通过VPN网关实现本地IDC与DTS云服务互通

在左侧导航栏，选择网间互联 > VPN > IPsec连接。

在顶部菜单栏选择IPsec连接的地域。

IPsec连接的地域需和VPN网关实例的地域相同。

在创建成功对话框中，单击确定。

保持在IPsec连接页面，找到创建的IPsec连接，在操作列单击生成对端配置。

对端配置是指需要在IPsec连接对端添加的VPN配置。本文场景中您需要将这些配置添加在本地网关设备上。

在IPsec连接配置对话框，复制配置并保存在您的本地，用于后续配置本地网关设备。

根据保存在本地的IPsec连接对端配置，在本地网关设备中添加VPN配置。

1. 登录本地网关设备的命令行配置界面。

2. 执行以下命令，配置ikev2 proposal和policy。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //配置加密算法，本示例为aes-cbc-128。
   integrity sha1                  //配置认证算法，本示例为sha1。
   group 2                         //配置DH分组，本示例为group2。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 执行以下命令，配置ikev2 keyring。

   //在本地网关设备1上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.3               //配置云上IPsec连接主隧道公网IP地址，本示例为47.XX.XX.3。
   pre-shared-key fddsFF123****     //配置预共享密钥，本示例为fddsFF123****。
   exit
   !
   //在本地网关设备2上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.169               //配置云上IPsec连接备隧道公网IP地址，本示例为47.XX.XX.169。
   pre-shared-key fddsFF456****     //配置预共享密钥，本示例为fddsFF456****。
   exit
   !

4. 执行以下命令，配置ikev2 profile。

   //在本地网关设备1上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.3 255.255.255.255    //匹配云上IPsec连接主隧道公网IP地址，本示例为47.XX.XX.3。
   identity local address 211.XX.XX.36    //本地网关设备1的公网IP地址，本示例为211.XX.XX.36。
   authentication remote pre-share   //认证对端的方式为PSK（预共享密钥的方式）。
   authentication local pre-share    //认证本端的方式为PSK。
   keyring local alicloud            //调用密钥串。
   exit
   !
   //在本地网关设备2上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.169 255.255.255.255    //匹配云上IPsec连接备隧道公网IP地址，本示例为47.XX.XX.169。
   identity local address 211.XX.XX.71    //本地网关设备2的公网IP地址，本示例为211.XX.XX.71。
   authentication remote pre-share   //认证对端的方式为PSK（预共享密钥的方式）。
   authentication local pre-share    //认证本端的方式为PSK。
   keyring local alicloud            //调用密钥串。
   exit
   !

5. 执行以下命令，配置transform。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 配置ACL（访问控制列表），定义需要保护的数据流。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

7. 配置IPsec策略。

   //在本地网关设备1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100
   //在本地网关设备2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100

8. 执行以下命令，配置IPsec隧道。

   //在本地网关设备1上添加如下配置
   interface GigabitEthernet1                 //配置与云上IPsec连接建立VPN主隧道的接口IP地址。
   ip address 211.XX.XX.36 255.255.255.0
   crypto map ipsecpro64			//应用IPsec策略
   negotiation auto
   !
   //在本地网关设备2上添加如下配置
   interface GigabitEthernet1                 //配置与云上IPsec连接建立VPN备隧道的接口IP地址。
   ip address 211.XX.XX.71 255.255.255.0
   crypto map ipsecpro64		  //应用IPsec策略
   negotiation auto
   !

根据保存在本地的IPsec连接对端配置，在本地网关设备中添加VPN配置。

1. 登录本地网关设备的命令行配置界面。

2. 配置isakmp策略。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   crypto isakmp policy 1 
   authentication pre-share 
   encryption aes
   hash sha 
   group  2
   lifetime 86400

3. 配置预共享密钥。

   //在本地网关设备1上添加如下配置
   crypto isakmp key fddsFF123**** address 47.XX.XX.3
   //在本地网关设备2上添加如下配置
   crypto isakmp key fddsFF456**** address 47.XX.XX.169

4. 配置IPsec安全协议。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac 
   mode tunnel

5. 配置ACL（访问控制列表），定义需要保护的数据流。

   //分别在本地网关设备1和本地网关设备2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

6. 配置IPsec策略。

   //在本地网关设备1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set ipsecpro64
   set pfs group2
   match address 100
   //在本地网关设备2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set ipsecpro64
   set pfs group2
   match address 100

7. 应用IPsec策略。

   //分别在本地网关设备1上添加如下配置
   interface GigabitEthernet1    //在配置公网IP地址的接口下应用IPsec策略
   crypto map ipsecpro64
   //分别在本地网关设备2上添加如下配置
   interface GigabitEthernet1    //在配置公网IP地址的接口下应用IPsec策略
   crypto map ipsecpro64

在本地网关设备1和本地网关设备2中添加路由配置。

1. 在本地网关设备1和本地网关设备2中添加去往VPC的路由。

   //在本地网关设备1上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
   //在本地网关设备2上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

2. 请根据您的实际网络环境按需在本地数据中心添加路由配置，使本地数据中心去往VPC的流量优先通过本地网关设备1进行传输，在本地网关设备1故障后可以自动通过本地网关设备2进行传输。具体命令，请咨询相关设备厂商。