Esta página ha sido traducida por una máquina.

Documentación de Oracle Cloud Infrastructure
Probar cuenta gratuita

Trabajar con VPN de sitio a sitio

Este tema contiene algunos detalles sobre el trabajo con VPN de sitio a sitio y los componentes relacionados. Consulte también los temas siguientes:

Migración a VPN basada en políticas

El servicio VPN de sitio a sitio de Oracle Cloud Infrastructure v2 admite completamente VPN IPSec basadas en políticas con hasta 50 dominios de cifrado por túnel.

Para evitar posibles interrupciones de tráfico, si se ha migrado del servicio de VPN de sitio a sitio v1 a la VPN de sitio a sitio v2 y ha configurado un CPE con varios dominios de cifrado, cambie las configuraciones de túnel en el lado de OCI de la conexión para que coincidan con la configuración de CPE. En este artículo se explica por qué esta modificación es tan importante y los pasos necesarios para configurar OCI para que utilice VPN IPSec basadas en políticas.

Por qué migrar a la función VPN basada en políticas

El servicio v1 de VPN de sitio a sitio siempre se configura como una VPN basada en rutas y utiliza un dominio de cifrado cualquiera o cualquiera para los tipos de enrutamiento BGP y estático. Para la interoperabilidad de VPN basada en políticas, la VPN de sitio a sitio v1 soporta un CPE configurado para VPN basadas en políticas si el CPE actúa como iniciador y solo se envía un único dominio de cifrado a OCI. La configuración de varios dominios de cifrado en este escenario provoca la inestabilidad del túnel en el que se pueden observar las solapas del túnel o que el tráfico que atraviesa el túnel tiene un alcance inestable.

El servicio v2 de VPN de sitio a sitio utiliza una opción de tipo de enrutamiento basado en políticas además de los tipos de enrutamiento BGP y estático. Los tipos de BGP y enrutamiento estático de la VPN de sitio a sitio v2 siguen basados en rutas y soportan un único dominio de cifrado cualquiera o cualquiera. Estas opciones funcionan con una única configuración de CPE basada en políticas de dominio de cifrado, sin embargo, esto no se recomienda y enviar más de un dominio de cifrado genera inestabilidad de túnel.

El tipo de enrutamiento basado en políticas disponible para la VPN de sitio a sitio v2 es una VPN basada en políticas con todas las funciones que le permite configurar el lado de OCI para que coincida completamente con la configuración basada en políticas de un CPE y acepte todas las asociaciones de seguridad (SA) individuales necesarias para un túnel VPN IPSec estable.

Para obtener más información sobre los dominios de cifrado y los diferentes tipos de túnel de VPN IPSec, consulte ID de dominio de cifrado o proxy soportados.

Después de migrar los túneles de la VPN de sitio a sitio v1 a v2, siguen utilizando el mismo tipo de enrutamiento (BGP o estático) configurado antes de la migración. En esta sección se detalla el proceso paso a paso para cambiar los túneles basados en rutas existentes para utilizar el enrutamiento basado en políticas.

  1. Conéctese a la consola de OCI.
  2. Abra el menú de navegación y seleccione Red. En Conectividad de cliente, seleccione VPN de sitio a sitio.
  3. Seleccione la conexión IPSec cuyos túneles se deben cambiar para utilizar el enrutamiento basado en políticas.
  4. Los túneles se muestran en los detalles de la conexión IPSec y se muestra el tipo de enrutamiento de cada túnel. El tipo de enrutamiento se muestra como enrutamiento dinámico BGP o enrutamiento estático. Seleccione el nombre del túnel para ver sus detalles.
  5. Seleccione Editar para cambiar la configuración del túnel que está viendo.
  6. En Tipo de enrutamiento, marque la casilla para el enrutamiento basado en políticas. Se presenta una opción de configuración adicional para Asociaciones.
  7. En Asociaciones, configure todos los dominios de cifrado relevantes. Cada entrada de los bloques CIDR locales genera un dominio de cifrado con todas las entradas posibles configuradas en los bloques CIDR de Oracle Cloud.

    Para obtener más información, consulte Dominios de cifrado para túneles basados en políticas.

