VPN Gateway：建立和管理IPsec串連（雙隧道模式）

前提條件

• 建立IPsec串連前，建議您先瞭解雙隧道模式IPsec-VPN串連的組網說明。

• 請依據使用流程完成建立IPsec串連前的所有操作步驟。

建立IPsec串連

1. 登入VPN網關管理主控台。

2. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

3. 在IPsec串連頁面，單擊綁定雲企業網。

4. 在建立IPsec串連(CEN)頁面，根據以下資訊配置IPsec串連，然後單擊確定。

   基本配置

   說明

   在您建立第一個VPN網關執行個體或第一個IPsec串連（指IPsec串連綁定轉寄路由器的情境）時，系統將自動建立服務關聯角色AliyunServiceRoleForVpn，該服務關聯角色允許VPN網關對彈性網卡、安全性群組等資源進行操作，以便您可以成功建立VPN網關執行個體或IPsec串連。如果您的帳號下已存在該服務關聯角色，系統則不會重複建立。關於AliyunServiceRoleForVpn的更多資訊，請參見AliyunServiceRoleForVpn。

   配置	說明
   IPsec串連名稱	輸入IPsec串連的名稱。
   地區	選擇待綁定的轉寄路由器所屬的地區。 IPsec串連建立完成後所屬地區與轉寄路由器地區相同。
   資源群組篩選	選擇雲企業網執行個體所屬的資源群組。 如果您不選擇，系統直接展示所有資源群組下的雲企業網執行個體。
   網關類型	選擇IPsec串連的網路類型。 公網（預設值）：表示通過公網建立IPsec-VPN串連。 私網：表示基於私網建立IPsec-VPN串連，實現私網流量的加密通訊。
   綁定雲企業網	選擇IPsec串連要綁定的轉寄路由器所屬帳號。 本帳號綁定：選擇此項後，您需要指定當前帳號下的一個雲企業網執行個體，建立IPsec串連時，系統會直接將IPsec串連綁定至雲企業網執行個體中當前地區的轉寄路由器執行個體。 跨帳號綁定：選擇此項後，IPsec串連建立完成後預設未綁定轉寄路由器，您在IPsec串連詳情頁面進行跨帳號授權操作後，可將IPsec串連綁定至跨帳號的轉寄路由器執行個體。 如果未進行跨帳號授權操作，則IPsec串連僅可被綁定至本帳號的轉寄路由器執行個體。 說明 如果要更換IPsec串連綁定的轉寄路由器執行個體，您需要先在原轉寄路由器執行個體下卸載VPN串連，然後在目標轉寄路由器下重新建立VPN串連。
   Cloud Enterprise Network執行個體ID	選擇轉寄路由器執行個體所屬的雲企業網執行個體。 系統將會一併展示雲企業網執行個體在該地區建立的轉寄路由器執行個體ID和轉寄路由器位址區段，IPsec串連將會被綁定至該轉寄路由器。 說明 僅當綁定雲企業網選擇本帳號綁定時，需要配置該項。
   路由模式	選擇IPsec串連的路由模式。 目的路由模式（預設值）：基於目的IP地址路由和轉寄流量。 感興趣流模式：基於源IP地址和目的IP地址精確地路由和轉寄流量。 選擇感興趣流模式後，您需要配置本端網段和對端網段。IPsec串連配置完成後，系統自動在IPsec串連下的目的路由表中添加目的路由，路由預設會被發布至IPsec串連關聯的轉寄路由器的路由表中。
   本端網段	路由模式選擇感興趣流模式時，需輸入需要和本機資料中心互連的阿里雲側的網段。第二階段協商時會協商兩端的感興趣流，阿里雲側本端網段和本機資料中心側對端網段建議保持一致。 單擊文字框右側的表徵圖，可添加多個需要和本機資料中心互連的阿里雲側的網段。 說明 如果您配置了多個網段，則後續IKE協議的版本需要選擇為ikev2。
   對端網段	路由模式選擇感興趣流模式時，需輸入需要和阿里雲互連的本機資料中心側的網段。第二階段協商時會協商兩端的感興趣流，阿里雲側對端網段和本機資料中心側本端網段建議保持一致。 單擊文字框右側的表徵圖，可添加多個需要和阿里雲側互連的本機資料中心側的網段。 說明 如果您配置了多個網段，則後續IKE協議的版本需要選擇為ikev2。
   立即生效	選擇IPsec串連的配置是否立即生效。 是（預設值）：配置完成後系統立即進行IPsec協議協商。 否：當有流量進入時系統才進行IPsec協議協商。

