什么是 AWS Site-to-Site VPN？ - AWS Site-to-Site VPN
概念Site-to-Site VPN 功能站点到站点 VPN 限制使用站点到站点 VPN 定价

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

什么是 AWS Site-to-Site VPN？

默认情况下，您在 Amazon VPC 中启动的实例无法与您自己的（远程）网络进行通信。您可以通过创建 AWS Site-to-Site VPN（Site-to-Site VPN）连接并将路由配置为通过该连接传输流量，从而启用从您的 VPC 访问远程网络的权限。

尽管 VPN 连接 术语是一个泛指术语，但是在本文档中，VPN 连接是指您的 VPC 和您自己的本地网络之间的连接。站点到站点 VPN 支持 Internet 协议安全 (IPsec) VPN 连接。

概念

以下是站点到站点 VPN 的主要概念：

  • VPN 连接：本地设备和 VPC 之间的安全连接。

  • VPN 隧道：用于在客户网络和 AWS 之间传输数据的加密链接。

    每个 VPN 连接均包括两条 VPN 隧道，可以同时使用这两条隧道来实现高可用性。

  • 客户网关：一种 AWS 资源，可向 AWS 提供有关客户网关设备的信息。

  • 客户网关设备：站点到站点 VPN 连接在您这一端的实体设备或软件应用程序。

  • 目标网关：Site-to-Site VPN 连接在 Amazon 端的 VPN 终端节点的通用术语。

  • 虚拟私有网关：虚拟私有网关是 Site-to-Site VPN 连接在 Amazon 端的 VPN 终端节点，可连接到单个 VPC。

  • 中转网关：可用来互连多个 VPC 和本地部署网络的中转中心，并可用作 Site-to-Site VPN 连接的 Amazon 端的 VPN 终端节点。

Site-to-Site VPN 功能

AWS Site-to-Site VPN VPN 连接支持以下功能：

  • Internet 密钥交换版本 2 (IKEv2)

  • NAT 遍历

  • 适用于虚拟私有网关 (VGW) 配置的 4 字节 ASN，范围为 1 至 2147483647。参阅 站点到站点 VPN 连接的客户网关选项 了解更多信息。

  • 适用于客户网关 (CGW) 的 2 字节 ASN，范围为 1 至 65535。参阅 站点到站点 VPN 连接的客户网关选项 了解更多信息。

  • CloudWatch 指标

  • 您的客户网关的可重用 IP 地址。

  • 其他加密选项，包括 AES 256 位加密、SHA-2 哈希，以及其他 Diffie-Hellman 组

  • 可配置的隧道选项

  • BGP 会话的 Amazon 端的自定义专用 ASN

  • 来自 的从属 CA 的私有证书AWS Private Certificate Authority

  • 支持中转网关上的 VPN 连接的 IPv6 流量

站点到站点 VPN 限制

站点到站点 VPN 连接有以下限制。

  • 虚拟私有网关上的 VPN 连接不支持 IPv6 流量。

  • AWS VPN 连接不支持路径 MTU 发现。

此外，在使用站点到站点 VPN 时，请注意以下事项。

  • 在将 VPC 连接到公共本地网络时，我们建议您对网络使用非重叠的 CIDR 块。

使用站点到站点 VPN

可以使用以下任意接口创建、访问和管理站点到站点 VPN 资源：

  • AWS Management Console – 提供一个 Web 界面，您可以使用该界面访问 Site-to-Site VPN 资源。

  • AWS Command Line Interface（AWS CLI） – 提供适用于广泛 AWS 服务（包括 Amazon VPC）的命令，并支持 Windows、macOS 和 Linux 等操作系统。有关更多信息，请参阅 AWS Command Line Interface。

  • AWS SDK – 提供了特定于语言的 API，可负责处理许多详细连接任务，例如计算签名、处理请求重试和错误处理。有关更多信息，请参阅 AWS 开发工具包。

  • 查询 API — 提供您使用 HTTPS 请求调用的低级别 API 操作。使用查询 API 是用于访问 Amazon VPC 的最直接方式，但需要您的应用程序处理低级别详细信息，例如生成哈希值以签署请求以及进行错误处理。有关更多信息，请参阅 Amazon EC2 API 参考。

定价

您需要为预置并且可用的 VPN 连接按 VPN 连接小时数付费。有关更多信息，请参阅 AWS Site-to-Site VPN 与 Accelerated Site-to-Site VPN 连接定价。

您需要为从 Amazon EC2 传出到互联网的数据付费。有关更多信息，请参阅 Amazon EC2 按需定价页面上的数据传输。

当您创建加速 VPN 连接时，我们将代表您创建和管理两个加速器。您需要按小时为每个加速器付费，并支付数据传输费。有关更多信息，请参阅 AWS Global Accelerator 定价。