使用BGP动态路由方式实现物理专线私网流量加密传输

步骤一：通过物理专线和转发路由器实现IDC与VPC私网互通

第1步：部署物理专线

部署物理专线将本地IDC连接至阿里云。

1. 创建物理专线。

   在华东1（杭州）地域申请一条物理专线。具体操作，请参见创建和管理独享专线连接或共享专线连接概述。本文选择创建独享专线连接。

2. 创建VBR实例。

   1. 登录高速通道管理控制台。

   2. 在左侧导航栏，单击边界路由器（VBR）。

   3. 在顶部菜单栏，选择华东1（杭州）地域。

      VBR实例的地域需和物理专线所属地域相同。

   4. 在边界路由器（VBR）页面，单击创建边界路由器。

   5. 在创建边界路由器面板，根据以下信息进行配置，然后单击确定。

      以下仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见创建和管理边界路由器。

      配置项	说明

      配置项	说明
      名称	本文输入VBR。
      物理专线接口	本文选择独享专线类型，然后选择已创建的物理专线接口。
      VLAN ID	本文输入0。
      阿里云侧IPv4互联IP	本文输入10.0.0.1。
      客户侧IPv4互联IP	本文输入10.0.0.2。
      IPv4子网掩码	本文输入255.255.255.252。

3. 为VBR实例配置BGP组。

   1. 在边界路由器（VBR）页面，单击VBR实例ID。

   2. 在边界路由器实例详情页面，单击BGP组页签。

   3. 在BGP组页签下，单击创建BGP组，并根据以下信息进行BGP组配置，然后单击确定。

      以下仅列举本文强相关的配置项。更多信息，请参见配置BGP。

      • 名称：输入VBR-BGP。

      • Peer AS号：输入本地网关设备的自治系统号65530。

      • 本端AS号：输入VBR实例使用的BGP AS号65534。

4. 为VBR实例配置BGP邻居。

   1. 在边界路由器实例详情页面，单击BGP邻居页签。

   2. 在BGP邻居页签下，单击创建BGP邻居。

   3. 在创建BGP邻居面板，配置BGP邻居信息，然后单击确定。

      • BGP组：选择VBR-BGP。

      • BGP邻居IP：输入BGP邻居的IP地址。本文输入本地网关设备连接物理专线的接口的IP地址10.0.0.1。

5. 在本地网关设备配置BGP路由。

   说明

   本文以思科防火墙ASA（软件版本9.19.1）作为配置示例。不同软件版本的配置命令可能会有所差异，操作时请根据您的实际环境查询对应文档或咨询相关厂商。更多本地网关设备配置示例，请参见本地网关设备配置示例。

   以下内容包含的第三方产品信息仅供参考。阿里云对第三方产品的性能、可靠性以及操作可能带来的潜在影响，不做任何暗示或其他形式的承诺。

   ciscoasa> enable
   Password: ********             #输入进入enable模式的密码。
   ciscoasa# configure terminal   #进入配置模式。
   ciscoasa(config)#   
   
   #思科防火墙已完成了接口配置，并已开启接口。以下为本文的接口配置示例。
   ciscoasa(config)# show running-config interface 
   !
   interface GigabitEthernet0/0                #连接VBR的接口。
    nameif VBR                                 #GigabitEthernet0/0接口名称。
    security-level 0
    ip address 10.0.0.1 255.255.255.252        #GigabitEthernet0/0接口配置的IP地址。
   !
   interface GigabitEthernet0/2                #连接本地IDC的接口。
    nameif private                             #GigabitEthernet0/2接口名称。
    security-level 100                         #指定连接本地IDC的接口的security-level低于对接阿里云的接口。
    ip address 192.168.50.215 255.255.255.0    #GigabitEthernet0/2接口配置的IP地址。
   !
   interface GigabitEthernet0/3                #对接私网IPsec-VPN隧道1的接口
    nameif VPN-IP1                             #GigabitEthernet0/3接口名称。
    security-level 0
    ip address 192.168.10.136 255.255.255.0    #GigabitEthernet0/3接口配置的私网IP地址。
   !
   interface GigabitEthernet0/4                #对接私网IPsec-VPN隧道2的接口
    nameif VPN-IP2                             #GigabitEthernet0/4接口名称。
    security-level 0
    ip address 192.168.40.159  255.255.255.0   #GigabitEthernet0/4接口配置的私网IP地址。
   !
   
