Création d’un VIF Hébergé AWS pour un MVE avec Fortinet SD-WAN

Les VIF Hébergés peuvent se connecter aux services cloud publics ou privés d’AWS: un VIF Hébergé ne peut pas se connecter à une interface virtuelle de transit. Ces connexions partagent la bande passante.

Pour créer un VIF Hébergé depuis un MVE vers AWS

Dans le Megaport Portal, rendez-vous sur la page Services et sélectionnez le MVE pour la connexion.
Cliquez sur +Connexion et cliquez sur Cloud.
Sélectionnez AWS comme fournisseur de services, sélectionnez Hosted VIF comme Type de Connexion AWS, sélectionnez le port de destination, et cliquez sur Suivant.
Vous pouvez utiliser le filtre par Pays pour affiner la sélection.
Spécifiez les détails de la connexion:
- Nom de la Connexion – Le nom de votre VXC à afficher dans le Megaport Portal.
  
  Conseil
  
  Faites correspondre ce nom avec le Nom de Connexion AWS sur l’écran suivant pour un mappage facile.
- Référence du Niveau de Service (facultatif) – Spécifiez un numéro d’identification unique pour votre service Megaport à utiliser à des fins de facturation, tel qu’un numéro de centre de coût, un identifiant client unique, ou un numéro de commande d’achat. Le numéro de référence du niveau de service apparaît pour chaque service dans la section Produit de la facture. Vous pouvez également modifier ce champ pour un service existant.
- Limite de Débit – La vitesse de votre connexion en Mbps. Les valeurs acceptées commencent à 1 Mbps et augmentent par incréments de 1 Mbps. La vitesse maximale disponible dépend de l’emplacement et de la disponibilité du service. Notez que la somme de tous les VXCs virtuels hébergés vers un service peut dépasser la capacité du MVE, mais le total agrégé ne dépassera jamais la capacité du MVE.
- État du VXC – Sélectionnez Activé ou Arrêter pour définir l’état initial de la connexion. Pour plus d’informations, voir Arrêter un VXC pour les tests de basculement.
  
  Remarque
  
  Si vous sélectionnez Arrêter, le trafic ne transitera pas par ce service et il se comportera comme s’il était hors service sur le réseau Megaport. La facturation pour ce service restera active et vous serez toujours facturé pour cette connexion.
- vNIC A-End – Sélectionnez un vNIC A-End dans la liste déroulante. Pour plus d’informations sur les vNICs, voir Créer un MVE dans le Megaport Portal.
- VLAN A-End Préféré (facultatif) – Spécifiez un ID de VLAN inutilisé pour cette connexion.
  Ce doit être un ID de VLAN unique sur ce MVE et peut varier de 2 à 4093. Si vous spécifiez un ID de VLAN déjà utilisé, le système affiche le prochain numéro de VLAN disponible. L’ID de VLAN doit être unique pour procéder à la commande. Si vous ne spécifiez pas de valeur, Megaport en assignera une.
- Durée Minimale – Sélectionnez Pas de Durée Minimale, 12 Mois, 24 Mois, ou 36 Mois. Les durées plus longues entraînent un tarif mensuel réduit. 12 Mois est sélectionné par défaut. Prenez note des informations à l’écran pour éviter les frais de résiliation anticipée (ETF).
  
  Activez l’option Renouvellement de la Durée Minimale pour les services d’une durée de 12, 24, ou 36 mois afin de renouveler automatiquement le contrat au même prix réduit et pour la même durée à la fin du contrat. Si vous ne renouvelez pas le contrat, à la fin de la durée, le contrat basculera automatiquement sur un contrat mensuel pour la période de facturation suivante, au même prix, sans remises liées à la durée.
  
  Pour plus d’informations, voir Tarification et Conditions Contractuelles VXC et Facturation de VXC, Megaport Internet, et IX.
- Étiquettes de Ressource – Vous pouvez utiliser des étiquettes de ressource pour ajouter vos propres métadonnées de référence à un service Megaport.
  Pour ajouter une étiquette:
  1. Cliquez sur Ajouter des étiquettes.
  2. Cliquez sur Ajouter une nouvelle étiquette.
  3. Entrez les détails dans les champs:
    - Clé – chaîne de longueur maximale 128. Les valeurs valides sont a-z 0-9 _: . / \ -
    - Valeur – chaîne de longueur maximale 256. Les valeurs valides sont a-z A-Z 0-9 _: . @ / + \ - (espace)
  4. Cliquez sur Enregistrer.
  Si vous avez déjà des étiquettes de ressource pour ce service, vous pouvez les gérer en cliquant sur Gérer les étiquettes.
  
  Avertissement
  
  Ne jamais inclure d’informations sensibles dans une étiquette de ressource. Les informations sensibles incluent les commandes qui renvoient des définitions d’étiquettes existantes et les informations qui identifieront une personne ou une entreprise.
Cliquez sur Suivant.
Spécifiez les détails pour le service AWS.

