Scénario 1 : la passerelle VPN et l'instance de serveur virtuel se trouvent dans le même sous-réseau

Dans ce scénario, la passerelle VPN et l'instance de serveur virtuel résident dans le même sous-réseau du VPC et sont protégées par une NACL partagée. Cette configuration simplifie le contrôle du réseau en appliquant un ensemble cohérent de règles aux deux ressources.

Ces étapes décrivent le flux de paquets à travers la paire de sous-réseaux NACL partagée, comme illustré dans le diagramme suivant.

1. Le trafic crypté circule entre votre passerelle sur site (homologue) et le sous-réseau partagé, couvrant les plages IP des deux côtés, qui font partie du domaine crypté (CIDR privé sur site, VPC CIDR).
2. Une fois que le paquet atteint la passerelle VPC VPN, il est décrypté et transmis à l'instance de serveur virtuel dans le même sous-réseau.
3. Les paquets de réponse à votre réseau sur site retournent à la passerelle VPN.
4. Enfin, les paquets sont cryptés et renvoyés à la passerelle sur site à partir du sous-réseau partagé.

Lorsque la passerelle VPN et l'instance de serveur virtuel se trouvent dans le sous-réseau partagé et que vous créez un NACL partagé, vous devez ajouter les règles suivantes pour le flux de trafic bidirectionnel entre votre passerelle sur site et la paire de NACL du sous-réseau partagé. Pour plus d'informations, voir Configuration des listes de contrôle d'accès réseau.

1. La première paire de règles d'entrée et de sortie du tableau autorise le trafic de gestion. Ce trafic utilise les protocoles IKE et IPsec pour établir et maintenir la connexion VPN entre votre passerelle sur site et la passerelle VPN.
2. La deuxième paire de règles entrantes et sortantes autorise le trafic du tunnel VPN, qui circule entre votre réseau sur site et le CIDR du VPC via le tunnel VPN établi.
3. Facultatif : La dernière règle d'entrée autorise le trafic pour les tests de connectivité, tels que le ping de la passerelle VPN ou de l'instance de serveur virtuel VPC pour les vérifications de joignabilité et le dépannage.

Par exemple, le tableau suivant indique les adresses IP source et destination pour les règles d'entrée et de sortie. Dans cet exemple, la passerelle VPN et l'instance de serveur virtuel se trouvent toutes deux dans le sous-réseau partagé CIDR 10.240.0.0/24. L'adresse IP CIDR de la passerelle VPN est 10.240.0.4/32.

Scénario 2 : la passerelle VPN et l'instance de serveur virtuel se trouvent dans des sous-réseaux différents du même VPC

Dans ce scénario, la passerelle VPN et l'instance de serveur virtuel résident dans des sous-réseaux différents au sein du même VPC, et une NACL partagée est appliquée pour gérer le trafic entre eux. Cette configuration nécessite des considérations supplémentaires pour l'acheminement du trafic entre les sous-réseaux.

Ces étapes décrivent le flux de paquets à travers la NACL partagée et les différents sous-réseaux, comme illustré dans le diagramme suivant.

1. Le trafic chiffré circule entre votre passerelle sur site (homologue) et le sous-réseau de la passerelle VPN, couvrant les plages IP des deux côtés, qui font partie du domaine chiffré (On-premises private CIDR, VPC CIDR).
2. Une fois que le paquet atteint la passerelle VPC VPN, il est décrypté et transmis du sous-réseau VPN au sous-réseau du serveur virtuel VPC.
3. Les paquets de réponse à destination de votre réseau sur site repartent vers le sous-réseau VPN.
4. Enfin, les paquets sont cryptés et renvoyés à la passerelle sur site à partir du sous-réseau VPN.

Lorsque la passerelle VPN et l'instance de serveur virtuel se trouvent dans des sous-réseaux différents et que vous créez une NACL partagée, vous devez ajouter les règles suivantes pour un flux de trafic bidirectionnel entre votre passerelle sur site et les différents sous-réseaux.

Par exemple, le tableau suivant indique les adresses IP source et destination pour les règles d'entrée et de sortie. Dans cet exemple, la passerelle VPN se trouve dans le sous-réseau CIDR 10.240.0.0/24 et l'instance de serveur virtuel se trouve dans le sous-réseau CIDR 10.240.2.0/24.

Scénario 1 : passerelle VPN et instance de serveur virtuel dans des sous-réseaux différents avec des NACL distincts

Lorsque la passerelle VPN et l'instance de serveur virtuel se trouvent dans des sous-réseaux différents et que vous créez deux NACL : l'une attachée au sous-réseau de la passerelle VPN et l'autre attachée au sous-réseau du serveur virtuel, vous devez ajouter les règles suivantes pour le flux de trafic entre votre passerelle sur site et les différents sous-réseaux.

Le trafic crypté circule entre votre passerelle sur site et le sous-réseau de la passerelle VPN, couvrant à la fois les plages IP sur site et VPC au sein du domaine crypté. Une fois que le paquet atteint la passerelle VPC VPN, il est décrypté et transmis au sous-réseau du serveur virtuel VPC. Les paquets de réponse sont ensuite renvoyés via le sous-réseau VPN, où ils sont à nouveau cryptés et renvoyés à la passerelle sur site.

Scénario 2 : passerelle VPN et instance de serveur virtuel dans différents VPC connectés par une passerelle de transit

Dans ce scénario, la passerelle VPN et l'instance de serveur virtuel résident dans des sous-réseaux différents au sein de différents VPC connectés par une passerelle de transit. Cette configuration utilise la même procédure que les scénarios précédents pour acheminer les paquets à travers les sous-réseaux des différents VPC.

1. Le trafic crypté circule entre votre passerelle sur site et le sous-réseau de la passerelle VPN.
2. Une fois que le paquet atteint la passerelle VPC VPN, il est décrypté et transmis au sous-réseau du serveur virtuel VPC.
3. Les paquets de réponse sont ensuite renvoyés via le sous-réseau VPN, où ils sont à nouveau cryptés et renvoyés à la passerelle sur site.
4. La passerelle de transit est chargée d'interconnecter les deux VPC et de transmettre les paquets entre eux.

Lorsque la passerelle VPN et l'instance de serveur virtuel se trouvent dans différents VPC avec différents sous-réseaux et différentes NACL, vous devez ajouter les règles suivantes pour le flux de trafic entre votre passerelle sur site et les sous-réseaux dans différents VPC.