方案 1：VPN 网关和虚拟服务器实例位于同一子网中

在这种情况下，VPN 网关和虚拟服务器实例都位于 VPC 的同一子网内，并受共享 NACL 的保护。 这种设置通过对两种资源应用一套一致的规则，简化了网络控制。

这些步骤描述了通过共享 NACL 子网对的数据包流，如下图所示。

1. 加密流量在内部（对等）网关和共享子网之间流动，覆盖双方的 IP 范围，这些 IP 范围是加密域（内部专用 CIDR、VPC CIDR）的一部分。
2. 数据包到达 VPC VPN 网关后，会被解密并转发到同一子网中的虚拟服务器实例。
3. 内部网络的响应数据包会返回到 VPN 网关。
4. 最后，数据包经过加密，从共享子网返回内部网关。

当 VPN 网关和虚拟服务器实例位于共享子网并创建了共享 NACL 时，必须为内部网关和共享子网 NACL 对之间的双向流量添加以下规则。 有关更多信息，请参阅设置网络 ACL。

1. 表中的第一对入站和出站规则允许管理流量。 该流量使用 IKE 和 IPsec 协议建立和维护内部网关与 VPN 网关之间的 VPN 连接。
2. 第二对入站和出站规则允许 VPN 隧道流量通过已建立的 VPN 隧道在内部网络和 VPC CIDR 之间流动。
3. 可选：最后一条入站规则允许用于连接性测试的流量，如 ping VPN 网关或 VPC 虚拟服务器实例，以进行可达性检查和故障排除。

例如，下表显示了入站和出站规则的源 IP 地址和目标 IP 地址。 在本例中，VPN 网关和虚拟服务器实例都位于共享子网 CIDR 10.240.0.0/24 中。 VPN 网关的 CIDR IP 地址是 10.240.0.4/32。

方案 2：VPN 网关和虚拟服务器实例位于同一 VPC 的不同子网中

在这种情况下，VPN 网关和虚拟服务器实例位于同一 VPC 的不同子网中，并应用共享 NACL 来管理它们之间的流量。 这种配置需要额外考虑子网之间的流量路由。

这些步骤描述了通过共享 NACL 和不同子网的数据包流，如下图所示。

1. 加密流量在内部（对等）网关和 VPN 网关子网之间流动，覆盖双方的 IP 范围，这些 IP 范围是加密域（内部专用 CIDR、VPC CIDR）的一部分。
2. 数据包到达 VPC VPN 网关后，会被解密并从 VPN 子网转发到 VPC 虚拟服务器子网。
3. 内部网络的响应数据包会返回 VPN 子网。
4. 最后，数据包经过加密，从 VPN 子网返回内部网关。

当 VPN 网关和虚拟服务器实例位于不同子网并创建了共享 NACL 时，必须为内部网关和不同子网之间的双向流量添加以下规则。

例如，下表显示了入站和出站规则的源 IP 地址和目标 IP 地址。 在本例中，VPN 网关位于子网 CIDR 10.240.0.0/24 中，虚拟服务器实例位于子网 CIDR 10.240.2.0/24 中。

方案 1：VPN 网关和虚拟服务器实例位于不同子网，具有单独的 NACL

当 VPN 网关和虚拟服务器实例位于不同的子网，并且创建了两个 NACL：一个连接到 VPN 网关子网，另一个连接到虚拟服务器子网时，必须为内部网关和不同子网之间的流量添加以下规则。

加密流量在内部网关和 VPN 网关子网之间流动，覆盖加密域内的内部网关和 VPC IP 范围。 数据包到达 VPC VPN 网关后，会被解密并转发到 VPC 虚拟服务器子网。 然后，响应数据包通过 VPN 子网发送回去，在那里再次加密并返回内部网关。

场景 2：通过中转网关连接不同 VPC 中的 VPN 网关和虚拟服务器实例

在这种情况下，VPN 网关和虚拟服务器实例位于由中转网关连接的不同 VPC 内的不同子网中。 该配置使用与前述方案相同的程序，通过不同 VPC 中的子网转发数据包。

1. 加密流量在内部网关和 VPN 网关子网之间流动。
2. 数据包到达 VPC VPN 网关后，会被解密并转发到 VPC 虚拟服务器子网。
3. 然后，响应数据包通过 VPN 子网发送回去，在那里再次加密并返回内部网关。
4. 中转网关负责连接两个 VPC 并在它们之间转发数据包。

当 VPN 网关和虚拟服务器实例位于具有不同子网和不同 NACL 的不同 VPC 中时，必须为内部网关和不同 VPC 中的子网之间的流量添加以下规则。