VPN Gateway：使用靜態和BGP動態路由方式實現物理專線私網流量加密傳輸

步驟一：通過物理專線和轉寄路由器實現IDC與VPC私網互連

步驟二：加密物理專線私網流量

本地IDC與VPC實現私網互連後，您可以在本地網關裝置與轉寄路由器間建立私網網路類型的IPsec-VPN串連，然後通過路由配置，引導本地IDC與VPC之間的流量通過私網IPsec-VPN串連進行傳輸，實現加密物理專線私網流量。

第1步：建立私網IPsec-VPN串連

1. 為轉寄路由器添加轉寄路由器位址區段10.10.10.0/24。具體操作，請參見建立轉寄路由器後添加位址區段。

   轉寄路由器位址區段用於為IPsec串連分配網關IP地址，以便建立私網IPsec-VPN串連。轉寄路由器位址區段不能與本地IDC、VPC中要參與網路互連的網段衝突。

2. 建立2個使用者網關，將本地網關裝置的2個VPN IP地址和BGP AS號註冊至阿里雲。

   1. 登入VPN網關管理主控台。

   2. 在左側導覽列，選擇網間互聯 > VPN > 使用者網關。

   3. 在使用者網關頁面，單擊建立使用者網關。

   4. 在建立使用者網關面板，根據以下資訊進行配置，然後單擊確定。

      以下僅列舉本文強相關的配置項，其餘配置項保持預設狀態。更多資訊，請參見建立和系統管理使用者網關。

      • 使用者網關1

        • 名稱：定義使用者網關名稱為Customer-Gateway1。

        • IP地址：輸入本地網關裝置的VPN IP地址1192.168.10.136。

        • 自治系統號：輸入本地網關裝置的BGP AS號65530。

      • 使用者網關2

        • 名稱：定義使用者網關名稱為Customer-Gateway2。

        • IP地址：輸入本地網關裝置的VPN IP地址2192.168.40.159。

        • 自治系統號：輸入本地網關裝置的BGP AS號65530。

3. 建立IPsec串連。

   1. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

   2. 在IPsec串連頁面，單擊建立IPsec串連。

   3. 在建立IPsec串連頁面，根據以下資訊配置IPsec串連，然後單擊確定。

      以下內容僅列舉本文強相關的配置項，其餘配置項保持預設狀態。更多資訊，請參見建立和管理IPsec串連（雙隧道模式）。

      配置項	IPsec串連
      名稱	定義為IPsec串連。
      綁定資源	選擇Cloud Enterprise Network。
      網關類型	選擇私網。
      Cloud Enterprise Network執行個體ID	選擇已建立的雲企業網執行個體。
      轉寄路由器	系統自動顯示雲企業網執行個體已在當前地區建立的轉寄路由器執行個體ID。
      路由模式	本文使用目的路由模式，後續通過路由控制傳輸的流量。
      啟用BGP	開啟BGP功能。
      本端自治系統號	輸入IPsec串連的BGP AS號65534。
      Tunnel 1
      使用者網關	關聯Customer-Gateway1。
      預先共用金鑰	fddsFF111****。 重要 IPsec串連及其對端網關裝置配置的預先共用金鑰需一致，否則系統無法正常建立IPsec-VPN串連。
      加密配置	除以下參數外，其餘配置項保持預設值。 IKE配置的DH分組選擇group14。 IPsec配置的DH分組選擇group14。 說明 您需要根據本地網關裝置的支援情況選擇加密配置參數，確保IPsec串連和本地網關裝置的加密配置保持一致。
      BGP配置	隧道網段：輸入169.254.10.0/30。 本端BGP地址：輸入169.254.10.1。
      Tunnel 2
      使用者網關	關聯Customer-Gateway2。
      預先共用金鑰	fddsFF222****。
      加密配置	除以下參數外，其餘配置項保持預設值。 IKE配置的DH分組選擇group14。 IPsec配置的DH分組選擇group14。 說明 您需要根據本地網關裝置的支援情況選擇加密配置參數，確保IPsec串連和本地網關裝置的加密配置保持一致。
      BGP配置	隧道網段：輸入169.254.20.0/30。 本端BGP地址：輸入169.254.20.1。
      進階配置	使用預設路由配置，即開啟所有進階配置選項。

      IPsec串連建立完成後，您可以在IPsec串連詳情頁面查看IPsec串連的網關IP地址，IPsec串連將使用這2個網關IP地址與本地網關裝置建立私網IPsec-VPN串連。

4. 返回IPsec串連頁面，找到建立的IPsec串連，在操作列單擊產生對端配置。

   對端配置是指需要在IPsec串連對端添加的VPN配置。本文情境中您需要將這些配置添加在本地網關裝置上。

5. 在IPsec串連配置對話方塊，複製配置並儲存在您的本地，用於後續配置本地網關裝置。

6. 配置本地網關裝置。

   建立IPsec串連後，您需要在本地網關裝置上添加VPN配置，使本地網關裝置與阿里雲之間成功建立私網IPsec-VPN串連。

   單擊查看本地網關裝置配置。

   1. 登入思科防火牆的命令列視窗並進入配置模式。

      ciscoasa> enable
      Password: ********             #輸入進入enable模式的密碼。
      ciscoasa# configure terminal   #進入配置模式。
      ciscoasa(config)#     

