使用静态和BGP动态路由方式实现物理专线私网流量加密传输

步骤一：通过物理专线和转发路由器实现IDC与VPC私网互通

步骤二：加密物理专线私网流量

本地IDC与VPC实现私网互通后，您可以在本地网关设备与转发路由器间建立私网网络类型的IPsec-VPN连接，然后通过路由配置，引导本地IDC与VPC之间的流量通过私网IPsec-VPN连接进行传输，实现加密物理专线私网流量。

第1步：建立私网IPsec-VPN连接

1. 为转发路由器添加转发路由器地址段10.10.10.0/24。具体操作，请参见创建转发路由器后添加地址段。

   转发路由器地址段用于为IPsec连接分配网关IP地址，以便建立私网IPsec-VPN连接。转发路由器地址段不能与本地IDC、VPC中要参与网络互通的网段冲突。

2. 创建2个用户网关，将本地网关设备的2个VPN IP地址和BGP AS号注册至阿里云。

   1. 登录VPN网关管理控制台。

   2. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

   3. 在用户网关页面，单击创建用户网关。

   4. 在创建用户网关面板，根据以下信息进行配置，然后单击确定。

      以下仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见创建和管理用户网关。

      • 用户网关1

        • 名称：定义用户网关名称为Customer-Gateway1。

        • IP地址：输入本地网关设备的VPN IP地址1192.168.10.136。

        • 自治系统号：输入本地网关设备的BGP AS号65530。

      • 用户网关2

        • 名称：定义用户网关名称为Customer-Gateway2。

        • IP地址：输入本地网关设备的VPN IP地址2192.168.40.159。

        • 自治系统号：输入本地网关设备的BGP AS号65530。

3. 创建IPsec连接。

   1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

   2. 在IPsec连接页面，单击绑定云企业网。

   3. 在创建IPsec连接(CEN)页面，根据以下信息配置IPsec连接，然后单击确定。

      以下内容仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见创建和管理IPsec连接（双隧道模式）。

      配置项	IPsec连接
      IPsec连接名称	定义为IPsec连接。
      地域	选择待绑定的转发路由器所属的地域。 IPsec连接创建完成后所属地域与转发路由器地域相同。
      网关类型	选择私网。
      绑定云企业网	选择本账号绑定。
      云企业网实例ID	选择已创建的云企业网实例。 系统将会一并展示云企业网实例在该地域创建的转发路由器实例ID和转发路由器地址段，IPsec连接将会被绑定至该转发路由器。
      路由模式	本文使用目的路由模式，后续通过路由控制传输的流量。
      启用BGP	开启BGP功能。
      本端自治系统号	输入IPsec连接的BGP AS号65534。
      Tunnel 1
      用户网关	关联Customer-Gateway1。
      预共享密钥	fddsFF111****。 重要 IPsec连接及其对端网关设备配置的预共享密钥需一致，否则系统无法正常建立IPsec-VPN连接。
      加密配置	除以下参数外，其余配置项保持默认值。 IKE配置的DH分组选择group14。 IPsec配置的DH分组选择group14。 说明 您需要根据本地网关设备的支持情况选择加密配置参数，确保IPsec连接和本地网关设备的加密配置保持一致。
      BGP配置	隧道网段：输入169.254.10.0/30。 本端BGP地址：输入169.254.10.1。
      Tunnel 2
      用户网关	关联Customer-Gateway2。
      预共享密钥	fddsFF222****。
      加密配置	除以下参数外，其余配置项保持默认值。 IKE配置的DH分组选择group14。 IPsec配置的DH分组选择group14。 说明 您需要根据本地网关设备的支持情况选择加密配置参数，确保IPsec连接和本地网关设备的加密配置保持一致。
      BGP配置	隧道网段：输入169.254.20.0/30。 本端BGP地址：输入169.254.20.1。
      高级配置	使用默认路由配置，即开启所有高级配置选项。

      IPsec连接创建完成后，您可以在IPsec连接详情页面查看IPsec连接的网关IP地址，IPsec连接将使用这2个网关IP地址与本地网关设备建立私网IPsec-VPN连接。

4. 返回IPsec连接页面，找到创建的IPsec连接，在操作列单击生成对端配置。

   对端配置是指需要在IPsec连接对端添加的VPN配置。本文场景中您需要将这些配置添加在本地网关设备上。

5. 在IPsec连接配置对话框，复制配置并保存在您的本地，用于后续配置本地网关设备。

6. 配置本地网关设备。

   创建IPsec连接后，您需要在本地网关设备上添加VPN配置，使本地网关设备与阿里云之间成功建立私网IPsec-VPN连接。

   单击查看本地网关设备配置。

   1. 登录思科防火墙的命令行窗口并进入配置模式。

      ciscoasa> enable
      Password: ********             #输入进入enable模式的密码。
      ciscoasa# configure terminal   #进入配置模式。
      ciscoasa(config)#     

   2. 查看接口配置和路由配置。

      思科防火墙已完成了接口配置，并已开启接口。以下为本文的接口配置示例。

      ciscoasa(config)# show running-config interface 
      !
      interface GigabitEthernet0/3               #对接私网IPsec-VPN隧道1的接口
       nameif VPN-IP1                            #GigabitEthernet0/3接口名称。
       security-level 0
       ip address 192.168.10.136 255.255.255.0   #GigabitEthernet0/3接口配置的私网IP地址。
      !
      interface GigabitEthernet0/4               #对接私网IPsec-VPN隧道2的接口
       nameif VPN-IP2                            #GigabitEthernet0/4接口名称。
       security-level 0
       ip address 192.168.40.159  255.255.255.0  #GigabitEthernet0/4接口配置的私网IP地址。
      !
      