   #配置prefix-list和route-map
   prefix-list VBR permit 192.168.0.0/16
   route-map VBR permit 10
    match ip address prefix-list VBR
    
   #配置BGP路由
   router bgp 65530                         #开启BGP路由协议，并配置本地IDC的自治系统号。本文为65530。
   bgp router-id 10.0.0.1                   #BGP路由器ID，本文设置为10.0.0.1。
   
   address-family ipv4 unicast
   neighbor 10.0.0.2 remote-as 65534        #与VBR实例建立BGP邻居关系。
   neighbor 10.0.0.2 activate               #激活BGP邻居。
   neighbor 10.0.0.2 route-map VBR out      #对VBR仅宣告大段路由。
   network 192.168.0.0 mask 255.255.0.0     #宣告本地IDC的网段，建议宣告大网段。
   exit-address-family
   !  
      
   #配置去往本地IDC客户端的路由。
   route private 192.168.0.0 255.255.0.0 192.168.50.216   

   重要

   对VBR实例宣告本地IDC网段时，建议宣告大网段，以确保后续转发路由器通过私网IPsec-VPN连接学习的本地IDC网段比当前宣告的网段更明细，路由优先级更高。

第2步：配置转发路由器

本地IDC通过物理专线连接至阿里云后，开始配置转发路由器，通过转发路由器实现本地IDC与VPC间的私网互通。

1. 创建云企业网实例。

   在创建云企业网实例对话框选择单独创建，然后自定义云企业网实例名称，其余配置项保持默认状态。

2. 创建转发路由器实例。

   在华东1（杭州）地域创建一个转发路由器实例，用于连接VBR实例和VPC实例。其余配置项保持默认状态。

3. 创建VPC连接。

   1. 在云企业网实例详情页面的基本信息 > 转发路由器页签，找到华东1（杭州）地域的转发路由器实例，在操作列单击创建网络实例连接。

   2. 在连接网络实例页面，根据以下信息进行配置，然后单击确定创建，将VPC实例连接至转发路由器。

      以下仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见使用企业版转发路由器创建VPC连接。

      配置项	说明

      配置项	说明
      实例类型	选择专有网络（VPC）。
      地域	选择华东1（杭州）。
      连接名称	自定义名称为VPC-Attachment。
      网络实例	选择VPC。
      交换机	在转发路由器支持的可用区选择交换机实例。 本文选择交换机2和交换机3。在支持多可用区的地域，需在至少2个可用区中各选择一个交换机实例。推荐使用未承载业务的交换机创建VPC连接。
      高级配置	使用默认路由配置，即开启三种高级配置。

   3. 单击继续创建连接，返回连接网络实例页面。

4. 创建VBR连接。

   在连接网络实例页面，根据以下信息进行配置，然后单击确定创建，将VBR实例连接至转发路由器。以下仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见使用企业版转发路由器创建VBR连接。

   配置项	配置项说明

   配置项	配置项说明
   实例类型	选择边界路由器（VBR）。
   地域	选择华东1（杭州）。
   连接名称	自定义名称为VBR-Attachment。
   网络实例	选择VBR。
   高级配置	使用默认路由配置，即开启三种高级配置。

第3步：测试私网连通性

完成上述配置后，本地IDC与VPC间已经实现私网互通，您可以通过以下步骤测试私网连通性。

1. 登录VPC中的ECS1实例。具体操作，请参见ECS远程连接操作指南。

2. 执行ping命令，访问本地IDC网段下的任意一台客户端。

   ping <本地IDC客户端IP地址>

   

   如上图所示，如果ECS1可以收到响应报文，则表示本地IDC与VPC间已实现私网互通。

步骤二：加密物理专线私网流量

本地IDC与VPC实现私网互通后，您可以在本地网关设备与转发路由器间建立私网网络类型的IPsec-VPN连接，然后通过路由配置，引导本地IDC与VPC之间的流量通过私网IPsec-VPN连接进行传输，实现加密物理专线私网流量。