    1. Para los bloques de CIDR locales, agregue todos los bloques de CIDR locales que requieran conectividad a OCI a través del túnel IPSec.
    2. Para los bloques CIDR de Oracle Cloud, agregue todos los bloques CIDR de OCI a los que se debe acceder desde la red local.
  8. Los valores de interfaz de túnel interno IPv4 - CPE e interfaz de túnel interno IPv4 - Oracle se pueden conservar al cambiar el tipo de enrutamiento del túnel. No se necesitan cambios para estos valores.
  9. Seleccione Guardar cambios.
  10. Vuelva a la conexión IPSec principal y repita el proceso para el otro túnel IPSec.

Visualización del estado y la configuración del túnel

Cuando se crea correctamente la conexión de IPSec, Oracle produce información importante de configuración para cada uno de los túneles de IPSec resultantes. Para ver un ejemplo, consulte la tarea 2h en el proceso de configuración general. Puede ver esa información y el estado de los túneles en cualquier momento. Esto incluye el estado de BGP si el túnel está configurado para utilizar el enrutamiento dinámico de BGP.

Uso del asistente de configuración de CPE

Después de configurar la VPN de sitio a sitio, un ingeniero de redes debe configurar el equipo local de cliente (CPE) en el extremo local de la conexión. La configuración incluye detalles sobre la red virtual en la nube (VCN) y los túneles IPSec de la VPN de sitio a sitio. El asistente de configuración de CPE genera la información para el ingeniero de redes. Para obtener más información, consulte Uso del asistente de configuración de CPE.

Cambio en las rutas estáticas

Puede cambiar las rutas estáticas de una conexión de IPSec existente. Puede proporcionar hasta 10 rutas estáticas.

Recuerde que una conexión de IPSec puede utilizar enrutamiento estático o enrutamiento dinámico con BGP. Las rutas estáticas se asocian con la conexión general de IPSec y no con los túneles individuales. Si una conexión de IPSec tiene rutas estáticas asociadas a ella, Oracle las utiliza para direccionar el tráfico de un túnel solo si el túnel se configura para utilizar un enrutamiento estático. Si se está configurado para utilizar el enrutamiento dinámico de BGP, se han de ignorar las rutas estáticas de la conexión de IPSec.

Importante

La conexión IPSec queda inactiva mientras se vuelve a aprovisionar con los cambios de la ruta estática.

Cambio del identificador IKE de CPE que Oracle utiliza

Si el CPE está detrás de un dispositivo NAT, es posible que deba proporcionar a Oracle el identificador IKE de CPE. Puede especificarlo al crear la conexión de IPSec o editar la conexión con este más tarde y cambiar el valor. Oracle espera que el valor sea una dirección IP o un nombre de dominio completo (FQDN). Al especificar el valor, también puede especificar de qué tipo es.

Importante

La conexión IPSec queda inactiva mientras se aprovisiona de nuevo para utilizar el identificador IKE de CPE.

Uso de IKEv2

Oracle admite Internet Key Exchange (IKE) versión 1 y la versión 2 (IKEv2).

Para utilizar IKEv2 con un CPE que lo soporte, debe:

  • Configurar cada túnel de IPSec para utilizar IKEv2 en la consola de Oracle. Observe los siguientes procedimientos.
  • Configure CPE para utilizar los parámetros de cifrado IKEv2 que soporta CPE. Para obtener una lista de los parámetros que admite Oracle, consulte Parámetros de IPSec admitidos.

Cambio del secreto compartido utilizado por un túnel de IPSec

Al configurar la VPN de sitio a sitio, por defecto, Oracle proporciona el secreto compartido de cada túnel (también denominado clave compartida previamente). Es posible que tenga un secreto compartido en particular que desee utilizar en su lugar. Puede especificar el secreto compartido de cada túnel al crear la conexión de IPSec, o bien editar los túneles y proporcionar, a continuación, cada nuevo secreto compartido. Para el secreto compartido, solo se permiten números, letras y espacios. Recomendamos utilizar un secreto compartido diferente para cada túnel.

Importante

Al cambiar el secreto compartido de un túnel, tanto la conexión general de IPSec como el túnel pasan al estado En aprovisionamiento mientras el túnel se vuelve a aprovisionar con el nuevo secreto compartido. El otro túnel de la conexión de IPSec permanece en estado Disponible. Sin embargo, si se vuelve a aprovisionar el primer túnel, no podrá cambiar la configuración del segundo túnel.

Cambio de enrutamiento estático a enrutamiento dinámico BGP

Para cambiar una VPN de sitio a sitio existente de uso de enrutamiento estático a uso de enrutamiento dinámico BGP, siga el proceso en esta sección.

