Opciones de túnel para la conexión de AWS Site-to-Site VPN - AWS Site-to-Site VPN

Opciones de túnel para la conexión de AWS Site-to-Site VPN

Utilice una conexión de Site-to-Site VPN para conectar la red remota a una VPC. Cada conexión Site-to-Site VPN tiene dos túneles y cada uno utiliza una dirección IP pública única. Es importante configurar ambos túneles para la redundancia. Cuando un túnel deja de estar disponible (por ejemplo, por tareas de mantenimiento), el tráfico de red se direcciona automáticamente al túnel disponible de esa conexión de Site-to-Site VPN específica.

El siguiente diagrama muestra los dos túneles de la conexión de VPN. Cada túnel termina en una zona de disponibilidad diferente para aumentar la disponibilidad. El tráfico que sale desde la red de las instalaciones a AWS utiliza ambos túneles. El tráfico que sale desde AWS a la red en las instalaciones prefiere uno de los túneles, pero puede conmutarse por error automáticamente al otro túnel si se produce un error en el lado de AWS.

Especifica una conexión de VPN entre una puerta de enlace privada virtual y una puerta de enlace de cliente.

Cuando cree una conexión de Site-to-Site VPN, tendrá que descargar un archivo de configuración específico para su dispositivo de gateway de cliente, que contendrá información para configurar el dispositivo y también cada túnel. Si lo desea, puede especificar usted mismo algunas de las opciones del túnel al crear la conexión de Site-to-Site VPN. De lo contrario, AWS proporciona los valores predeterminados.

nota

Los puntos de enlace de túnel de Site-to-Site VPN evalúan las propuestas de la gateway del cliente comenzando por el valor configurado más bajo de la siguiente lista, independientemente del orden de la propuesta de la gateway del cliente. Puede utilizar el comando modify-vpn-connection-options para restringir la lista de opciones que aceptarán los puntos de enlace de AWS. Para obtener más información, consulte lasopciones de modify-vpn-connection en la Referencia de la línea de comandos de Amazon EC2.

A continuación, se muestran las opciones de túnel que puede configurar.

nota

Algunas opciones de túnel tienen varios valores predeterminados. Por ejemplo, las versiones de IKE tienen dos valores de opciones de túnel predeterminados: ikev1 y ikev2. Todos los valores predeterminados se asociarán a esa opción de túnel si no elige valores específicos. Haga clic para eliminar cualquier valor predeterminado que no desee asociar a la opción de túnel. Por ejemplo, si solo desea utilizar ikev1 para la versión de IKE, haga clic en ikev2 para eliminarla.

Tiempo de espera de detección de pares muertos (DPD)

El número de segundos después del cual se produce un tiempo de espera de DPD. Un tiempo de espera de DPD de 30 segundos significa que el punto de conexión de la VPN considerará que el par está muerto 30 segundos después del primer keep-alive erróneo. Puede especificar 30 o un valor superior.

Predeterminado: 40

Acción de tiempo de espera de DPD

La acción que se debe realizar después de que se agote el tiempo de espera de detección de pares muertos (DPD). Puede especificar lo siguiente:

  • Clear: finalice la sesión de IKE cuando se cumpla el tiempo de espera de DPD (detenga el túnel y borre las rutas)

  • None: no realice ninguna acción cuando se cumpla el tiempo de espera de DPD

  • Restart: reinicie la sesión de IKE cuando se cumpla el tiempo de espera de DPD

Para obtener más información, consulte AWS Site-to-Site VPNOpciones de inicio de túnel de .

Valor predeterminado: Clear

Opciones de registro de VPN

Con los registros de Site-to-Site VPN, puede obtener acceso a detalles sobre el establecimiento del túnel de seguridad IP (IPsec), las negociaciones de intercambio de claves de Internet (IKE) y los mensajes del protocolo de detección de pares muertos (DPD).

Para obtener más información, consulte AWS Site-to-Site VPNRegistros de .

Formatos de registro disponibles: json, text

Versiones de IKE

Las versiones de IKE permitidas para el túnel de VPN. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: ikev1, ikev2

Túnel interior de CIDR IPv4

Intervalo de direcciones IPv4 internas (internas) para el túnel VPN. Pude especificar un bloque de CIDR de tamaño /30 desde el rango 169.254.0.0/16. El bloque de CIDR debe ser único en todas las conexiones de Site-to-Site VPN que utilicen la misma gateway privada virtual.

nota

El bloque de CIDR no tiene por qué ser único en todas las conexiones de una puerta de enlace de tránsito. En caso de no ser único, puede crear un conflicto en la puerta de enlace de cliente. Tenga cuidado cuando vuelva a utilizar el mismo bloque de CIDR en varias conexiones de Site-to-Site VPN de una puerta de enlace de tránsito.

