Trabajar con VPN de sitio a sitio
Este tema contiene algunos detalles sobre el trabajo con VPN de sitio a sitio y los componentes relacionados. Consulte también los temas siguientes:
Migración a VPN basada en políticas
El servicio VPN de sitio a sitio de Oracle Cloud Infrastructure v2 admite completamente VPN IPsec basadas en políticas con hasta 50 dominios de cifrado por túnel.
Para evitar posibles interrupciones de tráfico, si se ha migrado del servicio theSite-to-Site VPN v1 a Site-to-Site VPN v2 y ha configurado su CPE con varios dominios de cifrado, modifique las configuraciones de túnel en el lado de OCI de la conexión para que coincidan con la configuración de CPE. En este artículo se explica por qué esta modificación es tan importante y los pasos necesarios para configurar OCI para que utilice VPN IPsec basadas en políticas.
Por qué debe migrar a la función VPN basada en políticas
El servicio v1 de VPN de sitio a sitio siempre se configura como una VPN basada en rutas y utiliza un dominio de cifrado cualquiera o cualquiera para los tipos de enrutamiento BGP y estático. Para la interoperabilidad de VPN basada en políticas, la VPN de sitio a sitio v1 soporta un CPE configurado para VPN basadas en políticas si el CPE actúa como iniciador y solo se envía un único dominio de cifrado a OCI. La configuración de varios dominios de cifrado en este escenario provocará la inestabilidad del túnel en el que puede observar el solapamiento del túnel o que el tráfico que atraviesa el túnel tiene una accesibilidad inestable.
Con el servicio v2 de VPN de sitio a sitio, ahora hay una opción de tipo de enrutamiento basado en políticas además de los tipos de enrutamiento estático y BGP disponibles anteriormente. Los tipos de BGP y enrutamiento estático de la VPN de sitio a sitio v2 permanecerán basados en rutas y admitirán un único dominio de cifrado cualquiera o cualquiera. Estas opciones funcionan con una configuración de CPE basada en políticas de dominio de cifrado único. Sin embargo, esto no se recomienda y el envío de más de un dominio de cifrado provocará inestabilidad de túnel.
El tipo de enrutamiento basado en políticas disponible para la VPN de sitio a sitio v2 es una VPN basada en políticas con todas las funciones, lo que le permite configurar el lado de OCI para que coincida completamente con la configuración basada en políticas de su CPE y acepte todas las asociaciones de seguridad (SA) individuales necesarias para un túnel de VPN IPSec estable.
Para obtener más información sobre los dominios de cifrado y los diferentes tipos de túnel de VPN IPsec, consulte ID de dominio de cifrado o proxy soportados.
Una vez que los túneles se hayan migrado de la VPN de sitio a sitio v1 a v2, seguirán utilizando el mismo tipo de enrutamiento (BGP o estático) configurado antes de la migración. En esta sección se detallará el proceso paso a paso para modificar los túneles basados en rutas existentes para utilizar el enrutamiento basado en políticas.
Visualización del estado y la configuración del túnel
Cuando se crea correctamente la conexión de IPSec, Oracle produce información importante de configuración para cada uno de los túneles de IPSec resultantes. Para ver un ejemplo, consulte la tarea 2h en el proceso de configuración general. Puede ver esa información y el estado de los túneles en cualquier momento. Esto incluye el estado de BGP si el túnel está configurado para utilizar el enrutamiento dinámico de BGP.
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
-
Haga clic en la conexión de IPSec que le interesa.
Se muestran los detalles de cada túnel, incluido el estado de IPSec, el estado de BGP (si el túnel utiliza el enrutamiento dinámico de BGP) y la dirección IP de la VPN de Oracle (el encabezado de la VPN).
- Visualización del secreto compartido de un túnel:
- Haga clic en el túnel que esté interesado.
- Junto al campo Secreto compartido, haga clic en Mostrar.
