CreateIpsecServer - VPN Gateway - Centre de documentation Alibaba Cloud

Crée un serveur IPsec en appelant l'opération CreateIpsecServer.

Description de l'opération

Avant de créer un serveur IPsec, créez une passerelle VPN et assurez-vous que la fonctionnalité SSL-VPN est activée pour la passerelle VPN. Pour plus d'informations, consultez CreateVpnGateway.
Avant de créer un serveur IPsec, assurez-vous qu'aucune connexion IPsec-VPN n'existe sur l'instance de passerelle VPN. Pour plus d'informations, consultez DeleteVpnConnection.
CreateIpsecServer est une opération asynchrone. Après l'envoi d'une requête, le système renvoie un identifiant d'instance, mais le serveur IPsec n'est pas encore créé. La tâche de création est toujours en cours d'exécution en arrière-plan. Vous pouvez appeler DescribeVpnGateway pour interroger l'état de l'instance de passerelle VPN afin de déterminer l'état de création du serveur IPsec :
- Si l'instance de passerelle VPN est dans l'état updating, le serveur IPsec est en cours de création.
- Si l'instance de passerelle VPN est dans l'état active, le serveur IPsec est créé.
CreateIpsecServer ne prend pas en charge la création simultanée de serveurs IPsec sur la même passerelle VPN.

Testez maintenant

Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale. Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale.

Test

Autorisation RAM

Le tableau ci-dessous décrit les autorisations nécessaires pour appeler cette API. Vous pouvez les définir dans une politique Resource Access Management (RAM). Les colonnes du tableau sont détaillées ci-dessous :

Action : les actions peuvent être utilisées dans l'élément Action des instructions de politique de permissions RAM pour accorder les autorisations nécessaires à l'exécution de l'opération.
API : l'API que vous pouvez appeler pour exécuter l'action.
Niveau d'accès : le niveau d'accès prédéfini accordé pour chaque API. Valeurs valides : create, list, get, update et delete.
Type de ressource : le type de ressource qui prend en charge l'autorisation pour exécuter l'action. Il indique si l'action prend en charge les permissions au niveau de la ressource. La ressource spécifiée doit être compatible avec l'action. Sinon, la politique sera inefficace.
- Pour les API avec permissions au niveau de la ressource, les types de ressource requis sont marqués d'un astérisque (*). Spécifiez l'Alibaba Cloud Resource Name (ARN) correspondant dans l'élément Resource de la politique.
- Pour les API sans permissions au niveau de la ressource, la valeur All Resources est affichée. Utilisez un astérisque (*) dans l'élément Resource de la politique.
Clé de condition : les clés de condition définies par le service. La clé permet un contrôle granulaire, applicable aux actions seules ou aux actions associées à des ressources spécifiques. En plus des clés de condition propres au service, Alibaba Cloud fournit un ensemble de clés de condition communes applicables à tous les services pris en charge par RAM.
Action dépendante : les actions dépendantes requises pour exécuter l'action. Pour mener à bien l'opération, l'utilisateur RAM ou le rôle RAM doit disposer des permissions pour toutes les actions dépendantes.

vpc:CreateIpsecServer

create

*Toutes les ressources.

