Archivos de configuración de enrutamiento dinámico descargables para el dispositivo de puerta de enlace del AWS Site-to-Site VPN cliente

Para descargar un archivo de configuración de muestra con valores específicos para la configuración de su Site-to-Site VPN conexión, utilice la VPC consola de Amazon, la línea de AWS comandos o Amazon EC2API. Para obtener más información, consulte Paso 6: Descargar el archivo de configuración.

También puede descargar archivos de configuración genéricos de ejemplo para el enrutamiento dinámico que no incluyen valores específicos de la configuración de su Site-to-Site VPN conexión: dynamic-routing-examples.zip

Los archivos utilizan valores de marcadores de posición para algunos componentes. Por ejemplo, usan:

• Valores de ejemplo para el ID de VPN conexión, el ID de la puerta de enlace del cliente y el ID de la puerta de enlace privada virtual

• Marcadores de posición para los AWS puntos finales de la dirección IP remota (externa) (AWS_ENDPOINT_1y) AWS_ENDPOINT_2

• Un marcador de posición para la dirección IP de la interfaz externa enrutable a Internet del dispositivo de pasarela del cliente () your-cgw-ip-address

• Un marcador de posición para el valor clave previamente compartido () pre-shared-key

• Valores de ejemplo de direcciones IP interiores para el túnel.

• Valores de ejemplo para configurar. MTU

nota

MTUlos ajustes proporcionados en los archivos de configuración de ejemplo son solo ejemplos. Consulte Prácticas recomendadas para un dispositivo de pasarela de AWS Site-to-Site VPN cliente para obtener información sobre cómo establecer el MTU valor óptimo para su situación.

Además de proporcionar valores de marcador de posición, los archivos especifican los requisitos mínimos para una Site-to-Site VPN conexión del grupo 2 de AES128 Diffie-Hellman en la mayoría de AWS las regiones y AES128 del grupo 14 de Diffie-Hellman en las regiones. SHA1 SHA2 AWS GovCloud También se especifican claves previamente compartidas para la autenticación. Debe modificar el archivo de configuración de ejemplo para aprovechar los algoritmos de seguridad adicionales, los grupos de Diffie-Hellman, los certificados privados y el tráfico. IPv6

En el siguiente diagrama se ofrece una descripción general de los diferentes componentes que se configuran en el dispositivo de gateway de cliente. Incluye valores de ejemplo para las direcciones IP de la interfaz del túnel.

Dispositivos Cisco: información adicional

Algunos Cisco ASAs solo admiten el modo activo/en espera. Cuando utiliza estos dispositivos CiscoASAs, solo puede tener un túnel activo a la vez. El otro túnel en espera se activará si el primer túnel se vuelve no disponible. Con esta redundancia, siempre debe tener conectividad a VPC través de uno de los túneles.

ASAsA partir de la versión 9.7.1 y posteriores, Cisco admite el modo activo/activo. Al utilizar estos dispositivos CiscoASAs, puede tener ambos túneles activos al mismo tiempo. Con esta redundancia, siempre debe tener conectividad a VPC través de uno de los túneles.

Para los dispositivos Cisco, debe hacer lo siguiente:

• Configurar la interfaz externa.

• Asegúrese de que el número de secuencia ISAKMP de la política criptográfica sea único.

• Asegurarse de que el número de secuencia de política de Crypto List es único.

• Asegúrese de que el conjunto de IPsec transformación criptográfica y la secuencia de ISAKMP políticas criptográficas estén en armonía con cualquier otro IPsec túnel que esté configurado en el dispositivo.

• Asegúrese de que el número de SLA monitoreo sea único.

• Configurar todo el direccionamiento interno que mueve el tráfico entre el dispositivo de gateway de cliente y su red local.

Dispositivos Juniper: información adicional

La siguiente información se aplica a los archivos de configuración de ejemplo para los dispositivos Juniper J-Series y SRX Customer Gateway.

• La interfaz exterior se denomina. ge-0/0/0.0

• La interfaz del túnel IDs se denomina st0.1 yst0.2.

• Asegúrese de identificar la zona de seguridad para la interfaz del enlace de subida (la información de configuración utiliza la zona predeterminada "poco fiable").

• Asegúrese de identificar la zona de seguridad para la interfaz interior (la información de configuración utiliza la zona predeterminada "de confianza").