CreateVpnConnection - 创建IPsec连接

IPsec 连接所在的地域 ID。您可以通过调用 DescribeRegions 接口获取地域 ID。

客户端 Token，用于保证请求的幂等性。

从您的客户端生成一个参数值，确保不同请求间该参数值唯一。ClientToken 只支持 ASCII 字符。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数，且该参数必填。

用户网关的 ID。

VPN 网关实例 ID。

IPsec 连接的名称。

长度为 1～100 个字符，不能以http://或https://开头。

需要和本地数据中心互通的 VPC 侧的网段，用于第二阶段协商。

多个网段之间用半角逗号（,）分隔，例如：192.168.1.0/24,192.168.2.0/24。

关于 IPsec 连接路由模式的说明：

• 如果 LocalSubnet 和 RemoteSubnet 均输入为 0.0.0.0/0，则表示您使用目的路由模式。

• 如果 LocalSubnet 和 RemoteSubnet 均输入具体的网段，则表示您使用感兴趣流模式。

需要和 VPC 互通的本地数据中心侧的网段，用于第二阶段协商。

多个网段之间用半角逗号（,）分隔，例如：192.168.3.0/24,192.168.4.0/24。

关于 IPsec 连接路由模式的说明：

• 如果 LocalSubnet 和 RemoteSubnet 均输入为 0.0.0.0/0，则表示您使用目的路由模式。

• 如果 LocalSubnet 和 RemoteSubnet 均输入具体的网段，则表示您使用感兴趣流模式。

选择 IPsec 连接的配置是否立即生效。取值：

• true：是，配置完成后系统立即进行 IPsec 协议协商。

• false（默认值）：否，当有流量进入时系统才进行 IPsec 协议协商。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

第一阶段协商的配置信息：

• IkeConfig.Psk：预共享密钥，用于 VPN 网关与本地数据中心之间的身份认证。

  • 密钥长度为 1~100 个字符，支持数字、大小写英文字母以及右侧字符，不能包含空格。~!\`@#$%^&*()_-+={}[]|;:',.<>/?

  • 若您未指定预共享密钥，系统会随机生成一个字符串作为预共享密钥。您可以调用 DescribeVpnConnection 接口查询系统自动生成的预共享密钥。

    说明

    IPsec 连接侧的预共享密钥需和本地数据中心侧的认证密钥一致，否则本地数据中心和 VPN 网关之间无法建立连接。

• IkeConfig.IkeVersion：IKE 协议的版本。取值：ikev1 或 ikev2。默认值：ikev1。

  相对于 IKEv1 版本，IKEv2 版本简化了 SA 的协商过程并且对于多网段的场景提供了更好的支持。

  如果 VPN 网关实例类型为国密型，则 IKE 版本仅支持 ikev1。

• IkeConfig.IkeMode：IKE 版本的协商模式。取值：main 或 aggressive。默认值：main。

  • main：主模式，协商过程安全性高。

  • aggressive：野蛮模式，协商快速且协商成功率高。

  如果 VPN 网关实例类型为国密型，则协商模式仅支持 main。

• IkeConfig.IkeEncAlg：第一阶段协商的加密算法。

  如果 VPN 网关实例类型为普通型，则取值为 aes、aes192、aes256、des 或 3des。默认值：aes。

  如果 VPN 网关实例类型为国密型，则取值为 sm4（默认值）。

• IkeConfig.IkeAuthAlg：第一阶段协商的认证算法。

  如果 VPN 网关实例类型为普通型，则取值：md5、sha1、sha256、sha384、sha512。默认值：md5。

  如果 VPN 网关实例类型为国密型，则取值为 sm3（默认值）。

• IkeConfig.IkePfs：第一阶段协商使用的 Diffie-Hellman 密钥交换算法。取值：group1、group2、group5、group14。默认值：group2。

• IkeConfig.IkeLifetime：第一阶段协商出的 SA 的生存周期。单位：秒。取值范围：0~86400。默认值：86400。

• IkeConfig.LocalId：VPN 网关的标识，长度限制为 100 个字符，不能包含空格。默认值为 VPN 网关的 IP 地址。

• IkeConfig.RemoteId：用户网关的标识，长度限制为 100 个字符，不能包含空格。默认值为用户网关的 IP 地址。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

