本文介绍如何使用IPsec-VPN建立专有网络VPC(Virtual Private Cloud)到本地数据中心的VPN连接,实现本地数据中心与VPC的互通。

前提条件

  • 您已经注册了阿里云账号。如未注册,请先完成账号注册
  • 确保本地数据中心的网关设备支持IKEv1和IKEv2协议,只要支持这两种协议的本地网关设备均可以和云上VPN网关互连。
  • 本地数据中心的网关设备已经配置了静态公网IP。
  • 本地数据中心和VPC互通的网段没有重叠。
  • 您已经了解VPC中的ECS实例所应用的安全组规则,并确保安全组规则允许本地数据中心的网关设备访问云上资源。具体操作,请参见查询安全组规则

背景信息

本文以下图场景为例。某公司在阿里云创建了VPC,网段为192.168.0.0/16。本地数据中心的网段为172.16.0.0/12,本地网关设备的公网IP为211.XX.XX.68。公司因业务发展,需要本地数据中心与云上VPC互通。您可以通过IPsec-VPN,建立本地数据中心与云上VPC的连接,实现云上和云下的互通。

IPsec快速入门

步骤一:创建VPN网关

  1. 登录VPN网关管理控制台
  2. VPN网关页面,单击创建VPN网关
  3. 在购买页面,根据以下信息配置VPN网关,然后单击立即购买并完成支付。
    • 实例名称:输入VPN网关的实例名称。
    • 地域:选择VPN网关所属的地域。
      说明 确保VPC的地域和VPN网关的地域相同。
    • 专有网络:选择要连接的VPC。
    • 指定交换机:是否指定VPN网关创建在VPC中的某一个交换机下。本示例选择

      如果您选择了,您还需要指定具体的虚拟交换机

    • 带宽峰值:选择VPN网关的公网带宽峰值。单位为Mbps。
    • 流量:VPN网关默认按使用流量计费。更多信息,请参见按量计费
    • IPsec-VPN:选择是否开启IPsec-VPN功能。本示例选择开启
    • SSL-VPN:选择是否开启SSL-VPN功能。本示例选择关闭
    • 购买时长:VPN网关默认按小时计费。关于计费的更多信息,请参见按量计费
  4. 返回VPN网关页面,查看创建的VPN网关。
    刚创建好的VPN网关的状态是准备中,约1~5分钟左右会变成正常状态。正常状态表明VPN网关已经完成了初始化,可以正常使用。

步骤二:创建用户网关

  1. 在左侧导航栏,选择网间互联 > VPN > 用户网关
  2. 在顶部菜单栏,选择用户网关的地域。
    说明 用户网关的地域必须和要连接的VPN网关的地域相同。
  3. 用户网关页面,单击创建用户网关
  4. 创建用户网关面板,根据以下信息配置用户网关,然后单击确定
    • 名称:输入用户网关的名称。
    • IP地址:输入VPC要连接的本地数据中心的网关设备的公网IP。本示例输入211.XX.XX.68。
    • 描述:输入用户网关的描述信息。
    更多参数信息,请参见创建用户网关

步骤三:创建IPsec连接

  1. 在左侧导航栏,选择网间互联 > VPN > IPsec连接
  2. 在顶部菜单栏,选择IPsec连接实例的地域。
    说明 IPsec连接实例的地域必须和要连接的VPN网关的地域相同。
  3. IPsec连接页面,单击创建IPsec连接
  4. 创建IPsec连接页面,根据以下信息配置IPsec连接,然后单击确定
    • 名称:输入IPsec连接的名称。
    • VPN网关:选择已创建的VPN网关。
    • 用户网关:选择已创建的用户网关。
    • 路由模式:选择路由模式。本示例选择目的路由模式
    • 立即生效:选择是否立即生效。本示例选择
      • :配置完成后立即进行协商。
      • :当有流量进入时进行协商。
    • 预共享密钥:输入共享密钥。建立IPsec连接需保证该值与本地网关设备的预共享密钥一致。

      如果不输入该值,系统默认生成一个16位的随机字符串。

    其他选项使用默认配置。更多信息,请参见创建IPsec连接

步骤四:在本地网关设备中加载VPN配置

  1. 在左侧导航栏,选择网间互联 > VPN > IPsec连接
  2. IPsec连接页面,找到目标IPsec连接实例,然后在操作列下选择更多 > 下载对端配置
  3. 根据本地网关设备的配置要求,将下载的配置添加到本地网关设备中。具体操作,请参见本地网关配置

步骤五:配置VPN网关路由

  1. 在左侧导航栏,选择网间互联 > VPN > VPN网关
  2. VPN网关页面,找到目标VPN网关实例,单击实例ID。
  3. 目的路由表页签,单击添加路由条目
  4. 添加路由条目面板,根据以下信息配置目的路由,然后单击确定
    • 目标网段:输入本地数据中心的私网网段。本示例输入172.16.0.0/12
    • 下一跳类型:选择IPsec连接
    • 下一跳:选择IPsec连接实例。
    • 发布到VPC:选择是否将新添加的路由发布到VPC路由表。本示例选择
    • 权重:选择路由的权重值。本示例选择100
      • 100:高优先级。
      • 0:低优先级。
      说明 相同目标网段的目的路由,不支持同时设置权重值为100。

步骤六:测试连通性

  1. 登录到VPC内一台无公网IP的ECS实例。关于如何登录ECS实例,请参见连接方式概述
  2. 通过ping命令,访问本地数据中心内的一台服务器,验证通信是否正常。
    IPsec-VPN快速入门连通性测试