阿里云
发表主题 回复主题
  • 20880阅读
  • 6回复

金融云专线/VPN网络接入介绍

发帖
53
云币
183
1.网络接入架构 i!RYrae  
O kT@ _U  
                      图1—专线模式 Ar?ZUASJ  
.O#7X  
;<b7kepR  
          图2—VPN模式 bt.3#aj  
o"A)t=  
gsa@ci  
如果采用专线接入,请确认您的机构端是否符合下列情形: BxQ,T@  
1)机构与支付宝已有专线链路连接  _X=6M gU  
阿里原则上支持您复用该链路,需要您按照“网络接入流程”中提交工单进行ACL开通 ^si[L52BZ  
2)机构与阿里云已有专线链路连接 asmu<  
阿里云支持您复用该链路,需要您按照“网络接入流程”中提交工单进行ACL开通 w5/6+@}  
3)机构与阿里云没有任何专线链路连接 4ZR2U3jd1  
请您在工单中咨询阿里云专线接入点信息(您在开通ECS后才能提交此类工单),由机构联系运营商进行相关询价及施工到阿里云机房,阿里云不收取任何费用 Y}Y~?kE>M|  
Q%J,: J  
15aPoxo>  
如果采用VPN接入,对您的VPN设备和网络有下列要求 GY0OVAW6'c  
1)确保您的机构有互联网出口 V+l7W  
2)设备型号需支持IPSec协议 mV4gw'.;7  
3)VPN参数信息如下 Zp<#( OIu  
Phase1:                                             E:PPb9Kd  
Perform key exchange : 3des                         MOp "kA  
Perform date : md5                                   e:.?T\  
Use DH : group 2                                     )<_qTd0`  
Renegotiate IKE time : 720 minutes (即43200s)       Bm%|WQK  
Iij$ce`nx  
Phase2:                                             r{S DJa  
Perform ipsec date : 3des                           nvNF~)mu  
Perform date : md5                                   HPt\ BK  
Use perfect forward secret                           ^~@3X[No  
Use DH : group 2                                     'Yc^9;C(  
Renegotiate IKE time : 5400 seconds p T z]8[^  
G8/q&6f_  
I,)\506  
2.网络接入流程 U^U hZ!  
NZ6:Zz M  
`R.Pz _oe  
T-/3 A%v  
0]=Bqyg  
STEP1:下载表格 #)[.Xz:U  
1)登录 http://www.aliyun.com/ 进入行业云->金融云->部署上云 页面 9e vQQN6D|  
2)在部署上云第5步,“选择您的机构业务接入方式”中,按照接入方式,选择相应表格进行下载。机构和阿里云之间通过专线连接的,请选择“专线接入申请”进行表格下载;VPN接入的则选择“IPSec VPN接入申请” )/~o'M3  
wrXn|aV  
<X1 lq9 lW  
ozl!vf# kv  
Y3(I;~$!  
STEP2:发起工单 .c__T {<)[  
1)登录工单系统 :http://workorder.aliyun.com/add.htm x7`+T 1IJ  
2)按照下图进行勾选提交,添加问题描述,将第一步的需求表格作为附件进行上传 p0]\QM l1  
}:;UnE}  
D<<q5gG  
{9x>@p/  
vX}w_Jj>  
%^nNt:N0  
STEP3:阿里网工反馈 Fpeokr"i  
1)阿里网工响应时间 Ry xu#]s  
24小时内接单,按照经验,3-5工作日完成专线联调,5-7工作日完成VPN联调,具体时间取决于机构侧和云盾防火墙的配置效率 twbxi{8e.  
2)阿里网工反馈内容,均为表格中黄色标识内容 Y5;afU='  
应用调用云端服务VIP,机构侧应用调用云端资源时,访问该VIP H=g%>W%3  
机构出口防火墙映射的NAT_IP,机构网工需要将机构侧的真实服务器IP映射成NAT_IP,阿里云云盾防火墙需要授权该NAT_IP访问ECS对应端口 `8Ych@f]  
8c_X`0jy  
,tg(aL  
                      图3—机构与阿里云的调用关系 RO%M9LISI  
~kSO YvK$'  
Fa v++z  
STEP4:防火墙策略策略配置 V`W']  
用户收到网工反馈后,按照下列策略进行防火墙设置,方能实现整个链路的网络通信 B'`25u_e<  
1)机构侧防火墙策略进行如下设置,由机构网工操作 U,61 3G  
打开机构侧真实IP到NAT_IP的防火墙策略 ) jvI Nb  
2)阿里云侧ECS防火墙策略进行如下设置,由阿里云账号所有者进行操作 ,R3TFVV!?  
