虚拟专用网络 VPN-华为云

虚拟专用网络 VPN-示例：Web配置华为USG防火墙:配置步骤

配置步骤 IPsec基础配置登录防火墙管理页面，选择“网络＞ IPsec”，新建IPsec连接，详情如图4所示。图3 新建IPsec连接1 图4 新建IPsec连接2 表1 新建IPsec参数设置参数名称说明虚拟系统选择默认即可。策略名称客户自行指定。本端接口配置对接本端公网IP的接口。本端地址本端公网IP。对端地址对端公网IP。认证方式预共享密钥。本端ID与对端ID IP地址，并填入对应的公网IP。待加密数据流源地址为云下子网，目标地址为云上子网，请勿使用地址组名称配置。安全提议按照华为云策略配置，要求两端配置信息一致。 DPD 勾选DPD，选择按需发送，配置信息默认即可。路由配置选择“网络＞路由＞静态路由”，新建一条目的为华为云子网的静态路由，下一跳指向本地出接口网关IP。图5 新建静态路由表2 新建静态路由参数设置参数名称说明协议类型 IPv4。源虚拟路由器选择默认的“public”。目的地址/掩码云端子网地址。目的虚拟路由器选择默认的“public”。出接口本端公网IP配置的接口。下一跳本端公网地址下一跳。其余配置默认即可，存在多出口时，需额外添加访问云端公网IP从此出接口流出的路由。 NAT配置选择“策略＞ NAT策略＞源NAT”，新建一条本地子网访问华为云不做NAT转换的策略。图6 新建源NAT策略表3 新建源NAT策略参数设置参数名称说明源安全区域本端子网所在安全区域。目的区域华为云子网所在安全区域，一般为untrust。源地址本端子网。目的地址华为云对端子网。服务 any 转换方式不做NAT转换为确保该策略优先匹配，请将该策略置顶。请注意接口地址出外网不做NAT转换。例如已配置缺省策略：源区域为any，访问目标区域any，出口转换为接口地址。请额外添加一条NAT策略：源区域为local，目标区域为any，转换方式为不做NAT转换，并将该策略置于缺省策略之上。安全策略配置选择“策略＞安全策略＞安全策略”，新建一条本地子网访问华为云的放行策略。图7 安全策略表4 新建策略参数设置参数名称说明源安全区域本端子网所在区域。源安全区域本端子网所在安全区域。目的区域华为云子网所在安全区域，一般为untrust。源地址本端子网。目的地址华为云对端子网。服务 any。动作允许为确保该策略优先匹配，请将该策略置顶。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用StrongSwan配置云上云下互通:拓扑连接

拓扑连接本场景拓扑连接及策略协商配置信息如图1所示，云上VPC的VPN网关IP：11.11.11.11，本地子网：192.168.200.0/24。客户主机NAT映射IP：22.22.22.22，本地子网：192.168.222.0/24。云端E CS 与客户主机的本地IP地址分别为192.168.200.200和192.168.222.222。 VPN连接的协商参数使用华为云缺省配置。图1 拓扑连接及策略协商配置信息

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用StrongSwan配置云上云下互通:配置步骤

配置步骤根据strongswan版本不同，相关配置可能存在差异。本实例以strongswan 5.7.2版本为例，详细介绍strongswan在Linux环境下的VPN配置。安装IPsec VPN客户端。 yum install strongswan 安装交互过程选择“Y”，出现“Complete!”提示即完成安装，strongswan的配置文件集中放置在/etc/strongswan目录中，配置过程只需编辑IPsec.conf和IPsec.secrets文件即可。开启IPv4转发。 vim /etc/sysctl.conf 在配置文件中增加如下内容： net.ipv4.ip_forward = 1 执行/sbin/sysctl -p命令，使转发配置参数生效。 iptables配置。确认关闭firewall或允许数据流转发，查询命令：iptables -L iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination 预共享密钥配置。 vim /etc/strongswan/IPsec.secrets # 编辑IPsec.secrets文件 22.22.22.22 11.11.11.11 : PSK "IPsec-key" 格式与openswan相同，冒号的两边都有空格，PSK只能为大写，密钥用英文双引号。 IPsec连接配置。 vim /etc/strongswan/IPsec.conf 在配置文件中增加如下内容： config setup conn strong_IPsec # 定义连接名称为strong_IPsec auto=route # 可选择add、route和start type=tunnel # 开启隧道模式 compress=no # 关闭压缩 leftauth=psk # 定义本地认证方式为PSK rightauth=psk # 定义远端认证方式为PSK ikelifetime=86400s # ike阶段生命周期 lifetime=3600s # 二阶段生命周期 keyexchange=ikev1 # ike密钥交换方式为版本1 ike=aes128-sha1-modp1536! # 按照对端配置定义ike阶段算法和group，modp1536=DH group 5 esp=aes128-sha1-modp1536! # 按照对端配置定义IPsec阶段算法和group，modp1536=DH group 5 leftid=22.22.22.22 # 本端标识ID left=192.168.222.222 # 本地IP，nat场景选择真实的主机地址 leftsubnet=192.168.222.0/24 # 本地子网 rightid=11.11.11.11 # 远端标识ID right=11.11.11.11 # 远端VPN网关IP rightsubnet=192.168.200.0/24 # 远端子网华为云VPN使用的DH-group对应的比特位详细请参见华为云VPN使用的DH-group对应的比特位是多少？。启动服务。 service strongswan stop # 关闭服务 service strongswan start # 启动服务 service strongswan restart # 重启服务 strongswan stop # 关闭连接 strongswan start # 开启连接每次修改配置都需要重启服务，并重新开启连接。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用StrongSwan配置云上云下互通:配置验证

配置验证通过strongswan statusall查询，可见连接启动时间。 Status of IKE charon daemon (strongSwan 5.7.2, Linux 3.10.0-957.5.1.el7.x86_64, x86_64): uptime: 5 minutes, since Apr 24 19:25:29 2019 malloc: sbrk 1720320, mmap 0, used 593088, free 1127232 worker threads: 11 of 16 idle, 5/0/0/0 working, job queue: 0/0/0/0, scheduled: 1 loaded plugins: charon pkcs11 tpm aesni aes des rc2 sha2 sha1 md4 md5 mgf1 random nonce x509 revocation constra ints acert pubkey pkcs1 pkcs7 pkcs8 pkcs12 pgp dnskey sshkey pem openssl gcrypt fips-prf gmp curve25519 chapoly x cbc cmac hmac ctr ccm gcm curl attr kernel-netlink resolve socket-default farp stroke vici updown eap-identity ea p-sim eap-aka eap-aka-3gpp eap-aka-3gpp2 eap-md5 eap-gtc eap-mschapv2 eap-dynamic eap-radius eap-tls eap-ttls eap -peap xauth-generic xauth-eap xauth-pam xauth-noauth dhcp led duplicheck unity counters Listening IP addresses:192.168.222.222 Connections: strong_IPsec: 192.168.222.222...11.11.11.11 IKEv1 strong_IPsec: local: [22.22.22.22] uses pre-shared key authentication strong_IPsec: remote: [11.11.11.11] uses pre-shared key authentication strong_IPsec: child: 192.168.222.0/24 === 192.168.200.0/24 TUNNEL Routed Connections: strong_IPsec{1}: ROUTED, TUNNEL, reqid 1 strong_IPsec{1}: 192.168.222.0/24 === 192.168.200.0/24 Security Associations (0 up, 1 connecting): strong_IPsec[1]: CONNECTING, 192.168.222.222[%any]...11.11.11.11[%any] strong_IPsec[1]: IKEv1 SPIs: c3090f6512ec6b7d_i* 0000000000000000_r strong_IPsec[1]: Tasks queued: QUICK_MODE QUICK_MODE strong_IPsec[1]: Tasks active: ISAKMP_VENDOR ISAKMP_CERT_PRE MAIN_MODE ISAKMP_CERT_POST ISAKMP_NATD 通过VPC1 ping安装有IPsec客户端的VPC2的主机： ping 192.168.222.222 PING 192.168.222.222 (192.168.222.222) 56(84) bytes of data. 64 bytes from 192.168.222.222: icmp_seq=1 ttl=62 time=3.07 ms 64 bytes from 192.168.222.222: icmp_seq=2 ttl=62 time=3.06 ms 64 bytes from 192.168.222.222: icmp_seq=3 ttl=62 time=3.98 ms 64 bytes from 192.168.222.222: icmp_seq=4 ttl=62 time=3.04 ms 64 bytes from 192.168.222.222: icmp_seq=5 ttl=62 time=3.11 ms 64 bytes from 192.168.222.222: icmp_seq=6 ttl=62 time=3.71 ms

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：深信服防火墙配置:拓扑连接

拓扑连接拓扑连接方式：使用防火墙设备直接和云端建立VPN连接。使用DMZ区域的专用VPN设备结合NAT穿越与云端建立VPN连接。 VPN接入方式的配置指导，相关信息说明如下：用户数据中心VPN设备私网IP：10.10.10.10/24 用户数据中心用户子网：10.0.0.0/16 防火墙出口IP：11.11.11.2/24，公网网关：11.11.11.1，VPN设备的NAT IP：11.11.11.11 云端VPN网关IP：22.22.22.22，云端子网：172.16.0.0/16 现通过创建VPN连接方式来连通本地网络到VPC子网。图1 深信服NAT场景华为云端的VPN连接资源策略配置按照图2所示信息配置，使用DMZ区域专用的VPN设备进行NAT穿越连接时，协商模式修改为野蛮模式；使用防火墙进行连接协商模式选择缺省。图2 华为云VPN策略配置

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：Fortinet飞塔防火墙VPN配置:拓扑连接

拓扑连接如图多出口客户网络通过VPN接入VPC连接拓扑所示，用户数据中心存在多个互联网出口，当前指定11.11.11.11的物理接口和华为云的VPC建立VPN连接，本地子网网段为10.10.0.0/16，华为云VPC子网为172.16.0.0/24。假设您在华为云购买的VPN网关IP为22.22.22.22，现通过创建VPN连接方式来连通本地网络到VPC子网。图1 多出口客户网络通过VPN接入VPC连接拓扑华为云端的VPN连接资源策略配置按照缺省信息配置，详见图2。图2 策略配置

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：Fortinet飞塔防火墙VPN配置:命令行配置

命令行配置物理接口配置 config system interface edit "port1" set vdom "root" set ip 11.11.11.11 255.255.255.0 set type physical next edit "IPsec" //隧道接口配置信息 set vdom "root" set type tunnel set interface "port1" //隧道绑定的物理接口 next end 接口划分区域配置 config system zone edit "trust" set intrazone allow set interface "A1" next edit "untrust" set intrazone allow set interface "port1 " next end 地址对象配置 config firewall address edit "hw-172.16.0.0/24" set uuid f612b4bc-5487-51e9-e755-08456712a7a0 set subnet 172.16.0.0 255.255.255.0 //云端地址网段 next edit "local-10.10.0.0/16" set uuid 9f268868-5489-45e9-d409-5abc9a946c0c set subnet 10.10.0.0 255.255.0.0 //本地地址网段 next IPsec配置 config vpn IPsec phase1-interface //一阶段配置 edit "IPsec" set interface "port1" set nattraversal disable set proposal aes128-sha1 set comments "IPsec" set dhgrp 5 set remote-gw 22.22.22.22 set psksecret ENC dmFyLzF4tRrIjV3T+lSzhQeU2nGEoYKC31NaYRWFJl8krlwNmZX5SfwUi5W5RLJqFu82VYKYsXp5+HZJ13VYY8O2Sn/vruzdLxqu84zbHEIQkTlf5n/63KEru1rRoNiHDTWfh3A3ep3fKJmxf43pQ7OD64t151ol06FMjUBLHgJ1ep9d32Q0F3f3oUxfDQs21Bi9RA== next end config vpn IPsec phase2-interface //二阶段配置 edit "IP-TEST" set phase1name "IPsec " set proposal aes128-sha1 set dhgrp 5 set keylifeseconds 3600 set src-subnet 10.10.0.0 255.255.0.0 set dst-subnet 172.16.0.0 255.255.255.0 next end 访问策略配置 config firewall policy edit 15 //策略编号15，流入至内网策略，未启用NAT set uuid 4f452870-ddb2-51e5-35c9-38a987ebdb6c set srcintf "IPsec" set dstintf "trust" set srcaddr "hw-172.16.0.0/24" set dstaddr "local-10.10.0.0/16" set action accept set schedule "always" set service "ALL" set logtraffic all next edit 29 //策略编号29，流出至云端策略，未启用NAT set uuid c2d0ec77-5254-51e9-80dc-2813ccf51463 set srcintf "trust" set dstintf "IPsec" set srcaddr "local-10.10.0.0/16" set dstaddr "hw-172.16.0.0/24" set action accept set schedule "always" set service "ALL" set logtraffic all next 路由配置 config router static edit 24 //路由编号24，访问云端静态路由 set dst 172.16.0.0 255.255.255.0 set gateway 11.11.11.1 set distance 10 set device "port1" config router policy edit 2 //策略路由编号2，云下访问云端策略路由 set input-device "A1" set src "10.10.00/255.255.0.0" set dst "172.16.0.0/255.255.255.0" set gateway 11.11.11.1 set output-device "port1"

