本文介紹如何使用IPsec-VPN在兩個專有網絡VPC（Virtual Private Cloud）之間建立安全連接，實現兩個VPC內的資源互訪。
場景示例
VPN網關不支持建立跨境連接。使用IPsec-VPN建立VPC和VPC之間的連接時，兩個VPC必須同屬于中國內地地域或者同屬于非中國內地地域。關于中國內地地域和非中國內地地域的說明，請參見中國內地地域和非中國內地地域。
在一個VPC屬于中國內地地域，另一個VPC屬于非中國內地地域的場景下，如果您需要在兩個VPC之間建立連接，您可以使用云企業網產品。更多信息，請參見什么是云企業網。
如果您要在跨地域的VPC之間建立IPsec-VPN連接，IPsec-VPN連接的網絡質量會受公網質量的影響，推薦您使用云企業網建立VPC到VPC的連接。具體操作，請參見使用云企業網實現跨地域跨賬號VPC互通（企業版）。
本文以下述場景為例。某企業在華東1（杭州）地域擁有一個VPC1，在華北1（青島）地域擁有一個VPC2。兩個VPC均已使用云服務器ECS（Elastic Compute Service）部署了業務，企業因后續發展，現在需要VPC1和VPC2中的業務可以互相訪問。
出于建設安全的網絡環境考慮，企業計劃使用VPN網關產品，通過在兩個VPC之間建立IPsec-VPN連接，對數據進行加密傳輸，實現資源的安全互訪。
前提條件
您已經在阿里云華東1（杭州）地域和華北1（青島）地域分別創建了VPC1和VPC2，兩個VPC中均使用ECS部署了相關業務。具體操作，請參見搭建IPv4專有網絡。
本示例VPC1和VPC2的配置如下表所示。
重要您可以自行規劃VPC實例的網段，請確保要互通的網段之間沒有重疊。
VPC實例名稱
VPC實例所屬地域
VPC實例的網段
VPC實例ID
ECS實例名稱
ECS實例的IP地址
VPC1
華東1（杭州）
192.168.0.0/16
vpc-bp1e0yx3nsosmitth****
ECS1
192.168.20.161
VPC2
華北1（青島）
10.0.0.0/16
vpc-m5e83sapxp88cgp5f****
ECS2
10.0.1.110
您已經了解兩個VPC中ECS實例所應用的安全組規則，并確保安全組規則允許兩個ECS實例互訪。具體操作，請參見查詢安全組規則和添加安全組規則。
配置流程
步驟一：創建VPN網關
登錄VPN網關管理控制臺。
在頂部菜單欄，選擇VPN網關實例所屬的地域。
本示例選擇華東1（杭州）。
說明VPN網關實例的地域和待關聯的VPC實例的地域需相同。
在VPN網關頁面，單擊創建VPN網關。
在購買頁面，根據以下信息配置VPN網關，然后單擊立即購買并完成支付。
配置項
說明
實例名稱
輸入VPN網關實例的名稱。本示例輸入VPN網關1。
地域和可用區
選擇VPN網關實例所屬的地域。本示例選擇華東1（杭州）。
網關類型
選擇VPN網關實例的類型。本示例選擇普通型。
網絡類型
選擇VPN網關實例的網絡類型。本示例選擇公網。
隧道
系統直接展示當前地域支持的IPsec-VPN連接的隧道模式。
VPC
選擇VPN網關實例關聯的VPC實例。本示例選擇VPC1。
虛擬交換機
從VPC實例中選擇一個交換機實例。
IPsec-VPN連接的隧道模式為單隧道時，您僅需要指定一個交換機實例。
IPsec-VPN連接的隧道模式為雙隧道時，您需要指定兩個交換機實例。
IPsec-VPN功能開啟后，系統會在兩個交換機實例下各創建一個彈性網卡ENI（Elastic Network Interfaces），作為使用IPsec-VPN連接與VPC流量互通的接口。每個ENI會占用交換機下的一個IP地址。
說明系統默認幫您選擇第一個交換機實例，您可以手動修改或者直接使用默認的交換機實例。
創建VPN網關實例后，不支持修改VPN網關實例關聯的交換機實例，您可以在VPN網關實例的詳情頁面查看VPN網關實例關聯的交換機、交換機所屬可用區以及交換機下ENI的信息。
虛擬交換機2
從VPC實例中選擇第二個交換機實例。
IPsec-VPN連接的隧道模式為單隧道時，無需配置該項。
帶寬規格
選擇VPN網關實例的公網帶寬峰值。單位：Mbps。
IPsec-VPN
選擇開啟或關閉IPsec-VPN功能。本示例選擇開啟。
SSL-VPN
選擇開啟或關閉SSL-VPN功能。本示例選擇關閉。
計費周期
選擇購買時長。
您可以選擇是否自動續費：
按月購買：自動續費周期為1個月。
按年購買：自動續費周期為1年。
服務關聯角色
單擊創建關聯角色，系統自動創建服務關聯角色AliyunServiceRoleForVpn。
VPN網關使用此角色來訪問其他云產品中的資源，更多信息，請參見AliyunServiceRoleForVpn。
若本配置項顯示為已創建，則表示您的賬號下已創建了該角色，無需重復創建。
更多信息，請參見創建VPN網關實例。
返回VPN網關頁面，查看已創建的VPN網關實例。
創建VPN網關實例后，其狀態是準備中，約1~5分鐘會變成正常狀態。正常狀態表明VPN網關實例已經完成了初始化，可以正常使用。
重復步驟2至步驟4，在華北1（青島）地域創建一個名稱為VPN網關2的VPN網關實例，該VPN網關實例關聯VPC2，其余配置與VPN網關1相同。
