约束限制

使用同一个VPN网关和相同的Remote ID，仅可创建一条IPsec连接。

前提条件

已完成用户网关的创建，具体操作请参见创建用户网关。

已完成待绑定资源的创建，具体操作请参见创建VPN网关、创建中转路由器实例。

操作步骤

登录IPsec连接控制台。

在顶部导航栏，选择目标地域和项目。

单击创建IPsec连接按钮，参考下表配置IPsec连接。

基本信息

参数	说明	取值样例
地域	选择IPsec连接所在的地域。不同地域间内网隔离。建议选择距离您业务更近的地域，可以降低网络延时，提高访问速度。	华北2(北京)
名称	设置IPsec连接的名称。	IPsecVPN-dafn
所属项目	选择新创建IPsec连接所属项目。项目指您日常工作中的一项任务，您可以在同一账户下创建多个项目，并为项目创建/购买云资源。不同项目间，云资源不可共享。若无可用项目，您可单击右侧的创建项目，创建一个新的项目。 IPsec连接加入项目后，您可根据实际业务需求把IPsec连接迁出项目，具体请参见项目资源管理。	default

绑定资源

您可以将IPsec连接绑定至VPN网关或者中转路由器。如果IPsec连接暂不绑定资源，请选择稍后绑定至中转路由器，后续可单独绑定中转路由器，具体操作可参见创建网络实例连接。

VPN网关

中转路由器

参数	说明	取值样例
绑定资源类型	新创建IPsec连接绑定的资源类型。IPsec连接绑定不同类型的资源，所需支付的费用也不同，详细计费信息可参见计费说明。	VPN网关
VPN网关	选择VPN网关的协议类型和IPsec连接绑定的VPN网关。说明如需使用动态路由传播模式，需确保VPN网关已配置BGP ASN且已更新为最新版本。升级VPN版本，具体操作请参见升级VPN网关。	IPv4 VPNGW-64e0

连接信息

目的路由

感兴趣流

参数	说明	取值样例
规格	仅绑定资源类型为中转路由器或稍后绑定到中转路由器时出现的参数。选择IPsec连接的规格，支持默认、大型、超大型规格，不同规格需要支付的IPsec实例费不同。默认规格的IPsec连接，带宽上限为200 Mbps。大型规格的IPsec连接，带宽上限为1 Gbps。超大型规格的IPsec连接，带宽上限为3 Gbps。说明当前大型、超大型规格的IPsec连接功能正在邀测中，如需试用，请联系客户经理。	默认
路由模式	选择路由的模式。目的路由：基于目的IP进行路由转发，无需填写用于协商的本端网段和对端网段。感兴趣流：基于目的IP进行路由转发，需要填写用于协商的本端网段和对端网段。	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。是：IPsec连接配置完成后系统立即主动发起协商。否：IPsec连接配置完成后系统不主动发起协商，当有流量通过时被动发起协商。	是
路由传播模式	选择IPsec连接的路由传播模式，支持静态路由和动态路由两种。静态路由：静态路由传播模式下，您需要在IPsec连接创建成功后，手动配置VPN网关路由，具体操作请参见添加VPN网关路由。动态路由：动态路由传播模式下，路由自动同步转发，无需手动配置。动态路由传播模式下路由模式推荐使用目的路由。如果路由模式为感兴趣流并开启动态路由传播，仅在感兴趣流网段内的动态路由生效，不在感兴趣流网段内的动态路由不生效。如需使用动态路由传播模式，需确保同一IPsec连接关联资源（VPN网关或中转路由器）的ASN与所选用户网关的ASN不相同。说明 IPsec连接使用动态路由传播模式，自治系统中所有的ASN都不建议使用65535和4294967295，如果AS-Path中存在65535或4294967295，相关路由可能会被丢弃。当VPN网关协议类型为IPv6或者双栈时，不支持选择动态路由。	动态路由
用户网关	选择所需的用户网关。绑定VPN网关时，如需使用动态路由传播模式，需确保用户网关已配置BGP ASN，如果未配置BGP ASN需重新创建用户网关，具体操作请参考创建用户网关。绑定双隧道模式VPN网关时，请分别为主备隧道选择用户网关。	CGW-sj2x-hyq3
隧道网段	仅路由传播模式为动态路由模式下出现的参数，即本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求：必须在169.254.0.0/16网段内。子网掩码为/30。不可在169.254.255.0/24网段内。	169.254.1.0/30
本端隧道IP	仅路由传播模式为动态路由模式下出现的参数，本端隧道IP是配置在VPN网关上的BGP地址，应属于已配置的隧道网段。	169.254.1.1
对端隧道IP	仅路由传播模式为动态路由模式下出现的参数，对端隧道IP是配置在用户设备上的BGP地址，应属于已配置的隧道网段。	169.254.1.2
预共享密钥	填写用于双方VPN设备的IKE协商的密钥，需确保VPN连接双方配置一致。长度不超过128个字符，只可输入数字、大小写字母以及特殊符号~ ` \| ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ; 注意 IPsec连接本端和对端的预共享密钥需配置一致，否则无法发起连接。取值样例仅为示例密钥，无实际意义。绑定双隧道模式VPN网关时，请分别为主备隧道配置预共享密钥，互不影响。	We!08sr@D****
确认密钥	请再次输入预共享密钥。	We!08sr@D****
连接日志	是否开启IPsec连接日志。开启IPsec连接日志可查看各阶段IPsec连接详细信息，进行故障排查，具体可参见查看IPsec连接日志。说明连接日志功能当前仅支持部分地域，实际请以控制台展示为准。	关闭
协议	仅绑定资源类型为中转路由器或稍后绑定到中转路由器时出现的参数。请根据控制台指引查阅并确认相关协议。	勾选

