VPN 网关实例是连通 VPC 与本地数据中心的云上出入口。配置 IPsec 连接前，需先创建 VPN 网关实例。
工作原理
VPN 网关作为 VPC 与本地数据中心的中转网关，流量处理流程如下：
VPC 访问本地 IDC：
接收数据包：数据包按照 VPC 路由条目发送至 VPN 网关。
加密并封装：VPN 网关按照 IPsec 协议执行封装，封装后的数据包以 VPN 网关的公网 IP 为源地址、本地 IDC 的公网 IP 为目的地址。
本地 IDC 处理：本地 IDC 的网关设备接收数据包后，将解密并还原数据包，即源地址为VPC 网段内的私网 IP、目的地址为本地 IDC 网段内的私网 IP。再按照 IDC 的路由，转发至目标实例。
本地 IDC 访问 VPC：
监听并接收加密流量：VPN 网关使用公网 IP作为连接端点，持续监听来自本地 IDC 的 IPsec 连接请求和加密数据。
解密并还原数据包：VPN 网关按照 IPsec 协议执行解封装，还原出原始可被 VPC 识别的数据包。
路由并转发：按照还原数据包的目的地址，转发至目标实例。
创建 VPN 网关
新购 VPN 网关仅支持创建双隧道模式的 IPsec-VPN 连接。针对已创建的支持单隧道模式的 VPN 网关，建议升级IPsec-VPN连接为双隧道模式。
控制台
前往VPN 网关 - 购买页，配置以下参数：
地域和可用区：选择 VPC 所在的地域。
网关类型：选择普通型，建立 IPsec 连接后将使用国际标准商用密码算法（普通算法）。
网络类型：选择公网，将分配公网 IP 以建立 IPsec 连接。如需建立私网 IPsec 连接，建议使用私网 IPsec 连接绑定转发路由器。
隧道：选择双隧道。
需选择关联的 VPC 和部署于不同可用区的 2 个交换机，确保跨可用区的高可用。开启 IPsec-VPN 后，系统会在 2 个交换机下各创建 1 个弹性网卡ENI，作为使用 IPsec 连接与 VPC 流量互通的接口。每个 ENI 会占用交换机下的 1 个 IP地址。
对于仅支持单可用区的地域 ，无法实现可用区级别的容灾。建议在该可用区下指定 2 个不同的交换机以实现 IPsec 连接的高可用。
创建 VPN 网关后，不支持修改关联的交换机。
带宽规格：不同地域下，VPN 网关支持的最大带宽规格不同。选择 5Mbps 或 10 Mbps 的带宽规格，将限制从本地数据中心去往 VPN 网关方向的带宽峰值为 10 Mbps。
开启IPsec-VPN，关闭SSL-VPN。
如果创建的 VPN 网关未开启 IPsec-VPN，可在目标 VPN 网关的功能配置列单击IPsec连接后的去开启。
API
调用CreateVpnGateway创建 VPN 网关。
配置国密型 VPN 网关
为满足国密等保合规需求，可创建国密型 VPN 网关并绑定2个国密（SM2）标准的SSL证书，分别用于数据加密和身份认证。
支持的地域：华东1（杭州）、华东2（上海）、华东5（南京-本地地域）、华东6（福州-本地地域）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华北6（乌兰察布）、华南1（深圳）、华南2（河源）、华南3（广州）、华中1（武汉-本地地域）、西南1（成都）。
仅支持绑定阿里云数字证书管理服务下的国密（SM2）标准的 SSL 证书。支持在阿里云数字证书管理服务下购买国密（SM2）标准SSL证书或将已有的国密（SM2）标准SSL证书上传至阿里云数字证书管理服务平台。
国密（SM2）标准SSL证书的主题信息（申请证书时填写的公司名称、部门、公司所在区域等信息）需为英文。
确保国密型 VPN 网关待连接的对端也使用国密算法，否则无法正常建立 IPsec 连接。
普通型 VPN 网关与国密型 VPN 网关不支持互相转换。
使用国密型 VPN 网关创建 IPsec 连接时，IKE 版本仅支持 IKEv1。
控制台
创建国密型 VPC 网关：前往VPN 网关 - 购买页，配置网关类型为国密型，其他参数配置可参考创建 VPN 网关。
