本文介绍通过动态路由模式的VPN连接，实现云上VPC与本地数据中心（IDC）之间的高可用组网方案及配置说明。 * 主备链路高可用：通过VPN\-IPsec配置目标网段相同，AS\-PATH长度不同的动态路由，或者配置目标网段掩码大小不同的静态路由。本文以动态路由为例。 * 双链路高可用：通过TR\-IPsec配置目标网段相同的路由。 ## 通过IPsec VPN绑定VPN网关实现主备链路互通 ### 组网场景 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_4022cdb2e14f91d94943249cd12fc858.png) ### 前提条件 * 创建VPC及其子网，具体操作可参考[创建私有网络](https://www.volcengine.com/docs/6401/69467)。 * 本地IDC具备静态公网IP地址，并支持BGP路由协议。 * 本地IDC网段与VPC的私网网段无重叠。 ### 配置说明

说明

仅介绍高可用场景的必要参数，其他未介绍的参数请保持默认值。

1. 创建1个VPN网关，详细步骤请参考[创建VPN网关](https://www.volcengine.com/docs/6455/70558)，参数说明如下表所示。 |**参数** |**说明** |**取值样例** | |---|---|---| |**基本信息** ||| |协议类型 |选择VPN网关的协议类型。 |IPsec连接 | |计费类型 |VPN网关的计费类型。 |包年包月 | |地域 |选择VPN网关所在的地域，需与VPC的地域保持一致。 |华北2(北京) | |名称 |VPN网关的名称。 |VPNGW\-test | |隧道模式 |VPN网关的隧道模式。 |单隧道 | |IP地址类型 |VPN网关与客户端互联的IP地址类型，单隧道模式VPN网关仅支持IPv4地址类型。 |IPv4 | |协议类型 |VPN网关隧道内的协议类型，VPN网关关联的所有隧道将使用相同的协议类型。单隧道模式VPN网关仅支持IPv4地址类型。 |IPv4 | |**网络配置** ||| |BGP ASN |设置VPN网关的ASN（Autonomous System Number），不可与用户网关的BGP ASN重复。 |65000 |

说明

VPN网关VPNGW\-test创建成功后，系统分配的网关出口IP为180.XX.XX.91。

2. 创建2个用户网关，详细步骤请参考[创建用户网关](https://www.volcengine.com/docs/6455/70566)，参数说明如下表所示。 |**参数** |**说明** |**取值样例（用户网关1）** |**取值样例（用户网关2）** | |---|---|---|---| |地域 |选择用户网关所在的地域，需与VPN网关VPNGW\-test的地域保持一致。 |华北2(北京) |华北2(北京) | |名称 |设置用户网关的名称。 |CGW\-01 |CGW\-02 | |IP地址 |输入本地数据中心网关的静态公网IP地址。 |27.XX.XX.42 |22.XX.XX.8 | |BGP ASN |设置用户网关的ASN（Autonomous System Number）。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN，本方案必须配置该参数。

* 用户网关BGP ASN有效范围为：1 ～ 4294967294，其中137718、65535、150436不可用。

* 用户网关BGP ASN不可与VPN网关BGP ASN重复，也不可与另一个用户网关BGP ASN重复。 |64001 |64002 | 3. 创建2条IPsec连接，详细步骤请参考[创建IPsec连接](https://www.volcengine.com/docs/6455/70571)，参数说明如下表所示。 |**参数** |**说明** |**取值样例（主链路）** |取值样例（备链路） | |---|---|---|---| |**基本信息** |||| |地域 |选择IPsec连接所在的地域，需与VPN网关VPNGW\-test的地域保持一致。 |华北2（北京） |华北2（北京） | |名称 |IPsec连接的名称。 |IPsecVPN\-01 |IPsecVPN\-02 | |**绑定资源** |||| |绑定资源类型 |选择新创建IPsec连接绑定的资源类型。

* VPN网关：IPsec连接绑定VPN网关。

* 中转路由器：IPsec连接绑定中转路由器。

* 稍后绑定到中转路由器：IPsec连接暂不绑定资源，后续可单独绑定中转路由器。 |VPN网关 |VPN网关 | |VPN网关 |选择VPC下创建的VPN网关VPNGW\-test。 |VPNGW\-test |VPNGW\-test | |**连接信息** |||| |路由模式 |选择路由的模式。 |目的路由 |目的路由 | |立即发起协商 |IPsec连接配置完成后是否立即生效。 |是 |是 | |路由传播模式 |选择路由的传播模式。 |动态路由 |动态路由 | |用户网关 |选择用户网关。 |CGW\-01 |CGW\-02 | |隧道网段 |本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下要求：

