AI 助理
备案控制台
文档
输入文档关键字查找
首页 VPN网关 IPsec-VPN 开发参考 API参考 API目录 绑定转发路由器实例 CreateVpnAttachment - 创建IPsec连接

CreateVpnAttachment - 创建IPsec连接

更新时间：
产品详情
我的收藏

调用CreateVpnAttachment接口创建IPsec连接，用于绑定转发路由器实例。

接口说明

调用CreateVpnAttachment接口创建的 IPsec 连接默认未绑定任何资源，后续您可以通过调用 CreateTransitRouterVpnAttachment 接口将 IPsec 连接绑定转发路由器实例。

前提条件

创建 IPsec 连接前，请确保您已经在 IPsec 连接所在的地域创建了用户网关。具体操作，请参见 CreateCustomerGateway 。

如果您需要为 IPsec 连接添加 BGP 配置，请确保用户网关已添加了自治系统号。

调试

您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。

授权信息

下表是API对应的授权信息，可以在RAM权限策略语句的Action元素中使用，用来给RAM用户或RAM角色授予调用此API的权限。具体说明如下：

  • 操作：是指具体的权限点。
  • 访问级别：是指每个操作的访问级别，取值为写入（Write）、读取（Read）或列出（List）。
  • 资源类型：是指操作中支持授权的资源类型。具体说明如下：
    • 对于必选的资源类型，用背景高亮的方式表示。
    • 对于不支持资源级授权的操作，用全部资源表示。
  • 条件关键字：是指云产品自身定义的条件关键字。
  • 关联操作：是指成功执行操作所需要的其他权限。操作者必须同时具备关联操作的权限，操作才能成功。
操作访问级别资源类型条件关键字关联操作
vpc:CreateVpnAttachmentcreate
*全部资源
*
    无
无

请求参数

名称类型必填描述示例值
RegionIdstring是

IPsec 连接所属的地域 ID。

您可以通过调用 DescribeRegions 接口获取地域 ID。

cn-hangzhou
Namestring否

IPsec 连接的名称。

名称长度为 1～100 个字符，不能以http://或https://开头。

nametest
CustomerGatewayIdstring否

用户网关 ID。

cgw-p0w2jemrcj5u61un8****
NetworkTypestring否

IPsec 连接的网络类型。取值：

  • public（默认值）：公网，表示 IPsec 连接通过公网建立加密通信通道。
  • private：私网，表示 IPsec 连接通过私网建立加密通信通道。
public
LocalSubnetstring是

需要和本地数据中心互通的 VPC 侧的网段，用于第二阶段协商。

多个网段之间用半角逗号（,）分隔，例如：192.168.1.0/24,192.168.2.0/24。

关于 IPsec 连接路由模式的说明：

  • 如果 LocalSubnet 和 RemoteSubnet 均输入为 0.0.0.0/0，则表示您使用目的路由模式。
  • 如果 LocalSubnet 和 RemoteSubnet 均输入具体的网段，则表示您使用感兴趣流模式。
10.1.1.0/24,10.1.2.0/24
RemoteSubnetstring是

需要和 VPC 互通的本地数据中心侧的网段，用于第二阶段协商。

多个网段之间用半角逗号（,）分隔，例如：192.168.3.0/24,192.168.4.0/24。

关于 IPsec 连接路由模式的说明：

  • 如果 LocalSubnet 和 RemoteSubnet 均输入为 0.0.0.0/0，则表示您使用目的路由模式。
  • 如果 LocalSubnet 和 RemoteSubnet 均输入具体的网段，则表示您使用感兴趣流模式。
10.1.3.0/24,10.1.4.0/24
EffectImmediatelyboolean否

选择 IPsec 连接的配置是否立即生效。 取值：

  • true：是，配置完成后系统立即进行 IPsec 协议协商。
  • false（默认值）：否，当有流量进入时系统才进行 IPsec 协议协商。
false
IkeConfigstring否

第一阶段协商的配置信息：

  • IkeConfig.Psk：预共享密钥，用于 VPN 网关与本地数据中心之间的身份认证。

    • 密钥长度为 1~100 个字符，支持数字、大小写英文字母以及右侧字符，不能包含空格。~!`@#$%^&*()_-+={}[]|;:',.<>/?