参数	说明	取值样例
规格	仅绑定资源类型为中转路由器或稍后绑定到中转路由器时出现的参数。选择IPsec连接的规格，支持默认、大型、超大型规格，不同规格需要支付的IPsec实例费不同。默认规格的IPsec连接，带宽上限为200 Mbps。大型规格的IPsec连接，带宽上限为1 Gbps。超大型规格的IPsec连接，带宽上限为3 Gbps。说明当前大型、超大型规格的IPsec连接功能正在邀测中，如需试用，请联系客户经理。	默认
路由模式	选择路由的模式。目的路由：基于目的IP进行路由转发，无需填写用于协商的本端网段和对端网段。感兴趣流：基于目的IP进行路由转发，需要填写用于协商的本端网段和对端网段。	感兴趣流
本端网段	输入本端云上私有网络中需要使用VPN连接通信的子网网段。网段的协议类型需与VPN网关的协议类型保持一致。说明双栈协议类型的VPN网关支持所有协议类型的网段。	192.168.1.0/24
对端网段	输入对端IDC或私有网络中需要使用VPN连接通信的网段。网段的协议类型需与VPN网关的协议类型保持一致。说明双栈协议类型的VPN网关支持所有协议类型的网段。	192.168.2.0/24
立即发起协商	IPsec连接配置完成后是否立即生效。是：IPsec连接配置完成后系统立即主动发起协商。否：IPsec连接配置完成后系统不主动发起协商，当有流量通过时被动发起协商。	是
路由传播模式	选择IPsec连接的路由传播模式，支持静态路由和动态路由两种。静态路由：静态路由传播模式下，您需要在IPsec连接创建成功后，手动配置VPN网关路由，具体操作请参见添加VPN网关路由。动态路由：动态路由传播模式下，路由自动同步转发，无需手动配置。动态路由传播模式下路由模式推荐使用目的路由。如果路由模式为感兴趣流并开启动态路由传播，仅在感兴趣流网段内的动态路由生效，不在感兴趣流网段内的动态路由不生效。如需使用动态路由传播模式，需确保同一IPsec连接关联资源（VPN网关或中转路由器）的ASN与所选用户网关的ASN不相同。说明 IPsec连接使用动态路由传播模式，自治系统中所有的ASN都不建议使用65535和4294967295，如果AS-Path中存在65535或4294967295，相关路由可能会被丢弃。当VPN网关协议类型为IPv6或者双栈时，不支持选择动态路由。	动态路由
用户网关	选择所需的用户网关。绑定VPN网关时，如需使用动态路由传播模式，需确保用户网关已配置BGP ASN，如果未配置BGP ASN需重新创建用户网关，具体操作请参考创建用户网关。绑定双隧道模式VPN网关时，请分别为主备隧道选择用户网关。	CGW-sj2x-hyq3
隧道网段	仅路由传播模式为动态路由模式下出现的参数，即本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求：必须在169.254.0.0/16网段内。子网掩码为/30。不可在169.254.255.0/24网段内。	169.254.1.0/30
本端隧道IP	仅路由传播模式为动态路由模式下出现的参数，本端隧道IP是配置在VPN网关上的BGP地址，应属于已配置的隧道网段。	169.254.1.1
对端隧道IP	仅路由传播模式为动态路由模式下出现的参数，对端隧道IP是配置在用户设备上的BGP地址，应属于已配置的隧道网段。	169.254.1.2
预共享密钥	填写用于双方VPN设备的IKE协商的密钥，需确保VPN连接双方配置一致。长度不超过128个字符，只可输入数字、大小写字母以及特殊符号~ ` \| ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ; 注意 IPsec连接本端和对端的预共享密钥需配置一致，否则无法发起连接。取值样例仅为示例密钥，无实际意义。绑定双隧道模式VPN网关时，请分别为主备隧道配置预共享密钥，互不影响。	We!08sr@D****
确认密钥	请再次输入预共享密钥。	We!08sr@D****
连接日志	是否开启IPsec连接日志。开启IPsec连接日志可查看各阶段IPsec连接详细信息，进行故障排查，具体可参见查看IPsec连接日志。说明连接日志功能当前仅支持部分地域，实际请以控制台展示为准。	关闭
协议	仅绑定资源类型为中转路由器或稍后绑定到中转路由器时出现的参数。请根据控制台指引查阅并确认相关协议。	勾选

高级配置

参数	说明			取值样例
DPD	DPD（Dead Peer Detection）即对等体存活检测功能，默认开启此功能，且默认超时后清除。开启DPD功能，超时后操作如下：超时后清除：DPD超时后清除IKE SA。超时后立即重连：DPD超时后立即尝试重连。超时后等待重连：DPD超时后保持原状态，直到新的流量进入后再次建立连接。			超时后清除
DPD探测方式	仅DPD功能开启后支持配置，默认为按需。按需：按需探测模式指在DPD检测期间未收到对端任何 IKE/IPsec 包时发送探测报文，适用于较稳定的常规业务场景。周期：周期探测模式指在DPD检测期间无论是否收到对端报文，每隔固定周期（系统默认30秒）发送探测报文，适用于对端健康检查、探测流量、主备切换等容灾场景。说明如果您当前的IPsec连接版本不支持DPD周期探测方式，请您参考升级VPN网关。			按需(On-demand)
IKE配置	IKE策略指定了IPsec通信隧道，在第一阶段即协商阶段的加密、认证算法和协商模式。
		版本	IKE密钥交换协议版本，支持ikev1、ikev2。密钥版本需与对端网关保持一致。 IPv6协议类型的VPN网关仅支持ikev2。感兴趣流模式下，在本地数据中心或对端私有网络配置多网段的场景中，请选择ikev2。	ikev2
		协商模式	仅IKE密钥交换协议版本为ikev1出现的参数，选择IKE认证的协商模式。 main：主模式。主模式需要进行三个交换的认证过程，并在每个交换中，会分别进行身份验证和密钥交换，因此主模式安全更高，适用于需要建立长期的VPN连接。 aggressive：野蛮模式。野蛮模式只需要进行两个交换的认证过程，因此野蛮模式认证速度更快，但安全性与主模式相比较低，适用于建立临时的VPN连接。	main
		认证算法	选择认证哈希算法。支持sha1、md5、sha256、sha384、sha512、sm3。注意 sha1、md5安全性较低，请谨慎使用。	sha256
		加密算法	选择加密算法。支持aes、aes192、aes256、des、3des、sm4。注意 des、3des安全性较低，请谨慎使用。	aes
		DH算法	选择DH（Diffie-Hellman）密钥交换算法。支持group1、group2、group5、group14。注意 group1、group2、group5安全性较低，请谨慎使用。	group14
		生命周期	第一阶段协商的生存时间，超过生存时间后，将会重新发起协商。取值范围900～86400，单位：秒，默认为86400。	86400
		Local ID	IPsec连接本端的标识，用于第一阶段的协商，支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。不填写则默认为当前所选VPN网关的出口IP地址或IPsec连接的公网IP地址。长度不超过100个字符，只可输入数字、大小写字母以及特殊符号~ ` \| ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;	--
		Remote ID	IPsec连接对端的标识，用于第一阶段的协商，支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。不填写则默认为当前所选用户网关的公网IP地址。长度不超过100个字符，只可输入数字、大小写字母以及特殊符号~ ` \| ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;	--
IPsec配置	IPsec配置指定了IPsec通信隧道，在第二阶段即数据传输阶段的加密、认证算法。
		认证算法	选择认证哈希算法。支持sha1、md5、sha256、sha384、sha512、sm3。注意 sha1、md5安全性较低，请谨慎使用。	sha256
		加密算法	选择加密算法。支持aes、aes192、aes256、des、3des、sm4。注意 des、3des安全性较低，请谨慎使用。	aes
		DH算法	选择DH（Diffie-Hellman）密钥交换算法。支持disable（不配置DH算法）、group1、group2、group5、group14。若客户端不支持PFS（Perfect Forward Secrecy）功能，此处需选择disable。若选择group1、group2、group5、group14，将默认开启PFS功能，对应的客户端也需要开启PFS功能。	group14
		生命周期	第二阶段协商的生存时间，超过生存时间后，将会重新发起协商。取值范围900～86400，单位：秒，默认为86400。	86400
NAT穿越	开启或关闭NAT穿越功能。 NAT穿越（NAT Traversal）功能开启后，IKE协商时不会对UDP端口号进行验证，并且能够发现VPN连接隧道中NAT网关设备。如果创建用户网关时配置的IP地址是通过NAT方式获得，必须开启NAT穿越功能，并同时在本地VPN网关设备上配置NAT穿越功能。			关闭
健康检查	开启或关闭IPsec连接健康检查功能。开启健康检查后VPN网关会按照您的健康检查配置，探测IPsec通道的连通性并展示检查状态。您可在云监控产品控制台查看健康检查恢复、健康检查异常事件详细信息，具体操作请参考查看云产品事件。说明绑定双隧道模式VPN网关时，不支持健康检查功能。			开启
		源IP	源IP指本地数据中心或对端VPC通过IPsec连接，可以访问的本端VPC侧的IP地址。不支持169.254.0.0/16、224.0.0.0/3、127.0.0.0/8网段内的IP。当同一个VPN网关下有多个IPsec连接需要开启健康检查时，请使用不同的源IP来区分。注意请勿使用VPC内已占用的IP或保留地址（例如，子网网关IP）作为源IP，否则可能会导致经过VPN网关的流量不可达。	100.96.10.10
		目的IP	目的IP是本端VPC通过IPsec连接，可以访问的对端数据中心或对端VPC的IP地址。不支持169.254.0.0/16、224.0.0.0/3、127.0.0.0/8网段内IP。目的IP不可与源IP相同。	100.96.5.10
		探测间隔	执行健康检查的时间间隔。取值范围为1～300，单位：秒。默认间隔为3秒，即每3秒对目的IP进行一次健康检查。	3
		响应超时	等待健康检查响应的时间。如果目的IP在指定的时间内没有正确响应，则判定为健康检查异常。响应超时时间不可大于探测间隔。	2
		健康阈值	判断健康检查状态正常的检查次数。连续执行指定次数的健康检查，结果均为正常的IPsec连接将被判定为健康检查正常。取值范围为1～10，默认为3次。	3
		不健康阈值	判断健康检查状态异常的检查次数。连续执行指定次数的健康检查，结果均为异常的IPsec连接将被判定为健康检查异常。取值范围为1～10，默认为3次。	3

