VPN网关：升级VPN网关为双隧道模式

背景信息

• 升级前，建议您先了解双隧道模式的相关说明。

• 仅存量单隧道模式的传统型VPN网关支持升级为双隧道模式，增强型VPN网关默认全部为双隧道模式。

升级后的带宽变化

• 如果您的单隧道VPN网关实例带宽规格小于等于100Mbps：

  支持的IPsec-VPN隧道模式	从VPN网关实例去往本地数据中心方向的带宽峰值	从本地数据中心去往VPN网关实例方向的带宽峰值
  升级前	为VPN网关实例的带宽规格值。	100 Mbps。
  升级后	为VPN网关实例的带宽规格值。	为VPN网关实例的带宽规格值。

• 如果您的单隧道VPN网关实例带宽规格大于100Mbps，则升级后带宽峰值无变化，仍为VPN网关实例的带宽规格值。

支持的地域和可用区

以下地域和可用区的VPN网关支持升级为双隧道模式。

也可调用DescribeVpnGatewayAvailableZones接口查询指定地域下支持的可用区信息。若调用结果与下面表格不一致，以接口调用结果为准。

升级环境要求

在IPsec-VPN连接升级为双隧道模式前，需确保满足以下要求：

• 阿里云账号下已创建了AliyunServiceRoleForVpn服务关联角色。

  升级过程中，系统需要通过AliyunServiceRoleForVpn服务关联角色完成VPN网关资源的部署。您可以在VPN网关实例购买页面查看当前阿里云账号下是否已创建AliyunServiceRoleForVpn服务关联角色：

  • 如果页面显示已创建，则表示阿里云账号下已存在AliyunServiceRoleForVpn服务关联角色，无需再创建。

  • 如果页面提示创建服务关联角色，请单击创建服务关联角色，系统会自动完成AliyunServiceRoleForVpn服务关联角色的创建。更多信息，请参见AliyunServiceRoleForVpn。

• VPN网关实例不能同时开启IPsec-VPN和SSL-VPN功能。

  如果VPN网关实例同时开启了IPsec-VPN和SSL-VPN功能，您可以通过降配关闭IPsec-VPN功能或SSL-VPN功能。具体操作，请参见降配。

  关闭功能前，请确保VPN网关实例下不存在IPsec连接或SSL服务端。具体操作，请参见删除IPsec连接或删除SSL服务端。

• VPN网关实例的策略路由表或目的路由表下不能存在指向不同IPsec-VPN连接的相同路由。

  下表举例说明并提供相应解决方案。

  路由表	源网段	目标网段	下一跳	是否可以升级	解决方案
  策略路由表	10.10.10.0/24	172.16.10.0/24	IPsec连接1	不可以 因为策略路由表下存在两条源网段和目标网段均相同，下一跳指向不同IPsec-VPN连接的路由。	删除一条路由或者修改其中一条路由的源网段或者目标网段。具体操作，请参见配置策略路由。
  	10.10.10.0/24	172.16.10.0/24	IPsec连接2
  目的路由表	不涉及	192.168.10.0/24	IPsec连接3	不可以 因为目的路由表下存在两条目标网段相同，下一跳指向不同IPsec-VPN连接的路由。	删除一条路由或者修改其中一条路由的目标网段。具体操作，请参见路由配置（绑定VPN网关）。
  	不涉及	192.168.10.0/24	IPsec连接4

• VPN网关实例关联的VPC实例路由表下不能存在目标网段为SSL服务端客户端网段的子网或者IPsec服务端客户端网段的子网，下一跳指向VPN网关实例的路由。

  例如一个SSL服务端的客户端网段为192.168.10.0/24，则VPN网关关联的VPC实例的路由表下不能存在目标网段为192.168.10.0/25或192.168.10.0/26等子网，下一跳指向VPN网关实例的路由。

  您可以管理VPC实例路由表下的自定义路由。具体操作，请参见创建和管理路由表。

• 如果VPN网关实例下存在多个IPsec-VPN连接，在多个IPsec-VPN连接均使用BGP动态路由协议的情况下，每个IPsec-VPN连接的BGP隧道网段需互不相同。

  您可以修改BGP隧道网段。具体操作，请参见修改IPsec连接。

• 您需要从VPN网关实例关联的VPC实例下指定两个交换机实例，并确保交换机实例下拥有足够数量的空闲IP地址。

  • 在您指定交换机实例时，交换机实例所属的可用区必须是支持创建双隧道模式IPsec-VPN连接的可用区。关于可用区详情，请参见支持的地域和可用区。

  • 如果当前地域下有多个可用区均支持创建双隧道模式的IPsec-VPN连接，则您指定的两个交换机实例必须属于不同的可用区，以实现IPsec-VPN连接可用区级别的容灾。每个交换机实例下需有2个空闲的IP地址。

  • 如果当前地域下仅有一个可用区支持创建双隧道模式的IPsec-VPN连接，则您需要从该可用区下指定两个交换机实例：

    • 如果您指定了相同的交换机实例，请确保该交换机实例下拥有4个空闲的IP地址。

    • 如果您指定了2个不同的交换机实例，请确保每个交换机实例下拥有2个空闲的IP地址。

升级过程说明

• 升级过程约持续10分钟，在此期间VPN网关实例不支持转发流量。

• 升级期间VPN网关实例不支持操作。

升级操作

1. 登录VPN网关管理控制台。

2. 在顶部菜单栏，选择VPN网关实例的地域。

3. 在VPN网关页面，找到目标VPN网关实例，单击实例ID。

4. 在VPN网关实例页面的右上角，单击开启AZ级高可靠。

5. 在开启AZ级高可靠对话框，指定交换机实例然后开启升级环境校验，确保环境满足升级要求并了解升级风险后，单击立即开启。

   • 如果升级环境校验失败，请参见升级环境要求排查问题。

   • 单击立即开启后，系统将直接开始升级，请耐心等待。

后续步骤

VPN网关实例升级完成后：

• 若升级前只保留了IPsec-VPN功能，则需启用备隧道：

  • 升级后 VPN 网关实例将拥有 2 个 IPsec 地址：一个是原有地址（IPsec 地址 1），另一个是系统新分配的地址（IPsec 地址 2），分别用于建立主隧道和备隧道。这两个地址会显示在实例列表的 IP 地址列中，且两条隧道默认关联相同的用户网关实例。

  • 主隧道即升级前的隧道，配置保持不变；备隧道默认不可用。在 IPsec 连接详情页的 Tunnel 页签中，隧道 1（主）显示第二阶段协商成功，隧道 2（备）显示第一阶段协商未成功。

  • 您需要在对端网关设备上添加相关配置以对接备隧道，确保其状态显示为成功，详见传统型VPN网关入门。

• 若升级前只保留了SSL-VPN功能，则升级后：

  • SSL-VPN相关配置保持不变。您可以在VPN网关实例的功能配置列开启IPsec-VPN功能，然后开始创建双隧道模式的IPsec-VPN连接，详见IPsec连接（绑定VPN网关）。

  • VPN网关IP地址将变成SSL地址，仅能用于SSL-VPN功能。在您开启IPsec-VPN功能后，系统将为VPN网关实例重新分配2个IPsec地址用于建立双隧道模式的IPsec-VPN连接。在VPN网关实例列表中，您可查看 SSL地址 字段确认SSL-VPN连接地址已保留。

• 若VPN网关实例关联的VPC实例接入了云企业网：

  • 如果VPC实例的路由表中存在指向VPN网关实例的自定义路由条目，且该路由条目已经被发布至云企业网，则升级完成后，该路由条目会变成未发布状态，您需要重新将该路由条目发布至云企业网，详见发布路由至转发路由器。