建立VPC到本地数据中心的连接

https://help.aliyun.com/document_detail/65072.html?spm=a2c4g.11186623.2.13.6a9f204ekV0G1d#concept-c4h-slz-wdb

本文介绍如何使用IPsec-VPN建立专有网络（VPC）到本地数据中心的VPN连接，从而实现本地数据中心与VPC的互通。

前提条件

开始前，请确保满足以下条件：

您已经注册了阿里云账号。如未注册，请先完成账号注册。
检查本地数据中心的网关设备。阿里云VPN网关支持标准的IKEv1和IKEv2协议。因此，只要支持这两种协议的设备都可以和云上VPN网关互连，例如华为、华三、山石、深信服、Cisco ASA、Juniper、SonicWall、Nokia、IBM 和 Ixia等。
本地数据中心的网关已经配置了静态公网IP。
本地数据中心的网段和VPC的网段不能重叠。

某公司在阿里云创建了VPC，网段为192.168.0.0/16。本地数据中心的网段为172.16.0.0/12，VPN设备的公网IP为211.xx.xx.68。因公司业务发展，需要本地数据中心与云上VPC互通。

如上图，您可以通过IPsec-VPN，建立本地数据中心与云上VPC的连接，实现云上和云下的互通。

完成以下操作，创建VPN网关。

登录专有网络管理控制台。
在左侧导航栏，单击VPN > VPN网关。
在VPN网关页面，单击创建VPN网关。
在购买页面，根据以下信息配置VPN网关，然后单击立即购买完成支付。
- 实例名称：输入VPN网关的实例名称。
- 地域：选择VPN网关的地域。
  
  说明确保VPC的地域和VPN网关的地域相同。
- VPC：选择要连接的VPC。
- 带宽规格：选择一个带宽规格。带宽规格是VPN网关所具备的公网带宽。
- IPsec-VPN：选择开启IPsec-VPN功能。
- SSL-VPN：选择是否开启SSL-VPN功能。SSL-VPN功能允许您从任何位置的单台计算机连接到专有网络。
- SSL连接数：选择您需要同时连接的客户端最大规格。
  
  说明本选项只有在选择开启了SSL-VPN功能后才可配置。
- 计费周期：选择购买时长。
返回VPN网关页面，查看创建的VPN网关。
刚创建好的VPN网关的状态是准备中，约两分钟左右会变成正常状态。正常状态表明VPN网关完成了初始化，可以正常使用了。

说明 VPN网关的创建一般需要1-5分钟。

完成以下操作，创建用户网关。

在左侧导航栏，单击VPN > 用户网关。
选择用户网关的地域。
在用户网关页面，单击创建用户网关。
在创建用户网关页面，根据以下信息配置用户网关，然后单击确定。
- 名称：输入用户网关的名称。
- IP地址：输入VPC要连接的本地数据中心网关设备的公网IP。
- 描述：输入用户网关的描述信息。

完成以下操作，创建IPsec连接。

完成以下操作，在本地网关设备中加载VPN配置。

在左侧导航栏，单击VPN > IPsec连接。
选择IPsec连接的地域。
在IPsec连接页面，找到目标IPsec连接，然后单击操作列下的下载对端配置。
根据本地网关设备的配置要求，将下载的配置添加到本地网关设备中。详细信息，请参见本地网关配置。
下载配置中的RemotSubnet和LocalSubnet与创建IPsec连接时的本端网段和对端网段是相反的。因为从阿里云VPN网关的角度看，对端是用户IDC的网段，本端是VPC网段；而从本地网关设备的角度看，LocalSubnet就是指本地IDC的网段，RemotSubnet则是指阿里云VPC的网段。

完成以下操作，配置VPN网关路由。

在左侧导航栏，单击VPN > VPN网关。
选择VPN网关的地域。
在VPN网关页面，找到目标VPN网关，单击实例ID/名称列下的实例ID。
在目的路由表页签，单击添加路由条目。
在添加路由条目页面，根据以下信息配置目的路由，然后单击确定。
- 目标网段：输入本地IDC侧的私网网段。
- 下一跳：选择IPsec连接实例。
- 发布到VPC：选择是否将新添加的路由发布到VPC路由表。本例选择是。
- 权重：选择权重值。本例选择100。

登录到阿里云VPC内一台无公网IP的ECS实例，并通过ping命令ping本地数据中心内一台服务器的私网IP地址，验证通信是否正常。