基于VPN和云连接使用VPN hub功能实现云下多个数据中心互通

操作场景

用户在华为云的多个区域购买了VPC，同时用户存在多地数据中心，每个数据中心都通过VPN连接了云上的VPC网络。本任务指导用户通过同区域和跨区域的云连接，将多个数据中心网络连接起来，打通用户数据中心网络，使得云上云下各个数据中心的网络可以相互访问。

前提条件

1. 前置资源
   • 用户在华为云上多个区域内购买了VPC，且某个区域中存在多个VPC。
   • 每个区域都通过VPN和不同的用户数据中心连接。
   • 云上VPC和用户的数据中心的子网不冲突，ECS服务正常。
2. 连接拓扑
   图1 VPN hub连接拓扑
   
3. 配置思路：
   1. 通过云连接将VPC1、VPC2和VPC3进行连接，并配置云连接路由，实际网络配置需要购买带宽包。
   2. 分别创建IDC1-VPC1、IDC2-VPC2、IDC3-VPC3的VPN网络。
   3. 更新每一段VPN的本地子网和远端子网。
4. 局点配置说明

   表1 配置说明

   节点	标识	VPN本端网关	VPN本地子网	VPN远端网关	VPN远端子网	CC网络实例
   IDC1	VPN A	1.1.1.1	192.168.11.0/24	2.2.2.2	192.168.22.0/24 192.168.33.0/24 192.168.44.0/24 192.168.55.0/24 192.168.66.0/24	-
   VPC1		2.2.2.2	192.168.22.0/24 192.168.33.0/24 192.168.44.0/24 192.168.55.0/24 192.168.66.0/24	1.1.1.1	192.168.11.0/24	192.168.22.0/24 192.168.11.0/24
   IDC2	VPN B	4.4.4.4	192.168.44.0/24	3.3.3.3	192.168.11.0/24 192.168.22.0/24 192.168.33.0/24 192.168.55.0/24 192.168.66.0/24	-
   VPC2		3.3.3.3	192.168.11.0/24 192.168.22.0/24 192.168.33.0/24 192.168.55.0/24 192.168.66.0/24	4.4.4.4	192.168.44.0/24	192.168.33.0/24 192.168.44.0/24
   IDC3	VPN C	5.5.5.5	192.168.55.0/24	3.3.3.3	192.168.11.0/24 192.168.22.0/24 192.168.33.0/24 192.168.44.0/24 192.168.66.0/24	-
   VPC3		6.6.6.6	192.168.11.0/24 192.168.22.0/24 192.168.33.0/24 192.168.44.0/24 192.168.66.0/24	5.5.5.5	192.168.55.0/24	192.168.55.0/24 192.168.66.0/24

   

   • 云连接网络实例可在任一局点配置，通过查看路由信息验证网络实例配置。
   • 用户侧VPN网关IP与VPC互为镜像，VPN连接创建的资源信息与华为云一致。

配置步骤

1. 创建云连接
   1. 登录控制台，选择VPC所在的区域，然后在服务列表中选择网络下的“云连接”，根据图2输入相关创建信息后，单击“确定”创建云连接。
      图2 创建云连接
      
   2. 选择已创建的云连接，单击名称添加网络实例。
      图3 加载网络实例
      
      在新页签中选择“加载网络实例”，添加云连接所连接的VPC网络，VPC子网可直接进行选择，通过VPN连接的客户网络需要手动添加在自定义网段中，然后单击“确定”。

      图4 加载网络实例
      

      另一侧VPC2配置信息和VPC1的相同，请不要忘记添加VPN连接的客户网络，如果忘记添加可通过选择云连接中的VPC，然后单击右侧“更新VPC CIDRs”进行添加。

      图5 更新VPC CIDRs
      

      云连接配置完成后， 网络实例连接示意图如下所示。

      图6 更新VPC CIDRs
      

      通过查看路由信息验证路由配置

      图7 验证路由配置
      

2. 更新VPN网络配置

   修改思路：

   用户侧：本端子网不变，远端子网添加VPC2的子网。

   VPC侧：本端子网添加VPC2的子网，远端子网不变。

   1. 选择华为云端的虚拟专线网络配置，在已创建的VPN连接中修改本端子网配置。
      图8 创建对等连接
      
   2. 更改本端子网类型为网段，添加云连接所连接的VPC1的网络实例和本端VPC子网，远端网络信息不变

      VPC1的VPN连接信息配置如下图所示。

      图9 修改VPN连接
      

      VPC2的VPN连接信息配置如下图所示。

      图10 修改VPN连接
      

配置验证

本环境中在用户数据中心、VPC1、VPC2中分别存在三台ECS，IP地址分别为192.168.1.151、192.168.11.84和192.168.22.170的三台主机，初始情况下ECS1（192.168.1.151）可以和ECS2（192.168.11.84）互联互通（通过VPN访问），ECS3（192.168.22.170）无法和其它主机互通，在建立VPC-peering后，ECS3可以和ECS2互通，但无法和ECS1互通。

经过步骤2的配置调整后，可以实现ECS1、ECS2和ECS3之间互联互通，结果验证如下。

• IDC1

  ECS1访问VPN连接VPC1子网下的ECS2：结果OK。

  

  ECS1访问VPC2子网下的ECS3：结果OK。

  

• IDC2

  ECS1访问VPN连接VPC1子网下的ECS2：结果OK。

  

  ECS1访问VPC2子网下的ECS3：结果OK。

  

• 华为云端VPC1

  VPC1子网下的ECS2访问用户数据中心子网下的ECS1：结果OK

  

  VPC1子网下的ECS2访问VPC2子网下的ECS3：结果OK

  

• 华为云端VPC2

  VPC2子网下的ECS3访问VPC1子网下的ECS2：结果OK。

  

  VPC2子网下的ECS3访问用户数据中心子网下的ECS1：结果OK。