VPN Gateway：CreateVpnConnection - 建立IPsec串連

IPsec 串連所在的地區 ID。您可以通過調用 DescribeRegions 介面擷取地區 ID。

用戶端 Token，用於保證請求的等冪性。

從您的用戶端產生一個參數值，確保不同請求間該參數值唯一。ClientToken 只支援 ASCII 字元。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數，且該參數必填。

使用者網關的 ID。

VPN 閘道執行個體 ID。

IPsec 串連的名稱。

長度為 1～100 個字元，不能以http://或https://開頭。

需要和本機資料中心互連的 VPC 側的網段，用於第二階段協商。

多個網段之間用半形逗號（,）分隔，例如：192.168.1.0/24,192.168.2.0/24。

關於 IPsec 連線路由模式的說明：

• 如果 LocalSubnet 和 RemoteSubnet 均輸入為 0.0.0.0/0，則表示您使用目的路由模式。

• 如果 LocalSubnet 和 RemoteSubnet 均輸入具體的網段，則表示您使用感興趣流模式。

需要和 VPC 互連的本機資料中心側的網段，用於第二階段協商。

多個網段之間用半形逗號（,）分隔，例如：192.168.3.0/24,192.168.4.0/24。

關於 IPsec 連線路由模式的說明：

• 如果 LocalSubnet 和 RemoteSubnet 均輸入為 0.0.0.0/0，則表示您使用目的路由模式。

• 如果 LocalSubnet 和 RemoteSubnet 均輸入具體的網段，則表示您使用感興趣流模式。

選擇 IPsec 串連的配置是否立即生效。取值：

• true：是，配置完成後系統立即進行 IPsec 協議協商。

• false（預設值）：否，當有流量進入時系統才進行 IPsec 協議協商。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

第一階段協商的配置資訊：

• IkeConfig.Psk：預先共用金鑰，用於 VPN 閘道與本機資料中心之間的身份認證。

  • 密鑰長度為 1~100 個字元，支援數字、大小寫英文字母以及右側字元，不能包含空格。~!\`@#$%^&*()_-+={}[]|;:',.<>/?

  • 若您未指定預先共用金鑰，系統會隨機產生一個字串作為預先共用金鑰。您可以調用 DescribeVpnConnection 介面查詢系統自動產生的預先共用金鑰。

    說明

    IPsec 串連側的預先共用金鑰需和本機資料中心側的認證密鑰一致，否則本機資料中心和 VPN 閘道之間無法建立串連。

• IkeConfig.IkeVersion：IKE 協議的版本。取值：ikev1 或 ikev2。預設值：ikev1。

  相對於 IKEv1 版本，IKEv2 版本簡化了 SA 的協商過程並且對於多網段的情境提供了更好的支援。

• IkeConfig.IkeMode：IKE 版本的協商模式。取值：main 或 aggressive。預設值：main。

  • main：主模式，協商過程安全性高。

  • aggressive：野蠻模式，協商快速且協商成功率高。

• IkeConfig.IkeEncAlg：第一階段協商的密碼編譯演算法。

  取值：aes、aes192、aes256、des 或 3des。預設值：aes。

• IkeConfig.IkeAuthAlg：第一階段協商的認證演算法。

  取值：md5、sha1、sha256、sha384、sha512。預設值：md5。

• IkeConfig.IkePfs：第一階段協商使用的 Diffie-Hellman 金鑰交換演算法。取值：group1、group2、group5、group14。預設值：group2。

• IkeConfig.IkeLifetime：第一階段協商出的 SA 的生存周期。單位：秒。取值範圍：0~86400。預設值：86400。

• IkeConfig.LocalId：VPN 閘道的標識，長度限制為 100 個字元，不能包含空格。預設值為 VPN 閘道的 IP 位址。

• IkeConfig.RemoteId：使用者網關的標識，長度限制為 100 個字元，不能包含空格。預設值為使用者網關的 IP 位址。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

