VPN 网关实例是连通 VPC 与本地数据中心的云上出入口。选择绑定 VPN 网关模式的IPsec-VPN时，需先创建 VPN 网关实例。
若选择绑定TR模式的IPsec连接，无需创建VPN网关实例，可直接创建IPsec连接（绑定TR）。
功能说明
VPN网关实例是部署在阿里云侧的网关设备，是加密隧道的云端端点。您必须先创建VPN网关，再基于VPN网关创建IPsec连接。
创建VPN网关实例时，需要关联VPC并指定2个不同可用区的交换机，用于建立双隧道IPsec-VPN连接，实现可用区级别的容灾。
对于仅支持一个可用区的地域 ，不支持可用区级别的容灾，建议您在该可用区下指定两个不同的交换机实例以实现IPsec连接的高可用。
创建VPN网关实例后，系统会在指定的2个交换机下各创建1个弹性网卡（ENI），作为VPN网关与VPC流量互通的接口。每个ENI占用交换机下的1个私网IP地址，请确保交换机下有足够的可用IP地址。
创建VPN网关
VPN网关有增强型和传统型2种形态，具体区别详见增强型对比传统型。
创建增强型VPN网关（控制台）
增强型VPN网关于2026年2月发布，目前处于邀测阶段，如需使用请联系阿里云工程师进行服务开通。支持的地域：马来西亚（吉隆坡）、英国（伦敦）、西南1（成都）、美国（弗吉尼亚）、美国（硅谷）、中国香港、新加坡。
前往控制台VPN网关页面，切换到增强型IPsec-VPN页签，单击创建增强型IPsec-VPN后进行配置：
所属地域：选择要连通的云上VPC所在的地域。
专有网络：选择目标VPC。
虚拟交换机1和虚拟交换机2：需选择关联的 VPC 和部署于不同可用区的 2 个交换机，确保跨可用区的高可用。开启 IPsec-VPN 后，系统会在 2 个交换机下各创建 1 个弹性网卡ENI，作为使用 IPsec 连接与 VPC 流量互通的接口。每个 ENI 会占用交换机下的 1 个 IP地址。
创建传统型VPN网关（控制台）
前往控制台VPN网关页面，在传统型VPN网关页签下，单击创建VPN网关后进行配置：
如果没有传统型VPN网关页签，则直接单击创建VPN网关。
地域和可用区：选择 VPC 所在的地域。
网关类型：选择普通型，建立 IPsec 连接后将使用国际标准商用密码算法（普通算法）。
网络类型：选择公网，将分配公网 IP 以建立 IPsec 连接。如需建立私网 IPsec 连接，建议使用私网 IPsec 连接绑定转发路由器。
隧道：选择双隧道。
VPC和虚拟交换机：需选择关联的 VPC 和部署于不同可用区的 2 个交换机，确保跨可用区的高可用。开启 IPsec-VPN 后，系统会在 2 个交换机下各创建 1 个弹性网卡ENI，作为使用 IPsec 连接与 VPC 流量互通的接口。每个 ENI 会占用交换机下的 1 个 IP地址。创建 VPN 网关后，不支持修改关联的交换机。
带宽峰值：不同地域下，VPN 网关支持的最大带宽规格不同。选择 5Mbps 或 10 Mbps 的带宽规格，将限制从本地数据中心去往 VPN 网关方向的带宽峰值为 10 Mbps。详见配额与限制。
开启IPsec-VPN，关闭SSL-VPN。
如果创建的 VPN 网关未开启 IPsec-VPN，可在目标 VPN 网关的功能配置列单击IPsec连接后的去开启。
为已有的 VPN 网关开启 IPsec-VPN，需要为当前计费周期的剩余时间补缴功能差价。
购买时长：
VPN网关的计费周期。默认值：按小时计费。
API
调用CreateEnhancedVpnGateway创建增强型VPN网关。
重要增强型VPN网关于2026年2月发布，目前处于邀测阶段，如需使用请联系阿里云工程师进行服务开通。支持的地域：马来西亚（吉隆坡）、英国（伦敦）、西南1（成都）、美国（弗吉尼亚）、美国（硅谷）、中国香港、新加坡。
