操作步骤

前提条件

云侧
- 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。
- 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。
- 请确认企业路由器ER已经创建完成。如何创建企业路由器ER，请参见企业路由器ER相关资料。
数据中心侧
- 用户数据中心的VPN设备已经完成IPsec连接相关配置。相关操作步骤请参见管理员指南。

操作步骤

本示例以BGP路由模式进行配置讲解，需要在云侧和数据中心之间共创建4条VPN连接。。

登录管理控制台。
选择“网络 > 虚拟专用网络VPN”。

配置VPN网关。

选择“虚拟专用网络 > 企业版-VPN网关”，单击“创建站点入云VPN网关”。

根据界面提示配置参数。

VPN网关1参数说明如表 VPN网关1参数说明所示。

表1 VPN网关1参数说明
参数	说明	取值参数
名称	VPN网关的名称。	vpngw-001
网络类型	选择“公网”。	公网
关联模式	选择“企业路由器”。	企业路由器
企业路由器	选择待接入企业路由器。	er-001
接入虚拟私有云	仅选择“企业路由器”时需要配置。	vpc-001(192.168.0.0/24)
接入子网	用于VPN网关1和VPC通信，请确保选择的接入子网存在4个及以上可分配的IP地址。	192.168.2.0/24
BGP ASN	BGP自治系统编号。	64512
HA模式	选择“双活”。	双活
主EIP	VPN网关和用户数据中心通信的公网IP1。	1.1.1.2
主EIP2	VPN网关和用户数据中心通信的公网IP2。	2.2.2.2

参见上述步骤，配置VPN网关2的参数（192.168.3.0/24）。

此处仅名称、接入子网、主EIP和主EIP2的配置参数与VPN网关1不同，未提及参数建议和VPN网关1的配置保持一致。

表2 VPN网关2参数说明
参数	说明	取值参数
名称	VPN网关的名称。	vpngw-002
接入子网	用于VPN网关2和VPC通信，请确保选择的接入子网存在4个及以上可分配的IP地址。	192.168.3.0/24
主EIP	VPN网关和用户数据中心通信的公网IP1。	3.3.3.3
主EIP2	VPN网关和用户数据中心通信的公网IP2。	4.4.4.4

配置对端网关。

选择“虚拟专用网络 > 企业版-对端网关”，单击“创建对端网关”。

根据界面提示配置参数。

对端网关参数1说明如对端网关1参数说明所示。

表3 对端网关1参数说明
参数	说明	取值参数
名称	对端网关的名称。	cgw-fw1
标识	对端网关1和华为云VPN网关通信的IP地址。请确认数据中心的对端网关已经放通UDP端口4500。	1.1.1.1
BGP ASN	BGP自治系统编号。	65000

参见上述步骤，配置对端网关2的参数（2.2.2.1）。

此处仅名称和网关IP的配置参数与对端网关1不同，未提及参数建议和对端网关1的配置保持一致。

表4 对端网关2参数说明
参数	说明	取值参数
名称	对端网关的名称。	cgw-fw2
标识	对端网关2和华为云VPN网关通信的IP地址。请确认数据中心的对端网关已经放通UDP端口4500。	2.2.2.1

配置云侧VPN网关1和数据中心的VPN连接。

选择“虚拟专用网络 > 企业版-VPN连接”，单击“创建VPN连接”。

配置第一组VPN连接参数，单击“立即购买”。

VPN连接参数说明如表5所示。

表5 第一组VPN连接参数说明
参数	说明	取值参数
名称	VPN连接的名称。	vpn-001
VPN网关	选择VPN网关1。	vpngw-001
连接1网关IP	选择VPN网关1的主EIP。	1.1.1.2
连接1对端网关	选择连接1对端网关。	1.1.1.1
连接2网关IP	选择VPN网关1的主EIP2。	2.2.2.2
连接2对端网关	选择连接2对端网关。	1.1.1.1
连接模式	选择“BGP路由模式”。	BGP路由模式
对端子网	用户数据中心中需要和华为云VPC通信的子网。对端子网与本端子网可以重叠，不能重合；对端子网不能被本网关关联的VPC内已有子网所包含。部分网段是VPC预留网段，不能作为对端子网，例如：100.64.0.0/10，214.0.0.0/8。	172.16.0.0/16
连接1配置	配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、检测机制、预共享密钥、确认密钥和策略配置。	请根据实际设置
接口地址分配方式	手动分配本示例以“手动分配”为例。自动分配	手动分配
本端隧道接口地址	配置在VPN网关上的tunnel接口地址。	169.254.70.1/30
对端隧道接口地址	配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。	169.254.70.2/30
检测机制	用于多链路场景下路由可靠性检测，通过ICMP报文检测实现；使能NQA，您的对端设备需要允许ICMP响应请求。	勾选“使能NQA”
预共享密钥、确认密钥	和对端网关的预共享密钥需要保持一致。	Test@123
策略配置	和对端网关的策略配置需要保持一致。	保持默认
连接2配置	选择是否“与连接1保持一致”。说明：当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。	关闭
本端隧道接口地址	VPN网关的Tunnel隧道IP地址。	169.254.72.1/30
对端隧道接口地址	对端网关的Tunnel隧道IP地址。	169.254.72.2/30

配置第二组VPN连接参数。

此处仅名称、对端网关、本端隧道接口地址和对端隧道接口地址的配置参数与第一组VPN连接不同，未提及参数建议和第一组VPN连接配置保持一致。

表6 第二组VPN连接参数说明
参数	说明	取值参数
名称	VPN连接的名称。	vpn-002
连接1网关IP	选择VPN网关1的主EIP。	1.1.1.2
连接1对端网关	选择连接1对端网关。	2.2.2.1
连接2网关IP	选择VPN网关1的主EIP2。	2.2.2.2
连接2对端网关	选择连接2对端网关。	2.2.2.1
连接1配置	配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、检测机制、预共享密钥、确认密钥和策略配置。	请根据实际设置
本端隧道接口地址	VPN网关的Tunnel隧道接口IP地址。	169.254.71.1/30
对端隧道接口地址	对端网关的Tunnel隧道接口IP地址。	169.254.71.2/30
连接2配置	选择是否“与连接1保持一致”。说明：当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。	关闭
本端隧道接口地址	VPN网关的Tunnel隧道IP地址。	169.254.73.1/30
对端隧道接口地址	对端网关的Tunnel隧道IP地址。	169.254.73.2/30