VPN Gateway：管理單隧道模式IPsec串連

修改IPsec串連

• 如果IPsec串連已綁定轉寄路由器執行個體，不支援修改IPsec串連關聯的轉寄路由器執行個體、部署的可用性區域以及網關類型，您可以修改IPsec串連關聯的使用者網關、路由模式、預先共用金鑰、加密配置等資訊。

• 如果IPsec串連當前未綁定任何資源，不支援修改IPsec串連的網關類型，您可以修改IPsec串連的使用者網關、路由模式、預先共用金鑰、加密配置等資訊。

1. 登入VPN網關管理主控台。

2. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

3. 在頂部功能表列，選擇IPsec串連的地區。

4. 在IPsec串連頁面，找到目標IPsec串連，在操作列單擊編輯。

5. 在編輯IPsec串連頁面，修改IPsec串連的名稱、加密配置、互連網段等配置，然後單擊確定。

   基本配置

   配置項	說明
   路由模式	選擇IPsec串連的路由模式。 目的路由模式（預設值）：基於目的IP地址路由和轉寄流量。 感興趣流模式：基於源IP地址和目的IP地址精確的路由和轉寄流量。 選擇感興趣流模式後，您需要配置本端網段和對端網段。IPsec串連配置完成後，系統自動在IPsec串連下的目的路由表中添加目的路由，路由預設會被發布至IPsec串連關聯的轉寄路由器的路由表中。
   本端網段	路由模式選擇感興趣流模式後，輸入需要和本機資料中心互連的阿里雲側的網段。第二階段協商時會協商兩端的感興趣流，阿里雲側本端網段和本機資料中心側對端網段建議保持一致。 單擊文字框右側的表徵圖，可添加多個需要和本機資料中心互連的阿里雲側的網段。 說明 如果您配置了多個網段，則後續IKE協議的版本需要選擇為ikev2。
   對端網段	路由模式選擇感興趣流模式後，輸入需要和阿里雲互連的本機資料中心側的網段。第二階段協商時會協商兩端的感興趣流，阿里雲側對端網段和本機資料中心側本端網段建議保持一致。 單擊文字框右側的表徵圖，可添加多個需要和阿里雲側互連的本機資料中心側的網段。 說明 如果您配置了多個網段，則後續IKE協議的版本需要選擇為ikev2。
   立即生效	選擇IPsec串連的配置是否立即生效。 是（預設值）：配置完成後系統立即進行IPsec協議協商。 否：當有流量進入時系統才進行IPsec協議協商。
   使用者網關	選擇IPsec串連關聯的使用者網關。
   預先共用金鑰	輸入IPsec串連的認證密鑰，用於轉寄路由器執行個體與本機資料中心之間的身份認證。 密鑰長度為1~100個字元，支援數字、大小寫英文字母及右側字元~`!@#$%^&*()_-+={}[]\|;:',.<>/?，不能包含空格。 重要 IPsec串連兩側配置的預先共用金鑰需一致，否則系統無法正常建立IPsec串連。
   啟用BGP	如果IPsec串連需要使用BGP路由協議，需要開啟BGP功能的開關，系統預設關閉BGP功能。 使用BGP動態路由功能前，建議您先瞭解BGP動態路由功能工作機制和使用限制。更多資訊，請參見配置BGP動態路由。
   本端自治系統號	如果IPsec串連啟用了BGP功能，需輸入IPsec串連阿里雲側的自治系統號。預設值：45104。自治系統號取值範圍：1~4294967295。 支援按照兩段位的格式進行輸入，即：前16位位元.後16位位元。每個段位使用十進位輸入。 例如輸入123.456，則表示自治系統號：123*65536+456=8061384。 說明 建議您使用自治系統號的私人號碼與阿里雲建立BGP串連。自治系統號的私人號碼範圍請自行查閱文檔。