      #配置访问转发路由器地址段（IPsec连接网关IP地址）的路由，以便建立私网IPsec-VPN连接。
      route VBR 10.10.10.49 255.255.255.255 10.0.0.2   #配置访问阿里云侧隧道1私网IP地址的路由
      route VBR 10.10.10.50 255.255.255.255 10.0.0.2   #配置访问阿里云侧隧道2私网IP地址的路由

   3. 为接口开启IKEv2功能。

      crypto ikev2 enable VPN-IP1
      crypto ikev2 enable VPN-IP2

   4. 创建IKEv2 Policy，指定IKE阶段认证算法、加密算法、DH分组和SA生存周期，需和阿里云侧保持一致。

      重要

      阿里云侧配置IPsec连接时，IKE配置阶段的加密算法、认证算法和DH分组均只支持指定一个值，不支持指定多个值。建议在思科防火墙中IKE配置阶段的加密算法、认证算法和DH分组也均只指定一个值，该值需与阿里云侧保持一致。

      crypto ikev2 policy 10     
       encryption aes             #指定加密算法。
       integrity sha              #指定认证算法。
       group 14                   #指定DH分组。
       prf sha                    #prf和integrity保持一致，阿里云侧prf与认证算法默认保持一致。
       lifetime seconds 86400     #指定SA生存周期。

   5. 创建IPsec proposal和profile，指定思科防火墙侧的IPsec阶段加密算法、认证算法、DH分组和SA生存周期，需和阿里云侧保持一致。

      重要

      阿里云侧配置IPsec连接时，IPsec配置阶段的加密算法、认证算法和DH分组均只支持指定一个值，不支持指定多个值。建议在思科防火墙中IPsec配置阶段的加密算法、认证算法和DH分组也均只指定一个值，该值需与阿里云侧保持一致。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #创建ipsec proposal。
       protocol esp encryption aes                         #指定加密算法，协议使用ESP，阿里云侧固定使用ESP协议。
       protocol esp integrity sha-1                        #指定认证算法，协议使用ESP，阿里云侧固定使用ESP协议。
      crypto ipsec profile ALIYUN-PROFILE                  
       set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #创建ipsec profile并应用已创建的proposal。 
       set ikev2 local-identity address                    #指定本端ID使用IP地址格式，与阿里云侧RemoteId格式保持一致。
       set pfs group14                                     #指定pfs和DH分组。
       set security-association lifetime seconds 86400     #指定基于时间的SA生存周期。
       set security-association lifetime kilobytes unlimited #关闭基于流量的SA生存周期。

   6. 创建tunnel group，指定隧道的预共享密钥，需和阿里云侧保持一致。

      tunnel-group 10.10.10.49 type ipsec-l2l                    #指定隧道1的封装模式为l2l。
      tunnel-group 10.10.10.49 ipsec-attributes             
       ikev2 remote-authentication pre-shared-key fddsFF111****  #指定隧道1对端的预共享密钥，即阿里云侧的预共享密钥。
       ikev2 local-authentication pre-shared-key fddsFF111****   #指定隧道1本段的预共享密钥，需和阿里云侧的保持一致。
      !
      tunnel-group 10.10.10.50 type ipsec-l2l                    #指定隧道2的封装模式为l2l。
      tunnel-group 10.10.10.50 ipsec-attributes
       ikev2 remote-authentication pre-shared-key fddsFF222****  #指定隧道2对端的预共享密钥，即阿里云侧的预共享密钥。
       ikev2 local-authentication pre-shared-key fddsFF222****   #指定隧道2本段的预共享密钥，需和阿里云侧的保持一致。
      !

   7. 创建tunnel接口。

      interface Tunnel1                                  #创建隧道1的接口。
       nameif ALIYUN1
       ip address 169.254.10.2 255.255.255.252           #指定接口的IP地址。
       tunnel source interface VPN-IP1                   #指定隧道1源地址为接口GigabitEthernet0/3。
       tunnel destination 10.10.10.49                    #指定隧道1目的地址为阿里云侧隧道1的私网IP地址。
       tunnel mode ipsec ipv4
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道1应用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #开启隧道1接口。
      !
      interface Tunnel2                                  #创建隧道2的接口。
       nameif ALIYUN2                
       ip address 169.254.20.2 255.255.255.252           #指定接口的IP地址。
       tunnel source interface VPN-IP2                   #指定隧道2源地址为接口GigabitEthernet0/4。
       tunnel destination 10.10.10.50                    #指定隧道2目的地址为阿里云侧隧道2的私网IP地址。
       tunnel mode ipsec ipv4                            
       tunnel protection ipsec profile ALIYUN-PROFILE    #指定隧道2应用ipsec profile ALIYUN-PROFILE。
       no shutdown                                       #开启隧道2接口。
      !

