本文为您介绍云下数据中心网关的出口IP为非固定IP(有多个IP需要上云并且IP都不固定)场景下,VPN连接的配置方法。
现某企业有两个分部(A分部和B分部)都需要访问总部的云上资源,但由于自身网络限制两个分部本地网关的出口IP均为非固定的静态公网IP,又考虑成本问题希望企业本地数据中心使用VPN连接实现上云,因此本文为您介绍这种特殊的非固定出口IP场景下,如何配置VPN连接实现网络互通。
针对该企业的现状,有如下两种方案可以实现,本文仅介绍方案二的相关配置,方案一操作请参考搭建云上VPC与云下数据中心互通(单个非固定出口IP场景)。
0.0.0.0
的IPsec连接,实现两个分部访问VPC,但若两个分部同时发起连接,会发生先发起的连接被后发起的连接抢占,导致先发起的连接断连。0.0.0.0
的IPsec连接,分别实现两个分部访问VPC,两条IPsec连接仅Remote ID(VPC侧)配置不同,其他配置均一致。两条IPsec连接互不干扰,两个分部可同时访问云上VPC资源。注意
此方案中第二条IPSec连接的第一阶段认证算法、加密算法、DH算法需要和第一条IPSec连接配置相同。
已获取的信息如下图所示,VPC1及其子网以及云服务器为已创建的云资源,VPN网关、用户网关为下文操作需要创建的资源。
说明
用户端网关出口IP为非固定出口IP场景与用户端网关具备静态公网IP场景下VPN连接的配置流程一致,但在创建用户网关、创建IPsec连接阶段参数配置存在差异,需重点关注。
登录VPN网关控制台。
在顶部导航栏,选择目标项目“Project-01”和地域“华北2(北京)”
单击“创建VPN网关”按钮。
参考下表,配置VPN网关参数。
参数 | 说明 | 取值样例 |
---|---|---|
基本信息 | ||
计费类型 | VPN网关的计费类型。 | 包年包月 |
地域 | 选择VPN网关所在的地域,需与VPC1的地域保持一致。 | 华北2(北京) |
名称 | VPN网关的名称。 | VPNGW-test |
网络配置 | ||
带宽规格 | 设置VPN网关的带宽上限。 | 20Mbps |
私有网络 | VPN网关所在的私有网络。 | VPC1|192.168.1.0/24 |
子网 | 选择VPN网关所在的子网。 | 子网1|192.168.1.128/25 |
BGP ASN | 设置VPN网关的ASN(Autonomous System Number)。仅在IPsec连接使用动态路由传播模式时,需要配置VPN网关BGP ASN,本操作演示使用静态路由传播模式,无需配置VPN网关BGP ASN。 说明 VPN连接动态路由传播功能为邀测功能,仅开通后可使用,如需试用请联系客户经理。 | -- |
功能配置 | ||
IPsec连接能力 | 是否开启IPsec连接能力,开启后可使用IPsec VPN功能,可同时开启SSL连接能力。 | 开启 |
SSL连接能力 | 是否开启SSL连接能力,开启后可使用SSL VPN功能,可同时开启IPsec连接能力。 | 不开启 |
更多信息 | ||
购买时长 | 购买VPN网关的时长。 | 1个月 |
自动续费 | 是否勾选启用自动续费。 | 不勾选 |
项目 | 资源所属项目,固定为进入创建页面前选择的项目Project-01。不同项目间,云资源不可共享。 | Project-01 |
配置完成后,单击“确认订单”按钮,并请根据控制台指引查阅并确认相关协议。
单击“立即购买”按钮进行支付,完成购买。
VPN网关VPNGW-test创建成功后,系统分配的网关出口IP为180.XX.XX.43。
参数 | 说明 | 取值样例 |
---|---|---|
地域 | 选择用户网关所在的地域,需与VPC1和VPN网关VPNGW-test的地域保持一致。 | 华北2(北京) |
名称 | 设置用户网关的名称。 | CGW-test |
IP地址 | 输入对端VPN网关的静态公网IP地址,即网关出口IP地址。本文使用场景对端无固定网关出口IP地址,因此需配置为0.0.0.0 。 | 0.0.0.0 |
BGP ASN | 设置用户网关的ASN(Autonomous System Number)。仅在IPsec连接使用动态路由传播模式时,需要配置用户网关BGP ASN,本操作演示使用静态路由传播模式,无需配置用户网关BGP ASN。 | -- |
项目 | 用户网关所属项目,固定为进入创建页面前选择的项目Project-01。 | Project-01 |
登录IPsec连接控制台。
在顶部导航栏,选择目标项目“Project-01”和地域“华北2(北京)”。
