Gateway ເປັນ spoke ໜຶ່ງຂອງ Hub ຈຶ່ງເຖິງ VPC ໄດ້ຕາມບົດບາດຄືກັບ spoke ອື່ນ ສ້າງ Network Hub ກ່ອນ ແລ້ວຕໍ່ VPC ທີ່ຫ້ອງການ ແລະ ພະນັກງານຕ້ອງໃຊ້ເຂົ້າ Hub (ເບິ່ງ Network Hub)
| ປະເພດ | ສຳລັບ | ເຊື່ອມຕໍ່ແນວໃດ |
|---|---|---|
| Site-to-Site (BGP) | ເຄືອຂ່າຍຫ້ອງການ ແລະ ສາຂາ | Tunnel ຈາກ Firewall ຫຼື Router ຂອງຫ້ອງການ ແລກເສັ້ນທາງກັນດ້ວຍ BGP |
| Client-to-Site | ໂນດບຸກ ແລະ ມືຖືຂອງພະນັກງານ | ໃຊ້ VPN ທີ່ມີໃນຕົວຂອງ Windows, macOS, iPhone, iPad ແລະ Android ເຂົ້າລະບົບດ້ວຍລາຍຊື່ຜູ້ໃຊ້ອົງກອນ |
Gateway ເປັນປະເພດດຽວຕະຫຼອດອາຍຸ ຖ້າຕ້ອງການທັງສອງແບບໃຫ້ສ້າງ 2 ໂຕ
ເລືອກ SKU
SKU ຕັ້ງແຕ່ Gw1 ເຖິງ Gw5 ກຳນົດ throughput ຂອງທັງ Gateway ຈຳນວນ tunnel ຂອງ Site-to-Site (ຫຼາຍສາຂາໃຊ້ throughput ຮ່ວມກັນ) ຫຼື ຈຳນວນຄົນທີ່ເຊື່ອມຕໍ່ພ້ອມກັນຂອງ Client-to-Site ສ່ວນ tunnel ດຽວຮັບໄດ້ສູງສຸດປະມານ 1 Gbps ໜ້າສ້າງສະແດງວ່າແຕ່ລະ SKU ໄດ້ຫຍັງ ແລະ ປ່ຽນ SKU ພາຍຫຼັງໄດ້
- High availability (HA) ເປີດໄວ້ເປັນຄ່າເລີ່ມຕົ້ນ: ມີ instance ສຳຮອງຢູ່ອີກ zone ຖ້າໂຕໜຶ່ງເສຍ ໂຕທີ່ເຫຼືອຮັບວຽກຕໍ່ທັນທີເຕັມ SKU
- ຖ້າບໍ່ເປີດ HA ເມື່ອເຄື່ອງເສຍ ການເຊື່ອມຕໍ່ຈະຢຸດປະມານ 2 ນາທີລະຫວ່າງຍ້າຍ Gateway (IP ເດີມ)
Site-to-Site: ຕໍ່ຫ້ອງການ
- ໃນໜ້າຂອງ Hub ສ່ວນ VPN Gateway ກົດ ສ້າງ VPN Gateway ແລ້ວເລືອກ Site-to-Site (BGP)
- ເລືອກ Project ທີ່ເປັນເຈົ້າຂອງ (ຄິດຄ່າບໍລິການກັບ Project ນີ້) ຕັ້ງຊື່ ເລືອກ Region ທີ່ໃກ້ຫ້ອງການທີ່ສຸດ ແລະ ຊື່ໃນທີ່ຢູ່ ເຊິ່ງປ່ຽນພາຍຫຼັງບໍ່ໄດ້ ຖ້າ Hub ເປັນ Star ໃຫ້ເລືອກ ບົດບາດໃນ Hub ນຳ