    • 若您未指定预共享密钥，系统会随机生成一个 16 位的字符串作为预共享密钥。您可以调用 DescribeVpnConnection 接口查询系统自动生成的预共享密钥。

    说明 IPsec 连接侧的预共享密钥需和本地数据中心侧的认证密钥一致，否则本地数据中心和 VPN 网关之间无法建立连接。

  • IkeConfig.IkeVersion：IKE 协议的版本。取值：ikev1 或 ikev2。默认值：ikev1。

  • IkeConfig.IkeMode：协商模式。取值：main 或 aggressive。默认值：main。

  • IkeConfig.IkeEncAlg：第一阶段协商的加密算法。取值：aes、aes192、aes256、des 或 3des。默认值：aes。

  • IkeConfig.IkeAuthAlg：第一阶段协商的认证算法。取值：md5、sha1、sha256、sha384、sha512。默认值：md5。

  • IkeConfig.IkePfs：第一阶段协商使用的 Diffie-Hellman 密钥交换算法。取值：group1、group2、group5 或 group14。默认值：group2。

  • IkeConfig.IkeLifetime：第一阶段协商出的 SA 的生存周期。单位：秒。取值范围：0~86400。默认值：86400。

  • IkeConfig.LocalId：IPsec 连接阿里云侧的标识，长度限制为 100 个字符，不能包含空格。默认值为空。

  • IkeConfig.RemoteId：IPsec 连接本地数据中心侧的标识，长度限制为 100 个字符，不能包含空格。默认值为用户网关的 IP 地址。

{"Psk":"1234****","IkeVersion":"ikev1","IkeMode":"main","IkeEncAlg":"aes","IkeAuthAlg":"sha1","IkePfs":"group2","IkeLifetime":86400,"LocalId":"47.XX.XX.1","RemoteId":"47.XX.XX.2"}
IpsecConfigstring否

第二阶段协商的配置信息：

  • IpsecConfig.IpsecEncAlg：第二阶段协商的加密算法。取值：aes、aes192、aes256、des 或 3des。默认值：aes。

  • IpsecConfig. IpsecAuthAlg：第二阶段协商的认证算法。取值：md5、sha1、sha256、sha384、sha512。默认值：md5。

  • IpsecConfig. IpsecPfs：第二阶段协商使用的 Diffie-Hellman 密钥交换算法。取值：disabled、group1、group2、group5 或 group14。默认值：group2。

  • IpsecConfig. IpsecLifetime：第二阶段协商出的 SA 的生存周期。单位：秒。取值范围：0~86400。默认值：86400。

{"IpsecEncAlg":"aes","IpsecAuthAlg":"sha1","IpsecPfs":"group2","IpsecLifetime":86400}
BgpConfigstring否

BGP 的配置信息：

  • BgpConfig.EnableBgp：是否开启 BGP 功能。取值：true 或 false（默认值）。

  • BgpConfig.LocalAsn：阿里云侧的自治系统号。自治系统号取值范围：1~4294967295。默认值：45104。

    支持按照两段位的格式进行输入，即：前 16 位比特.后 16 位比特。每个段位使用十进制输入。

    例如输入 123.456，则表示自治系统号：123*65536+456=8061384。

  • BgpConfig.TunnelCidr：IPsec 隧道网段。该网段需是一个在 169.254.0.0/16 内的掩码长度为 30 的网段，且不能是 169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30 和 169.254.169.252/30。

  • LocalBgpIp：阿里云侧的 BGP 地址。该地址为 IPsec 隧道网段内的一个 IP 地址。

说明
  • 在添加 BGP 配置前，建议您先了解 BGP 动态路由功能的工作机制和使用限制。更多信息，请参见配置 BGP 动态路由 。
  • 建议您使用自治系统号的私有号码与阿里云建立 BGP 连接。自治系统号的私有号码范围请自行查阅文档。
    •
    		{"EnableBgp":"true","LocalAsn":"45104","TunnelCidr":"169.254.11.0/30","LocalBgpIp":"169.254.11.1"}
    HealthCheckConfigstring否

    健康检查配置信息：

    • HealthCheckConfig.enable：是否开启健康检查，取值：true 或 false（默认值）。

    • HealthCheckConfig.dip：健康检查的目的 IP 地址。输入 VPC 侧通过 IPsec 连接可以访问的本地数据中心的 IP 地址。

    • HealthCheckConfig.sip：健康检查的源 IP 地址。输入本地数据中心通过 IPsec 连接可以访问的 VPC 侧的 IP 地址。

    • HealthCheckConfig.interval：健康检查的重试间隔时间，单位：秒。默认值：3。

    • HealthCheckConfig.retry：健康检查的重试发包次数。默认值：3。

    • HealthCheckConfig.Policy：健康检查失败时是否撤销已发布的路由。取值：

      • revoke_route（默认值）：撤销已发布的路由。
      • reserve_route：不撤销已发布的路由。
    		{"enable":"true","dip":"192.168.1.1","sip":"10.1.1.1","interval":"3","retry":"3","Policy": "revoke_route"}
    AutoConfigRouteboolean否

    是否自动配置路由。取值：

    • true（默认值）：自动配置路由。

    • false：不自动配置路由。

    		true
    EnableDpdboolean否

    是否开启 DPD（对等体存活检测）功能。取值：

    • true（默认值）：开启 DPD 功能。IPsec 发起端会发送 DPD 报文用来检测对端的设备是否存活，如果在设定时间内未收到正确回应则认为对端已经断线，IPsec 将删除 ISAKMP SA 和相应的 IPsec SA，安全隧道同样也会被删除。