   2. 查看介面配置和路由配置。

      思科防火牆已完成了介面配置，並已開啟介面。以下為本文的介面配置樣本。

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3               #對接私網IPsec-VPN隧道1的介面
       nameif VPN-IP1                            #GigabitEthernet0/3介面名稱。
       security-level 0
       ip address 192.168.10.136 255.255.255.0   #GigabitEthernet0/3介面配置的私網IP地址。
      !
      interface GigabitEthernet0/4               #對接私網IPsec-VPN隧道2的介面
       nameif VPN-IP2                            #GigabitEthernet0/4介面名稱。
       security-level 0
       ip address 192.168.40.159  255.255.255.0  #GigabitEthernet0/4介面配置的私網IP地址。
      !
      
      #配置訪問轉寄路由器位址區段（IPsec串連網關IP地址）的路由，以便建立私網IPsec-VPN串連。
      route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #配置訪問阿里雲側隧道1私網IP地址的路由
      route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #配置訪問阿里雲側隧道2私網IP地址的路由

   3. 為介面開啟IKEv2功能。

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. 建立IKEv2 Policy，指定IKE階段認證演算法、密碼編譯演算法、DH分組和SA生存周期，需和阿里雲側保持一致。

      重要

      阿里雲側配置IPsec串連時，IKE配置階段的密碼編譯演算法、認證演算法和DH分組均只支援指定一個值，不支援指定多個值。建議在思科防火牆中IKE設定階段的密碼編譯演算法、認證演算法和DH分組也均只指定一個值，該值需與阿里雲側保持一致。

      crypto ikev2 policy 10     
       encryption aes             #指定密碼編譯演算法。
       integrity sha              #指定認證演算法。
       group 14                   #指定DH分組。
       prf sha                    #prf和integrity保持一致，阿里雲側prf與認證演算法預設保持一致。
       lifetime seconds 86400     #指定SA生存周期。

   5. 建立IPsec proposal和profile，指定思科防火牆側的IPsec階段密碼編譯演算法、認證演算法、DH分組和SA生存周期，需和阿里雲側保持一致。

      重要

      阿里雲側配置IPsec串連時，IPsec配置階段的密碼編譯演算法、認證演算法和DH分組均只支援指定一個值，不支援指定多個值。建議在思科防火牆中IPsec設定階段的密碼編譯演算法、認證演算法和DH分組也均只指定一個值，該值需與阿里雲側保持一致。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #建立ipsec proposal。
       protocol esp encryption aes                         #指定密碼編譯演算法，協議使用ESP，阿里雲側固定使用ESP協議。
       protocol esp integrity sha-1                        #指定認證演算法，協議使用ESP，阿里雲側固定使用ESP協議。
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #建立ipsec profile並應用已建立的proposal。 
       set ikev2 local-identity address                    #指定本端ID使用IP地址格式，與阿里雲側RemoteId格式保持一致。
       set pfs group14                                     #指定pfs和DH分組。
       set security-association lifetime seconds 86400     #指定基於時間的SA生存周期。
       set security-association lifetime kilobytes unlimited #關閉基於流量的SA生存周期。

   6. 建立tunnel group，指定隧道的預先共用金鑰，需和阿里雲側保持一致。

      tunnel-group 10.10.10.49 type ipsec-l2l                    #指定隧道1的封裝模式為l2l。
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  #指定隧道1對端的預先共用金鑰，即阿里雲側的預先共用金鑰。
       ikev2 local-authentication pre-shared-key fddsFF111****   #指定隧道1本段的預先共用金鑰，需和阿里雲側的保持一致。
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #指定隧道2的封裝模式為l2l。
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  #指定隧道2對端的預先共用金鑰，即阿里雲側的預先共用金鑰。
       ikev2 local-authentication pre-shared-key fddsFF222****   #指定隧道2本段的預先共用金鑰，需和阿里雲側的保持一致。
      !

   7. 建立tunnel介面。

      interface Tunnel1                                  #建立隧道1的介面。
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #指定介面的IP地址。
       tunnel source interface VPN-IP1                   #指定隧道1源地址為介面GigabitEthernet0/3。
       tunnel destination 10.10.10.49                    #指定隧道1目的地址為阿里雲側隧道1的私網IP地址。
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道1應用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #開啟隧道1介面。
      !
      interface Tunnel2                                  #建立隧道2的介面。
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           #指定介面的IP地址。
       tunnel source interface VPN-IP2                   #指定隧道2源地址為介面GigabitEthernet0/4。
       tunnel destination 10.10.10.50                    #指定隧道2目的地址為阿里雲側隧道2的私網IP地址。
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道2應用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #開啟隧道2介面。
      !