- ເລືອກ SKU ແລະ HA ທີ່ ເສັ້ນທາງ (BGP) ໃຊ້ AS number ຂອງເຮົາ ຕາມເດີມ ເວັ້ນແຕ່ອຸປະກອນຂອງທ່ານໃຊ້ເລກນັ້ນຢູ່ແລ້ວ ຊ່ວງ IP ຂອງ VPC ໃນ Hub ຖືກປະກາດໃຫ້ຫ້ອງການອັດຕະໂນມັດ ເປີດ ໃຫ້ຫ້ອງການເຖິງກັນຜ່ານ Hub ຖ້າຕ້ອງການໃຫ້ສາຂາລົມກັນໄດ້
- ກົດ ສ້າງ VPN Gateway ແຕ່ລະ instance ໄດ້ Public IP ຄົງທີ່ຂອງຕົນເອງ
- ກົດ ເພີ່ມ tunnel ໃສ່ Public IP ຂອງອຸປະກອນທີ່ຫ້ອງການ (ແລະ IKE ID ຖ້າອຸປະກອນຢູ່ຫຼັງ NAT) ກັບ AS number ຂອງອຸປະກອນ ແລ້ວເລືອກ ຫຼັກ ຫຼື ສຳຮອງ ເປີດ BFD ເພື່ອໃຫ້ຮູ້ພາຍໃນບໍ່ເທົ່າໃດວິນາທີເມື່ອ tunnel ລົ້ມ (ເປີດທີ່ອຸປະກອນນຳ)
- ກົດ ຄ່າສຳລັບອຸປະກອນ ທີ່ tunnel ລະບົບສະແດງຄ່າທຸກໂຕ pre-shared key (ກົດ ສະແດງ) ແລະ ຕົວຢ່າງການຕັ້ງຄ່າສຳລັບ FortiGate, MikroTik RouterOS 7, Cisco IOS-XE, pfSense / OPNsense ແລະ Palo Alto ນຳໄປຕັ້ງທີ່ອຸປະກອນຂອງຫ້ອງການ
ຖ້າເປີດ HA ໃຫ້ເຮັດ tunnel ຈາກອຸປະກອນຫ້ອງການໄປທຸກ instance ແລ້ວເປີດ BGP multipath (ECMP) ທີ່ອຸປະກອນເພື່ອໃຊ້ທຸກເສັ້ນພ້ອມກັນ ຫຼື ຕັ້ງບາງເສັ້ນເປັນສຳຮອງ
Client-to-Site: ໃຫ້ພະນັກງານເຊື່ອມຕໍ່
- ສ້າງລາຍຊື່ຜູ້ໃຊ້ອົງກອນໃນ Project ດຽວກັນທີ່ Identity ຖ້າບັນຊີຍັງບໍ່ມີໂດເມນອົງກອນ ເຈົ້າຂອງບັນຊີຕ້ອງສ້າງທີ່ໜ້ານີ້ກ່ອນ ລາຍຊື່ດຽວກັນນີ້ໃຊ້ເຂົ້າລະບົບ Wi-Fi ໄດ້ນຳ
- ສ້າງ VPN Gateway ເລືອກ Client-to-Site ແລ້ວເລືອກ SKU ແລະ ລາຍຊື່ຜູ້ໃຊ້ອົງກອນ
- ຖ້າຕ້ອງການ ຕັ້ງ ຊ່ວງ IP ຂອງເຄື່ອງທີ່ເຊື່ອມຕໍ່ (ປ່ອຍຫວ່າງໃຫ້ລະບົບເລືອກຊ່ວງທີ່ບໍ່ທັບກັບ Hub ແລະ ປ່ຽນພາຍຫຼັງບໍ່ໄດ້) DNS ຊ່ວງ IP ເພີ່ມທີ່ຈະສົ່ງຜ່ານ VPN ຫຼື ສົ່ງທຸກການເຊື່ອມຕໍ່ຜ່ານ VPN (full tunnel) ເພື່ອໃຫ້ອອກອິນເຕີເນັດດ້ວຍ Static IP ຂອງ Gateway