    • false：不开启 DPD 功能，IPsec 发起端不会发送 DPD 探测报文。

    		true
    EnableNatTraversalboolean否

    是否开启 NAT 穿越功能。取值：

    • true（默认值）：开启 NAT 穿越功能。开启后，IKE 协商过程会删除对 UDP 端口号的验证过程，同时实现对 VPN 隧道中 NAT 网关设备的发现功能。

    • false：不开启 NAT 穿越功能。

    		true
    RemoteCaCertstring否

    国密型 VPN 网关创建 IPsec 连接时，对端的 CA 证书。

    		-----BEGIN CERTIFICATE----- MIIB7zCCAZW**** -----END CERTIFICATE-----
    ClientTokenstring否

    客户端 Token，用于保证请求的幂等性。

    从您的客户端生成一个参数值，确保不同请求间该参数值唯一。ClientToken 只支持 ASCII 字符。

    说明 若您未指定，则系统自动使用 API 请求的 RequestId 作为 ClientToken 标识。每次 API 请求的 RequestId 不一样。
    		123e4567-e89b-12d3-a456-4266****
    Tagsarray<object>否

    IPsec 连接待添加的标签列表。

    一次最多支持为 IPsec 连接添加 20 个标签。

    object否

    标签信息。

    Keystring否

    标签键。一旦输入该值，则不允许为空字符串。

    最多支持 64 个字符，不能以aliyun和acs:开头，不能包含http://或者https://。

    一次最多支持输入 20 个标签键。

    		TagKey
    Valuestring否

    标签值。

    标签值最多支持 128 个字符，可以为空字符串，不能以aliyun和acs:开头，不能包含http://或者https://。

    一个标签键对应一个标签值。一次最多支持输入 20 个标签值。

    		TagValue
    ResourceGroupIdstring否

    IPsec 连接所属的资源组 ID。

    • 您可以调用 ListResourceGroups 接口查询资源组 ID。
    • 如果您未指定资源组 ID，IPsec 连接创建后将归属于默认资源组。
    		rg-acfmzs372yg****

    返回参数

    名称类型描述示例值
    object

    返回结果。

    RequestIdstring

    请求 ID。

    		88187252-0E26-3C4D-9D1D-32A04454EBBA
    VpnConnectionIdstring

    IPsec 连接 ID。

    		vco-p0wb09rama8qwwgfn****
    Namestring

    IPsec 连接的名称。

    		nametest
    CreateTimelong

    创建 IPsec 连接的时间戳。单位：毫秒。

    时间戳的格式采用 Unix 时间戳，表示从格林威治时间 1970 年 01 月 01 日 00 时 00 分 00 秒至创建 IPsec 连接时的总时长。

    		1658201810000
    Codestring

    当前任务返回的状态码。200 表示任务成功。

    		200
    Messagestring

    当前任务返回的信息。

    		successful
    Successboolean

    当前任务是否成功执行。

    • true：已成功执行。
    • false：未能成功执行。
    		true

    示例

    正常返回示例

    JSON格式

    {
  "RequestId": "88187252-0E26-3C4D-9D1D-32A04454EBBA",
  "VpnConnectionId": "vco-p0wb09rama8qwwgfn****",
  "Name": "nametest",
  "CreateTime": 1658201810000,
  "Code": "200",
  "Message": "successful",
  "Success": true
}