Atención

Al cambiar el tipo de enrutamiento de un túnel, el estado de IPSec del túnel no cambia durante el nuevo aprovisionamiento. Sin embargo, el enrutamiento a través del túnel se ve afectado. El tráfico se interrumpe temporalmente hasta que un ingeniero de redes configure el dispositivo CPE de acuerdo con el cambio de tipo de enrutamiento. Si una VPN de sitio a sitio existente está configurada para utilizar solo un túnel, este proceso interrumpe la conexión a Oracle. Si una VPN de sitio a sitio utiliza en su lugar varios túneles, recomendamos volver a configurar un túnel cada vez para evitar la interrupción de la conexión a Oracle.

Supervisión de la VPN de sitio a sitio

Puede supervisar el estado, la capacidad y el rendimiento de los recursos de Oracle Cloud Infrastructure mediante métricas, alarmas y notificaciones. Para obtener más información, consulte Supervisión y Notificaciones.

Para obtener información sobre la supervisión de una conexión, consulte Métricas de VPN de sitio a sitio.

Visualización de mensajes de log de VPN de sitio a sitio

Puede ver los mensajes de log generados para diversos aspectos operativos de la VPN de sitio a sitio, como las negociaciones que se han producido al activar un túnel IPSec. La activación y el acceso a los mensajes de log de la VPN de sitio a sitio se pueden realizar mediante la VPN de sitio a sitio o el servicio Logging.

  • Para obtener una visión general del servicio Logging en general, consulte Visión general de Logging.
  • Para obtener más información sobre la activación y el acceso a los mensajes de log de la VPN de sitio a sitio mediante el servicio Logging, consulte Logs de servicio.

  • Para obtener más información sobre el esquema de mensaje de log de la VPN de sitio a sitio, consulte Detalles de la VPN de sitio a sitio.

Desactivación o terminación de la VPN de sitio a sitio

Para desactivar la VPN de sitio a sitio entre una red local y VCN, puede desconectar el DRG de la VCN en lugar de suprimir la conexión IPSec. Si también utiliza el DRG con FastConnect, la desasociación del DRG también interrumpirá el flujo de tráfico a través de FastConnect.

Puede suprimir la conexión a IPSec. Sin embargo, si más tarde desea restablecerlo, un ingeniero de redes debe configurar el dispositivo CPE de nuevo con un nuevo conjunto de información de configuración de túneles desde Oracle.

Para suprimir de forma permanente la VPN de sitio a sitio, primero debe terminar la conexión IPSec. A continuación, puede suprimir el objeto CPE. Si no está utilizando el DRG para otra conexión a una red local, puede separarlo de la VCN y, a continuación, suprimirlo.

Gestión de etiquetas para una conexión de IPSec o un objeto CPE

Aplique etiquetas a los recursos para facilitar su organización en función de las necesidades del negocio. Aplique etiquetas al crear un recurso o actualice el recurso más tarde con las etiquetas que desee. Para obtener información general sobre la aplicación de etiquetas, consulte Etiquetas de recursos.

Mover una conexión IPSec o un objeto CPE a un compartimento diferente

Puede mover recursos de un compartimento a otro. Después de que mueva el recurso al nuevo compartimiento, las políticas inherentes se aplican inmediatamente y afectan al acceso al recurso mediante la consola. Mover el objeto CPE a un compartimiento diferente no afecta a la conexión entre un centro de datos local y Oracle Cloud Infrastructure. Para obtener más información, consulte Trabajar con compartimentos.

Mantenimiento de túneles IPSec

Para garantizar la seguridad, la estabilidad y el rendimiento de nuestro sistema, Oracle actualiza regularmente el software en toda la plataforma OCI. Estas actualizaciones incluyen correcciones críticas, como parches de vulnerabilidad, nuevas funciones y correcciones de bugs, lo que mejora la funcionalidad y la fiabilidad generales. Durante el proceso de actualización, se mueve un túnel IPSec de una cabecera de VPN a otra cabecera, lo que lleva a que la conexión IPSec se restablezca cuando solo se utiliza un túnel. Solo se mueve un túnel IPSec en una conexión IPSec. Si bien no podemos evitar esta breve interrupción del túnel, hemos optimizado el mecanismo de actualización para minimizar el tiempo de inactividad. Cuando el equipo local del cliente (CPE) intenta restablecer continuamente la conexión, el tiempo de inactividad normal del túnel IPSec es inferior a un minuto. Este diseño permite a Oracle mantener un equilibrio entre mantener el sistema seguro y fiable, al tiempo que minimiza la interrupción de la conectividad. A veces, la restauración del túnel IPSec puede tardar hasta 10 minutos:

  • Cuando el túnel se define como responsable de respuesta solo en el lado de OCI y el CPE no está intentando activar el túnel inmediatamente
  • Cuando el CPE no responde a la negociación de IKE iniciada por OCI

Aunque la solapa de túnel IPSec durante las actualizaciones de software es inevitable, OCI proporciona túneles redundantes. Estos túneles redundantes están diseñados para mantener el flujo de tráfico continuo, incluso durante el breve período en el que un túnel experimenta tiempo de inactividad. Si la redundancia se ha configurado correctamente, todo el tráfico enrutado a través del túnel principal cambia sin problemas al túnel redundante durante una aleta de túnel. Este mecanismo de failover garantiza que los servicios permanezcan ininterrumpidos y que el flujo de tráfico se mantenga sin retrasos significativos. OCI garantiza que los túneles redundantes aterricen en dos cabeceras de VPN distintas. Durante nuestras actualizaciones de software, solo se ve afectado un túnel a la vez.

Recomendamos y esperamos que pruebe la redundancia bajando el túnel VPN principal, tanto durante la configuración inicial como con una frecuencia regular a partir de entonces. Confirme que las instancias de VCN siguen siendo accesibles mientras el túnel principal está fuera de línea y el tráfico cambia al túnel redundante. La sección Redundancia de VPN de esta Guía de redundancia proporciona más información sobre la configuración de la redundancia para túneles VPN en diferentes casos de uso.

Puede utilizar los siguientes pasos para desactivar temporalmente un túnel para probar el failover de redundancia de un túnel IPSec principal a un túnel IPSec secundario:

  1. Abra el menú de navegación y seleccione Red. En Conectividad de cliente, seleccione VPN de sitio a sitio.

    Se muestra una lista de las conexiones de IPSec en el compartimiento que esté viendo. Si no ve la política que está buscando, verifique que está viendo el compartimento correcto. Para ver las políticas asociadas a un compartimento diferente, en Ámbito de lista, seleccione ese compartimento en la lista.

  2. Seleccione el nombre de la conexión IPSec que le interesa.
    Se muestran los detalles de cada túnel, incluido el estado de IPSec, el estado de BGP (si el túnel utiliza el enrutamiento dinámico de BGP) y la dirección IP de la VPN de Oracle (el encabezado de la VPN).
  3. Seleccione el nombre del túnel IPSec principal (o secundario).
  4. Para desactivar temporalmente un túnel:
    1. En el separador Información de túnel mostrado, junto al campo Secreto compartido, seleccione Editar.
    2. Corte el texto en el campo de secreto compartido y sustitúyalo por algunas letras o números aleatorios. Esto hace que la sesión BGP caiga y que el tráfico pueda realizar un failover al otro túnel. Este campo no puede estar vacío.
      Pegue la cadena original en el campo de secreto compartido en un archivo de texto. Necesita esto para restablecer la sesión BGP después de confirmar que la redundancia funciona como se esperaba.
    3. Seleccione Guardar cambios.
    4. Confirme que el tráfico sigue fluyendo en el túnel IPSec secundario de la conexión.
  5. Para restaurar un túnel desactivado temporalmente:
    1. En el separador Información de túnel mostrado, junto al campo Secreto compartido, seleccione Editar.
    2. Pegue el texto original en el campo de secreto compartido.
    3. Seleccione Guardar cambios.
    4. Espere a que se restablezca la sesión BGP.

Uso de la API para VPN de sitio a sitio

Estas son las operaciones de API del servicio Networking para gestionar los componentes de la VPN de sitio a sitio.

Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.

Para gestionar la VCN y las subredes, utilice estas operaciones:

Para gestionar el DRG, utilice estas operaciones:

Para gestionar el enrutamiento de VCN, utilice estas operaciones:

Para gestionar listas de seguridad para la VCN, utilice estas operaciones:

Para gestionar los CPE, utilice estas operaciones:

Para gestionar conexiones IPSec, utilice estas operaciones:

¿Le ha resultado útil este artículo?