Voici les détails pour chaque champ:
- Sélectionnez Public ou Privé.
  - Privé – Accédez aux services AWS privés tels qu’un VPC, instances EC2, équilibreurs de charge, instances de base de données RDS, dans l’espace d’adressage IP privé.
  - Public – Accédez aux services publics AWS tels que Amazon Simple Storage Service (S3), DynamoDB, CloudFront, et Glacier. Vous recevrez également les préfixes IP globaux d’Amazon (environ 2 000 préfixes).
    
    Remarque
    
    Les VIFs publics nécessitent une intervention manuelle d’Amazon et pourraient prendre jusqu’à 72 heures. Pour plus d’informations, voir Configurer des Connexions AWS Publiques avec des Adresses IP Fournies par AWS.
- Nom de la Connexion AWS – Il s’agit d’un champ texte qui sera le nom de votre interface virtuelle qui apparaît dans la console AWS. Le Nom de la Connexion AWS est automatiquement renseigné avec le nom spécifié dans une étape précédente.
- ID du Compte AWS – Il s’agit de l’ID du compte que vous souhaitez connecter. Vous pouvez trouver cette valeur dans la section de gestion de votre console AWS.
- ASN Client (facultatif) – Spécifiez l’ASN utilisé pour les sessions de Peering BGP sur tout VXC connecté au MVE. Cette valeur est définie lors de la configuration du MVE et, une fois définie, elle ne peut pas être modifiée.
- Clé d’authentification BGP (facultatif) – Spécifiez la clé MD5 BGP MD5Parfois connu sous le nom de hachage MD5 ou clé BGP. L’algorithme message-digest (MD5) est une fonction cryptographique largement utilisée qui produit une chaîne de 32 chiffres hexadécimaux. Cela est utilisé comme mot de passe ou clé entre les routeurs échangeant des informations BGP.
  . Si vous laissez ce champ vide, Megaport négociera automatiquement une clé pour vous avec AWS qui sera affichée dans le Megaport Portal. La clé ne sera pas affichée dans la console AWS.
  
  Remarque
  
  La clé d’authentification BGP est générée lors du processus de commande lorsque ce champ est laissé vide. Elle ne sera pas affichée sur la page de résumé lors de la commande. Pour voir la clé, consultez les paramètres de connexion après que le service ait été déployé et soit actif.
- Adresse IP Client – L’espace d’adressage IP (au format CIDR) utilisé sur votre réseau pour le peering. Ce champ est facultatif pour les connexions privées et, si laissé vide, Megaport attribue une adresse.
- Adresse IP Amazon – L’espace d’adressage IP au format CIDR assigné dans le réseau VPC AWS pour le peering. Ce champ est facultatif pour les connexions privées et, si laissé vide, Megaport assignera automatiquement une adresse.
- Prefixes (facultatif) – (visible uniquement pour les connexions Publiques) Spécifiez les préfixes IP à annoncer à AWS. Spécifiez les préfixes que vous annoncerez lors du déploiement d’un Direct Connect Public (adresses IPv4 assignées par le RIR uniquement).
  
  Une fois que vous avez configuré les Préfixes pour une connexion Publique, vous ne pouvez pas les modifier et le champ est grisé. Pour modifier cette valeur, créez un ticket de support avec AWS pour qu’ils puissent effectuer ce changement de manière non impactante. Ou, vous pouvez annuler le VIF Hébergé et le commander à nouveau. Dans les deux cas, vous devez attendre qu’AWS approuve manuellement la demande.
Cliquez sur Suivant pour passer au résumé des détails de la connexion, ajouter le VXC au panier, et commander la connexion.

Le VXC AWS apparaît comme une connexion pour le MVE dans le Megaport Portal.

Détails du VXC

Ensuite, acceptez la connexion dans AWS.

Acceptation de l’Interface Virtuelle pour les Connexions Privées

Quelques minutes après avoir commandé un VXC VIF Hébergé privé, la demande de VIF entrante correspondante est visible sur la page AWS Direct Connect > Interfaces Virtuelles dans la console AWS. (C’est spécifique à la région associée avec le port AWS cible.) Si votre VIF n’apparaît pas après quelques minutes, confirmez que vous visualisez la bonne région.

Pour examiner et accepter l’interface virtuelle privée

Depuis la page AWS Direct Connect > Interface Virtuelle, cliquez sur l’ID de l’interface pour afficher les détails de configuration et de peering.

Le nom et l’ID de compte du VIF doivent correspondre aux valeurs fournies dans le Portal et l’ASN BGP doit coïncider avec l’ASN Client configuré avec le VXC. L’ASN Amazon est l’ASN AWS de la région par défaut et non la valeur spécifiée lors de la configuration - cela est mis à jour lorsque l’interface virtuelle est acceptée et assignée.
Cliquez sur Accepter.
Sélectionnez le type de passerelle puis la passerelle spécifique pour cette nouvelle interface virtuelle.
Cliquez sur Accept virtual interface.

L’état de la connexion change de confirming à pending, puis passe à available une fois que le BGP est établi. Notez que parfois il y a un délai dans l’affichage de l’état BGP available du côté AWS, bien que vous puissiez confirmer l’état actuel du lien de couche 3 via la vue Portal.