Los siguientes bloques de CIDR están reservados y no se pueden utilizar:

  • 169.254.0.0/30

  • 169.254.1.0/30

  • 169.254.2.0/30

  • 169.254.3.0/30

  • 169.254.4.0/30

  • 169.254.5.0/30

  • 169.254.169.252/30

Predeterminado: un bloque de CIDR IPv4 de tamaño /30 del intervalo 169.254.0.0/16.

Almacenamiento de claves compartidas previamente

Tipo de almacenamiento de la clave compartida previamente:

  • Estándar: la clave compartida previamente se guarda directamente en el servicio Site-to-Site VPN.

  • Secrets Manager: la clave compartida previamente se almacena mediante AWS Secrets Manager. Para obtener más información acerca de Secrets Manager, consulte Características de seguridad mejoradas con Secrets Manager.

Túnel interior de CIDR IPv6

(Sólo conexiones VPN IPv6) Intervalo de direcciones IPv6 internas (internas) para el túnel VPN. Puede especificar un bloque CIDR de tamaño /126 desde el rango local fd00::/8. El bloque de CIDR debe ser único en todas las conexiones de Site-to-Site VPN que utilicen la misma gateway de tránsito. Si no especifica una subred IPv6, Amazon selecciona automáticamente una subred /128 de este intervalo. Independientemente de si especifica la subred o de si Amazon la selecciona, Amazon usa la primera dirección IPv6 utilizable de la subred para su extremo de la conexión y esta usa la segunda dirección IPv6 utilizable.

Predeterminado: un bloque de CIDR IPv6 de tamaño /126 del intervalo local fd00::/8.

Tipo de dirección IP de túnel externo

Tipo de dirección IP de las direcciones IP de túnel externo. Puede especificar uno de los siguientes valores:

  • PrivateIpv4: utilice una dirección IPv4 privada para implementar conexiones de Site-to-Site VPN a través de Direct Connect.

  • PublicIpv4: (predeterminado) utilice direcciones IPv4 para las IP de túnel externo.

  • Ipv6: utilice direcciones IPv6 para las IP de túnel externo. Esta opción solo está disponible para conexiones de VPN en una puerta de enlace de tránsito o de WAN en la nube.

Cuando lo selecciona Ipv6, AWS configura automáticamente las direcciones IPv6 de túnel externo para el extremo de AWS de los túneles de VPN. El dispositivo de puerta de enlace de cliente debe admitir el direccionamiento IPv6 y poder establecer túneles de IPsec con puntos de conexión IPv6.

Valor predeterminado: PublicIpv4

CIDR de red IPv4 local

(Solo conexión de VPN IPv4) Intervalo de CIDR utilizado durante la negociación de la fase 2 de IKE para el extremo del cliente (en las instalaciones) del túnel de VPN. Este intervalo se utiliza para proponer rutas, pero no impone restricciones de tráfico, ya que AWS utiliza exclusivamente VPN basadas en rutas. No se admiten VPN basadas en políticas, ya que limitarían la capacidad de AWS de admitir protocolos de enrutamiento dinámico y arquitecturas multirregionales. Debería incluir los intervalos de IP de la red en las instalaciones que deben comunicarse a través del túnel de VPN. Se deben utilizar configuraciones de tablas de enrutamiento, NACL y grupos de seguridad adecuados para controlar el flujo de tráfico real.

Valor predeterminado: 0.0.0.0/0

CIDR de red IPv4 remota

(Solo conexión de VPN IPv4) Intervalo de CIDR utilizado durante la negociación de la fase 2 de IKE para el extremo de AWS de túnel de VPN. Este intervalo se utiliza para proponer rutas, pero no impone restricciones de tráfico, ya que AWS utiliza exclusivamente VPN basadas en rutas. AWS no admite VPN basadas en políticas porque carecen de la flexibilidad necesaria para escenarios de enrutamiento complejos y son incompatibles con características como las puertas de enlace de tránsito y rutas múltiples de igual costo (ECMP) de VPN. En el caso de las VPC, suele ser el intervalo de CIDR de la VPC. En el caso de las puertas de enlace de tránsito, podría incluir varios intervalos de CIDR procedentes de VPC conectadas o de otra red.

Valor predeterminado: 0.0.0.0/0

CIDR de red IPv6 local

(Sólo conexión VPN IPv6) Intervalo CIDR IPv6 en el lado de la gateway del cliente (local) que puede comunicarse a través de los túneles VPN.

Predeterminado:: :/0

CIDR de red IPv6 remota

(Solo conexión de VPN IPv6) El rango CIDR IPv6 en el lado de AWS que puede comunicarse a través de los túneles de VPN.

