建立VPC到本地数据中心的连接（单隧道模式和BGP路由）

环境要求

• IPsec连接绑定公网网络类型的VPN网关实例时，本地数据中心的网关设备必须配置公网IP地址。

• 本地数据中心的网关设备必须支持IKEv1或IKEv2协议，支持任意一种协议的设备均可以和VPN网关建立IPsec-VPN连接。
• 本地数据中心和VPC间互通的网段没有重叠。

BGP动态路由支持的地域

场景示例

本文以下图场景为例。某公司已在德国（法兰克福）地域创建了一个VPC，私网网段为10.0.0.0/8，自治系统号ASN（Autonomous System Number）为65530。该公司在法兰克福拥有本地数据中心，公网IP为2.XX.XX.2，私网网段为172.17.0.0/16，ASN为65531。因业务发展，需要云上VPC与本地数据中心互通。

您可以通过IPsec-VPN建立VPC到本地数据中心的VPN连接，并配置BGP动态路由。配置成功后，VPC和本地数据中心通过BGP动态路由协议自动学习路由实现资源互通，降低网络维护成本和网络配置风险。

说明

在互联网中，一个自治系统AS（Autonomous System）是一个有权自主决定在本系统中应采用何种路由协议的小型单位。这个网络单位可以是一个简单的网络也可以是一个或多个普通的网络管理员来控制的网络群体，它是一个单独的可管理的网络单元。一个自治系统将会分配一个全局的唯一的号码，这个号码叫做自治系统号（ASN）。

准备工作

• 您已经在德国（法兰克福）地域创建了VPC并部署了云服务。具体操作，请参见搭建IPv4专有网络。

• 您已经了解VPC中的ECS实例所应用的安全组规则，并确保安全组规则允许本地数据中心的网关设备访问云上资源。具体操作，请参见查询安全组规则和添加安全组规则。

配置步骤

步骤一：创建VPN网关

1. 登录VPN网关管理控制台。

2. 在VPN网关页面，单击创建VPN网关。

3. 在购买页面，根据以下信息创建VPN网关，然后单击立即购买并完成支付。

   

   配置	说明
   实例名称	输入VPN网关的实例名称。本示例输入VPN。
   地域和可用区	选择VPN网关的地域。 确保VPC的地域和VPN网关的地域相同。本示例选择德国（法兰克福）。
   网关类型	选择VPN网关实例的类型。 本示例选择普通型。
   网络类型	选择实例的网络类型。本示例选择公网。
   隧道	系统直接展示当前地域支持的IPsec-VPN连接的隧道模式。 单隧道 双隧道 关于IPsec-VPN连接隧道模式的说明，请参见【升级公告】IPsec-VPN连接升级为双隧道模式。
   VPC	选择要连接的VPC。本示例选择德国（法兰克福）地域创建的VPC。
   虚拟交换机	从VPC实例中选择一个交换机实例。 IPsec-VPN连接的隧道模式为单隧道时，您仅需要指定一个交换机实例。 IPsec-VPN连接的隧道模式为双隧道时，您需要指定两个交换机实例。 说明 系统默认帮您选择第一个交换机实例，您可以手动修改或者直接使用默认的交换机实例。 创建VPN网关实例后，不支持修改VPN网关实例关联的交换机实例，您可以在VPN网关实例的详情页面查看VPN网关实例关联的交换机以及交换机所属可用区的信息。
   虚拟交换机2	IPsec-VPN连接的隧道模式为单隧道时，无需配置该项。
   带宽规格	选择带宽规格。 单位：Mbps。 带宽规格是VPN网关所具备的公网带宽峰值。本示例选择5 Mbps。
   IPsec-VPN	选择是否开启IPsec-VPN功能。 本示例选择开启。
   SSL-VPN	选择是否开启SSL-VPN功能。 本示例选择关闭。
   计费周期	选择购买时长。 您可以选择是否自动续费： 按月购买：自动续费周期为1个月。 按年购买：自动续费周期为1年。
   服务关联角色	单击创建关联角色，系统自动创建服务关联角色AliyunServiceRoleForVpn。VPN网关使用此角色来访问其他云产品中的资源，更多信息，请参见AliyunServiceRoleForVpn。 已创建若本配置项显示为已创建，则表示您的账号下已创建了该角色，无需重复创建。

步骤二：开启BGP

BGP用于在不同的自治系统（AS）之间交换路由信息。使用BGP动态路由功能前，您需要为VPN网关开启BGP功能。

1. 在左侧导航栏，选择网间互联 > VPN > VPN网关。
2. 在顶部菜单栏，选择VPN网关实例的地域。

3. 在VPN网关页面，找到已创建的VPN网关，在操作列下选择 > 开启路由自动传播。

   

4. 在开启路由自动传播对话框，单击确定。

   开启后，VPN网关会将BGP路由条目自动传播到VPC中。

步骤三：创建用户网关

您可以通过创建用户网关，将本地数据中心的网络信息注册到云上，然后将用户网关和VPN网关连接起来。

1. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

2. 在顶部菜单栏，选择用户网关的地域。

   说明

   用户网关的地域必须和要连接的VPN网关的地域相同。

3. 在用户网关页面，单击创建用户网关。

4. 在创建用户网关面板，根据以下信息配置用户网关，然后单击确定。

   配置	说明
   名称	输入用户网关的名称。本示例输入CGW。
   IP地址	输入本地数据中心网关设备的公网IP地址。本示例输入2.XX.XX.2。
   自治系统号	输入本地数据中心网络的自治系统号。本示例输入65531。
   描述	输入用户网关的描述信息。

