绑定转发路由器

双隧道组网说明

单隧道模式的IPsec-VPN连接仅拥有一条隧道，如果您的网络中不存在冗余链路，在隧道故障后会直接导致网络中断。一个双隧道模式的IPsec-VPN连接拥有两条加密隧道，会自动形成ECMP链路，两条隧道均支持流量转发。在一条隧道中断后，流量可以切换至另一条隧道进行传输。

创建双隧道模式的IPsec-VPN连接时，系统会自动将两条隧道部署在不同的可用区，以实现IPsec-VPN连接可用区级别的容灾。在仅支持一个可用区的地域 ，双隧道模式IPsec-VPN连接的两条隧道会被部署在同一个可用区，不支持可用区级别的容灾，但依旧拥有链路冗余能力。

流量传输说明

• 从转发路由器去往本地数据中心的方向

  在IPsec-VPN连接两条隧道同时可用的状态下，会组成ECMP链路，系统将会通过两条隧道向本地数据中心传输流量，两条隧道的流量分布是随机的，非均匀分布。在一条隧道故障时，系统会自动通过另一条隧道传输流量。

• 从本地数据中心去往转发路由器的方向

  该方向的流量路径依赖于本地数据中心的路由配置。

  由于阿里云通过两条隧道向本地数据中心传输流量，流量在两条隧道的分布是随机的，因此推荐您配置ECMP路由使本地数据中心去往云上的流量同时通过两条隧道传输。如果您配置了主备路由或者配置路由使某一网段流量仅通过一条隧道传输至云上，则可能会导致云上的流量无法按照您期望的路径传输至本地数据中心。

双隧道模式路由配置原则

在使用双隧道模式的IPsec-VPN连接时，推荐您按照以下原则为IPsec-VPN连接添加路由配置，以提高IPsec-VPN连接的稳定性：

• 推荐使用BGP动态路由方式。如果需要使用静态路由方式，请确保本地网关设备支持配置静态ECMP路由，否则本地数据中心去往阿里云的流量无法通过ECMP路径进行传输，云上的流量却能通过ECMP路径传输至本地数据中心，可能会导致流量的传输路径不符合您的期望。

• 对于一个IPsec-VPN连接下的两条隧道，建议配置相同的路由协议，即仅为IPsec-VPN连接配置静态路由协议或为两条隧道同时配置BGP动态路由协议。

• 在IPsec-VPN连接配置BGP动态路由协议的情况下，两条隧道的本端自治系统号需保持相同，两条隧道对端的BGP AS号可以不相同，但建议保持相同。

单隧道和双隧道的区别

教程示例

建立IPsec-VPN连接实现本地IDC和多地域VPC全互通（双隧道）