*

Aucune

Paramètres de requête

Paramètre	Type	Requis	Description	Exemple
RegionId	string	Oui	L'identifiant de la région de la passerelle VPN.	cn-hangzhou
VpnGatewayId	string	Oui	L'identifiant de l'instance de la passerelle VPN.	vpn-bp17lofy9fd0dnvzv****
LocalSubnet	string	Oui	Le bloc CIDR local, qui est le bloc CIDR côté VPC qui doit communiquer avec le bloc CIDR client. Séparez les blocs CIDR multiples par des virgules (,). Exemple : 192.168.1.0/24,192.168.2.0/24.	192.168.0.0/24
ClientIpPool	string	Oui	Le bloc CIDR client, qui est la plage d'adresses utilisée pour attribuer des adresses IP aux contrôleurs d'interface réseau (NIC) virtuels des clients. Remarque Le bloc CIDR client ne doit pas entrer en conflit avec le bloc CIDR côté VPC.	10.0.0.0/24
IpSecServerName	string	Non	Le nom du serveur IPsec. Le nom doit comporter de 1 à 100 caractères.	test
EffectImmediately	boolean	Non	Indique si la configuration prend effet immédiatement. Valeurs valides : true : la négociation démarre immédiatement une fois la configuration terminée. false (par défaut) : la négociation démarre lorsqu'un trafic entrant est détecté.	true
IkeConfig	string	Non	Les paramètres des négociations de phase 1. Valeurs valides : IkeVersion : la version du protocole IKE. Valeurs valides : ikev1 et ikev2. Valeur par défaut : ikev2. IkeMode : le mode de négociation de la version IKE. Valeur par défaut : main. IkeEncAlg : l'algorithme de chiffrement utilisé dans les négociations de phase 1. Valeur par défaut : aes. IkeAuthAlg : l'algorithme d'authentification utilisé dans les négociations de phase 1. Valeur par défaut : sha1. IkePfs : l'algorithme d'échange de clés Diffie-Hellman utilisé dans les négociations de phase 1. Valeur par défaut : group2. IkeLifetime : la durée de vie de l'association de sécurité (SA) négociée en phase 1. Unité : secondes. Valeurs valides : 0 à 86400. Valeur par défaut : 86400. LocalId : l'identité du serveur IPsec. Les formats FQDN et adresse IP sont pris en charge. Valeur par défaut : l'adresse IP publique de la passerelle VPN. RemoteId : l'identité du pair. Les formats FQDN et adresse IP sont pris en charge. Valeur par défaut : vide.	{"IkeVersion":"ikev2","IkeMode":"main","IkeEncAlg":"aes","IkeAuthAlg":"sha1","IkePfs":"group2","IkeLifetime":86400}
IpsecConfig	string	Non	Les paramètres des négociations de phase 2. Valeurs valides : IpsecEncAlg : l'algorithme de chiffrement utilisé dans les négociations de phase 2. Valeur par défaut : aes. IpsecAuthAlg : l'algorithme d'authentification utilisé dans les négociations de phase 2. Valeur par défaut : sha1. IpsecPfs : transfère tous les paquets de protocole. L'algorithme d'échange de clés Diffie-Hellman utilisé dans les négociations de phase 2. Valeur par défaut : group2. IpsecLifetime : la durée de vie de la SA négociée en phase 2. Unité : secondes. Valeurs valides : 0 à 86400. Valeur par défaut : 86400.	{"IpsecEncAlg":"aes","IpsecAuthAlg":"sha1","IpsecPfs":"group2","IpsecLifetime":86400}
PskEnabled	boolean	Non	Indique si l'authentification par clé pré-partagée doit être activée. Valeurs valides : true, ce qui indique que l'authentification par clé pré-partagée est activée. Remarque Ce paramètre est requis.	true
Psk	string	Non	La clé pré-partagée. La clé pré-partagée est utilisée pour l'authentification d'identité entre le serveur IPsec et le client. La clé doit comporter de 1 à 100 caractères. Si vous ne spécifiez pas de clé pré-partagée, le système génère aléatoirement une chaîne de 16 caractères comme clé pré-partagée. Vous pouvez appeler l'opération ListIpsecServers pour interroger la clé pré-partagée générée par le système. Remarque La clé pré-partagée du serveur IPsec doit être identique à la clé d'authentification du client. Sinon, une connexion ne peut pas être établie entre le serveur IPsec et le client.	Cfd123****
ClientToken	string	Non	Le jeton client utilisé pour garantir l'idempotence de la requête. Vous pouvez utiliser le client pour générer le jeton, mais vous devez vous assurer que le jeton est unique pour chaque requête. Le jeton ne peut contenir que des caractères ASCII. Remarque Si vous ne spécifiez pas ce paramètre, le système utilise automatiquement le RequestId de la requête API comme ClientToken. Le RequestId peut être différent pour chaque requête API.	d7d24a21-f4ba-4454-9173-b38****
DryRun	string	Non	Indique si un test à blanc doit être effectué. Valeurs valides : true : effectue un test à blanc sans créer le serveur IPsec. Le système vérifie les paramètres requis, le format de la requête et les limites du service. Si la vérification échoue, le message d'erreur correspondant est renvoyé. Si la vérification réussit, DryRunOperation est renvoyé. false (par défaut) : envoie la requête. Une fois la requête validée, le serveur IPsec est créé.	false

Éléments de réponse

Élément	Type	Description	Exemple
	object	Les paramètres de réponse.
CreationTime	string	L'heure de création du serveur IPsec. T est le séparateur et Z indique le temps UTC.	2021-02-22T03:24:28Z
IpsecServerId	string	L'identifiant du serveur IPsec.	iss-bp1jougp8cfsbo8y9****
RequestId	string	L'identifiant de la requête.	690A967E-D4CD-4B69-8C78-94FE828BA10B
IpsecServerName	string	Le nom du serveur IPsec.	test
VpnGatewayId	string	L'identifiant de l'instance de la passerelle VPN.	vpn-bp17lofy9fd0dnvzv****
RegionId	string	L'identifiant de la région de la passerelle VPN.	cn-hangzhou

Exemples

JSON format

{
  "CreationTime": "2021-02-22T03:24:28Z",
  "IpsecServerId": "iss-bp1jougp8cfsbo8y9****",
  "RequestId": "690A967E-D4CD-4B69-8C78-94FE828BA10B",
  "IpsecServerName": "test",
  "VpnGatewayId": "vpn-bp17lofy9fd0dnvzv****",
  "RegionId": "cn-hangzhou"
}