   隧道配置

   重要

   建立雙隧道模式的IPsec串連時，請配置兩條隧道使其均為可用狀態，如果您僅配置或僅使用了其中一條隧道，則無法體驗IPsec-VPN串連鏈路冗餘能力以及可用性區域層級的容災能力。

   配置	說明
   啟用BGP	如果IPsec串連需要使用BGP路由協議，需要開啟BGP功能。系統預設關閉BGP功能。 使用BGP動態路由功能前，請確保您的本地網關裝置支援BGP功能，同時建議您先瞭解BGP動態路由工作機制和使用限制。
   本端自治系統號	啟用BGP功能後，輸入隧道本端（阿里雲側）的自治系統號，兩條隧道使用相同的自治系統號。預設值：45104。自治系統號取值範圍：1~4294967295。 說明 建議您使用自治系統號的私人號碼與阿里雲建立BGP串連。自治系統號的私人號碼範圍請自行查閱文檔。
   使用者網關	選擇隧道待關聯的使用者網關。
   預先共用金鑰	輸入隧道的認證密鑰，用於隧道與隧道對端之間的身份認證。 密鑰長度為1~100個字元，支援數字、大小寫英文字母及右側字元~`!@#$%^&*()_-+={}[]\|;:',.<>/?，不能包含空格。 若您未指定預先共用金鑰，系統會隨機產生一個16位的字串作為預先共用金鑰。建立IPsec串連後，您可以通過隧道的編輯按鈕查看系統產生的預先共用金鑰。具體操作，請參見修改隧道的配置。 重要 隧道及隧道對端的預先共用金鑰需一致，否則系統無法正常建立隧道。

