本教程為您介紹智能接入網關SAG（Smart Access Gateway）如何作為物理專線的備份鏈路將您的本地網絡接入阿里云，構建高可用的混合云環境。
前提條件
您已經在阿里云北京地域創建了專有網絡VPC（Virtual Private Cloud）。具體操作，請參見創建和管理專有網絡。
您已經創建了云企業網實例，且云企業網實例已經加載了北京地域VPC。具體操作，請參見創建云企業網實例。
您已經將專線接入到北京地域的本地網絡中并創建了邊界路由器VBR（Virtual Border Router）實例。具體操作，請參見創建和管理獨享專線連接或共享專線連接概述。
背景信息
本教程以下圖所示的網絡架構為例進行說明。某企業已經在阿里云北京地域的VPC中部署了應用服務，并且已經通過專線接入了本地網絡中。為創建一個高可用網絡實現本地網絡和云上資源互通，該企業計劃使用智能接入網關作為專線的備份鏈路將北京地域的本地網絡接入阿里云。
智能接入網關采用SAG-1000型號設備并采用旁掛模式將本地網絡接入阿里云，無需改變本地網絡的現有架構。
本地網絡、智能接入網關和邊界路由器實例之間均通過BGP路由協議進行路由學習傳遞，方便網絡管理和運維。
智能接入網關同時關聯云連接網實例和邊界路由器實例，并加入到同一個云企業網實例中，通過云企業網和云上VPC互通。
本教程中的網絡流量流向說明如下：
在智能接入網關同時關聯云連接網和邊界路由器的情況下，云企業網默認專線優先。云企業網會優先通過專線學習發布路由，專線故障時，則通過云連接網學習發布路由，即上云流量和去往云下的流量優先通過專線進行傳輸，在專線故障時，流量則會通過云連接網進行傳輸。
網段規劃
以下為本教程網段規劃示例值。請您根據實際業務情況規劃網段，并確保各個網段地址不沖突。
項目 | 網段規劃 |
本地網絡 | 私網網段：172.16.0.0/12 |
| |
出口路由器G1端口：192.168.80.1/30 | |
智能接入網關 | WAN口（端口5）：192.168.100.1/30，網關192.168.100.2 |
BGP路由協議：
| |
邊界路由器 |
|
北京VPC | 云上網段：10.0.0.0/16 |
配置流程
步驟一：購買智能接入網關設備
在智能接入網關控制臺購買智能接入網關設備后，阿里云會將智能接入網關設備寄送給您，并創建一個智能接入網關實例方便您管理設備。
- 登錄智能接入網關管理控制臺。
在左側導航欄，單擊智能接入網關。
在智能接入網關頁面，單擊。
- 在智能接入網關頁面，根據以下信息配置智能接入網關設備，然后單擊立即購買。
- 區域：智能接入網關設備使用區域。本示例選擇中國內地。
- 實例類型：選擇智能接入網關設備規格。本示例選擇SAG-1000。
- 已有SAG硬件：選擇是否已有智能接入網關硬件設備。本示例選擇否。
- 版本：智能接入網關設備版本。本示例使用默認標準版。
- 購買數量：智能接入網關設備購買數量。本示例選擇1。
- 區域：智能接入網關設備使用的帶寬區域。該區域類型和智能接入網關設備使用區域保持一致，且無法修改。
- 實例名稱：智能接入網關實例名稱。
名稱長度為2~128個字符，以大小寫字母或中文開頭，可包含數字、半角句號（.）、短劃線（-）和下劃線（_）。
- 帶寬峰值：選擇通信網絡的帶寬峰值。本示例選擇50 Mbps。
- 購買時長：選擇購買時長。
- 確認訂單信息并勾選服務協議，然后單擊確認購買。
- 在彈出的收貨地址對話框，填寫網關設備的收貨地址，然后單擊立即購買。
在彈出的支付頁面，選擇支付方式，然后完成支付。
- 您可以在智能接入網關實例頁面查看是否下單成功。智能接入網關設備會在下單后兩個工作日內發貨。您可以根據以下操作步驟查看物流狀態。
- 在智能接入網關頁面，找到目標智能接入網關實例。
- 在操作列選擇
>查看物流信息。 - 在訂單查詢面板查看物流信息。
步驟二：激活連接智能接入網關設備
收到智能接入網關設備后，請檢查設備配件是否完整。關于設備配件信息，請參見SAG-1000設備說明。
設備檢查完成后，您需要激活連接設備。
- 登錄智能接入網關管理控制臺。
- 在頂部菜單欄，選擇目標區域。
- 在智能接入網關頁面，找到目標實例。將設備與智能接入網關實例進行綁定。具體操作，請參見添加設備。
- 綁定后，返回到智能接入網關頁面。在目標實例操作列下，單擊
> 激活。 - 在激活對話框，單擊確定。
