文档中心

VPN连接

IPsec连接

CreateVpnConnection-创建新的IPsec连接

CreateVpnConnection-创建新的IPsec连接

调用CreateVpnConnection创建一个新的IPsec连接。

使用说明

创建IPsec连接时支持“感兴趣流”和“目的路由”两种路由模式，默认为“感兴趣流”模式，如需“目的路由”，请求参数中LocalSubnet与RemoteSubnet都传入0.0.0.0/0。

使用同一个VPN网关和相同的Remote ID，仅可创建一条IPsec连接。

如需使用动态路由功能，同一个IPsec连接关联的VPN网关与用户网关的ASN不可相同。IPsec连接使用动态路由传播模式，自治系统中所有AS均不建议使用65535作为ASN，如果AS-Path中存在ASN为65535，相关路由可能会被丢弃。

调试

API Explorer

您可以通过 API Explorer 在线发起调用，无需关注签名生成过程，快速获取调用结果。

去调试

请求参数

下方仅列出该接口特有的请求参数和部分公共参数。更多信息请见公共参数。

Action String 必选示例值：CreateVpnConnection

要执行的操作，取值：CreateVpnConnection。

Version String 必选示例值：2020-04-01

API版本信息。

VpnConnectionName String 可选示例值：IPsecVPN-10wd

IPsec连接的名称。

以中文、字母、数字开头，只能包含中文、字母、数字、点号（.）、下划线（_）和短划线（-）。

长度限制为1 ~ 128个字符。

不填默认为IPsec连接的ID。

Description String 可选示例值：test

IPsec连接的描述信息。

以中文、字母、数字开头，只能包含中文、字母、数字、点号（.）、空格（）、下划线（_）、中划线（-）、等号（=）、英文逗号（,）、中文逗号（，）、中文句号（。）。

长度限制为0 ~ 255个字符。

不填默认为空字符串。

VpnGatewayId String 可选示例值：vgw-3tex2x1cwd4c6c0v****

IPsec连接关联的VPN网关的ID。您可调用DescribeVpnGateways查询VPN网关的ID信息。

说明

若AttachType不传或传入值为VpnGateway，本参数必填。若AttachType传入值为TransitRouter，本参数不填。

LocalSubnet.N String 必选示例值：10.0.XX.0/24

IPsec连接的本端网段。

参数 - N表示本端网段的序号。

最多支持传入5个网段。

多个网段之间用&分隔。

RemoteSubnet.N String 必选示例值：172.16.XX.0/24

IPsec连接的对端网段。

参数 - N表示对端网段的序号。

最多支持传入5个网段。

多个网段之间用&分隔。

CustomerGatewayId String 可选示例值：cgw-3tehy13n2l4c6c0v****

单隧道IPsec连接关联的用户网关的ID。创建单隧道IPsec连接时，本参数必填。

若传入的用户网关的IP地址为0.0.0.0，则NegotiateInstantly仅可传入false，IkeConfig中IkeConfig.Version仅可传入ikev1且IkeConfig.Mode仅可传入aggressive。您可调用DescribeCustomerGateways查询用户网关的ID信息。

NatTraversal Boolean 可选示例值：false

是否开启单隧道IPsec连接的NAT穿越功能，取值如下：

true：开启。NAT穿越（NAT Traversal）功能开启后，IKE协商时不会对UDP端口号进行验证，并且能够发现VPN连接隧道中NAT网关设备。

false（默认）：不开启。

DpdAction String 可选示例值：clear

是否开启单隧道IPsec连接的DPD功能，取值如下：

none：关闭DPD功能。

clear（默认）：开启DPD功能，DPD超时后清除IKE SA。

hold：开启DPD功能，DPD超时后保持当前状态，等待新的流量进入后重新建立连接。

restart：开启DPD功能，DPD超时后立即重连。

AttachType String 可选示例值：VpnGateway

IPsec连接关联的资源类型，取值如下：

VpnGateway（默认）：VPN网关。

TransitRouter：中转路由器。

BgpConfig.EnableBgp Boolean 可选示例值：true

是否开启动态路由传播功能，取值如下：

false（默认）：否，使用静态路由模式。

true：是，使用BGP路由模式。

BgpConfig.TunnelCidr String 可选示例值：169.254.XX.XX/30

单隧道IPsec连接的隧道网段，即BGP 会话本端IP和对端IP所在的 CIDR 地址段。

该地址段需要在 169.254.0.0/16 网段内、掩码长度为 /30 的网段，且不可在169.254.255.0/24网段内。

如果BgpConfig.EnableBgp传入值为true，此参数需必须填写。

BgpConfig.LocalBgpIp String 可选示例值：169.254.XX.XX

本端隧道IP，是配置在VPN网关上的BGP地址

默认为BgpConfig.TunnelCidr的第一个主机地址。

该地址必须为 IPsec 隧道网段内的一个 IP 地址。

如果BgpConfig.EnableBgp传入值为true，此参数需必须填写。

TunnelOptions.N.Role String 可选示例值：TunnelOptions.1.Role=primary&TunnelOptions.2.Role=secondary

