Creación de un Hosted VIF de AWS para un MVE con Fortinet SD-WAN

Los Hosted VIF pueden conectarse a servicios de cloud de AWS públicos o privados: un Hosted VIF no puede conectarse a una interfaz virtual de tránsito. Estas conexiones comparten ancho de banda.

Nota

Las interfaces virtuales alojadas de AWS (Hosted VIF) no admiten zonas de diversidad. Para garantizar la diversidad de conexión para las Hosted VIFs, cree VXCs a dos puertos de destino en diferentes centros de datos, en lugar de dos puertos en zonas de diversidad separadas.

Para crear un Hosted VIF desde un MVE hacia AWS

En el Megaport Portal, ve a la página Services (Servicios) y selecciona el MVE para la conexión.
Haz clic en +Connection (Añadir conexión) y haz clic en Cloud.
Selecciona AWS como proveedor de servicio, selecciona Hosted VIF como Tipo de conexión de AWS, selecciona el puerto de destino y haz clic en Next (Siguiente).
Puedes usar el filtro Country para acotar la selección.
Especifica los detalles de la conexión:
- Connection Name (Nombre de la conexión) – El nombre de tu VXC que se mostrará en el Megaport Portal.
  
  Consejo
  
  Haz que coincida con el Nombre de la conexión de AWS en la siguiente pantalla para facilitar la asignación.
- Service Level Reference (Referencia de nivel de servicio) (opcional) – Especifique un número de identificación único para su servicio de Megaport que se utilizará con fines de facturación, como un número de centro de costos, un ID de cliente único o un número de orden de compra. El número de referencia de nivel de servicio aparece para cada servicio en la sección Producto de la factura. También puede editar este campo para un servicio existente.
- Rate Limit (Límite de velocidad) – La velocidad de tu conexión en Mbps. Los valores aceptados comienzan en 1 Mbps y escalan en incrementos de 1 Mbps. La velocidad máxima disponible depende de la ubicación y la disponibilidad del servicio. Ten en cuenta que la suma de todas las VXC virtuales alojadas hacia un servicio puede exceder la capacidad del MVE, pero el agregado total nunca superará la capacidad del MVE.
- VXC State (Estado de la VXC) – Selecciona Enabled (Habilitado) o Shut Down (Apagar) para definir el estado inicial de la conexión. Para obtener más información, consulta Apagar un VXC para pruebas de conmutación por error.
  
  Nota
  
  Si seleccionas Shut Down (Apagar), el tráfico no fluirá a través de este servicio y se comportará como si estuviera caído en la red de Megaport. La facturación de este servicio seguirá activa y se te seguirá cobrando por esta conexión.
- A-End vNIC (vNIC del extremo A) – Selecciona una vNIC de extremo A en la lista desplegable. Para obtener más información sobre vNIC, consulta Crear un MVE en el Megaport Portal.
- Preferred A-End VLAN (VLAN de extremo A preferida) (opcional) – Especifica un ID de VLAN no utilizado para esta conexión.
  Debe ser un ID de VLAN único en este MVE y puede oscilar entre 2 y 4093. Si especificas un ID de VLAN que ya está en uso, el sistema muestra el siguiente número de VLAN disponible. El ID de VLAN debe ser único para continuar con el pedido. Si no especificas un valor, Megaport asignará uno.
- Minimum Term (Plazo mínimo) – Seleccione Sin plazo mínimo, 12 meses, 24 meses, 36 meses, 48 meses o 60 meses. Los plazos más largos se traducen en una tarifa mensual más baja. 12 meses está seleccionado de forma predeterminada. Tenga en cuenta la información en la pantalla para evitar cargos por terminación anticipada (ETF).
  
  Habilite la opción Renovación del plazo mínimo para servicios con un plazo de 12, 24, 36, 48 o 60 meses para renovar automáticamente el contrato al mismo precio con descuento y con la misma duración del plazo al finalizar el contrato. Si no renueva el contrato, al final del plazo, el contrato pasará automáticamente a un contrato mes a mes para el siguiente período de facturación, al mismo precio, sin descuentos por plazo.
  
