Creazione di un AWS Hosted VIF per un MVE con Fortinet SD-WAN

Gli Hosted VIF possono connettersi a servizi cloud AWS pubblici o privati: un Hosted VIF non può connettersi a un’interfaccia virtuale di transito. Queste connessioni condividono la larghezza di banda.

Per creare un Hosted VIF da un MVE ad AWS

Nel Megaport Portal, vai alla pagina Servizi e seleziona l’MVE per la connessione.
Fai clic su +Connessione e clicca su Cloud.
Seleziona AWS come fornitore di servizi, seleziona Hosted VIF come tipo di connessione AWS, seleziona la porta di destinazione e fai clic su Avanti.
Puoi utilizzare il filtro Paese per ridurre la selezione.
Specifica i dettagli della connessione:
- Nome Connessione – Il nome del tuo VXC da mostrare nel Megaport Portal.
  
  Suggerimento
  
  Abbinare questo al nome della connessione AWS nella schermata successiva per una facile correlazione.
- Riferimento del Livello di Servizio (opzionale) – Specificare un numero identificativo univoco per il tuo servizio Megaport da utilizzare per scopi di fatturazione, come un numero di centro di costo, un ID cliente unico, o un numero di ordine di acquisto. Il numero di riferimento del livello di servizio appare per ogni servizio nella sezione Prodotto della fattura. Puoi anche modificare questo campo per un servizio esistente.
- Limite di Velocità – La velocità della tua connessione in Mbps. I valori accettati partono da 1 Mbps e aumentano in incrementi di 1 Mbps. La velocità massima disponibile dipende dalla posizione e dalla disponibilità del servizio. Nota che la somma di tutti i VXC virtuali ospitati per un servizio può superare la capacità dell’MVE, ma l’aggregato totale non supererà mai la capacità dell’ MVE.
- Stato VXC – Seleziona Abilitato o Arresta per definire lo stato iniziale della connessione. Per maggiori informazioni, vedi Arresto del VXC per prove di failover.
  
  Nota
  
  Se selezioni Arresta, il traffico non passerà attraverso questo servizio e si comporterà come se fosse inattivo sulla rete Megaport. La fatturazione per questo servizio rimarrà attiva e ti verrà comunque addebitata questa connessione.
- vNIC A-End –Seleziona un vNIC A-End dal menu a discesa. Per maggiori informazioni sui vNIC, vedi Creazione di un MVE nel Megaport Portal.
- VLAN A-End Preferita (opzionale) – Specifica un ID VLAN non utilizzato per questa connessione.
  Questo deve essere un ID VLAN unico su questo MVE e può variare da 2 a 4093. Se specifichi un ID VLAN già in uso, il sistema mostra il prossimo numero VLAN disponibile. L’ID VLAN deve essere univoco per procedere con l’ordine. Se non specifichi un valore, Megaport ne assegnerà uno.
- Durata Minima – Seleziona Nessuna durata minima, 12 Mesi, 24 Mesi, o 36 Mesi. Durate più lunghe comportano una tariffa mensile più bassa. 12 Mesi è selezionato di default. Prendi nota delle informazioni visualizzate sullo schermo per evitare penali per recesso anticipato (ETF).
  
  Abilita l’opzione Rinnovo Durata Minima per i servizi con una durata di 12, 24 o 36 mesi per rinnovare automaticamente il contratto allo stesso prezzo scontato e durata alla fine del contratto. Se non rinnovi il contratto, alla fine del termine, il contratto si convertirá automaticamente in un contratto a tempo indeterminato per il periodo di fatturazione successivo, allo stesso prezzo, senza sconti di durata.
  
  Per maggiori informazioni, vedi VXC Prezzi e termini del contratto e VXC, Megaport Internet, e fatturazione IX.
- Etichette Risorsa – Puoi utilizzare le etichette delle risorse per aggiungere i tuoi metadati di riferimento a un servizio Megaport. Per aggiungere un’etichetta:
  1. Clicca su Aggiungi Etichette.
  2. Clicca su Aggiungi Nuova Etichetta.
  3. Inserisci i dettagli nei campi:
    - Chiave – stringa con lunghezza massima 128. I valori validi sono a-z 0-9 _ : . / \ -
    - Valore – stringa con lunghezza massima 256. I valori validi sono a-z A-Z 0-9 _ : . @ / + \ - (spazio)
  4. Clicca su Salva.
  Se hai già etichette di risorse per quel servizio, puoi gestirle cliccando su Gestisci Etichette.
  
  Avviso
  
  Non includere mai informazioni sensibili in un’etichetta di risorsa. Le informazioni sensibili includono comandi che restituiscono definizioni di tag esistenti e informazioni che identificheranno una persona o un’azienda.
Fai clic su Avanti.
Specifica i dettagli per il servizio AWS.

Ecco i dettagli per ogni campo:
- Seleziona Public o Private.
  - Private – Accedi ai servizi privati di AWS come VPC, istanze EC2 load balancers, istanze RDS DB, in privati spazi di indirizzamento IP.
  - Public – Accedi ai servizi pubblici di AWS come Amazon Simple Storage Service (S3), DynamoDB, CloudFront, e Glacier. Riceverai anche Amazon’s global IP prefixes (circa 2,000 prefissi).
    
