Cenário 1: o gateway de VPN e a instância do servidor virtual estão na mesma sub-rede

Nesse cenário, o gateway de VPN e a instância do servidor virtual residem na mesma sub-rede na VPC e são protegidos por uma NACL compartilhada. Essa configuração simplifica o controle da rede ao aplicar um conjunto consistente de regras a ambos os recursos.

Essas etapas descrevem o fluxo de pacotes por meio do par de sub-redes NACL compartilhadas, conforme ilustrado no diagrama a seguir.

1. O tráfego criptografado flui entre o gateway local (par) e a sub-rede compartilhada, abrangendo intervalos de IP de ambos os lados, que fazem parte do domínio criptografado (CIDR privado local, CIDR VPC).
2. Depois que o pacote chega ao gateway de VPN da VPC, ele é descriptografado e encaminhado para a instância do servidor virtual na mesma sub-rede.
3. Os pacotes de resposta para sua rede local retornam ao gateway da VPN.
4. Por fim, os pacotes são criptografados e retornam ao gateway local a partir da sub-rede compartilhada.

Quando o gateway de VPN e a instância do servidor virtual estiverem na sub-rede compartilhada e você criar uma NACL compartilhada, deverá adicionar as seguintes regras para o fluxo de tráfego bidirecional entre o gateway local e o par de NACLs da sub-rede compartilhada. Para obter mais informações, consulte Configurando ACLs de rede.

1. O primeiro par de regras de entrada e saída na tabela permite o tráfego de gerenciamento. Esse tráfego usa os protocolos IKE e IPsec para estabelecer e manter a conexão VPN entre o gateway local e o gateway VPN.
2. O segundo par de regras de entrada e saída permite o tráfego do túnel VPN, que flui entre sua rede local e o CIDR da VPC por meio do túnel VPN estabelecido.
3. Opcional: A última regra de entrada permite o tráfego para testes de conectividade, como o ping do gateway de VPN ou da instância do servidor virtual VPC para verificações de acessibilidade e solução de problemas.

Por exemplo, a tabela a seguir mostra os endereços IP de origem e destino para regras de entrada e saída. Neste exemplo, o gateway de VPN e a instância do servidor virtual estão na sub-rede compartilhada CIDR 10.240.0.0/24. O endereço IP CIDR do gateway de VPN é 10.240.0.4/32.

Cenário 2: o gateway de VPN e a instância do servidor virtual estão em sub-redes diferentes na mesma VPC

Nesse cenário, o gateway de VPN e a instância do servidor virtual residem em sub-redes diferentes dentro da mesma VPC, e uma NACL compartilhada é aplicada para gerenciar o tráfego entre eles. Essa configuração requer considerações adicionais para o roteamento de tráfego entre as sub-redes.

Essas etapas descrevem o fluxo de pacotes por meio da NACL compartilhada e das diferentes sub-redes, conforme ilustrado no diagrama a seguir.

1. O tráfego criptografado flui entre seu gateway local (par) e a sub-rede do gateway VPN, abrangendo intervalos de IP de ambos os lados, que fazem parte do domínio criptografado (CIDR privado local, CIDR VPC).
2. Depois que o pacote chega ao gateway da VPN da VPC, ele é descriptografado e encaminhado da sub-rede da VPN para a sub-rede do servidor virtual da VPC.
3. Os pacotes de resposta para sua rede local voltam para a sub-rede VPN.
4. Por fim, os pacotes são criptografados e retornam ao gateway local a partir da sub-rede VPN.

Quando o gateway de VPN e a instância do servidor virtual estiverem em sub-redes diferentes e você criar uma NACL compartilhada, deverá adicionar as seguintes regras para o fluxo de tráfego bidirecional entre o gateway local e as diferentes sub-redes.

Por exemplo, a tabela a seguir mostra os endereços IP de origem e destino para regras de entrada e saída. Neste exemplo, o gateway da VPN está na sub-rede CIDR 10.240.0.0/24 e a instância do servidor virtual está na sub-rede CIDR 10.240.2.0/24.

Cenário 1: gateway de VPN e instância de servidor virtual em sub-redes diferentes com NACLs separadas

Quando o gateway de VPN e a instância do servidor virtual estão em sub-redes diferentes e você cria duas NACLs: uma anexada à sub-rede do gateway de VPN e outra anexada à sub-rede do servidor virtual, é necessário adicionar as seguintes regras para o fluxo de tráfego entre o gateway local e as diferentes sub-redes.

O tráfego criptografado flui entre o gateway local e a sub-rede do gateway da VPN, abrangendo os intervalos de IP locais e da VPC dentro do domínio criptografado. Depois que o pacote chega ao gateway de VPN da VPC, ele é descriptografado e encaminhado para a sub-rede do servidor virtual da VPC. Em seguida, os pacotes de resposta são enviados de volta pela sub-rede VPN, onde são criptografados novamente e retornam ao gateway local.

Cenário 2: gateway de VPN e instância de servidor virtual em diferentes VPCs conectados por meio de um gateway de trânsito

Nesse cenário, o gateway de VPN e a instância do servidor virtual residem em diferentes sub-redes dentro de diferentes VPCs conectadas por um gateway de trânsito. Essa configuração usa o mesmo procedimento dos cenários anteriores para encaminhar pacotes pelas sub-redes em diferentes VPCs.

1. O tráfego criptografado flui entre seu gateway local e a sub-rede do gateway VPN.
2. Depois que o pacote chega ao gateway de VPN da VPC, ele é descriptografado e encaminhado para a sub-rede do servidor virtual da VPC.
3. Em seguida, os pacotes de resposta são enviados de volta pela sub-rede VPN, onde são criptografados novamente e retornam ao gateway local.
4. O gateway de trânsito é responsável por interconectar as duas VPCs e encaminhar os pacotes entre elas.

Quando o gateway de VPN e a instância do servidor virtual estiverem em VPCs diferentes com sub-redes e NACLs diferentes, você deverá adicionar as seguintes regras para o fluxo de tráfego entre o gateway local e as sub-redes em VPCs diferentes.