本文介绍通过IPsec VPN连接功能，以静态路由模式在云上VPC与多个本地数据中心（IDC）之间建立IPsec通信隧道实现通信，构建灵活的混合云部署方案。
前提条件
已创建VPC1及其子网，具体操作可参考创建私有网络。
本地IDC1和本地IDC2的网关均具备静态公网IP地址。
本地IDC1和本地IDC2网段无重叠，并且均与VPC1的私网网段无重叠。
相关信息
说明
若同一地域下的两个IDC与云上VPC构建VPN连接，操作与本文相同。
已获取的信息如下图所示，VPC1及其子网以及ECS云服务器、GPU云服务器为已创建的云资源，VPN网关、用户网关为下文操作需要创建的资源。
操作步骤
创建VPN网关
登录VPN网关控制台。
在顶部导航栏，选择目标项目“Project-02”和地域“华北2（北京）”。
单击“创建VPN网关”按钮。
参考下表，配置VPN网关参数。
参数说明取值样例基本信息 计费类型 VPN网关的计费类型。 包年包月 地域 选择VPN网关所在的地域，需与VPC1的地域保持一致。 华北2(北京) 名称 VPN网关的名称。 VPNGW-test 网络配置 带宽规格 设置VPN网关的带宽上限。
此带宽是后续基于该VPN网关，创建的所有IPsec VPN连接和SSL VPN连接的共享带宽值。20Mbps 私有网络 VPN网关所在的私有网络。 VPC1|192.168.1.0/24 子网 选择VPN网关所在的子网。子网中需预留足够的IPv4地址用于部署VPN网关。 Subnet1|192.168.1.128/25 BGP ASN
设置VPN网关的ASN（Autonomous System Number）。仅在IPsec连接使用动态路由传播模式，需要配置VPN网关BGP ASN，本操作演示使用静态路由传播模式，无需配置VPN网关BGP ASN。
说明
VPN连接动态路由传播功能为邀测功能，仅开通后可使用，如需试用请联系客户经理。
--
功能配置 IPsec连接能力 是否开启IPsec连接能力，开启后可使用IPsec VPN功能，可同时开启SSL连接能力。 开启 SSL连接能力 是否开启SSL连接能力，开启后可使用SSL VPN功能，可同时开启IPsec连接能力。 不开启 更多信息 购买时长 购买VPN网关的时长。 1个月 自动续费 是否开启自动续费。 关闭 项目 资源所属项目，固定为进入创建页面前选择的项目Project-02。不同项目间，云资源不可共享。 Project-02 配置完成后，单击“确认订单”按钮，并请根据控制台指引查阅并确认相关协议。
单击“立即购买”按钮进行支付，完成购买。
VPN网关VPNGW-test创建成功后，系统分配的网关出口IP为180.XX.XX.91。
创建用户网关
登录用户网关控制台。
在顶部导航栏，选择目标项目“Project-02”和地域“华北2（北京）”。
单击“创建用户网关”按钮。
参考下表配置用户网关，完成后单击“确定”按钮。
参数说明取值样例地域 选择用户网关所在的地域，需与VPC1和VPN网关VPNGW-test的地域保持一致。 华北2(北京) 名称 设置用户网关的名称。 CGW-01 IP地址 输入对端VPN网关的静态公网IP地址，即网关出口IP地址。 27.XX.XX.42 BGP ASN 设置用户网关的ASN（Autonomous System Number）。仅IPsec连接使用动态路由传播模式需要配置用户网关BGP ASN，本操作演示使用静态路由传播模式，无需配置用户网关BGP ASN。 -- 项目 用户网关所属项目，固定为进入创建页面前选择的项目Project-02。 Project-02 参考步骤2～步骤4，创建另一个用户网关CGW-02，地域选择华北2（北京），IP地址设置为22.XX.XX.8。
创建IPsec连接
登录IPsec连接控制台。
在顶部导航栏，选择目标项目“Project-02”和地域“华北2（北京）”。
单击“创建IPsec连接”按钮。
参考下表配置IPsec连接，完成后单击“创建”按钮。
基本信息
参数说明取值样例地域 选择IPsec连接所在的地域。 华北2（北京） 名称 IPsec连接的名称。 IPsecVPN-01 项目 资源所属项目，固定为进入创建页面前选择的项目Project-02。 Project-02
- 绑定资源
参数说明取值样例
绑定资源类型
选择新创建IPsec连接绑定的资源类型。
- VPN网关：IPsec连接绑定VPN网关。
- 中转路由器：IPsec连接绑定中转路由器。
- 稍后绑定到中转路由器：IPsec连接暂不绑定资源，后续可单独绑定中转路由器。
VPN网关
VPN网关 选择VPC1下创建的VPN网关VPNGW-test。 VPNGW-test
连接信息
参数说明取值样例路由模式 选择路由的模式。 目的路由 立即发起协商 IPsec连接配置完成后是否立即生效。 是 路由传播模式 选择路由的传播模式。 静态路由 用户网关 选择用户网关CGW-01。 CGW-01 预共享密钥 填写用于双方VPN设备IKE协商的密钥。
该信息非常重要，请您妥善保存。test@123 确认密钥 请再次输入预共享密钥。 test@123
重复步骤2 ～ 步骤4，创建IPsecVPN-02，地域选择华北2（北京），VPN网关选择VPNGW-test，预共享密钥设置为test@321。
配置VPN网关路由
登录VPN网关控制台。
在顶部导航栏，选择目标项目“Project-02”和地域“华北2（北京）”。
单击列表中VPN网关名称“VPNGW-test”，进入详情页面。
单击“路由信息”页签，在路由信息页签下，单击“添加路由条目”按钮。
参考下表配置路由。
参数说明取值样例目标网段 输入本地IDC1的私网网段。 192.168.2.0/24 下一跳类型 固定为“IPsec连接”。 IPsec连接 下一跳 选择IPsecVPN-01。 IPsecVPN-01 单击“确定”按钮，完成VPNGW-test中本地IDC1路由条目的添加。
再次单击“添加路由条目”按钮，参考下表配置路由。
参数说明取值样例目标网段 输入本地IDC2的私网网段。 192.168.3.0/24 下一跳类型 固定为“IPsec连接”。 IPsec连接 下一跳 选择IPsecVPN-02。 IPsecVPN-02 单击“确定”按钮，完成VPNGW-test中本地IDC2路由条目的添加。
配置本地网关路由
不同网关设备，配置IPsec VPN的方式略有不同。本文介绍的IDC1和IDC2都使用深信服防火墙，需要分别配置本地IDC网关路由，具体操作请参考配置深信服防火墙。
路由配置完成后，标志着VPN连接的全部配置已完。此时本地IDC1和本地IDC2可通过IPsec连接隧道，访问VPC1中的云服务器。