   加密配置

   配置	說明
   加密配置：IKE配置
   版本	選擇IKE協議的版本。 ikev1 ikev2（預設值） 相對於IKEv1版本，IKEv2版本簡化了SA的協商過程並且對於多網段的情境提供了更好的支援，推薦選擇IKEv2版本。
   協商模式	選擇協商模式。 main（預設值）：主模式，協商過程安全性高。 aggressive：野蠻模式，協商快速且協商成功率高。 協商成功後兩種模式的資訊傳輸安全性相同。
   密碼編譯演算法	選擇第一階段協商使用的密碼編譯演算法。 密碼編譯演算法支援aes（aes128，預設值）、aes192、aes256、des和3des。 說明 推薦使用aes、aes192、aes256密碼編譯演算法，不推薦使用des、3des密碼編譯演算法。 aes是一種對稱金鑰密碼編譯演算法，提供高強度的加密和解密，在保證資料安全傳輸的同時對網路延遲、輸送量、轉寄效能影響較小。 3des是三重資料加密演算法，加密時間較長且演算法複雜度較高，運算量較大，相比aes會降低轉寄效能。
   認證演算法	選擇第一階段協商使用的認證演算法。 認證演算法支援sha1（預設值）、md5、sha256、sha384和sha512。 說明 在部分本地網關裝置上添加VPN配置時，可能需要指定PRF演算法，PRF演算法與IKE階段認證演算法保持一致即可。
   DH分組	選擇第一階段協商的Diffie-Hellman金鑰交換演算法。 group1：表示DH分組中的DH1。 group2（預設值）：表示DH分組中的DH2。 group5：表示DH分組中的DH5。 group14：表示DH分組中的DH14。
   SA生存周期（秒）	設定第一階段協商出的SA的生存周期。單位：秒。預設值：86400。取值範圍：0~86400。
   LocalId	輸入隧道本端的標識符，用於第一階段的協商。預設值為隧道的網關IP地址。 該參數僅作為標識符用於在IPsec-VPN串連協商中標識阿里雲，無其他作用。支援使用IP地址格式或FQDN（Fully Qualified Domain Name）格式，不能包含空格。推薦使用私網IP地址作為隧道本端的標識。 如果LocalId使用了FQDN格式，例如輸入example.aliyun.com，則本地網關裝置上IPsec串連的對端ID需與LocalId的值保持一致，協商模式建議選擇為aggressive（野蠻模式）。
   RemoteId	輸入隧道對端的標識符，用於第一階段的協商。預設值使用隧道關聯的使用者網關中的IP地址作為隧道對端標識符。 該參數僅作為標識符用於在IPsec-VPN串連協商中標識本地網關裝置，無其他作用。支援使用IP地址格式或FQDN（Fully Qualified Domain Name）格式，不能包含空格。推薦使用私網IP地址作為隧道對端的標識。 如果RemoteId使用了FQDN格式，例如輸入example.aliyun.com，則本地網關裝置上本端ID需與RemoteId的值保持一致，協商模式建議選擇為aggressive（野蠻模式）。
   加密配置：IPsec配置
   密碼編譯演算法	選擇第二階段協商的密碼編譯演算法。 密碼編譯演算法支援aes（aes128，預設值）、aes192、aes256、des和3des。 說明 推薦使用aes、aes192、aes256密碼編譯演算法，不推薦使用des、3des密碼編譯演算法。 aes是一種對稱金鑰密碼編譯演算法，提供高強度的加密和解密，在保證資料安全傳輸的同時對網路延遲、輸送量、轉寄效能影響較小。 3des是三重資料加密演算法，加密時間較長且演算法複雜度較高，運算量較大，相比aes會降低轉寄效能。
   認證演算法	選擇第二階段協商的認證演算法。 認證演算法支援sha1（預設值）、md5、sha256、sha384和sha512。
   DH分組	選擇第二階段協商的Diffie-Hellman金鑰交換演算法。 disabled：表示不使用DH金鑰交換演算法。 如果隧道對端的本地網關裝置不支援PFS，請選擇disabled。 如果選擇為非disabled的任何一個組，會預設開啟完美向前加密PFS（Perfect Forward Secrecy）功能，使得每次重協商都要更新密鑰，因此，相應的隧道對端的本地網關裝置也要開啟PFS功能。 group1：表示DH分組中的DH1。 group2（預設值）：表示DH分組中的DH2。 group5：表示DH分組中的DH5。 group14：表示DH分組中的DH14。
   SA生存周期（秒）	設定第二階段協商出的SA的生存周期。單位：秒。預設值：86400。取值範圍：0~86400。
   DPD	選擇開啟或關閉對等體存活檢測DPD（Dead Peer Detection）功能。DPD功能預設開啟。 開啟DPD功能後，IPsec串連會發送DPD報文用來檢測對端的裝置是否存活，如果在設定時間內未收到正確回應則認為對端已經斷線，IPsec串連將刪除ISAKMP SA和相應的IPsec SA，安全隧道同樣也會被刪除。DPD檢測逾時後，IPsec串連會自動重新發起IPsec-VPN隧道協商。DPD報文的逾時時間為30秒。
   NAT穿越	選擇開啟或關閉NAT（Network Address Translation）穿越功能。NAT穿越功能預設開啟。 開啟NAT穿越功能後，IKE協商過程會刪除對UDP連接埠號碼的驗證過程，同時能幫您發現加密通訊通道中的NAT Gateway裝置。

   BGP配置

   如果您已經開啟了IPsec串連的BGP功能，您可以根據以下資訊指定BGP隧道網段以及阿里雲側BGP隧道IP地址。如果您未開啟IPsec串連的BGP功能，支援在建立IPsec串連後單獨為隧道開啟BGP功能並添加相應配置。

