VPN Gateway：升級VPN網關為雙隧道模式

背景資訊

• 升級前，建議您先瞭解雙隧道模式的相關說明。

• 僅存量單隧道模式的傳統型VPN網關支援升級為雙隧道模式，增強型VPN網關預設全部為雙隧道模式。

升級後的頻寬變化

• 如果您的單隧道VPN網關執行個體頻寬規格小於等於100Mbps：

  支援的IPsec-VPN隧道模式	從VPN網關執行個體去往本機資料中心方向的頻寬峰值	從本機資料中心去往VPN網關執行個體方向的頻寬峰值
  升級前	為VPN網關執行個體的頻寬規格值。	100 Mbps。
  升級後	為VPN網關執行個體的頻寬規格值。	為VPN網關執行個體的頻寬規格值。

• 如果您的單隧道VPN網關執行個體頻寬規格大於100Mbps，則升級後頻寬峰值無變化，仍為VPN網關執行個體的頻寬規格值。

支援的地區和可用性區域

以下地區和可用性區域的VPN網關支援升級為雙隧道模式。

也可調用DescribeVpnGatewayAvailableZones介面查詢指定地區下支援的可用性區域資訊。若調用結果與下面表格不一致，以介面調用結果為準。

升級環境要求

在IPsec-VPN串連升級為雙隧道模式前，需確保滿足以下要求：

• 阿里雲帳號下已建立了AliyunServiceRoleForVpn服務關聯角色。

  升級過程中，系統需要通過AliyunServiceRoleForVpn服務關聯角色完成VPN網關資源的部署。您可以在VPN網關執行個體購買頁面查看當前阿里雲帳號下是否已建立AliyunServiceRoleForVpn服務關聯角色：

  • 如果頁面顯示已建立，則表示阿里雲帳號下已存在AliyunServiceRoleForVpn服務關聯角色，無需再建立。

  • 如果頁面提示建立服務關聯角色，請單擊建立服務關聯角色，系統會自動完成AliyunServiceRoleForVpn服務關聯角色的建立。更多資訊，請參見AliyunServiceRoleForVpn。

• VPN網關執行個體不能同時開啟IPsec-VPN和SSL-VPN功能。

  如果VPN網關執行個體同時開啟了IPsec-VPN和SSL-VPN功能，您可以通過降配關閉IPsec-VPN功能或SSL-VPN功能。具體操作，請參見降配。

  關閉功能前，請確保VPN網關執行個體下不存在IPsec串連或SSL服務端。具體操作，請參見刪除IPsec串連或刪除SSL服務端。

• VPN網關執行個體的策略路由表或目的路由表下不能存在指向不同IPsec-VPN串連的相同路由。

  下表舉例說明並提供相應解決方案。

  路由表	源網段	目標網段	下一跳	是否可以升級	解決方案
  策略路由表	10.10.10.0/24	172.16.10.0/24	IPsec串連1	不可以 因為策略路由表下存在兩條源網段和目標網段均相同，下一跳指向不同IPsec-VPN串連的路由。	刪除一條路由或者修改其中一條路由的源網段或者目標網段。具體操作，請參見（已下線）策略路由（僅傳統型VPN網關）。
  	10.10.10.0/24	172.16.10.0/24	IPsec串連2
  目的路由表	不涉及	192.168.10.0/24	IPsec串連3	不可以 因為目的路由表下存在兩條目標網段相同，下一跳指向不同IPsec-VPN串連的路由。	刪除一條路由或者修改其中一條路由的目標網段。具體操作，請參見路由配置（綁定VPN網關）。
  	不涉及	192.168.10.0/24	IPsec串連4

• VPN網關執行個體關聯的VPC執行個體路由表下不能存在目標網段為SSL服務端客戶端網段的子網或者IPsec服務端客戶端網段的子網，下一跳指向VPN網關執行個體的路由。

  例如一個SSL服務端的客戶端網段為192.168.10.0/24，則VPN網關關聯的VPC執行個體的路由表下不能存在目標網段為192.168.10.0/25或192.168.10.0/26等子網，下一跳指向VPN網關執行個體的路由。