  Para obtener más información, consulta Precios y términos de contrato de VXC y Facturación de VXC, Megaport Internet, e IX.
- Resource Tags (Etiquetas de recursos) – Puede usar etiquetas de recursos para añadir sus propios metadatos de referencia a un servicio de Megaport.
  Para añadir una etiqueta:
  1. Haga clic Add Tags (Añadir etiquetas).
  2. Haga clic Add New Tag (Añadir nueva etiqueta).
  3. Introduzca los detalles en los campos:
    - Key (Clave) – cadena de longitud máxima 128. Los valores válidos son a-z 0-9 _ : . / \ -
    - Value (Valor) – cadena de longitud máxima 256. Los valores válidos son a-z A-Z 0-9 _ : . @ / + \ - (espacio)
  4. Haga clic Save (Guardar).
  Si ya tiene etiquetas de recursos para ese servicio, puede administrarlas haciendo clic en Manage Tags (Administrar etiquetas).
  
  Advertencia
  
  Nunca incluya información confidencial en una etiqueta de recurso. La información confidencial incluye comandos que devuelven definiciones de etiquetas existentes e información que identificará a una persona o a una empresa.
Haz clic en Next (Siguiente).
Especifica los detalles para el servicio de AWS.

Aquí están los detalles de cada campo:
- Selecciona Pública o Privada.
  - Private (Privado) – Accede a servicios privados de AWS como una VPC, instancias EC2, balanceadores de carga y RDS DB instances, en espacio de direcciones IP privadas.
  - Public (Público) – Accede a servicios públicos de AWS como Amazon Simple Storage Service (S3), DynamoDB, CloudFront y Glacier. También recibirás Amazon’s global IP prefixes (aproximadamente 2,000 prefijos).
    
    Nota
    
    Los VIF públicos requieren intervención manual por parte de Amazon y podrían tardar hasta 72 horas. Para obtener más información, consulta Configurar conexiones públicas de AWS con direcciones IP proporcionadas por AWS.
- AWS Connection Name (Nombre de la conexión de AWS) – Este es un campo de texto y será el nombre de tu interfaz virtual que aparece en la consola de AWS. El AWS Connection Name se completa automáticamente con el nombre especificado en un paso anterior.
- AWS Account ID (ID de la cuenta de AWS) – Este es el ID de la cuenta a la que deseas conectarte. Puedes encontrar este valor en la sección de administración de tu consola de AWS.
- Customer ASN (ASN del cliente) (opcional) – Especifica el ASN utilizado para las sesiones de Peering BGP en cualquier VXC conectada al MVE. Este valor se define cuando configuras el MVE y, una vez definido, no se puede cambiar.
- BGP Auth Key (Clave de autenticación BGP) (opcional) – Especifique la clave MD5A veces se conoce como un hash MD5 o clave BGP. El algoritmo de resumen de mensajes (MD5) es una función criptográfica ampliamente utilizada que produce una cadena de 32 dígitos hexadecimales. Se utiliza como contraseña o clave entre routers que intercambian información BGP.
  de BGP. Si deja este campo en blanco, Megaport negocia automáticamente una clave con AWS que se mostrará en el Megaport Portal. La clave no se muestra en la consola de AWS.
  
  Nota
  
  La clave de autenticación BGP se genera durante el proceso de pedido cuando este campo se deja en blanco. No se mostrará en la página de Resumen al realizar el pedido. Para ver la clave, vea la Configuración de la conexión después de que el servicio se haya aprovisionado y esté activo.
- Customer IP Address (Dirección IP del cliente) – El espacio de direcciones IP (en formato CIDR) utilizado en tu red para Peering. Este campo es opcional para conexiones privadas y, si se deja en blanco, Megaport asigna una dirección.
- Amazon IP Address (Dirección IP de Amazon) – El espacio de direcciones IP en formato CIDR asignado en la red VPC de AWS para Peering. Este campo es opcional para conexiones privadas y, si se deja en blanco, Megaport asigna automáticamente una dirección.
- Prefixes (Prefijos) (opcional) – (visible solo para conexiones públicas) Especifica los prefijos IP que se anunciarán a AWS. Especifica los prefijos que anunciarás al implementar un Public Direct Connect (solo direcciones IPv4 asignadas por un RIR).
  