- 激活設備后，您還需要將智能接入網關設備按照拓撲所示接入到本地機構中。通過網線，將智能接入網關設備的WAN口連接到三層交換機的G11端口上。本示例使用WAN口（端口5）。如果您的端口5不是WAN口，您可以修改端口角色。具體操作，請參見分配端口角色。說明
- 僅SAG-1000型號設備的2.0版本支持端口角色分配功能。
- 在您分配端口角色前，請保持網關設備啟動且4G信號正常，已經連接到阿里云。
步驟三：配置智能接入網關設備
連接好設備后，您需要在智能接入網關管理控制臺對設備進行配置。
在執行此操作前，請保持設備啟動且4G信號正常，已經連接到阿里云。
登錄智能接入網關管理控制臺。
WAN口配置。
登錄智能接入網關管理控制臺。
在頂部菜單欄，選擇目標區域。
在智能接入網關頁面，單擊目標網關實例ID鏈接。
在智能接入網關實例詳情頁面，單擊設備管理頁簽。
在頁簽左側區域，單擊WAN口管理。
在WAN（端口5）區域，單擊編輯。
在WAN（端口5）配置對話框，根據以下信息配置端口，然后單擊確定。
連接類型：選擇靜態IP。
IP地址：WAN口IP地址。本場景輸入192.168.100.1。
掩碼：WAN口IP地址掩碼。本場景輸入255.255.255.252。
網關：網關IP地址。本場景輸入192.168.100.2。
說明配置網關后，智能接入網關設備會生成一條默認路由。
配置BGP路由協議。
說明軟件版本為1.0系列版本的SAG-1000設備沒有單獨的用于接入專線的端口，請勿在智能接入網關Web管理控制臺配置BGP路由時將端口的對端AS配置為高速通道的AS號（對端AS代表用于接入專線的端口的接口屬性），如果您進行了配置，那么您的智能接入網關設備將不會通過云企業網學習到VPC實例路由。
在頁簽左側區域，單擊路由管理。
在BGP協議配置區域，單擊編輯。
在配置BGP路由協議對話框，根據網絡規劃，配置BGP路由協議，然后單擊確定。
本端AS：本示例輸入65435。
Router ID：本示例輸入192.168.2.2。
Hold Time：本示例輸入180秒。
Keep Alive：本示例輸入60秒。
啟用BGP路由協議并為WAN口啟用BGP。
在動態路由配置詳情區域，單擊啟用BGP協議。
在切換路由協議對話框，單擊確定。
在展示的端口頁面，選擇目標端口5（WAN），單擊操作列的編輯。
在BGP動態路由配置修改對話框，選擇啟用BGP，并配置對端IP和對端AS，然后單擊確定。
對端IP和對端AS為WAN口連接的對端交換機的BGP AS號以及G11端口IP地址。
對端AS：本示例為65430。
對端IP：本示例為192.168.100.2。
配置線下路由同步方式。
在智能接入網關實例詳情頁面，單擊網絡配置頁簽。
在頁簽左側區域，單擊線下路由同步方式。
選擇靜態路由，然后單擊添加靜態路由，然后單擊確定。
靜態路由添加為本地網絡要和云上互通的網段：172.16.0.0/12。
步驟四：配置邊界路由器
您需要在高速通道控制臺配置邊界路由器實例 ，建立和三層交換機的BGP鄰居關系。
配置BGP組。
登錄高速通道管理控制臺。
在頂部菜單欄，選擇目標地域。
在左側導航欄，單擊邊界路由器（VBR）。
在邊界路由器（VBR）頁面，單擊目標邊界路由器實例ID鏈接。
在邊界路由器實例詳情頁面，單擊BGP組頁簽。
在BGP組頁簽下，單擊創建BGP組，并根據以下信息進行BGP組配置。
名稱：BGP組的名稱。本示例輸入test。
Peer AS號：三層交換機側AS號。本示例輸入65430。
BGP密鑰：該BGP組的密鑰。本示例不配置該項。
描述：BGP組的描述信息。本示例輸入SAGtest。
單擊確定。
配置BGP鄰居。
在邊界路由器實例詳情頁面，單擊BGP鄰居頁簽。
在BGP鄰居頁簽下，單擊創建BGP鄰居。
在創建BGP鄰居面板，配置BGP鄰居信息，然后單擊確定。
BGP組：要加入的BGP組。本示例選擇剛剛創建的BGP組。
BGP鄰居IP：BGP鄰居的IP地址。本示例輸入三層交換機G12端口IP地址192.168.110.1。
步驟五：配置交換機和路由器
您還需要為智能接入網關設備對端的三層交換機和出口路由器添加路由配置，此處以某品牌交換機和路由器為例，由于不同廠商交換機和路由器配置不同，詳情請參考廠商設備手冊。
三層交換機的路由配置。