- Para ver las rutas anunciadas y recibidas de BGP de un túnel (incluida la ruta de acceso AS PATH para cada ruta):
- Haga clic en el túnel que esté interesado.
- En Recursos, haga clic en Rutas recibidas de BGP o en Rutas anunciadas de BGP.
Uso del asistente de configuración de CPE
Después de configurar la VPN de sitio a sitio, el ingeniero de redes debe configurar el equipo local de cliente (CPE) en su extremo de la conexión. La configuración incluye detalles sobre su red virtual en la nube (VCN) y los túneles de IPSec de la VPN de sitio a sitio. El asistente de configuración de CPE genera la información para su ingeniero de redes. Para obtener más información, consulte Uso del asistente de configuración de CPE.
Cambio en las rutas estáticas
Puede cambiar las rutas estáticas de una conexión de IPSec existente. Puede proporcionar hasta 10 rutas estáticas.
Recuerde que una conexión de IPSec puede utilizar enrutamiento estático o enrutamiento dinámico con BGP. Las rutas estáticas se asocian con la conexión general de IPSec y no con los túneles individuales. Si una conexión de IPSec tiene rutas estáticas asociadas a ella, Oracle las utiliza para direccionar el tráfico de un túnel solo si el túnel se configura para utilizar un enrutamiento estático. Si se está configurado para utilizar el enrutamiento dinámico de BGP, se han de ignorar las rutas estáticas de la conexión de IPSec.
La conexión de IPSec queda inactiva mientras se vuelve a aprovisionar con los cambios de la ruta estática.
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
-
Para la conexión IPSec que le interesa, haga clic en el menú Acciones (
) y, a continuación, en Editar.Se muestran las rutas estáticas actuales.
- Realice los cambios y haga clic en Guardar cambios.
Cambio del identificador IKE de CPE que Oracle utiliza
Si su CPE está detrás de un dispositivo NAT, puede que tenga que proporcionar a Oracle el identificador IKE de CPE. Puede especificarlo al crear la conexión de IPSec o editar la conexión con este más tarde y cambiar el valor. Oracle espera que el valor sea una dirección IP o un nombre de dominio completo (FQDN). Al especificar el valor, también puede especificar de qué tipo es.
La conexión de IPSec queda inactiva mientras se reaprovisiona para utilizar el identificador IKE de CPE.
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
-
Para la conexión IPSec que le interesa, haga clic en el menú Acciones (
) y, a continuación, en Editar.El identificador IKE de CPE actual que utiliza Oracle se muestra en la parte inferior del cuadro de diálogo.
- Introduzca los nuevos valores para Tipo de identificador IKE de CPE e Identificador IKE de CPE y, a continuación, haga clic en Guardar cambios.
Uso de IKEv2
Oracle admite Internet Key Exchange (IKE) versión 1 y la versión 2 (IKEv2).
Si desea utilizar IKEv2 y su CPE lo admite, debe:
- Configurar cada túnel de IPSec para utilizar IKEv2 en la consola de Oracle. Observe los siguientes procedimientos.
- Configurar el CPE para utilizar los parámetros de cifrado de IKEv2 que admiten CPE. Para obtener una lista de los parámetros que admite Oracle, consulte Parámetros de IPSec admitidos.
Si crea una nueva conexión de IPSec manualmente, puede especificar el IKEv2 al crear la conexión de IPSec en la consola de Oracle. Consulte el procedimiento que aparece inmediatamente a continuación.
Si, en cambio, utiliza el flujo de trabajo de inicio rápido de la VPN, la conexión de IPSec se configura para utilizar solo IKEv1. Sin embargo, una vez completado el flujo de trabajo, puede editar los túneles IPSec resultantes en la consola de Oracle y cambiarlos para utilizar el IKEv2.
Para configurar manualmente una nueva conexión de IPSec que utiliza el IKEv2:
- Al crear la conexión IPSec en la consola de Oracle, en la sección Opciones avanzadas, haga clic en el separador Túnel 1.