   配置項	說明
   隧道網段	輸入隧道網段。 隧道網段需要是在169.254.0.0/16內的子網路遮罩為30的網段，且不能是169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30和169.254.169.252/30。 說明 一個IPsec串連下兩條隧道的隧道網段不能相同。
   本端BGP地址	輸入隧道本端的BGP IP地址。 該地址為隧道網段內的一個IP地址。

   進階配置

   建立IPsec串連時如果直接綁定本帳號的轉寄路由器，系統會預設選中以下三種進階功能協助您配置路由。您也可以取消選中以下進階功能，後續通過轉寄路由器的多個路由功能自訂網路連通性。

   配置項	說明
   自動發布路由	開啟本功能後，系統會將轉寄路由器路由表（指IPsec串連關聯的轉寄路由器路由表）中的路由條目自動傳播至IPsec串連的BGP路由表中。 說明 在IPsec串連和本機資料中心之間運行BGP動態路由協議的情況下，本功能才會生效。 後續您也可以通過自動發布路由功能關閉該功能。具體操作，請參見關閉路由同步。
   自動關聯至轉寄路由器的預設路由表	開啟本功能後，IPsec串連會關聯至轉寄路由器的預設路由表，轉寄路由器會通過查詢預設路由錶轉發來自IPsec串連的流量。
   自動傳播系統路由至轉寄路由器的預設路由表	開啟本功能後，系統會將IPsec串連目的路由表和BGP路由表中的路由傳播至轉寄路由器的預設路由表中。

5. IPsec串連建立完成後，保持在IPsec串連頁面，找到目標IPsec串連，在操作列單擊產生對端配置。

6. 在IPsec串連配置對話方塊複製配置並儲存到您本地，後續用於配置本地網關裝置。

查看IPsec串連隧道資訊

建立IPsec串連後，您可以在IPsec串連詳情頁面下查看兩條隧道的狀態和資訊。

1. 登入VPN網關管理主控台。

2. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

3. 在頂部功能表列，選擇IPsec串連的地區。

4. 在IPsec串連頁面，找到目標IPsec串連，單擊IPsec串連ID。

5. 在IPsec串連詳情頁面，查看IPsec串連兩條隧道的狀態和資訊。

   欄位	說明
   Tunnel/Tunnel ID	隧道ID。
   網關IP	系統為隧道分配的網關IP地址，用於建立加密隧道。
   預先共用金鑰	隧道使用的預先共用金鑰。 預先共用金鑰預設加密，滑鼠移動至查看字樣上可顯示預先共用金鑰。
   隧道網段	如果隧道開啟了BGP動態路由功能，則該欄位顯示為隧道使用的BGP隧道網段。
   本端BGP地址	如果隧道開啟了BGP動態路由功能，則該欄位顯示為阿里雲側使用的BGP IP地址。
   串連狀態	隧道的IPsec-VPN協商狀態。 如果IPsec-VPN協商成功，控制台會顯示第二階段協商成功。 如果IPsec-VPN未能協商成功，控制台會給出相應提示，您可以根據提示排查未協商成功的原因。相關解決方案，請參見自主排查IPsec-VPN串連問題。
   使用者網關	隧道關聯的使用者網關執行個體。 使用者網關執行個體中包含了本機資料中心側使用的IP地址和BGP AS號。
   狀態	隧道運行狀態。 正常 更新中 刪除中

通過調用API建立和管理IPsec串連

支援通過阿里雲 SDK（推薦）、阿里雲 CLI、Terraform、Resource Orchestration Service等工具調用API建立和管理IPsec串連。相關API說明，請參見：

• CreateVpnAttachment - 建立IPsec串連

• ModifyVpnAttachmentAttribute - 修改IPsec串連的配置

• DeleteVpnAttachment - 刪除IPsec串連

• DescribeVpnAttachments - 查詢已綁定轉寄路由器執行個體的IPsec串連的配置資訊

• DownloadVpnConnectionConfig - 擷取IPsec串連的配置資訊

• CheckVpnBgpEnabled - 查詢IPsec串連所屬的地區是否支援BGP功能