如何通过 AWS Direct Connect 连接建立加密连接？

简短描述

要通过 AWS Direct Connect 连接加密流量，请使用以下方法之一：

• 使用 AWS Direct Connect 中的 MAC Security (MACsec)。有关支持 MACsec 的连接的信息，请参阅支持的连接。
• 通过 Direct Connect 创建 AWS Site-to-Site VPN。Site-to-Site VPN 在客户网关和 AWS 网关之间提供加密。AWS 网关可以是 AWS Transit Gateway，也可以是虚拟私有网关。

要通过 Direct Connect 构建连接到 Amazon VPC 的 Site-to-Site VPN，请使用 Direct Connect 公共虚拟接口。要在本地设备和 AWS Transit Gateway 之间构建 Site-to-Site VPN，请使用 Direct Connect 中转虚拟接口。

与 Amazon VPC 的网络支持多种连接选项。

解决方法

**注意：**如果您在运行 AWS 命令行界面 (AWS CLI) 命令时收到错误，请参阅 AWS CLI 错误故障排除。此外，请确保您使用的是最新版本的 AWS CLI。

使用 MACsec

要使用 MACsec，请参阅开始在专用 AWS Direct Connect 连接上使用 MACsec。

通过公共虚拟接口创建 Site-to-Site VPN

完成以下步骤：

1. 使用连接向导创建 Direct Connect 专用连接。
2. 创建 Direct Connect 公共虚拟接口。对于要播发的前缀，请输入您的 Site-to-Site VPN 客户网关设备的公共 IP 地址和您要播发的任何网络前缀。
   **注意：**您的公共虚拟接口接收来自每个 AWS 区域（AWS 中国区域除外）的所有 AWS 公共 IP 地址前缀。这些包括 AWS 托管 VPN 端点的公共 IP 地址。使用边界网关协议 (BGP) 社区按本地区域或某大洲的所有区域筛选前缀。
3. 为您的虚拟私有网关或中转网关创建新的 VPN 连接。
4. 对于 Customer gateway（客户网关），选择 Existing（现有），然后选择您创建的客户网关。
5. 配置您的客户网关设备以创建 VPN 隧道。您可以使用 Amazon VPC 控制台或 AWS CLI 下载示例配置文件。

通过中转虚拟接口创建 Site-to-Site VPN

完成以下步骤：

1. 使用连接向导创建 Direct Connect 专用连接。
2. 对于 Transit gateway CIDR blocks（中转网关 CIDR 块），指定 IPv4 或 IPv6 CIDR 块。
3. 创建中转虚拟接口。
4. 在中转虚拟接口配置中，选择现有的 Direct Connect 网关，或创建新的 Direct Connect 网关。
   **注意：**不能将 Direct Connect 网关同时与虚拟专用网关和中转网关相关联。
5. 将 Direct Connect 网关关联到中转网关。确保通过允许的前缀向本地网络公布中转网关 CIDR 块。
6. 通过 Direct Connect 创建连接到中转网关的新私有 IP Site-to-Site VPN。
7. 配置您的客户网关设备以创建 VPN 隧道。您可以使用 Amazon VPC 控制台或 AWS CLI 下载示例配置文件。

相关信息

对 AWS Direct Connect 进行故障排除

AWS Site-to-Site VPN 日志

监控 AWS Site-to-Site VPN 连接