場景示例

本文以下圖場景為例。某企業在阿里云德國（法蘭克福）地域創建了一個VPC，并在AWS的歐洲（法蘭克福）地域也擁有一個VPC，企業希望阿里云VPC和AWS VPC可以互相通信。

企業可以使用阿里云VPN網關產品（使用公網網絡類型的VPN網關實例）和AWS VPN產品在兩個VPC之間建立IPsec-VPN連接，實現兩個VPC之間的加密通信。

前提條件

• AWS平臺的數據庫擁有一個VPC。具體操作，請咨詢AWS平臺。

• 已在阿里云德國（法蘭克福）地域創建了一個VPC。具體操作，請參見搭建IPv4專有網絡。

• 已知VPC間要互通的網段信息。

  說明

  您可以自行規劃網段，請確保VPC之間要互通的網段沒有重疊。

  資源	要互通的網段	IP地址
  阿里云VPC	10.0.0.0/16,100.104.0.0/16	阿里云數據庫的內網地址
  AWS VPC	192.168.0.0/16	AWS數據庫的內網地址

配置流程

1. 在阿里云創建VPN網關實例。

   首先，在阿里云創建一個VPN網關實例。具體操作，請參見步驟一：在阿里云創建VPN網關實例。

2. 在AWS平臺部署VPN。

   其次，在AWS平臺部署VPN。具體操作，請參見步驟二：在AWS平臺部署VPN。

3. 在阿里云部署VPN網關。

   然后，在AWS VPC和阿里云VPC之間建立IPsec-VPN連接。具體操作，請參見步驟三：在阿里云部署VPN網關。

步驟一：在阿里云創建VPN網關實例

您需要先在阿里云創建一個VPN網關實例，VPN網關實例創建完成后，系統會為VPN網關實例分配2個IP地址，這2個IP地址用于與AWS平臺建立IPsec-VPN連接。

1. 登錄VPN網關管理控制臺。

2. 在頂部菜單欄，選擇VPN網關的地域。

   VPN網關的地域需和待綁定的VPC實例的地域相同。

3. 在VPN網關頁面，單擊創建VPN網關。

4. 在購買頁面，根據以下信息配置VPN網關，然后單擊立即購買并完成支付。

   以下僅列舉本文強相關的配置，其余配置項保持默認值或為空。更多信息，請參見創建和管理VPN網關實例。

   配置項	說明	本文示例值
   實例名稱	輸入VPN網關實例的名稱。	輸入VPN網關。
   地域和可用區	選擇VPN網關實例所屬的地域。	選擇德國（法蘭克福）。
   網關類型	選擇VPN網關實例的網關類型。	選擇普通型。
   網絡類型	選擇VPN網關實例的網絡類型。	選擇公網。
   隧道	系統直接展示當前地域IPsec-VPN連接支持的隧道模式。 雙隧道 單隧道 關于單隧道和雙隧道的說明，請參見【升級公告】IPsec-VPN連接升級為雙隧道模式。	本文保持默認值雙隧道。
   VPC	選擇VPN網關實例關聯的VPC實例。	選擇阿里云德國（法蘭克福）地域的VPC實例。
   虛擬交換機	從VPC實例中選擇一個交換機實例。 IPsec-VPN連接的隧道模式為單隧道時，您僅需要指定一個交換機實例。 IPsec-VPN連接的隧道模式為雙隧道時，您需要指定兩個交換機實例。 IPsec-VPN功能開啟后，系統會在兩個交換機實例下各創建一個彈性網卡ENI（Elastic Network Interfaces），作為使用IPsec-VPN連接與VPC流量互通的接口。每個ENI會占用交換機下的一個IP地址。 說明 系統默認幫您選擇第一個交換機實例，您可以手動修改或者直接使用默認的交換機實例。 創建VPN網關實例后，不支持修改VPN網關實例關聯的交換機實例，您可以在VPN網關實例的詳情頁面查看VPN網關實例關聯的交換機、交換機所屬可用區以及交換機下ENI的信息。	選擇VPC實例下的一個交換機實例。
   虛擬交換機2	從VPC實例中選擇第二個交換機實例。 您需要從VPN網關實例關聯的VPC實例下指定兩個分布在不同可用區的交換機實例，以實現IPsec-VPN連接可用區級別的容災。 對于僅支持一個可用區的地域 ，不支持可用區級別的容災，建議您在該可用區下指定兩個不同的交換機實例以實現IPsec-VPN連接的高可用，支持選擇和第一個相同的交換機實例。 說明 如果VPC實例下沒有第二個交換機實例，您可以新建交換機實例。具體操作，請參見創建和管理交換機。	選擇VPC實例下的第二個交換機實例。
   IPsec-VPN	選擇開啟或關閉IPsec-VPN功能。默認值：開啟。	選擇開啟IPsec-VPN功能。
   SSL-VPN	選擇開啟或關閉SSL-VPN功能。默認值：關閉。	選擇關閉SSL-VPN功能。

