本文介绍通过IPsec VPN连接功能,以动态路由模式在云上VPC与多个本地数据中心(IDC)之间建立IPsec通信隧道实现通信,构建灵活的混合云部署方案。
说明
VPN连接动态路由传播功能为邀测功能,仅开通后可使用,如需试用请联系客户经理。
说明
若同一地域下的两个IDC与云上VPC构建VPN连接,操作与本文相同。
已获取的信息如下图所示,VPC1及其子网以及ECS云服务器、GPU云服务器为已创建的云资源,VPN网关、用户网关为下文操作需要创建的资源。
登录VPN网关控制台。
在顶部导航栏,选择目标项目“Project-02”和地域“华北2(北京)”。
单击“创建VPN网关”按钮。
参考下表,配置VPN网关参数。
参数 | 说明 | 取值样例 |
---|---|---|
基本信息 | ||
计费类型 | VPN网关的计费类型。 | 包年包月 |
地域 | 选择VPN网关所在的地域,需与VPC1的地域保持一致。 | 华北2(北京) |
名称 | VPN网关的名称。 | VPNGW-test |
网络配置 | ||
带宽规格 | 设置VPN网关的带宽上限。 此带宽是后续基于该VPN网关,创建的所有IPsec VPN连接和SSL VPN连接的共享带宽值。 | 20Mbps |
私有网络 | VPN网关所在的私有网络。 | VPC1|192.168.1.0/24 |
子网 | 选择VPN网关所在的子网。 | Subnet1|192.168.1.128/25 |
BGP ASN | 设置VPN网关的ASN(Autonomous System Number)。
| 65000 |
功能配置 | ||
IPsec连接能力 | 是否开启IPsec连接能力,开启后可使用IPsec VPN功能,可同时开启SSL连接能力。 | 开启 |
SSL连接能力 | 是否开启SSL连接能力,开启后可使用SSL VPN功能,可同时开启IPsec连接能力。 | 不开启 |
更多信息 | ||
购买时长 | 购买VPN网关的时长。 | 1个月 |
自动续费 | 是否开启自动续费。 | 关闭 |
项目 | 资源所属项目,固定为进入创建页面前选择的项目Project-02。不同项目间,云资源不可共享。 | Project-02 |
配置完成后,单击“确认订单”按钮,并请根据控制台指引查阅并确认相关协议。
单击“立即购买”按钮进行支付,完成购买。
VPN网关VPNGW-test创建成功后,系统分配的网关出口IP为180.XX.XX.91。
登录用户网关控制台。
在顶部导航栏,选择目标项目“Project-02”和地域“华北2(北京)”。
单击“创建用户网关”按钮。
参考下表配置用户网关,完成后单击“确定”按钮。
参数 | 说明 | 取值样例 |
---|---|---|
地域 | 选择用户网关所在的地域,需与VPC1和VPN网关VPNGW-test的地域保持一致。 | 华北2(北京) |
名称 | 设置用户网关的名称。 | CGW-01 |
IP地址 | 输入对端VPN网关的网关出口IP地址。 | 27.XX.XX.42 |
BGP ASN | 设置用户网关的ASN(Autonomous System Number)。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN,本操作演示使用静态路由传播模式,无需配置用户网关BGP ASN。
| 64001 |
项目 | 用户网关所属项目,固定为进入创建页面前选择的项目Project-02。 | Project-02 |
参考步骤2~步骤4,创建另一个用户网关CGW-02,地域选择华北2(北京),IP地址设置为22.XX.XX.8,BGP ASN设置为64002。
登录IPsec连接控制台。
在顶部导航栏,选择目标项目“Project-02”和地域“华北2(北京)”。
单击“创建IPsec连接”按钮。
参考下表配置IPsec连接,完成后单击“创建”按钮。
基本信息
参数 | 说明 | 取值样例 |
---|---|---|
地域 | 选择IPsec连接所在的地域。 | 华北2(北京) |
名称 | IPsec连接的名称。 | IPsecVPN-01 |
项目 | 资源所属项目,固定为进入创建页面前选择的项目Project-02。 | Project-02 |
参数 | 说明 | 取值样例 |
---|---|---|
绑定资源类型 | 选择新创建IPsec连接绑定的资源类型。
| VPN网关 |
VPN网关 | 选择VPC1下创建的VPN网关VPNGW-test。 | VPNGW-test |
连接信息
参数 | 说明 | 取值样例 |
---|---|---|
路由模式 | 选择路由的模式。 | 目的路由 |
立即发起协商 | IPsec连接配置完成后是否立即生效。 | 是 |
路由传播模式 | 选择路由的传播模式。 | 动态路由 |
用户网关 | 选择用户网关CGW-01。 | CGW-01 |
隧道网段 | 本端隧道IP和对端隧道IP所在网段。隧道网段必须同时满足以下3个要求:
| 169.254.1.0/30 |
本端隧道IP | 本端隧道IP是配置在VPN网关上的BGP地址。 | 169.254.1.1 |
对端隧道IP | 对端隧道IP是配置在用户设备上的BGP地址。 | 169.254.1.2 |
预共享密钥 | 填写用于双方VPN设备IKE协商的密钥。 该信息非常重要,请您妥善保存。 | test@123 |
确认密钥 | 请再次输入预共享密钥。 | test@123 |
重复步骤2 ~ 步骤4,创建IPsecVPN-02,其中连接信息参数如下,其他信息配置与IPsecVPN-02保持一致。
参数 | 说明 | 取值样例 |
---|---|---|
用户网关 | 选择用户网关CGW-02。 | CGW-02 |
隧道网段 | 本端隧道IP和对端隧道IP所在网段。 | 169.254.2.0/30 |
本端隧道IP | 本端隧道IP是配置在VPN网关上的BGP地址。 | 169.254.2.1 |
对端隧道IP | 对端隧道IP是配置在用户设备上的BGP地址。 | 169.254.2.2 |
IPsec配置完成后,您可下载IPsec连接配置,并分别在IDC1和IDC2的网关设备中添加VPN配置。不同设备操作的方式略有不同,本文介绍的IDC1和IDC2都使用深信服防火墙,具体操作请参考配置深信服防火墙。
待VPN配置添加完成,IPsec连接建立成功后,VPC1与IDC1和IDC2之间会自动通过BGP路由协议传播路由。此时本地IDC1和本地IDC2可通过IPsec连接隧道,访问VPC1中的云服务器。