第二阶段协商的配置信息：

• IpsecConfig.IpsecEncAlg：第二阶段协商的加密算法。

  如果 VPN 网关实例类型为普通型，则取值为 aes、aes192、aes256、des 或 3des。默认值：aes。

  如果 VPN 网关实例类型为国密型，则取值为 sm4（默认值）。

• IpsecConfig. IpsecAuthAlg：第二阶段协商的认证算法。

  如果 VPN 网关实例类型为普通型，则取值：md5、sha1、sha256、sha384、sha512。默认值：md5。

  如果 VPN 网关实例类型为国密型，则取值为 sm3（默认值）。

• IpsecConfig. IpsecPfs：第二阶段协商使用的 Diffie-Hellman 密钥交换算法。取值：disabled、group1、group2、group5、group14。默认值：group2。

• IpsecConfig. IpsecLifetime：第二阶段协商出的 SA 的生存周期。单位：秒。取值范围：0~86400。默认值：86400。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

健康检查配置信息：

• HealthCheckConfig.enable：是否开启健康检查，取值：true 或 false（默认值）。

• HealthCheckConfig.dip：健康检查的目的 IP 地址。

• HealthCheckConfig.sip：健康检查的源 IP 地址。

• HealthCheckConfig.interval：健康检查的重试间隔时间，单位：秒。默认值：3。

• HealthCheckConfig.retry：健康检查的重试发包次数。默认值：3。

是否自动配置路由。取值：

• true（默认值）：自动配置路由。

• false：不自动配置路由。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

是否开启 DPD（对等体存活检测）功能。取值：

• true（默认值）：开启 DPD 功能。IPsec 发起端会发送 DPD 报文用来检测对端的设备是否存活，如果在设定时间内未收到正确回应则认为对端已经断线，IPsec 将删除 ISAKMP SA 和相应的 IPsec SA，安全隧道同样也会被删除。

• false：不开启 DPD 功能，IPsec 发起端不会发送 DPD 探测报文。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

是否开启 NAT 穿越功能。取值：

• true（默认值）：开启 NAT 穿越功能。开启后，IKE 协商过程会删除对 UDP 端口号的验证过程，同时实现对 VPN 隧道中 NAT 网关设备的发现功能。

• false：不开启 NAT 穿越功能。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

BGP 的配置信息：

• BgpConfig.EnableBgp：是否开启 BGP 功能。取值：true 或 false（默认值）。

• BgpConfig.LocalAsn：阿里云侧的自治系统号。自治系统号取值范围：1~4294967295。默认值：45104。

  支持按照两段位的格式进行输入，即：前 16 位比特.后 16 位比特。每个段位使用十进制输入。

  例如输入 123.456，则表示自治系统号：123*65536+456=8061384。

• BgpConfig.TunnelCidr：IPsec 隧道网段。该网段需是一个在 169.254.0.0/16 内的掩码长度为 30 的网段，且不能是 169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30 和 169.254.169.252/30。

  说明

  一个 VPN 网关实例下每个 IPsec 连接的 IPsec 隧道网段需保持唯一。

• LocalBgpIp：阿里云侧的 BGP 地址。该地址为 IPsec 隧道网段内的一个 IP 地址。

创建单隧道模式的 IPsec-VPN 连接时支持配置该参数。

如果当前 VPN 网关实例为国密型 VPN 网关，您需要配置对端的 CA 证书。

• 对于国密型 VPN 网关，创建 IPsec 连接时，此项必填。

• 对于普通型 VPN 网关，此项需要为空。

创建双隧道模式的 IPsec-VPN 连接时支持配置该参数。

是否为隧道开启 BGP 功能。取值：true 或 false（默认值）。

是否只预检此次请求。取值：

• true：发送检查请求，不会创建 IPsec 连接。检查项包括是否填写了必需参数、请求格式、业务限制等。如果检查不通过，则返回对应错误。如果检查通过，则返回错误码DryRunOperation。

• false（默认值）：发送正常请求，通过检查后直接创建 IPsec 连接。