绑定 SSL 证书：
登录VPN网关管理控制台，在顶部菜单栏，选择 VPN 网关所属的地域。
单击目标 VPN 网关ID，选择关联证书页签，单击绑定SSL证书，绑定加密证书和签名证书。如果持有同时支持加密和签名的 SSL 证书，建议加密证书和签名证书均绑定该 SSL 证书。
加密证书：对数据进行加密，以保证数据的保密性和完整性。
签名证书：对数据进行签名认证，以保证数据的有效性和不可否认性。
API
调用CreateVpnGateway创建 VPN 网关。
调用AssociateVpnGatewayWithCertificate绑定 SSL 证书。
升级 VPN 网关
VPN 网关版本不断演进迭代，最新版本的 VPN 网关支持更多的功能特性，优化了和第三方厂商设备对接的兼容性。如果 VPN 网关非最新版本，可能会存在运行风险，强烈建议将其升级到最新版本，以体验更多功能并获得更稳定的网络能力。
升级判断：可在 VPN 网关详情页根据升级按钮的状态判断 VPN 网关是否为最新版本。新购 VPN 网关默认为最新版本。
升级成本：
升级 VPN 网关约需要 10 分钟。
重要VPN 网关升级期间无法提供服务，已有连接也会中断。建议在网络维护窗口期间进行升级，以免影响业务运行。
升级 VPN 网关的操作不会产生费用。
升级限制：
VPN 网关不存在 IPsec 连接时，升级前后配置不变。
VPN 网关存在 IPsec 连接时：
若 IPsec 连接配置了多个网段且 IKE 版本为 IKEv1，则需要将 IKE 版本修改为 IKEv2，或者将多个网段拆分为多个IPsec连接才能进行升级，否则会升级失败。
若 VPN 网关的策略路由表或目的路由表页签下存在旧版 VPN 暂不支持此功能的提示，或者 VPN 网关在2019年03月21日之前创建且未进行过升级时：以上实例创建 IPsec 连接时默认仅需配置感兴趣流而无需配置路由，但是为最新版本的 VPN 网关创建 IPsec 连接时需要配置路由。因此，升级VPN网关后，需要为 VPN 网关配置路由以确保 IPsec 连接正常工作。
其余场景下，升级前后 IPsec 连接配置不变。
控制台
登录VPN网关管理控制台，在顶部菜单栏，选择 VPN 网关所属的地域。
单击目标 VPN 网关 ID 前往详情页，单击升级。
删除 VPN 网关
> 退订配额与限制
不同 IPsec-VPN 隧道模式、带宽规格的 VPN 网关，本地数据中心与 VPN 网关之间两个方向的带宽峰值不完全相同。
IPsec-VPN隧道模式
VPN网关带宽规格值
出云方向的带宽峰值
入云方向的带宽峰值
双隧道
> 10 Mbps
VPN网关的带宽规格值。
VPN网关的带宽规格值。
≤ 10 Mbps
VPN网关的带宽规格值。
10 Mbps。
单隧道
> 100 Mbps
VPN网关的带宽规格值。
VPN网关的带宽规格值。
≤ 100 Mbps
VPN网关的带宽规格值。
100 Mbps。
不同地域下，VPN 网关支持的最大带宽规格不同。
分类
地域
最大支持 1000 Mbps
华东1（杭州）、华东2（上海）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华北6（乌兰察布）、华南1（深圳）、华南2（河源）、华南3（广州）、西南1（成都）、华中1（武汉-本地地域）、中国香港、新加坡、日本（东京）、马来西亚（吉隆坡）、印度尼西亚（雅加达）、泰国（曼谷）、韩国（首尔）、菲律宾（马尼拉）、美国（硅谷）、美国（弗吉尼亚）、德国（法兰克福）、英国（伦敦）、墨西哥、华东1金融云、华东2金融云、华南1金融云、华北2阿里政务云1
最大支持 500 Mbps
华东5（南京-本地地域）、华东6（福州-本地地域）、阿联酋（迪拜）
华北2金融云（邀测）地域最大支持创建200 Mbps的VPN网关实例。
计费说明
实例费用：VPN 网关收取实例费和带宽费。
配置变更：为已有的 VPN 网关开启 IPsec-VPN，需要为当前计费周期的剩余时间补缴功能差价。
版本升级：升级 VPN 网关的操作本身不产生任何费用。