Gateway เป็น spoke หนึ่งของ Hub จึงถึง VPC ได้ตามบทบาทเหมือน spoke อื่น สร้าง Network Hub ก่อน แล้วต่อ VPC ที่ออฟฟิศและพนักงานต้องใช้เข้า Hub (ดู Network Hub)
| ประเภท | สำหรับ | เชื่อมต่ออย่างไร |
|---|---|---|
| Site-to-Site (BGP) | เครือข่ายออฟฟิศและสาขา | Tunnel จาก Firewall หรือ Router ของออฟฟิศ แลกเส้นทางกันด้วย BGP |
| Client-to-Site | โน้ตบุ๊กและมือถือของพนักงาน | ใช้ VPN ที่มีในตัวของ Windows, macOS, iPhone, iPad และ Android ล็อกอินด้วยรายชื่อผู้ใช้องค์กร |
Gateway เป็นประเภทเดียวตลอดอายุ ถ้าต้องการทั้งสองแบบให้สร้าง 2 ตัว
เลือก SKU
SKU ตั้งแต่ Gw1 ถึง Gw5 กำหนด throughput ของทั้ง Gateway จำนวน tunnel ของ Site-to-Site (หลายสาขาใช้ throughput ร่วมกัน) หรือจำนวนคนที่เชื่อมต่อพร้อมกันของ Client-to-Site ส่วน tunnel เดียวรับได้สูงสุดประมาณ 1 Gbps หน้าสร้างแสดงว่าแต่ละ SKU ได้อะไร และเปลี่ยน SKU ภายหลังได้
- High availability (HA) เปิดไว้เป็นค่าเริ่มต้น: มี instance สำรองอยู่อีก zone ถ้าตัวหนึ่งเสีย ตัวที่เหลือรับงานต่อทันทีเต็ม SKU
- ถ้าไม่เปิด HA เมื่อเครื่องเสีย การเชื่อมต่อจะหยุดประมาณ 2 นาทีระหว่างย้าย Gateway (IP เดิม)
Site-to-Site: ต่อออฟฟิศ
- ในหน้าของ Hub ส่วน VPN Gateway กด สร้าง VPN Gateway แล้วเลือก Site-to-Site (BGP)
- เลือก Project ที่เป็นเจ้าของ (คิดค่าบริการกับ Project นี้) ตั้งชื่อ เลือก Region ที่ใกล้ออฟฟิศที่สุด และ ชื่อในที่อยู่ ซึ่งเปลี่ยนภายหลังไม่ได้ ถ้า Hub เป็น Star ให้เลือก บทบาทใน Hub ด้วย
- เลือก SKU และ HA ที่ เส้นทาง (BGP) ใช้ AS number ของเรา ตามเดิม เว้นแต่อุปกรณ์ของคุณใช้เลขนั้นอยู่แล้ว ช่วง IP ของ VPC ใน Hub ถูกประกาศให้ออฟฟิศอัตโนมัติ เปิด ให้ออฟฟิศถึงกันผ่าน Hub ถ้าต้องการให้สาขาคุยกันได้
- กด สร้าง VPN Gateway แต่ละ instance ได้ Public IP คงที่ของตัวเอง
- กด เพิ่ม tunnel ใส่ Public IP ของอุปกรณ์ที่ออฟฟิศ (และ IKE ID ถ้าอุปกรณ์อยู่หลัง NAT) กับ AS number ของอุปกรณ์ แล้วเลือก หลัก หรือ สำรอง เปิด BFD เพื่อให้รู้ภายในไม่กี่วินาทีเมื่อ tunnel ล่ม (เปิดที่อุปกรณ์ด้วย)
- กด ค่าสำหรับอุปกรณ์ ที่ tunnel ระบบแสดงค่าทุกตัว pre-shared key (กด แสดง) และตัวอย่างการตั้งค่าสำหรับ FortiGate, MikroTik RouterOS 7, Cisco IOS-XE, pfSense / OPNsense และ Palo Alto นำไปตั้งที่อุปกรณ์ของออฟฟิศ