   加密配置

   配置	說明
   加密配置：IKE配置
   版本	選擇IKE協議的版本。 ikev1 ikev2（預設值） 相對於IKEv1版本，IKEv2版本簡化了SA的協商過程並且對於多網段的情境提供了更好的支援，推薦選擇IKEv2版本。
   協商模式	選擇協商模式。 main（預設值）：主模式，協商過程安全性高。 aggressive：野蠻模式，協商快速且協商成功率高。 協商成功後兩種模式的資訊傳輸安全性相同。
   密碼編譯演算法	選擇第一階段協商使用的密碼編譯演算法。 密碼編譯演算法支援aes（aes128，預設值）、aes192、aes256、des和3des。 說明 推薦使用aes、aes192、aes256密碼編譯演算法，不推薦使用des、3des密碼編譯演算法。 aes是一種對稱金鑰密碼編譯演算法，提供高強度的加密和解密，在保證資料安全傳輸的同時對網路延遲、輸送量、轉寄效能影響較小。 3des是三重資料加密演算法，加密時間較長且演算法複雜度較高，運算量較大，相比aes會降低轉寄效能。
   認證演算法	選擇第一階段協商使用的認證演算法。 認證演算法支援sha1（預設值）、md5、sha256、sha384和sha512。
   DH分組	選擇第一階段協商的Diffie-Hellman金鑰交換演算法。 group1：表示DH分組中的DH1。 group2（預設值）：表示DH分組中的DH2。 group5：表示DH分組中的DH5。 group14：表示DH分組中的DH14。
   SA生存周期（秒）	設定第一階段協商出的SA的生存周期。單位：秒。預設值：86400。取值範圍：0~86400。
   LocalId	為IPsec串連阿里雲側的標識，用於第一階段的協商。預設值為IPsec串連的網關IP地址。 該參數僅作為標識符用於在IPsec-VPN串連協商中標識阿里雲，無其他作用。支援使用IP地址格式或FQDN（Fully Qualified Domain Name）格式，不能包含空格。推薦使用私網IP地址作為IPsec串連阿里雲側的標識。 如果LocalId使用了FQDN格式，例如輸入example.aliyun.com，則本機資料中心側IPsec串連的對端ID需與LocalId的值保持一致，協商模式建議選擇為aggressive（野蠻模式）。
   RemoteId	為IPsec串連本機資料中心側的標識，用於第一階段的協商。預設值為使用者網關的IP地址。 該參數僅作為標識符用於在IPsec-VPN串連協商中標識本機資料中心，無其他作用。支援使用IP地址格式或FQDN（Fully Qualified Domain Name）格式，不能包含空格。推薦使用私網IP地址作為IPsec串連本機資料中心側的標識。 如果RemoteId使用了FQDN格式，例如輸入example.aliyun.com，則本機資料中心側IPsec串連的本端ID需與RemoteId的值保持一致，協商模式建議選擇為aggressive（野蠻模式）。
   加密配置：IPsec配置
   密碼編譯演算法	選擇第二階段協商的密碼編譯演算法。 密碼編譯演算法支援aes（aes128，預設值）、aes192、aes256、des和3des。 說明 推薦使用aes、aes192、aes256密碼編譯演算法，不推薦使用des、3des密碼編譯演算法。 aes是一種對稱金鑰密碼編譯演算法，提供高強度的加密和解密，在保證資料安全傳輸的同時對網路延遲、輸送量、轉寄效能影響較小。 3des是三重資料加密演算法，加密時間較長且演算法複雜度較高，運算量較大，相比aes會降低轉寄效能。
   認證演算法	選擇第二階段協商的認證演算法。 認證演算法支援sha1（預設值）、md5、sha256、sha384和sha512。
   DH分組	選擇第二階段協商的Diffie-Hellman金鑰交換演算法。 disabled：表示不使用DH金鑰交換演算法。 對於不支援PFS的用戶端請選擇disabled。 如果選擇為非disabled的任何一個組，會預設開啟完美向前加密PFS（Perfect Forward Secrecy）功能，使得每次重協商都要更新密鑰，因此，相應的用戶端也要開啟PFS功能。 group1：表示DH分組中的DH1。 group2（預設值）：表示DH分組中的DH2。 group5：表示DH分組中的DH5。 group14：表示DH分組中的DH14。
   SA生存周期（秒）	設定第二階段協商出的SA的生存周期。單位：秒。預設值：86400。取值範圍：0~86400。
   DPD	選擇開啟或關閉對等體存活檢測DPD（Dead Peer Detection）功能。DPD功能預設開啟。 開啟DPD功能後，IPsec串連會發送DPD報文用來檢測對端的裝置是否存活，如果在設定時間內未收到正確回應則認為對端已經斷線，IPsec串連將刪除ISAKMP SA和相應的IPsec SA，安全隧道同樣也會被刪除。DPD檢測逾時後，IPsec串連會自動重新發起IPsec-VPN隧道協商。DPD報文的逾時時間為30秒。
   NAT穿越	選擇開啟或關閉NAT（Network Address Translation）穿越功能。NAT穿越功能預設開啟。 開啟NAT穿越功能後，IKE協商過程會刪除對UDP連接埠號碼的驗證過程，同時能幫您發現加密通訊通道中的NAT Gateway裝置。

   BGP配置

   如果您為IPsec串連開啟了BGP功能，您需要指定BGP隧道網段以及阿里雲側BGP隧道IP地址。

   配置項	說明
   隧道網段	輸入IPsec隧道的網段。 隧道網段需要是在169.254.0.0/16內的子網路遮罩為30的網段，且不能是169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30和169.254.169.252/30。
   本端BGP地址	輸入IPsec串連阿里雲側的BGP IP地址。 該地址為隧道網段內的一個IP地址。