   关于参数的更多信息，请参见创建用户网关。

   创建完成后，返回用户网关页面，您可以看到已创建的用户网关。系统会为用户网关自动分配一个公网IP地址用于和VPN网关建立连接。

步骤四：创建IPsec连接

1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

2. 在顶部菜单栏，选择IPsec连接实例的地域。

   说明

   IPsec连接实例的地域必须和要连接的VPN网关的地域相同。

3. 在IPsec连接页面，单击创建IPsec连接。

4. 在创建IPsec连接页面，根据以下信息创建IPsec连接，然后单击确定。

   本示例只提供与创建VPC到本地数据中心间的IPsec连接强相关的配置参数，其他选项使用默认配置。更多信息，请参见创建和管理IPsec连接（单隧道模式）。

   

   配置	说明
   名称	输入IPsec连接的名称。本示例输入VPCTOIDC。
   绑定资源	选择IPsec连接绑定的资源类型。 本文选择VPN网关。
   VPN网关	选择要连接的VPN网关。 选择步骤一中创建的VPN网关。
   用户网关	选择要连接的用户网关。 选择步骤三中创建的用户网关。
   路由模式	选择路由模式。 IPsec连接支持目的路由模式和感兴趣流模式。在IPsec连接使用BGP动态路由协议的情况下，推荐使用目的路由模式。本示例选择目的路由模式。
   立即生效	选择是否立即生效。 是：配置完成后立即进行协商。 否：当有流量进入时进行协商。 本示例选择是。
   预共享密钥	输入预共享密钥。 请确保要建立的IPsec连接VPC侧和本地数据中心侧的预共享密钥一致。本示例输入123456****。
   版本	选择IKE的版本。本示例选择ikev2。
   加密算法	选择加密算法。本示例选择aes。
   认证算法	选择认证算法。本示例选择sha1。
   DH分组	选择DH分组。本示例选择group2。
   隧道网段	输入IPsec隧道的网段，该网段在169.254.0.0/16内的掩码长度为30的网段。本示例输入169.254.10.0/30。
   本端BGP地址	输入本端BGP地址，该地址为隧道网段内的一个IP地址。本示例输入169.254.10.1。 说明 请确保IPsec隧道两端的BGP地址不冲突。
   本端自治系统号	输入VPC侧的自治系统号。本示例输入65530。

步骤五：在本地网关设备中加载VPN配置

创建IPsec连接后，您还需要在本地网关设备中加载VPN配置，才能建立VPC到本地数据中心的VPN连接。

1. 登录思科防火墙设备的命令行配置界面。

2. 执行以下命令，配置ikev2 proposal和policy 。

   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //配置加密算法，本示例配置为aes-cbc-128。
   integrity sha1                  //配置认证算法，本示例配置为sha1。
   group 2                         //配置DH分组，本示例配置为group2。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 执行以下命令，配置ikev2 keyring。

   crypto ikev2 keyring alicloud
   peer alicloud
   address 1.XX.XX.1                //配置VPC侧VPN网关的公网IP地址，本示例配置为1.XX.XX.1。
   pre-shared-key 123456****        //配置钥匙串，本示例配置为123456****。
   exit
   !

4. 执行以下命令，配置ikev2 profile。

   crypto ikev2 profile alicloud
   match identity remote address 1.XX.XX.1 255.255.255.255    //匹配VPC侧VPN网关的公网IP，本示例匹配的地址为1.XX.XX.1。
   identity local address 2.XX.XX.2    //本地数据中心的公网IP，本示例配置为2.XX.XX.2。
   authentication remote pre-share   //认证对端的方式为PSK。
   authentication local pre-share    //认证本端的方式为PSK。
   keyring local alicloud            //调用密钥串。
   exit
   !

5. 执行以下命令，配置transform。

   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 执行以下命令，配置IPsec Profile，并调用transform、pfs和ikev2 profile。

   crypto ipsec profile alicloud
   set transform-set TSET
   set pfs group2
   set ikev2-profile alicloud
   exit
   !

7. 执行以下命令，配置IPsec隧道。

   interface Tunnel100
   ip address 169.254.10.2 255.255.255.252    //配置本端（本地数据中心）隧道地址，本示例配置为169.254.10.2。
   tunnel source GigabitEthernet1
   tunnel mode ipsec ipv4
   tunnel destination 1.XX.XX.1                 //隧道对端（云上VPN网关）公网IP地址，本示例配置为1.XX.XX.1。
   tunnel protection ipsec profile alicloud
   no shutdown
   exit
   !
   interface GigabitEthernet1
   ip address 2.XX.XX.2 255.255.255.0
   negotiation auto
   !

8. 执行以下命令，配置BGP路由协议。

   router bgp 65531                         //开启bgp路由协议，并配置本端（本地数据中心）ASN。本示例配置ASN为65531。
   bgp router-id 169.254.10.2               //bgp路由器id，本示例设置为169.254.10.2。
   bgp log-neighbor-changes
   neighbor 169.254.10.1 remote-as 65530    //配置bgp邻居的ASN。
   neighbor 169.254.10.1 ebgp-multihop 10   //配置ebgp跳数为10。  
   !
   address-family ipv4
   network 172.17.0.0 mask 255.255.0.0      //宣告本端（本地数据中心）网段，本示例配置为172.17.0.0/16。
   neighbor 169.254.10.1 activate           //激活bgp邻居。
   exit-address-family
   !

步骤六：测试连通性

1. 登录到VPC内一台无公网IP的ECS实例。关于如何登录ECS实例，请参见连接方式概述。

2. 通过ping命令，访问本地数据中心的客户端，验证通信是否正常。

   经验证，VPC ECS实例可以正常访问本地数据中心的客户端。

3. 登录本地数据中心客户端。

4. 通过ping命令，访问VPC下的ECS实例，验证通信是否正常。

   经验证，本地数据中心客户端可以正常访问VPC ECS实例。