QingCloud 文档 – 隧道服务 - kaiyun官方网站下载手机网页

Network: 隧道服务概述

Mon, 01 Jan 0001 00:00:00 +0000

隧道服务可以将多个不同地域的局域网连接在一起，形成兼顾公有私有的混合云计算环境，助您有效管理多地域的数据中心。

典型应用场景

VPC 与本地数据中心互联

通过隧道服务将用户本地数据中心和云上 VPC 互联，构建混合云网络。
跨地域的 VPC 互联

通过隧道服务可以将不同区域的两个 VPC 快速连接起来，实现云上资源共享。

隧道类型

开·云app官方版下载的隧道服务支持创建 GRE 和 IPsec 隧道。

GRE 隧道：采用明文传输数据，支持 IP 网络作为承载网络、支持多种协议、支持 IP 组播，配置简单，易部署。由于安全上的限制，GRE 最好在受信任的网络路径上使用，或者与 IPsec 隧道结合使用。
IPsec 隧道：以加密方式进行数据传输，支持身份验证，能够有效保证数据的私密性、合法性及完整性。如果您需要在 VPC 与本地数据中心建立安全可靠的网络连接，则适合使用 IPsec 隧道。

资源限制

资源	最大限制
单个 VPC 可并存的 GRE 隧道数量	800
单个 VPC 可并存的 IPsec 隧道数量	800

Network: 管理隧道规则

Mon, 01 Jan 0001 00:00:00 +0000

当您需要通过隧道建立 VPC 与数据中心或 VPC 之间的网络连接时，您需要在隧道两端分别配置隧道规则，建立加密通信通道。本文介绍如何在 VPC 端配置及管理隧道规则。

前提条件

已创建 VPC 网络。

添加隧道规则

登录管理控制台，选择产品与服务 > 网络服务 > VPC 网络，进入 VPC 列表页面。
在 VPC 列表，找到您需要进行隧道配置的 VPC 网络，点击 VPC 网络名称，进入详情页。
切换至管理配置页签，然后点击隧道服务 > 添加隧道规则。
根据界面提示，配置隧道参数。

隧道协议可选 GRE 及 IPsec，不同协议，配置参数不同。
- 配置 GRE 隧道，请参见 GRE 隧道参数说明。
- 配置 IPsec 隧道，请参见 IPsec 隧道参数说明。
点击提交进行保存，返回隧道服务页面，可看到已添加的隧道规则。

GRE 隧道参数

参数	说明
名称	隧道名称。按需自定义。
远端路由器	对端网络网关设备的公网 IP 地址或域名。对端网络可以是您本地数据中心、本地办公网络或云平台上其他 VPC 网络。如果对端网络为同一区域下的 VPC，此处可填写对端 VPC 的 ID，实现内网互联。其他情况下，则必须填写对端网络合法的公网 IP 或域名。
协议	隧道协议。配置 GRE 隧道选择 `GRE`。
密钥（可选）	隧道两端共同约定的整型数字，用于隧道连接的身份认证。本端与对端配置的密钥需要一致。有效范围为 [1, 2^32 -1]。
本地点对点 IP	隧道在本端的 IP 地址。不同隧道的点对点地址网段必须唯一，不能重复。本端与对端 IP 需在同一网段。
对端点对点 IP	隧道在对端的 IP 地址。
目标网络	需要与当前 VPC 通信的对端网络的私网网段。可添加多个目标网络。目标网络不能和 VPC 网络已有的私有网络重复。

