通过IPsec-VPN实现阿里云VPC和AWS VPC互通

场景示例

本文以下图场景为例。某企业在阿里云德国（法兰克福）地域创建了一个VPC，并在AWS的欧洲（法兰克福）地域也拥有一个VPC，企业希望阿里云VPC和AWS VPC可以互相通信。

企业可以使用阿里云VPN网关产品（使用公网网络类型的VPN网关实例）和AWS VPN产品在两个VPC之间建立IPsec-VPN连接，实现两个VPC之间的加密通信。

配置流程

步骤三：在阿里云部署VPN网关

在AWS平台完成VPN配置后，请根据以下信息在阿里云侧部署VPN网关，以便AWS VPC和阿里云VPC之间建立IPsec-VPN连接。

1. 创建用户网关。

   1. 登录VPN网关管理控制台。

   2. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

   3. 在顶部菜单栏选择用户网关的地域。

      用户网关地域需和VPN网关实例的地域相同。

   4. 在用户网关页面，单击创建用户网关。

   5. 在创建用户网关面板，根据以下信息进行配置，然后单击确定。

      您需要创建两个用户网关，并将AWS平台站点到站点VPN连接的隧道外部IP地址作为用户网关的IP地址，以建立两个加密隧道。以下仅列举本文强相关配置项，其余配置保持默认值或为空。更多信息，请参见创建和管理用户网关。

      重要

      仅使用每个站点到站点VPN连接的Tunnel1的外部IP地址作为用户网关的地址。每个站点到站点VPN连接的Tunnel2的外部IP地址默认不使用，IPsec-VPN连接创建完成后，每个站点到站点VPN连接的Tunnel2默认不通。

      配置项	说明	用户网关1	用户网关2
      名称	输入用户网关的名称。	输入用户网关1。	输入用户网关2。
      IP地址	输入AWS平台隧道的外部IP地址。	输入3.XX.XX.52。	输入3.XX.XX.56。
      自治系统号	输入AWS虚拟私有网关的BGP AS号。 说明 使用BGP动态路由方式时，需配置该项。	输入64512。	输入64512。

2. 创建IPsec连接。

   1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

   2. 在顶部菜单栏选择IPsec连接的地域。

      IPsec连接的地域需和VPN网关实例的地域相同。

   3. 在IPsec连接页面，单击创建IPsec连接。

   4. 在创建IPsec连接页面，根据以下信息配置IPsec连接，然后单击确定。

      配置项	说明	本文示例值
      名称	输入IPsec连接的名称。	输入IPsec连接。
      绑定资源	选择IPsec连接绑定的资源类型。	选择VPN网关。
      VPN网关	选择IPsec连接关联的VPN网关实例。	选择已创建的VPN网关。
      路由模式	选择路由模式。 目的路由模式：基于目的IP地址路由和转发流量。 感兴趣流模式：基于源IP地址和目的IP地址精确的路由和转发流量。	本文使用静态路由方式时，选择使用感兴趣流模式（推荐）。 本端网段：输入10.0.0.0/16。 对端网段：输入192.168.0.0/16。 本文使用BGP动态路由方式时，选择使用目的路由模式（推荐）。
      立即生效	选择IPsec连接的配置是否立即生效。取值： 是：配置完成后立即进行协商。 否：当有流量进入时进行协商。	选择是。
      启用BGP	如果IPsec连接需要使用BGP路由协议，需要打开BGP功能的开关，系统默认关闭BGP功能。	本文此处保持默认值不打开BGP配置开关，默认为静态路由方式。IPsec连接创建完成后如需使用BGP动态路由，则再单独添加BGP配置。
      Tunnel 1	为隧道1（主隧道）添加VPN相关配置。 系统默认隧道1为主隧道，隧道2为备隧道，且不支持修改。
      用户网关	为主隧道添加待关联的用户网关实例。	选择用户网关1。
      预共享密钥	输入主隧道的认证密钥，用于身份认证。 密钥长度为1~100个字符，支持数字、大小写英文字母及右侧字符~`!@#$%^&*()_-+={}[]\|;:',.<>/?。 若您未指定预共享密钥，系统会随机生成一个16位的字符串作为预共享密钥。 重要 隧道及其对端网关设备配置的预共享密钥需一致，否则系统无法正常建立IPsec-VPN连接。	当前隧道的认证密钥需和连接的AWS平台隧道的密钥一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为28800。 IPsec配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为3600。 其余配置项使用默认值。关于默认值的说明，请参见创建和管理IPsec连接（双隧道模式）。
      Tunnel 2	为隧道2（备隧道）添加VPN相关配置。
      用户网关	为备隧道添加待关联的用户网关实例。	选择用户网关2。
      预共享密钥	输入备隧道的认证密钥，用于身份认证。	当前隧道的认证密钥需和连接的AWS平台隧道的密钥一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为28800。 IPsec配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为3600。 其余配置项使用默认值。关于默认值的说明，请参见创建和管理IPsec连接（双隧道模式）。

   5. 在创建成功对话框中，单击确定。

3. 配置VPN网关路由。

   使用静态路由方式

   创建IPsec连接后需要为VPN网关实例配置路由。创建IPsec连接时，如果路由模式您选择了感兴趣流模式，在IPsec连接创建完成后，系统会自动在VPN网关实例下创建策略路由，路由是未发布状态。您需要执行本操作，将VPN网关实例下的策略路由发布至VPC中。

   1. 在左侧导航栏，选择网间互联 > VPN > VPN网关。

   2. 在顶部菜单栏，选择VPN网关实例的地域。

   3. 在VPN网关页面，单击目标VPN网关实例ID。

   4. 在VPN网关实例详情页面单击策略路由表页签，找到目标路由条目，在操作列单击发布。

   5. 在发布路由对话框，单击确定。

   使用BGP动态路由方式

   1. 为IPsec连接添加BGP配置。

      1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

      2. 在IPsec连接页面，找到IPsec连接，单击IPsec连接ID。

      3. 在IPsec连接基本信息区域，在启用BGP右侧单击按钮，在BGP配置对话框根据以下信息进行配置，然后单击确定。

         配置项	配置项说明	IPsec连接配置
         本端自治系统号	输入IPsec连接的自治系统号。	本文输入65530。
         Tunnel 1	为主隧道添加BGP配置。	为IPsec连接的主隧道添加BGP配置。
         隧道网段	输入建立加密隧道时使用的网段。	本文输入169.254.116.208/30。
         本端BGP地址	输入IPsec连接的BGP IP地址。 该地址为隧道网段内的一个IP地址。	本文输入169.254.116.210。
         Tunnel 2	为备隧道添加BGP配置。	为IPsec连接的备隧道添加BGP配置。
         隧道网段	输入建立加密隧道时使用的网段。	本文输入169.254.214.96/30。
         本端BGP地址	输入IPsec连接的BGP IP地址。 该地址为隧道网段内的一个IP地址。	本文输入169.254.214.98。

   2. 根据以下步骤为VPN网关实例开启BGP路由自动传播功能。

      1. 在左侧导航栏，选择网间互联 > VPN > VPN网关。

      2. 在VPN网关页面，找到VPN网关实例，在操作列选择 > 开启路由自动传播。

      3. 在开启路由自动传播对话框，单击确定。