Visão Arquitetura
Conectar rede(s) on-premises a VPC(s) cloud via túneis IPsec encriptados terminando em gateways VPN cloud e dispositivos gateway cliente.
Passo a Passo (Terminologia AWS; Adaptável Azure/GCP)
1. Gateway VPN Cloud
- Crie Virtual Private Gateway (VGW) ou Transit Gateway (TGW) por região.
- Anexe a VPC(s) alvo. Note IP(s) públicos atribuídos.
2. Customer Gateway (On-Prem)
- Defina objeto Customer Gateway: IP público firewall/router on-prem (IP estático preferido).
- Um por dispositivo/local físico.
3. Conexão VPN (Túnel)
- Crie VPN Connection ligando VGW/TGW ↔ Customer Gateway.
- Escolha routing Estático ou BGP. BGP preferido para failover/propagação rotas.
- Configure IPsec: IKEv2, AES-256, SHA-256, DH Group 14+, PFS enabled.
- Gere Pre-Shared Key (ou carregue certificado).
- Baixe ficheiro configuração para CLI vendor-specific (Cisco ASA, Palo Alto, FortiGate, Juniper, Ubiquiti, etc.).
4. Config Dispositivo On-Premises
- Aplique config descarregado: interface túnel, crypto map, ACLs, exceções NAT.
- Ative Dead Peer Detection (DPD) / keepalives.
- Defina TCPMSS clamping (1350–1380) para evitar fragmentação.
5. Routing e Segurança
- Route tables VPC: adicione rota
CIDR on-prem → VGW/TGW.
- On-prem: adicione rota
CIDR cloud → interface túnel.
- Security Groups / NACLs / Políticas firewall: permita portas necessárias (ex: 3389, 22, 443, 1433, replicação AD).
6. Validação e Monitorização
ping / traceroute de on-prem para instância cloud (IP privado).- Verifique estado BGP
Established; propagação rotas ambos sentidos.
- Ative CloudWatch / Azure Monitor / Cloud Logging para tunnel up/down, throughput, erros replay.
- Alertas: tunnel down > 1 min, largura banda > 80% capacidade.
Armadilhas Comuns
- CIDRs sobrepostos (use blocos RFC1918 únicos ou NAT)
- Routing assimétrico (garanta caminho retorno corresponde)
- MTU mismatch (defina 1400–1450 interface túnel)
- Túnel único = SPOF; implemente dois túneis por conexão (default AWS).
