VPN网关：增强型VPN网关快速入门

资源规划

• 云上：VPC 网段 10.0.0.0/16，地域为马来西亚（吉隆坡）

  • 交换机 1：可用区 A，网段 10.0.0.0/24

  • 交换机 2：可用区 B，网段 10.0.1.0/24

  • ECS 实例：位于交换机 1，IP 地址 10.0.0.1

  • VPN 网关：创建 1 个IPsec连接，系统将自动为此连接分配 2 个公网地址

    • IPsec地址1（用于主隧道）：XX.XX.1.1

    • IPsec地址2（用于备隧道）：XX.XX.2.2

• 云下：本地 IDC网段 172.16.0.0/16

  • strongSwan 设备：私网 IP 172.16.0.1

  • 公网出口 IP：XX.XX.3.3

• 加密算法：AES-256-GCM-16 / SHA-256 / DH Group 14。云下需明确指定，云上增强型VPN自动兼容。

• 路由方式：使用静态路由-感兴趣流模式。感兴趣流模式指定“哪些流量需要走 VPN 隧道”——您只需定义两端的网段，匹配这两个网段之间的流量即为"感兴趣流"。系统会自动将其通过隧道传输，并生成对应路由。

前提条件

• 云上 VPC 网段与云下 IDC 网段不能冲突。

• 已按照资源规划 创建VPC，并在两个不同可用区各创建了一个交换机。VPC 内至少有一台 ECS 实例用于验证连通性。

• 本地 IDC 已部署一台 Linux 服务器（本文以 CentOS Stream 9 为例），具备1个公网出口，后续将在该服务器上安装 strongSwan 作为本地网关。

1. 放通防火墙策略

在 strongSwan 设备上放通ESP 协议（IP 协议号 50）、UDP 500 端口和 UDP 4500 端口，允许云上的 2 个 IPsec地址访问。

以 iptables 为例，请根据实际使用的防火墙工具调整命令：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. 开启路由转发

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. 安装 strongSwan

dnf install epel-release -y
dnf install strongswan -y

4. 配置 strongSwan

1. 备份原始配置文件：

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新建配置文件：

   vi /etc/strongswan/swanctl/swanctl.conf

3. 添加并保存以下配置。请将示例中的 IP 地址替换为您的实际地址：

   # strongSwan 双隧道 IPsec-VPN 配置，适用于：阿里云增强型VPN网关+本地公网单出口+感兴趣流
   #
   # 只有带"请修改"标记的参数需要根据实际环境修改，其余参数保持默认即可。
   # 算法说明：aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
   # 主备逻辑：vco1 (priority=1) 为主隧道，vco2 (priority=2) 为备隧道，主隧道故障时自动切换。
   
   connections {
   
      # === 隧道1（主） ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         
         local_addrs  = 172.16.0.1                # strongSwan本机网卡IP（请修改：NAT环境填私网IP；网卡直接绑公网出口IP则填公网IP）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地侧公网出口IP（请修改）
         }
         
         remote_addrs = XX.XX.1.1                 # 阿里云侧隧道1的公网IP（请修改）
         remote {
            auth = psk
            id = XX.XX.1.1                        # 阿里云侧隧道1的公网IP，与上方 remote_addrs 一致（请修改）
         }
         
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # 本地侧感兴趣流网段（请修改）
               remote_ts = 10.0.0.0/16            # 阿里云侧感兴趣流网段（请修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 1                       # 指定为主隧道，不建议修改
            }
         }
      }
   
      # === 隧道2（备） ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan本机网卡IP，与隧道1的local_addrs相同（请修改）
         local {
            auth = psk
            id = XX.XX.3.3                        # 本地侧公网出口IP，与隧道1相同（请修改）
         }
         
         remote_addrs = XX.XX.2.2                 # 阿里云侧隧道2的公网IP（请修改）
         remote {
            auth = psk
            id = XX.XX.2.2                        # 阿里云侧隧道2的公网IP，与上方 remote_addrs 一致（请修改）
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # 本地侧感兴趣流网段，与隧道1的local_ts相同（请修改）
               remote_ts = 10.0.0.0/16            # 阿里云侧感兴趣流网段，与隧道1的remote_ts相同（请修改）
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 2                       # 指定为备隧道，不建议修改
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # 阿里云侧隧道1的公网IP（请修改）
         secret = your-psk-here                   # 隧道1的预共享密钥，需与阿里云侧一致（请修改）
      }
      ike-vco2 {
         id = XX.XX.2.2                           # 阿里云侧隧道2的公网IP（请修改）
         secret = your-psk-here                   # 隧道2的预共享密钥，需与阿里云侧一致（请修改）
      }
   }

5. 启动并确认隧道状态

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

如果两条隧道均显示 ESTABLISHED 且 CHILD_SA 为 INSTALLED 状态，则表示 strongSwan 设备和阿里云 VPN 网关之间已成功建立 IPsec-VPN 连接。

验证连通性

1. 先确保ECS的安全组规则已放通ICMP协议，再登录 strongSwan 设备，执行以下命令 ping 云上 ECS：

   ping 10.0.0.1

   若能收到回复报文，说明云上 VPC 和云下 IDC 之间已成功互通。

2. 先确保本地防火墙已放通ICMP协议，再登录 VPC 中的 ECS 实例（10.0.0.1），ping strongSwan设备的内网地址：

   ping 172.16.0.1

   若能收到回复报文，说明反向连通也正常。

验证高可用

1. 保持 ECS 持续 ping IDC 服务器：

   ping 172.16.0.1 -c 10000

2. 中断主隧道：在阿里云控制台修改 IPsec 连接主隧道的预共享密钥（使两端密钥不一致），主隧道将中断。

3. 观察 ping 结果：流量在短暂中断后重新恢复通信，说明流量已自动切换到备隧道。

4. 恢复主隧道：将主隧道的预共享密钥改回正确值，主隧道恢复后流量将自动切回。