VPN连接
VPN连接
文档指南
请输入
- 文档首页
VPN连接最佳实践VPC与云下数据中心互通VPN网关IPsec连接搭建云上VPC与云下数据中心互通（VPN-IPsec连接多个非固定出口IP场景）
复制全文
下载 pdf搭建云上VPC与云下数据中心互通（VPN-IPsec连接多个非固定出口IP场景）
文档反馈
问问助手本文为您介绍云下数据中心网关的出口IP为非固定IP（有多个IP需要上云并且IP都不固定）场景下，VPN连接的配置方法。
背景信息
现某企业有两个分部（A分部和B分部）都需要访问总部的云上资源，但由于自身网络限制两个分部本地网关的出口IP均为非固定的静态公网IP，又考虑成本问题希望企业本地数据中心使用VPN连接实现上云，因此本文为您介绍这种特殊的非固定出口IP场景下，如何配置VPN连接实现网络互通。
- 方案一：配置一条用户网关为0.0.0.0的IPsec连接，实现两个分部访问VPC，但若两个分部同时发起连接，会发生先发起的连接被后发起的连接抢占，导致先发起的连接断连。
- 方案二：配置两条用户网关为0.0.0.0的IPsec连接，分别实现两个分部访问VPC，两条IPsec连接仅Remote ID（VPC侧）配置不同，其他配置均一致。两条IPsec连接互不干扰，两个分部可同时访问云上VPC资源。
注意
此方案中第二条IPSec连接的第一阶段认证算法、加密算法、DH算法需要和第一条IPSec连接配置相同。
前提条件
- 已在创建私有网络（名称为：VPC1）及其子网，具体操作可参考创建私有网络。
- 已合理规划网段，并确保本地数据中心A、本地数据中心B的待上云部分的网段均与VPC1的私网网段无重叠。
相关信息
已获取的信息如下图所示，VPC1及其子网以及云服务器为已创建的云资源，VPN网关、用户网关为下文操作需要创建的资源。
说明
用户端网关出口IP为非固定出口IP场景与用户端网关具备静态公网IP场景下VPN连接的配置流程一致，但在创建用户网关、创建IPsec连接阶段参数配置存在差异，需重点关注。
操作步骤
步骤一：创建VPN网关
- 登录VPN网关控制台。
- 在顶部导航栏，选择目标项目Project-01和地域华北2（北京）。
- 单击创建VPN网关按钮，参考下表配置VPN网关参数。
-
- 单击确认订单按钮，并请根据控制台指引查阅并确认相关协议。
- 单击立即购买按钮进行支付，完成购买。
- VPN网关VPNGW-test创建成功后，系统分配的网关出口IP为180.XX.XX.43。
步骤二：创建用户网关
- 登录用户网关控制台。
- 在顶部导航栏，选择目标项目Project-01和地域华北2（北京）。
- 单击创建用户网关按钮，参考下表配置用户网关。
- 参数说明取值样例地域选择用户网关所在的地域，需与VPC1和VPN网关VPNGW-test的地域保持一致。华北2(北京)名称设置用户网关的名称。CGW-testIP地址输入对端VPN网关的静态公网IP地址，即网关出口IP地址。本文使用场景对端无固定网关出口IP地址，因此需配置为0.0.0.0。0.0.0.0BGP ASN设置用户网关的ASN（Autonomous System Number）。仅在IPsec连接使用动态路由传播模式时，需要配置用户网关BGP ASN，本操作演示使用静态路由传播模式，无需配置用户网关BGP ASN。--所属项目用户网关所属项目，固定为进入创建页面前选择的项目Project-01。Project-01
- 配置完成后，单击确定按钮。
步骤三：创建IPsec连接
创建第一条IPsec连接
- 登录IPsec连接控制台。
- 在顶部导航栏，选择目标项目Project-01和地域华北2（北京）。
- 单击创建IPsec连接按钮，参考下表配置IPsec连接。
- 基本信息
- 参数说明取值样例地域选择IPsec连接所在的地域。华北2（北京）名称IPsec连接的名称。IPsecVPN-test-A所属项目资源所属项目，固定为进入创建页面前选择的项目Project-01。Project-01
- 绑定资源
-
- 连接信息
-
- 高级配置
说明
此处仅体现需特别配置的参数，其他未体现参数保持默认值。
-
- 配置完成后，单击创建按钮。
创建第二条IPsec连接
参考上述创建第一条IPsec连接中步骤1～步骤5，用同样的方法创建第二条IPsec连接，除IPsec连接名称、Remote ID外，其他参数配置均与第一条IPsec连接配置相同，此处不再赘述。
注意
第二条IPSec连接的第一阶段IKE配置中的认证算法、加密算法、DH算法必须与第一条IPSec连接配置相同。
说明
此处Remote ID10.XX.XX.2可以为除第一条的Remote ID10.XX.XX.1之外的任意一个IP地址，仅用于区分两条IPsec连接隧道。
步骤四：配置VPN网关路由
- 登录VPN网关控制台。
- 在顶部导航栏，选择目标项目Project-01和地域华北2（北京）。
- 单击列表中VPN网关名称VPNGW-test。
- 选择路由信息页签，单击添加路由条目按钮。
- 参考下表配置路由。
-
- 单击确定按钮，完成VPNGW-test中本地数据中心路由条目的添加。
- 同样的方法添加如下路由。
-
说明
如果VPN网关所在VPC存在自定义路由表，且该自定义路由表关联的子网需要通过VPN连接访问对端本地数据中心，您还需要手动在该自定义路由表中添加一条目标网段为本地IDC网段，下一跳类型为VPN网关的路由条目，具体操作请参考添加路由条目。
步骤五：配置本地路由并发起连接
- 分别下载IPsecVPN-test-A、IPsecVPN-test-B的配置文件。
- 登录IPsec连接控制台，选择华北2（北京）地域、Project-01项目下的IPsec连接。
- 在IPsec连接列表中，勾选创建IPsec连接创建的IPsec连接。
- 单击下载IPsec配置按钮。
- 单击下载按钮。
- 配置本地网关路由。
- 分别在本地数据中心A、本地数据中心B，根据下载的IPsecVPN-test-A、IPsecVPN-test-B的配置文件进行本地网关路由的配置，确保两端IPsec配置相同，详细配置参考请参见本地网关路由。
- 分别从本地数据中心A、本地数据中心B发起连接。
- 同时发起连接：两条IPsec连接均成功连接。
- 前后发起连接：两条IPsec连接均成功连接。
说明
本文使用场景为对端无固定网关出口IP地址，无法从云上发起连接，全部配置完成后需从本地数据中心发起协商请求。同样的，若后续已有IPsec连接出现断连后，仍需从本地数据中心发起协商请求。
最近更新时间：2026.09.18 15:13:19
这个页面对您有帮助吗？
有用
有用
无用
无用