VPN Gateway：IPsec-VPN綁定轉寄路由器入門

資源規劃

• 雲上：VPC 網段 10.0.0.0/16，地區為華東1（杭州）

  • 交換器 1：可用性區域 H，網段 10.0.0.0/24

  • 交換器 2：可用性區域 J，網段 10.0.2.0/24

  • ECS 執行個體：位於交換器中，IP 位址 10.0.0.1（用於驗證連通性）

  • CEN 執行個體：用於承載轉寄路由器

  • 轉寄路由器：在華東1（杭州）地區建立，TR 位址區段 10.10.10.0/24（不可與 VPC / IDC / BGP網段衝突）

• 雲下：本地 IDC 網段 172.16.0.0/16

  • strongSwan 裝置：私網 IP 172.16.0.1

  • 公網出口 IP：XX.XX.3.3

• 密碼編譯演算法：IKEv2 / AES-128 / SHA-1 / DH Group 2 / SA生存周期86400秒。隧道兩端請務必配置相同的加密參數。

• 路由方式：使用 BGP 動態路由。BGP 網段規劃如下（隧道網段需為 169.254.0.0/16 內的 /30，兩條隧道不能相同）。

  資源	隧道	隧道網段	BGP IP 位址	BGP AS 號
  IPsec 串連（雲端）	隧道 1	169.254.10.0/30	169.254.10.1	65535
  	隧道 2	169.254.20.0/30	169.254.20.1	65535
  本地網關裝置（IDC）	隧道 1	169.254.10.0/30	169.254.10.2	65530
  	隧道 2	169.254.20.0/30	169.254.20.2	65530

  兩條隧道的本端自治系統號必須相同；對端（IDC）AS 號也建議兩條隧道相同。

前提條件

• 雲上 VPC 網段、雲下 IDC 網段、BGP 隧道網段兩兩之間不能衝突。

• 已建立 VPC，並在兩個不同可用性區域各建立了一個交換器（交換器所在可用性區域需在轉寄路由器支援的可用性區域列表中）。VPC 內至少有一台 ECS 執行個體用於驗證連通性。

• 已建立 CEN 和 TR，並且：

  • VPC串連到了TR

  • VPC和TR之間開啟了路由學習和路由同步

  • TR已配置位址區段

• 已在本地 IDC 部署一台 Linux 伺服器（本文以 CentOS Stream 9 為例），具備 1 個公網出口，後續將在該伺服器上安裝 strongSwan（IPsec 隧道）與 FRRouting（BGP）作為本地網關。

1. 放通防火牆策略

在 strongSwan 裝置上放通 ESP 協議（IP 協議號 50）、UDP 500 連接埠和 UDP 4500 連接埠，允許雲上的 2 個 IPsec 地址訪問。

以 iptables 為例，請根據實際使用的防火牆工具調整命令：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. 開啟路由轉寄

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. 安裝 strongSwan

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4. 建立 XFRM 隧道介面和 updown 指令碼

由於雙隧道情境下需要區分每條隧道的流量，需要建立 XFRM 虛擬介面來避免核心路由策略衝突。BGP 動態路由方式下，還需要在 XFRM 介面上配置 BGP 隧道地址。

# 建立 XFRM 隧道介面（分別對應隧道 1 和隧道 2；單公網出口時底層介面均為 eth0）
sudo ip link add ipsec0 type xfrm dev eth0 if_id 42
sudo ip link add ipsec1 type xfrm dev eth0 if_id 43
sudo ip link set ipsec0 up
sudo ip link set ipsec1 up