第1步：建立私网IPsec-VPN连接

1. 为转发路由器添加转发路由器地址段10.10.10.0/24。具体操作，请参见创建转发路由器后添加地址段。

   转发路由器地址段用于为IPsec连接分配网关IP地址，以便建立私网IPsec-VPN连接。转发路由器地址段不能与本地IDC、VPC中要参与网络互通的网段冲突。

2. 创建2个用户网关，将本地网关设备的2个VPN IP地址和BGP AS号注册至阿里云。

   1. 登录VPN网关管理控制台。

   2. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

   3. 在用户网关页面，单击创建用户网关。

   4. 在创建用户网关面板，根据以下信息进行配置，然后单击确定。

      以下仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见创建和管理用户网关。

      • 用户网关1

        • 名称：定义用户网关名称为Customer-Gateway1。

        • IP地址：输入本地网关设备的VPN IP地址1192.168.10.136。

        • 自治系统号：输入本地网关设备的BGP AS号65530。

      • 用户网关2

        • 名称：定义用户网关名称为Customer-Gateway2。

        • IP地址：输入本地网关设备的VPN IP地址2192.168.40.159。

        • 自治系统号：输入本地网关设备的BGP AS号65530。

3. 创建IPsec连接。

   1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

   2. 在IPsec连接页面，单击创建IPsec连接。

   3. 在创建IPsec连接页面，根据以下信息配置IPsec连接，然后单击确定。

      以下内容仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见创建和管理IPsec连接（双隧道模式）。

      配置项	IPsec连接

      配置项	IPsec连接
      名称	定义为IPsec连接。
      绑定资源	选择云企业网。
      网关类型	选择私网。
      云企业网实例ID	选择已创建的云企业网实例。
      转发路由器	系统自动显示云企业网实例已在当前地域创建的转发路由器实例ID。
      路由模式	本文使用目的路由模式，后续通过路由控制传输的流量。
      启用BGP	开启BGP功能。
      本端自治系统号	输入IPsec连接的BGP AS号65534。
      Tunnel 1
      用户网关	关联Customer-Gateway1。
      预共享密钥	fddsFF111****。 重要 IPsec连接及其对端网关设备配置的预共享密钥需一致，否则系统无法正常建立IPsec-VPN连接。
      加密配置	除以下参数外，其余配置项保持默认值。 IKE配置的DH分组选择group14。 IPsec配置的DH分组选择group14。 说明 您需要根据本地网关设备的支持情况选择加密配置参数，确保IPsec连接和本地网关设备的加密配置保持一致。
      BGP配置	隧道网段：输入169.254.10.0/30。 本端BGP地址：输入169.254.10.1。
      Tunnel 2
      用户网关	关联Customer-Gateway2。
      预共享密钥	fddsFF222****。
      加密配置	除以下参数外，其余配置项保持默认值。 IKE配置的DH分组选择group14。 IPsec配置的DH分组选择group14。 说明 您需要根据本地网关设备的支持情况选择加密配置参数，确保IPsec连接和本地网关设备的加密配置保持一致。
      BGP配置	隧道网段：输入169.254.20.0/30。 本端BGP地址：输入169.254.20.1。
      高级配置	使用默认路由配置，即开启所有高级配置选项。

      IPsec连接创建完成后，您可以在IPsec连接详情页面查看IPsec连接的网关IP地址，IPsec连接将使用这2个网关IP地址与本地网关设备建立私网IPsec-VPN连接。

4. 返回IPsec连接页面，找到创建的IPsec连接，在操作列单击生成对端配置。

   对端配置是指需要在IPsec连接对端添加的VPN配置。本文场景中您需要将这些配置添加在本地网关设备上。

5. 在IPsec连接配置对话框，复制配置并保存在您的本地，用于后续配置本地网关设备。

6. 配置本地网关设备。

   创建IPsec连接后，您需要在本地网关设备上添加VPN配置，使本地网关设备与阿里云之间成功建立私网IPsec-VPN连接。

   单击查看本地网关设备配置。

   1. 登录思科防火墙的命令行窗口并进入配置模式。

      ciscoasa> enable
      Password: ********             #输入进入enable模式的密码。
      ciscoasa# configure terminal   #进入配置模式。
      ciscoasa(config)#     

   2. 查看接口配置和路由配置。

      思科防火墙已完成了接口配置，并已开启接口。以下为本文的接口配置示例。

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3               #对接私网IPsec-VPN隧道1的接口
       nameif VPN-IP1                            #GigabitEthernet0/3接口名称。
       security-level 0
       ip address 192.168.10.136 255.255.255.0   #GigabitEthernet0/3接口配置的私网IP地址。
      !
      interface GigabitEthernet0/4               #对接私网IPsec-VPN隧道2的接口
       nameif VPN-IP2                            #GigabitEthernet0/4接口名称。
       security-level 0
       ip address 192.168.40.159  255.255.255.0  #GigabitEthernet0/4接口配置的私网IP地址。
      !