第二階段協商的配置資訊：

• IpsecConfig.IpsecEncAlg：第二階段協商的密碼編譯演算法。

  取值：aes、aes192、aes256、des 或 3des。預設值：aes。

• IpsecConfig. IpsecAuthAlg：第二階段協商的認證演算法。

  取值：md5、sha1、sha256、sha384、sha512。預設值：md5。

• IpsecConfig. IpsecPfs：第二階段協商使用的 Diffie-Hellman 金鑰交換演算法。取值：disabled、group1、group2、group5、group14。預設值：group2。

• IpsecConfig. IpsecLifetime：第二階段協商出的 SA 的生存周期。單位：秒。取值範圍：0~86400。預設值：86400。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

健全狀態檢查配置資訊：

• HealthCheckConfig.enable：是否開啟健全狀態檢查，取值：true 或 false（預設值）。

• HealthCheckConfig.dip：健全狀態檢查的目的 IP 位址。

• HealthCheckConfig.sip：健全狀態檢查的源 IP 位址。

• HealthCheckConfig.interval：健全狀態檢查的稍候再試時間，單位：秒。預設值：3。

• HealthCheckConfig.retry：健全狀態檢查的重試發包次數。預設值：3。

是否自動設定路由。取值：

• true（預設值）：自動設定路由。

• false：不自動設定路由。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

是否開啟 DPD（對等體存活檢測）功能。取值：

• true（預設值）：開啟 DPD 功能。IPsec 發起端會發送 DPD 報文用來檢測對端的裝置是否存活，如果在設定時間內未收到正確回應則認為對端已經斷線，IPsec 將刪除 ISAKMP SA 和相應的 IPsec SA，安全隧道同樣也會被刪除。

• false：不開啟 DPD 功能，IPsec 發起端不會發送 DPD 探測報文。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

是否開啟 NAT 穿越功能。取值：

• true（預設值）：開啟 NAT 穿越功能。開啟後，IKE 協商過程會刪除對 UDP 連接埠號碼的驗證過程，同時實現對 VPN 隧道中 NAT Gateway裝置的發現功能。

• false：不開啟 NAT 穿越功能。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

BGP 的配置資訊：

• BgpConfig.EnableBgp：是否開啟 BGP 功能。取值：true 或 false（預設值）。

• BgpConfig.LocalAsn：阿里雲側的自治系統號。自治系統號取值範圍：1~4294967295。預設值：45104。

  支援按照兩段位的格式進行輸入，即：前 16 位位元.後 16 位位元。每個段位使用十進位輸入。

  例如輸入 123.456，則表示自治系統號：123*65536+456=8061384。

• BgpConfig.TunnelCidr：IPsec 隧道網段。該網段需是一個在 169.254.0.0/16 內的掩碼長度為 30 的網段，且不能是 169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30 和 169.254.169.252/30。

  說明

  一個 VPN 閘道執行個體下每個 IPsec 串連的 IPsec 隧道網段需保持唯一。

• LocalBgpIp：阿里雲側的 BGP 地址。該地址為 IPsec 隧道網段內的一個 IP 位址。

建立單隧道模式的 IPsec-VPN 串連時支援配置該參數。

如果當前 VPN 閘道執行個體為國密型 VPN 閘道，您需要配置對端的 CA 憑證。

• 對於國密型 VPN 閘道，建立 IPsec 串連時，此項必填。

• 對於普通型 VPN 閘道，此項需要為空白。

建立雙隧道模式的 IPsec-VPN 串連時支援配置該參數。

是否為隧道開啟 BGP 功能。取值：true 或 false（預設值）。

是否只預檢此次請求。取值：

• true：發送檢查請求，不會建立 IPsec 串連。檢查項包括是否填寫了必需參數、請求格式、業務限制等。如果檢查不通過，則返回對應錯誤。如果檢查通過，則返回錯誤碼DryRunOperation。

• false（預設值）：發送正常請求，通過檢查後直接建立 IPsec 串連。