选择待关联的VPN网关名称。

如果您使用国密型VPN网关，且VPN网关没有绑定相关证书，请先单击右侧“上传证书”完成上传证书操作，否则VPN连接将无法建立。

选择VPN网关IP。

VPN网关对接同一对端网关时，不能选择已使用过的EIP地址。

选择对端网关信息。

如果您使用国密型网关，且对端网关没有绑定CA证书，请先参见本指南“企业版对端网关管理 > 上传对端网关证书”上传CA证书，否则VPN连接将无法建立。

IPsec连接的模式，支持路由模式和策略模式。

• 静态路由模式。

  根椐路由配置（本端子网与对端子网）确定哪些数据进入IPsec VPN隧道。

  适用场景：对端网关之间要求互通。

• BGP路由模式。

  根据BGP动态路由确定哪些数据进入IPsec VPN隧道。

  适用场景：对端网关之间要求互通，互通子网数量多或变化频繁、与专线互备等组网场景。

• 策略模式。

  根椐策略规则（用户侧到VPC之间通信的数据流信息）确定哪些数据进入IPsec VPN隧道，支持以源网段和目的网段定义策略规则。

  适用场景：对端网关之间要求隔离。

指需要通过VPN连接访问云上VPC的用户侧子网。

若存在多个对端子网，请用半角逗号（,）隔开。

仅“连接模式”采用“静态路由模式”和“BGP路由模式”时需要配置。

• 手动分配。

  • 仅支持在169.254.x.x/30网段（除169.254.195.x/30）范围内，配置VPN网关本端接口地址的tunnel接口地址；对端网关对端接口地址的tunnel接口地址会根据本端接口地址随机生成。
    例如：本端接口地址配置为169.254.1.6/30，则对端接口地址自动配置为169.254.1.5/30。

• 自动分配。

  • VPN网关默认使用169.254.x.x/30网段对tunnel接口分配地址。

  • 自动分配的本端接口地址/对端接口地址，可以在VPN连接页面，单击“修改连接信息”进行查看。

仅“接口分配方式”采用“手动分配”时需要配置。

配置在VPN网关上的tunnel接口地址。

仅“接口分配方式”采用“手动分配”时需要配置。

配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。

仅“连接模式”采用“静态路由模式”时需要配置。

VPN网关和对端网关的预共享密钥需要保持一致。

取值范围：

• 取值长度：8~128个字符。

• 只能包括以下几种字符，且必须包含三种及以上类型：

  • 数字

  • 大写字母

  • 小写字母

  • 特殊符号：包括“~”、“!”、“@”、“#”、“$”、“%”、“^”、“(”、“)”、“-”、“_”、“+”、“=”、“{”、“}”、","、"."、"/"、“:”和“;”

