路由配置（绑定VPN网关）

静态路由 vs BGP动态路由

静态路由：目的路由 vs 策略路由

如果您选择静态路由，还需选择目的路由或策略路由：

路由优先级

流量进入VPN网关后，按照如下顺序匹配路由条目：

1. 先匹配策略路由表：在策略路由表内部，不按照最长掩码匹配 ，而是按照策略优先级匹配。

2. 再匹配目的路由表：按照最长掩码匹配。

3. 最后匹配BGP路由表。

全链路概览

通过VPN网关连通云上VPC和云下IDC时，需要关注3张路由表：

目的路由配置

目的路由根据流量的目的IP地址匹配路由并转发流量。

VPN网关按以下规则匹配目的路由：

• 最长掩码匹配：流量优先匹配掩码位数最长的路由。例如，同时存在 10.0.0.0/8 和 10.10.0.0/16 两条路由，目的地址为 10.10.10.1 的流量会匹配 10.10.0.0/16。

• 主备路由（仅适用于存量单隧道模式的VPN网关）：仅生效的路由参与匹配，不生效的路由不参与。详见主备路由配置。

策略路由配置

策略路由根据流量的源IP地址和目的IP地址同时匹配路由并转发流量。策略路由的优先级高于目的路由和BGP路由。

VPN网关按以下顺序匹配策略路由：

1. 策略优先级：数字越小优先级越高，优先匹配。

2. 同优先级：按路由下发系统的时间顺序逐条匹配，命中即停止。

发布到VPC路由表

可将手动添加的路由直接发布至VPC系统路由表，无需再去VPC路由表中手动添加路由。

• 路由仅发布至VPC系统路由表，不会发布至自定义路由表。如需在自定义路由表中添加，请参见添加/删除路由条目。

• 如果策略路由表和目的路由表中存在目标网段相同的路由，撤销发布其中一条时，另一条也会被同时撤销发布。

使用限制

以下限制适用于目的路由和策略路由：

• 不支持添加目标网段为 0.0.0.0/0 的路由。

• 请勿添加目标网段为 100.64.0.0/10（含其子网段和父网段）的路由，否则会导致IPsec连接状态异常或协商失败。

• 如果系统提示路由冲突，请参见路由重复报错处理。

全链路概览

BGP路由宣告原则

• 入云方向：本地数据中心通过BGP宣告的路由 → 传播到VPN网关 → 自动传播到VPC系统路由表（需开启路由自动传播）

• 出云方向：VPC系统路由中的系统路由条目 → VPN网关自动学习（需开启路由自动传播） → 通过BGP传播给本地数据中心

配置步骤

配置前，请确保：

• VPN网关支持BGP功能：判断VPN网关是否支持BGP。

• 本地数据中心网关设备支持BGP协议。

使用限制

• 每个VPN网关的BGP路由表支持接收50条路由（可联系客户经理申请提升至200条）。

• VPN网关不接收目标网段为 0.0.0.0/0 的BGP路由。

• 同一VPN网关下多个IPsec连接启用BGP时，本端自治系统号需相同。

• 禁止将不同IPsec连接的路由互导。

• 一个VPC关联多个VPN网关时，VPN网关之间不支持建立BGP邻居关系，且禁止将不同VPN网关的路由互导。

• 在一个VPC关联多个VPN网关，多个VPN网关均启用BGP动态路由功能的场景下，如果多个VPN网关关联的用户网关相同，则VPN网关下IPsec连接的本端自治系统号需相同，否则可能会产生环路。

• 多个双隧道模式IPsec连接同时使用BGP时，各连接学习到的路由目标网段不能冲突。

• 使用物理专线和VPN网关主备接入VPC时，边界路由器和VPN网关配置的本地ASN需一致。

• 如果VPN网关关联的VPC加入了云企业网，需开启云企业网的路由重叠功能（2019年3月后创建的云企业网默认已开启）。

• 多个VPC接入同一云企业网时，若各VPC的VPN网关均通过BGP连接到相同的本地数据中心，动态路由可能经CEN传播至其他VPC，造成路由震荡。建议VPN网关改用静态路由。

• 单隧道模式的VPN网关：请勿传播 100.64.0.0/10 （含其子网段和父网段）的路由（可通过升级IPsec-VPN连接为双隧道模式规避）。

路由配置建议

• 一个VPN网关实例下如果创建了多个IPsec-VPN连接，建议所有IPsec-VPN连接使用相同的路由配置方式，不推荐目的路由、策略路由、BGP动态路由同时使用两种或三种。

• 配置BGP动态路由时，IPsec连接的路由模式路由模式推荐使用目的路由模式。

判断VPN网关是否支持BGP

• 新创建的支持双隧道模式IPsec连接的VPN网关，默认支持BGP。

• 存量VPN网关：调用DescribeVpnGateway 接口，检查 Tag 字段中 VpnEnableBgp 是否为 true。

• 不支持时的升级方案：

  - 双隧道模式VPN网关：升级 VPN 网关（仅传统型）

  - 单隧道模式VPN网关：升级为双隧道模式

主备路由配置

• 存量单隧道模式的VPN网关如需配置主备链路，推荐您升级IPsec-VPN连接为双隧道模式。双隧道模式的IPsec-VPN连接默认拥有主备两条链路，无需通过权重值指定主备链路。

• 若您仍需在单隧道模式下配置主备链路，配置方法为：

  1. 主路由权重 100，备路由权重 0，目标网段相同（如果是策略路由源网段也要相同），下一跳不同。

  2. 为IPsec连接配置健康检查（选项位置在“单隧道模式-IPsec连接-隧道配置”）以实现自动切换。

  3. 后续若需修改权重，那么修改主路由权重前需先删除备路由，修改完成后再重新创建备路由（反之亦然）。

  对于在2023年10月12日后未进行过升级的VPN网关实例，如果您需要配置主备策略路由，请确保每个网段均指定了主备链路，如果某个网段仅配置了一条链路，则可能导致其他网段主备链路切换失败。您可以通过升级 VPN 网关或升级IPsec-VPN连接为双隧道模式规避该问题。对于在2023年10月12日后升级的VPN网关实例或新建的VPN网关实例不存在该问题。

• 配置完成后，路由生效规则：

  主路由关联的IPsec连接	备路由关联的IPsec连接	生效路由
  连通（协商成功且健康检查正常）	任意	主路由
  不通	连通	备路由
  不通	不通	主路由（默认）

实践教程

请参见strongSwan配置示例。