通過VPN網關實現本地IDC與DTS雲端服務互連

在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

在頂部功能表列選擇IPsec串連的地區。

IPsec串連的地區需和VPN網關執行個體的地區相同。

在建立成功對話方塊中，單擊確定。

返回IPsec串連頁面，找到建立的IPsec串連，在操作列單擊產生對端配置。

對端配置是指需要在IPsec串連對端添加的VPN配置。本文情境中您需要將這些配置添加在本地網關裝置上。

在IPsec串連配置對話方塊，複製配置並儲存在您的本地，用於後續配置本地網關裝置。

根據儲存在本地的IPsec串連對端配置，在本地網關裝置中添加VPN配置。

1. 登入本地網關裝置的命令列配置介面。

2. 執行以下命令，配置ikev2 proposal和policy。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //配置密碼編譯演算法，本樣本為aes-cbc-128。
   integrity sha1                  //配置認證演算法，本樣本為sha1。
   group 2                         //配置DH分組，本樣本為group2。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 執行以下命令，配置ikev2 keyring。

   //在本地網關裝置1上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.3               //配置雲上IPsec串連主隧道公網IP地址，本樣本為47.XX.XX.3。
   pre-shared-key fddsFF123****     //配置預先共用金鑰，本樣本為fddsFF123****。
   exit
   !
   //在本地網關裝置2上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.169               //配置雲上IPsec串連備隧道公網IP地址，本樣本為47.XX.XX.169。
   pre-shared-key fddsFF456****     //配置預先共用金鑰，本樣本為fddsFF456****。
   exit
   !

4. 執行以下命令，配置ikev2 profile。

   //在本地網關裝置1上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.3 255.255.255.255    //匹配雲上IPsec串連主隧道公網IP地址，本樣本為47.XX.XX.3。
   identity local address 211.XX.XX.36    //本地網關裝置1的公網IP地址，本樣本為211.XX.XX.36。
   authentication remote pre-share   //認證對端的方式為PSK（預先共用金鑰的方式）。
   authentication local pre-share    //認證本端的方式為PSK。
   keyring local alicloud            //調用密鑰串。
   exit
   !
   //在本地網關裝置2上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.169 255.255.255.255    //匹配雲上IPsec串連備隧道公網IP地址，本樣本為47.XX.XX.169。
   identity local address 211.XX.XX.71    //本地網關裝置2的公網IP地址，本樣本為211.XX.XX.71。
   authentication remote pre-share   //認證對端的方式為PSK（預先共用金鑰的方式）。
   authentication local pre-share    //認證本端的方式為PSK。
   keyring local alicloud            //調用密鑰串。
   exit
   !

5. 執行以下命令，配置transform。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 配置ACL（存取控制清單），定義需要保護的資料流。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

7. 配置IPsec策略。

   //在本地網關裝置1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100
   //在本地網關裝置2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100

8. 執行以下命令，配置IPsec隧道。

   //在本地網關裝置1上添加如下配置
   interface GigabitEthernet1                 //配置與雲上IPsec串連建立VPN主隧道的介面IP地址。
   ip address 211.XX.XX.36 255.255.255.0
   crypto map ipsecpro64			//應用IPsec策略
   negotiation auto
   !
   //在本地網關裝置2上添加如下配置
   interface GigabitEthernet1                 //配置與雲上IPsec串連建立VPN備隧道的介面IP地址。
   ip address 211.XX.XX.71 255.255.255.0
   crypto map ipsecpro64		  //應用IPsec策略
   negotiation auto
   !

根據儲存在本地的IPsec串連對端配置，在本地網關裝置中添加VPN配置。

1. 登入本地網關裝置的命令列配置介面。

2. 配置isakmp策略。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   crypto isakmp policy 1 
   authentication pre-share 
   encryption aes
   hash sha 
   group  2
   lifetime 86400

3. 配置預先共用金鑰。

   //在本地網關裝置1上添加如下配置
   crypto isakmp key fddsFF123**** address 47.XX.XX.3
   //在本地網關裝置2上添加如下配置
   crypto isakmp key fddsFF456**** address 47.XX.XX.169

4. 配置IPsec安全性通訊協定。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac 
   mode tunnel

5. 配置ACL（存取控制清單），定義需要保護的資料流。

   //分別在本地網關裝置1和本地網關裝置2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

6. 配置IPsec策略。

   //在本地網關裝置1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set ipsecpro64
   set pfs group2
   match address 100
   //在本地網關裝置2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set ipsecpro64
   set pfs group2
   match address 100

7. 應用IPsec策略。

   //分別在本地網關裝置1上添加如下配置
   interface GigabitEthernet1    //在配置公網IP地址的介面下應用IPsec策略
   crypto map ipsecpro64
   //分別在本地網關裝置2上添加如下配置
   interface GigabitEthernet1    //在配置公網IP地址的介面下應用IPsec策略
   crypto map ipsecpro64

在本地網關裝置1和本地網關裝置2中添加路由配置。

1. 在本地網關裝置1和本地網關裝置2中添加去往VPC的路由。

   //在本地網關裝置1上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
   //在本地網關裝置2上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

2. 請根據您的實際網路環境按需在本機資料中心添加路由配置，使本機資料中心去往VPC的流量優先通過本地網關裝置1進行傳輸，在本地網關裝置1故障後可以自動通過本地網關裝置2進行傳輸。具體命令，請諮詢相關裝置廠商。