IPsec 隧道参数

参数	说明
名称	隧道名称。按需自定义。
远端路由器	对端网络网关设备的公网 IP 地址或域名。对端网络可以是您本地数据中心、本地办公网络或云平台上其他 VPC 网络。如果对端网络为同一区域下的 VPC，此处可填写对端 VPC 的 ID，实现内网互联；其他情况下，需填写对端网络合法的公网 IP 或域名。如果对端没有固定 IP，可填 0.0.0.0。
协议	隧道协议。配置 IPsec 隧道选择 `IPsec`。
远端设备 ID（可选）	用于标识远端设备。勾选匹配任意 ID 表示随机生成一个 ID。若不填写，则其值与远端路由器 IP 相同。
密钥（可选）	隧道两端共同约定的任意字符串，用于隧道连接的身份认证。本端与对端配置的密钥需要一致。
加密方法	选择数据加密算法、认证算法及 DH 分组。
隧道模式	选择协商模式。主模式：协商过程安全性高。野蛮模式：协商快速且协商成功率高，但安全性较低，易受到拒绝服务和暴力攻击。
开启 PFS	选择是否 PFS（Perfect Forward Secrecy，全前向保密）。开启后，安全性更好。
IKE 版本	选择 IKE 协议的版本。 IKEv2 Only：使用 IKEv2。 IKEv1 Only：使用 IKEv1 自动匹配：系统自动匹配。相对于 IKEv1 版本，IKEv2 版本简化了 SA 的协商过程并且对于多网段的场景提供了更好的支持，也更加安全，建议选择 IKEv2 版本。
本地网络	需要和对端互通的 VPC 侧的私有网络网段。点击添加更多本地网络，可添加多个需要和对端互通的 VPC 私有网络。
目标网络	需要和 VPC 互通的对端私网网段。点击添加更多目标网络，可添加多个需要和 VPC 互通的对端私有网段。说明目标网络不能和 VPC 网络已有的私有网络重复。
健康检查 IP	用于健康检查的目标地址。该地址必须在目标网络中且可以 ping 通。可配置多个，也可不配置。不配置，表示不启用健康检查。
健康检查源 IP	用于健康检查的源地址。关闭：若未配置健康检查 IP，则选择关闭。开启：若配置了健康检查 IP，则需要开启。源 IP 为系统指定，不能手动配置。注意若开启，需要将健康检查源 IP 配置到隧道目标感兴趣流，否则可能会导致隧道网络不通。

复制隧道规则

您可以将已添加的隧道规则复制到其他区域进行应用。

在 VPC 列表，找到想要复制隧道规则的源 VPC 网络，点击 VPC 网络名称，进入详情页。
切换至管理配置页签，然后点击隧道服务 > 复制隧道规则，弹出复制隧道规则窗口。
点击选择隧道规则，在弹出的窗口中勾选您需要复制的源规则（可多选），然后点击提交。
选择目标 VPC 所在区域及具体 VPC。
点击复制。

复制成功后，即可在目标 VPC 下查看到同样的隧道规则。

说明

您需要在目标 VPC 的详情页，点击应用修改，规则才会生效。

修改隧道规则

您可以修改已经添加的隧道规则。

在 VPC 列表，点击 VPC 网络名称，进入详情页。
切换至管理配置页签，然后点击隧道服务 ，进入隧道服务页面。
将鼠标移到需要禁用或启用的隧道规则上，然后点击修改，弹出修改隧道属性窗口。
修改隧道属性值，点击提交。

此处不可修改目标网络及本地网络（IPsec 隧道）。

可通过以下方式修改：
- GRE 隧道：点击目标网络之后的展开，然后可添加、修改或删除目标网络。
- IPsec 隧道：点击感兴趣流之后的展开，然后可添加感兴趣流组，以及添加、修改、删除本地网络及目标网络。
点击应用修改，更新 VPC 网络。

禁用/启用隧道规则

您可以将暂时不需要的隧道规则禁用，等待需要时重新启用即可。

在 VPC 列表，点击 VPC 网络名称，进入详情页。
切换至管理配置页签，然后点击隧道服务 ，进入隧道服务页面。
将鼠标移到需要禁用或启用的隧道规则上，然后点击禁用/启用，弹出确认提示框。
点击确认，禁用/启用该隧道规则。

说明

禁用后，隧道规则失效。
点击应用修改，更新 VPC 网络。

删除隧道规则

您可以删除不再使用的隧道规则。删除后不可恢复。

在 VPC 列表，点击 VPC 网络名称，进入详情页。
切换至管理配置页签，然后点击隧道服务 ，进入隧道服务页面。
将鼠标移到需要删除的隧道规则上，然后点击删除，弹出确认提示框。
点击确认，删除该隧道规则。
点击应用修改，更新 VPC 网络。

