介紹

對云用戶而言，在上云、用云、管云過程中持續維持良好的云上架構變得極具挑戰，而通過產品和技術構建阿里云和企業分支上云網絡往往是企業上云的第一步。

本文檔主要目的在IPsec-VPN構建分支上云網絡場景，給用戶分享阿里云上的架構設計最佳實踐總結為一系列的方法論和設計原則，圍繞穩定、安全、性能、彈性、可觀測 、自服務等方面，形成阿里云卓越架構框架，以幫助云用戶可以通過IPsec-VPN構建分支上云網絡。

基本概念

VPN 網關：VPN網關（VPN Gateway）是一款提供網絡連接服務的產品，通過建立加密隧道的方式實現企業本地數據中心、企業辦公網絡、互聯網客戶端與阿里云之間安全可靠的網絡連接。

IPsec-VPN：主要用于企業分支機構的上云場景。IPsec VPN是一種傳統的VPN類型，在網絡層提供安全的IP通信。通過使用IPsec協議，它能夠對每個數據包進行加密和身份驗證，從而確保數據傳輸的安全性和完整性。IPsec-VPN通常用于站點對站點或遠程訪問VPN，需要在用戶的設備或網絡網關上進行配置。

SSL-VPN：主要用于企業用戶移動客戶端的上云場景。SSL VPN則通過安全套接層（SSL）或較新的傳輸層安全性（TLS）協議在會話層提供安全的連接，與IPsec-VPN不同，SSL-VPN不需要客戶端軟件，用戶可以通過任何標準的Web瀏覽器安全地訪問網絡資源，因為SSL是大多數現代Web瀏覽器所支持的。SSL-VPN更靈活，易于實施，尤其適合提供遠程用戶對特定應用或服務的安全訪問。目前阿里云支持Windows、Linux、Mac、Android等多操作系統客戶端。

云企業網：云企業網CEN（Cloud Enterprise Network）是運行在阿里云私有全球網絡上的一張高可用網絡。云企業網通過轉發路由器TR（Transit Router）幫助您在跨地域專有網絡之間，專有網絡與本地數據中心間搭建私網通信通道，為您打造一張靈活、可靠、大規模的企業級云上網絡。

在用戶創建IPsec-VPN的過程中，依據IPsec連接綁定的資源不同，實現網絡連接的方式也不相同，如下圖所示：

綁定VPN網關實例：VPN網關實例是直接連接到用戶的云上VPC，可以通過連接的VPC與其他網絡互通

綁定轉發路由器TR實例：IPsec連接綁定TR是直接連接到轉發路由器TR，可以通過連接的TR與其他網絡互通

綁定VPN網關實例和綁定TR實例功能對比

穩定

• 設備級別高可用：IPsec-VPN底層采用雙機熱備架構，故障時秒級切換，保證會話不中斷，業務不受影響。

• 鏈路級別高可用：目前所有VPN網關默認支持雙隧道模式，鏈路故障時支持秒級切換。IPsec連接綁定TR可以使用多個連接提供ECMP高可用鏈路。

• 用戶級別高可用：用戶本地網關設備可以通過多個設備提供高可用，故障時可以提供用戶側的設備高可用性切換

• VPN配合上云專線實現高可用：除了IPsec-VPN產品本身的穩定性和高可用性方面的設計，IPsec-VPN還可以搭配上云專提供更佳穩定性的架構設計。在路由配置上，本地IDC網關設備與VPN網關之間可以配置靜態路由或BGP動態路由協議互聯，但本地IDC網關設備與邊界路由器VBR之間必須要通過BGP動態路由協議互聯。

安全合規

使用網絡密鑰交換IKE和IP層協議安全結構IPsec協議對傳輸數據進行加密，保證數據安全可信。

• IKE版本的選擇：

  • 如果使用的VPN類型為國密型，則IKE版本僅支持IKEv1；如果使用的VPN類型為標準型，則IKE版本支持IKEv1和IKEv2

  • 相對于IKEv1版本，IKEv2版本簡化了SA的協商過程并且對于多網段的場景提供了更好的支持，推薦選擇IKEv2版本（默認值）

• 加密算法：

  • 如果使用的是普通型VPN網關，則加密算法支持aes（aes128，默認值）、aes192、aes256、des和3des。

  • 如果使用的是國密型VPN網關，則加密算法支持sm4（默認值）。

    說明

    如果VPN網關實例的帶寬規格為200 Mbps及以上，推薦使用aes、aes192、aes256加密算法，不推薦使用3des加密算法。aes是一種對稱密鑰加密算法，提供高強度的加密和解密，在保證數據安全傳輸的同時對網絡延遲、吞吐量、轉發性能影響較小；3des是三重數據加密算法，加密時間較長且算法復雜度較高，運算量較大，相比aes會降低轉發性能。

