建立VPC到本地数据中心的连接（单隧道模式和BGP路由）

环境要求

• IPsec连接绑定公网网络类型的VPN网关实例时，本地数据中心的网关设备必须配置公网IP地址。

• 本地数据中心的网关设备必须支持IKEv1或IKEv2协议，支持任意一种协议的设备均可以和VPN网关建立IPsec-VPN连接。

• 本地数据中心和VPC间互通的网段没有重叠。

BGP动态路由支持的地域

场景示例

本文以下图场景为例。某公司已在德国（法兰克福）地域创建了一个VPC，私网网段为10.0.0.0/8，自治系统号ASN（Autonomous System Number）为65530。该公司在法兰克福拥有本地数据中心，公网IP为2.XX.XX.2，私网网段为172.17.0.0/16，ASN为65531。因业务发展，需要云上VPC与本地数据中心互通。

准备工作

• 您已经在德国（法兰克福）地域创建了VPC并部署了云服务。具体操作，请参见搭建IPv4专有网络。

• 您已经了解VPC中的ECS实例所应用的安全组规则，并确保安全组规则允许本地数据中心的网关设备访问云上资源。具体操作，请参见查询安全组规则和添加安全组规则。

配置步骤

步骤一：创建VPN网关

1. 登录VPN网关管理控制台。

2. 在VPN网关页面，单击创建VPN网关。

3. 在购买页面，根据以下信息创建VPN网关，然后单击立即购买并完成支付。

   配置	说明
   实例名称	输入VPN网关的实例名称。本示例输入VPN。
   资源组	选择VPN网关实例所属的资源组。如果不选择，VPN网关实例创建后将归属于默认资源组。 本文保持为空。
   地域和可用区	选择VPN网关的地域。 确保VPC的地域和VPN网关的地域相同。本示例选择德国（法兰克福）。
   网关类型	选择VPN网关实例的类型。 本示例选择普通型。
   网络类型	选择实例的网络类型。本示例选择公网。
   隧道	系统直接展示当前地域支持的IPsec-VPN连接的隧道模式。 单隧道 双隧道 关于IPsec-VPN连接隧道模式的说明，请参见【升级公告】IPsec-VPN连接升级为双隧道模式。
   VPC	选择要连接的VPC。本示例选择德国（法兰克福）地域创建的VPC。
   虚拟交换机	从VPC实例中选择一个交换机实例。 IPsec-VPN连接的隧道模式为单隧道时，您仅需要指定一个交换机实例。 IPsec-VPN连接的隧道模式为双隧道时，您需要指定两个交换机实例。 说明 系统默认帮您选择第一个交换机实例，您可以手动修改或者直接使用默认的交换机实例。 创建VPN网关实例后，不支持修改VPN网关实例关联的交换机实例，您可以在VPN网关实例的详情页面查看VPN网关实例关联的交换机以及交换机所属可用区的信息。
   虚拟交换机2	IPsec-VPN连接的隧道模式为单隧道时，无需配置该项。
   带宽规格	选择带宽规格。 单位：Mbps。 带宽规格是VPN网关所具备的公网带宽峰值。本示例选择5 Mbps。
   IPsec-VPN	选择是否开启IPsec-VPN功能。 本示例选择开启。
   SSL-VPN	选择是否开启SSL-VPN功能。 本示例选择关闭。
   计费周期	选择购买时长。 您可以选择是否自动续费： 按月购买：自动续费周期为1个月。 按年购买：自动续费周期为1年。
   服务关联角色	单击创建关联角色，系统自动创建服务关联角色AliyunServiceRoleForVpn。VPN网关使用此角色来访问其他云产品中的资源，更多信息，请参见AliyunServiceRoleForVpn。 已创建若本配置项显示为已创建，则表示您的账号下已创建了该角色，无需重复创建。

步骤二：开启BGP

BGP用于在不同的自治系统（AS）之间交换路由信息。使用BGP动态路由功能前，您需要为VPN网关开启BGP功能。

1. 在左侧导航栏，选择网间互联 > VPN > VPN网关。
2. 在顶部菜单栏，选择VPN网关实例的地域。

3. 在VPN网关页面，找到已创建的VPN网关，在操作列下选择 > 开启路由自动传播。

   

4. 在开启路由自动传播对话框，单击确定。

   开启后，VPN网关会将BGP路由条目自动传播到VPC中。

步骤三：创建用户网关

您可以通过创建用户网关，将本地数据中心的网络信息注册到云上，然后将用户网关和VPN网关连接起来。

1. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

2. 在顶部菜单栏，选择用户网关的地域。

   说明

   用户网关的地域必须和要连接的VPN网关的地域相同。

3. 在用户网关页面，单击创建用户网关。

4. 在创建用户网关面板，根据以下信息配置用户网关，然后单击确定。

   以下仅列举本文强相关配置项，其余配置保持默认值或为空。更多信息，请参见创建和管理用户网关。

   配置	说明
   名称	输入用户网关的名称。本示例输入CGW。
   IP地址	输入本地数据中心网关设备的公网IP地址。本示例输入2.XX.XX.2。
   自治系统号	输入本地数据中心网络的自治系统号。本示例输入65531。
   描述	输入用户网关的描述信息。

