在当今企业数字化转型加速的背景下,远程办公与多云架构已成为常态，Amazon Web Services（AWS）作为全球领先的云服务提供商，提供了多种灵活且安全的网络解决方案，AWS Site-to-Site VPN 是一种常见且高效的跨网络连接方式，适用于将本地数据中心与 AWS VPC 安全互联，本文将为你详细介绍如何使用 AWS 控制台和 CLI 工具搭建一个稳定、可扩展的站点到站点 VPN 连接，适合网络工程师快速上手实践。
第一步：准备环境
你需要拥有一个已配置好的 AWS 账户，并具备管理员权限，确保本地网络中有一台支持 IPsec 协议的路由器或防火墙设备（如 Cisco、Fortinet 或 pfSense），并能分配一个公网 IP 地址用于建立隧道，在 AWS 中创建一个 VPC（虚拟私有云），并为其分配至少一个子网（建议使用私有子网）。
第二步：创建客户网关（Customer Gateway）
登录 AWS 控制台，进入 EC2 服务，找到“客户网关”选项卡，点击“创建客户网关”，填写以下信息：
- 类型：IPsec v1
- IP 地址：本地路由器的公网 IP
- BGP AS 号：通常为 65000（若启用 BGP）
- 命名标签：如 “OnPrem-CGW”
第三步：创建虚拟专用网关（VGW）
在“虚拟专用网关”页面，点击“创建虚拟专用网关”，然后将其关联到目标 VPC（通过“附加网关”操作），这一步会生成一个 AWS 端的网关资源，用于与本地设备建立加密隧道。
第四步：创建站点到站点 VPN 连接
回到“站点到站点 VPN 连接”页面，点击“创建站点到站点 VPN 连接”，选择刚刚创建的客户网关和虚拟专用网关，并配置如下参数：
- 本地网络 CIDR：你的本地子网范围（如 192.168.1.0/24）
- AWS 网络 CIDR：VPC 的子网地址段（如 10.0.0.0/16）
- IKE 版本：推荐使用 IKEv2（更安全）
- 加密算法：AES-256
- DH 组：Group 14（2048 位）
- 认证协议：SHA-256
完成配置后,AWS 会自动生成一个配置文件（通常是 XML 格式），你可以下载该文件供本地路由器导入使用。
第五步：配置本地设备
将 AWS 下载的配置文件导入到本地路由器中，注意调整以下关键参数：
- 预共享密钥（PSK）：必须与 AWS 生成的一致
- 本地子网与对端子网的路由条目需正确设置
- 启用 BGP（如需动态路由）
第六步：测试与验证
使用 ping 和 traceroute 测试两端连通性，在 AWS 控制台中查看“VPN 连接状态”，确认隧道处于“已建立”状态，你还可以通过 CloudWatch 监控流量指标，确保数据传输正常且无丢包。
通过以上步骤，你已经成功搭建了一个基于 AWS 的站点到站点 VPN 连接，实现了本地网络与云上 VPC 的安全互通，这种方案不仅成本低、部署快，还能结合 AWS 的 IAM、VPC Flow Logs 等功能实现精细化访问控制和日志审计，对于网络工程师而言，掌握此技能是构建混合云架构的基础能力之一。
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