在云盾防火墙上设置如下规则 2k^rZ^^"  
  • 【规则一】 授权NAT_IP访问ECS服务端口;授权10.139.144.0/24网段访问ECS服务端口(必须配置)
  • 【规则二】 允许NAT_IP ping访问;允许10.139.144.0/24网段ping访问(必须配置)
>w,jaQ  
   2.1)配置【规则一】,授权端口访问 la!U  
新建一个安全(不要在默认安全组下进行),配置云盾防火墙 Wi>m}^}9  
1云账号登录 http://www.aliyun.com/,选择“管理控制台->产品服务->云盾->服务详情->-安全管家->防火墙管理” !cM<&3/  
2、点击“创建安全组”,新建立一个应用安全组 )Ho"b  
在“安全组属性”中输入“安全组名称”和“安全组描述” lz36;Fp  
在“所属服务器”中添加需要应用安全组策略的服务器 @ F $}/  
在“入站规则”中授权源地址访问该安全组中服务器的服务端口。 WVOj ;c  
v>Kh5H5e~  
注意:源地址需要授权NAT IP和10.139.144.0/24,否则网络不通 ~1twGG_;  
.>.GQUr  
J[hmY=,  
   2.2)配置【规则二】,开通icmp协议,授权ping访问,通过jar小工具进行配置,命令行工具下载地址 aliyuncs-clt.zip (19 K) 下载次数:1446 O"\_%=X9  
       2.2.1)在云盾防火墙中获取默认安全组名称,如下图 '-[hy>t  
d ePk}Sn  
WWZ<[[ >  
Hc8He!X*#  
       2.2.2)在您可以连接互联网的工作电脑(而不是ECS)上打开jar工具,执行下列命令操作 bM:4i1Z  
登录命令行工具 -o`K/f}d  
java -jar aliyuncs.jar -id <您的Access Key ID>-secret <您的Access KeySecret> -service ECS:2013-01-10 m{X{h4t  
注:Access Key IDAccess Key Secret可以在阿里云官网 -> “用户中心” ->“我的服务” -> “安全认证中找到;其中 ECS:2013-01-10为常量,无需替换 a7F_{Mm  
q9j~|GE|  
允许源地址ping安全组中的服务器 C7*YZe  
AuthorizeSecurityGroup SecurityGroupId=G1803064809490796,IpProtocol=icmp,PortRange=-1/-1,SourceCidrIp=10.139.144.0/24,NicType=intranet,RegionId=cn-hangzhou-dg-a01 3!fR'L/i  
注:替换红色内容,将SourceCidrIp替换成你需要授权访问的IP(即为前面定义的NAT_IP和10.139.144.0/24);SecurityGroupId成您的默认安全组ID;RegionId当ECS位于杭州节点时代入hangzhou-dg-a01,位于青岛时代入cn-qingdao-cm5-a01 r^<,f[yH  
更多ECSAPI调用请参考《ECS-API-Reference-Full》手册 j%-Ems*H  
http://help.aliyun.com/view/11108189_13555701.html?spm=5176.7114037.1996646101.1.WO3GZC M<*Tp^Y'  
{Bk` Zlki  
z 5(5\j]  
注意:源地址SourceCidrIp需要授权NAT IP和10.139.144.0/24,否则网络不通 yI#qkl-  
GA[D@Wy  
8]`s&d@GY  
STEP5:联调 S Z/yijf  
1)联调方式: CsycR@[  
从真实服务器上telnet对端服务IP和端口 a3\~AO H%  
2)问题排查 "RK"Pn+  
从您的客户端telnet阿里云服务端口不通怎么办? ,pdzi9@=t  
在您的机房出口路由器上打开日志记录功能,查看信息是否已到达出口路由器,如果没有到达,请检查您的防火墙策略,如果已经到达,检查您的云服务器上防火墙是
否打开,如果确认已打开,联系阿里网工进行排查。 A:GqR;;"x>  
路由设备打开日志方式如下: mI4GBp  
(1)写好日志记录acl :/szA?:W  
ipaccess-list extended test-log permit ipany any log :.]EM*p?GV  
(2)应用到双方互联专线接口上Interface Gx/x(根据实际情况) Y$n+\K  
ipaccess-group in  ipaccess-group out (@xC-*  
(3)打开终端显示Terminal monitor ol/@)k^s>  
(4)从您的业务主机上telnet 阿里云的ECS服务器地址,可看到贵行的数据有没有正确的进入互联专线 )e`9U.C  
'h'pM#D  
F9K`N8wlu  
/}>8|#U3y  
5YNAb/! !F  
m?B=?;B9#  
Kb<c||2Nh5  
iJOG"gI&  
uj.$GAtO)  
y'odn ;  
(:`4*xK  
*~U.36  
w`f66*@Q1  
e.DN,rhqI  
Ea<\a1Tl43  
6O6B8  
E=,5%>C0#%  
.u#Hg'oP  
gAsmPI.K  
$#s5y~z  
+[uh);vD`G  
zc;kNkV#1Y  
[ 此帖被飞飞helen在2014-07-22 17:25重新编辑 ]
级别: 小白
发帖
14
云币
14
只看该作者 沙发  发表于: 2014-05-14
Re金融云网络接入介绍
式”中,按照接入方式,选择相应表格进行下载。如果系统有灾备架构,选择后缀有“适用云灾备”的excel表格进行填写 GiuE\J9i  
级别: 小白
发帖
3
云币
8
只看该作者 板凳  发表于: 2014-06-13
Re金融云专线/VPN网络接入介绍
对以上内容有什么不清晰或不了解的,欢迎大家提意见
级别: 新人
发帖
2
云币
2
只看该作者 地板  发表于: 2015-07-10
Re金融云专线/VPN网络接入介绍
我想问下,表格里面的各项内容都如何填写? 不应该给个像银行类似的模板出来吗?
级别: 新人
发帖
2
云币
2
只看该作者 4楼 发表于: 2015-07-10
Re金融云专线/VPN网络接入介绍
没表达清楚,我的意思是这类表格,不应该给个图片,类似于银行开户那种填写表格的时候工作人员会给你个类似于模板类的表格出来
级别: 新人
发帖
4
云币
4
只看该作者 5楼 发表于: 2015-11-08
Re金融云专线/VPN网络接入介绍
专线接入方案中,客户侧IP为何是阿里云分配的?仍然需要配置VPN?
级别: 新人
发帖
12
云币
15
只看该作者 6楼 发表于: 2015-11-10
Re金融云专线/VPN网络接入介绍
深圳金融云VPC何时能支持VPN?
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个