本文介绍如何使用IPsec-VPN在两个专有网络VPC(Virtual Private Cloud)之间建立安全连接,实现两个VPC内的资源互访。
场景示例
说明 VPN网关不支持建立跨境连接。使用IPsec-VPN建立VPC和VPC之间的连接时,两个VPC必须同属于中国内地地域或者同属于非中国内地地域。关于中国内地地域和非中国内地地域的说明,请参见
中国内地和非中国内地包含的地域都有哪些?。
在一个VPC属于中国内地地域,另一个VPC属于非中国内地地域的场景下,如果您需要在两个VPC之间建立连接,您可以使用云企业网产品。更多信息,请参见什么是云企业网。
本文以下述场景为例。某企业在华东1(杭州)地域拥有一个VPC1,在华北1(青岛)地域拥有一个VPC2。两个VPC均已使用云服务器ECS(Elastic Compute
Service)部署了业务,企业因后续发展,现在需要VPC1和VPC2中的业务可以互相访问。
出于建设安全的网络环境考虑,企业计划使用VPN网关产品,通过在两个VPC之间建立IPsec-VPN连接,对数据进行加密传输,实现资源的安全互访。
前提条件
- 您已经在阿里云华东1(杭州)地域和华北1(青岛)地域分别创建了VPC1和VPC2,两个VPC中均使用ECS部署了相关业务。具体操作,请参见搭建IPv4专有网络。
本示例VPC1和VPC2的配置如下表所示。
说明 您可以自行规划VPC实例的网段,请确保要互通的网段之间没有重叠。
VPC实例名称 |
VPC实例所属地域 |
VPC实例的网段 |
VPC实例ID |
ECS实例名称 |
ECS实例的IP地址 |
VPC1 |
华东1(杭州) |
192.168.0.0/16 |
vpc-bp1e0yx3nsosmitth**** |
ECS1 |
192.168.20.161 |
VPC2 |
华北1(青岛) |
10.0.0.0/16 |
vpc-m5e83sapxp88cgp5f**** |
ECS2 |
10.0.1.110 |
- 您已经了解两个VPC中ECS实例所应用的安全组规则,并确保安全组规则允许两个ECS实例互访。具体操作,请参见查询安全组规则和添加安全组规则。
配置流程
步骤一:创建VPN网关
- 登录VPN网关管理控制台。
- 在顶部菜单栏,选择VPN网关实例所属的地域。
本示例选择
华东1(杭州)。
说明 VPN网关实例的地域和待关联的VPC实例的地域需相同。
- 在VPN网关页面,单击创建VPN网关。
- 在购买页面,根据以下信息配置VPN网关,然后单击立即购买并完成支付。
配置项 |
说明 |
实例名称 |
输入VPN网关实例的名称。本示例输入VPN网关1。
|
地域 |
选择VPN网关实例所属的地域。本示例选择华东1(杭州)。
|
专有网络 |
选择VPN网关实例关联的VPC实例。本示例选择VPC1。 |
指定交换机 |
是否指定VPN网关创建在VPC实例中的某一个交换机下。本示例选择否。
|
带宽峰值 |
选择VPN网关实例的公网带宽峰值。单位:Mbps。 |
流量 |
VPN网关实例的计费方式。默认值:按流量计费。
更多信息,请参见计费说明。
|
IPsec-VPN |
选择开启或关闭IPsec-VPN功能。本示例选择开启。
|
SSL-VPN |
选择开启或关闭SSL-VPN功能。本示例选择关闭。
|
购买时长 |
VPN网关的计费周期。默认值:按小时计费。
|
服务关联角色 |
单击创建关联角色,系统自动创建服务关联角色AliyunServiceRoleForVpn。
VPN网关使用此角色来访问其他云产品中的资源,更多信息,请参见AliyunServiceRoleForVpn。
若本配置项显示为已创建,则表示您的账号下已创建了该角色,无需重复创建。
|
更多信息,请参见
创建VPN网关。
- 返回VPN网关页面,查看已创建的VPN网关实例。
创建VPN网关实例后,其状态是准备中,约1~5分钟会变成正常状态。正常状态表明VPN网关实例已经完成了初始化,可以正常使用。
- 重复步骤2至步骤4,在华北1(青岛)地域创建一个名称为VPN网关2的VPN网关实例,该VPN网关实例关联VPC2,其余配置与VPN网关1相同。
创建完成后,两个VPN网关实例的信息如下表所示。
地域 |
VPN网关实例的名称 |
VPN网关实例关联的VPC实例名称 |
VPN网关实例ID |
VPN网关IP地址 |
华东1(杭州) |
VPN网关1 |
VPC1 |
vpn-bp1l5zihic47jprwa**** |
120.XX.XX.40 |