- En el menú Versión de IKE, seleccione IKEv2.
- Repita el paso anterior en el separador Túnel 2.
- Más tarde, al configurar la CPE, hágalo de forma que solo utilice IKEv2 y los parámetros de cifrado de IKEv2 relacionados que admite la CPE.
Importante Oracle recomienda realizar el siguiente proceso para un túnel cada vez a fin de evitar una interrupción en la conexión general. Si la conexión no es redundante (por ejemplo, no tiene varios túneles), se espera un tiempo de inactividad al actualizar a IKEv2.
- Cambie la versión de IKE del túnel en la consola de Oracle:
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
- Haga clic en la conexión de IPSec que le interesa.
- Haga clic en el túnel para ver sus detalles.
- Haga clic en Editar.
- En el menú Versión de IKE, seleccione IKEv2.
- Haga clic en Guardar cambios.
- Actualice la configuración de CPE del túnel para utilizar IKEv2 y los parámetros de cifrado relacionados que admite el CPE. Para obtener una lista de los parámetros que admite Oracle, consulte Parámetros de IPSec admitidos.
- Si las asociaciones de seguridad no volvieron a generarse inmediatamente, fuerce una nueva clave para ese túnel en el CPE. Es decir, borre las asociaciones de seguridad de la fase 1 y la fase 2 y no espere a que caduquen. Algunos dispositivos CPE esperan a que los SA caduquen antes de volver a generar la clave. Forzar la regeneración permite confirmar inmediatamente que la configuración de la versión de IKE es correcta.
- Para verificar, asegúrese de que las asociaciones de seguridad del túnel se vuelvan a generar correctamente. En el caso contrario, confirme que la versión correcta de IKE esté definida en la consola de Oracle y en su CPE, y que el CPE utiliza los parámetros deseados.
Después de confirmar que el primer túnel está activo y en ejecución de nuevo, repita los pasos anteriores para el segundo túnel.
Cambio del secreto compartido utilizado por un túnel de IPSec
Al configurar la VPN de sitio a sitio, por defecto, Oracle proporciona el secreto compartido de cada túnel (también denominado clave compartida previamente). Es posible que tenga un secreto compartido en particular que desee utilizar en su lugar. Puede especificar el secreto compartido de cada túnel al crear la conexión de IPSec, o bien editar los túneles y proporcionar, a continuación, cada nuevo secreto compartido. Para el secreto compartido, solo se permiten números, letras y espacios. Oracle recomienda utilizar un secreto compartido diferente para cada túnel.
Al cambiar el secreto compartido de un túnel, tanto la conexión general de IPSec como el túnel pasan al estado En aprovisionamiento mientras el túnel se vuelve a aprovisionar con el nuevo secreto compartido. El otro túnel de la conexión de IPSec permanece en estado Disponible. Sin embargo, si se vuelve a aprovisionar el primer túnel, no podrá cambiar la configuración del segundo túnel.
Cambio de enrutamiento estático a enrutamiento dinámico BGP
Si desea cambiar una VPN de sitio a sitio existente de usar enrutamiento estático a usar enrutamiento dinámico de BGP, siga el proceso de esta sección.
Cuando se cambia el tipo de enrutamiento de un túnel, el estado de IPSec del túnel no cambia durante el nuevo aprovisionamiento. Sin embargo, el enrutamiento a través del túnel se ve afectado. El tráfico se interrumpe temporalmente hasta que el ingeniero de redes configure el dispositivo CPE de acuerdo con el cambio de tipo de enrutamiento. Si la VPN de sitio a sitio existente está configurada actualmente para utilizar solo un túnel, este proceso interrumpirá la conexión a Oracle. En cambio, si la VPN de sitio a sitio utiliza varios túneles, Oracle recomienda volver a configurar un túnel cada vez para evitar la interrupción de la conexión a Oracle.