- ສົ່ງຂັ້ນຕອນໃນ ວິທີຕັ້ງຄ່າເຄື່ອງ ໃຫ້ພະນັກງານ: ຄຳສັ່ງ PowerShell ສຳລັບ Windows ໂປຣໄຟລ໌ໃຫ້ດາວໂຫຼດສຳລັບ macOS, iPhone ແລະ iPad ແລະ ຄ່າທີ່ຕ້ອງພິມສຳລັບ Android ພະນັກງານເຂົ້າລະບົບເປັນ
ຊື່ຜູ້ໃຊ້@ຊື່ໃນທີ່ຢູ່ດ້ວຍລະຫັດຜ່ານຂອງຕົນເອງ
ຜູ້ໃຊ້ທີ່ເຊື່ອມຕໍ່ຢູ່ ໃນໜ້າຂອງ Gateway ສະແດງວ່າໃຜເຊື່ອມຕໍ່ຢູ່ ອັບເດດທຸກເຄິ່ງນາທີ
ບໍລິການຍັງຮັບສະເພາະທີ່ Security Group ອະນຸຍາດ ເພີ່ມກົດສຳລັບຊ່ວງ IP ຂອງຫ້ອງການ ຫຼື ຊ່ວງ IP ຂອງເຄື່ອງທີ່ເຊື່ອມຕໍ່ ຫຼື ເລືອກຕົ້ນທາງເປັນ Network Hub
ຖ້າພົບບັນຫາ
Tunnel ຂຶ້ນວ່າບໍ່ເຊື່ອມຕໍ່ຕະຫຼອດ
ກວດວ່າອຸປະກອນຫ້ອງການໃຊ້ IP ຂອງເຮົາຈາກ ຄ່າສຳລັບອຸປະກອນ ເປັນ remote gateway ໃຊ້ pre-shared key ກົງກັນ ໃຊ້ IKEv2 ແລະ tunnel ແບບ route-based (VTI) ແລະ ບໍ່ໄດ້ບລັອກ UDP 500 ແລະ 4500 ຖ້າອຸປະກອນຢູ່ຫຼັງ NAT ໃຫ້ໃສ່ IKE ID ທີ່ tunnel ແລະ ປິດ ໃຫ້ Gateway ເລີ່ມເຊື່ອມຕໍ່ນຳ
Tunnel ເຊື່ອມຕໍ່ແລ້ວ ແຕ່ຫ້ອງການເຂົ້າບໍລິການບໍ່ໄດ້
ກວດວ່າ BGP ທີ່ອຸປະກອນໄດ້ຮັບຊ່ວງ IP ຕາມ ຊ່ວງ IP ທີ່ປະກາດໃຫ້ຫ້ອງການ ແລ້ວ ບົດບາດຂອງ Gateway ໃນ Hub ເຖິງ VPC ນັ້ນໄດ້ ແລະ ມີກົດໃນ Security Group ທີ່ອະນຸຍາດຊ່ວງ IP ຂອງຫ້ອງການ
ເພີ່ມ tunnel ບໍ່ໄດ້ອີກ
SKU ນີ້ໃຊ້ tunnel ຄົບແລ້ວ ປ່ຽນເປັນ SKU ທີ່ໃຫຍ່ຂຶ້ນໃນການຕັ້ງຄ່າຂອງ Gateway ເພື່ອຕໍ່ສາຂາເພີ່ມ
ພະນັກງານເຂົ້າລະບົບບໍ່ໄດ້
ຕ້ອງເຂົ້າລະບົບເປັນ ຊື່ຜູ້ໃຊ້@ຊື່ໃນທີ່ຢູ່ ດ້ວຍຜູ້ໃຊ້ຈາກລາຍຊື່ຜູ້ໃຊ້ອົງກອນທີ່ເລືອກໄວ້ໃຫ້ Gateway ກວດວ່າມີຜູ້ໃຊ້ນັ້ນ ແລະ ລະຫັດຜ່ານຖືກຕ້ອງ