    Nota
    
    I VIF pubblici richiedono un intervento manuale da parte di Amazon e potrebbero richiedere fino a 72 ore. Per maggiori informazioni, vedi Configurazione delle connessioni AWS pubbliche con indirizzi IP forniti da AWS.
- Nome Connessione AWS – Questo è un campo di testo e sarà il nome della tua interfaccia virtuale che compare nella console AWS. Il nome della connessione AWS viene popolato automaticamente con il nome specificato in un passo precedente.
- ID dell’account AWS – Questo è l’ID dell’account che vuoi connettere. Puoi trovare questo valore nella sezione di gestione della tua console AWS.
- ASN del cliente (opzionale) – Specifica l’ASN utilizzato per le sessioni di peering BGP su qualsiasi VXC collegato all’MVE. Questo valore viene definito quando configuri l’MVE e, una volta definito, non può essere cambiato.
- BGP Auth Key (opzionale) – Specifica la chiave BGP MD5A volte noto come hash MD5 o chiave BGP. L’algoritmo di messaggio-digest (MD5) è una funzione crittografica ampiamente utilizzata che produce una stringa di 32 cifre esadecimali. Questo viene utilizzato come password o chiave tra i router che scambiano informazioni BGP.
  . Se lasci questo campo vuoto, Megaport negozia automaticamente una chiave per te con AWS che verrà visualizzata nel Megaport Portal. La chiave non viene visualizzata nella console AWS.
  
  Nota
  
  La chiave BGP Auth viene generata durante il processo di ordine quando questo campo viene lasciato vuoto. Non verrà visualizzata nella pagina di riepilogo durante l’ordine. Per vedere la chiave, visualizza le Impostazioni di Connessione dopo che il servizio è stato distribuito ed è attivo.
- Indirizzo IP del Cliente – Lo spazio degli indirizzi IP (in formato CIDR) utilizzato sulla tua rete per il peering. Questo campo è opzionale per le connessioni private e se lasciato in bianco, Megaport assegna un indirizzo.
- Indirizzo IP Amazon – Lo spazio degli indirizzi IP in formato. assegnato nella rete VPC di AWS per il peering. Questo campo è opzionale per le connessioni private e se lasciato in bianco, Megaport assegna automaticamente un indirizzo.
- Prefissi (opzionale) – (visibile solo per le connessioni Pubbliche) Specifica i prefissi IP da annunciare ad AWS. Specifica i prefissi che annunci quando distribuisci un Direct Connect Pubblico (solo indirizzi IPv4 assegnati da RIR).
  
  Una volta configurati i Prefissi per una connessione Pubblica, non è possibile modificarli e il campo è disabilitato. Per cambiare questo valore, crea un ticket di supporto con AWS in modo da poter apportare questa modifica in modo non impattante. Oppure, puoi annullare l’Hosted VIF e riordinare. In entrambi i casi, devi attendere che AWS approvi manualmente la richiesta.
Fai clic su Avanti per passare al riepilogo dei dettagli della connessione, aggiungi il VXC al carrello e ordina la connessione.

La VXC AWS appare come connessione per l’MVE nel Megaport Portal.

Dettagli della VXC

Successivamente, accetta la connessione in AWS.

Accettazione dell’interfaccia virtuale per connessioni private

Alcuni minuti dopo aver ordinato un VXC Hosted VIF privato, la corrispondente richiesta di interfaccia VIF in arrivo è visibile sulla pagina AWS Direct Connect > Virtual Interfaces nella console AWS. (Questo è specifico per la regione associata alla porta target AWS.) Se il tuo VIF non appare dopo qualche minuto, conferma che stai visualizzando la regione corretta.

Per rivedere e accettare l’interfaccia virtuale privata

Dalla pagina AWS Direct Connect > Interfaccia Virtuale, fai clic sull’ID dell’interfaccia per visualizzare i dettagli di configurazione e di peering.

Il nome e l’ID dell’account del VIF dovrebbero corrispondere ai valori forniti in Portal e l’ASN BGP dovrebbe corrispondere all’ASN del cliente configurato con il VXC. L’ASN Amazon è l’ASN AWS di default della regione ed non il valore specificato durante la configurazione - questo è aggiornato quando l’interfaccia virtuale viene accettata e assegnata.
Fai clic su Accetta.
Seleziona il tipo di gateway e poi il gateway specifico per questa nuova interfaccia virtuale.
Fai clic su Accetta interfaccia virtuale.

Lo stato della connessione passa da confermazione a in attesa, e poi cambia in disponibile una volta che BGP è stabilito. Nota che a volte c’è un ritardo nello stato di disponibilità del BGP che appare all’estremità AWS, anche se puoi confermare lo stato corrente del collegamento di Livello 3 attraverso la visione Portal.

