创建IPsec VPN网关和用户网关后，您可以创建IPsec连接建立加密通信通道。

前提条件

如果您要为国密型VPN网关创建IPsec连接，请确保您已经满足以下条件：

  • 您的国密型VPN网关已经绑定了国密证书。具体操作，请参见管理国密证书。
  • 您已知国密型VPN网关对端的CA（Certification Authority）证书和CA证书主体名称。

背景信息

在您创建IPsec连接时，您可以选择为IPsec连接开启或关闭以下功能：
  • DPD：对等体存活检测DPD（Dead Peer Detection）功能。

    开启DPD功能后，IPsec发起端会发送DPD报文用来检测对端的设备是否存活，如果在设定时间内未收到正确回应则认为对端已经断线，IPsec将删除ISAKMP SA和相应的IPsec SA，安全隧道同样也会被删除。系统默认开启该功能。

  • NAT穿越：NAT（Network Address Translation）穿越功能。

    开启NAT穿越功能后，IKE协商过程会删除对UDP端口号的验证过程，同时能帮您发现VPN隧道中NAT网关设备。系统默认开启该功能。

  • BGP：BGP（Border Gateway Protocol）动态路由功能。

    开启BGP功能后，VPN网关通过BGP动态路由协议自动学习路由实现资源互通，帮您降低网络维护成本和网络配置风险。系统默认关闭该功能。

  • 健康检查：IPsec连接的健康检查功能。

    通过配置健康检查，可以帮您检测IPsec连接状态，方便您及时发现问题。系统默认关闭该功能。

说明
  • 目前，DPD功能、NAT穿越功能、BGP动态路由功能、健康检查功能均白名单开放。如需使用，请提交工单。
  • VPN网关开启BGP功能后，不支持关闭。

操作步骤

  1. 登录VPN网关管理控制台。
  2. 在左侧导航栏，选择VPN > IPsec连接。
  3. 在顶部菜单栏，选择IPsec连接的地域。
  4. 在IPsec连接页面，单击创建IPsec连接。
  5. 在创建IPsec连接页面，根据以下信息配置IPsec连接，然后单击确定。
    为普通型VPN网关创建IPsec连接
    配置 说明
    名称

    IPsec连接的名称。

    名称在2~128个字符之间，以英文字母或中文开始，可包含数字、短划线（-）和下划线（_）。
    VPN网关 选择待连接的普通型VPN网关。
    用户网关 选择待连接的用户网关。
    路由模式 选择路由模式。默认为目的路由模式。
    • 目的路由模式：基于目的IP进行路由转发。

      您在创建IPsec连接后，需要在VPN网关目的路由表中添加目的路由。具体操作，请参见添加目的路由。

    • 感兴趣流模式：基于源IP和目的IP进行精确的路由转发。

      您在创建IPsec连接时，如果您选择了感兴趣流模式，您需要配置本端网段和对端网段。配置完成后，系统自动在VPN网关策略路由表中添加策略路由。

      系统在VPN网关策略路由表中添加策略路由后，路由默认是未发布状态，您需要在策略路由表中手动将路由发布至VPC中。

    说明 如果您当前的VPN版本为旧版，您无需选择路由模式。在您创建IPsec连接后，请您手动为VPN网关配置目的路由或策略路由。更多信息，请参见网关路由概述。
    本端网段 输入需要和本地数据中心互连的VPC侧的网段，用于第二阶段协商。
    单击文本框后面的添加，可添加多个需要和本地数据中心互连的VPC侧的网段。
    说明 只有IKE V2版本下才可以配置多网段。
    对端网段 输入需要和VPC互连的本地数据中心侧的网段，用于第二阶段协商。
    单击文本框后面的添加，可添加多个需要和VPC互连的本地数据中心侧的网段。
    说明 只有IKE V2版本下才可以配置多网段。
    立即生效 选择是否立即生效。
    • 是：配置完成后立即进行协商。
    • 否：当有流量进入时进行协商。
    预共享密钥 用于IPsec VPN网关与用户网关之间的身份认证。默认情况下会随机生成，也可以手动指定密钥。
    高级配置：IKE配置
    版本 选择IKE协议的版本。
    • ikev1
    • ikev2

    目前系统支持IKE V1和IKE V2，相对于IKE V1版本，IKE V2版本简化了SA的协商过程并且对于多网段的场景提供了更好的支持，所以建议选择IKE V2版本。
    协商模式 选择协商模式。
    • main：主模式，协商过程安全性高。
    • aggressive：野蛮模式，协商快速且协商成功率高。

    协商成功后两种模式的信息传输安全性相同。
    加密算法 选择第一阶段协商使用的加密算法。普通型VPN网关支持aes、aes192、aes256、des和3des。
    认证算法 第一阶段协商使用的认证算法。普通型VPN网关支持sha1、md5、sha256、sha384和sha512。
    DH分组 选择第一阶段协商的Diffie-Hellman密钥交换算法。
    SA生存周期（秒） 设置第一阶段协商出的SA的生存周期。默认值为86400秒。
    LocalId 作为IPsec VPN网关的标识，用于第一阶段的协商。默认值为VPN网关的公网IP地址。如果手动设置LocalId为FQDN格式，建议将协商模式改为野蛮模式（aggressive）。
    RemoteId 作为用户网关的标识，用于第一阶段的协商。默认值为用户网关的公网IP地址。如果手动设置RemoteId为FQDN格式，建议将协商模式改为野蛮模式（aggressive）。
    高级配置：IPSec配置
    加密算法 选择第二阶段协商的加密算法。支持aes、aes192、aes256、des和3des。
    认证算法 选择第二阶段协商的认证算法。支持sha1、md5、sha256、sha384和sha512。
    DH分组 选择第二阶段协商的Diffie-Hellman密钥交换算法：
    • 如果选择为非disabled的任何一个组，会默认开启PFS功能（完美向前加密），使得每次重协商都要更新密钥，因此，相应的客户端也要配置为PFS开启。
    • 对于不支持PFS的客户端请选择disabled。
    SA生存周期（秒） 设置第二阶段协商出的SA的生存周期。默认值为86400秒。
    DPD 选择开启或关闭对等体存活检测功能。DPD功能默认开启。
    NAT穿越 选择开启或关闭NAT穿越功能。NAT穿越功能默认开启。
    BGP配置
    隧道网段 输入IPsec隧道的网段。

