双隧道模式的IPsec-VPN连接拥有主备两条隧道，在主隧道故障后，流量可以通过备隧道进行传输，提高了IPsec-VPN连接的高可用性。本文介绍如何将IPsec-VPN连接升级为双隧道模式。
背景信息
升级IPsec-VPN连接为双隧道模式前，建议您先了解双隧道模式的组网拓扑、流量传输路径等信息。相关文档，请参见【升级公告】IPsec-VPN连接升级为双隧道模式。
支持的地域和可用区
以下地域和可用区的IPsec-VPN连接支持升级为双隧道模式。
地域 | 可用区 |
华东1（杭州） | K、J、I、H、G |
华东2（上海） | K、L、M、N、B、D、E、F、G |
华东5（南京-本地地域） | A |
华南1（深圳） | A（已停止售卖）、E、D、F |
华南2（河源） | A、B |
华南3（广州） | A、B |
华北1（青岛） | B、C |
华北2（北京） | F、E、H、G、A、C、J、I、L、K |
华北3（张家口） | A、B、C |
华北5（呼和浩特） | A、B |
华北6（乌兰察布） | A、B、C |
西南1（成都） | A、B |
中国香港 | B、C、D |
新加坡 | A、B、C |
泰国（曼谷） | A |
日本（东京） | A、B、C |
韩国（首尔） | A |
菲律宾（马尼拉） | A |
印度尼西亚（雅加达） | A、B、C |
马来西亚（吉隆坡） | A、B |
英国（伦敦） | A、B |
德国（法兰克福） | A、B、C |
美国（硅谷） | A、B |
美国（弗吉尼亚） | A、B |
澳大利亚（悉尼）关停中 | B |
沙特（利雅得） | A、B |
阿联酋（迪拜） | A |
升级环境要求
在IPsec-VPN连接升级为双隧道模式前，需确保满足以下要求：
升级过程中，系统需要通过AliyunServiceRoleForVpn服务关联角色完成VPN网关资源的部署。您可以在VPN网关实例购买页面查看当前阿里云账号下是否已创建AliyunServiceRoleForVpn服务关联角色：
如果页面显示已创建，则表示阿里云账号下已存在AliyunServiceRoleForVpn服务关联角色，无需再创建。
如果页面提示创建服务关联角色，请单击创建服务关联角色，系统会自动完成AliyunServiceRoleForVpn服务关联角色的创建。更多信息，请参见AliyunServiceRoleForVpn。
升级过程说明
VPN网关升级期间无法提供服务，已有连接也会中断。建议您在网络维护窗口期间进行升级，以免影响业务运行。
升级过程约持续10分钟，在此期间VPN网关实例不支持转发流量。
升级期间VPN网关实例不支持操作。
升级操作
- 登录VPN网关管理控制台。
在顶部菜单栏，选择VPN网关实例的地域。
在VPN网关页面，找到目标VPN网关实例，单击实例ID。
在VPN网关实例页面的右上角，单击开启AZ级高可靠。
在开启AZ级高可靠对话框，指定交换机实例然后开启升级环境校验，确保环境满足升级要求并了解升级风险后，单击立即开启。
如果升级环境校验失败，请参见升级环境要求排查问题。
单击立即开启后，系统将直接开始升级，请耐心等待。
后续步骤
升级完成后，VPN网关实例会拥有2个IPsec地址，其中一个地址是VPN网关实例已经拥有的地址（即升级前的VPN网关IP地址），另一个是系统为VPN网关实例新分配的地址，这2个地址用于建立两条加密隧道。
升级完成后，一个IPsec连接实例下将拥有主备两条隧道，两条隧道默认关联相同的用户网关实例。主隧道默认为升级前的隧道，升级前后配置保持不变。备隧道默认不可用。
升级完成后，VPN网关IP地址将变成SSL地址，仅能用于SSL-VPN功能。在您开启IPsec-VPN功能后，系统将为VPN网关实例重新分配2个IPsec地址用于建立双隧道模式的IPsec-VPN连接。
使用双隧道模式的IPsec-VPN连接时，请确保主备隧道同时可用，如果您仅配置或仅使用了其中一条隧道，则无法体验双隧道模式IPsec-VPN连接的主备链路冗余能力以及可用区级别的容灾能力。