VPN 网关实例是连通 VPC 与本地数据中心的云上出入口。配置 IPsec 连接前，需先创建 VPN 网关实例。
选择VPN网关形态
VPN网关有增强型和传统型2种形态。
当前增强型VPN网关正处于邀测阶段，如需使用，请联系阿里云工程师进行服务开通。
选择建议
首次使用IPsec-VPN网关产品，建议选择增强型。增强型VPN按量付费，且支持多算法兼容模式，配置更简单。
针对正在使用传统型VPN的用户，如需更大的IPsec连接带宽，建议改用增强型VPN网关，每个IPsec连接的带宽默认独占1Gbps。
两者详细对比
对比项
增强型IPsec-VPN
传统型VPN
带宽
相比传统型VPN，VPN网关实例不再具备带宽规格属性
每个IPsec连接默认支持1Gbps独享带宽
VPN网关实例具备带宽规格属性，最大支持1000Mbps
VPN网关实例下的所有IPsec连接复用网关实例带宽
隧道IP
系统为每条IPsec隧道分配不同的云上IP地址
VPN网关实例下的所有IPsec隧道复用相同的云上IP地址
感兴趣流网段数
10个
5个
多算法兼容
支持，可同时配置多种算法
不支持
加密配置
加密算法：相比传统型VPN，新增支持AES128-GCM-16、AES256-GCM-16。
DH-Group：相比传统型VPN，新增支持DH group15～DH group24（共计10种）。
加密算法只支持AES-128、AES-192、AES-256、3DES、DES。
DH-Group只支持1/2/5/14。
SSL-VPN功能
不支持
支持
国密证书
不支持
支持
不支持
支持
计费
计费对象：IPsec连接
计费项：连接费+流量费
计费对象：VPN网关
计费项：实例费+流量费
示意图
创建VPN网关
创建增强型VPN网关（控制台）
前往控制台VPN网关页面，切换到增强型IPsec-VPN页签，单击创建增强型IPsec-VPN后进行配置：
所属地域：选择要连通的云上VPC所在的地域。
专有网络：选择目标VPC。
虚拟交换机1和虚拟交换机2：需选择关联的 VPC 和部署于不同可用区的 2 个交换机，确保跨可用区的高可用。开启 IPsec-VPN 后，系统会在 2 个交换机下各创建 1 个弹性网卡ENI，作为使用 IPsec 连接与 VPC 流量互通的接口。每个 ENI 会占用交换机下的 1 个 IP地址。
创建传统型VPN网关（控制台）
前往控制台VPN网关页面，切换到传统型VPN网关页签，单击创建VPN网关后进行配置：
地域和可用区：选择 VPC 所在的地域。
网关类型：选择普通型，建立 IPsec 连接后将使用国际标准商用密码算法（普通算法）。
网络类型：选择公网，将分配公网 IP 以建立 IPsec 连接。如需建立私网 IPsec 连接，建议使用私网 IPsec 连接绑定转发路由器。
隧道：选择双隧道。
VPC和虚拟交换机：需选择关联的 VPC 和部署于不同可用区的 2 个交换机，确保跨可用区的高可用。开启 IPsec-VPN 后，系统会在 2 个交换机下各创建 1 个弹性网卡ENI，作为使用 IPsec 连接与 VPC 流量互通的接口。每个 ENI 会占用交换机下的 1 个 IP地址。创建 VPN 网关后，不支持修改关联的交换机。
带宽峰值：不同地域下，VPN 网关支持的最大带宽规格不同。选择 5Mbps 或 10 Mbps 的带宽规格，将限制从本地数据中心去往 VPN 网关方向的带宽峰值为 10 Mbps。详见配额与限制。
开启IPsec-VPN，关闭SSL-VPN。
如果创建的 VPN 网关未开启 IPsec-VPN，可在目标 VPN 网关的功能配置列单击IPsec连接后的去开启。
为已有的 VPN 网关开启 IPsec-VPN，需要为当前计费周期的剩余时间补缴功能差价。
购买时长：
VPN网关的计费周期。默认值：按小时计费。
API
调用CreateEnhancedVpnGateway创建增强型VPN网关。
调用CreateVpnGateway创建传统型VPN 网关。
后续步骤
为实现云上VPC和云下IDC互通，VPN网关实例创建完成后还需要：
升级 VPN 网关（仅传统型）
