本文为您介绍云下数据中心网关的出口IP为非固定IP（有多个IP需要上云并且IP都不固定）场景下，VPN连接的配置方法。
背景信息
现某企业有两个分部（A分部和B分部）都需要访问总部的云上资源，但由于自身网络限制两个分部本地网关的出口IP均为非固定的静态公网IP，又考虑成本问题希望企业本地数据中心使用VPN连接实现上云，因此本文为您介绍这种特殊的非固定出口IP场景下，如何配置VPN连接实现网络互通。
针对该企业的现状，有如下两种方案可以实现，本文仅介绍方案二的相关配置，方案一操作请参考搭建云上VPC与云下数据中心互通（单个非固定出口IP场景）。
- 方案一：配置一条用户网关为
0.0.0.0的IPsec连接，实现两个分部访问VPC，但若两个分部同时发起连接，会发生先发起的连接被后发起的连接抢占，导致先发起的连接断连。 - 方案二：配置两条用户网关为
0.0.0.0的IPsec连接，分别实现两个分部访问VPC，两条IPsec连接仅Remote ID（VPC侧）配置不同，其他配置均一致。两条IPsec连接互不干扰，两个分部可同时访问云上VPC资源。注意
此方案中第二条IPSec连接的第一阶段认证算法、加密算法、DH算法需要和第一条IPSec连接配置相同。
前提条件
- 已在火山引擎上创建私有网络（名称为：VPC1）及其子网，具体操作可参考创建私有网络。
- 已合理规划网段，并确保本地数据中心A、本地数据中心B的待上云部分的网段均与VPC1的私网网段无重叠。
相关信息
已获取的信息如下图所示，VPC1及其子网以及云服务器为已创建的云资源，VPN网关、用户网关为下文操作需要创建的资源。
说明
用户端网关出口IP为非固定出口IP场景与用户端网关具备静态公网IP场景下VPN连接的配置流程一致，但在创建用户网关、创建IPsec连接阶段参数配置存在差异，需重点关注。
操作步骤
步骤一：创建VPN网关
登录VPN网关控制台。
在顶部导航栏，选择目标项目“Project-01”和地域“华北2（北京）”
单击“创建VPN网关”按钮。
参考下表，配置VPN网关参数。
参数 说明 取值样例 基本信息 计费类型 VPN网关的计费类型。 包年包月 地域 选择VPN网关所在的地域，需与VPC1的地域保持一致。 华北2(北京) 名称 VPN网关的名称。 VPNGW-test 网络配置 带宽规格
设置VPN网关的带宽上限。
此带宽是后续基于该VPN网关，创建的所有IPsec VPN连接和SSL VPN连接的共享带宽值。20Mbps
私有网络 VPN网关所在的私有网络。 VPC1|192.168.1.0/24 子网 选择VPN网关所在的子网。子网中需预留足够的IPv4地址用于部署VPN网关。 子网1|192.168.1.128/25 BGP ASN
设置VPN网关的ASN（Autonomous System Number）。仅在IPsec连接使用动态路由传播模式时，需要配置VPN网关BGP ASN，本操作演示使用静态路由传播模式，无需配置VPN网关BGP ASN。
说明
VPN连接动态路由传播功能为邀测功能，仅开通后可使用，如需试用请联系客户经理。
--
功能配置 IPsec连接能力 是否开启IPsec连接能力，开启后可使用IPsec VPN功能，可同时开启SSL连接能力。 开启 SSL连接能力 是否开启SSL连接能力，开启后可使用SSL VPN功能，可同时开启IPsec连接能力。 不开启 更多信息 购买时长 购买VPN网关的时长。 1个月 自动续费 是否勾选启用自动续费。 不勾选 项目 资源所属项目，固定为进入创建页面前选择的项目Project-01。不同项目间，云资源不可共享。 Project-01 配置完成后，单击“确认订单”按钮，并请根据控制台指引查阅并确认相关协议。
单击“立即购买”按钮进行支付，完成购买。
VPN网关VPNGW-test创建成功后，系统分配的网关出口IP为180.XX.XX.43。
步骤二：创建用户网关
- 登录用户网关控制台。
- 在顶部导航栏，选择目标项目“Project-01”和地域“华北2（北京）”
- 单击“创建用户网关”按钮。
- 参考下表配置用户网关。
参数 说明 取值样例 地域 选择用户网关所在的地域，需与VPC1和VPN网关VPNGW-test的地域保持一致。 华北2(北京) 名称 设置用户网关的名称。 CGW-test IP地址 输入对端VPN网关的静态公网IP地址，即网关出口IP地址。本文使用场景对端无固定网关出口IP地址，因此需配置为 0.0.0.0。0.0.0.0 BGP ASN 设置用户网关的ASN（Autonomous System Number）。仅在IPsec连接使用动态路由传播模式时，需要配置用户网关BGP ASN，本操作演示使用静态路由传播模式，无需配置用户网关BGP ASN。 -- 项目 用户网关所属项目，固定为进入创建页面前选择的项目Project-01。 Project-01 - 配置完成后，单击“确定”按钮。
步骤三：创建IPsec连接
创建第一条IPsec连接
登录IPsec连接控制台。