  Una vez que configuras Prefijos para una conexión pública, no puedes cambiarlos y el campo aparece atenuado. Para cambiar este valor, crea un ticket de soporte con AWS para que puedan realizar este cambio de manera no impactante. O bien, puedes cancelar el Hosted VIF y volver a pedirlo. En ambos casos, debes esperar a que AWS apruebe manualmente la solicitud.
Haz clic en Next (Siguiente) para continuar al resumen de detalles de la conexión, añadir la VXC al carrito y pedir la conexión.

La VXC de AWS aparece como una conexión del MVE en el Megaport Portal.

Detalles de VXC

A continuación, acepta la conexión en AWS.

Aceptar la interfaz virtual para conexiones privadas

Unos minutos después de pedir una VXC Hosted VIF privada, la correspondiente solicitud de VIF entrante es visible en AWS Direct Connect > Virtual Interfaces en la consola de AWS. (Esto es específico de la región asociada con el puerto de AWS de destino). Si tu VIF no aparece después de unos minutos, confirma que estás viendo la región correcta.

Para revisar y aceptar la interfaz virtual privada

Desde la página AWS Direct Connect > Virtual Interface (Interfaz virtual), haz clic en el ID de la interfaz para mostrar la configuración y los detalles de Peering.

El nombre y el ID de cuenta del VIF deben coincidir con los valores proporcionados en el Portal y el BGP ASN debe coincidir con el Customer ASN configurado con la VXC. El Amazon ASN es el ASN de AWS de la región predeterminada y no el valor especificado durante la configuración: esto se actualiza cuando la interfaz virtual se acepta y asigna.
Haz clic en Accept (Aceptar).
Selecciona el tipo de gateway y luego el gateway específico para esta nueva interfaz virtual.
Haz clic en Aceptar interfaz virtual.

El estado de la conexión cambia de confirming a pending, y luego cambia a available una vez que se establece BGP. Ten en cuenta que a veces hay un retraso en que el estado BGP available aparezca en el lado de AWS, aunque puedes confirmar el estado actual del enlace de Capa 3 a través de la vista del Portal.

Aceptar la interfaz virtual para conexiones públicas

Varios minutos después de pedir una VXC Hosted VIF pública, la correspondiente solicitud de VIF entrante aparece en la página AWS Direct Connect > Virtual Interfaces (Interfaces virtuales) en la consola de AWS (Esto es específico de la región asociada con el puerto de AWS de destino).

Para revisar y aceptar la interfaz virtual pública

Desde la página AWS Direct Connect > Virtual Interface, haz clic en el ID de la interfaz para mostrar la configuración y los detalles de Peering.
Revisa los detalles de configuración y haz clic en Accept (Aceptar) y, cuando se te solicite, haz clic en Confirm (Confirmar).

El estado de la conexión cambia de confirming a verifying. En este punto, la conexión necesita ser verificada por Amazon, un proceso que puede tardar hasta 72 horas. Cuando se verifique, el estado cambia a available.

Añadir detalles de la conexión de AWS a FortiManager

Después de crear la conexión desde tu MVE a AWS y configurar la conexión en la consola de AWS, necesitas configurarla en FortiManager. Esto implica añadir una interfaz de dispositivo y configurar ajustes BGP, ASN, VLAN y valores MD5.

