多网段互通配置建议及常见问题 本文介绍多网段互通配置建议及相关问题。 多网段配置建议 由于天翼云侧IPsec连接IKE配置阶段以及IPsec配置阶段的加密算法、认证算法、DH算法均仅支持指定一个值,因此您在对端网关设备上添加VPN配置时,IKE配置阶段以及IPsec配置阶段的加密算法、认证算法、DH算法(PFS)也都只能指定一个值,且需和天翼云侧相同。 如果天翼云侧IPsec连接开启了DPD功能,则对端网关设备需支持标准的DPD功能。 天翼云侧IPsec连接和对端网关设备配置的生存周期需相同。 多网段配置方案推荐 某公司希望将本地数据中心和天翼云VPC通过IPsec VPN连接实现多网段互通:天翼云VPC下的多个网段为10.1.1.0/24和10.1.2.0/24,本地数据中心下的多个网段为192.168.1.0/24和192.168.2.0/24,拓扑图如下: 推荐配置方案如下: 方案 适用的IKE版本 方案说明 方案优势或限制 配置示例 方案一(推荐) IKEv1/IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信,天翼云侧IPsec连接使用“目的路由”的路由模式,用户侧的网关设备配置源网段为0.0.0.0/0、目的网段为0.0.0.0/0的感兴趣流,然后通过在VPN网关和本地数据中心配置静态路由控制流量转发。 方案优势:后续如果新增或删除待互通的网段,仅需调整路由的配置,无须修改IPsec VPN连接的配置。在您新增或删除待互通的网段时,IPsec VPN连接不会中断,对其余路由的流量也不会产生影响。 方案一配置实例 方案二(次选) IKEv1/ IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信,将本地数据中心侧和VPC侧待互通的网段分别聚合为1个网段,然后为IPsec连接和对端网关设备配置聚合网段。 方案限制:后续如果新增或删除网段,您可能需要重新指定聚合网段,然后重新对天翼云侧及其用户侧网关设备进行配置,此操作会导致IPsec VPN连接重新协商,造成短暂的流量中断。 方案二配置实例 方案三 IKEv1/ IKEv2 本地数据中心和VPC之间建议使用一个IPsec VPN连接进行通信,IPsec连接及其对端网关设备下配置多个本端网段或对端网段实现多网段互通。 方案限制:后续如果有新增或删除的网段,您需要重新为IPsec连接及其对端网关设备配置感兴趣流网段,此操作会导致IPsec VPN连接重新协商,造成短暂的流量中断。一个IPsec连接支持添加的本端网段的数量最多为5个、支持添加的对端网段的数量最多也是5个。 方案三配置实例