Previos necesarios:
- Ha leído esta sección: Enrutamiento de la VPN de sitio a sitio
-
Ha recopilado la información del enrutamiento BGP necesaria:
- El ASN de su red. El ASN de BGP de Oracle para la nube comercial es 31898, excepto la región Serbia Central (Jovanovac), que es 14544. Para Government Cloud, consulte ASN de BGP de Oracle.
- Para cada túnel: la dirección IP BGP de cada extremo del túnel (las dos direcciones para un túnel determinado deben ser un par de una subred /30 o /31, y deben formar parte del dominio de cifrado de la VPN de sitio a sitio)
Repita el siguiente proceso para cada túnel en la conexión de IPSec:
-
Vuelva a configurar el tipo de enrutamiento del túnel desde el enrutamiento estático hasta el enrutamiento dinámico de BGP:
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
-
Haga clic en la conexión de IPSec que le interesa.
Se muestran los túneles y el estado de cada uno de ellos. El estado de BGP del túnel en el que está interesado debe mostrar solo un guion (ningún valor), lo que significa que el túnel está configurado actualmente para utilizar enrutamiento estático.
- Haga clic en el túnel para ver todos sus detalles.
- Haga clic en Editar.
-
Haga lo siguiente:
- Tipo de enrutamiento: seleccione el botón de radio para el enrutamiento dinámico de BGP.
- ASN de BGP: introduzca el ASN de BGP de la red.
- Interfaz de túnel interna - CPE: introduzca la dirección IP de BGP con la máscara de subred (/30 o /31) para el fin CPE del túnel. Por ejemplo: 10.0.0.16/31.
- Interfaz de túnel interna - Oracle: introduzca la dirección IP de BGP con la máscara de subred (/30 o /31) para el extremo de Oracle del túnel. Por ejemplo: 10.0.0.17/31.
- Haga clic en Guardar cambios.
El estado de BGP del túnel cambia a Inactivo.
- Solicite a su ingeniero de redes que actualice la configuración de túnel del dispositivo CPE para utilizar el BGP.
- En su lado de la conexión, confirme que la sesión BGP del túnel tiene un estado establecido. Si no lo está, asegúrese de haber configurado las direcciones IP correctas para el túnel en la consola de Oracle y también para su dispositivo CPE.
- En la consola de Oracle, confirme que el estado de BGP del túnel es ahora Activo.
- Confirme que su dispositivo CPE memoriza las rutas desde Oracle y que su dispositivo CPE esté anunciando las rutas a Oracle. Si desea volver a aplicar las rutas de Oracle de BGP a su red local, asegúrese de que su dispositivo CPE esté configurado según corresponda. Su política existente para anunciar las rutas estáticas a su red local puede no funcionar para las rutas conocidas de BGP.
- Haga ping en la dirección IP BGP de Oracle de su lado de la conexión para confirmar que el tráfico está fluyendo.
Después de confirmar que el primer túnel está activo y en ejecución con BGP, repita el proceso para el segundo túnel.
Como se indica en Enrutamiento de la VPN de sitio a sitio, las rutas estáticas que todavía están configuradas para la conexión IPSec general NO sustituyen el enrutamiento BGP. Estas rutas estáticas se ignoran cuando Oracle enruta el tráfico mediante un túnel configurado para utilizar BGP.
Además, si es necesario, puede volver a cambiar el tipo de enrutamiento de un túnel a un enrutamiento estático. Puede hacer esto si la ventana de tiempo de inactividad programada para el dispositivo CPE termina pronto y tiene problemas para establecer la sesión BGP. Al volver a cambiar al enrutamiento estático, asegúrese de que la conexión general de IPSec siga teniendo las rutas estáticas deseadas configuradas.
Supervisión de la VPN de sitio a sitio
Puede supervisar el estado, la capacidad y el rendimiento de los recursos de Oracle Cloud Infrastructure mediante métricas, alarmas y notificaciones. Para obtener más información, consulte Supervisión y Notificaciones.
