在左側導航欄，選擇網間互聯 > VPN > IPsec連接。

在頂部菜單欄選擇IPsec連接的地域。

IPsec連接的地域需和VPN網關實例的地域相同。

在創建成功對話框中，單擊確定。

保持在IPsec連接頁面，找到創建的IPsec連接，在操作列單擊生成對端配置。

對端配置是指需要在IPsec連接對端添加的VPN配置。本文場景中您需要將這些配置添加在本地網關設備上。

在IPsec連接配置對話框，復制配置并保存在您的本地，用于后續配置本地網關設備。

根據保存在本地的IPsec連接對端配置，在本地網關設備中添加VPN配置。

1. 登錄本地網關設備的命令行配置界面。

2. 執行以下命令，配置ikev2 proposal和policy。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //配置加密算法，本示例為aes-cbc-128。
   integrity sha1                  //配置認證算法，本示例為sha1。
   group 2                         //配置DH分組，本示例為group2。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 執行以下命令，配置ikev2 keyring。

   //在本地網關設備1上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.3               //配置云上IPsec連接主隧道公網IP地址，本示例為47.XX.XX.3。
   pre-shared-key fddsFF123****     //配置預共享密鑰，本示例為fddsFF123****。
   exit
   !
   //在本地網關設備2上添加如下配置
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.169               //配置云上IPsec連接備隧道公網IP地址，本示例為47.XX.XX.169。
   pre-shared-key fddsFF456****     //配置預共享密鑰，本示例為fddsFF456****。
   exit
   !

4. 執行以下命令，配置ikev2 profile。

   //在本地網關設備1上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.3 255.255.255.255    //匹配云上IPsec連接主隧道公網IP地址，本示例為47.XX.XX.3。
   identity local address 211.XX.XX.36    //本地網關設備1的公網IP地址，本示例為211.XX.XX.36。
   authentication remote pre-share   //認證對端的方式為PSK（預共享密鑰的方式）。
   authentication local pre-share    //認證本端的方式為PSK。
   keyring local alicloud            //調用密鑰串。
   exit
   !
   //在本地網關設備2上添加如下配置
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.169 255.255.255.255    //匹配云上IPsec連接備隧道公網IP地址，本示例為47.XX.XX.169。
   identity local address 211.XX.XX.71    //本地網關設備2的公網IP地址，本示例為211.XX.XX.71。
   authentication remote pre-share   //認證對端的方式為PSK（預共享密鑰的方式）。
   authentication local pre-share    //認證本端的方式為PSK。
   keyring local alicloud            //調用密鑰串。
   exit
   !

5. 執行以下命令，配置transform。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 配置ACL（訪問控制列表），定義需要保護的數據流。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

7. 配置IPsec策略。

   //在本地網關設備1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100
   //在本地網關設備2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100

8. 執行以下命令，配置IPsec隧道。

   //在本地網關設備1上添加如下配置
   interface GigabitEthernet1                 //配置與云上IPsec連接建立VPN主隧道的接口IP地址。
   ip address 211.XX.XX.36 255.255.255.0
   crypto map ipsecpro64			//應用IPsec策略
   negotiation auto
   !
   //在本地網關設備2上添加如下配置
   interface GigabitEthernet1                 //配置與云上IPsec連接建立VPN備隧道的接口IP地址。
   ip address 211.XX.XX.71 255.255.255.0
   crypto map ipsecpro64		  //應用IPsec策略
   negotiation auto
   !

根據保存在本地的IPsec連接對端配置，在本地網關設備中添加VPN配置。

1. 登錄本地網關設備的命令行配置界面。

2. 配置isakmp策略。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   crypto isakmp policy 1 
   authentication pre-share 
   encryption aes
   hash sha 
   group  2
   lifetime 86400

3. 配置預共享密鑰。

   //在本地網關設備1上添加如下配置
   crypto isakmp key fddsFF123**** address 47.XX.XX.3
   //在本地網關設備2上添加如下配置
   crypto isakmp key fddsFF456**** address 47.XX.XX.169

4. 配置IPsec安全協議。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac 
   mode tunnel

5. 配置ACL（訪問控制列表），定義需要保護的數據流。

   //分別在本地網關設備1和本地網關設備2上添加如下配置
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

6. 配置IPsec策略。

   //在本地網關設備1上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set ipsecpro64
   set pfs group2
   match address 100
   //在本地網關設備2上添加如下配置
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set ipsecpro64
   set pfs group2
   match address 100

7. 應用IPsec策略。

   //分別在本地網關設備1上添加如下配置
   interface GigabitEthernet1    //在配置公網IP地址的接口下應用IPsec策略
   crypto map ipsecpro64
   //分別在本地網關設備2上添加如下配置
   interface GigabitEthernet1    //在配置公網IP地址的接口下應用IPsec策略
   crypto map ipsecpro64

在本地網關設備1和本地網關設備2中添加路由配置。

1. 在本地網關設備1和本地網關設備2中添加去往VPC的路由。

   //在本地網關設備1上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
   //在本地網關設備2上添加去往VPC的路由
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

2. 請根據您的實際網絡環境按需在本地數據中心添加路由配置，使本地數據中心去往VPC的流量優先通過本地網關設備1進行傳輸，在本地網關設備1故障后可以自動通過本地網關設備2進行傳輸。具體命令，請咨詢相關設備廠商。