调用CreateVpnGateway创建传统型VPN 网关。
后续步骤
为实现云上VPC和云下IDC互通，VPN网关实例创建完成后还需要：
升级 VPN 网关（仅传统型）
如果传统型VPN网关非最新版本，强烈建议升级以获得更好的功能和兼容性。
此处仅指版本升级，不是迁移到增强型（增强型需重新创建）。
升级判断：可在 VPN 网关详情页根据升级按钮的状态判断 VPN 网关是否为最新版本。新购 VPN 网关默认为最新版本。
升级成本：
升级 VPN 网关约需要 10 分钟。
重要VPN 网关升级期间无法提供服务，已有连接也会中断。建议在网络维护窗口期间进行升级，以免影响业务运行。
升级 VPN 网关的操作不会产生费用。
升级限制：
VPN 网关不存在 IPsec 连接时，升级前后配置不变。
VPN 网关存在 IPsec 连接时：
IKEv1 + 多网段：需改为IKEv2或将多个网段拆分为多个连接。
2019年3月21日前创建且未升级过的网关：升级后需手动路由配置。
其余场景下，升级前后 IPsec 连接配置不变。
控制台
登录VPN网关管理控制台，在顶部菜单栏，选择 VPN 网关所属的地域。
单击目标 VPN 网关 ID 前往详情页，单击升级。
删除 VPN 网关
删除增强型VPN网关（控制台）
在目标VPN网关的操作列单击删除。
删除前，需确保 VPN 网关不存在 IPsec连接、SSL服务端和IPsec服务端。
删除传统型VPN网关（控制台）
API
增强型VPN：调用DeleteEnhancedVpnGateway删除。
传统型VPN：调用DeleteVpnGateway删除。
配额与限制
增强型VPN网关
对于已创建的传统型VPN网关，不支持直接迁移成增强型IPsec-VPN形态，建议重新创建。
增强型VPN网关不支持处理解密后的IP分片报文。
在增强型VPN网关中新增路由时，当前已有的存量流量需30s时间老化，之后使用新的路由指导转发。对于修改和删除路由，流量转发将会立即生效。
增强型VPN网关的单条隧道BGP接收路由条目超过2000时，会中断当前隧道的路由学习功能。
其他配额类限制，详见配额与限制。
传统型VPN网关
不同地域下，传统型VPN网关支持的最大带宽规格不同。
分类
地域
最大支持 1000 Mbps
华东1（杭州）、华东2（上海）、华北1（青岛）、华北2（北京）、华北3（张家口）、华北5（呼和浩特）、华北6（乌兰察布）、华南1（深圳）、华南2（河源）、华南3（广州）、西南1（成都）、中国香港、新加坡、日本（东京）、马来西亚（吉隆坡）、印度尼西亚（雅加达）、泰国（曼谷）、韩国（首尔）、菲律宾（马尼拉）、美国（硅谷）、美国（弗吉尼亚）、德国（法兰克福）、英国（伦敦）、墨西哥
最大支持 500 Mbps
阿联酋（迪拜）、沙特（利雅得）
沙特（利雅得）地域由合作伙伴运营。
新购VPN网关实例的IPsec连接默认为双隧道模式。存量VPN网关实例默认仅支持创建单隧道模式的IPsec-VPN连接，建议您尽快升级为双隧道模式，以获得更高的连接可用性。
不同 IPsec-VPN 隧道模式、带宽规格的传统型 VPN 网关，本地数据中心与传统型 VPN 网关之间两个方向的带宽峰值不完全相同。
IPsec-VPN隧道模式
传统型VPN网关带宽规格值
出云方向的带宽峰值
入云方向的带宽峰值
双隧道
> 10 Mbps
传统型VPN网关的带宽规格值。
传统型VPN网关的带宽规格值。
≤ 10 Mbps
传统型VPN网关的带宽规格值。
10 Mbps。
单隧道
> 100 Mbps
传统型VPN网关的带宽规格值。
传统型VPN网关的带宽规格值。
≤ 100 Mbps
传统型VPN网关的带宽规格值。
100 Mbps。
其他配额类限制，详见配额与限制。