# 在 XFRM 介面上配置本端 BGP 隧道地址
sudo ip address add 169.254.10.2/30 dev ipsec0
sudo ip address add 169.254.20.2/30 dev ipsec1

5. 配置 strongSwan

1. 備份原始設定檔：

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 建立設定檔：

   vi /etc/strongswan/swanctl/swanctl.conf

3. 添加並儲存以下配置。請將樣本中的 IP 位址和密鑰替換為您的實際值：

   # strongSwan 雙隧道 IPsec-VPN 配置
   # 適用於：阿里雲轉寄路由器綁定的 IPsec 串連 + 本地公網單出口 + BGP 動態路由
   #
   # 只有帶"請修改"標記的參數需要根據實際環境修改，其餘參數保持預設即可。
   # 使用 XFRM 介面（if_id）區分兩條隧道的流量；路由由 BGP 動態學習。
   
   connections {
   
      # === 隧道1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # strongSwan 本機網卡 IP（請修改：NAT 環境填私網 IP；網卡直接綁公網 IP 則填公網 IP）
         local {
            auth = psk
            id = XX.XX.3.3                         # 本地側公網出口 IP（請修改）
         }
   
         remote_addrs = XX.XX.1.1                  # 阿里雲側隧道 1 的公網 IP（請修改）
         remote {
            auth = psk
            id = XX.XX.1.1                         # 阿里雲側隧道 1 的公網 IP，與上方 remote_addrs 一致（請修改）
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 42                       # 對應 ipsec0 介面
               if_id_out = 42
            }
         }
   
         if_id_in = 42
         if_id_out = 42
      }
   
      # === 隧道2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # strongSwan 本機網卡 IP，與隧道 1 相同（請修改）
         local {
            auth = psk
            id = XX.XX.3.3                         # 本地側公網出口 IP，與隧道 1 相同（請修改）
         }
   
         remote_addrs = XX.XX.2.2                  # 阿里雲側隧道 2 的公網 IP（請修改）
         remote {
            auth = psk
            id = XX.XX.2.2                         # 阿里雲側隧道 2 的公網 IP，與上方 remote_addrs 一致（請修改）
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 43                       # 對應 ipsec1 介面
               if_id_out = 43
            }
         }
   
         if_id_in = 43
         if_id_out = 43
      }
   }
   
   secrets {
      ike-tunnel1 {
         id-1 = XX.XX.3.3                          # 本地側公網出口 IP（請修改）
         id-2 = XX.XX.1.1                          # 阿里雲側隧道 1 的公網 IP（請修改）
         secret = "your-psk-here"                  # 隧道 1 的預先共用金鑰，需與阿里雲側一致（請修改）
      }
      ike-tunnel2 {
         id-1 = XX.XX.3.3                          # 本地側公網出口 IP（請修改）
         id-2 = XX.XX.2.2                          # 阿里雲側隧道 2 的公網 IP（請修改）
         secret = "your-psk-here"                  # 隧道 2 的預先共用金鑰，需與阿里雲側一致（請修改）
      }
   }

   重要

   • if_id_in 和 if_id_out 將每條隧道綁定到對應的 XFRM 介面（ipsec0 / ipsec1），確保兩條隧道的流量互不干擾。

   • local_ts 和 remote_ts 設定為 0.0.0.0/0，由 BGP 學習到的路由決定哪些流量進入隧道。目的路由模式下，雲上側的流量選取器也為 0.0.0.0/0。

6. 啟動並確認隧道狀態

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

如果兩條隧道均顯示 ESTABLISHED 且 CHILD_SA 為 INSTALLED 狀態，則表示 strongSwan 裝置和阿里雲之間已成功建立 IPsec-VPN 串連。

# 期望輸出樣本（已省略部分內容）
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

7. 配置 BGP 動態路由（FRRouting）

IPsec 隧道建立後，網路還無法互連，需要在本地網關裝置上配置 BGP，與阿里雲側建立 BGP 鄰居，自動宣告本地網段並學習雲上網段。

說明：strongSwan/FRR 裝置重啟後，需要重新添加 XFRM 介面、BGP 隧道地址及 BGP 配置。

1. 安裝 FRRouting：

   sudo dnf install frr -y

2. 開啟 bgpd 守護進程：

   編輯 /etc/frr/daemons，將 bgpd=no 改為 bgpd=yes，儲存後啟動 FRR：

   sudo sed -i 's/^bgpd=no/bgpd=yes/' /etc/frr/daemons
   sudo systemctl enable frr
   sudo systemctl restart frr