   创建完成后，返回用户网关页面，您可以看到已创建的用户网关。

步骤四：创建IPsec连接

1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

2. 在顶部菜单栏，选择IPsec连接实例的地域。

   说明

   IPsec连接实例的地域必须和要连接的VPN网关的地域相同。

3. 在IPsec连接页面，单击创建IPsec连接。

4. 在创建IPsec连接页面，根据以下信息创建IPsec连接，然后单击确定。

   本示例只提供与创建VPC到本地数据中心间的IPsec连接强相关的配置参数，其他选项使用默认配置。更多信息，请参见创建和管理IPsec连接（单隧道模式）。

   配置	说明
   名称	输入IPsec连接的名称。本示例输入VPCTOIDC。
   资源组	选择VPN网关实例所属的资源组。 本示例选择默认资源组。
   绑定资源	选择IPsec连接绑定的资源类型。 本文选择VPN网关。
   VPN网关	选择要连接的VPN网关。 选择步骤一中创建的VPN网关。
   路由模式	选择路由模式。 IPsec连接支持目的路由模式和感兴趣流模式。在IPsec连接使用BGP动态路由协议的情况下，推荐使用目的路由模式。本示例选择目的路由模式。
   立即生效	选择是否立即生效。 是：配置完成后立即进行协商。 否：当有流量进入时进行协商。 本示例选择是。
   用户网关	选择要连接的用户网关。 选择步骤三中创建的用户网关。
   预共享密钥	输入预共享密钥。 请确保要建立的IPsec连接VPC侧和本地数据中心侧的预共享密钥一致。本示例输入123456****。
   启用BGP	如果IPsec连接需要使用BGP路由协议，需要打开BGP功能的开关，系统默认关闭BGP功能。 本示例开启BGP功能。
   本端自治系统号	输入隧道本端的自治系统号。默认值：45104。 本示例输入65530。
   版本	选择IKE的版本。本示例选择ikev2。
   加密算法	选择加密算法。本示例选择aes。
   认证算法	选择认证算法。本示例选择sha1。
   DH分组	选择DH分组。本示例选择group2。
   隧道网段	输入IPsec隧道的网段，该网段在169.254.0.0/16内的掩码长度为30的网段。本示例输入169.254.10.0/30。
   本端BGP地址	输入本端BGP地址，该地址为隧道网段内的一个IP地址。本示例输入169.254.10.1。 说明 请确保IPsec隧道两端的BGP地址不冲突。

5. 在创建成功对话框中，单击取消。

步骤五：在本地网关设备中加载VPN配置

创建IPsec连接后，您还需要在本地网关设备中加载VPN配置，才能建立VPC到本地数据中心的VPN连接。

1. 登录思科防火墙设备的命令行配置界面。

2. 执行以下命令，配置ikev2 proposal和policy 。

   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //配置加密算法，本示例配置为aes-cbc-128。
   integrity sha1                  //配置认证算法，本示例配置为sha1。
   group 2                         //配置DH分组，本示例配置为group2。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 执行以下命令，配置ikev2 keyring。

   crypto ikev2 keyring alicloud
   peer alicloud
   address 1.XX.XX.1                //配置VPC侧VPN网关的公网IP地址，本示例配置为1.XX.XX.1。
   pre-shared-key 123456****        //配置钥匙串，本示例配置为123456****。
   exit
   !

4. 执行以下命令，配置ikev2 profile。

   crypto ikev2 profile alicloud
   match identity remote address 1.XX.XX.1 255.255.255.255    //匹配VPC侧VPN网关的公网IP，本示例匹配的地址为1.XX.XX.1。
   identity local address 2.XX.XX.2    //本地数据中心的公网IP，本示例配置为2.XX.XX.2。
   authentication remote pre-share   //认证对端的方式为PSK。
   authentication local pre-share    //认证本端的方式为PSK。
   keyring local alicloud            //调用密钥串。
   exit
   !

5. 执行以下命令，配置transform。

   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 执行以下命令，配置IPsec Profile，并调用transform、pfs和ikev2 profile。

   crypto ipsec profile alicloud
   set transform-set TSET
   set pfs group2
   set ikev2-profile alicloud
   exit
   !

7. 执行以下命令，配置IPsec隧道。

   interface Tunnel100
   ip address 169.254.10.2 255.255.255.252    //配置本端（本地数据中心）隧道地址，本示例配置为169.254.10.2。
   tunnel source GigabitEthernet1
   tunnel mode ipsec ipv4
   tunnel destination 1.XX.XX.1                 //隧道对端（云上VPN网关）公网IP地址，本示例配置为1.XX.XX.1。
   tunnel protection ipsec profile alicloud
   no shutdown
   exit
   !
   interface GigabitEthernet1
   ip address 2.XX.XX.2 255.255.255.0
   negotiation auto
   !

8. 执行以下命令，配置BGP路由协议。

   router bgp 65531                         //开启bgp路由协议，并配置本端（本地数据中心）ASN。本示例配置ASN为65531。
   bgp router-id 169.254.10.2               //bgp路由器id，本示例设置为169.254.10.2。
   bgp log-neighbor-changes
   neighbor 169.254.10.1 remote-as 65530    //配置bgp邻居的ASN。
   neighbor 169.254.10.1 ebgp-multihop 10   //配置ebgp跳数为10。  
   !
   address-family ipv4
   network 172.17.0.0 mask 255.255.0.0      //宣告本端（本地数据中心）网段，本示例配置为172.17.0.0/16。
   neighbor 169.254.10.1 activate           //激活bgp邻居。
   exit-address-family
   !

步骤六：测试连通性

1. 登录到VPC内一台无公网IP的ECS实例。关于如何登录ECS实例，请参见连接方式概述。

2. 通过ping命令，访问本地数据中心的客户端，验证通信是否正常。

   经验证，VPC ECS实例可以正常访问本地数据中心的客户端。

3. 登录本地数据中心客户端。

4. 通过ping命令，访问VPC下的ECS实例，验证通信是否正常。

   经验证，本地数据中心客户端可以正常访问VPC ECS实例。