Codes d'erreur

Code de statut HTTP	Code d'erreur	Message d'erreur	Description
400	OperationUnsupported.IPsecServer	The current version of the VPN gateway does not support IPsec server.	La version actuelle de la passerelle VPN ne prend pas en charge le serveur IPsec.
400	VpnGateway.SslVpnDisabled	The VPN gateway has not enabled SSL VPN.	La fonctionnalité SSL-VPN n'est pas activée sur la passerelle VPN.
400	VpnGateway.Configuring	The specified service is configuring.
400	VpnGateway.FinancialLocked	The specified service is financial locked.
400	OperationFailed.IPsecServerExist	An IPsec server already exists in the VPN gateway.	Un serveur IPsec existe déjà dans la passerelle VPN.
400	OperationUnsupported.IpsecPfs	The specified IPsec Pfs is unsupported.	Le PFS IPsec spécifié n'est pas pris en charge.
400	IllegalParam.AuthMethod	One authentication method (Psk or IDaaS) should be specified at least.	Au moins une méthode d'authentification (Psk ou IDaaS) doit être spécifiée.
400	IllegalParam.LocalSubnet	The specified "LocalSubnet" (%s) is invalid.	Le bloc CIDR local (%s) n'est pas valide.
400	IllegalParam.ClientIpPool	The specified ClientIpPool (%s) is invalid.	Le bloc CIDR client (%s) n'est pas valide.
400	MissingParam.IDaaSInstanceId	The input parameter IDaaSInstanceId is mandatory when enable multi-factor authentication.	L'identifiant de l'instance IDaaS est requis lorsque l'authentification à deux facteurs est activée.
400	OperationFailed.NoRamPermission	Vpn Service has no permission to operate your IDaaS instances.	Le service VPN n'a pas l'autorisation d'effectuer des opérations sur votre instance IDaaS.
400	ClientIpPool.NetmaskInvalid	The netmask length of client IP pool must be greater than or equal to 16 and less than or equal to 29.	La longueur du masque de réseau du pool d'adresses IP clientes doit être supérieure ou égale à 16 et inférieure ou égale à 29.
400	VpnRouteEntry.Conflict	The specified client IP pool conflicts with VPN connection or SSL server.	Le pool d'adresses IP client spécifié est en conflit avec une connexion VPN ou un serveur SSL.
400	ClientIpPool.SubnetInvalid	The specified client IP pool cannot be used.	Le bloc CIDR client spécifié n'est pas disponible.
400	InvalidClientIpPool.Conflict	The specified client IP pool conflicts with other resources in the same VPC.	Le bloc CIDR client est en conflit avec d'autres ressources dans le VPC.
400	OperationFailed.AddVpcRoute	It is failed to add VPC route after this operation.	Échec de l'ajout de la route VPC après cette opération.
400	QuotaExceeded.VpnRouteEntry	The number of route entries to the VPN gateway in the VPC routing table has reached the quota limit.	Échec de la création de l'entrée de route car le nombre d'entrées de route VPN dépasse la limite.
400	SystemBusy	The system is busy. Please try again later.
400	EnableHaCheck.IpsecServerCidrContainsVpcRouteDest	Ipsec server client cidr contains vpc route prefix. The vpc route prefix is %s.	Une route avec le préfixe %s dans la table de routage du VPC est incluse dans le bloc CIDR client du serveur IPsec.
400	VpnGateway.IPsecServerAndVpnConnectionConflict	The IPSec connection and IPSec server cannot be configured on the same VPN gateway at the same time.	Une passerelle VPN ne prend pas en charge la configuration simultanée d'un serveur IPsec et d'une connexion IPsec-VPN.
400	EnableHaCheck.SslVpnServerClientCidrContainsVpcRouteDest	Ssl vpn client cidr contains vpc route prefix. The vpc route prefix is %s.	Une route avec le préfixe %s dans la table de routage du VPC est incluse dans le bloc CIDR client SSL-VPN.
403	Forbidden	User not authorized to operate on the specified resource.	L'EIP n'appartient pas à l'appelant actuel. Vérifiez si vous avez l'autorisation d'appeler cette EIP.
404	InvalidVpnGatewayInstanceId.NotFound	The specified vpn gateway instance id does not exist.
404	InvalidIDaaSInstanceId.NotFound	The specified IDaaS instance ID does not exist.	L'identifiant de l'instance IDaaS spécifié n'existe pas.
409	OperationConflict	The operation against this instance is too frequent, please try again later.	Un conflit de requête s'est produit. Réessayez plus tard.

Consultez Codes d'erreur pour la liste complète.

Notes de version

Consultez Notes de version pour la liste complète.