文档中心

VPN连接

VPN网关IPsec连接

搭建云上VPC与云下数据中心之间的高可用互通（动态路由VPN-IPsec连接）

本文介绍通过动态路由模式的VPN连接，实现云上VPC与本地数据中心（IDC）之间的高可用组网方案及配置说明。

主备链路高可用：通过VPN-IPsec配置目标网段相同，AS-PATH长度不同的动态路由，或者配置目标网段掩码大小不同的静态路由。本文以动态路由为例。

双链路高可用：通过TR-IPsec配置目标网段相同的路由。

通过IPsec VPN绑定VPN网关实现主备链路互通

组网场景

前提条件

创建VPC及其子网，具体操作可参考创建私有网络。

本地IDC具备静态公网IP地址，并支持BGP路由协议。

本地IDC网段与VPC的私网网段无重叠。

配置说明

说明

仅介绍高可用场景的必要参数，其他未介绍的参数请保持默认值。

创建1个VPN网关，详细步骤请参考创建VPN网关，参数说明如下表所示。

参数	说明	取值样例
基本信息
协议类型	选择VPN网关的协议类型。	IPsec连接
计费类型	VPN网关的计费类型。	包年包月
地域	选择VPN网关所在的地域，需与VPC的地域保持一致。	华北2(北京)
名称	VPN网关的名称。	VPNGW-test
隧道模式	VPN网关的隧道模式。	单隧道
IP地址类型	VPN网关与客户端互联的IP地址类型，单隧道模式VPN网关仅支持IPv4地址类型。	IPv4
协议类型	VPN网关隧道内的协议类型，VPN网关关联的所有隧道将使用相同的协议类型。单隧道模式VPN网关仅支持IPv4地址类型。	IPv4
网络配置
BGP ASN	设置VPN网关的ASN（Autonomous System Number），不可与用户网关的BGP ASN重复。	65000

说明

VPN网关VPNGW-test创建成功后，系统分配的网关出口IP为180.XX.XX.91。

创建2个用户网关，详细步骤请参考创建用户网关，参数说明如下表所示。

参数	说明	取值样例（用户网关1）	取值样例（用户网关2）
地域	选择用户网关所在的地域，需与VPN网关VPNGW-test的地域保持一致。	华北2(北京)	华北2(北京)
名称	设置用户网关的名称。	CGW-01	CGW-02
IP地址	输入本地数据中心网关的静态公网IP地址。	27.XX.XX.42	22.XX.XX.8
BGP ASN	设置用户网关的ASN（Autonomous System Number）。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN，本方案必须配置该参数。用户网关BGP ASN有效范围为：1 ～ 4294967294，其中137718、65535、150436不可用。用户网关BGP ASN不可与VPN网关BGP ASN重复，也不可与另一个用户网关BGP ASN重复。	64001	64002