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：Web配置华为USG防火墙:配置步骤

配置步骤 IPsec基础配置登录防火墙管理页面，选择“网络＞ IPsec”，新建IPsec连接，详情如图4所示。图3 新建IPsec连接1 图4 新建IPsec连接2 表1 新建IPsec参数设置参数名称说明虚拟系统选择默认即可。策略名称客户自行指定。本端接口配置对接本端公网IP的接口。本端地址本端公网IP。对端地址对端公网IP。认证方式预共享密钥。本端ID与对端ID IP地址，并填入对应的公网IP。待加密数据流源地址为云下子网，目标地址为云上子网，请勿使用地址组名称配置。安全提议按照华为云策略配置，要求两端配置信息一致。 DPD 勾选DPD，选择按需发送，配置信息默认即可。路由配置选择“网络＞路由＞静态路由”，新建一条目的为华为云子网的静态路由，下一跳指向本地出接口网关IP。图5 新建静态路由表2 新建静态路由参数设置参数名称说明协议类型 IPv4。源虚拟路由器选择默认的“public”。目的地址/掩码云端子网地址。目的虚拟路由器选择默认的“public”。出接口本端公网IP配置的接口。下一跳本端公网地址下一跳。其余配置默认即可，存在多出口时，需额外添加访问云端公网IP从此出接口流出的路由。 NAT配置选择“策略＞ NAT策略＞源NAT”，新建一条本地子网访问华为云不做NAT转换的策略。图6 新建源NAT策略表3 新建源NAT策略参数设置参数名称说明源安全区域本端子网所在安全区域。目的区域华为云子网所在安全区域，一般为untrust。源地址本端子网。目的地址华为云对端子网。服务 any 转换方式不做NAT转换为确保该策略优先匹配，请将该策略置顶。请注意接口地址出外网不做NAT转换。例如已配置缺省策略：源区域为any，访问目标区域any，出口转换为接口地址。请额外添加一条NAT策略：源区域为local，目标区域为any，转换方式为不做NAT转换，并将该策略置于缺省策略之上。安全策略配置选择“策略＞安全策略＞安全策略”，新建一条本地子网访问华为云的放行策略。图7 安全策略表4 新建策略参数设置参数名称说明源安全区域本端子网所在区域。源安全区域本端子网所在安全区域。目的区域华为云子网所在安全区域，一般为untrust。源地址本端子网。目的地址华为云对端子网。服务 any。动作允许为确保该策略优先匹配，请将该策略置顶。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:配置验证