   健全狀態檢查

   系統預設關閉健全狀態檢查功能，在添加健全狀態檢查配置前，請先開啟健全狀態檢查功能。

   重要

   為IPsec串連配置健全狀態檢查功能後，請在本機資料中心側添加一條目標網段為源IP，子網路遮罩為32位，下一跳指向IPsec串連的路由條目，以確保IPsec串連健全狀態檢查功能正常工作。

   配置項	說明
   目標IP	輸入阿里雲側通過IPsec串連可以訪問的本機資料中心的IP地址。 說明 請確保目的IP地址支援ICMP應答。
   源IP	輸入本機資料中心通過IPsec串連可以訪問的阿里雲側的IP地址。
   稍候再試	選擇健全狀態檢查的稍候再試時間。單位：秒。預設值：3。
   重試次數	選擇健全狀態檢查的重試次數。預設值：3。
   切換路由	選擇健全狀態檢查失敗後是否允許系統撤銷發行的路由。預設值：是，即健全狀態檢查失敗後，允許系統撤銷發行的路由。 如果您取消選中是，則健全狀態檢查失敗後，系統不會撤銷發行的路由。

IPsec串連向跨帳號的轉寄路由器執行個體授權

建立IPsec串連時，如果綁定雲企業網選項選擇了跨帳號綁定，那麼建立完成後，您需要按照如下步驟，將IPsec串連授權給跨帳號的轉寄路由器。

1. 登入VPN網關管理主控台。

2. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

3. 在頂部功能表列，選擇IPsec串連的地區。

4. 在IPsec串連頁面，找到目標IPsec串連，單擊IPsec串連ID。

5. 在IPsec串連詳情頁面的雲企業網跨帳號授權頁簽，單擊雲企業網跨帳號授權。

6. 在加入雲企業網對話方塊，根據以下資訊進行配置，然後單擊確定。

   配置項	說明
   對方帳號UID	轉寄路由器執行個體所屬阿里雲帳號（主帳號）ID。
   對方雲企業網執行個體ID	轉寄路由器執行個體所屬的雲企業網執行個體ID。
   資費承擔方式	選擇付費方。 雲企業網使用者承擔資費（預設值）：表示轉寄路由器執行個體綁定IPsec串連後產生的轉寄路由器串連費、轉寄路由器流量處理費由轉寄路由器執行個體所屬的帳號承擔。 VPN使用者承擔資費：表示轉寄路由器執行個體綁定IPsec串連後產生的轉寄路由器串連費、轉寄路由器流量處理費由IPsec串連所屬的帳號承擔。 重要 請謹慎選擇資費承擔方。變更資費承擔方，可能會影響您的業務。更多資訊，請參見變更網路執行個體資費承擔方。 轉寄路由器執行個體綁定IPsec串連後產生的IPsec串連執行個體費、IPsec串連流量費仍舊由IPsec串連所屬的帳號承擔。

7. 記錄IPsec串連ID和IPsec串連所屬的阿里雲帳號（主帳號）ID，以便後續建立VPN串連。具體操作，請參見建立VPN串連。

   您可以在帳號管理頁面查看帳號ID。

取消IPsec串連向跨帳號轉寄路由器執行個體的授權

如果您不再需要IPsec串連被綁定至跨帳號的轉寄路由器執行個體，您可以取消IPsec串連向跨帳號的轉寄路由器執行個體的授權。

如果跨帳號的轉寄路由器執行個體已經與IPsec串連建立了綁定關係，請先解除跨帳號轉寄路由器執行個體與網路執行個體的綁定關係。具體操作，請參見刪除網路執行個體串連。

刪除IPsec串連

如果IPsec串連綁定了轉寄路由器執行個體，在執行操作前，請確保IPsec串連已經和轉寄路由器執行個體解除綁定。具體操作，請參見刪除網路執行個體串連。

1. 登入VPN網關管理主控台。

2. 在左側導覽列，選擇網間互聯 > VPN > IPsec串連。

3. 在頂部功能表列，選擇IPsec串連的地區。

4. 在IPsec串連頁面，找到目標IPsec串連，在操作列單擊刪除。

5. 在彈出的對話方塊中，確認資訊，然後單擊確定。

通過調用API管理IPsec串連

支援通過阿里雲 SDK（推薦）、阿里雲 CLI、Terraform、Resource Orchestration Service等工具調用API管理IPsec串連。相關API說明，請參見：

• ModifyVpnAttachmentAttribute - 修改IPsec串連的配置

• DeleteVpnAttachment - 刪除IPsec串連

• DescribeVpnAttachments - 查詢已綁定轉寄路由器執行個體的IPsec串連的配置資訊

• DownloadVpnConnectionConfig - 擷取IPsec串連的配置資訊

• CheckVpnBgpEnabled - 查詢IPsec串連所屬的地區是否支援BGP功能