创建2条IPsec连接，详细步骤请参考创建IPsec连接，参数说明如下表所示。

参数	说明	取值样例（主链路）	取值样例（备链路）
基本信息
地域	选择IPsec连接所在的地域，需与VPN网关VPNGW-test的地域保持一致。	华北2（北京）	华北2（北京）
名称	IPsec连接的名称。	IPsecVPN-01	IPsecVPN-02
绑定资源
绑定资源类型	选择新创建IPsec连接绑定的资源类型。 VPN网关：IPsec连接绑定VPN网关。中转路由器：IPsec连接绑定中转路由器。稍后绑定到中转路由器：IPsec连接暂不绑定资源，后续可单独绑定中转路由器。	VPN网关	VPN网关
VPN网关	选择VPC下创建的VPN网关VPNGW-test。	VPNGW-test	VPNGW-test
连接信息
路由模式	选择路由的模式。	目的路由	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。	是	是
路由传播模式	选择路由的传播模式。	动态路由	动态路由
用户网关	选择用户网关。	CGW-01	CGW-02
隧道网段	本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下要求：必须在169.254.0.0/16网段内，且不可在169.254.255.0/24网段内。子网掩码为/30。	169.254.1.0/30	169.254.2.0/30
本端隧道IP	本端隧道IP是配置在VPN网关上的BGP地址。	169.254.1.1	169.254.2.1
对端隧道IP	对端隧道IP是配置在用户设备上的BGP地址。	169.254.1.2	169.254.2.2
预共享密钥	填写用于双方VPN设备IKE协商的密钥。注意该信息非常重要，请您妥善保存。	test@123	test@123
确认密钥	请再次输入预共享密钥。	test@123	test@123
高级配置
健康检查	选择是否开启IPsec连接健康检查功能。开启健康检查后VPN网关会按照您的健康检查配置，探测IPsec通道的连通性并展示检查状态。源IP：指本地数据中心或对端VPC通过IPsec连接，可以访问的本端VPC侧的IP地址。本文中为VPC中的IP地址。目的IP：本端VPC通过IPsec连接，可以访问的对端数据中心或对端VPC的IP地址。本文中为本地数据中心中的IP地址。探测间隔：执行健康检查的时间间隔。响应超时：等待健康检查响应的时间。响应超时时间不可大于探测间隔。健康阈值：判断健康检查状态正常的检查次数。默认值：3。不健康阈值：选择健康检查的重试次数。默认值：3。说明如果无法配置健康检查，可能是因为您的VPN网关不是最新版本，请升级VPN网关。	开启，并添加如下探测IP：源IP：192.168.1.10 目的IP：192.168.2.10 探测间隔、响应超时、健康阈值、不健康阈值保持默认值	开启，并添加如下探测IP：源IP：192.168.1.20 目的IP：192.168.2.20 探测间隔、响应超时、健康阈值、不健康阈值保持默认值

在本地IDC的网关设备中添加VPN配置，详细步骤请参考本地网关路由配置。

注意

配置本地网关路由时，主链路上网关的路由AS-PATH长度应小于备链路。

结果验证

以上步骤配置完成后，VPC与本地IDC之间通过BGP路由协议自动传播路由，本地IDC与VPC可正常互通。

登录VPC中的云服务器，登录步骤请参见登录Linux实例或登录Windows实例。

执行命令ping连接IDC中的服务器，验证互通性。

通过查看IPsec连接的监控数据，验证访问流量路径。

正常情况下，访问流量经主链路（IPsecVPN-01）到达本地数据中心。

断开主链路，访问流量经备链路（IPsecVPN-02）到达本地数据中心。

通过IPsec VPN绑定中转路由器实现双链路负载分担

组网场景

前提条件

创建VPC及其子网，具体操作可参考创建私有网络。

本地IDC具备静态公网IP地址，并支持BGP路由协议。

本地IDC网段与VPC的私网网段无重叠。

配置说明

说明

仅介绍高可用场景的必要参数，其他未介绍的参数请保持默认值或按需选择。

创建1个中转路由器实例，详细步骤请参考创建中转路由器实例，参数说明如下表所示。

参数	说明	取值样例
地域	选择中转路由器实例所属的地域，需与待连接VPC所属的地域保持一致。	华北2（北京）
名称	输入待创建中转路由器实例的名称。	tr01
ASN	指定TR实例的BGP AS号（自治系统编号），取值范围为64512～65534或4200000000～4294967294。该TR实例发布到其他网络实例的路由，其路由属性AsPath最前面会自动添加该ASN。	64512

创建2个用户网关，详细步骤请参考创建用户网关，参数说明如下表所示。

参数	说明	取值样例（用户网关1）	取值样例（用户网关2）
地域	选择用户网关所在的地域，需与VPN网关VPNGW-test的地域保持一致。	华北2(北京)	华北2(北京)
名称	设置用户网关的名称。	CGW-01	CGW-02
IP地址	输入本地数据中心网关的静态公网IP地址。	27.XX.XX.42	22.XX.XX.8
BGP ASN	设置用户网关的ASN（Autonomous System Number）。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN，本方案必须配置该参数。用户网关BGP ASN有效范围为：1 ～ 4294967294，其中137718、65535、150436不可用。用户网关BGP ASN不可与中转路由器的BGP ASN重复，也不可与另一个用户网关BGP ASN重复。	64001	64002