Acceptation de l’Interface Virtuelle pour les Connexions Publiques

Plusieurs minutes après la commande d’un VXC VIF Hébergé public, la demande de VIF entrante correspondante apparaît sur la page AWS Direct Connect > Interfaces Virtuelles dans la console AWS (Ceci est spécifique à la région associée avec le port AWS cible).

Pour examiner et accepter l’interface virtuelle publique

Depuis la page AWS Direct Connect > Interface Virtuelle, cliquez sur l’ID de l’interface pour afficher les détails de configuration et de peering.
Passez en revue les détails de la configuration et cliquez sur Accepter, et lorsque vous y êtes invité, cliquez sur Confirmer.

L’état de la connexion passe de confirming à verifying. À ce stade, la connexion doit être vérifiée par Amazon - un processus qui peut prendre jusqu’à 72 heures. Lorsqu’elle est vérifiée, l’état devient available.

Ajout des détails de la connexion AWS à FortiManager

Après avoir créé la connexion de votre MVE à AWS et configuré la connexion dans la console AWS, vous devez la configurer dans FortiManager. Cela implique d’ajouter une interface de dispositif et de configurer les paramètres BGP, les ASNs, les VLANs, et les valeurs MD5.

Pour configurer une connexion AWS entre un MVE Fortinet et AWS

Rassemblez les détails de la connexion depuis le Megaport Portal.
Pour afficher les détails, cliquez sur l’icône de l’engrenage pour la connexion AWS depuis votre MVE et cliquez sur la vue Détails. Notez les valeurs pour le VLAN A-End, Adresse Client (et CIDR), Adresse Amazon, et ASN Client.
Connectez-vous au FortiManager.

Remarque

Vous pouvez également vous connecter sur votre instance MVE: https://<adresse-ip-mve>
Depuis votre dispositif géré, allez au menu System et choisissez Interface.

La page affiche port1 comme votre interface physique.
Cliquez sur +Create New > Interface et fournissez ces informations:
- Nom de l’Interface – Spécifiez un nom significatif pour l’interface.
- Nom d’Aliase (facultatif) – Saisissez un autre nom. Pour une référence facile, utilisez l’ID d’Interface Virtuelle AWS pour cette connexion comme alias.
- Type – Choisissez VLAN.
- Interface – Choisissez l’interface parente: port1.
- ID VLAN – Spécifiez le VLAN A-End indiqué pour cette Connexion AWS dans le Megaport Portal.
- Rôle – Choisissez Indéfini.
- Mode d’Adressage – Sélectionnez Manuel.
- IP/Netmask – Spécifiez l’Adresse Client depuis les détails du VXC dans le Megaport Portal.
- Accès Administratif - Sélectionnez comment vous souhaitez accéder à cette interface, tel que HTTPS, PING, et SSH.
- Serveur DHCP - Cliquez sur OFF.
Cliquez sur OK.
La nouvelle interface VLAN apparaît avec votre interface physique port1.

Vous pouvez lancer une commande execute ping depuis FortiOS pour vérifier la connexion.

Remarque

Vous devez pousser la configuration vers le MVE, ce qui se passe lorsque vous avez AutoUpdate configuré. Si vous ne pouvez pas pinger avec succès la connexion, allez dans Gérer les Dispositifs dans FortiManager, sélectionnez le MVE, et choisissez Refresh Device dans le menu More. Si vous y êtes invité, sélectionnez AutoUpdate pour le Statut de Configuration.

À ce stade, nous avons créé l’interface et nous devons ensuite créer la session BGP.

Pour créer la session BGP

Dans FortiManager, allez à Router > BGP.
Fournissez cette information:
- AS Local – Ajoutez la valeur ASN Client depuis les détails de la connexion Megaport.
- ID du Routeur – Ajoutez la valeur Adresse Client depuis les détails de la connexion Megaport.
Dans Neighbors, cliquez sur +Create New.
Pour l’IP du voisin, ajoutez l’Adresse Amazon depuis les détails de la connexion Megaport.
Pour ASN Distant, entrez l’ASN côté Amazon.
Par défaut, c’est 64512.
Cliquez sur OK.
Cliquez sur Appliquer.

Le voisin est configuré mais vous devez ajouter les informations BGP Auth. L’interface web ne permet pas de définir ceci et vous devez utiliser la ligne de commande pour ajouter les détails BGP.

Pour ajouter l’autorisation BGP

SSH vers l’instance MVE en utilisant votre fichier de clé privée.
Par exemple
ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX
Utilisez ces commandes pour ajouter un mot de passe pour le voisin BGP.

config router bgp
    config neighbor
        edit "<neighbor ip>"
            set password <auth password>
        next
    end

Étapes CLI pour BGP

Validation de votre connexion AWS

Vous pouvez revoir les détails de la connexion, y compris l’état de la connexion, depuis le CLI avec ces commandes:

get system interface – Affiche les détails de configuration et le statut actuel des interfaces du dispositif.
get router info bgp neighbor <ip-address> – Affiche les détails de configuration et le statut actuel des voisins BGP.