单击“创建IPsec连接”按钮。
参考下表配置IPsec连接。
参数 | 说明 | 取值样例 |
---|---|---|
地域 | 选择IPsec连接所在的地域。 | 华北2(北京) |
名称 | IPsec连接的名称。 | IPsecVPN-test-A |
项目 | 资源所属项目,固定为进入创建页面前选择的项目Project-01。 | Project-01 |
参数 | 说明 | 取值样例 |
---|---|---|
绑定资源类型 | 选择新创建IPsec连接绑定的资源类型。 | VPN网关 |
VPN网关 | 选择上文创建VPN网关阶段创建的VPN网关。 | VPNGW-test |
连接信息
参数 | 说明 | 取值样例 |
---|---|---|
路由模式 | 选择路由的模式。 | 目的路由 |
立即发起协商 | IPsec连接配置完成后是否立即生效。本文使用场景为对端无固定网关出口IP地址,因此火山引擎侧无法主动发起协商,此处默认为“否”且不可修改。 | 否 |
路由传播模式 | 选择路由的传播模式。 | 静态路由 |
用户网关 | 选择上文创建用户网关阶段创建的用户网关。 | CGW-test |
预共享密钥 | 填写用于双方VPN设备IKE协商的密钥。 该信息非常重要,请您妥善保存。 | test@00000 |
确认密钥 | 请再次输入预共享密钥。 | test@00000 |
高级配置
说明
此处仅体现需特别配置的参数,其他未体现参数保持默认值。
参数 | 说明 | 取值样例 | |
---|---|---|---|
IKE配置 | 版本 | IKE密钥交换协议版本。本文使用场景为对端无固定网关出口IP地址,此处仅可使用“ikev1”。 | ikev1 |
协商模式 | 选择IKE认证的协商模式。本文使用场景为对端无固定网关出口IP地址,此处仅可使用“aggressive”。 | aggressive | |
Remote ID | IPsec连接对端的标识,用于第一阶段的协商。 | 10.XX.XX.1 |
配置完成后,单击“创建”按钮。
参考上述创建第一条IPsec连接中步骤1~步骤5,用同样的方法创建第二条IPsec连接,除IPsec连接名称、Remote ID外,其他参数配置均与第一条IPsec连接配置相同,此处不再赘述。
注意
第二条IPSec连接的第一阶段IKE配置中的认证算法、加密算法、DH算法必须与第一条IPSec连接配置相同。
参数 | 说明 | 取值样例 | |
---|---|---|---|
名称 | IPsec连接的名称。 | IPsecVPN-test-B | |
IKE配置 | Remote ID | IPsec连接对端的标识,用于第一阶段的协商。 | 10.XX.XX.2 |
说明
此处Remote ID10.XX.XX.2
可以为除第一条的Remote ID10.XX.XX.1
之外的任意一个IP地址,仅用于区分两条IPsec连接隧道。
登录VPN网关控制台。
在顶部导航栏,选择目标项目“Project-01”和地域“华北2(北京)”。
单击列表中VPN网关名称“VPNGW-test”。
单击“路由信息”页签,在路由信息页签下,单击“添加路由条目”按钮。
参考下表配置路由。
参数 | 说明 | 取值样例 |
---|---|---|
目标网段 | 输入本地数据中心的私网网段。 | 10.1.0.0/16 |
下一跳类型 | 固定为“IPsec连接”。 | IPsec连接 |
下一跳 | 选择创建IPsec连接阶段创建的第一条IPsec连接。 | IPsecVPN-test-A |
单击“确定”按钮,完成VPNGW-test中本地数据中心路由条目的添加。
同样的方法添加如下路由。
参数 | 说明 | 取值样例 |
---|---|---|
目标网段 | 输入本地数据中心的私网网段。 | 10.2.0.0/16 |
下一跳类型 | 固定为“IPsec连接”。 | IPsec连接 |
下一跳 | 选择创建IPsec连接阶段创建的第二条IPsec连接。 | IPsecVPN-test-B |
说明
如果VPN网关所在VPC存在自定义路由表,且该自定义路由表关联的子网需要通过VPN连接访问对端本地数据中心,您还需要手动在该自定义路由表中添加一条目标网段为本地IDC网段,下一跳类型为“VPN网关”的路由条目,具体操作请参考添加路由条目。
说明
本文使用场景为对端无固定网关出口IP地址,无法从火山引擎侧发起连接,全部配置完成后需从本地数据中心发起协商请求。同样的,若后续已有IPsec连接出现断连后,仍需从本地数据中心发起协商请求。