在顶部导航栏，选择目标项目“Project-01”和地域“华北2（北京）”。
单击“创建IPsec连接”按钮。
参考下表配置IPsec连接。
- 基本信息
参数说明取值样例
地域 选择IPsec连接所在的地域。 华北2（北京） 名称 IPsec连接的名称。 IPsecVPN-test-A 项目 资源所属项目，固定为进入创建页面前选择的项目Project-01。 Project-01
- 绑定资源
参数说明取值样例
绑定资源类型 选择新创建IPsec连接绑定的资源类型。 VPN网关 VPN网关 选择上文创建VPN网关阶段创建的VPN网关。 VPNGW-test
连接信息
参数说明取值样例路由模式 选择路由的模式。 目的路由 立即发起协商 IPsec连接配置完成后是否立即生效。本文使用场景为对端无固定网关出口IP地址，因此火山引擎侧无法主动发起协商，此处默认为“否”且不可修改。 否 路由传播模式 选择路由的传播模式。 静态路由 用户网关 选择上文创建用户网关阶段创建的用户网关。 CGW-test 预共享密钥 填写用于双方VPN设备IKE协商的密钥。
该信息非常重要，请您妥善保存。test@00000 确认密钥 请再次输入预共享密钥。 test@00000 高级配置
说明
此处仅体现需特别配置的参数，其他未体现参数保持默认值。
参数说明取值样例IKE配置 版本 IKE密钥交换协议版本。本文使用场景为对端无固定网关出口IP地址，此处仅可使用“ikev1”。 ikev1 协商模式 选择IKE认证的协商模式。本文使用场景为对端无固定网关出口IP地址，此处仅可使用“aggressive”。 aggressive Remote ID IPsec连接对端的标识，用于第一阶段的协商。 10.XX.XX.1
- 基本信息
配置完成后，单击“创建”按钮。
创建第二条IPsec连接
参考上述创建第一条IPsec连接中步骤1～步骤5，用同样的方法创建第二条IPsec连接，除IPsec连接名称、Remote ID外，其他参数配置均与第一条IPsec连接配置相同，此处不再赘述。
注意
第二条IPSec连接的第一阶段IKE配置中的认证算法、加密算法、DH算法必须与第一条IPSec连接配置相同。
参数 | 说明 | 取值样例 | |
|---|---|---|---|
| 名称 | IPsec连接的名称。 | IPsecVPN-test-B | |
| IKE配置 | Remote ID | IPsec连接对端的标识，用于第一阶段的协商。 | 10.XX.XX.2 |
说明
此处Remote ID10.XX.XX.2可以为除第一条的Remote ID10.XX.XX.1之外的任意一个IP地址，仅用于区分两条IPsec连接隧道。
步骤四：配置VPN网关路由
登录VPN网关控制台。
在顶部导航栏，选择目标项目“Project-01”和地域“华北2（北京）”。
单击列表中VPN网关名称“VPNGW-test”。
单击“路由信息”页签，在路由信息页签下，单击“添加路由条目”按钮。
参考下表配置路由。
参数 说明 取值样例 目标网段 输入本地数据中心的私网网段。 10.1.0.0/16 下一跳类型 固定为“IPsec连接”。 IPsec连接 下一跳 选择创建IPsec连接阶段创建的第一条IPsec连接。 IPsecVPN-test-A 单击“确定”按钮，完成VPNGW-test中本地数据中心路由条目的添加。
同样的方法添加如下路由。
参数 说明 取值样例 目标网段 输入本地数据中心的私网网段。 10.2.0.0/16 下一跳类型 固定为“IPsec连接”。 IPsec连接 下一跳 选择创建IPsec连接阶段创建的第二条IPsec连接。 IPsecVPN-test-B
说明
如果VPN网关所在VPC存在自定义路由表，且该自定义路由表关联的子网需要通过VPN连接访问对端本地数据中心，您还需要手动在该自定义路由表中添加一条目标网段为本地IDC网段，下一跳类型为“VPN网关”的路由条目，具体操作请参考添加路由条目。
步骤五：配置本地路由并发起连接
- 分别下载IPsecVPN-test-A、IPsecVPN-test-B的配置文件。
- 登录IPsec连接控制台，选择“华北2（北京）”地域、“Project-01”项目下的IPsec连接。
- 在IPsec连接列表中，勾选创建IPsec连接创建的IPsec连接。
- 单击“下载IPsec配置”按钮。
- 单击“下载”按钮。
- 配置本地网关路由。
分别在本地数据中心A、本地数据中心B，根据下载的IPsecVPN-test-A、IPsecVPN-test-B的配置文件进行本地网关路由的配置，确保两端IPsec配置相同，详细配置参考请参见本地网关路由。 - 分别从本地数据中心A、本地数据中心B发起连接。
- 同时发起连接：两条IPsec连接均成功连接。
- 前后发起连接：两条IPsec连接均成功连接。
说明
本文使用场景为对端无固定网关出口IP地址，无法从火山引擎侧发起连接，全部配置完成后需从本地数据中心发起协商请求。同样的，若后续已有IPsec连接出现断连后，仍需从本地数据中心发起协商请求。