文档中心

VPN连接

第三方云厂商互通

搭建云上VPC与AWS VPC之间互通网络（动态路由）

本文为您介绍如何通过VPN连接产品，以动态路由的方式建立VPN与AWS VPC之间的私网访问通道。

前提条件

已开通账号并完成实名认证，确保账户中有足够的余额用于购买云服务器、VPN等相关资源。

已创建私有网络VPC-01（网段：192.168.0.0/16）及其子网，并在其中一个子网下创建一台云服务器（IP：192.168.2.88），具体操作请参见创建私有网络、购买并使用云服务器实例。

已在AWS上创建虚拟私有云VPC-02（网段：172.31.0.0/16）和公有子网，并在公有子网下创建一台EC2（若使用CentOS需要提前在Marketplace中订阅））用于模拟业务服务器，EC2的私网地址为172.31.16.111，具体操作请参考AWS官网文档开始使用 Amazon EC2。

约束限制

VPC与AWS VPC待互通的网段之间没有重叠。

已开通VPN连接动态路由功能。

VPN网关的ASN不可与AWS 虚拟专用网关的ASN相同。

IPsec连接的隧道网段必须与ASN VPN连接的IPv4 CIDR内部在同一网段。

信息说明

资源归属	VPC信息	实例信息	隧道网段	隧道IP	ASN
火山引擎	VPC-01（网段：192.168.0.0/16）	ECS IP地址：192.168.2.88	169.254.1.0/30	169.254.1.1	65501
AWS	VPC-02（网段：172.31.0.0/16）	EC2 IP地址：172.31.16.111	169.254.1.0/30	169.254.1.2	65502

操作步骤

步骤一：在VPC下创建VPN网关

登录VPN网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建VPN网关按钮，参考下表配置VPN网关参数。

参数	说明	取值样例
基本信息
计费类型	VPN网关的计费类型。	包年包月
计费类型	VPN网关的计费类型。	按量计费
地域	选择VPN网关所在的地域，与VPC1地域保持一致。	华北2(北京)
名称	VPN网关的名称。	VPNGW-Volcano
隧道模式	VPN网关的隧道模式。	单隧道
IP地址类型	VPN网关与客户端互联的IP地址类型，单隧道模式VPN网关仅支持IPv4地址类型。	IPv4
协议类型	VPN网关隧道内的协议类型，VPN网关关联的所有隧道将使用相同的协议类型。单隧道模式VPN网关仅支持IPv4地址类型。	IPv4
网络配置
带宽规格	设置VPN网关出VPC1方向的带宽上限。此带宽是后续基于该VPN网关，创建的所有IPsec VPN连接和SSL VPN连接的共享带宽值。	200Mbps
私有网络	VPN网关所在的私有网络。	VPC-01\|192.168.0.0/16
子网	选择VPN网关所在的子网。	subnet1\|192.168.1.0/24
BGP ASN	设置VPN网关的ASN（Autonomous System Number）。 VPN网关BGP ASN有效范围为：64512 ～ 65534 、4200000000 ～ 4294967294。 VPN网关BGP ASN不可与AWS侧的ASN重复。	65501
更多信息
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。不同项目间，云资源不可共享。	Project-1

配置完成后，单击确认订单按钮，并请根据控制台指引查阅并确认相关协议。

单击立即购买按钮进行支付，完成购买。VPNGW-Volcano创建成功后，系统分配的网关出口IP为180.XX.XX.109。

步骤二：在AWS侧创建VPN资源

以下内容需要在AWS控制台进行操作，此处相关操作配置仅供参考，详细配置及说明请以AWS官网为准，如有疑问请咨询AWS平台。

创建客户网关。

使用AWS账号登录虚拟专用网络（VPN）控制台，创建客户网关。

AWS侧的客户网关就是指火山引擎侧的VPN网关，创建AWS客户网关实际是把VPN网关的信息注册到AWS。创建完成后客户网关的ID为：cgw-s01kd****3m。

参数	说明	示例
Name tag	客户网关输入名称。	Volcano-Gateway
BGP ASN	客户网关的边界网关协议 (BGP) 自治系统编号 (ASN) ，即VPN网关的BGP ASN。	65501
IP address	客户网关设备的静态 Internet 可路由 IP 地址，即VPN网关的出口IP。	180.XX.XX.109

创建虚拟私有网关。

AWS侧虚拟私有网关作为AWS VPC的出口网关，创建完成后虚拟私有网关的ID为：vgw-e2fje****f9。

参数
说明
示例
Name tag
虚拟私有网关的名称。
AWS-toVolcano
Autonomous System Number (ASN)
AWS侧虚拟私有网关的ASN。
65502

虚拟私有网关绑定VPC。

创建虚拟私有网关后，绑定需要互通的VPC。选择已创建的虚拟私有网关Volcano-Gateway，然后依次选择Actions > Attach to VPC，在Available VPCs中选择待互通的VPC（本示例为VPC-02）。