    该网段应是一个在169.254.0.0/16内的掩码长度为30的网段。
    本端BGP地址 输入本端BGP地址。

    该地址为隧道网段内的一个IP地址。

    说明 请确保IPsec隧道两端的BGP地址不冲突。
    本端自治系统号 输入VPC侧的自治系统号。
    健康检查
    目标IP VPC侧通过IPSec连接可以访问的本地数据中心的IP地址。
    源IP 本地数据中心通过IPSec连接可以访问的VPC侧的IP地址。
    重试间隔 健康检查的重试间隔时间，单位是秒。
    重试次数 健康检查的重试发包次数。
    为国密型VPN网关创建IPsec连接
    配置 说明
    名称

    IPsec连接的名称。

    名称在2~128个字符之间，以英文字母或中文开始，可包含数字、短划线（-）和下划线（_）。
    VPN网关 选择待连接的国密型VPN网关。
    用户网关 选择待连接的用户网关。
    路由模式 选择路由模式。默认为目的路由模式。
    • 目的路由模式：基于目的IP进行路由转发。

      您在创建IPsec连接后，需要在VPN网关目的路由表中添加目的路由。具体操作，请参见添加目的路由。

    • 感兴趣流模式：基于源IP和目的IP进行精确的路由转发。

      您在创建IPsec连接时，如果您选择了感兴趣流模式，您需要配置本端网段和对端网段。配置完成后，系统自动在VPN网关策略路由表中添加策略路由。

      系统在VPN网关策略路由表中添加策略路由后，路由默认是未发布状态，您需要在策略路由表中手动将路由发布至VPC中。

    说明 如果您当前的VPN版本为旧版，您无需选择路由模式。在您创建IPsec连接后，请您手动为VPN网关配置目的路由或策略路由。更多信息，请参见网关路由概述。
    本端网段 输入需要和本地数据中心互连的VPC侧的网段，用于第二阶段协商。
    单击文本框后面的添加，可添加多个需要和本地数据中心互连的VPC侧的网段。
    说明 只有IKE V2版本下才可以配置多网段。
    对端网段 输入需要和VPC互连的本地数据中心侧的网段，用于第二阶段协商。
    单击文本框后面的添加，可添加多个需要和VPC互连的本地数据中心侧的网段。
    说明 只有IKE V2版本下才可以配置多网段。
    立即生效 选择是否立即生效。
    • 是：配置完成后立即进行协商。
    • 否：当有流量进入时进行协商。
    RemoteId 输入对端CA证书的主体名称。
    对端CA证书 输入对端CA证书。

    通过输入对端CA证书，VPN网关可以在建立IPsec连接时校验对端证书的合法性。

    您还可以通过以下两种方式选择对端CA证书：
    • 单击上传证书，选择本地已经保存的证书。
    • 单击选择证书，选择您在KMS平台创建的证书实例。
    高级配置：IKE配置
    版本 选择IKE协议的版本。
    • ikev1
    • ikev2

    目前系统支持IKE V1和IKE V2，相对于IKE V1版本，IKE V2版本简化了SA的协商过程并且对于多网段的场景提供了更好的支持，所以建议选择IKE V2版本。
    协商模式 选择协商模式。
    • main：主模式，协商过程安全性高。
    • aggressive：野蛮模式，协商快速且协商成功率高。

    协商成功后两种模式的信息传输安全性相同。
    加密算法 选择第一阶段协商使用的加密算法。国密型VPN网关支持sm4。
    认证算法 选择第一阶段协商使用的认证算法。国密型VPN网关支持sm3。
    SA生存周期（秒） 设置第一阶段协商出的SA的生存周期。默认值为86400秒。
    高级配置：IPSec配置
    加密算法 选择第二阶段协商的加密算法。国密型VPN网关支持sm4。
    认证算法 选择第二阶段协商的认证算法。国密型VPN网关支持sm3。
    SA生存周期（秒） 设置第二阶段协商出的SA的生存周期。默认值为86400秒。
    DPD 选择开启或关闭对等体存活检测功能。DPD功能默认开启。
    NAT穿越 选择开启或关闭NAT穿越功能。NAT穿越功能默认开启。
    BGP配置
    隧道网段 输入IPsec隧道的网段。

    该网段应是一个在169.254.0.0/16内的掩码长度为30的网段。
    本端BGP地址 输入本端BGP地址。

    该地址为隧道网段内的一个IP地址。

    说明 请确保IPsec隧道两端的BGP地址不冲突。
    本端自治系统号 输入VPC侧的自治系统号。
    健康检查
    目标IP VPC侧通过IPSec连接可以访问的本地数据中心的IP地址。
    源IP 本地数据中心通过IPSec连接可以访问的VPC侧的IP地址。
    重试间隔 健康检查的重试间隔时间，单位是秒。
    重试次数 健康检查的重试发包次数。