双隧道IPsec连接的隧道角色。

参数 - N表示隧道角色的序号。

primary：表示当前隧道为主隧道。

secondary：表示当前隧道为备隧道。

说明

创建双隧道类型的IPsec连接时，本参数必填。

TunnelOptions.N.CustomerGatewayId String 可选示例值：TunnelOptions.1.CustomerGatewayId=cgw-t2eryj3hl6gc60bv****&TunnelOptions.2.CustomerGatewayId=cgw-rtvtey1nlt4yycvw****

双隧道IPsec连接关联的用户网关ID。

参数 - N表示隧道角色的序号。

若传入的用户网关的IP地址为0.0.0.0，则NegotiateInstantly仅可传入false，IkeConfig.Version仅可传入ikev1且IkeConfig.Mode仅可传入aggressive。

说明

创建双隧道类型的IPsec连接时，本参数必填。

EnableTunnelsBgp Boolean 可选示例值：false

是否开启BGP功能，取值如下：

false（默认）：否，使用静态路由模式。

true：是，使用BGP路由模式。

TunnelOptions.N.BGPConfig.TunnelCidr String 可选示例值：TunnelOptions.1.BGPConfig.TunnelCidr=169.254.XX.XX/30&TunnelOptions.2.BGPConfig.TunnelCidr=169.254.XX.XX/30

双隧道IPsec连接BGP 会话本端IP和对端IP所在的 CIDR 地址段。

参数 - N表示隧道角色的序号。

该地址段需要在 169.254.0.0/16 网段内、掩码长度为 30 的网段。

如果EnableTunnelsBgp传入值为true，此参数需必须填写。

TunnelOptions.N.BGPConfig.LocalBgpIP String 可选示例值：TunnelOptions.1.BGPConfig.LocalBgpIP=169.254.XX.XX/30&TunnelOptions.2.BGPConfig.LocalBgpIP=169.254.XX.XX/30

双隧道IPsec连接火山引擎侧的 BGP 地址。

参数 - N表示隧道角色的序号。

默认为TunnelOptions.N.BGPConfig.TunnelCidr的第一个主机地址。

该地址必须为 IPsec 隧道网段内的一个 IP 地址。

如果EnableTunnelsBgp传入值为true，此参数需必须填写。

TunnelOptions.N.NatTraversal Boolean 可选示例值：TunnelOptions.1.NatTraversal=false&TunnelOptions.2.NatTraversal=false

是否开启双隧道IPsec连接的NAT穿越功能。

参数 - N表示隧道角色的序号。

true：开启。NAT穿越（NAT Traversal）功能开启后，IKE协商时不会对UDP端口号进行验证，并且能够发现VPN连接隧道中NAT网关设备。

false（默认）：不开启。

TunnelOptions.N.DpdAction String 可选示例值：TunnelOptions.1.DpdAction=clear&TunnelOptions.2.DpdAction=clear