创建VPN连接。

VPN连接用于关联客户网关和虚拟私有网关。

说明

由于VPN连接不支持双隧道模式，AWS侧仅需配置一条隧道。

参数	说明	示例
Name tag（名称）	VPN连接的名称。	AWS-connection
Target gateway type（目标网关类型）	选择目标网关类型，此处需选择Virtual private gateway。	Virtual private gateway
Virtual private gateway（虚拟私有网关）	选择已创建虚拟私有网关AWS-toVolcano的ID。	vgw-e2fje****f9
Customer gateway（客户网关）	选择客户网关。	Existing（现有）
Customer gateway ID	选择已创建客户网关Volcano-Gateway的ID。	cgw-s01kd****3m
Routing options（路由选项）	选择VPN连接的路由类型，此处应使用动态路由。	Dynamic (requires BGP)
Local IPv4 Network CIDR	通过VPN连接允许访问的云上网段。	192.168.0.0/16
Remote IPv4 Network CIDR	通过VPN连接允许访问的AWS侧的网段。	172.31.0.0/16
IPv4 for Tunnel inside IP version（隧道内部IPv4 CIDR）	VPN连接的隧道网段。	169.254.1.0/30
IKE versions	IKE版本。	ikev2
Pre-shared key (PSK)	预共享密钥。	test@123

下载配置文件。

VPN连接配置完成后，您可下载配置文件用于创建IPsec连接，以确保AWS侧VPN连接与火山侧IPsec连接的IKE配置、DPD、IPsec配置等保持一致。详细操作请参考AWS指导文档下载配置文件。

配置文件中，Outside IP Addresses下的Virtual Private Gateway即为AWS侧的外部IP地址，本示例为3.XX.XX.32。

配置路由传播。

在虚拟私有网关绑定VPC的路由表中，开启虚拟私有网关的路由传播功能。

步骤三：创建用户网关

登录VPN网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建用户网关按钮。

参考下表配置用户网关，完成后单击确定按钮。

参数	说明	取值样例
地域	选择用户网关所在的地域。	华北2(北京)
名称	设置用户网关的名称。	AWS-Gateway
IP地址	输入对端VPN网关的公网IP地址，即AWS侧的外部IP地址。	3.XX.XX.32
BGP ASN	设置用户网关的ASN（Autonomous System Number），即AWS侧虚拟私有网关的BGP ASN。用户网关BGP ASN有效范围为：1 ～ 4294967294，其中137718、65535、150436不可用。用户网关BGP ASN不可与VPN网关BGP ASN重复。	65502
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。	Project-1

步骤四：创建IPsec连接

登录VPN网关控制台。

在顶部导航栏，选择目标项目Project-1和地域华北2（北京）。

单击创建IPsec连接按钮。

参考下表配置IPsec连接，完成后单击创建按钮。其中，DPD、IKE配置、IPsec配置需要与AWS侧的VPN连接配置保持一致。

参数	说明	取值样例
基本信息
地域	选择IPsec连接所在的地域。	华北2(北京)
名称	IPsec连接的名称。	Volcano-connection
所属项目	资源所属项目，固定为进入创建页面前选择的项目Project-1。	Project-1
绑定资源
绑定资源类型	选择新创建IPsec连接绑定的资源类型。	VPN网关
VPN网关	选择步骤一：在VPC下创建VPN网关创建的VPNGW-Volcano。	VPNGW-Volcano
连接信息
路由模式	选择路由的模式。	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。	是
路由传播模式	选择路由的传播模式。	动态路由
用户网关	选择步骤三：创建用户网关中创建的用户网关。	AWS-Gateway
隧道网段	本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求：必须在169.254.0.0/16网段内。子网掩码为/30。不可在169.254.255.0/24网段内。	169.254.1.0/30
本端隧道IP	本端隧道IP是配置在VPN网关上的BGP地址，本端隧道IP应与对端隧道IP在同一网段。	169.254.1.1
对端隧道IP	对端隧道IP是配置在用户设备上的BGP地址，需与本端隧道IP在同一网段。	169.254.1.2
预共享密钥	填写用于双方VPN设备IKE协商的密钥，请参照AWS操作中下载的配置文件，与配置文件中的Pre-Shared Key配置保持一致。	test@123
确认密钥	请再次输入预共享密钥。	test@123

测试连通性

配置完成后VPC与AWS VPC之间IPsec连接建立成功，需测试网络的连通性。

登录VPC01下的云服务器（IP地址为192.168.2.88），具体操作请参见登录云服务器。

在云服务器实例中，执行命令ping 172.31.16.111（172.31.16.111为AWS侧互通VPC下的EC2实例的IP地址），可正常收到AWS侧EC2回复的报文即为通信正常，表明VPC01与AWS VPC02之间网络已通。

最近更新时间：2026.09.18 15:13:19

这个页面对您有帮助吗？

有用

无用