3. 添加 BGP 配置：

   進入 vtysh 配置介面，添加如下配置。執行時請將地址替換為您的實際值：

   • 169.254.10.1、169.254.20.1 替換為阿里雲側兩條隧道的本端 BGP 地址（即本地裝置的對端 BGP 鄰居）。

   • 65535 替換為阿里雲 IPsec 串連的本端自治系統號。

   • 65530 替換為本地 IDC 的 BGP AS 號。

   • 172.16.0.0/24 替換為您需要宣告給雲上的本地 IDC 網段。

   sudo vtysh

   configure terminal
   route-map allow-all permit 1
   exit
   
   router bgp 65530
    bgp router-id 169.254.10.2
    neighbor 169.254.10.1 remote-as 65535
    neighbor 169.254.10.1 timers 10 30
    neighbor 169.254.20.1 remote-as 65535
    neighbor 169.254.20.1 timers 10 30
   
    address-family ipv4 unicast
     network 172.16.0.0/24
     neighbor 169.254.10.1 soft-reconfiguration inbound
     neighbor 169.254.10.1 route-map allow-all in
     neighbor 169.254.10.1 route-map allow-all out
     neighbor 169.254.20.1 soft-reconfiguration inbound
     neighbor 169.254.20.1 route-map allow-all in
     neighbor 169.254.20.1 route-map allow-all out
     maximum-paths 32
    exit-address-family
   exit
   exit
   write memory

4. 確認 BGP 鄰居和路由：

   show ip bgp summary
   show ip bgp

   • show ip bgp summary 中兩個鄰居（169.254.10.1、169.254.20.1）的 State/PfxRcd 應顯示為已接收的首碼數量（而非 Active/Idle），表示 BGP 鄰居已建立。

   • show ip bgp 中應能看到通過 BGP 學習到的雲上 VPC 網段（如 10.0.0.0/24、10.0.2.0/24），且每個網段有兩條等價路徑（分別經隧道 1 和隧道 2），形成 ECMP。

   # show ip bgp summary 期望輸出樣本（已省略部分內容）
   Neighbor        V         AS   ... State/PfxRcd
   169.254.10.1    4      65535   ...            2
   169.254.20.1    4      65535   ...            2
   
   # show ip bgp 期望輸出樣本
   *> 10.0.0.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i
   *> 10.0.2.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i

5. 確認核心已安裝 ECMP 路由：

   ip route show 10.0.0.0/24
   # 期望：一條路由帶兩個 nexthop，分別經 ipsec0 和 ipsec1

驗證連通性

1. 先確保 ECS 的安全性群組規則已放通 ICMP 協議，再從本地 IDC 內的用戶端 ping 雲上 ECS：

   ping 10.0.0.1

   若能收到回複報文，說明雲上 VPC 和雲下 IDC 之間已成功互連。

   說明：若從 strongSwan 裝置自身發起 ping 時，請指定 IDC 內網 IP 為源地址（例如 ping -I 172.16.0.1 10.0.0.1），避免核心選用 BGP 隧道地址（169.254.x.x）作為源地址導致回程不通。

2. 先確保strongSwan或內網伺服器已放通 ICMP 協議，再登入 VPC 中的 ECS 執行個體（10.0.0.1），ping strongSwan 裝置的內網地址：

   ping 172.16.0.1

   若能收到回複報文，說明反向連通也正常。

驗證高可用

綁定轉寄路由器且使用 BGP 的 IPsec 串連預設以 ECMP（等價多重路徑）方式同時使用兩條隧道，流量在雙隧道間負載平衡。當一條隧道中斷時，BGP 會自動撤銷該隧道的路由，流量收斂到另一條隧道，無需手動切換。

1. 保持 ECS 持續 ping IDC 伺服器：

   ping 172.16.0.1 -c 10000

2. 中斷其中一條隧道：在阿里雲控制台修改 IPsec 串連隧道 1 的預先共用金鑰（使兩端密鑰不一致），該隧道將中斷，其 BGP 鄰居隨之斷開。

3. 觀察 ping 結果：流量在短暫中斷後重新恢複通訊，說明流量已自動收斂到隧道 2。

4. 恢複隧道：將隧道 1 的預先共用金鑰改回正確值，隧道與 BGP 鄰居恢複後，流量將重新在兩條隧道間負載平衡。