interface GigabitEthernet 0/11 no switchport ip address 192.168.100.2 255.255.255.252 #智能接入網關對端交換機的端口IP interface GigabitEthernet 0/12 no switchport ip address 192.168.110.1 255.255.255.252 #邊界路由器對端交換機的端口IP router bgp 65430 bgp router-id 192.168.1.1 network 172.16.0.0 mask 255.240.0.0 #宣告本地網絡私網網段 neighbor 192.168.100.1 remote-as 65435 #和智能接入網關建立鄰居關系 neighbor 192.168.100.1 timers 60 180 #配置BGP路由協議的Keep Alive和Hold Time neighbor 192.168.110.2 remote-as 45104 #和邊界路由器建立鄰居關系 exit重要宣告本地網絡的私網網段時您僅需要宣告本地網絡中需要與云上VPC互通的私網網段即可。請做好專線路由宣告控制，勿將云上VPC實例路由、其他SAG實例路由、其他VBR實例路由等宣告上云，否則可能會導致環路。
出口路由器的路由配置。
ip route 192.168.100.0 255.255.255.252 192.168.80.2 #出口路由器去往智能接入網關的路由
步驟六：配置云上網絡連接
在配置好設備后，您需要配置云上網絡連接，將本地網絡接入阿里云。
創建云連接網。
登錄智能接入網關管理控制臺。
在頂部菜單欄，選擇中國內地區域。
云連接網區域需和智能接入網關設備使用區域保持一致。
在左側導航欄，單擊云連接網。
在云連接網頁面，單擊創建云連接網。
在創建云連接網面板，配置云連接網名稱，然后單擊確定。
綁定云連接網。
在左側導航欄，單擊智能接入網關。
在智能接入網關頁面，單擊目標實例操作列的網絡配置。
在頁簽左側區域，單擊綁定網絡詳情。
在綁定網絡詳情頁簽下，單擊添加網絡，選擇綁定云連接網并選擇剛剛創建的云連接網實例，然后單擊確定。
請重復同樣的步驟，將已經創建的邊界路由器實例綁定到智能接入網關實例中。詳情請參見綁定網絡實例。
在智能接入網關同時綁定云連接網實例和邊界路由器實例的情況下，本地網絡優先通過專線和云上進行互通。專線故障時，本地網絡則會通過云連接網和云上進行互通，即通過Internet加密接入阿里云。
將創建的云連接網實例和邊界路由器實例添加到云企業網實例中。詳情請參見加載網絡實例。
配置安全組規則。
您需要為VPC中的云服務器（ECS）實例配置安全組規則，允許本地網絡的私網網段172.16.0.0/12訪問ECS中的資源。詳情請參見添加安全組規則。
步驟七：在云企業網中添加路由策略
在云企業網中添加路由策略，以確保云連接網實例在通過云企業網學習到VPC實例路由的同時也可以通過VBR實例學習到VPC實例的路由。
在本文的場景中，云連接網通過VBR實例學習到VPC實例的路由后，云連接網實例不會向智能接入網關設備傳播VPC實例的路由，確保本地數據中心和VPC之間優先通過物理專線進行互通。在物理專線故障后，云連接網實例將無法再通過VBR實例學習到VPC實例的路由，會自動將VPC實例的路由（通過云企業網學習到的）傳播給智能接入網關設備，本地數據中心和VPC之間將通過智能接入網關設備進行互通。
- 登錄云企業網管理控制臺。
在云企業網實例頁面，單擊目標云企業網關實例ID。
在基本信息頁簽下的轉發路由器頁簽，單擊目標云連接網實例連接的轉發路由器ID。
在轉發路由器實例詳情頁面，單擊轉發路由器路由表頁簽。
在轉發路由器路由表頁簽，單擊路由策略頁簽。
在路由策略頁簽，單擊添加路由策略。
在添加路由策略頁面，根據以下參數信息進行配置，然后單擊確定。
參數
說明
策略優先級
輸入策略優先級。
描述
輸入策略描述信息。
地域
默認為中國內地云連接網且無法修改。
生效方向
選擇出地域網關。
匹配條件
選擇網絡類型。選擇源實例類型。
然后選擇VBR。
策略行為
選擇允許。
步驟八：驗證測試
配置完成后，您在三層交換機上關閉您的專線端口，查看三層交換機中去往云上VPC的路由是否進行了切換。專線故障的情況下，去往云上VPC路由的下一跳將會指向智能接入網關。路由查看命令請參見您的廠商設備手冊。
您可以通過本地網絡的客戶端訪問已連接的VPC中部署的云資源測試網絡連通性。