再次输入预共享密钥。

仅“连接模式”采用“策略模式”时需要配置。

用于定义本端子网到对端子网之间具体进入VPN连接加密隧道的数据流信息，由源网段与目的网段来定义。系统默认支持配置5条策略规则。

• 源网段。
  源网段必须包含部分本端子网。其中，0.0.0.0/0表示任意地址。

• 目的网段。

  目的网段必须完全包含对端子网。一个策略规则最大支持5个目的网段，目的网段之间使用英文逗号（,）进行分隔。

• 默认配置。

• 自定义配置：自定义配置IKE策略和IPsec策略。

  相关配置说明请参见下表。

IKE密钥交换协议版本，支持的版本：

• v1（v1版本安全性较低，如果用户设备支持v2版本，建议选择v2）

  建立国密型VPN连接，IKE密钥交换协议版本只能为“v1”。

• v2

国密型VPN连接默认配置为：v1。

非国密型VPN连接默认配置为：v2。

仅“版本”采用“v1”时需要配置。

• Main。

  当使用国密型VPN网关创建VPN连接时，“协商模式”仅支持“Main”。

• Aggressive。

认证哈希算法，支持的算法：

• SHA1（此算法安全性较低，请慎用）。

• MD5（此算法安全性较低，请慎用）。

• SHA2-256。

• SHA2-384。

• SHA2-512。

• SM3。
  仅国密型VPN连接选择该认证算法，此时IKE密钥交换协议版本只能为“v1”。

国密型VPN连接默认配置为：SM3。

非国密型VPN连接默认配置为：SHA2-256。

加密算法，支持的算法：

• 3DES（此算法安全性较低，请慎用）。

• AES-128（此算法安全性较低，请慎用）。

• AES-192（此算法安全性较低，请慎用）。

• AES-256（此算法安全性较低，请慎用）。

• AES-256-GCM-16。

  选择该加密算法时，IKE密钥交换协议版本只能为“v2”。

• SM4。
  仅国密型VPN连接选择该加密算法，此时IKE密钥交换协议版本只能为“v1”。

国密型VPN连接默认配置为：SM4。

非国密型VPN连接默认配置为：AES-128。

支持的算法：

• Group 1（此算法安全性较低，请慎用）。

• Group 2（此算法安全性较低，请慎用）。

• Group 5（此算法安全性较低，请慎用）。

• Group 14（此算法安全性较低，请慎用）。

• Group 15。

• Group 16。

• Group 19。

• Group 20。

• Group 21。

默认配置为：Group 15。

安全联盟（Security Association，SA）的生存时间。

在超过生存时间后，安全联盟将被重新协商。

• 单位：秒。

• 取值范围：60~604800。

• 默认配置为：86400。

IPsec连接协商时，VPN网关的鉴权标识。在对端网关配置的VPN网关标识需要和此处配置的本端标识保持一致，否则协商失败。

• IP Address（默认）。
  系统自动读取VPN网关的EIP作为IP Address，无需用户手动配置。

• FQDN。
  全地址域名，支持自定义设置。长度范围是1~128个字符，只能由大小写字母、数字和特殊符号组成，不支持以下特殊字符：&、<、>、[、]、\、空格、？，区分大小写。

IPsec连接协商时，对端网关的鉴权标识。在对端网关配置的对端网关标识需要和此处配置的对端标识保持一致，否则协商失败。

• IP Address（默认）。
  系统自动读取对端网关的网关IP作为IP Address，无需用户手动配置。

• FQDN。
  全地址域名，支持自定义设置。长度范围是1~128个字符，只能由大小写字母、数字和特殊符号组成，不支持以下特殊字符：&、<、>、[、]、\、空格、？，区分大小写。

认证哈希算法，支持的算法：

• SHA1（此算法安全性较低，请慎用）

• MD5（此算法安全性较低，请慎用）

• SHA2-256

• SHA2-384

• SHA2-512

• SM3。
  仅国密型VPN连接选择该认证算法。

国密型VPN连接默认配置为：SM3。

非国密型VPN连接默认配置为：SHA2-256。

加密算法，支持的算法：

• 3DES（此算法安全性较低，请慎用）

• AES-128（此算法安全性较低，请慎用）

• AES-192（此算法安全性较低，请慎用）

• AES-256（此算法安全性较低，请慎用）

• AES-128-GCM-16

• AES-256-GCM-16。SM4。
  仅国密型VPN连接选择该加密算法。

国密型VPN连接默认配置为：SM4。

非国密型VPN连接默认配置为：AES-128。

PFS（Perfect Forward Secrecy）即完美前向安全功能，配置IPsec隧道协商时使用。

PFS组支持的算法：

• Disable（此算法安全性较低，请慎用）

• DH group 1（此算法安全性较低，请慎用）

• DH group 2（此算法安全性较低，请慎用）

• DH group 5（此算法安全性较低，请慎用）

• DH group 14（此算法安全性较低，请慎用）

• DH group 15

• DH group 16

• DH group 19

• DH group 20

• DH group 21

默认配置为：DH group 15。

IPsec传输和封装用户数据时使用的安全协议。目前支持的协议：

• ESP

默认配置为：ESP。

安全联盟（Security Association，SA）的生存时间。

在超过生存时间后，安全联盟将被重新协商。

• 单位：秒。

• 取值范围：30~604800。

• 默认配置：3600。