配置验证场景一验证在桌面云与VPC连接的场景中，桌面云最终可访问VPC远端虚拟机。桌面云VPN连接在开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。图15 发送第二阶段图16 隧道开启 VPN连接建立成功如下图所示。图17 VPN连接建立成功查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。图18 VPN连接状态查看桌面云网络配置信息，如下图所示。图19 桌面云网络配置信息桌面云 Ping 云端VPC虚拟机图20 桌面云 Ping 云端VPC虚拟机云端VPC虚拟机 Ping 桌面云图21 云端虚拟机 Ping 桌面云场景一验证成功。场景二验证在VPC+VPC连接的场景中，VPC1的虚拟机和VPC安装客户端的虚拟机应该可以互通。 VPN连接过程，开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。图22 发送第二阶段2 图23 隧道已开启2 VPN连接建立成功。如下图所示。图24 VPN连接建立成功2 查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。图25 VPN连接状态2 查看VPC网络配置信息。如下图所示。图26 VPC网络配置信息 VPC内的虚拟机 Ping 云端VPC虚拟机图27 VPC内的虚拟机 Ping 云端VPC虚拟机云端VPC虚拟机 Ping VPC内的虚拟机图28 云端VPC虚拟机 Ping VPC内的虚拟机场景二验证成功。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:配置步骤

配置步骤场景一：桌面云+VPC场景的客户端配置全局参数配置修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。图5 全局参数配置 IKE第一阶段配置右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图6。图6 IKE第一阶段配置接口：选择本地用于VPN连接的网卡接口。远端网关：VPC云端购买的VPN网关。预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。第一阶段高级信息按缺省配置，证书无需配置。若高级信息中配置本端和远端ID，推荐选择IP。可选配置【本端ID】：IP地址10.119.156.78 //选择本端建立VPN的连接地址可选配置【远端ID】：IP地址10.154.71.9 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图7。图7 高级配置信息 IPsec第二阶段配置右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图8。图8 IPsec第二阶段配置 VPN客户端地址：10.119.156.78 //选择安装客户端桌面云的真实IP 地址类型：子网地址远端LAN地址：192.168.11.0 //VPC侧的子网子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。高级和脚本保持默认配置即可。 Remote Sharing配置需要将VPC云端的ECS主机IP进行添加。图9 Remote Sharing配置所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具＞重置IKE”，待IKE重置后再重新开启隧道。场景二：VPC+VPC场景的客户端配置全局参数配置修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。图10 全局参数配置2 IKE第一阶段配置右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图11。图11 IKE第一阶段配置2 接口：选择本地用于VPN连接的网卡接口。远端网关：VPC云端购买的VPN网关。预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。第一阶段高级信息按缺省配置，证书无需配置。在高级信息中配置本端和远端ID，推荐选择IP； //此配置区别于桌面云必选配置【本端ID】：IP地址122.112.215.214 //选择本端建立VPN连接EIP 必选配置【远端ID】：IP地址117.78.30.55 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图12。图12 IKE阶段高级配置信息2 IPsec第二阶段配置右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图13。图13 IPsec第二阶段配置 VPN客户端地址：192.168.222.225 //选择安装客户端虚拟机的真实IP 地址类型：子网地址远端LAN地址：192.168.111.0 //VPC侧的子网子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。高级和脚本保持默认配置即可。远程分享配置需要将VPC云端的ECS主机IP进行添加。图14 远程分享配置所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具＞重置IKE”，IKE重置后再重新开启隧道。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:操作场景

操作场景本文档详细的描述了“VPC+ 云桌面 ”和“VPC+VPC”场景下，使用TheGreenBow IPsec VPN Clinet软件与华为云端建立VPN连接的配置指导。本任务指导您使用The GreenBow IPsec VPN Client测试VPN云连接配置，通过两个应用场景分别说明了IPsec VPN Client的配置信息，场景配置信息说明如下。场景一：桌面云安装客户端与VPC上的VPN网关互联。受客户端限制，桌面云需为Windows操作系统。桌面云可Ping通云端VPC的VPN网关IP（Ping不通无法建立VPN连接）。场景二：VPC1上的ECS安装客户端与VPC2上的VPN网关互联。 VPC1上的Windows虚拟机需要购买EIP。 VPC1的虚拟机可Ping通VPC2上的VPN网关IP（Ping不通无法建立VPN连接）。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:前提条件