传统型VPN 网关版本不断演进迭代，最新版本的传统型VPN 网关支持更多的功能特性，优化了和第三方厂商设备对接的兼容性。如果 VPN 网关非最新版本，可能会存在运行风险，强烈建议将其升级到最新版本，以体验更多功能并获得更稳定的网络能力。
此处的升级仅指将传统型VPN网关的版本升级至最新。传统型VPN网关不支持直接迁移为增强型，只能重新创建。
升级判断：可在 VPN 网关详情页根据升级按钮的状态判断 VPN 网关是否为最新版本。新购 VPN 网关默认为最新版本。
升级成本：
升级 VPN 网关约需要 10 分钟。
重要VPN 网关升级期间无法提供服务，已有连接也会中断。建议在网络维护窗口期间进行升级，以免影响业务运行。
升级 VPN 网关的操作不会产生费用。
升级限制：
VPN 网关不存在 IPsec 连接时，升级前后配置不变。
VPN 网关存在 IPsec 连接时：
若 IPsec 连接配置了多个网段且 IKE 版本为 IKEv1，则需要将 IKE 版本修改为 IKEv2，或者将多个网段拆分为多个IPsec连接才能进行升级，否则会升级失败。
若 VPN 网关的策略路由表或目的路由表页签下存在旧版 VPN 暂不支持此功能的提示，或者 VPN 网关在2019年03月21日之前创建且未进行过升级时：以上实例创建 IPsec 连接时默认仅需配置感兴趣流而无需配置路由，但是为最新版本的 VPN 网关创建 IPsec 连接时需要配置路由。因此，升级VPN网关后，需要为 VPN 网关配置路由以确保 IPsec 连接正常工作。
其余场景下，升级前后 IPsec 连接配置不变。
控制台
登录VPN网关管理控制台，在顶部菜单栏，选择 VPN 网关所属的地域。
单击目标 VPN 网关 ID 前往详情页，单击升级。
删除 VPN 网关
删除增强型VPN网关（控制台）
在目标VPN网关的操作列单击删除。
删除前，需确保 VPN 网关不存在 IPsec连接、SSL服务端和IPsec服务端。
删除传统型VPN网关（控制台）
API
增强型VPN：调用DeleteEnhancedVpnGateway删除。
传统型VPN：调用DeleteVpnGateway删除。
配额与限制
增强型VPN网关
对于已创建的传统型VPN网关，不支持直接迁移成增强型IPsec-VPN形态，建议重新创建。
增强型VPN网关不支持处理解密后的IP分片报文。
在增强型VPN网关中新增路由时，当前已有的存量流量需30s时间老化，之后使用新的路由指导转发。对于修改和删除路由，流量转发将会立即生效。
增强型VPN网关的单条隧道BGP接收路由条目超过2000时，会中断当前隧道的路由学习功能。
其他配额类限制，详见使用限制。
传统型VPN网关
不同 IPsec-VPN 隧道模式、带宽规格的传统型 VPN 网关，本地数据中心与传统型 VPN 网关之间两个方向的带宽峰值不完全相同。
IPsec-VPN隧道模式
传统型VPN网关带宽规格值
出云方向的带宽峰值
入云方向的带宽峰值
双隧道
> 10 Mbps
传统型VPN网关的带宽规格值。
传统型VPN网关的带宽规格值。
≤ 10 Mbps
传统型VPN网关的带宽规格值。
10 Mbps。
单隧道
> 100 Mbps
传统型VPN网关的带宽规格值。
传统型VPN网关的带宽规格值。
≤ 100 Mbps
传统型VPN网关的带宽规格值。
100 Mbps。
不同地域下，传统型VPN网关支持的最大带宽规格不同。
分类
地域
最大支持 1000 Mbps
华东1（杭州）、华东2（上海）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华北6（乌兰察布）、华南1（深圳）、华南2（河源）、华南3（广州）、西南1（成都）、中国香港、新加坡、日本（东京）、马来西亚（吉隆坡）、印度尼西亚（雅加达）、泰国（曼谷）、韩国（首尔）、菲律宾（马尼拉）、美国（硅谷）、美国（弗吉尼亚）、德国（法兰克福）、英国（伦敦）、墨西哥
最大支持 500 Mbps
阿联酋（迪拜）、沙特（利雅得）
沙特（利雅得）地域由合作伙伴运营。
其他配额类限制，详见使用限制。