Para obtener más información sobre la supervisión de la conexión, consulte Métricas de VPN de sitio a sitio.
Visualización de los mensajes de log de la VPN de sitio a sitio
Puede ver los mensajes de log generados para diversos aspectos operativos de la VPN de sitio a sitio, como las negociaciones que se producen al activar un túnel de IPSec. La activación y el acceso a los mensajes de log de la VPN de sitio a sitio se pueden realizar a través de la VPN de sitio a sitio o del servicio Logging.
- Para obtener una descripción general del servicio Logging en general, consulte Visión general de Logging.
- Para obtener más información sobre cómo activar y acceder a los mensajes de log de la VPN de sitio a sitio mediante el servicio Logging, consulte Logs de servicio.
-
Para obtener más información sobre el esquema de mensaje de log de la VPN de sitio a sitio, consulte Detalles de la VPN de sitio a sitio.
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
-
Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
-
En la conexión IPSec que le interesa, haga clic en el nombre de la conexión.
Aparecerá la página de detalles de la conexión.
- En la parte izquierda de la pantalla, en Recursos, haga clic en Logs.
Si no se muestra esta opción, la conexión tiene el tipo VPN de sitio a sitio v1 anterior. El registro de mensajes requiere VPN de sitio a sitio v2.
- En la página de detalles Logs, defina el campo Activar log en Activado. Aparecerá una nueva pantalla.
Los detalles de las opciones de la pantalla se encuentran en Activación del registro para un recurso. Los logs se gestionan de la misma manera, independientemente del tipo de recurso que genera el log.
- Haga clic en Activar log.
Aparecerá la página de detalles de log y el log estará en proceso de creación (se mostrará el mensaje "Creando log").
Debe tener activado el registro para ver el log de mensajes. Para ver el log de mensajes:
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
-
Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
- En la parte izquierda de la pantalla, en Recursos, haga clic en Logs.
Si no se muestra esta opción, la conexión tiene el tipo VPN de sitio a sitio v1 anterior. El registro de mensajes requiere VPN de sitio a sitio v2.
- Haga clic en el Nombre de log del log que le interese. Se abrirá un nuevo separador del explorador que muestra el log solicitado.
Consulte Obtención de detalles de un log para obtener más información sobre el uso de la pantalla de visualización de log.
Desactivación o terminación de la VPN de sitio a sitio
Si desea desactivar la VPN de sitio a sitio entre su red local y la VCN, puede simplemente desasociar el DRG de la VCN en lugar de suprimir la conexión IPSec. Si también utiliza el DRG con FastConnect, al desconectarlo también se interrumpirá el flujo de tráfico por medio de FastConnect.
Puede suprimir la conexión a IPSec. Sin embargo, si más adelante desea volver a establecerlo, el ingeniero de redes deberá configurar el dispositivo CPE de nuevo con un nuevo conjunto de información de configuración de túneles desde Oracle.
Si desea suprimir de forma permanente la VPN de sitio a sitio, primero debe terminar la conexión IPSec. A continuación, puede suprimir el objeto CPE. Si no está utilizando el DRG para otra conexión a su red local, puede separarlo de la VCN y, a continuación, suprimirlo.
- Abra el menú de navegación y haga clic en Redes. En Conexión de cliente, haga clic en VPN de sitio a sitio.
Se muestra una lista de las conexiones de IPSec en el compartimiento que está visualizando. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
- Haga clic en la conexión de IPSec que le interesa.
- Haga clic en Finalizar.
- Confirme la finalización cuando sea solicitada.
La conexión de IPSec estará en estado Finalización durante un período corto mientras se suprima.
Previo necesario: no debe haber una conexión de IPSec entre el objeto CPE y un DRG.
- Abra el menú de navegación y haga clic en Redes. En Conectividad de cliente, haga clic en Equipo local de cliente.