創建完成后，兩個VPN網關實例的信息如下表所示。
地域
VPN網關實例的名稱
VPN網關實例關聯的VPC實例名稱
VPN網關實例ID
VPN網關IP地址
華東1（杭州）
VPN網關1
VPC1
vpn-bp1l5zihic47jprwa****
120.XX.XX.40
華北1（青島）
VPN網關2
VPC2
vpn-m5eqjnr4ii6jajpms****
118.XX.XX.20
步驟二：創建用戶網關
在左側導航欄，選擇。
在頂部菜單欄，選擇用戶網關實例的地域。
說明用戶網關實例的地域必須和待連接的VPN網關實例的地域相同。
在用戶網關頁面，單擊創建用戶網關。
在創建用戶網關面板，根據以下信息配置用戶網關實例，然后單擊確定。
您需要在華東1（杭州）地域和華北1（青島）地域分別創建一個用戶網關實例，用戶網關實例的配置請參見下表。
配置項
配置項說明
華東1（杭州）
華北1（青島）
名稱
輸入用戶網關實例的名稱。
Customer1
Customer2
IP地址
輸入用戶網關實例的公網IP地址。
本示例輸入VPN網關2的IP地址118.XX.XX.20。
說明在本示例中VPC1和VPC2互為對方的用戶網關。
本示例輸入VPN網關1的IP地址120.XX.XX.40。
更多信息，請參見創建和管理用戶網關。
配置完成后，VPN網關實例、用戶網關實例與VPC實例之間的對應關系如下表所示。
地域
VPC實例名稱
VPN網關實例名稱
用戶網關實例名稱
用戶網關實例ID
用戶網關IP地址
華東1（杭州）
VPC1
VPN網關1
Customer1
cgw-bp1er5cw26c2b35vm****
118.XX.XX.20
華北1（青島）
VPC2
VPN網關2
Customer2
cgw-m5e6qdvuxquse3fvm****
120.XX.XX.40
步驟三：創建IPsec連接
VPN網關和用戶網關創建完成后，您需要分別創建兩個IPsec連接建立VPN加密通道。
在左側導航欄，選擇。
在頂部菜單欄，選擇IPsec連接的地域。
在IPsec連接頁面，單擊創建IPsec連接。
在創建IPsec連接頁面，根據以下信息配置IPsec連接，然后單擊確定。
您需要在華東1（杭州）地域和華北1（青島）地域分別創建一個IPsec連接，IPsec連接的配置請參見下表。
配置項
配置項說明
華東1（杭州）
華北1（青島）
名稱
輸入IPsec連接的名稱。
IPsec連接1
IPsec連接2
VPN網關
選擇已創建的VPN網關實例。
VPN網關1
VPN網關2
用戶網關
選擇已創建的用戶網關實例。
Customer1
Customer2
路由模式
選擇路由模式。
選擇目的路由模式。
選擇目的路由模式。
立即生效
選擇是否立即生效。
是：配置完成后立即進行協商。
否：當有流量進入時進行協商。
說明使用VPN網關在兩個VPC之間建立IPsec-VPN連接的場景下，推薦其中一個IPsec連接的立即生效配置為是，以便在配置完成后，兩個VPC之間可以立即開始IPsec協議的協商。
本示例選擇否。
本示例選擇是。
預共享密鑰
輸入預共享密鑰。
密鑰長度為1~100個字符，支持數字、大小寫英文字母及右側字符
~`!@#$%^&*()_-+={}[]\|;:',.<>/?。若您未指定預共享密鑰，系統會隨機生成一個16位的字符串作為預共享密鑰。創建IPsec連接后，您可以通過編輯按鈕查看系統生成的預共享密鑰。具體操作，請參見修改IPsec連接。
重要IPsec連接及其對端配置的預共享密鑰需一致，否則系統無法正常建立IPsec-VPN連接。
fddsFF123****
其他選項使用默認配置。更多信息，請參見創建和管理IPsec連接（單隧道模式）。
在創建成功對話框中，單擊確定。
步驟四：配置路由
在左側導航欄，選擇。
在頂部菜單欄，選擇VPN網關實例的地域。
在VPN網關頁面，找到目標VPN網關實例，單擊實例ID。
在目的路由表頁簽，單擊添加路由條目。
在添加路由條目面板，根據以下信息配置目的路由，然后單擊確定。
您需要分別為VPN網關1和VPN網關2配置路由條目，配置信息如下表所示。
配置項
配置說明
VPN網關1
VPN網關2
目標網段
輸入待互通的目標網段。
輸入VPC2的私網網段10.0.0.0/16。
輸入VPC1的私網網段192.168.0.0/16。
下一跳類型
選擇下一跳的類型。
選擇IPsec連接。
選擇IPsec連接。
下一跳
選擇下一跳。
選擇IPsec連接1。
選擇IPsec連接2。
發布到VPC
選擇是否將新添加的路由發布到VPN網關關聯的VPC中。
本示例選擇是。
本示例選擇是。
權重
選擇路由的權重值。
100：高優先級。
0：低優先級。
本示例保持默認值100。
本示例保持默認值100。
更多信息，請參見添加目的路由。
步驟五：測試連通性
登錄VPC1內的ECS1實例。
關于如何登錄ECS實例，請參見連接方式概述。
執行ping命令，訪問ECS2實例，驗證兩個VPC之間的資源是否可以互訪。
ping <ECS2實例IP地址>收到如下所示的回復報文，則證明兩個VPC之間的資源可以正常互訪。