    错误码

    HTTP status code错误码错误信息描述
    400Resource.QuotaFullThe quota of resource is full资源配额已达上限。
    400InvalidVpnConnection.AlreadyExistsVpn connection already exists.VPN 连接已经存在，不用再次添加。
    400VpnRouteEntry.AlreadyExistsThe specified route entry is already exist.该路由已存在。
    400VpnRouteEntry.ConflictThe specified route entry has conflict.路由条目存在冲突。
    400NotSupportVpnConnectionParameter.IpsecPfsThe specified vpn connection ipsec Ipsec Pfs is not support.IPsec连接中指定的Pfs参数不支持
    400NotSupportVpnConnectionParameter.IpsecAuthAlgThe specified vpn connection ipsec Auth Alg is not support.IPsec连接中指定的认证算法不支持
    400VpnRouteEntry.BackupRouteValidate backup route entry failed.主备路由条目校验失败。
    400VpnRouteEntry.InvalidWeightInvalid route entry weight value.路由权重值不合法
    400InvalidParameter.VpnConnectionNameThe specified vpn connection name is invalid.指定的VPN连接名称不合规范。
    400QuotaExceeded.PolicyBasedRouteThe maximum number of policy-based routes is exceeded. Existing routes: %s. Routes to be created: %s. Maximum routes: %s.策略路由条数已达上限，当前已有%s条，本次将创建%s条，上限为%s条。
    400MissingParameter.TunnelCidrThe parameter TunnelCidr is mandatory when BGP is enabled.开启BGP时，隧道CIDR参数是必填项
    400OperationUnsupported.EnableBgpCurrent region does not support enable BGP.当前地域不支持开启BGP。
    400MissingParam.CustomerGatewayAsnAsn of customer gateway is mandatory when BGP is enabled.开启BGP时，客户网关的自治系统号不可以为空。
    400IllegalParam.LocalAsnThe specified LocalAsn is invalid.本端自治系统号不合法。
    400InvalidParameter.BgpConfigThe specified BgpConfig is invalid.指定的BGP配置不合规范
    400IllegalParam.EnableBgpVPN connection must enable BGP when VPN gateway has enabled BGP.当 VPN 网关启用 BGP 时，VPN 连接必须启用 BGP。
    400IllegalParam.TunnelCidrThe specified TunnelCidr is invalid.参数TunnelCidr不合法。
    400InvalidLocalBgpIp.MalformedThe specified LocalBgpIp is malformed.指定的本端BGP的IP异常
    400IllegalParam.LocalBgpIpThe specified LocalBgpIp is invalid.本端BGP地址不合法。
    400IllegalParam.LocalSubnetThe specified "LocalSubnet" (%s) is invalid.本端网段(%s)不合法。
    400IllegalParam.RemoteSubnetThe specified "RemoteSubnet" (%s) is invalid.对端网段(%s)不合法。
    400OperationFailed.MissCertificateThe VPN connecton has not associated any certificates.当前VPN连接没有关联任何证书。
    400MissingParam.RemoteIdThe remote ID is mandatory when creating national standard VPN connection.当创建国密VPN连接时，对端ID是必填参数。
    400CustomerGateway.ConflictRouteEntryThe specified customer gateway has conflict with route entry.当前用户网关和路由存在冲突。
    400VpnTask.CONFLICTVpn task has conflict.Vpn操作存在冲突，请稍后重试。
    400Forbidden.TagKey.DuplicatedThe specified tag key already exists.标签资源重复
    400OperationFailed.NoAvailableAmountThe available amount of your account is less than 0, please recharge before attempting to purchase.您的账户可用额度小于0，请先充值后再尝试购买。
    400SizeLimitExceeded.TagNumThe maximum number of tags is exceeded.标签数量超限
    400InvalidParameter.TagValueThe specified parameter TagValue is invalid.指定的参数TagValue不合规范。
    400InvalidParameter.TagKeyThe specified parameter TagKey is invalid.指定的参数TagKey不合规范。
    400Duplicated.TagKeyThe specified parameter TagKey is duplicated.指定的参数TagKey重复。
    400InternalErrorThe request processing has failed due to some unknown error, exception or failure.内部错误
    400InvalidTunnelCidr.MalformedThe specified TunnelCidr is malformed.指定的隧道CIDR异常
    400CustomerGateway.ConflictVpnIpThe customer gateway associated with the IPSec connection should not have the same IP address as the VPN gateway.IPSec连接关联的用户网关与VPN网关不应该有相同的网关IP地址。
    400MissingParameter.TunnelOptionsSpecificationThe required parameters are missing when creating a tunnel for dual-tunnel VPN.双隧道VPN在创建隧道时，必填参数缺失。
    400CreateDbrRoutesQuotaFull.QuotaFullThe number of created destination routes exceeds the quota limit.创建目的路由数量超过配额限制。
    403Forbbiden.SubUserUser not authorized to operate on the specified resource as your account is created by another user.您没有权限操作该资源，请您申请操作权限后再试。
    403ForbiddenUser not authorized to operate on the specified resource.您没有权限操作指定资源，请申请权限后再操作。
    404InvalidCustomerGatewayInstanceId.NotFoundThe specified customer gateway instance id does not exist.指定的用户网关实例不存在，请您检查用户网关实例ID是否正确。

    访问错误中心查看更多错误码。

    变更历史

    变更时间变更内容概要操作
    2024-11-25OpenAPI 错误码发生变更、OpenAPI 入参发生变更查看变更详情
    2024-10-24OpenAPI 错误码发生变更、OpenAPI 入参发生变更查看变更详情
    2024-05-10OpenAPI 错误码发生变更查看变更详情
    2023-10-19OpenAPI 描述信息更新、OpenAPI 错误码发生变更、OpenAPI 入参发生变更查看变更详情
    2023-08-09OpenAPI 描述信息更新、OpenAPI 错误码发生变更查看变更详情
    上一篇：绑定转发路由器实例下一篇：CreateVcoRouteEntry - 为IPsec连接添加目的路由条目
    文档推荐