Network: GRE 隧道应用示例

Mon, 01 Jan 0001 00:00:00 +0000

本文以 VPC 与本地数据中心常见的几种连接场景为例，介绍如何使用 GRE 隧道建立 VPC 与本地数据中心的连接。

VPC 与单个数据中心连接

以下图场景为例，假设您在云上的 VPC 使用的公网 IP 是 3.3.3.3，您本地数据中心的网络使用的公网 IP 是 6.6.6.6，这两个网络节点下各连接有两个私有网络（子网），它们将通过 GRE 隧道连接在一起。

步骤1：在 VPC 端配置隧道规则

登录管理控制台，选择产品与服务 > 网络服务 > VPC 网络，进入 VPC 列表页面。
找到您的 VPC 网络，点击 VPC 网络名称，进入详情页。
在 VPC 详情页的管理配置页签，选择隧道服务。
点击添加隧道规则，弹出添加隧道规则窗口。
配置以下参数，添加一条 GRE 隧道。

参数详细说明，请参见 GRE 隧道参数说明。
- 名称：为该隧道起个名字，比如 tun36。
- 远端路由器：数据中心路由器的公网 IP 或域名，如本例中为 6.6.6.6。
- 协议：选择 GRE 协议。
- 密钥：两端共同使用的约定整型数字，比如 12345。
- 本地点对点 IP：隧道在 VPC 端的地址，比如 10.254.0.1。
- 对端点对点 IP：隧道在您数据中心的地址，比如 10.254.0.2。
- 目标网络：在本例中为您数据中心的两个私有网络 192.168.5.0/24、192.168.6.0/24。
点击提交，返回隧道服务页面。
点击页面上方的应用修改，完成 VPC 网络的配置更新。
前往 VPC 使用的安全组规则中放开 GRE 协议，添加规则后点击应用修改使之生效。

步骤2：在数据中心配置隧道规则

因隧道的对称性，您还需要在自己数据中心的路由器上进行隧道配置，具体配置方法取决于您使用的网络设备，请查询厂商的手册。

以下为 Huawei 路由器的配置过程，供参考:

[Quidway] interface Tunnel 0/0/0
[Quidway-Tunnel0/0/0] ip address 10.254.0.2 255.255.255.0
[Quidway-Tunnel0/0/0] tunnel-protocol gre
[Quidway-Tunnel0/0/0] source 6.6.6.6
[Quidway-Tunnel0/0/0] destination 3.3.3.3
[Quidway-Tunnel0/0/0] gre key 12345
[Quidway-Tunnel0/0/0] quit
[Quidway] ip route-static 192.168.1.0 255.255.255.0 Tunnel0/0/0
[Quidway] ip route-static 192.168.2.0 255.255.255.0 Tunnel0/0/0

VPC 作为中心节点与多数据中心连接

以下图场景为例，假设您在公有云中的 VPC 网络使用的公网 IP 是 3.3.3.3，您自己有两个数据中心，它们对外使用的公网 IP 分别是 6.6.6.6、9.9.9.9，这三个网络节点各自连接有两个私有网络（子网）。因业务需要，VPC 需要与两个数据中心实现互通。此时，您可以通过 L3 GRE 隧道建立三者之间的连接。

下图中，黑色的路由器表示是 VPC 中心节点，蓝色的路由器表示接入的数据中心节点。

步骤1：在 VPC 端配置隧道规则

找到您的 VPC 网络，点击 VPC 网络名称，进入详情页。
在 VPC 详情页的管理配置页签，选择隧道服务。
点击添加隧道规则，弹出添加隧道规则窗口。
配置以下参数，创建一条到 6.6.6.6 的隧道，然后点击提交。