Para configurar una conexión de AWS entre un MVE de Fortinet y AWS

Recopila los detalles de la conexión desde el Megaport Portal.
Para mostrar los detalles, haz clic en el icono de engranaje de la conexión de AWS desde tu MVE y haz clic en la vista Detalles. Anota los valores de A-End VLAN, Customer Address (y CIDR), Amazon Address y Customer ASN.
Inicia sesión en FortiManager.

Nota

También puedes iniciar sesión en tu instancia de MVE: https://<mve-ip-address>
En tu dispositivo gestionado, ve al menú System (Sistema) y elige Interface (Interfaz).

La página muestra port1 como tu interfaz física.
Haz clic en +Create New > Interface (+Crear nuevo > Interfaz) y proporciona esta información:
- Interface Name (Nombre de la interfaz) – Especifica un nombre significativo para la interfaz.
- Alias Name (Nombre alternativo) (opcional) – Introduce un nombre alternativo. Para referencia sencilla, usa el ID de la interfaz virtual de AWS para esta conexión como alias.
- Type (Tipo) – Elige VLAN.
- Interface (Interfaz) – Elige la interfaz principal: port1.
- VLAN ID (ID de VLAN) – Especifica la VLAN de extremo A indicada para esta conexión de AWS en el Megaport Portal.
- Role (Rol) – Elige Undefined.
- Addressing Mode (Modo de direccionamiento) – Selecciona Manual.
- IP/Netmask (IP/Máscara) – Especifica la Customer Address de los detalles de la VXC en el Megaport Portal.
- Administrative Access (Acceso administrativo) - Selecciona cómo quieres acceder a esta interfaz, como HTTPS, PING y SSH.
- DHCP Server (Servidor DHCP) - Haz clic en OFF (Desactivado).
Haz clic en OK (Aceptar).
La nueva interfaz VLAN aparece junto con tu interfaz física port1.

Puedes ejecutar un comando execute ping desde FortiOS para verificar la conexión.

Nota

Necesitas aplicar la configuración al MVE, lo cual ocurre cuando tienes configurado AutoUpdate. Si no puedes hacer ping a la conexión correctamente, ve a Administrar dispositivos en FortiManager, selecciona el MVE y elige Refresh Device (Actualizar dispositivo) en el menú Más. Si se te solicita, selecciona AutoUpdate para el Config Status (Estado de la configuración).

En este punto, hemos creado la interfaz y a continuación necesitamos crear la sesión BGP.

Para crear la sesión BGP

En FortiManager, ve a Router > BGP (Enrutador > BGP).
Proporciona esta información:
- Local AS (AS local) – Añade el valor de Customer ASN (ASN del cliente) desde los detalles de la conexión de Megaport.
- Router ID (ID del router) – Añade el valor de Customer Address (Dirección del cliente) desde los detalles de la conexión de Megaport.
En Neighbors, haz clic en +Create New (+Crear nuevo).
Para la IP del vecino, añade la Amazon Address de los detalles de la conexión de Megaport.
Para Remote ASN, introduce el ASN del lado de Amazon.
Por defecto es 64512.
Haz clic en OK (Aceptar).
Haz clic en Apply (Aplicar).

El vecino está configurado, pero necesitas añadir la información de autenticación BGP. La interfaz web no permite definir esto y debes usar la línea de comandos para añadir los detalles de BGP.

Para añadir la autorización BGP

Conéctate por SSH a la instancia MVE usando tu archivo de clave privada.
Por ejemplo
ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX
Usa estos comandos para añadir una contraseña para el vecino BGP.

config router bgp
    config neighbor
        edit "<neighbor ip>"
            set password <auth password>
        next
    end

Pasos CLI para BGP

Validar tu conexión de AWS

Puedes revisar los detalles de la conexión, incluido el estado de la conexión, desde la CLI con estos comandos:

get system interface – Muestra los detalles de configuración y el estado actual de las interfaces del dispositivo.
get router info bgp neighbor <ip-address> – Muestra los detalles de configuración y el estado actual de los vecinos BGP.