez-vous que les routages statiques souhaités sont toujours configurés pour la connexion IPSec globale.
Surveillance de votre VPN site à site
Vous pouvez surveiller l'état, la capacité et les performances de vos ressources Oracle Cloud Infrastructure à l'aide de mesures, d'alarmes et de notifications. Pour plus d'informations, reportez-vous à Monitoring et à Notifications.
Pour plus d'informations sur la surveillance de votre connexion, reportez-vous à Mesures de VPN site à site.
Visualisation des messages de journal VPN site à site
Vous pouvez afficher les messages de journal générés pour divers aspects opérationnels du VPN site à site, tels que les négociations qui se produisent lors du démarrage d'un tunnel IPSec. L'activation des messages de journal VPN site à site et l'accès à ces derniers peuvent s'effectuer via le VPN site à site ou le service Logging.
- Pour une présentation générale du service Logging, reportez-vous à Présentation de Logging.
- Pour plus de détails sur l'activation des messages de journal VPN site à site et l'accès à ces derniers via le service Logging, reportez-vous à Journaux de service.
-
Pour plus de détails sur le schéma de message de journal VPN site à site, reportez-vous à Détails relatifs au VPN site à site.
-
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
-
Cliquez sur le nom de la connexion IPSec qui vous intéresse.
La page de détails de la connexion s'affiche.
- Sur le côté gauche de l'écran, sous Ressources, cliquez sur Journaux.
Si vous ne voyez pas cette option, la connexion présente l'ancien type : VPN site à site version 1. La journalisation des messages nécessite un VPN site à site version 2.
- Sur la page de détails Journaux, définissez le champ Activer le journal sur Activé. Un nouvel écran apparaît.
Vous trouverez des informations sur les options à l'écran dans Activation de la journalisation pour une ressource. Les journaux sont gérés de la même manière, quel que soit le type de ressource les générant.
- Cliquez sur Activer le journal.
La page Détails du journal apparaît et le journal est en cours de création (un message "Création du journal" s'affiche).
Vous devez avoir activé la journalisation pour pouvoir consulter le journal des messages. Pour afficher le journal des messages, procédez comme suit :
-
Ouvrez le menu de navigation et cliquez sur Fonctions de réseau. Sous Connexion client, cliquez sur VPN site à site.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
- Sur le côté gauche de l'écran, sous Ressources, cliquez sur Journaux.
Si vous ne voyez pas cette option, la connexion présente l'ancien type : VPN site à site version 1. La journalisation des messages nécessite un VPN site à site version 2.
- Cliquez sur le nom du journal qui vous intéresse. Un nouvel onglet de navigateur apparaît, affichant le journal demandé.
Pour plus d'informations sur l'utilisation de l'écran d'affichage du journal, reportez-vous à Obtention des détails d'un journal.
Désactivation ou terminaison du VPN site à site
Si vous voulez désactiver le VPN site à site entre votre réseau sur site et votre réseau cloud virtuel, vous pouvez simplement détacher la passerelle de routage dynamique du réseau cloud virtuel au lieu de supprimer la connexion IPSec. Si vous utilisez aussi la passerelle de routage dynamique avec FastConnect, le détachement de la passerelle interrompt également le flux de trafic sur FastConnect.
Vous pouvez supprimer la connexion IPSec. Toutefois, si vous souhaitez la rétablir ultérieurement, l'ingénieur réseau devra configurer à nouveau le dispositif CPE avec un nouvel ensemble d'informations de configuration de tunnel provenant d'Oracle.
Si vous voulez supprimer définitivement le VPN site à site, vous devez d'abord mettre fin à la connexion IPSec. Vous pouvez ensuite supprimer l'objet CPE. Si vous n'utilisez pas la passerelle de routage dynamique pour une autre connexion à votre réseau sur site, vous pouvez la détacher du réseau cloud virtuel, puis la supprimer.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
- Cliquez sur la connexion IPSec qui vous intéresse.
- Cliquez sur Mettre fin.
- Confirmez la suppression lorsque vous y êtes invité.
La connexion IPSec aura l'état Terminaison pendant une courte période lors de sa suppression.
Prérequis : aucune connexion IPSec ne doit exister entre l'objet CPE et la passerelle de routage dynamique.
-
Ouvrez le menu de navigation et cliquez sur Fonctions de réseau. Sous Connexion client, cliquez sur Equipement sur site client.
La liste des objets CPE du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
- Pour l'objet CPE à supprimer, cliquez sur le menu Actions (), puis sur Supprimer.
- Confirmez la suppression lorsque vous y êtes invité.
L'objet aura l'état Terminaison pendant une courte période lors de sa suppression.
Gestion des balises pour une connexion IPSec ou un objet CPE
Appliquez des balises à vos ressources afin de les organiser selon les besoins de votre entreprise. Lorsque vous créez une ressource, appliquez des balises ou mettez-la à jour ultérieurement avec les balises souhaitées. Pour obtenir des informations générales sur l'application de balises, reportez-vous à Balises de ressource.
Déplacement d'une connexion IPSec ou d'un objet CPE vers un autre compartiment
Vous pouvez déplacer vos ressources d'un compartiment vers un autre. Une fois que vous avez déplacé la ressource vers le nouveau compartiment, les stratégies inhérentes s'appliquent immédiatement et affectent l'accès à la ressource via la console. Le déplacement de l'objet CPE vers un autre compartiment n'a aucune incidence sur la connexion entre votre centre de données et Oracle Cloud Infrastructure. Pour plus d'informations, reportez-vous à Utilisation des compartiments.
-
Ouvrez le menu de navigation et cliquez sur Fonctions de réseau. Sous Connexion client, cliquez sur Equipement sur site client.
- Recherchez l'objet CPE dans la liste, cliquez sur le menu Actions (), puis sur Déplacer la ressource.
- Choisissez le compartiment de destination dans la liste.
- Cliquez sur Déplacer la ressource.
Gestion de votre passerelle de routage dynamique
Pour plus d'informations sur les tâches relatives aux passerelles de routage dynamique, reportez-vous à Passerelles de routage dynamique.