ถ้าเปิด HA ให้ทำ tunnel จากอุปกรณ์ออฟฟิศไปทุก instance แล้วเปิด BGP multipath (ECMP) ที่อุปกรณ์เพื่อใช้ทุกเส้นพร้อมกัน หรือตั้งบางเส้นเป็นสำรอง
Client-to-Site: ให้พนักงานเชื่อมต่อ
- สร้างรายชื่อผู้ใช้องค์กรใน Project เดียวกันที่ Identity ถ้าบัญชียังไม่มีโดเมนองค์กร เจ้าของบัญชีต้องสร้างที่หน้านี้ก่อน รายชื่อเดียวกันนี้ใช้ล็อกอิน Wi-Fi ได้ด้วย
- สร้าง VPN Gateway เลือก Client-to-Site แล้วเลือก SKU และ รายชื่อผู้ใช้องค์กร
- ถ้าต้องการ ตั้ง ช่วง IP ของเครื่องที่เชื่อมต่อ (เว้นว่างให้ระบบเลือกช่วงที่ไม่ทับกับ Hub และเปลี่ยนภายหลังไม่ได้) DNS ช่วง IP เพิ่มที่จะส่งผ่าน VPN หรือ ส่งทุกการเชื่อมต่อผ่าน VPN (full tunnel) เพื่อให้ออกอินเทอร์เน็ตด้วย Static IP ของ Gateway
- ส่งขั้นตอนใน วิธีตั้งค่าเครื่อง ให้พนักงาน: คำสั่ง PowerShell สำหรับ Windows โปรไฟล์ให้ดาวน์โหลดสำหรับ macOS, iPhone และ iPad และค่าที่ต้องพิมพ์สำหรับ Android พนักงานล็อกอินเป็น
ชื่อผู้ใช้@ชื่อในที่อยู่ด้วยรหัสผ่านของตัวเอง
ผู้ใช้ที่เชื่อมต่ออยู่ ในหน้าของ Gateway แสดงว่าใครเชื่อมต่ออยู่ อัปเดตทุกครึ่งนาที
บริการยังรับเฉพาะที่ Security Group อนุญาต เพิ่มกฎสำหรับช่วง IP ของออฟฟิศหรือช่วง IP ของเครื่องที่เชื่อมต่อ หรือเลือกต้นทางเป็น Network Hub
ถ้าเจอปัญหา
Tunnel ขึ้นว่าไม่เชื่อมต่อตลอด
ตรวจว่าอุปกรณ์ออฟฟิศใช้ IP ของเราจาก ค่าสำหรับอุปกรณ์ เป็น remote gateway ใช้ pre-shared key ตรงกัน ใช้ IKEv2 และ tunnel แบบ route-based (VTI) และไม่ได้บล็อก UDP 500 และ 4500 ถ้าอุปกรณ์อยู่หลัง NAT ให้ใส่ IKE ID ที่ tunnel และปิด ให้ Gateway เริ่มเชื่อมต่อด้วย
Tunnel เชื่อมต่อแล้ว แต่ออฟฟิศเข้าบริการไม่ได้
ตรวจว่า BGP ที่อุปกรณ์ได้รับช่วง IP ตาม ช่วง IP ที่ประกาศให้ออฟฟิศ แล้ว บทบาทของ Gateway ใน Hub ถึง VPC นั้นได้ และมีกฎใน Security Group ที่อนุญาตช่วง IP ของออฟฟิศ
เพิ่ม tunnel ไม่ได้อีก
SKU นี้ใช้ tunnel ครบแล้ว เปลี่ยนเป็น SKU ที่ใหญ่ขึ้นในการตั้งค่าของ Gateway เพื่อต่อสาขาเพิ่ม
พนักงานล็อกอินไม่ได้
ต้องล็อกอินเป็น ชื่อผู้ใช้@ชื่อในที่อยู่ ด้วยผู้ใช้จากรายชื่อผู้ใช้องค์กรที่เลือกไว้ให้ Gateway ตรวจว่ามีผู้ใช้นั้นและรหัสผ่านถูกต้อง