参数详细说明，请参见 GRE 隧道参数说明。
- 名称：为该隧道起个名字，比如 tun36。
- 远端路由器：数据中心路由器的公网 IP 或域名，如本例中为 6.6.6.6。
- 协议：选择 GRE 协议。
- 密钥：两端共同使用的约定整型数字，比如 12345。
- 本地点对点 IP：隧道在 VPC 端的地址，比如 10.254.0.1。
- 对端点对点 IP：隧道在您数据中心的地址，比如 10.254.0.2。
- 目标网络：在本例中为您数据中心的两个私有网络 192.168.5.0/24、192.168.6.0/24。
再次点击添加隧道规则，新建一条到 9.9.9.9 的隧道，点击提交。
- 名称：隧道名称，如本例中为 tun39。
- 远端路由器：数据中心路由器的公网 IP 或域名，如本例中为 9.9.9.9。
- 协议：选择 GRE 协议。
- 密钥：两端共同使用的约定整型数字，比如 12345。
- 本地点对点 IP：隧道在 VPC 端的地址，比如 10.254.0.1。
- 对端点对点 IP：隧道在您数据中心的地址，比如 10.254.0.2。
- 目标网络：在本例中为您数据中心的两个私有网络 172.19.1.0/24、172.19.2.0/24。
点击页面上方的应用修改，以完成 VPC 网络的配置更新。
前往 VPC 使用的安全组规则中放开 GRE 协议，添加规则后点击应用修改使之生效。

步骤2：在数据中心配置隧道规则

因隧道的对称性，还需要您在自己数据中心的网络中进行相应的隧道配置，即需要在两个数据中心的路由器中分别创建到 VPC 的隧道。具体配置方法取决于您使用的网络设备，请查询厂商的手册。

VPC 作为接入节点与数据中心连接

以下图场景为例，用户数据中心 1（ 6.6.6.6 ）作为中心节点，云平台（3.3.3.3）及用户数据中心 2（9.9.9.9）作为接入点，形成星型拓扑。现需要配置 GRE 隧道实现用户数据中心1 与 VPC 和另一数据中心互通。

参照 VPC 与单个数据中心连接中步骤1，创建一条到数据中心 1（6.6.6.6）的隧道，即完成了在云平台中的操作。
在数据中心 1 的路由器中配置到 VPC 的隧道以及到数据中心 2 的隧道。

具体配置方法取决于您使用的网络设备，请查询厂商的手册。
在数据中心 2 的路由器中配置到数据中心 1 的隧道。

具体配置方法取决于您使用的网络设备，请查询厂商的手册。

Network: IPsec 隧道应用示例

Mon, 01 Jan 0001 00:00:00 +0000

本文介绍了使用 IPsec 隧道实现 VPC 对等连接以及 VPC 与本地数据中心连接的配置方法。其他更高级的连接场景和 GRE 隧道类似，可参见 GRE 隧道应用示例，本文不再赘述。

VPC 与 VPC 互联

如下图所示，假设您在云平台中有两个 VPC 网络，位于同一区域，分别为 router1 和 router2，这两个 VPC 网络各连接有两个私有网络。您可以通过 IPsec 隧道将他们连接在一起。

步骤1：在 VPC1 上配置隧道规则

登录管理控制台，选择产品与服务 > 网络服务 > VPC 网络，进入 VPC 列表页面。
点击 VPC1 网络名称（本例中为 router1），进入详情页。
在 VPC 详情页的管理配置页签，选择隧道服务。
点击添加隧道规则，弹出添加隧道规则窗口。
配置以下参数，添加一条到 router2 的 IPsec 隧道。

参数详细说明，请参见 IPsec 隧道参数说明。以下为本场景中的配置示例。
- 名称：为该隧道起个名字，比如 “router1 to router2”。
- 远端路由器：因为是内网互连，在本例中填入远端路由器（router2）的 ID 即可。如果是公网互连，则需要填入远端路由器的公网 IP 或是域名。
- 协议：选择 IPsec。
- 密钥：隧道两端共同约定的密钥，填写任意字符串。本例中为 “passw0rd”。
- 本地网络：至少包括一个路由器已有的私有网络。在本例中为当前 VPC 的两个私有网络 192.168.1.0/24、192.168.2.0/24。
- 目标网络：在本例中为对端 VPC（ router2 ）的两个私有网络 192.168.3.0/24、192.168.4.0/24。
- 其他配置使用默认选项。
确认无误后，点击提交，返回隧道服务界面。
点击页面上方的应用修改，完成路由器的配置更新。
前往 VPC 网络使用的安全组规则中打开 IPsec 协议需要的端口/协议，分别为 UDP/500、UDP/ 4500、AH 协议和 ESP 协议，添加规则后点击应用修改使之生效。