5. 返回VPN網關頁面，查看創建的VPN網關實例。

   剛創建好的VPN網關實例的狀態是準備中，約1~5分鐘左右會變成正常狀態。正常狀態表明VPN網關已經完成了初始化，可以正常使用。

   系統為VPN網關實例分配的2個IP地址如下表所示：

   VPN網關實例的名稱	VPN網關實例ID	IP地址
   VPN網關	vpn-gw8dickm386d2qi2g****	IPsec地址1（默認為主隧道地址）：8.XX.XX.130
   		IPsec地址2（默認為備隧道地址）：47.XX.XX.27

步驟二：在AWS平臺部署VPN

在為AWS VPC和阿里云VPC之間建立IPsec-VPN連接前，您需要根據以下信息在AWS平臺部署VPN。具體操作，請咨詢AWS平臺。

1. 創建客戶網關。

   您需要在AWS側創建2個客戶網關，將阿里云VPN網關實例的2個IP地址作為客戶網關的IP地址。

2. 創建虛擬私有網關。

   您需要在AWS側創建虛擬私有網關，并將虛擬私有網關綁定到需要和阿里云互通的VPC實例上。

3. 創建站點到站點VPN連接。

   重要

   • 阿里云和AWS平臺下的IPsec-VPN連接均支持雙隧道模式，但由于AWS平臺的兩條隧道默認關聯至同一個客戶網關，而阿里云側兩條隧道擁有不同的IP地址，導致AWS平臺和阿里云側的兩條隧道無法做到一一對應建立連接。為確保阿里云側IPsec-VPN連接下兩條隧道同時啟用，您需要在AWS平臺創建兩個站點到站點的VPN連接，每個站點到站點VPN連接關聯不同的客戶網關。

   • 為站點到站點VPN連接配置路由時，您除了要指定阿里云VPC網段外，還需要指定100.104.0.0/16網段，DTS服務將使用該網段下的地址同步數據。

   下圖展示其中一個站點到站點VPN連接的配置，隧道選項配置使用默認值。另一個站點到站點VPN連接關聯與當前VPN連接不同的客戶網關，其余配置與當前VPN連接相同。

   站點到站點VPN連接創建完成后，您可以查看VPN連接下的隧道地址信息，用于后續在阿里云側創建IPsec-VPN連接。

   本文中，2個VPN連接隧道1的外部IP地址以及關聯的客戶網關IP地址如下表所示：

   站點到站點VPN連接	隧道	外部IP地址	關聯的客戶網關IP地址
   站點到站點VPN連接1	Tunnel 1	3.XX.XX.5	8.XX.XX.130
   站點到站點VPN連接2	Tunnel 1	3.XX.XX.239	47.XX.XX.27

4. 配置路由傳播。

   您需要在虛擬私有網關關聯的VPC實例的路由表下開啟路由傳播，以確保站點到站點VPN連接下的路由可以自動傳播到VPC實例的路由表中。

   AWS VPC路由表中將包含阿里云VPC網段以及DTS服務使用的網段。

步驟三：在阿里云部署VPN網關

在AWS平臺完成VPN配置后，請根據以下信息在阿里云側部署VPN網關，以便AWS VPC和阿里云VPC之間建立IPsec-VPN連接。

1. 創建用戶網關。

   1. 登錄VPN網關管理控制臺。

   2. 在左側導航欄，選擇網間互聯 > VPN > 用戶網關。

   3. 在頂部菜單欄選擇用戶網關的地域。

      用戶網關地域需和VPN網關實例的地域相同。

   4. 在用戶網關頁面，單擊創建用戶網關。

   5. 在創建用戶網關面板，根據以下信息進行配置，然后單擊確定。

      您需要創建兩個用戶網關，并將AWS平臺站點到站點VPN連接的隧道外部IP地址作為用戶網關的IP地址，以建立兩個加密隧道。以下僅列舉本文強相關配置項，其余配置保持默認值或為空。更多信息，請參見創建和管理用戶網關。

      重要

      僅使用每個站點到站點VPN連接的Tunnel1的外部IP地址作為用戶網關的地址。每個站點到站點VPN連接的Tunnel2的外部IP地址默認不使用，IPsec-VPN連接創建完成后，每個站點到站點VPN連接的Tunnel2默認不通。

      配置項	說明	用戶網關1	用戶網關2
      名稱	輸入用戶網關的名稱。	輸入用戶網關1。	輸入用戶網關2。
      IP地址	輸入AWS平臺隧道的外部IP地址。	輸入3.XX.XX.5。	輸入3.XX.XX.239。

