通过IPsec-VPN实现阿里云VPC和AWS VPC互通

步骤三：在阿里云部署VPN网关

在AWS平台完成VPN配置后，请根据以下信息在阿里云侧部署VPN网关，以便AWS VPC和阿里云VPC之间建立IPsec-VPN连接。

1. 创建用户网关。

   1. 登录VPN网关管理控制台。

   2. 在左侧导航栏，选择网间互联 > VPN > 用户网关。

   3. 在顶部菜单栏选择用户网关的地域。

      用户网关地域需和VPN网关实例的地域相同。

   4. 在用户网关页面，单击创建用户网关。

   5. 在创建用户网关面板，根据以下信息进行配置，然后单击确定。

      您需要创建两个用户网关，并将AWS平台站点到站点VPN连接的隧道外部IP地址作为用户网关的IP地址，以建立两个加密隧道。以下仅列举本文强相关配置项，其余配置保持默认值或为空。更多信息，请参见创建和管理用户网关。

      重要

      仅使用每个站点到站点VPN连接的Tunnel1的外部IP地址作为用户网关的地址。每个站点到站点VPN连接的Tunnel2的外部IP地址默认不使用，IPsec-VPN连接创建完成后，每个站点到站点VPN连接的Tunnel2默认不通。

      配置项	说明	用户网关1	用户网关2
      名称	输入用户网关的名称。	输入用户网关1。	输入用户网关2。
      IP地址	输入AWS平台隧道的外部IP地址。	输入18.XX.XX.161。	输入3.XX.XX.9。

2. 创建IPsec连接。

   1. 在左侧导航栏，选择网间互联 > VPN > IPsec连接。

   2. 在顶部菜单栏选择IPsec连接的地域。

      IPsec连接的地域需和VPN网关实例的地域相同。

   3. 在IPsec连接页面，单击创建IPsec连接。

   4. 在创建IPsec连接页面，根据以下信息配置IPsec连接，然后单击确定。

      配置项	说明	本文示例值
      名称	输入IPsec连接的名称。	输入IPsec连接。
      资源组	选择VPN网关实例所属的资源组。	选择默认资源组。
      绑定资源	选择IPsec连接绑定的资源类型。	选择VPN网关。
      VPN网关	选择IPsec连接关联的VPN网关实例。	选择已创建的VPN网关。
      路由模式	选择路由模式。 目的路由模式：基于目的IP地址路由和转发流量。 感兴趣流模式：基于源IP地址和目的IP地址精确的路由和转发流量。	选择感兴趣流模式。
      本端网段	输入VPN网关实例关联的VPC实例下的网段。	输入10.0.0.0/16。
      对端网段	输入VPN网关实例关联的VPC实例要访问的对端的网段。	输入192.168.0.0/16。
      立即生效	选择IPsec连接的配置是否立即生效。取值： 是：配置完成后立即进行协商。 否：当有流量进入时进行协商。	选择是。
      启用BGP	如果IPsec连接需要使用BGP路由协议，需要打开BGP功能的开关，系统默认关闭BGP功能。	本文保持默认值，即不开启BGP功能。
      Tunnel 1	为隧道1（主隧道）添加VPN相关配置。 系统默认隧道1为主隧道，隧道2为备隧道，且不支持修改。
      用户网关	为主隧道添加待关联的用户网关实例。	选择用户网关1。
      预共享密钥	输入主隧道的认证密钥，用于身份认证。 密钥长度为1~100个字符，支持数字、大小写英文字母及右侧字符~`!@#$%^&*()_-+={}[]\|;:',.<>/?。 若您未指定预共享密钥，系统会随机生成一个16位的字符串作为预共享密钥。 重要 隧道及其对端网关设备配置的预共享密钥需一致，否则系统无法正常建立IPsec-VPN连接。	当前隧道的认证密钥需和连接的AWS平台隧道的密钥一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为28800。 IPsec配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为3600。 其余配置项使用默认值。关于默认值的说明，请参见创建和管理IPsec连接（双隧道模式）。
      Tunnel 2	为隧道2（备隧道）添加VPN相关配置。
      用户网关	为备隧道添加待关联的用户网关实例。	选择用户网关2。
      预共享密钥	输入备隧道的认证密钥，用于身份认证。	当前隧道的认证密钥需和连接的AWS平台隧道的密钥一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为28800。 IPsec配置的SA生存周期（秒）需与AWS平台保持一致，本文设置为3600。 其余配置项使用默认值。关于默认值的说明，请参见创建和管理IPsec连接（双隧道模式）。
      标签	为IPsec连接添加标签。	保持为空。

   5. 在创建成功对话框中，单击确定。

3. 配置VPN网关路由。

   创建IPsec连接后需要为VPN网关实例配置路由。创建IPsec连接时，如果路由模式您选择了感兴趣流模式，在IPsec连接创建完成后，系统会自动在VPN网关实例下创建策略路由，路由是未发布状态。您需要执行本操作，将VPN网关实例下的策略路由发布至VPC中。

   1. 在左侧导航栏，选择网间互联 > VPN > VPN网关。

   2. 在顶部菜单栏，选择VPN网关实例的地域。

   3. 在VPN网关页面，单击目标VPN网关实例ID。

   4. 在VPN网关实例详情页面单击策略路由表页签，找到目标路由条目，在操作列单击发布。

   5. 在发布路由对话框，单击确定。

步骤四：测试连通性

配置完成后，阿里云VPC和AWS VPC之间已经成功建立IPsec-VPN连接。下文以阿里云ECS实例访问AWS EC2实例为例，测试VPC之间的连通性。

1. 登录阿里云VPC实例下的一个ECS实例。关于如何登录ECS实例，请参见连接方式概述。

2. 在ECS实例中执行ping命令，访问AWS平台的EC2实例，验证通信是否正常。

   如果ECS实例可以收到AWS平台EC2实例的回复报文，则证明VPC之间可以正常通信。

   ping <AWS平台EC2实例的私网IP地址>

   

3. 测试IPsec-VPN连接的高可用性。

   双隧道模式的IPsec-VPN拥有高可用性，在主隧道中断的情况下，流量自动通过备隧道进行传输。以下内容介绍如何验证双隧道模式IPsec-VPN连接的高可用性。

   1. 保持登录阿里云VPC实例下的ECS实例。

   2. 执行以下命令，使阿里云下的ECS实例持续访问AWS平台的EC2实例。

      ping <AWS平台EC2实例的私网IP地址> -c 10000

   3. 中断IPsec-VPN连接的主隧道。

      本文通过在阿里云侧修改IPsec连接下主隧道的预共享密钥来中断主隧道，主隧道两端的预共享密钥不一致，则主隧道会中断。

   4. 查看阿里云ECS实例下的通信情况，会发现ECS实例下的流量在短暂中断后，又重新恢复通信，表示在主隧道中断后，流量自动通过备隧道进行通信。

      您可以在阿里云监控页签查看隧道的流量监控信息。具体操作，请参见监控IPsec连接。