Scenario 1: il gateway VPN e l'istanza del server virtuale si trovano nella stessa sottorete

In questo scenario, sia il gateway VPN che l'istanza del server virtuale risiedono nella stessa sottorete della VPC e sono protetti da una NACL condivisa. Questa configurazione semplifica il controllo della rete applicando un insieme coerente di regole a entrambe le risorse.

Questi passaggi descrivono il flusso di pacchetti attraverso la coppia di subnet NACL condivise, come illustrato nel diagramma seguente.

1. Il traffico crittografato scorre tra il gateway on-premises (peer) e la subnet condivisa, coprendo gli intervalli IP da entrambi i lati, che fanno parte del dominio crittografato (CIDR privato on-premises, CIDR VPC).
2. Dopo aver raggiunto il gateway VPC VPN, il pacchetto viene decifrato e inoltrato all'istanza del server virtuale nella stessa sottorete.
3. I pacchetti di risposta alla rete locale tornano al gateway VPN.
4. Infine, i pacchetti vengono crittografati e rinviati al gateway on-premises dalla subnet condivisa.

Quando il gateway VPN e l'istanza del server virtuale si trovano nella subnet condivisa e si crea una NACL condivisa, è necessario aggiungere le seguenti regole per il flusso di traffico bidirezionale tra il gateway on-premises e la coppia NACL della subnet condivisa. Per ulteriori informazioni, vedi Configurazione degli ACL di rete.

1. La prima coppia di regole in entrata e in uscita della tabella consente il traffico di gestione. Questo traffico utilizza i protocolli IKE e IPsec per stabilire e mantenere la connessione VPN tra il gateway on-premises e il gateway VPN.
2. La seconda coppia di regole in entrata e in uscita consente il traffico del tunnel VPN, che scorre tra la rete on-premise e il CIDR della VPC attraverso il tunnel VPN stabilito.
3. Opzionale: L'ultima regola in entrata consente il traffico per i test di connettività, come il ping del gateway VPN o dell'istanza del server virtuale VPC per i controlli di raggiungibilità e la risoluzione dei problemi.

Ad esempio, la tabella seguente mostra gli indirizzi IP di origine e di destinazione per le regole in entrata e in uscita. In questo esempio, sia il gateway VPN che l'istanza del server virtuale si trovano nella sottorete condivisa CIDR 10.240.0.0/24. L'indirizzo IP CIDR del gateway VPN è 10.240.0.4/32.

Scenario 2: il gateway VPN e l'istanza del server virtuale si trovano in sottoreti diverse della stessa VPC

In questo scenario, il gateway VPN e l'istanza del server virtuale risiedono in sottoreti diverse all'interno della stessa VPC e viene applicata una NACL condivisa per gestire il traffico tra di loro. Questa configurazione richiede ulteriori considerazioni per l'instradamento del traffico tra le sottoreti.

Queste fasi descrivono il flusso di pacchetti attraverso la NACL condivisa e le diverse sottoreti, come illustrato nel diagramma seguente.

1. Il traffico crittografato scorre tra il gateway on-premises (peer) e la sottorete del gateway VPN, coprendo gli intervalli IP da entrambi i lati, che fanno parte del dominio crittografato (On-premises private CIDR, VPC CIDR).
2. Dopo aver raggiunto il gateway VPC VPN, il pacchetto viene decrittografato e inoltrato dalla subnet VPN alla subnet del server virtuale VPC.
3. I pacchetti di risposta alla rete on-premises tornano alla sottorete VPN.
4. Infine, i pacchetti vengono crittografati e rispediti al gateway on-premises dalla subnet VPN.

Quando il gateway VPN e l'istanza del server virtuale si trovano in sottoreti diverse e si crea una NACL condivisa, è necessario aggiungere le seguenti regole per il flusso di traffico bidirezionale tra il gateway on-premises e le diverse sottoreti.

Ad esempio, la tabella seguente mostra gli indirizzi IP di origine e di destinazione per le regole in entrata e in uscita. In questo esempio, il gateway VPN si trova nella sottorete CIDR 10.240.0.0/24 e l'istanza del server virtuale si trova nella sottorete CIDR 10.240.2.0/24.

Scenario 1: gateway VPN e istanza di server virtuale in sottoreti diverse con NACL separate

Quando il gateway VPN e l'istanza del server virtuale si trovano in sottoreti diverse e si creano due NACL: una collegata alla sottorete del gateway VPN e l'altra alla sottorete del server virtuale, è necessario aggiungere le seguenti regole per il flusso di traffico tra il gateway on-premises e le diverse sottoreti.

Il traffico crittografato scorre tra il gateway on-premises e la subnet del gateway VPN, coprendo sia gli intervalli IP on-premises che quelli VPC all'interno del dominio crittografato. Dopo aver raggiunto il gateway VPC VPN, il pacchetto viene decifrato e inoltrato alla sottorete del server virtuale VPC. I pacchetti di risposta vengono quindi inviati di nuovo attraverso la sottorete VPN, dove vengono nuovamente crittografati e rispediti al gateway on-premises.

Scenario 2: gateway VPN e istanza di server virtuale in VPC diverse collegate attraverso un gateway di transito

In questo scenario, il gateway VPN e l'istanza del server virtuale risiedono in sottoreti diverse all'interno di VPC differenti collegate da un gateway di transito. Questa configurazione utilizza la stessa procedura degli scenari precedenti per inoltrare i pacchetti attraverso le sottoreti in diverse VPC.

1. Il traffico criptato scorre tra il gateway on-premises e la sottorete del gateway VPN.
2. Dopo aver raggiunto il gateway VPC VPN, il pacchetto viene decifrato e inoltrato alla sottorete del server virtuale VPC.
3. I pacchetti di risposta vengono quindi inviati di nuovo attraverso la sottorete VPN, dove vengono nuovamente crittografati e rispediti al gateway on-premises.
4. Il gateway di transito è responsabile dell'interconnessione delle due VPC e dell'inoltro dei pacchetti tra di esse.

Quando il gateway VPN e l'istanza del server virtuale si trovano in VPC diverse con sottoreti diverse e NACL diverse, è necessario aggiungere le seguenti regole per il flusso di traffico tra il gateway on-premise e le sottoreti in VPC diverse.