   3. 为接口开启IKEv2功能。

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. 创建IKEv2 Policy，指定IKE阶段认证算法、加密算法、DH分组和SA生存周期，需和阿里云侧保持一致。

      重要

      阿里云侧配置IPsec连接时，IKE配置阶段的加密算法、认证算法和DH分组均只支持指定一个值，不支持指定多个值。建议在思科防火墙中IKE配置阶段的加密算法、认证算法和DH分组也均只指定一个值，该值需与阿里云侧保持一致。

      crypto ikev2 policy 10     
       encryption aes             #指定加密算法。
       integrity sha              #指定认证算法。
       group 14                   #指定DH分组。
       prf sha                    #prf和integrity保持一致，阿里云侧prf与认证算法默认保持一致。
       lifetime seconds 86400     #指定SA生存周期。

   5. 创建IPsec proposal和profile，指定思科防火墙侧的IPsec阶段加密算法、认证算法、DH分组和SA生存周期，需和阿里云侧保持一致。

      重要

      阿里云侧配置IPsec连接时，IPsec配置阶段的加密算法、认证算法和DH分组均只支持指定一个值，不支持指定多个值。建议在思科防火墙中IPsec配置阶段的加密算法、认证算法和DH分组也均只指定一个值，该值需与阿里云侧保持一致。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #创建ipsec proposal。
       protocol esp encryption aes                         #指定加密算法，协议使用ESP，阿里云侧固定使用ESP协议。
       protocol esp integrity sha-1                        #指定认证算法，协议使用ESP，阿里云侧固定使用ESP协议。
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #创建ipsec profile并应用已创建的proposal。 
       set ikev2 local-identity address                    #指定本端ID使用IP地址格式，与阿里云侧RemoteId格式保持一致。
       set pfs group14                                     #指定pfs和DH分组。
       set security-association lifetime seconds 86400     #指定基于时间的SA生存周期。
       set security-association lifetime kilobytes unlimited #关闭基于流量的SA生存周期。

   6. 创建tunnel group，指定隧道的预共享密钥，需和阿里云侧保持一致。

      tunnel-group 10.10.10.49 type ipsec-l2l                    #指定隧道1的封装模式为l2l。
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  #指定隧道1对端的预共享密钥，即阿里云侧的预共享密钥。
       ikev2 local-authentication pre-shared-key fddsFF111****   #指定隧道1本段的预共享密钥，需和阿里云侧的保持一致。
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #指定隧道2的封装模式为l2l。
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  #指定隧道2对端的预共享密钥，即阿里云侧的预共享密钥。
       ikev2 local-authentication pre-shared-key fddsFF222****   #指定隧道2本段的预共享密钥，需和阿里云侧的保持一致。
      !

   7. 创建tunnel接口。

      interface Tunnel1                                  #创建隧道1的接口。
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #指定接口的IP地址。
       tunnel source interface VPN-IP1                   #指定隧道1源地址为接口GigabitEthernet0/3。
       tunnel destination 10.10.10.49                    #指定隧道1目的地址为阿里云侧隧道1的私网IP地址。
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道1应用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #开启隧道1接口。
      !
      interface Tunnel2                                  #创建隧道2的接口。
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           #指定接口的IP地址。
       tunnel source interface VPN-IP2                   #指定隧道2源地址为接口GigabitEthernet0/4。
       tunnel destination 10.10.10.50                    #指定隧道2目的地址为阿里云侧隧道2的私网IP地址。
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道2应用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #开启隧道2接口。
      !

   完成上述配置后，本地网关设备已经可以与阿里云成功建立私网IPsec-VPN连接，但BGP邻居尚未建立成功。您可以在阿里云IPsec连接实例详情页面查看私网IPsec-VPN连接状态。如果您的环境中未成功建立私网IPsec-VPN连接，请尝试自助排查问题。具体操作，请参见IPsec-VPN自助诊断。

第2步：配置路由

私网IPsec-VPN连接创建完成后，本地IDC与VPC之间的流量依旧是通过物理专线传输，还未进行加密。需要添加相关路由使本地IDC与VPC之间的流量通过私网IPsec-VPN连接进行传输。

