1. 用户网关：因为只有1个公网出口IP，只需创建1个用户网关。

2. IPsec连接：

1. 本端网段填写阿里云侧VPC的网段 172.16.0.0/16

2. 对端网段填写本地IDC侧的私网网段 10.0.0.0/16

3. 每条隧道的路由模式选择感兴趣流模式。

4. 用户网关选择同1个。

单出口基于strongSwan感兴趣流进行配置，直接可以实现双隧道主备切换功能。

1. 备份原始strongSwan配置文件

    

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新建strongSwan配置文件

    

   vi /etc/strongswan/swanctl/swanctl.conf

3. 根据场景示例中的规划，添加并保存如下配置

    

   connections {    vco1 {                              # 添加IPsec-VPN隧道1的VPN配置       version = 2                      # 指定IKE版本，需与阿里云隧道1的IKE版本保持一致，2表示IKEv2。       local_addrs  = 10.0.0.1          # 本地网卡的ip地址       remote_addrs = 3.3.XX.XX         # 指定隧道1对端的IP地址为阿里云隧道1的网关IP地址，即IPsec地址1。       dpd_delay = 10       rekey_time = 84600               # 指定隧道1的SA生存周期，需与阿里云隧道1 IKE配置中的SA生存周期保持一致。       over_time = 1800                      proposals = aes-sha1-modp1024    # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。       encap = yes       local {          auth = psk                    # 本段认证方式选择PSK模式，即预共享密钥方式。          id = 1.1.XX.XX                # 本地公网出口IP，需与阿里云隧道1的RemoteId保持一致。       }       remote {          auth = psk                    # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。          id = 3.3.XX.XX                # 阿里云侧IPsec地址1，需与阿里云隧道1的LocalId保持一致。       }       children {          vco_child1 {             local_ts  = 10.0.0.0/16    # 本地侧感兴趣流，填写本地私网网段10.0.0.0/16。             remote_ts = 172.16.0.0/16  # 阿里云侧感兴趣流，填写VPC网段172.16.0.0/16。             mode = tunnel             rekey_time = 85500             life_time = 86400          # 指定隧道1的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。             dpd_action = restart             start_action = start             close_action = start             esp_proposals = aes-sha1-modp1024   # 指定隧道1的加密算法、认证算法、DH分组，需与阿里云隧道1 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。          }       }    }   vco2 {                             # 添加IPsec-VPN隧道2的VPN配置       version = 2                    # 指定IKE版本，需与阿里云隧道2的IKE版本保持一致，2表示IKEv2。       local_addrs  = 10.0.0.1        # 本地网卡的ip地址       remote_addrs = 4.4.XX.XX       # 指定隧道 址，即IPsec地址2。       dpd_delay = 10       rekey_time = 84600             # 指定隧道2的SA生存周期，需与阿里云隧道2 IKE配置中的SA生存周期保持一致。       over_time = 1800                      proposals = aes-sha1-modp1024  # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IKE配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。       encap = yes       local {          auth = psk                  # 本端认证方式选择PSK方式，即预共享密钥方式。          id = 1.1.XX.XX              # 本地公网出口IP，与阿里云隧道2的RemoteId保持一致。       }       remote {          auth = psk                  # 对端认证方式选择PSK方式，即阿里云使用预共享密钥方式。          id = 4.4.XX.XX              # 阿里云侧IPsec地址2，需与阿里云隧道2的LocalId保持一致。       }       children {          vco_child2 {             local_ts  = 10.0.0.0/16      # 本地侧感兴趣流，填写本地私网网段10.0.0.0/16。             remote_ts = 172.16.0.0/16    # 阿里云侧感兴趣流，填写VPC网段172.16.0.0/16。             mode = tunnel              rekey_time = 85500             life_time = 86400        # 指定隧道2的SA生存周期，需与阿里云隧道1 IPsec配置中的SA生存周期保持一致。             dpd_action = restart             start_action = start             close_action = start             esp_proposals = aes-sha1-modp1024     # 指定隧道2的加密算法、认证算法、DH分组，需与阿里云隧道2 IPsec配置中的加密算法、认证算法、DH分组保持一致，group2对应的是modp1024。          }       }    } } secrets {    ike-vco1 {       secret = ChangeMe***            # 指定隧道1的预共享密钥，需与阿里云隧道1的预共享密钥保持一致。    }    ike-vco2 {       secret = ChangeMe***            # 指定隧道2的预共享密钥，需与阿里云隧道2的预共享密钥保持一致。    } }

4. 重启strongSwan进程

    

   systemctl restart strongswan

5. 查看隧道状态

    

   watch swanctl --list-sas

   

   如图，strongSwan设备和VPN网关之间已经正常建立了IPsec-VPN连接。