Predeterminado:: :/0

Números de grupo Diffie-Hellman (DH) de fase 1

Los números del grupo DH permitidos para el túnel de VPN para las negociaciones IKE de la fase 1. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: 2, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24

Números de grupo Diffie-Hellman (DH) de fase 2

Los números del grupo DH permitidos para el túnel de VPN para las negociaciones IKE de la fase 2. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: 2, 5, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24

Algoritmos de cifrado de la fase 1

Los algoritmos de cifrado permitidos para el túnel VPN para las negociaciones IKE de fase 1. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: AES128, AES256, AES128-GCM-16, AES256-GCM-16

Algoritmos de cifrado de la fase 2

Los algoritmos de cifrado permitidos para el túnel VPN para las negociaciones IKE de fase 2. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: AES128, AES256, AES128-GCM-16, AES256-GCM-16

Algoritmos de integridad de la fase 1

Los algoritmos de integridad permitidos para el túnel VPN para las negociaciones IKE de fase 1. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: SHA1, SHA2-256, SHA2-384, SHA2-512

Algoritmos de integridad de la fase 2

Los algoritmos de integridad permitidos para el túnel VPN para las negociaciones IKE de fase 2. Puede especificar uno o varios valores predeterminados.

Valores predeterminados: SHA1, SHA2-256, SHA2-384, SHA2-512

Vida útil de la fase 1
nota

AWS inicia los cambios de clave con los valores de tiempo establecidos en los campos de vida útil de la fase 1 y 2. Si tales campos de vida útil son diferentes a los valores de protocolo de enlace negociados, esto puede interrumpir la conectividad del túnel.

La duración en segundos de la fase 1 de las negociaciones IKE. Puede especificar un número comprendido entre 900 y 28 800.

Predeterminado: 28 800 (8 horas)

Vida útil de la fase 2
nota

AWS inicia los cambios de clave con los valores de tiempo establecidos en los campos de vida útil de la fase 1 y 2. Si tales campos de vida útil son diferentes a los valores de protocolo de enlace negociados, esto puede interrumpir la conectividad del túnel.

La duración en segundos de la fase 2 de las negociaciones IKE. Puede especificar un número comprendido entre 900 y 3600. El número que especifique debe ser inferior al número de segundos para la duración de la fase 1.

Predeterminado: 3600 (1 hora)

Clave previamente compartida (PSK)

La clave previamente compartida (PSK) para establecer la asociación de seguridad de intercambio de claves de Internet (IKE) inicial entre la puerta de enlace de destino y la puerta de enlace de cliente.

La PSK debe tener un mínimo de 8 caracteres y un máximo de 64 y no puede comenzar por cero (0). Se permiten caracteres alfanuméricos, puntos (.) y guiones bajos (_).

Predeterminado: una cadena alfanumérica de 32 caracteres.

Difusión de cambio de clave

El porcentaje de la ventana de cambio de clave (determinado por el tiempo del margen de cambio de clave) dentro del cual se selecciona aleatoriamente el tiempo de cambio de clave.

Puede especificar un valor porcentual entre 0 y 100.

Predeterminado: 100

Tiempo de margen de cambio de clave

El tiempo de margen en segundos antes de que venza la duración de la fase 1 y 2, durante el cual el lado de AWS de la conexión VPN realiza un cambio de clave de IKE.

Puede especificar un número comprendido entre 60 y la mitad del valor de la duración de la fase 2.

El tiempo exacto de cambio de clave se selecciona aleatoriamente en función del valor de la difusión del cambio de clave.

Predeterminado: 270 (4,5 minutos)

Tamaño de paquetes del período de reproducción

El número de paquetes de un período de reproducción de IKE.

Puede especificar un valor comprendido entre 64 y 2048.

Predeterminado: 1024

Acción de inicio

La acción que se debe realizar al establecer el túnel para una conexión de VPN. Puede especificar lo siguiente:

  • Start: AWS inicia la negociación de IKE para mostrar el túnel. Solo se admite si la gateway del cliente está configurada con una dirección IP.

  • Add: su dispositivo de gateway de cliente debe iniciar la negociación de IKE para mostrar el túnel.

Para obtener más información, consulte AWS Site-to-Site VPNOpciones de inicio de túnel de .

Valor predeterminado: Add

Control del ciclo de vida del punto de conexión del túnel

El control del ciclo de vida del punto de conexión del túnel permite controlar el programa de sustituciones de los puntos de conexión.

Para obtener más información, consulte Control del ciclo de vida del punto de conexión del túnel de AWS Site-to-Site VPN.

Valor predeterminado: Off

Puede especificar las opciones del túnel al crear una conexión de Site-to-Site VPN. También puede o modificar las opciones de túnel de una conexión de VPN existente. Para obtener más información, consulte los temas siguientes: