私有网络之间天然隔离无法通信，如需在两个私有网络之间通信，可以通过VPN连接功能在私有网络之间建立通信隧道。本文为您介绍如何通过双隧道动态路由模式IPsec VPN连接，实现不同账号下的两个私有网络间的网络连通。相同账号下的两个私有网络通信，无需切换账号登录，其他操作与不同账号下私有网络通信一致。

背景信息

VPN连接不支持建立跨境连接。在通过IPsec VPN连接功能建立VPC与VPC之间的网络连接场景下，互连的两个VPC必须同属于中国内地地域或同属于非中国内地地域，不可一个VPC属于中国内地地域一个VPC属于非中国内地地域。更多地域信息，请参见地域列表。

如果您需要连通中国内地地域下的VPC和非中国内地地域下的VPC，推荐您使用云企业网，详细信息请参见云企业网。

如果您需要通过IPsec VPN连接功能连通不同地域下的VPC（VPC都在中国内地地域或都在非中国内地地域），受公网质量的影响IPsec VPN的网络质量较差，推荐您使用云企业网，具体操作请参考私有网络互通（同账号跨地域）、私有网络互通（跨账号跨地域）。

目前已有信息如下图所示，图中VPC1、VPC2、ECS1、ECS2为已创建的资源，VPN网关1和VPN网关2是下述操作中将要创建的资源。

网络规划

账号	VPC名称	VPC网段	VPN网关	网关出口IP	用户网关
testzh-01	VPC1	10.0.0.0/16	VPNGW-01 BGP ASN：65500	VPNGW-01 主隧道：180.XX.XX.207 备隧道：180.XX.XX.208	CGW-01 BGP ASN：65511 CGW-02 BGP ASN：65511
testzh-02	VPC2	192.168.1.0/24	VPNGW-02 BGP ASN：65511	主隧道：180.XX.XX.209 备隧道：180.XX.XX.210	CGW-03 BGP ASN：65500 CGW-04 BGP ASN：65500

隧道	隧道网段	本端隧道IP	对端隧道IP
主隧道	169.254.1.0/30	169.254.1.1	169.254.1.2
备隧道	169.254.2.0/30	169.254.2.1	169.254.2.2

前提条件

已开通账号testzh-01、testzh-02并完成实名认证。

已获取testzh-01、testzh-02的账号的信息。

已在testzh-01下创建VPC1、在testzh-02下创建VPC2，且VPC1和VPC2的私网网段无重叠。

操作步骤

步骤一：创建VPN网关

登录账号testzh-01下的VPN网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建VPN网关按钮。

参考下表，创建VPC1的VPN网关VPNGW-01。

参数	说明	取值样例
基本信息
协议类型	选择VPN网关的协议类型。	IPsec连接
计费类型	VPN网关的计费类型。	包年包月
地域	选择VPN网关所在的地域，与VPC1地域保持一致。	华北2(北京)
名称	VPN网关的名称。	VPNGW-01
隧道模式	VPN网关的隧道模式。	双隧道
IP地址类型	VPN网关与客户端互联的IP地址类型。	IPv4
协议类型	VPN网关隧道内的协议类型，VPN网关关联的所有隧道将使用相同的协议类型。	IPv4
网络配置
带宽规格	设置VPN网关的带宽上限。此带宽是后续基于该VPN网关，创建的所有IPsec VPN连接和SSL VPN连接的共享带宽值。	5Mbps
私有网络	VPN网关所在的私有网络。	VPC1 \| 10.0.0.0/16
主子网	选择VPN网关所在的主子网。子网中需至少预留1个IPv4地址用于部署VPN网关。	subnet1 \| 10.0.0.0/24 \| 可用区A
备用子网	选择VPN网关所在的备子网。子网中需至少预留1个IPv4地址用于部署VPN网关。	subnet2 \| 10.0.1.0/24 \| 可用区B
BGP ASN	设置VPN网关的ASN（Autonomous System Number）。 VPN网关BGP ASN有效范围为：64512 ～ 65534 、4200000000 ～ 4294967294。 VPN网关BGP ASN不可与用户网关的BGP ASN重复。	65500
更多信息
购买时长	购买VPN网关的时间。	1个月
自动续费	是否开启自动续费。	关闭
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。不同项目间，云资源不可共享。	Project-1
高级选项
标签	为VPN网关设置标签，标签由一对键值对组成，用于分类和搜索。本文操作演示不设置标签。	-

配置完成后，单击确认订单按钮，并请根据控制台指引查阅并确认相关协议。

单击立即购买按钮进行支付，完成购买。

创建成功后，系统为VPN网关VPNGW-01分配的网关出口IP为180.XX.XX.207、180.XX.XX.208。

登录账号testzh-02下的VPN网关控制台，参考步骤2 ～步骤7，创建VPC2的VPN网关VPNGW-02，BGP ASN设置为65511。

创建成功后，系统为VPN网关VPNGW-02分配的网关出口IP为180.XX.XX.209、180.XX.XX.210。

步骤二：创建用户网关

登录账号testzh-01下的用户网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建用户网关按钮。

参考下表分别配置VPN网关VPNGW-01的两个用户网关（CGW-01和CGW-02），完成后单击确定按钮。

参数	说明	取值样例1	取值样例2
地域	选择用户网关所在的地域。需与VPC1和VPN网关VPNGW-01的地域保持一致。	华北2(北京)	华北2(北京)
名称	设置用户网关的名称。	CGW-01	CGW-02
IP地址	输入对端VPN网关的静态公网IP地址，即网关出口IP地址。	180.XX.XX.209	180.XX.XX.210
BGP ASN	设置用户网关的ASN，需与对端VPN网关的ASN相同。	65511	65511
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。	Project-1	Project-1

登录账号testzh-02下的用户网关控制台，参考步骤2～步骤4，分别配置VPN网关VPNGW-02的两个用户网关（CGW-03和CGW-04），参数中BGP ASN配置为65500，IP地址分别配置为180.XX.XX.207、180.XX.XX.208。

步骤三：创建IPsec连接

登录账号testzh-01下的IPsec连接控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建IPsec连接按钮。

参考下表配置IPsec连接，完成后单击创建按钮。

基本信息

参数	说明	取值样例
地域	选择IPsec连接所在的地域。	华北2(北京)
名称	IPsec连接的名称。	IPsecVPN-01
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。	Project-1

绑定资源

参数
说明
取值样例
绑定资源类型
选择新创建IPsec连接绑定的资源类型。
VPN网关
VPN网关
选择VPC1下创建的VPN网关VPNGW-01。
VPNGW-01

连接信息

参数	说明	取值样例
路由模式	选择路由的模式。	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。	是
路由传播模式	选择路由的传播模式。	动态路由

Tunnel配置

参数	说明	取值样例（Tunnel1）	取值样例（Tunnel2）
隧道网段	本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求：必须在169.254.0.0/16网段内。子网掩码为/30。不可在169.254.255.0/24网段内。	169.254.1.0/30	169.254.2.0/30
本端隧道IP	本端隧道IP是配置在VPN网关上的BGP地址。	169.254.1.1	169.254.2.1
对端隧道IP	对端隧道IP是配置在用户设备上的BGP地址。	169.254.1.2	169.254.2.2
用户网关	选择VPC1下创建的用户网关。	CGW-01	CGW-02
预共享密钥	填写用于双方VPN设备IKE协商的密钥，双方需配置一致。该信息非常重要，请您妥善保存。	test@123	test@123
确认密钥	请再次输入预共享密钥。	test@123	test@123

登录账号testzh-02下的IPsec连接控制台，参考步骤1 ～步骤3配置IPsec连接，完成后单击创建按钮。

基本信息

参数	说明	取值样例
地域	选择IPsec连接所在的地域。	华北2(北京)
名称	IPsec连接的名称。	IPsecVPN-02
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。	Project-1

绑定资源

参数
说明
取值样例
绑定资源类型
选择新创建IPsec连接绑定的资源类型。
VPN网关
VPN网关
选择VPC2下创建的VPN网关VPNGW-02。
VPNGW-02

连接信息

参数	说明	取值样例
路由模式	选择路由的模式。	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。	是
路由传播模式	选择路由的传播模式。	动态路由

Tunnel配置

参数	说明	取值样例（Tunnel1）	取值样例（Tunnel2）
隧道网段	本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求：必须在169.254.0.0/16网段内。子网掩码为/30。不可在169.254.255.0/24网段内。	169.254.1.0/30	169.254.2.0/30
本端隧道IP	本端隧道IP是配置在VPN网关上的BGP地址。	169.254.1.2	169.254.2.2
对端隧道IP	对端隧道IP是配置在用户设备上的BGP地址。	169.254.1.1	169.254.2.1
用户网关	选择VPC2下创建的用户网关。	CGW-03	CGW-04
预共享密钥	填写用于双方VPN设备IKE协商的密钥，双方需配置一致。该信息非常重要，请您妥善保存。	test@123	test@123
确认密钥	请再次输入预共享密钥。	test@123	test@123

步骤四：查看VPN网关路由

登录账号testzh-01下的VPN网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击VPN网关VPNGW-01的名称。

单击路由信息页签，可查看VPN网关路由。

BGP连接建立成功后，VPN网关VPNGW-01将自动学习对端VPN网关（VPNGW-02）宣告的BGP路由，并同步到VPNGW-01所属VPC1的所有路由表（系统路由表和自定义路由表）的系统路由中。此时，您可以进一步测试连通性。

如果未查看到相关路由，表示双隧道VPN连接建立失败，请检查您的网络规划并重新配置。

测试连通性

在VPN网关路由列表页面，查看路由下一跳。

正常情况下，VPN网关路由下一跳为IPsec连接的主隧道。

通过ping命令验证VPC中云服务器之间可互通，表示VPC1与VPC2之间可以通过IPsec连接主隧道正常通信。

可用区故障或主隧道公网出口IP不可用等故障情况下，VPN网关路由的下一跳自动切换为IPsec连接的备隧道。

通过ping命令验证VPC中云服务器之间可互通，表示VPC1与VPC2之间可以通过IPsec连接备隧道正常通信。

某个可用区故障时，非故障可用区内的云服务器之间仍可互通，故障可用区内的云服务器之间不可互通。

主隧道公网出口IP不可用时，主备隧道所属可用区内的云服务器之间均可以正常互通。