双隧道模式IPsec连接DPD功能的状态。

参数 - N表示隧道角色的序号。

取值如下：

none：关闭DPD功能。

clear（默认）：开启DPD功能，DPD超时后清除IKE SA。

hold：开启DPD功能，DPD超时后保持当前状态，等待新的流量进入后重新建立连接。

restart：开启DPD功能，DPD超时后立即重连。

ClientToken String 可选示例值：123e4567-e89b-12d3-a456-42665544****

客户端Token，用于保证请求幂等性。

由客户端自动生成一个参数值，确保不同请求间该参数值唯一，避免当调用API超时或服务器内部错误时，客户端多次重试导致重复性操作。

仅支持ASCII字符，且不能超过64个字符。

若不传入ClientToken，则此次API调用不进行幂等校验。

ProjectName String 可选示例值：Project_1

IPsec连接所属的项目。不填默认为default，即创建的资源属于default项目。您可调用ListProjects查询当前账号下项目的信息。

NegotiateInstantly Boolean 可选示例值：true

是否立即发起协商模式。

true：IPsec连接配置完成后系统立即主动发起协商。

false（默认）：IPsec连接配置完成后系统不主动发起协商，当有流量通过时被动发起协商。

说明

若传入的用户网关的IP地址为0.0.0.0，此处仅可传入false。

LogEnabled Boolean 可选示例值：true

是否启用连接日志。启用连接日之后，您可查看、下载IPsec连接日志，并通过日志信息自行排查IPsec连接的故障问题。

true：启用。

false（默认）：不启用。

说明

启用连接日志前请先确认当前账号已开通日志服务和对象存储服务，并已为VPN连接服务授权跨服务访问日志服务。

Spec String 可选示例值：default

IPsec连接实例规格，取值如下：

default（默认）：默认规格，带宽上限为200 Mbps。

large：大型规格，带宽上限为1Gbps。

xlarge：超大型规格，带宽上限为3Gbps。

说明

仅当IPsec连接关联TR实例时生效，关联VPN网关实例的IPsec无效，即AttachType传入TransitRouter时此参数才生效。

大型和超大型规格当前为邀测阶段，仅开启后可使用，如需试用请联系客户经理开通。

Tags.N.Key String 可选示例值：key1

IPsec连接标签的标签键（Key）。

参数 - N ：表示标签键的序号，取值范围：1～20。

多个标签键之间用&分隔。命名规则如下：

不能以volc:或sys:的任意大小写组合开头。

只能包含语言字符、数字、空格和英文符号“_”、“.”、“:”、“/”、“=”、“+”、“-”、“@”。

长度限制在1～128个字符之间。

说明

同一资源的标签键不允许重复。

Tags.N.Value String 可选示例值：value1

IPsec连接标签的标签值（Value）。

参数 - N：表示标签值的序号，取值范围：1～20。

多个标签值之间用&分隔。命名规则如下：

只能包含语言字符、数字、空格和英文符号“_”、“.”、“:”、“/”、“=”、“+”、“-”、“@”。

允许为空，长度限制在0～256个字符之间。

大小写敏感，不能以空格开头或结尾。

说明

传入Tags.N.Value时，本参数必填。

IkeConfig.Psk String 可选示例值：Test123***

单隧道模式IPsec连接中IKE的预共享密钥，用于第一阶段VPN网关与用户网关之间的身份认证。

长度不超过100个字符。

仅支持输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

IkeConfig.Version String 可选示例值：ikev2

单隧道模式IPsec连接中IKE的密钥交换协议版本，取值如下：

ikev1

ikev2（默认）

IkeConfig.Mode String 可选示例值：main

单隧道模式IPsec连接中IKE第一阶段的协商模式，取值如下：

main（默认）

aggressive

说明

仅IkeConfig.Version取值为ikev1时需传入本参数。

IkeConfig.EncAlg String 可选示例值：aes

单隧道模式IPsec连接中IKE第一阶段协商的加密算法。取值如下：

aes（默认）

aes192

aes256

des

3des

sm4

IkeConfig.AuthAlg String 可选示例值：sha1

单隧道模式IPsec连接中IKE第一阶段的认证算法。取值如下：

sha1（默认）

md5

sha256

sha384

sha512

sm3

IkeConfig.DhGroup String 可选示例值：group2

单隧道模式IPsec连接中IKE第一阶段协商使用的DH（Diffie-Hellman）密钥交换算法。取值如下：

group1

group2（默认）

group5

group14

IkeConfig.Lifetime Integer 可选示例值：86400

单隧道模式IPsec连接中IKE第一阶段协商的SA的生存时间，超过生存时间后，将重新发起协商。

取值范围：900～86400，单位：秒。默认值：86400。

IkeConfig.LocalId String 可选示例值：IKE-vpn

单隧道模式IPsec连接VPN网关的标识，用于单隧道模式IPsec连接中IKE第一阶段的协商。

支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。

不传默认为当前所选VPN网关的出口IP地址。

若您手动设置为FQDN格式，协商模式推荐设置为“aggressive”。

长度不超过100个字符，只可输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

IkeConfig.RemoteId String 可选示例值：IKE-user

单隧道模式IPsec连接用户网关的标识，用于单隧道模式IPsec连接中IKE第一阶段的协商。