  您可以管理VPC執行個體路由表下的自訂路由。具體操作，請參見建立和管理路由表。

• 如果VPN網關執行個體下存在多個IPsec-VPN串連，在多個IPsec-VPN串連均使用BGP動態路由協議的情況下，每個IPsec-VPN串連的BGP隧道網段需互不相同。

  您可以修改BGP隧道網段。具體操作，請參見修改IPsec串連。

• 您需要從VPN網關執行個體關聯的VPC執行個體下指定兩個交換器執行個體，並確保交換器執行個體下擁有足夠數量的空閑IP地址。

  • 在您指定交換器執行個體時，交換器執行個體所屬的可用性區域必須是支援建立雙隧道模式IPsec-VPN串連的可用性區域。關於可用性區域詳情，請參見支援的地區和可用性區域。

  • 如果當前地區下有多個可用性區域均支援建立雙隧道模式的IPsec-VPN串連，則您指定的兩個交換器執行個體必須屬於不同的可用性區域，以實現IPsec-VPN串連可用性區域層級的容災。每個交換器執行個體下需有2個閒置IP地址。

  • 如果當前地區下僅有一個可用性區域支援建立雙隧道模式的IPsec-VPN串連，則您需要從該可用性區域下指定兩個交換器執行個體：

    • 如果您指定了相同的交換器執行個體，請確保該交換器執行個體下擁有4個閒置IP地址。

    • 如果您指定了2個不同的交換器執行個體，請確保每個交換器執行個體下擁有2個閒置IP地址。

升級過程說明

• 升級過程約持續10分鐘，在此期間VPN網關執行個體不支援轉寄流量。

• 升級期間VPN網關執行個體不支援操作。

升級操作

1. 登入VPN網關管理主控台。

2. 在頂部功能表列，選擇VPN網關執行個體的地區。

3. 在VPN網關頁面，找到目標VPN網關執行個體，單擊執行個體ID。

4. 在VPN網關執行個體頁面的右上方，單擊開啟AZ級高可靠。

5. 在開啟AZ級高可靠對話方塊，指定交換器執行個體然後開啟升級環境校正，確保環境滿足升級要求並瞭解升級風險後，單擊立即開啟。

   • 如果升級環境校正失敗，請參見升級環境要求排查問題。

   • 單擊立即開啟後，系統將直接開始升級，請耐心等待。

後續步驟

VPN網關執行個體升級完成後：

• 若升級前只保留了IPsec-VPN功能，則需啟用備隧道：

  • 升級後 VPN 閘道執行個體將擁有 2 個 IPsec 地址：一個是原有地址（IPsec 地址 1），另一個是系統新分配的地址（IPsec 地址 2），分別用於建立主隧道和備隧道。這兩個地址會顯示在執行個體列表的 IP 位址列中，且兩條隧道預設關聯相同的使用者網關執行個體。

  • 主隧道即升級前的隧道，配置保持不變；備隧道預設不可用。在 IPsec 串連詳情頁的 Tunnel 頁簽中，隧道 1（主）顯示第二階段協商成功，隧道 2（備）顯示第一階段協商未成功。

  • 您需要在對端網關裝置上添加相關配置以對接備隧道，確保其狀態顯示為成功，詳見傳統型VPN網關入門。

• 若升級前只保留了SSL-VPN功能，則升級後：

  • SSL-VPN相關配置保持不變。您可以在VPN網關執行個體的功能配置列開啟IPsec-VPN功能，然後開始建立雙隧道模式的IPsec-VPN串連，詳見IPsec串連（綁定VPN網關）。

  • VPN網關IP地址將變成SSL地址，僅能用於SSL-VPN功能。在您開啟IPsec-VPN功能後，系統將為VPN網關執行個體重新分配2個IPsec地址用於建立雙隧道模式的IPsec-VPN串連。在VPN網關執行個體列表中，您可查看 SSL地址 欄位確認SSL-VPN串連地址已保留。

• 若VPN網關執行個體關聯的VPC執行個體接入了雲企業網：

  • 如果VPC執行個體的路由表中存在指向VPN網關執行個體的自訂路由條目，且該路由條目已經被發布至雲企業網，則升級完成後，該路由條目會變成未發布狀態，您需要重新將該路由條目發布至雲企業網，詳見發布路由至轉寄路由器。