* 必须在`169.254.0.0/16`网段内，且不可在`169.254.255.0/24`网段内。

* 子网掩码为`/30`。 |169.254.1.0/30 |169.254.2.0/30 | |本端隧道IP |本端隧道IP是配置在VPN网关上的BGP地址。 |169.254.1.1 |169.254.2.1 | |对端隧道IP |对端隧道IP是配置在用户设备上的BGP地址。 |169.254.1.2 |169.254.2.2 | |预共享密钥 |填写用于双方VPN设备IKE协商的密钥。

注意

该信息非常重要，请您妥善保存。

|test@123 |test@123 | |确认密钥 |请再次输入预共享密钥。 |test@123 |test@123 | |**高级配置** |||| |健康检查 |选择是否开启IPsec连接健康检查功能。

开启健康检查后VPN网关会按照您的健康检查配置，探测IPsec通道的连通性并展示检查状态。

* **源IP**：指本地数据中心或对端VPC通过IPsec连接，可以访问的本端VPC侧的IP地址。**本文中为VPC中的IP地址。**

* **目的IP**：本端VPC通过IPsec连接，可以访问的对端数据中心或对端VPC的IP地址。**本文中为本地数据中心中的IP地址。**

* **探测间隔**：执行健康检查的时间间隔。

* **响应超时**：等待健康检查响应的时间。响应超时时间不可大于探测间隔。

* **健康阈值**：判断健康检查状态正常的检查次数。默认值：3。

* **不健康阈值**：选择健康检查的重试次数。默认值：3。

说明

如果无法配置健康检查，可能是因为您的VPN网关不是最新版本，请升级VPN网关。

|开启，并添加如下探测IP：

* **源IP**：192.168.1.10

* **目的IP**：192.168.2.10

* **探测间隔**、**响应超时**、**健康阈值**、**不健康阈值**保持默认值 |开启，并添加如下探测IP：

* **源IP**：192.168.1.20

* **目的IP**：192.168.2.20

* **探测间隔**、**响应超时**、**健康阈值**、**不健康阈值**保持默认值 | 4. 在本地IDC的网关设备中添加VPN配置，详细步骤请参考[本地网关路由配置](https://www.volcengine.com/docs/6455/70585)。

注意

配置本地网关路由时，主链路上网关的路由AS\-PATH长度应小于备链路。

### 结果验证以上步骤配置完成后，VPC与本地IDC之间通过BGP路由协议自动传播路由，本地IDC与VPC可正常互通。 1. 登录VPC中的云服务器，登录步骤请参见[登录Linux实例](https://www.volcengine.com/docs/6396/67747)或[登录Windows实例](https://www.volcengine.com/docs/6396/67800)。 2. 执行命令`ping`连接IDC中的服务器，验证互通性。 3. 通过查看IPsec连接的监控数据，验证访问流量路径。 * 正常情况下，访问流量经主链路（IPsecVPN\-01）到达本地数据中心。 * 断开主链路，访问流量经备链路（IPsecVPN\-02）到达本地数据中心。 ## 通过IPsec VPN绑定中转路由器实现双链路负载分担 ### 组网场景 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f77e9e4832aabc010103fc4d1c5bf7d7.png) ### 前提条件 * 创建VPC及其子网，具体操作可参考[创建私有网络](https://www.volcengine.com/docs/6401/69467)。 * 本地IDC具备静态公网IP地址，并支持BGP路由协议。 * 本地IDC网段与VPC的私网网段无重叠。 ### 配置说明

说明

仅介绍高可用场景的必要参数，其他未介绍的参数请保持默认值或按需选择。

1. 创建1个中转路由器实例，详细步骤请参考[创建中转路由器实例](https://www.volcengine.com/docs/6979/155982)，参数说明如下表所示。 |**参数** |**说明** |**取值样例** | |---|---|---| |地域 |选择中转路由器实例所属的地域，需与待连接VPC所属的地域保持一致。 |华北2（北京） | |名称 |输入待创建中转路由器实例的名称。 |tr01 | |ASN |指定TR实例的BGP AS号（自治系统编号），取值范围为64512～65534或4200000000～4294967294。