• 認證算法：

  • 如果使用的是普通型VPN網關，則認證算法支持sha1（默認值）、md5、sha256、sha384和sha512。

  • 如果使用的是國密型VPN網關，則認證算法支持sm3（默認值）。

• 合規性：阿里云VPN網關在中國相關政策法規內提供服務，僅支持建立非跨境連接，不支持建立跨境連接。涉及到跨境場景，建議結合云企業網CEN跨境專線搭配使用。

高效性能

• 提供大帶寬能力：單個IPsec連接最大支持的帶寬規格為1000 Mbps，如果需要擴大IPsec-VPN連接的帶寬，可以通過部署多個IPsec連接TR來實現，IDC和VPN網關之間通過多個IPsec-VPN連接傳輸流量。

• 提供高pps能力：在高pps場景下，單個IPsec連接每秒最多支持傳輸的數據包數量12萬pps（256字節）

彈性

功能開通即用，配置實時生效，實現快速部署，并且IPsec連接綁定TR使用，還支持多根IPsec-VPN來提供良好的彈性帶寬擴容能力。

可觀測

結合阿里云云監控服務和NIS產品，用戶可以查看VPN網關實例和IPsec連接的監控信息，并可以為VPN網關實例創建閾值報警規則，監控VPN網關實例的流量傳輸情況，以便在流量傳輸異常時及時收到報警通知

自服務

• 診斷與排查

VPN網關提供多種診斷工具和相關文檔幫助用戶排查VPN網關相關問題

VPN網關支持查看IPsec-VPN連接和SSL-VPN連接日志、支持查看IPsec-VPN連接錯誤碼，VPN網關接入網絡智能服務NIS后支持VPN網關實例診斷、路徑分析功能，這些功能均可以幫助您排查VPN網關相關問題。

診斷工具及文檔說明：

通過VPN網關連接到DMZ VPC方式（主備隧道）

• 場景描述：當有企業分支、企業員工客戶端想私網訪問云上資源或者相互之間要互通時，可以使用VPN網關方式接入，并且多個業務VPC可以通過DMZ VPC的VPN網關實現加密鏈路上云

• DMZ VPC設計要點：DMZ VPC內創建VPN網關，用VPN網關連接分支；DMZ VPC連接到TR后可以和本地域和其他地域的VPC、VBR、VPN互通

• VPN網關設計要點

  • 網關類型：根據需要選擇普通型還是國密型，創建網關實例后無法修改，慎重選擇

  • 隧道模式：建議選擇雙隧道（主備隧道、雙可用區雙交換機），可以實現雙公網IP和雙可用區容災

  • 接入服務：

    • 如果接入分支（網絡），則需開啟IPsecVPN功能、并配置IPsec隧道

    • 如果接入非IOS客戶端，則需開啟SSLVPN功能、并配置SSL-VPN服務端

    • 如果接入iOS客戶端，則需開啟SSLVPN功能、并配置IPsec服務端

通過IPsec隧道連接到TR方式（多ECMP鏈路）

• 場景描述：當有企業分支想私網訪問云上資源或者相互之間要互通時，可以使用IPsec隧道連接TR方式接入。TR支持同時綁定多個IPsec連接。IDC可以通過多條IPsec-VPN鏈路與VPC互通，多個IPsec-VPN鏈路之間可以實現流量的負載分擔，從而提供大帶寬的私網上云連接能力

• 多IPsec形成ECMP鏈路設計要點：

  • 阿里云：配置多個IPsec連接并連接到TR，TR路由表出接口到多個IPsec連接形成ECMP，既能做IPsec多可用區容災、又能擴容IPsec隧道容量（單隧道1Gbps*隧道數量）

  • 分支側：建議用多臺設備各建一個隧道，分支網絡選擇多個設備作為路由下一跳形成ECMP，既能做多設備（多隧道）容災、又能擴容IPsec隧道容量（單隧道1Gbps*隧道數量）。

    說明

    也可用1臺設備建立多隧道，但此時這臺網關設備可能存在單點故障風險。

通過私網VPN網關實現物理專線加密通信

• 場景描述：考慮到專線流量本身沒有加密機制，在IDC已通過物理專線與VPC建立私網連接的基礎上，可以通過IPsec-VPN和VPN網關實現物理專線私網流量加密通信，提高私網互通的安全性。

• 私網流量加密通信：在本地數據中心IDC通過物理專線和云企業網與云上專有網絡VPC實現私網通信后，私網VPN網關可通過已建立的私網連接與本地網關設備建立加密通信通道。可以通過相關路由配置引導本地IDC和VPC要互通的流量進入加密通信通道，實現私網流量加密通信。

• 路由配置設計要點：根據VBR實例和VPN網關運行的協議不同，可支持三種路由配置方式：VBR實例和VPN網關均配置靜態路由、VBR實例配置靜態路由VPN網關運行BGP動態路由協議、VBR實例和VPN網關均運行BGP動態路由協議。