阿里云与中国区Azure IPSec对接实战分享

素年锦时静待君丶

发布于 2023-7-25 11:31

浏览

0收藏

前言

本文介绍阿里云与中国区Azure IPSec互连的一些前期准备工作、如何配置以及注意事项等内容。

准备工作

账号权限准备

如果您没有阿里云和azure的主账号，可以使用RAM用户登录；

在阿里云这边，需要确保有VPN网关的配置权限，最好有CEN、VPC的配置或查看权限；

在Azure这边，可以将账号角色设置为网络管理员。

阿里云和Azure需要互通的网段

例如阿里云侧为10.1.0.0/16，Azure为172.16.0.0/16

阿里云建立IPSecVPN的方式

可以使用VPN网关，或者是转发路由器，如果使用转发路由器，需要是企业版的路由器才可以，普通版不支持，需要提工单升级到企业版；

本文档将以VPN网关为例进行演示。

Azure SKU的选择

如果没有特别高带宽的要求，选择第一代基本的SKU就可以了。

01配置的细节（阿里云）
**VPN网关的实例名称：**例如to-azure-vpngateway（可修改）
**VPN网关所在的地域和可用区：**选择当前业务所在可用区即可
**VPN网关所在的VPC：**VPN网关类似一台网络设备，需要配置所在的VPC，如果您只有1个VPC，可放在里面，如果有多个，可以根据情况选择
**VPN网关的带宽规格：**建议先选择最低的即可，后续可以随时升级
**VPN网关的计费周期：**视情况选择
**用户网关的实例名称：**例如azure-usergateway
**用户网关的IP地址：**这里需要在Azure 虚拟网络网关中创建后才会有此IP
**IPSec连接的名称：**例如aliyun-to-azure
**路由模式：**推荐使用目的路由模式
**预共享密钥：**生成一个复杂的密码
**IKE协议的选择：**推荐使用IKEv2
**IKE加密与认证算法：**视情况选择，但需与Azure匹配
**IKE的DH分组：**视情况选择，但需与Azure匹配
**SA生存周期：**视情况选择，但需与Azure匹配
**IPSec加密与认证算法：**视情况选择，但需与Azure匹配
**DH分组：**可选disabled，因为Azure基本的SKU不支持
02配置的细节（Azure）
**VPN网关的实例名称：**例如to-aliyun-vpngateway（不可修改，如果要修改只能删除重新配置）
**VPN网关所在的地域和可用区：**选择当前业务所在可用区即可
**VPN网关所在的VPC：**推荐创建一个新的VPC，只给VPN网关使用
**VPN网关的带宽规格：**按量计费的，不能选择
**本地网络网关名称：**例如aliyun-usergateway，和阿里的用户网关是一样的
**用户网关的IP地址：**在阿里云中创建后才有此IP
**IPSec连接的名称：**例如azure-to-aliyun
**路由模式：**推荐使用目的路由模式
**预共享密钥：**生成一个复杂的密码
**IKE协议的选择：**推荐使用IKEv2
**IKE加密与认证算法：**视情况选择，但需与Aliyun匹配
**IKE的DH分组：**视情况选择，但需与Aliyun匹配
**SA生存周期：**视情况选择，但需与Aliyun匹配
**IPSec加密与认证算法：**视情况选择，但需与Aliyun匹配
**DH分组：**可选disabled，因为Azure基本的SKU不支持