1. 在本地网关设备上添加BGP路由配置。

   #配置prefix-list和route-map
   prefix-list VPN permit 192.168.10.0/16
   prefix-list VPN permit 192.168.20.0/16
   prefix-list VPN permit 192.168.40.0/16
   
   route-map VPN permit 10
    match ip address prefix-list VPN
    
   #添加BGP配置，使本地网关设备与IPsec连接建立BGP邻居关系
   router bgp 65530
    address-family ipv4 unicast
     neighbor 169.254.10.1 remote-as 65534       #指定BGP邻居，即阿里云侧隧道1的IP地址。
     neighbor 169.254.10.1 activate              #激活BGP邻居。
     neighbor 169.254.10.1 route-map VPN out     #对隧道1仅宣告明细路由。
     neighbor 169.254.20.1 remote-as 65534       #指定BGP邻居，即阿里云侧隧道2的IP地址。
     neighbor 169.254.20.1 activate              #激活BGP邻居。
     neighbor 169.254.20.1 route-map VPN out     #对隧道2仅宣告明细路由。
     maximum-paths 5                             #提升BGP ECMP等价路由条目数量。
     network 192.168.10.0 mask 255.255.255.0     #宣告本地IDC的网段，该网段需比对VBR实例宣告的网段更明细。
     network 192.168.20.0 mask 255.255.255.0
     network 192.168.40.0 mask 255.255.255.0 
    exit-address-family

   重要

   对私网IPsec-VPN连接宣告本地IDC网段时，需确保该网段比对VBR实例宣告的本地IDC网段更明细，以确保转发路由器通过私网IPsec-VPN连接学习到的本地IDC的路由更优。

2. 为转发路由器添加自定义路由条目。

   上述路由配置完成后，私网IPsec-VPN连接会中断，需要在转发路由器路由表中添加去往本地网关设备VPN IP地址的明细路由，下一跳指向VBR实例，重新建立私网IPsec-VPN连接。

   1. 保持在转发路由器路由表页签，单击路由条目页签，然后单击创建路由条目。

   2. 在添加路由条目对话框，配置路由条目信息，然后单击确定。

      配置项	网段1	网段2

      配置项	网段1	网段2
      目的地址CIDR	输入本地网关设备VPN IP地址1192.168.10.136/32。	输入本地网关设备VPN IP地址2192.168.40.159/32。
      是否为黑洞路由	选择否。
      下一跳连接	选择VBR-Attachment。

3. 在转发路由器路由表下添加第1个路由策略。

   本地IDC将通过VBR实例和私网IPsec-VPN连接同时学习到VPC的网段，为确保云下去往云上的流量优先通过私网IPsec-VPN连接进入VPC，您需要在转发路由器中配置路由策略，使VBR实例向本地IDC发布的VPC的网段的优先级低于私网IPsec-VPN连接向本地IDC发布的VPC网段的优先级。

   1. 登录云企业网管理控制台。

   2. 在云企业网实例页面，找到已创建的云企业网实例，单击目标实例ID。

   3. 在云企业网实例详情页面，单击华东1（杭州）地域的转发路由器ID。

   4. 在转发路由器详情页面，单击转发路由器路由表页签，然后单击路由策略。

   5. 在路由策略页签，单击添加路由策略。根据以下信息配置路由策略，然后单击确定。

      以下内容仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见路由策略。

      配置项	路由策略

      配置项	路由策略
      策略优先级	输入30。
      关联路由表	保持默认值。
      生效方向	选择出地域网关。
      匹配条件	目的实例ID列表：VBR实例ID。 路由前缀：输入172.16.10.0/24和172.16.20.0/24，并选择精确匹配。
      策略行为	选择允许。
      添加策略值	本文选择追加AS Path，并输入65525、65526、65527，降低VBR实例向本地IDC发布的VPC网段的优先级。

4. 在转发路由器路由表下添加第2个路由策略，拒绝私网IPsec-VPN连接向本地IDC传播本地网关设备VPN IP地址的路由，防止路由环路。

   • 策略优先级：本文输入40。

   • 关联路由表：保持默认值。

   • 生效方向：选择出地域网关。

   • 匹配条件：

     • 目的实例ID列表：IPsec连接实例ID。

     • 路由前缀：选择精确匹配，输入本地网关设备VPN IP地址192.168.10.136/32、192.168.40.159/32。

   • 策略行为：选择拒绝。

步骤三：验证加密效果

完成上述配置后，如果您可以在IPsec连接详情页面查看到流量传输监控数据，则证明物理专线的私网流量已经过加密处理。

1. 登录VPC中的ECS1实例。执行ping命令，持续访问本地IDC网段下的任意一台客户端。

   ping <本地IDC客户端IP地址> -s 1000 -c 10000

   • -s 1000：指定发送1000字节的数据包。

   • -c 10000：持续发送10000个请求包。

2. 登录VPN网关管理控制台。

3. 在顶部状态栏处，选择华东1（杭州）地域。

4. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

5. 在IPsec连接页面，找到已创建的IPsec连接，单击IPsec连接ID。

   在IPsec连接详情页面查看流量传输监控数据。