如何 AWS Site-to-Site VPN 运作 - AWS Site-to-Site VPN
虚拟专用网关Transit Gateway客户网关设备客户网关IPv6 VPN 连接

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

如何 AWS Site-to-Site VPN 运作

Site-to-SiteVPN 连接由以下组件组成：

VPN 连接在侧面的虚拟专用网关或传输网关与本地 AWS 端的客户网关之间提供两条 VPN 隧道。

有关 Site-to-Site VPN 配额的更多信息，请参阅AWS Site-to-Site VPN 配额。

虚拟专用网关

虚拟专用网关是 VPN 连接的 Amazon 端的 Site-to-Site VPN 集中器。您创建虚拟私有网关并将其连接到虚拟私有云 (VPC)，其资源必须访问 Site-to-Site VPN 连接。

下图显示了 VPC 和本地网络之间使用虚拟私有网关的 VPN 连接。

一个 VPC，有一个挂载的虚拟私有网关，且与本地网络之间具有 VPN 连接。

创建虚拟专用网关时，可以为网关的 Amazon 端指定专用自治系统编号 (ASN)。如果不指定 ASN，则会使用默认 ASN (64512) 创建虚拟专用网关。创建虚拟专用网关后，无法更改 ASN。要查看您的虚拟私有网关的 ASN，请在 Amazon VPC 控制台的虚拟私有网关页面中查看其详细信息，或使用describe-vpn-gateways AWS CLI 命令。

注意

虚拟专用网关不支持 Site-to-Site V IPv6 PN 连接。如果您需要 IPv6 支持，请使用传输网关或云广域网进行 VPN 连接。

Transit Gateway

传输网关是一个交通枢纽，可用于互连您 VPCs 和您的本地网络。有关更多信息，请参阅 Amazon VPC 中转网关。您可以在传输网关上创建 Site-to-Site VPN 连接作为附件。

下图显示了使用传输网关在多个网络 VPCs 和您的本地网络之间的 VPN 连接。中转网关有三个 VPC 挂载和一个 VPN 挂载。

具有三个 VPC 挂载和一个 VPN 挂载的中转网关。

您在传输网关上的 Site-to-Site VPN 连接可以支持 IPv4 VPN 隧道内的 IPv6 流量（内部 IP 地址）。此外，中转网关支持 IPv6 外部隧道 IP 地址的地址。有关更多信息，请参阅 IPv4 还有进 IPv6 来的交通 AWS Site-to-Site VPN。

您可以将 Site-to-Site VPN 连接的目标网关从虚拟专用网关修改为传输网关。有关更多信息，请参阅 修改 AWS Site-to-Site VPN 连接的目标网关。

客户网关设备

客户网关设备是 Site-to-Site VPN 连接中您一侧的物理设备或软件应用程序。您可以将设备配置为使用 Site-to-Site VPN 连接。有关更多信息，请参阅 AWS Site-to-Site VPN 客户网关设备。

默认情况下，您的客户网关设备必须通过生成流量和启动 Internet 密钥交换 (IKE) 协商过程来开通 Site-to-Site VPN 连接的隧道。您可以将 Site-to-Site VPN 连接配置为指定 AWS 必须改为启动 IKE 协商进程。有关更多信息，请参阅 AWS Site-to-Site VPN 隧道启动选项。

如果您使用 IPv6 外部隧道 IP 地址，则您的客户网关设备必须支持 IPv6 寻址并能够与 IPv6 端点建立 IPsec 隧道。

客户网关

客户网关 是您在 AWS 中创建的资源，它表示本地网络中的客户网关设备。创建客户网关时，您需要向提供有关您的设备的信息 AWS。有关更多信息，请参阅 您的 AWS Site-to-Site VPN 连接的客户网关选项。

客户网关和客户网关设备。

要将 Amazon VPC 与 Site-to-Site VPN 连接配合使用，您或您的网络管理员还必须在远程网络中配置客户网关设备或应用程序。当您创建 Site-to-Site VPN 连接时，我们会为您提供所需的配置信息，您的网络管理员通常会执行此配置。有关客户网关要求和配置的信息，请参阅AWS Site-to-Site VPN 客户网关设备。

IPv6 客户网关

创建用于 IPv6 外部隧道的客户网关时 IPs，需要指定 IPv6 地址而不是 IPv4 地址。您可以使用 AWS 管理控制台或 AWS CLI 创建 IPv6 客户网关。

要使用 AWS CLI 创建 IPv6 客户网关，请使用以下命令：

aws ec2 create-customer-gateway --Ipv6-address 2001:0db8:85a3:0000:0000:8a2e:0370:7334 --bgp-asn 65051 --type ipsec.1 --region us-west-1

该 IPv6 地址必须是您的客户网关设备的有效且可通过互联网路由 IPv6 的地址。

IPv6 VPN 连接

Site-to-Site VPN VPN 连接支持以下 IPv6 配置：

  • IPv4 带有 IPv4 内部数据包的外部隧道 ——虚拟专用网关 ( IPv4 VGW)、Transit Gateway (TGW) 和云广域网支持的基本 VPN 功能。

  • IPv4 带有 IPv6 内部数据包的外部隧道-允许 VPN 隧道内的 IPv6 应用程序/传输。在 TGW 和 Cloud WAN 上支持（VGW 不支持）。

  • IPv6 带有 IPv6 内部数据包的外部隧道-允许使用外部隧道 IPs 和内部数据包 IPv6 的地址进行完全 IPv6 迁移 IPs。在 TGW 和云广域网上支持。

  • IPv6 带有 IPv4 内部数据包的外部隧道-允许 IPv6 外部隧道寻址，同时支持隧道内的传统 IPv4 应用程序。在 TGW 和云广域网上支持。

要创建与 IPv6 外部隧道的 VPN 连接 IPs，请在创建 VPN 连接OutsideIPAddressType=Ipv6时指定。AWS 会自动为 VPN 隧道 IPv6 的 AWS 端配置外部隧道地址。

使用 IPv6 外部隧道 IPs 和 IPv6 内部隧道创建 VPN 连接的 CLI 命令示例 IPs：

aws ec2 create-vpn-connection --type ipsec.1 --transit-gateway-id tgw-12312312312312312 --customer-gateway-id cgw-001122334455aabbc --options OutsideIPAddressType=Ipv6,TunnelInsideIpVersion=ipv6,TunnelOptions=[{StartupAction=start},{StartupAction=start}]

您可以使用 describe-vpn-connection CLI 命令查看分配给您的 VPN 连接 IPv6 的地址。