Se muestra una lista de los objetos CPE en el compartimiento que está visualizando. Si no encuentra el que está buscando, verifique que está visualizando el compartimento correcto (selecciónelo en la lista en la parte izquierda de la página).
- En el objeto CPE que desee suprimir, haga clic en el menú Acciones () y, a continuación, en Suprimir.
- Confirme la finalización cuando sea solicitada.
El objeto estará en estado Terminando durante un período corto mientras se suprime.
Gestión de etiquetas para una conexión de IPSec o un objeto CPE
Puede aplicar etiquetas a los recursos para facilitar su organización según las necesidades de su negocio. Aplique etiquetas al crear un recurso o actualice el recurso más tarde con las etiquetas que desee. Para obtener información general sobre la aplicación de etiquetas, consulte Etiquetas de recursos.
Mover una conexión IPSec o un objeto CPE a un compartimento diferente
Puede mover un recurso de un compartimiento a otro. Después de que mueva el recurso al nuevo compartimiento, las políticas inherentes se aplican inmediatamente y afectan al acceso al recurso mediante la consola. Mover el objeto CPE a un compartimiento diferente no afecta a la conexión entre el centro de datos y Oracle Cloud Infrastructure. Para obtener más información, consulte Trabajar con compartimentos.
- Abra el menú de navegación y haga clic en Redes. En Conectividad de cliente, haga clic en Equipo local de cliente.
- Busque el objeto CPE en la lista, haga clic en el menú Actions () y, a continuación, haga clic en Move Resource.
- Seleccione el compartimiento de destino en la lista.
- Haga clic en Mover recurso.
Gestión de DRG
Para conocer las tareas relacionadas con DRG, consulte Dynamic Routing Gateways.
Uso de la API para VPN de sitio a sitio
Estas son las operaciones de API del servicio Networking para gestionar los componentes de la VPN de sitio a sitio.
Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.
Para gestionar la VCN y las subredes, utilice estas operaciones:
- ListVcns
- CreateVcn
- GetVcn
- UpdateVcn
- DeleteVcn
- ChangeVcnCompartment
- ListSubnets
- CreateSubnet
- GetSubnet
- UpdateSubnet
- DeleteSubnet
- ChangeSubnetCompartment
Para gestionar el DRG, utilice estas operaciones:
- ListDrgs
- CreateDrg
- GetDrg
- UpdateDrg
- DeleteDrg
- ListDrgAttachments
- CreateDrgAttachment: esta operación asocia un DRG a una VCN y da como resultado un objeto
DrgAttachmentcon su propio OCID. - GetDrgAttachment
- UpdateDrgAttachment
- DeleteDrgAttachment: esta operación desasocia un DRG de la VCN suprimiendo el objeto
DrgAttachment.
Para gestionar el enrutamiento de VCN, utilice estas operaciones:
Para gestionar listas de seguridad para la VCN, utilice estas operaciones:
Para gestionar los CPE, utilice estas operaciones:
Para gestionar las conexiones de IPSec, utilice estas operaciones:
- ListIPSecConnections
- CreateIPSecConnection: utilice esta operación para definir la información de configuración de cada túnel, incluida la dirección IP del DRG (el extremo de VPN) y el secreto compartido. Consulte CPE Configuration. La creación de un túnel aporta una mayor flexibilidad si se utiliza CreateIPSecConnectionTunnelDetails.
- GetIPSecConnection
- UpdateIPSecConnection: la actualización de un túnel aporta una mayor flexibilidad si se utiliza UpdateIPSecConnectionTunnelDetails.
- DeleteIPSecConnection
- ChangeIPSecConnectionCompartment
- GetIPSecConnectionDeviceStatus: utilice esta operación para determinar el estado de los túneles de IPSec (activos o inactivos).
- GetIPSecConnectionDeviceConfig: utilice esta operación para obtener la información de configuración de cada túnel.