Chuyển tới nội dung chính

Kết nối FCI với AWS qua Transit Gateway

Bài viết hướng dẫn đấu nối VPNaaS giữa nền tảng AWS và OPS trên Unify Portal.

  • I. Cấu hình VPN Site-to-Site trên AWS
  • II. Cập nhật cấu hình VPN Site-to-Site trên FCI Cloud với IP VPN mới của AWS

Trong ví dụ này, chúng ta tạo kết nối VPN Site-to-Site với các tham số theo sơ đồ dưới đây:

Sơ đồ kết nối FCI và AWS qua Transit Gateway

Cấu hình VPN Site-to-Site trên AWS​

Bước 1. Tạo Customer Gateway. Customer Gateway là tài nguyên trong AWS đại diện cho thiết bị gateway tại mạng on-premises. Để tạo Customer Gateway:

  1. Truy cập: https://console.aws.amazon.com/vpc/
  2. Chọn Customer gateways > Create customer gateway.

Điền các trường bắt buộc. Ở phần IP address, dùng Local IP public của VPN Gateway phía FCI.

Tạo Customer Gateway trên AWS

  1. Chọn Create Customer gateway.

Thông tin chi tiết của Customer gateway vừa tạo:

Chi tiết Customer Gateway

Bước 2. Tạo Transit Gateway. Để tạo Transit Gateway:

  1. Ở khung điều hướng, chọn Transit gateway > Create transit gateway.

    Tạo Transit Gateway

  2. Kết quả sau khi tạo.

    Kết quả tạo Transit Gateway

  3. Attach Transit Gateway vừa tạo vào VPC.

    Attach Transit Gateway vào VPC

Bước 3. Tạo VPN connection.

3.1 Tạo VPN connection dùng Customer Gateway (mục I.4.3) và Transit Gateway đã tạo ở trên. Để tạo VPN connection:

  1. Ở khung điều hướng, chọn Site-to-Site VPN connections.
  2. Chọn Create VPN connection.
  3. Đặt Target gateway type là Transit Gateway.
  4. Chọn Transit Gateway và Customer Gateway đã tạo trước đó.
  5. Ở Routing option, chọn Static. Với static IP prefixes, nhập dải subnet FCI (172.16.8.0/24).
  6. Nhập Local IPv4 network: dải subnet FCI.
  7. Nhập Remote IPv4 network: dải subnet AWS.
  8. Sửa tham số cho tunnel1 và tunnel2.
  9. Chọn Create VPN connection.

Tạo VPN connection trên AWS

Tham số tunnel

3.2 Attach Transit Gateway vào VPN connection.

Attach Transit Gateway vào VPN connection

Kết quả:

Kết quả attach

Bước 4. Cấu hình routing. Cấu hình routing để định tuyến lưu lượng từ VPC (AWS) sang Customer Gateway (FCI) qua Transit Gateway. Thêm route từ VPN connection vào route table (subnet FCI: 172.16.8.0/16).

Cấu hình route table

Bước 5. Cập nhật Security groups. Cập nhật Security groups để cho phép truy cập SSH, RDP và ICMP. Để thêm rule vào Security group:

  1. Ở khung điều hướng, chọn Security groups.

  2. Chọn security group của các instance trong VPC cần cho phép truy cập.

  3. Ở tab Inbound rules, chọn Edit inbound rules. Cho phép dải subnet FCI với All Traffic.

  4. Thêm rule cho phép inbound SSH, RDP và ICMP, rồi chọn Save rules.

    Cập nhật Security group

    VPN Connection khởi tạo thành công với trạng thái 'Available'. Tiếp theo, kiểm tra lại Route table đã cấu hình đúng chưa.

Bước 6. Tải file cấu hình. Sau khi tạo VPN connection, bạn tải được file cấu hình để dùng cho việc cấu hình trên VPC phía FCI. Để tải file cấu hình:

  1. Vào trang VPN connection.

  2. Chọn kết nối vừa tạo > chọn Download configuration.

  3. Chọn Vendor: pfSense, IKE version: IKEv1 (hoặc IKEv2) > chọn Download.

    Tải file cấu hình

    Dùng file cấu hình này để tạo VPN Site-to-Site phía FCI.

Cập nhật cấu hình VPN Site-to-Site trên FCI Cloud với IP VPN mới của AWS​

  1. Dùng IP của Tunnel 1 để cập nhật cấu hình phía FCI:

    IP tunnel 1

  2. Sửa Customer Gateway và nhập IP tunnel của AWS vào trường Remote IP public.

Giờ cấu hình VPN Connection trên FCI Cloud sao cho khớp với các tham số AWS ở trên — IP tunnel, pre-shared key, và thiết lập IKE/IPSec lấy từ file cấu hình đã tải về từ AWS. Xem chi tiết tại Tạo VPN Connection.

Khi hai phía đã khớp, kết nối hoàn tất:

  • Trên FCI Cloud, Operating status của VPN connection hiển thị Online.
  • Trên AWS, vào VPN connections > chọn VPN connection > Tunnel details. Tunnel 1 hiển thị UP.

Kiểm tra kết quả

Khởi động một VM ở mỗi VPC theo dải mạng đã cấu hình trong VPN Site-to-Site, rồi ping qua lại từ hai phía.

Xem thêm​