Accettazione dell’interfaccia virtuale per connessioni pubbliche

Diversi minuti dopo aver ordinato un VXC Hosted VIF pubblico, la corrispondente richiesta di interfaccia VIF in arrivo appare sulla pagina AWS Direct Connect > Interfacce virtuali nella console AWS (Questo è specifico per la regione associata alla porta target AWS).

Per rivedere e accettare l’interfaccia virtuale pubblica

Dalla pagina AWS Direct Connect > Interfaccia virtuale, fai clic sull’ID dell’interfaccia per visualizzare i dettagli di configurazione e di peering.
Rivedi i dettagli della configurazione e fai clic su Accetta, e quando richiesto, fai clic su Conferma.

Lo stato della connessione passa da conferma a verifica. A questo punto, la connessione deve essere verificata da Amazon - un processo che può richiedere fino a 72 ore. Quando verificato, lo stato cambia in disponibile.

Aggiunta dei dettagli di connessione AWS a FortiManager

Dopo aver creato la connessione dal tuo MVE ad AWS e impostato la connessione nella console AWS, devi configurarla in FortiManager. Questo comporta l’aggiunta di un’interfaccia del dispositivo e la configurazione delle impostazioni di BGP, ASN, VLAN e valori MD5.

Per configurare una connessione AWS tra un MVE Fortinet e AWS

Raccogli i dettagli della connessione dal Megaport Portal.
Per visualizzare i dettagli, fai clic sull’icona dell’ingranaggio per la connessione AWS dal tuo MVE e fai clic sulla visualizzazione dei dettagli. Nota i valori per il VLAN A-End, Indirizzo del cliente (e CIDR), Indirizzo Amazon e ASN del cliente.
Accedi al FortiManager.

Nota

Puoi anche accedere sulla tua istanza MVE: https://<mve-ip-address>
Dal tuo dispositivo gestito, vai al menu System e scegli Interface.

La pagina mostra port1 come tua interfaccia fisica.
Fai clic su +Crea Nuovo > Interfaccia e fornisci queste informazioni:
- Nome dell’interfaccia – Specifica un nome significativo per l’interfaccia.
- Nome Alias (opzionale) – Inserisci un nome alternativo. Per un facile riferimento, utilizza l’ID dell’Interfaccia Virtuale AWS per questa connessione come alias.
- Tipo – Scegli VLAN.
- Interfaccia – Scegli l’interfaccia genitore: port1.
- ID VLAN – Specifica la VLAN A-End elencata per questa connessione AWS nel Megaport Portal.
- Ruolo – Scegli Non definito.
- Modalità di indirizzamento – Seleziona Manuale.
- IP/Netmask – Specifica l’Indirizzo del cliente dai dettagli del VXC nel Megaport Portal.
- Accesso amministrativo - Seleziona come vuoi accedere a questa interfaccia, ad esempio HTTPS, PING, e SSH.
- DHCP Server - Fai clic su OFF.
Fai clic su OK.
La nuova interfaccia VLAN appare con la tua interfaccia fisica port1.

Puoi eseguire un comando execute ping da FortiOS per verificare la connessione.

Nota

Devi spingere la configurazione sul MVE, che avviene quando hai AutoUpdate configurato. Se non riesci a pingare con successo la connessione, vai a Manage Devices in FortiManager, seleziona il MVE, e scegli Refresh Device dal menu More. Se richiesto, seleziona AutoUpdate per il Config Status.

A questo punto, abbiamo creato l’interfaccia e successivamente dobbiamo creare la sessione BGP.

Per creare la sessione BGP

In FortiManager, vai su Router > BGP.
Fornisci queste informazioni:
- AS Locale – Aggiungi il valore ASN del cliente dai dettagli della connessione di Megaport.
- Router ID – Aggiungi il valore Indirizzo del cliente dai dettagli della connessione di Megaport.
In Neighbors, fai clic su +Crea Nuovo.
Per l’IP del neighbor, aggiungi l’Indirizzo Amazon dai dettagli della connessione di Megaport.
Per Remote ASN, inserisci l’ASN lato Amazon.
Di default è 64512.
Fai clic su OK.
Fai clic su Applica.

Il neighbor è configurato ma devi aggiungere le informazioni di autenticazione BGP. L’interfaccia web non ti permette di definire questo e devi utilizzare la riga di comando per aggiungere i dettagli BGP.

Per aggiungere l’autorizzazione BGP

Esegui SSH sull’istanza MVE utilizzando il tuo file della chiave privata.
Ad esempio
ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX
Usa questi comandi per aggiungere una password per il vicino BGP.

config router bgp
    config neighbor
        edit "<neighbor ip>"
            set password <auth password>
        next
    end

Passaggi CLI per BGP

Validare la tua connessione AWS

Puoi rivedere i dettagli della connessione, incluso lo stato della connessione, dalla CLI con questi comandi:

get system interface – Visualizza i dettagli di configurazione e lo stato attuale per le interfacce del dispositivo.
get router info bgp neighbor <ip-address> – Visualizza i dettagli di configurazione e lo stato attuale per i vicini BGP.