华北1(青岛) |
VPN网关2 |
VPC2 |
vpn-m5eqjnr4ii6jajpms**** |
118.XX.XX.20 |
步骤二:创建用户网关
- 在左侧导航栏,选择。
- 在顶部菜单栏,选择用户网关实例的地域。
说明 用户网关实例的地域必须和待连接的VPN网关实例的地域相同。
- 在用户网关页面,单击创建用户网关。
- 在创建用户网关面板,根据以下信息配置用户网关实例,然后单击确定。
您需要在华东1(杭州)地域和华北1(青岛)地域分别创建一个用户网关实例,用户网关实例的配置请参见下表。
配置项 |
配置项说明 |
华东1(杭州) |
华北1(青岛) |
名称 |
输入用户网关实例的名称。 |
Customer1 |
Customer2 |
IP地址 |
输入用户网关实例的公网IP地址。 |
本示例输入VPN网关2的IP地址118.XX.XX.20。
说明 在本示例中VPC1和VPC2互为对方的用户网关。
|
本示例输入VPN网关1的IP地址120.XX.XX.40。
|
更多信息,请参见创建用户网关。
配置完成后,VPN网关实例、用户网关实例与VPC实例之间的对应关系如下表所示。
地域 |
VPC实例名称 |
VPN网关实例名称 |
用户网关实例名称 |
用户网关实例ID |
用户网关IP地址 |
华东1(杭州) |
VPC1 |
VPN网关1 |
Customer1 |
cgw-bp1er5cw26c2b35vm**** |
118.XX.XX.20 |
华北1(青岛) |
VPC2 |
VPN网关2 |
Customer2 |
cgw-m5e6qdvuxquse3fvm**** |
120.XX.XX.40 |
步骤三:创建IPsec连接
VPN网关和用户网关创建完成后,您需要分别创建两个IPsec连接建立VPN加密通道。
- 在左侧导航栏,选择。
- 在顶部菜单栏,选择IPsec连接的地域。
- 在IPsec连接页面,单击创建IPsec连接。
- 在创建IPsec连接页面,根据以下信息配置IPsec连接,然后单击确定。
您需要在华东1(杭州)地域和华北1(青岛)地域分别创建一个IPsec连接,IPsec连接的配置请参见下表。
配置项 |
配置项说明 |
华东1(杭州) |
华北1(青岛) |
名称 |
输入IPsec连接的名称。 |
IPsec连接1 |
IPsec连接2 |
VPN网关 |
选择已创建的VPN网关实例。 |
VPN网关1 |
VPN网关2 |
用户网关 |
选择已创建的用户网关实例。 |
Customer1 |
Customer2 |
路由模式 |
选择路由模式。 |
选择目的路由模式。
|
选择目的路由模式。
|
立即生效 |
选择是否立即生效。
- 是:配置完成后立即进行协商。
- 否:当有流量进入时进行协商。
|
本示例选择否。
|
本示例选择否。
|
预共享密钥 |
输入预共享密钥。
如果不输入该值,系统默认生成一个16位的随机字符串。
|
fddsFF123****
|
其他选项使用默认配置。更多信息,请参见创建和管理IPsec连接。
- 在创建成功对话框中,单击确定。
步骤四:配置路由
- 在左侧导航栏,选择。
- 在顶部菜单栏,选择VPN网关实例的地域。
- 在VPN网关页面,找到目标VPN网关实例,单击实例ID。
- 在目的路由表页签,单击添加路由条目。
- 在添加路由条目面板,根据以下信息配置目的路由,然后单击确定。
您需要分别为VPN网关1和VPN网关2配置路由条目,配置信息如下表所示。
配置项 |
配置说明 |
VPN网关1 |
VPN网关2 |
目标网段 |
输入待互通的目标网段。 |
输入VPC2的私网网段10.0.0.0/16。
|
输入VPC1的私网网段192.168.0.0/16。
|
下一跳类型 |
选择下一跳的类型。 |
选择IPsec连接。
|
选择IPsec连接。
|
下一跳 |
选择下一跳。 |
选择IPsec连接1。 |
选择IPsec连接2。 |
发布到VPC |
选择是否将新添加的路由发布到VPN网关关联的VPC中。 |
本示例选择是。
|
本示例选择是。
|
权重 |
选择路由的权重值。
|
本示例保持默认值100。
|
本示例保持默认值100。
|
更多信息,请参见
添加目的路由。
步骤五:测试连通性
- 登录VPC1内的ECS1实例。
- 执行ping命令,访问ECS2实例,验证两个VPC之间的资源是否可以互访。
ping <ECS2实例IP地址>
收到如下所示的回复报文,则证明两个VPC之间的资源可以正常互访。