   完成上述配置后，本地网关设备已经可以与阿里云成功建立私网IPsec-VPN连接，但BGP邻居尚未建立成功。您可以在阿里云IPsec连接实例详情页面查看私网IPsec-VPN连接状态。如果您的环境中未成功建立私网IPsec-VPN连接，请尝试自助排查问题。具体操作，请参见IPsec-VPN自助诊断。

第2步：配置路由

私网IPsec-VPN连接创建完成后，本地IDC与VPC之间的流量依旧是通过物理专线传输，还未进行加密。需要添加相关路由使本地IDC与VPC之间的流量通过私网IPsec-VPN连接进行传输。

1. 在本地网关设备上添加BGP配置，使本地网关设备与IPsec连接成功建立BGP邻居关系，本地IDC和VPC可通过BGP动态路由协议自动学习对方的路由。

   #添加BGP配置，使本地网关设备与IPsec连接建立BGP邻居关系
   router bgp 65530
    address-family ipv4 unicast
     neighbor 169.254.10.1 remote-as 65534       #指定BGP邻居，即阿里云侧隧道1的IP地址。
     neighbor 169.254.10.1 activate              #激活BGP邻居。
     neighbor 169.254.20.1 remote-as 65534       #指定BGP邻居，即阿里云侧隧道2的IP地址。
     neighbor 169.254.20.1 activate              #激活BGP邻居。
     network 192.168.10.0 mask 255.255.255.0     #宣告本地IDC的网段，该网段需比在VBR实例中添加的本地IDC网段更明细。
     network 192.168.20.0 mask 255.255.255.0
     network 192.168.40.0 mask 255.255.255.0 
     maximum-paths 5                             #提升BGP ECMP等价路由条目数量。
    exit-address-family
    
   #修改去往阿里云VPC（172.16.0.0/16）的静态路由的优先级，使静态路由的优先级低于BGP路由，BGP路由的metric值默认是20。
   route VBR 172.16.0.0 255.255.0.0 10.0.0.2 30

2. 为转发路由器添加自定义路由条目。

   上述路由配置完成后，私网IPsec-VPN连接会中断，需要在转发路由器路由表中添加去往本地网关设备VPN IP地址的明细路由，下一跳指向VBR实例，重新建立私网IPsec-VPN连接。

   1. 保持在转发路由器路由表页签，单击路由条目页签，然后单击创建路由条目。

   2. 在添加路由条目对话框，配置路由条目信息，然后单击确定。

      配置项	网段1	网段2
      目的地址CIDR	输入本地网关设备VPN IP地址1192.168.10.136/32。	输入本地网关设备VPN IP地址2192.168.40.159/32。
      是否为黑洞路由	选择否。
      下一跳连接	选择VBR-Attachment。

3. 在转发路由器路由表下添加路由策略，拒绝私网IPsec-VPN连接向本地IDC传播本地网关设备VPN IP地址的路由，防止路由环路。

   1. 登录云企业网管理控制台。

   2. 在云企业网实例页面，找到已创建的云企业网实例，单击目标实例ID。

   3. 在云企业网实例详情页面，单击华东1（杭州）地域的转发路由器ID。

   4. 在转发路由器详情页面，单击转发路由器路由表页签，然后单击路由策略。

   5. 在路由策略页签，单击添加路由策略。根据以下信息配置路由策略，然后单击确定。

      以下内容仅列举本文强相关的配置项，其余配置项保持默认状态。更多信息，请参见路由策略。

      • 策略优先级：本文输入40。

      • 关联路由表：保持默认值。

      • 生效方向：选择出地域网关。

      • 匹配条件：

        • 目的实例ID列表：IPsec连接实例ID。

        • 路由前缀：选择精确匹配，输入本地网关设备VPN IP地址192.168.10.136/32、192.168.40.159/32。

      • 策略行为：选择拒绝。

步骤三：验证加密效果

完成上述配置后，如果您可以在IPsec连接详情页面查看到流量传输监控数据，则证明物理专线的私网流量已经过加密处理。

1. 登录VPC中的ECS1实例。执行ping命令，持续访问本地IDC网段下的任意一台客户端。

   ping <本地IDC客户端IP地址> -s 1000 -c 10000

   • -s 1000：指定发送1000字节的数据包。

   • -c 10000：持续发送10000个请求包。

2. 登录VPN网关管理控制台。

3. 在顶部状态栏处，选择华东1（杭州）地域。

4. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

5. 在IPsec连接页面，找到已创建的IPsec连接，单击IPsec连接ID。

   在IPsec连接详情页面查看流量传输监控数据。