   完成上述配置後，本地網關裝置已經可以與阿里雲成功建立私網IPsec-VPN串連，但BGP鄰居尚未建立成功。您可以在阿里雲IPsec串連執行個體詳情頁面查看私網IPsec-VPN串連狀態。如果您的環境中未成功建立私網IPsec-VPN串連，請嘗試自助排查問題。具體操作，請參見IPsec-VPN自助診斷。

第2步：配置路由

私網IPsec-VPN串連建立完成後，本地IDC與VPC之間的流量依舊是通過物理專線傳輸，還未進行加密。需要添加相關路由使本地IDC與VPC之間的流量通過私網IPsec-VPN串連進行傳輸。

1. 在本地網關裝置上添加BGP配置，使本地網關裝置與IPsec串連成功建立BGP鄰居關係，本地IDC和VPC可通過BGP動態路由協議自動學習對方的路由。

   #添加BGP配置，使本地網關裝置與IPsec串連建立BGP鄰居關係
   router bgp 65530
    address-family ipv4 unicast
     neighbor 169.254.10.1 remote-as 65534       #指定BGP鄰居，即阿里雲側隧道1的IP地址。
     neighbor 169.254.10.1 activate              #啟用BGP鄰居。
     neighbor 169.254.20.1 remote-as 65534       #指定BGP鄰居，即阿里雲側隧道2的IP地址。
     neighbor 169.254.20.1 activate              #啟用BGP鄰居。
     network 192.168.10.0 mask 255.255.255.0     #宣告本地IDC的網段，該網段需比在VBR執行個體中添加的本地IDC網段更明細。
     network 192.168.20.0 mask 255.255.255.0
     network 192.168.40.0 mask 255.255.255.0 
     maximum-paths 5                             #提升BGP ECMP等價路由條目數量。
    exit-address-family
    
   #修改去往阿里雲VPC（172.16.0.0/16）的靜態路由的優先順序，使靜態路由的優先順序低於BGP路由，BGP路由的metric值預設是20。
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2 30

2. 為轉寄路由器添加自訂路由條目。

   上述路由配置完成後，私網IPsec-VPN串連會中斷，需要在轉寄路由器路由表中添加去往本地網關裝置VPN IP地址的明細路由，下一跳指向VBR執行個體，重建立立私網IPsec-VPN串連。

   1. 保持在转发路由器路由表頁簽，單擊路由條目頁簽，然後單擊建立路由條目。

   2. 在添加路由條目對話方塊，配置路由條目資訊，然後單擊確定。

      配置項	網段1	網段2
      目的地址CIDR	輸入本地網關裝置VPN IP地址1192.168.10.136/32。	輸入本地網關裝置VPN IP地址2192.168.40.159/32。
      是否為黑洞路由	選擇否。
      下一跳串連	選擇VBR-Attachment。

3. 在轉寄路由器路由表下添加路由策略，拒絕私網IPsec-VPN串連向本地IDC傳播本地網關裝置VPN IP地址的路由，防止路由環路。

   1. 登入雲企業網管理主控台。

   2. 在雲企業網執行個體頁面，找到已建立的雲企業網執行個體，單擊目標執行個體ID。

   3. 在雲企業網執行個體詳情頁面，單擊華東1（杭州）地區的轉寄路由器ID。

   4. 在轉寄路由器詳情頁面，單擊轉寄路由器路由表頁簽，然後單擊路由策略。

   5. 在路由策略頁簽，單擊添加路由策略。根據以下資訊配置路由策略，然後單擊確定。

      以下內容僅列舉本文強相關的配置項，其餘配置項保持預設狀態。更多資訊，請參見路由策略。

      • 策略優先順序：本文輸入40。

      • 關聯路由表：保持預設值。

      • 生效方向：選擇出地區網關。

      • 匹配條件：

        • 目的執行個體ID列表：IPsec串連執行個體ID。

        • 路由首碼：選擇精確匹配，輸入本地網關裝置VPN IP地址192.168.10.136/32、192.168.40.159/32。

      • 策略行為：選擇拒絕。

步驟三：驗證加密效果

完成上述配置後，如果您可以在IPsec串連詳情頁面查看到流量傳輸監控資料，則證明物理專線的私網流量已經過加密處理。

1. 登入VPC中的ECS1執行個體。執行ping命令，持續訪問本地IDC網段下的任意一台用戶端。

   ping <本地IDC用戶端IP地址> -s 1000 -c 10000

   • -s 1000：指定發送1000位元組的資料包。

   • -c 10000：持續發送10000個請求包。

2. 登入VPN網關管理主控台。

3. 在頂部狀態列處，選擇華東1（杭州）地區。

4. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

5. 在IPsec串連頁面，找到已建立的IPsec串連，單擊IPsec串連ID。

   在IPsec串連詳情頁面查看流量傳輸監控資料。