高级选项

参数	说明	取值样例
标签	标签由标签键（Key）和标签值（Value）两部分组成，可作为标记对IPsec连接进行分类和搜索。了解更多单击添加标签可按需添加多个标签。单次操作最多可添加20个标签，单个IPsec连接最多可添加50个标签。同一IPsec连接多个标签的标签键（Key）不可重复，且每个标签的标签键（Key），只能存在一个标签值（Value）。设置标签键（Key）和标签值（Value）时应区分大小写，如Key=tag和Key=Tag是两个不同的标签键。	key:test

单击创建按钮，根据界面提示完成操作。

后续操作

添加VPN网关路由：IPsec连接绑定VPN网关场景下，在VPN网关、用户网关、IPsec连接配置完成后，您需配置VPN网关路由。

添加安全组规则：如需从对端访问本端私有网络内的云服务器，您需在待访问云服务器所属安全组添加相关规则，放通对端网段。

配置本地网关路由：VPC侧配置完成后，您需要在配置对端VPN网关设备。您可下载IPsec连接配置文件并保存到本地设备，以便后续在特殊情况下（如：本地无网络环境）配置对端VPN网关设备。

参数	说明	取值样例
绑定资源类型	新创建IPsec连接绑定的资源类型。IPsec连接绑定不同类型的资源，所需支付的费用也不同，详细计费信息可参见计费说明。中转路由器：选择IPsec连接绑定中转路由器，可实现不同VPC分别与同一个IDC互通，且VPC之间相互隔离的组网需求。详细配置指导请参见通过中转路由器和VPN连接实现不同VPC与IDC之间的独立互通。稍后绑定到中转路由器：中转路由器IPsec连接创建成功后，您可以稍后在控制台实例列表页中绑定中转路由器。说明 IPsec连接绑定中转路由器场景下，带宽上限为200Mbps，若超出带宽上限可能会出现丢包。	中转路由器
中转路由器	选择中转路由器所在项目和绑定IPsec连接的中转路由器实例。资源类型为稍后绑定到中转路由器时，无需配置本参数。	tr-wecd
隧道模式	IPsec连接的隧道模式。单隧道：仅支持一条加密隧道，隧道故障后会导致网络中断。双隧道：支持主备两条加密隧道，主隧道故障后，流量可以切换到备隧道正常传输。两条加密隧道分布在不同可用区，能够实现可用区级别的容灾。	单隧道
可用区	隧道模式选择单隧道：选择中转路由器所属的可用区。隧道模式选择双隧道：配置IPsec连接隧道1和隧道2的可用区。资源类型为稍后绑定到中转路由器时，无需配置本参数。	可用区A

VPN连接