支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。

不传默认为当前所选用户网关的公网IP地址。

若您手动设置为FQDN格式，协商模式推荐设置为“aggressive”。

长度不超过100个字符，只可输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

IpsecConfig.EncAlg String 可选示例值：aes

单隧道模式IPsec连接中IKE第二阶段协商的加密算法。取值如下：

aes（默认）

aes192

aes256

des

3des

sm4

IpsecConfig.AuthAlg String 可选示例值：sha1

单隧道模式IPsec连接中IKE第二阶段协商的认证算法。取值如下：

sha1（默认）

md5

sha256

sha384

sha512

sm3

IpsecConfig.DhGroup String 可选示例值：group2

单隧道模式IPsec连接中IKE第二阶段使用的DH（Diffie-Hellman）密钥交换算法。取值如下：

group1

group2（默认）

group5

group14

disable（不配置DH算法）

说明

本参数取值为group1、group2、group5、group14时，将默认开启PFS（Perfect Forward Secrecy）完美前向保密功能，对应的客户端也需要开启PFS功能。若客户端不支持PFS功能，此处需配置为disable。

IpsecConfig.Lifetime Integer 可选示例值：86400

单隧道模式IPsec连接中IKE第二阶段协商的SA的生存时间，超过生存时间后，将重新发起协商。

取值范围：900～86400，单位：秒。默认值：86400。

TunnelOptions.N.IkeConfig.Psk String 可选示例值：TunnelOptions.1.IkeConfig.Psk=Test123***&TunnelOptions.2.IkeConfig.Psk=Test678***

双隧道模式IPsec连接中IKE的预共享密钥，用于第一阶段VPN网关与用户网关之间的身份认证。

参数 - N表示隧道角色的序号。

长度不超过100个字符。

仅支持输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

TunnelOptions.N.IkeConfig.Version String 可选示例值：TunnelOptions.1.IkeConfig.Version=ikev1&TunnelOptions.2.IkeConfig.Version=ikev1

双隧道模式IPsec连接中IKE的密钥交换协议版本。

参数 - N表示隧道角色的序号。

取值如下：

ikev1

ikev2（默认）

TunnelOptions.N.IkeConfig.Mode String 可选示例值：TunnelOptions.1.IkeConfig.Mode=main&TunnelOptions.2.IkeConfig.Mode=main

双隧道模式IPsec连接中IKE第一阶段的协商模式。

参数 - N表示隧道角色的序号。

仅IkeConfig.Version为ikev1时需传入本参数。

取值如下：

main（默认）

aggressive

TunnelOptions.N.IkeConfig.EncAlg String 可选示例值：TunnelOptions.1.IkeConfig.EncAlg=aes&TunnelOptions.2.IkeConfig.EncAlg=aes

双隧道模式IPsec连接中IKE第一阶段协商的加密算法。

参数 - N表示隧道角色的序号。

取值如下：

aes（默认）

aes192

aes256

des

3des

sm4

TunnelOptions.N.IkeConfig.AuthAlg String 可选示例值：TunnelOptions.1.IkeConfig.AuthAlg=sha1&TunnelOptions.2.IkeConfig.AuthAlg=sha1

双隧道模式IPsec连接中IKE第二阶段协商的认证算法。

参数 - N表示隧道角色的序号。

取值如下：

sha1（默认）

md5

sha256

sha384

sha512

sm3

TunnelOptions.N.IkeConfig.DhGroup String 可选示例值：TunnelOptions.1.IkeConfig.DhGroup=group2&TunnelOptions.2.IkeConfig.DhGroup=group2

双隧道模式IPsec连接中IKE第二阶段使用的DH（Diffie-Hellman）密钥交换算法。

参数 - N表示隧道角色的序号。

取值如下：

group1

group2（默认）

group5

group14

disable（不配置DH算法）

说明

本参数取值为group1、group2、group5、group14时，将默认开启PFS（Perfect Forward Secrecy）完美前向保密功能，对应的客户端也需要开启PFS功能。若客户端不支持PFS功能，此处需配置为disable。

TunnelOptions.N.IkeConfig.Lifetime Integer 可选示例值：TunnelOptions.1.IkeConfig.Lifetime=86400&TunnelOptions.2.IkeConfig.Lifetime=86400

双隧道模式IPsec连接中IKE第二阶段协商的SA的生存时间，超过生存时间后，将重新发起协商。

参数 - N表示隧道角色的序号。

取值范围：900～86400，单位：秒。默认值：86400。

TunnelOptions.N.IkeConfig.LocalId String 可选示例值：TunnelOptions.1.IkeConfig.LocalId=IKE-vpn1&TunnelOptions.2.IkeConfig.LocalId=IKE-vpn2