该TR实例发布到其他网络实例的路由，其路由属性AsPath最前面会自动添加该ASN。 |64512 | 2. 创建2个用户网关，详细步骤请参考创建用户网关，参数说明如下表所示。 |**参数** |**说明** |**取值样例（用户网关1）** |**取值样例（用户网关2）** | |---|---|---|---| |地域 |选择用户网关所在的地域，需与VPN网关VPNGW\-test的地域保持一致。 |华北2(北京) |华北2(北京) | |名称 |设置用户网关的名称。 |CGW\-01 |CGW\-02 | |IP地址 |输入本地数据中心网关的静态公网IP地址。 |27.XX.XX.42 |22.XX.XX.8 | |BGP ASN |设置用户网关的ASN（Autonomous System Number）。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN，本方案必须配置该参数。

* 用户网关BGP ASN有效范围为：1 ～ 4294967294，其中137718、65535、150436不可用。

* 用户网关BGP ASN不可与中转路由器的BGP ASN重复，也不可与另一个用户网关BGP ASN重复。 |64001 |64002 | 3. 创建2条IPsec连接，详细步骤请参考[创建IPsec连接](https://www.volcengine.com/docs/6455/70571)，参数说明如下表所示。 |**参数** |**说明** |**取值样例（主链路）** |取值样例（备链路） | |---|---|---|---| |**基本信息** |||| |地域 |选择IPsec连接所在的地域，需与VPN网关VPNGW\-test的地域保持一致。 |华北2（北京） |华北2（北京） | |名称 |IPsec连接的名称。 |IPsecVPN\-01 |IPsecVPN\-02 | |**绑定资源** |||| |绑定资源类型 |选择新创建IPsec连接绑定的资源类型。

* VPN网关：IPsec连接绑定VPN网关。

* 中转路由器：IPsec连接绑定中转路由器。

* 稍后绑定到中转路由器：IPsec连接暂不绑定资源，后续可单独绑定中转路由器。 |中转路由器 |中转路由器 | |中转路由器 |选择已创建的中转路由器tr01。 |tr01 |tr01 | |可用区 |选择中转路由器提供服务的可用区。 |可用区A |可用区A | |**连接信息** |||| |路由模式 |选择路由的模式。 |目的路由 |目的路由 | |立即发起协商 |IPsec连接配置完成后是否立即生效。 |是 |是 | |路由传播模式 |选择路由的传播模式。 |动态路由 |动态路由 | |用户网关 |选择用户网关。 |CGW\-01 |CGW\-02 | |隧道网段 |本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下要求：

* 必须在`169.254.0.0/16`网段内，且不可在`169.254.255.0/24`网段内。

* 子网掩码为`/30`。 |169.254.1.0/30 |169.254.2.0/30 | |本端隧道IP |本端隧道IP是配置在VPN网关上的BGP地址。 |169.254.1.1 |169.254.2.1 | |对端隧道IP |对端隧道IP是配置在用户设备上的BGP地址。 |169.254.1.2 |169.254.2.2 | |预共享密钥 |填写用于双方VPN设备IKE协商的密钥。

注意

该信息非常重要，请您妥善保存。

说明

如果无法配置健康检查，可能是因为您的VPN网关不是最新版本，请升级VPN网关。

说明

IPsec连接创建并绑定中转路由器成功后，系统自动分配一个公网IP作为云上的出口IP，您可以在IPsec连接详情页面绑定资源区域获取该公网IP地址。

4. 在本地IDC的网关设备中添加VPN配置，详细步骤请参考[本地网关路由配置](https://www.volcengine.com/docs/6455/70585)。 ### 结果验证以上步骤配置完成后，VPC与本地IDC之间通过BGP路由协议自动传播路由，本地IDC与VPC可正常互通。 1. 登录VPC中的云服务器，登录步骤请参见[登录Linux实例](https://www.volcengine.com/docs/6396/67747)或[登录Windows实例](https://www.volcengine.com/docs/6396/67800)。 2. 执行命令`ping`连接IDC中的服务器，验证互通性。 3. 通过查看IPsec连接的监控数据，可以发现访问流量均分在2条链路上。