多網段互通配置建議及常見問題
更新時間 2023-09-14 10:02:35
最近更新時間: 2023-09-14 10:02:35
分享文章
本文介紹多網段互通配置建議及相關問題。
多網段配置建議
- 由于天翼云側IPsec連接IKE配置階段以及IPsec配置階段的加密算法、認證算法、DH算法均僅支持指定一個值，因此您在對端網關設備上添加VPN配置時，IKE配置階段以及IPsec配置階段的加密算法、認證算法、DH算法（PFS）也都只能指定一個值，且需和天翼云側相同。
- 如果天翼云側IPsec連接開啟了DPD功能，則對端網關設備需支持標準的DPD功能。
- 天翼云側IPsec連接和對端網關設備配置的生存周期需相同。
多網段配置方案推薦
某公司希望將本地數據中心和天翼云VPC通過IPsec VPN連接實現多網段互通：天翼云VPC下的多個網段為10.1.1.0/24和10.1.2.0/24，本地數據中心下的多個網段為192.168.1.0/24和192.168.2.0/24，拓撲圖如下：
推薦配置方案如下：
| 方案 | 適用的IKE版本 | 方案說明 | 方案優勢或限制 | 配置示例 |
|---|---|---|---|---|
| 方案一（推薦） | IKEv1/IKEv2 | 本地數據中心和VPC之間建議使用一個IPsec VPN連接進行通信，天翼云側IPsec連接使用“目的路由”的路由模式，用戶側的網關設備配置源網段為0.0.0.0/0、目的網段為0.0.0.0/0的感興趣流，然后通過在VPN網關和本地數據中心配置靜態路由控制流量轉發。 | 方案優勢：后續如果新增或刪除待互通的網段，僅需調整路由的配置，無須修改IPsec VPN連接的配置。在您新增或刪除待互通的網段時，IPsec VPN連接不會中斷，對其余路由的流量也不會產生影響。 | 方案一配置實例 |
| 方案二（次選） | IKEv1/ IKEv2 | 本地數據中心和VPC之間建議使用一個IPsec VPN連接進行通信，將本地數據中心側和VPC側待互通的網段分別聚合為1個網段，然后為IPsec連接和對端網關設備配置聚合網段。 | 方案限制：后續如果新增或刪除網段，您可能需要重新指定聚合網段，然后重新對天翼云側及其用戶側網關設備進行配置，此操作會導致IPsec VPN連接重新協商，造成短暫的流量中斷。 | 方案二配置實例 |
| 方案三 | IKEv1/ IKEv2 | 本地數據中心和VPC之間建議使用一個IPsec VPN連接進行通信，IPsec連接及其對端網關設備下配置多個本端網段或對端網段實現多網段互通。 | 方案限制：后續如果有新增或刪除的網段，您需要重新為IPsec連接及其對端網關設備配置感興趣流網段，此操作會導致IPsec VPN連接重新協商，造成短暫的流量中斷。一個IPsec連接支持添加的本端網段的數量最多為5個、支持添加的對端網段的數量最多也是5個。 | 方案三配置實例 |
方案一配置示例
- 在天翼云側配置IPsec連接時，IPsec連接的路由模式使用“目的路由”模式。具體操作，請參見用戶指南?>創建IPsec連接。
- 在VPN網關實例下添加路由配置時，推薦使用“目的路由”，并添加相關路由配置。具體操作，請參見用戶指南?>使用目的路由。
- 在本地網關設備上添加源網段為0.0.0.0/0、目的網段為0.0.0.0/0的感興趣流。具體命令，請咨詢本地網關設備所屬廠商。
方案二配置示例
- 在天翼云側配置IPsec連接時，IPsec連接的路由模式使用感興趣流模式，IPsec連接本端網段配置為VPC下的聚合網段10.1.0.0/16，對端網段配置為本地數據中心下的聚合網段192.168.0.0/16。具體操作，請參見用戶指南?>創建IPsec連接。
- IPsec連接的路由模式為感興趣流模式時，系統會自動創建相關的轉發策略，并將其發布給VPC默認路由表。該轉發策略對用戶不可見，用戶不需要額外去創建目的路由或者是策略路由。
方案三配置示例
- 在天翼云側配置IPsec連接時，IPsec連接的路由模式使用感興趣流模式，IPsec連接本端網段配置為VPC下的2個網段10.1.1.0/24和10.1.2.0/24，對端網段配置為本地數據中心下的2個網段192.168.1.0/24和192.168.2.0/24。具體操作，請參見用戶指南?>創建IPsec連接。
- IPsec連接的路由模式為感興趣流模式時，系統會自動創建相關的轉發策略，并將其發布給VPC默認路由表。該轉發策略對用戶不可見，用戶不需要額外去創建目的路由或者是策略路由。