步骤2：在 VPC2 上配置隧道规则

由于隧道的对称性，在 VPC 网络 router2 上也需要有对应的配置。

在 VPC 列表页，点击 VPC2 网络名称（本例中为 router1），进入详情页。
在管理配置页签，点击隧道服务 > 添加隧道规则。
在隧道配置对话框里，填写以下参数，添加一条到 router1 的 IPsec 隧道。
- 名称：为该隧道起个名字，比如 “router2 to router1”。
- 协议：选择 IPsec。
- 远端路由器：因为是内网互连，在本例中填入对端 VPC （router2）的 ID 即可。如果是公网互连，则需要填入远端路由器的公网 IP 或是域名。
- 密钥：隧道两端共同约定的密钥。本例中为 “passw0rd”，与 router1 上配置的密钥保持一致。
- 本地网络：在本例中为当前 VPC 的两个私有网络 192.168.3.0/24、192.168.4.0/24。
- 目标网络：在本例中为对端 VPC（ router1 ）的两个私有网络 192.168.1.0/24、192.168.2.0/24。
- 其他配置使用默认选项。
确认无误后，点击提交，返回隧道服务界面。
点击页面上方的应用修改，完成路由器的配置更新。
前往 VPC 网络使用的安全组规则中打开 IPsec 协议需要的端口/协议，分别为 UDP/500、UDP/ 4500、AH 协议和 ESP 协议，添加规则后点击应用修改使之生效。

步骤3：测试 VPC 之间的连通性

完成两个 VPC 网络的隧道配置之后，可以通过这两个 VPC 网络下的云服务器进行连通性测试。

登录到 VPC2 内的一台无公网 IP 的云服务器。
执行 ping 命令，访问 VPC1 内的一台服务器，验证通信是否正常。

如果能够收到回复报文，则证明通信正常。

VPC 与本地数据中心互联

除 VPC 之间可以通过 IPsec 互联外，VPC 也可以和具有 IPsec 功能的物理设备（路由器、防火墙等）做互联。

假设本地数据中心的路由器公网地址为 88.88.88.88，私有网络为 192.168.1.0/24，云平台 VPC 公网地址为 99.99.99.99， VPC 私有网络为 192.168.100.0/24，现需要在本地数据中心的路由器中配置 IPsec 隧道实现与 VPC 通信。

步骤1：在 VPC 上配置隧道规则

请参照 VPC 互联场景中的步骤1 完成 VPC 端到本地数据中心的隧道配置。

登录管理控制台，选择产品与服务 > 网络服务 > VPC 网络，进入 VPC 列表页面。
点击 VPC 网络名称，进入详情页。
在 VPC 详情页的管理配置页签，选择隧道服务。
点击添加隧道规则，弹出添加隧道规则窗口。
配置以下参数，添加一条到本地数据中心的 IPsec 隧道。

参数详细说明，请参见 IPsec 隧道参数说明。以下为本场景中的配置示例。
- 名称：为该隧道起个名字，比如 “vpc to idc”。
- 远端路由器：在本例中填入数据中心的公网 IP 88.88.88.88。
- 协议：选择 IPsec。
- 密钥：隧道两端共同约定的密钥，填写任意字符串。
- 本地网络：本端私有网络。在本例中为 VPC 的私有网络 192.168.100.0/24。
- 目标网络：对端私有网络。在本例中为本地数据中心的私有网络 192.168.1.0/24。
- 其他配置使用默认选项。
确认无误后，点击提交，返回隧道服务界面。
点击页面上方的应用修改，完成路由器的配置更新。
前往 VPC 网络使用的安全组规则中打开 IPsec 协议需要的端口/协议，分别为 UDP/500、UDP/ 4500、AH 协议和 ESP 协议，添加规则后点击应用修改使之生效。