双隧道模式IPsec连接IKE VPN网关的标识，用于双隧道模式IPsec连接中IKE第一阶段的协商。

参数 - N表示隧道角色的序号。

支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。

不传默认为当前所选VPN网关的出口IP地址。

若您手动设置为FQDN格式，协商模式推荐设置为“aggressive”。

长度不超过100个字符，只可输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

TunnelOptions.N.IkeConfig.RemoteId String 可选示例值：TunnelOptions.1.IkeConfig.RemoteId=IKE-user1&TunnelOptions.2.IkeConfig.RemoteId=IKE-user2

双隧道模式IPsec连接用户网关的标识，用于双隧道模式IPsec连接中IKE第一阶段的协商。

参数 - N表示隧道角色的序号。

支持IP格式和FQDN( Fully Qualified Domain Name)完全合格域名/全称域名格式。

不传默认为当前所选用户网关的公网IP地址。

若您手动设置为FQDN格式，协商模式推荐设置为“aggressive”。

长度不超过100个字符，只可输入大小写字母、特殊符号~ ` | ! @ # $ % ^ ( ) - _ + = [ ] { } \ , . / : ;以及数字。

TunnelOptions.N.IpsecConfig.EncAlg String 可选示例值：TunnelOptions.1.IpsecConfig.EncAlg=aes&TunnelOptions.2.IpsecConfig.EncAlg=aes

双隧道模式IPsec连接中IKE第二阶段协商的加密算法。

参数 - N表示隧道角色的序号。

取值如下：

aes（默认）

aes192

aes256

des

3des

sm4

TunnelOptions.N.IpsecConfig.AuthAlg String 可选示例值：TunnelOptions.1.IpsecConfig.AuthAlg=sha1&TunnelOptions.2.IpsecConfig.AuthAlg=sha1

双隧道模式IPsec连接中IKE第二阶段协商的认证算法。

参数 - N表示隧道角色的序号。

取值如下：

sha1（默认）

md5

sha256

sha384

sha512

sm3

TunnelOptions.N.IpsecConfig.DhGroup String 可选示例值：TunnelOptions.1.IpsecConfig.DhGroup=group2&TunnelOptions.2.IpsecConfig.DhGroup=group2

双隧道模式IPsec连接中IKE第二阶段使用的DH（Diffie-Hellman）密钥交换算法。

参数 - N表示隧道角色的序号。

取值如下：

group1

group2（默认）

group5

group14

disable（不配置DH算法）

说明

本参数取值为group1、group2、group5、group14时，将默认开启PFS（Perfect Forward Secrecy）完美前向保密功能，对应的客户端也需要开启PFS功能。若客户端不支持PFS功能，此处需配置为disable。

TunnelOptions.N.IpsecConfig.Lifetime Integer 可选示例值：TunnelOptions.1.IpsecConfig.Lifetime=86400&TunnelOptions.2.IpsecConfig.Lifetime=86400

双隧道模式IPsec连接中IKE第二阶段协商的SA的生存时间，超过生存时间后，将重新发起协商。

参数 - N表示隧道角色的序号。

取值范围：900～86400，单位：秒。默认值：86400。

DpdMode String 可选示例值：on_demand

单隧道模式IPsec连接的DPD探测方式，取值如下：

on_demand（默认）：按需。

periodic：周期。

TunnelOptions.N.DpdMode String 可选示例值：on_demand

双隧道模式IPsec连接的DPD探测方式。

参数 - N表示隧道角色的序号。

取值如下：

on_demand（默认）：按需。

periodic：周期。

返回参数

下方仅列出本接口特有的返回参数。更多信息请参见返回结构。

RequestId String 示例值：2022032111142501022524314704AF****

请求ID。

VpnConnectionId String 示例值：vgc-3tex2x1cwd4c6c0v****

新创建IPsec连接的ID。

OrderId String 示例值：Order7078570823273845036

新创建TR类型IPsec连接的订单ID。

AsyncTaskId String 示例值：asynctask-13f0odozfrdvk3n6nu41lt59g

请求示例

返回示例

错误码

公共错误码请参见公共错误码文档。

最近更新时间：2026.09.18 15:13:18

这个页面对您有帮助吗？

有用

有用

无用

无用