Escenario 1: La pasarela VPN y la instancia de servidor virtual están en la misma subred

En este escenario, tanto la pasarela VPN como la instancia de servidor virtual residen dentro de la misma subred en la VPC y están protegidas por una NACL compartida. Esta configuración simplifica el control de la red aplicando un conjunto coherente de reglas a ambos recursos.

Estos pasos describen el flujo de paquetes a través del par de subredes NACL compartidas, como se ilustra en el siguiente diagrama.

1. El tráfico cifrado fluye entre su pasarela local (peer) y la subred compartida, cubriendo los rangos IP de ambos lados, que forman parte del dominio cifrado (CIDR privado local, CIDR VPC).
2. Una vez que el paquete llega a la pasarela VPN de la VPC, se descifra y se reenvía a la instancia del servidor virtual en la misma subred.
3. Los paquetes de respuesta a su red local viajan de vuelta a la pasarela VPN.
4. Por último, los paquetes se cifran y se devuelven a la pasarela local desde la subred compartida.

Cuando la pasarela VPN y la instancia de servidor virtual se encuentran en la subred compartida y crea una NACL compartida, debe agregar las siguientes reglas para el flujo de tráfico bidireccional entre su pasarela local y el par NACL de subred compartida. Para obtener más información, consulte Configuración de las ACL de red.

1. El primer par de reglas de entrada y salida de la tabla permite el tráfico de gestión. Este tráfico utiliza los protocolos IKE e IPsec para establecer y mantener la conexión VPN entre su pasarela local y la pasarela VPN.
2. El segundo par de reglas de entrada y salida permite el tráfico del túnel VPN, que fluye entre su red local y el CIDR de la VPC a través del túnel VPN establecido.
3. Opcional: La última regla de entrada permite el tráfico para pruebas de conectividad, como hacer ping a la pasarela VPN o a la instancia de servidor virtual VPC para comprobaciones de alcanzabilidad y solución de problemas.

Por ejemplo, la siguiente tabla muestra las direcciones IP de origen y destino para las reglas de entrada y salida. En este ejemplo, tanto la pasarela VPN como la instancia de servidor virtual se encuentran en la subred compartida CIDR 10.240.0.0/24. La dirección IP CIDR de la pasarela VPN es 10.240.0.4/32.

Escenario 2: La pasarela VPN y la instancia de servidor virtual están en subredes diferentes en la misma VPC

En este escenario, la pasarela VPN y la instancia de servidor virtual residen en subredes diferentes dentro de la misma VPC, y se aplica una NACL compartida para gestionar el tráfico entre ellas. Esta configuración requiere consideraciones adicionales para el enrutamiento del tráfico entre las subredes.

Estos pasos describen el flujo de paquetes a través del NACL compartido y las diferentes subredes, como se ilustra en el siguiente diagrama.

1. El tráfico cifrado fluye entre su pasarela local (peer) y la subred de la pasarela VPN, cubriendo los rangos IP de ambos lados, que forman parte del dominio cifrado (CIDR privado local, CIDR VPC).
2. Una vez que el paquete llega a la pasarela VPN de la VPC, se descifra y se reenvía desde la subred VPN a la subred del servidor virtual de la VPC.
3. Los paquetes de respuesta a su red local viajan de vuelta a la subred VPN.
4. Por último, los paquetes se cifran y se devuelven a la pasarela local desde la subred VPN.

Cuando la pasarela VPN y la instancia de servidor virtual se encuentran en subredes diferentes y crea una NACL compartida, debe añadir las siguientes reglas para el flujo de tráfico bidireccional entre su pasarela local y las diferentes subredes.

Por ejemplo, la siguiente tabla muestra las direcciones IP de origen y destino para las reglas de entrada y salida. En este ejemplo, la pasarela VPN está en la subred CIDR 10.240.0.0/24 y la instancia de servidor virtual está en la subred CIDR 10.240.2.0/24.

Escenario 1: Pasarela VPN e instancia de servidor virtual en subredes diferentes con NACLs separadas

Cuando la pasarela VPN y la instancia del servidor virtual se encuentran en subredes diferentes y crea dos NACL: una adjunta a la subred de la pasarela VPN y la otra adjunta a la subred del servidor virtual, debe agregar las siguientes reglas para el flujo de tráfico entre su pasarela local y las diferentes subredes.

El tráfico cifrado fluye entre su puerta de enlace local y la subred de la puerta de enlace VPN, cubriendo tanto los rangos IP locales como los de la VPC dentro del dominio cifrado. Una vez que el paquete llega a la pasarela VPN de la VPC, se descifra y se reenvía a la subred del servidor virtual de la VPC. A continuación, los paquetes de respuesta se envían de vuelta a través de la subred VPN, donde se vuelven a cifrar y se devuelven a la pasarela local.

Escenario 2: Pasarela VPN e instancia de servidor virtual en diferentes VPC conectadas a través de una pasarela de tránsito

En este escenario, la pasarela VPN y la instancia de servidor virtual residen en diferentes subredes dentro de diferentes VPC conectadas por una pasarela de tránsito. Esta configuración utiliza el mismo procedimiento que los escenarios anteriores para reenviar paquetes a través de las subredes en diferentes VPC.

1. El tráfico cifrado fluye entre su puerta de enlace local y la subred de la puerta de enlace VPN.
2. Una vez que el paquete llega a la pasarela VPN de la VPC, se descifra y se reenvía a la subred del servidor virtual de la VPC.
3. A continuación, los paquetes de respuesta se envían de vuelta a través de la subred VPN, donde se vuelven a cifrar y se devuelven a la pasarela local.
4. La pasarela de tránsito se encarga de interconectar las dos VPC y de reenviar los paquetes entre ellas.

Cuando la puerta de enlace VPN y la instancia de servidor virtual se encuentran en diferentes VPC con diferentes subredes y diferentes NACL, debe agregar las siguientes reglas para el flujo de tráfico entre su puerta de enlace local y las subredes en diferentes VPC.