步骤2：在数据中心配置隧道规则

配置说明

以下是现阶段云平台 VPC IPsec 的支持参数，支持参数自动匹配、自动协商。

MODE:               main[主模式]/aggrmode[野蛮模式]
TYPE:               tunnel
IKE:                ikev1(默认)/ikev2
IKE encrypt:        AES(默认)/3DES
ESP encrypt:        AES（默认）/3DES/DES/CAST/BLOWFISH/CAMELLIA/SERPENT/TWOFISH
IKE SA lifetime:    3600s
IPsec SA lifetime:  28800s
HASH:               MD5/SHA1(默认)/SHA2
DH-GROUP:           2/5/14（默认）/15/16/17/18/22/23/24
PFS:                up
NAT-Traversal:      up
AUTH:               PSK
DPDDelay:           15s

通常在物理设备上需要显式地定义 IPsec 的加密集（encryption 和 HASH）、DH group、lifetime、access-list、路由、NAT 豁免等信息。
如果对接的物理设备在内网，需要在基于 IPsec 的隧道规则中配置对端设备 ID，通常填写所对接内网的网关 IP。

配置示例

根据物理设备的品牌和型号，IPsec 的配置方法会存在差异性，详细配置方法请参阅设备的用户手册。以下以 Cisco ASA 及 H3C Router 为例。

以下为 Cisco ASA 设备使用 cli 进行配置的示例，主要包含了 crypto-map、access-list、psk、tunnel 的配置文本。

ASA(config)# access-list my_nat extended permit ip 192.168.1.0 255.255.255.0 192.168.100.0 255.255.255.0
ASA(config)# access-list cisco-to-qingcloud extended permit ip 192.168.1.0 255.255.255.0 192.168.100.0 255.255.255.0
ASA(config)# nat (inside) 0 access-list my_nat

ASA(config)# crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
ASA(config)# crypto ipsec security-association lifetime seconds 28800
ASA(config)# crypto ipsec security-association lifetime kilobytes 4608000

ASA(config)# crypto map my_map 1 match address cisco-to-qingcloud
ASA(config)# crypto map my_map 1 set pfs
ASA(config)# crypto map my_map 1 set peer 99.99.99.99
ASA(config)# crypto map my_map 1 set transform-set ESP-3DES-MD5
ASA(config)# crypto map my_map interface outside
ASA(config)# crypto isakmp enable outside
ASA(config)# crypto isakmp policy 10
ASA(config-isakmp)# authentication pre-share
ASA(config-isakmp)# encryption 3des
ASA(config-isakmp)# hash md5
ASA(config-isakmp)# group 2
ASA(config-isakmp)# lifetime 3600
ASA(config)# crypto isakmp nat-traversal 60

ASA(config)# tunnel-group 99.99.99.99 type ipsec-l2l
ASA(config)# tunnel-group 99.99.99.99 ipsec-attributes
ASA(config-tunnel-ipsec)# pre-shared-key *****

以下为 H3C Router 设备使用 cli 进行配置的示例，主要包含了 transform-set、policy、profile、proposal、psk、acl 的配置文本。

#
acl number 3100
 rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.100.0 0.0.0.255

#
ipsec transform-set tran1
 esp encryption-algorithm aes-cbc-128
 esp authentication-algorithm sha1
 pfs dh-group14

#
ipsec policy map1 10 isakmp
 transform-set tran1
 security acl 3100
 remote-address 99.99.99.99
 ike-profile profile1
 sa duration time-based 28800

#
ike profile profile1
 keychain keychain1
 local-identity address 88.88.88.88
 match remote identity address 99.99.99.99 255.255.255.255
 proposal 1

#
ike proposal 1
 encryption-algorithm 3des-cbc
 dh group14
 sa duration 3600
#
ike keychain keychain1
 pre-shared-key address 99.99.99.99 255.255.255.255 key cipher *****