创建2条IPsec连接，详细步骤请参考创建IPsec连接，参数说明如下表所示。

参数	说明	取值样例（主链路）	取值样例（备链路）
基本信息
地域	选择IPsec连接所在的地域，需与VPN网关VPNGW-test的地域保持一致。	华北2（北京）	华北2（北京）
名称	IPsec连接的名称。	IPsecVPN-01	IPsecVPN-02
绑定资源
绑定资源类型	选择新创建IPsec连接绑定的资源类型。 VPN网关：IPsec连接绑定VPN网关。中转路由器：IPsec连接绑定中转路由器。稍后绑定到中转路由器：IPsec连接暂不绑定资源，后续可单独绑定中转路由器。	中转路由器	中转路由器
中转路由器	选择已创建的中转路由器tr01。	tr01	tr01
可用区	选择中转路由器提供服务的可用区。	可用区A	可用区A
连接信息
路由模式	选择路由的模式。	目的路由	目的路由
立即发起协商	IPsec连接配置完成后是否立即生效。	是	是
路由传播模式	选择路由的传播模式。	动态路由	动态路由
用户网关	选择用户网关。	CGW-01	CGW-02
隧道网段	本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下要求：必须在169.254.0.0/16网段内，且不可在169.254.255.0/24网段内。子网掩码为/30。	169.254.1.0/30	169.254.2.0/30
本端隧道IP	本端隧道IP是配置在VPN网关上的BGP地址。	169.254.1.1	169.254.2.1
对端隧道IP	对端隧道IP是配置在用户设备上的BGP地址。	169.254.1.2	169.254.2.2
预共享密钥	填写用于双方VPN设备IKE协商的密钥。注意该信息非常重要，请您妥善保存。	test@123	test@123
确认密钥	请再次输入预共享密钥。	test@123	test@123
高级配置
健康检查	选择是否开启IPsec连接健康检查功能。开启健康检查后VPN网关会按照您的健康检查配置，探测IPsec通道的连通性并展示检查状态。源IP：指本地数据中心或对端VPC通过IPsec连接，可以访问的本端VPC侧的IP地址。本文中为VPC中的IP地址。目的IP：本端VPC通过IPsec连接，可以访问的对端数据中心或对端VPC的IP地址。本文中为本地数据中心中的IP地址。探测间隔：执行健康检查的时间间隔。响应超时：等待健康检查响应的时间。响应超时时间不可大于探测间隔。健康阈值：判断健康检查状态正常的检查次数。默认值：3。不健康阈值：选择健康检查的重试次数。默认值：3。说明如果无法配置健康检查，可能是因为您的VPN网关不是最新版本，请升级VPN网关。	开启，并添加如下探测IP：源IP：192.168.1.10 目的IP：192.168.2.10 探测间隔、响应超时、健康阈值、不健康阈值保持默认值	开启，并添加如下探测IP：源IP：192.168.1.20 目的IP：192.168.2.20 探测间隔、响应超时、健康阈值、不健康阈值保持默认值

说明

IPsec连接创建并绑定中转路由器成功后，系统自动分配一个公网IP作为云上的出口IP，您可以在IPsec连接详情页面绑定资源区域获取该公网IP地址。

在本地IDC的网关设备中添加VPN配置，详细步骤请参考本地网关路由配置。

结果验证

以上步骤配置完成后，VPC与本地IDC之间通过BGP路由协议自动传播路由，本地IDC与VPC可正常互通。

登录VPC中的云服务器，登录步骤请参见登录Linux实例或登录Windows实例。

执行命令ping连接IDC中的服务器，验证互通性。

通过查看IPsec连接的监控数据，可以发现访问流量均分在2条链路上。

最近更新时间：2026.09.18 15:13:19

这个页面对您有帮助吗？

有用

无用