2. 創建IPsec連接。

   1. 在左側導航欄，選擇網間互聯 > VPN > IPsec連接。

   2. 在頂部菜單欄選擇IPsec連接的地域。

      IPsec連接的地域需和VPN網關實例的地域相同。

   3. 在IPsec連接頁面，單擊創建IPsec連接。

   4. 在創建IPsec連接頁面，根據以下信息配置IPsec連接，然后單擊確定。

      配置項	說明	本文示例值
      名稱	輸入IPsec連接的名稱。	輸入IPsec連接。
      資源組	選擇VPN網關實例所屬的資源組。	選擇默認資源組。
      綁定資源	選擇IPsec連接綁定的資源類型。	選擇VPN網關。
      VPN網關	選擇IPsec連接關聯的VPN網關實例。	選擇已創建的VPN網關。
      路由模式	選擇路由模式。 目的路由模式：基于目的IP地址路由和轉發流量。 感興趣流模式：基于源IP地址和目的IP地址精確的路由和轉發流量。	選擇感興趣流模式。
      本端網段	輸入VPN網關實例關聯的VPC實例下的網段。	輸入以下兩個網段： VPC網段：10.0.0.0/16 DTS網段：100.104.0.0/16 重要 您需要將DTS使用的地址段也添加到本端網段中，以便DTS通過VPN網關訪問對端的數據庫。 關于DTS地址段的更多信息，請參見添加DTS服務器的IP地址段。
      對端網段	輸入VPN網關實例關聯的VPC實例要訪問的對端的網段。	輸入192.168.0.0/16。
      立即生效	選擇IPsec連接的配置是否立即生效。取值： 是：配置完成后立即進行協商。 否：當有流量進入時進行協商。	選擇是。
      啟用BGP	如果IPsec連接需要使用BGP路由協議，需要打開BGP功能的開關，系統默認關閉BGP功能。	本文保持默認值，即不開啟BGP功能。
      Tunnel 1	為隧道1（主隧道）添加VPN相關配置。 系統默認隧道1為主隧道，隧道2為備隧道，且不支持修改。
      用戶網關	為主隧道添加待關聯的用戶網關實例。	選擇用戶網關1。
      預共享密鑰	輸入主隧道的認證密鑰，用于身份認證。 密鑰長度為1~100個字符，支持數字、大小寫英文字母及右側字符~`!@#$%^&*()_-+={}[]\|;:',.<>/?。 若您未指定預共享密鑰，系統會隨機生成一個16位的字符串作為預共享密鑰。 重要 隧道及其對端網關設備配置的預共享密鑰需一致，否則系統無法正常建立IPsec-VPN連接。	當前隧道的認證密鑰需和連接的AWS平臺隧道的密鑰一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需與AWS平臺保持一致，本文設置為28800。 IPsec配置的SA生存周期（秒）需與AWS平臺保持一致，本文設置為3600。 其余配置項使用默認值。關于默認值的說明，請參見創建和管理IPsec連接（雙隧道模式）。
      Tunnel 2	為隧道2（備隧道）添加VPN相關配置。
      用戶網關	為備隧道添加待關聯的用戶網關實例。	選擇用戶網關2。
      預共享密鑰	輸入備隧道的認證密鑰，用于身份認證。	當前隧道的認證密鑰需和連接的AWS平臺隧道的密鑰一致。
      加密配置	添加IKE配置、IPsec配置、DPD、NAT穿越等配置。	IKE配置的SA生存周期（秒）需與AWS平臺保持一致，本文設置為28800。 IPsec配置的SA生存周期（秒）需與AWS平臺保持一致，本文設置為3600。 其余配置項使用默認值。關于默認值的說明，請參見創建和管理IPsec連接（雙隧道模式）。
      標簽	為IPsec連接添加標簽。	保持為空。

   5. 在創建成功對話框中，單擊取消。

3. 配置VPN網關路由。

   創建IPsec連接后需要為VPN網關實例配置路由。創建IPsec連接時，如果路由模式您選擇了感興趣流模式，在IPsec連接創建完成后，系統會自動在VPN網關實例下創建策略路由，路由是未發布狀態。您需要執行本操作，將VPN網關實例下的策略路由發布至VPC中。

   1. 在左側導航欄，選擇網間互聯 > VPN > VPN網關。

   2. 在頂部菜單欄，選擇VPN網關實例的地域。

   3. 在VPN網關頁面，單擊目標VPN網關實例ID。

   4. 在VPN網關實例詳情頁面單擊策略路由表頁簽，找到目標路由條目，在操作列單擊發布。

   5. 在發布路由對話框，單擊確定。

   阿里云VPC的路由表中將會包含AWS VPC的網段。