File konfigurasi perutean dinamis yang dapat diunduh untuk perangkat gateway AWS Site-to-Site VPN pelanggan

Untuk mengunduh file konfigurasi sampel dengan nilai khusus untuk konfigurasi koneksi Site-to-Site VPN Anda, gunakan konsol VPC Amazon, baris AWS perintah, atau Amazon EC2 API. Untuk informasi selengkapnya, lihat Langkah 6: Unduh file konfigurasi.

Anda juga dapat mengunduh file konfigurasi contoh umum untuk perutean dinamis yang tidak menyertakan nilai khusus untuk konfigurasi koneksi Site-to-Site VPN Anda: .zip dynamic-routing-examples

File menggunakan nilai placeholder untuk beberapa komponen. Misalnya, menggunakan:

• Contoh nilai untuk ID koneksi VPN, ID gateway pelanggan, dan ID gateway pribadi virtual

• Placeholder untuk AWS titik akhir alamat IP jarak jauh (luar) (dan) AWS_ENDPOINT_1 AWS_ENDPOINT_2

• Placeholder untuk alamat IP untuk antarmuka eksternal yang dapat dirutekan internet pada perangkat gateway pelanggan () your-cgw-ip-address

• Placeholder untuk nilai kunci yang telah dibagikan sebelumnya () pre-shared-key

• Contoh nilai terowongan di dalam alamat IP.

• Contoh nilai untuk pengaturan MTU.

catatan

Pengaturan MTU yang disediakan dalam file konfigurasi sampel adalah contoh saja. Silakan merujuk ke Praktik terbaik untuk perangkat gateway AWS Site-to-Site VPN pelanggan untuk informasi tentang pengaturan nilai MTU optimal untuk situasi Anda.

Selain memberikan nilai placeholder, file menentukan persyaratan minimum untuk koneksi Site-to-Site VPN,, dan Diffie-Hellman grup 2 di sebagian besar AWS Wilayah AES128 SHA1, dan,, dan Diffie-Hellman grup AES128 14 SHA2 di Wilayah. AWS GovCloud File juga menentukan kunci pra-berbagi untuk autentikasi. Anda harus memodifikasi contoh file konfigurasi untuk memanfaatkan algoritma keamanan tambahan, grup Diffie-Hellman, sertifikat pribadi, dan lalu lintas. IPv6

Diagram berikut memberikan gambaran umum mengenai komponen berbeda yang dikonfigurasi di perangkat gateway pelanggan. Ini termasuk contoh nilai untuk antarmuka terowongan alamat IP.

Perangkat Cisco: informasi tambahan

Beberapa Cisco ASAs hanya mendukung mode Aktif/Siaga. Ketika Anda menggunakan Cisco ini ASAs, Anda hanya dapat memiliki satu terowongan aktif pada satu waktu. Terowongan siaga lainnya menjadi aktif jika terowongan pertama menjadi tidak tersedia. Dengan redundansi ini, Anda harus selalu memiliki konektivitas ke VPC Anda melalui salah satu terowongan.

Cisco ASAs dari versi 9.7.1 dan yang lebih baru mendukung mode Aktif/Aktif. Saat Anda menggunakan Cisco ini ASAs, Anda dapat mengaktifkan kedua terowongan secara bersamaan. Dengan redundansi ini, Anda harus selalu memiliki konektivitas ke VPC Anda melalui salah satu terowongan.

Untuk perangkat Cisco, Anda harus melakukan hal berikut:

• Konfigurasikan antarmuka luar.

• Pastikan bahwa nomor Urutan Kebijakan Crypto ISAKMP unik.

• Pastikan bahwa nomor Urutan Kebijakan Daftar Crypto unik.

• Pastikan bahwa Crypto IPsec Transform Set dan Crypto ISAKMP Policy Sequence selaras dengan IPsec terowongan lain yang dikonfigurasi pada perangkat.

• Pastikan bahwa nomor pemantauan SLA unik.

• Konfigurasikan semua perutean internal yang memindahkan lalu lintas antara perangkat gateway pelanggan dan jaringan lokal Anda.

Perangkat Juniper: informasi tambahan

Informasi berikut berlaku untuk contoh file konfigurasi untuk Juniper J-Series dan SRX perangkat gateway pelanggan.

• Antarmuka luar disebut sebagaige-0/0/0.0.

• Antarmuka terowongan IDs disebut sebagai st0.1 danst0.2.

• Pastikan bahwa Anda mengidentifikasi zona keamanan untuk antarmuka uplink (informasi konfigurasi menggunakan default zona ‘tidak andal’).

• Pastikan bahwa Anda mengidentifikasi zona keamanan untuk antarmuka bagian dalam (informasi konfigurasi menggunakan default zona 'andal').