前提条件场景一：桌面云+VPC 云端完成VPC、子网和ECS配置。云端完成VPN网关和连接配置。图1 策略详情云桌面完成TheGreenBow IPsec VPN Client 客户端安装。桌面云可Ping VPN网关IP地址。图2 桌面云Ping VPN连接场景二：VPC+VPC 完成两个区域的VPC、子网和ECS配置，其中一个区域的ECS必须为Windows（VPC2）。在VPC1完成VPN网关和VPN连接配置。图3 策略详情2 VPC2中的Windows虚拟机安装TheGreenBow IPsec VPN Client 客户端。 VPC2虚拟机可Ping VPC1上的VPN网关IP地址。图4 VPC虚拟机Ping VPN网关华为云端的VPN配置信息采用默认配置。

虚拟专用网络 VPN

虚拟专用网络 VPN-简介

简介欢迎使用虚拟专用网络（VPN）管理员指南，该指南可以帮助您配置本地的VPN设备，实现您本地网络与华为云VPC子网的互联互通。 VPN连接将您的数据中心或（或网络）连接到您的VPC，对端网关指用户端使用的定位标记，它可以是物理或软件设备。详细配置示例请参见：示例：HUAWEI USG6600配置示例：Fortinet飞塔防火墙VPN配置示例：深信服防火墙配置示例：使用TheGreenBow IPsec VPN Client配置云上云下互通示例：使用OpenSwan配置云上云下互通示例：使用StrongSwan配置云上云下互通示例：Web配置华为USG防火墙父主题：站点入云VPN经典版

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:配置验证

配置验证场景一验证在桌面云与VPC连接的场景中，桌面云最终可访问VPC远端虚拟机。桌面云VPN连接在开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。图15 发送第二阶段图16 隧道开启 VPN连接建立成功如下图所示。图17 VPN连接建立成功查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。图18 VPN连接状态查看桌面云网络配置信息，如下图所示。图19 桌面云网络配置信息桌面云 Ping 云端VPC虚拟机图20 桌面云 Ping 云端VPC虚拟机云端VPC虚拟机 Ping 桌面云图21 云端虚拟机 Ping 桌面云场景一验证成功。场景二验证在VPC+VPC连接的场景中，VPC1的虚拟机和VPC安装客户端的虚拟机应该可以互通。 VPN连接过程，开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。图22 发送第二阶段2 图23 隧道已开启2 VPN连接建立成功。如下图所示。图24 VPN连接建立成功2 查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。图25 VPN连接状态2 查看VPC网络配置信息。如下图所示。图26 VPC网络配置信息 VPC内的虚拟机 Ping 云端VPC虚拟机图27 VPC内的虚拟机 Ping 云端VPC虚拟机云端VPC虚拟机 Ping VPC内的虚拟机图28 云端VPC虚拟机 Ping VPC内的虚拟机场景二验证成功。

虚拟专用网络 VPN

虚拟专用网络 VPN-示例：使用TheGreenBow IPsec VPN Client配置云上云下互通:配置步骤

配置步骤场景一：桌面云+VPC场景的客户端配置全局参数配置修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。图5 全局参数配置 IKE第一阶段配置右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图6。图6 IKE第一阶段配置接口：选择本地用于VPN连接的网卡接口。远端网关：VPC云端购买的VPN网关。预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。第一阶段高级信息按缺省配置，证书无需配置。若高级信息中配置本端和远端ID，推荐选择IP。可选配置【本端ID】：IP地址10.119.156.78 //选择本端建立VPN的连接地址可选配置【远端ID】：IP地址10.154.71.9 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图7。图7 高级配置信息 IPsec第二阶段配置右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图8。图8 IPsec第二阶段配置 VPN客户端地址：10.119.156.78 //选择安装客户端桌面云的真实IP 地址类型：子网地址远端LAN地址：192.168.11.0 //VPC侧的子网子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。高级和脚本保持默认配置即可。 Remote Sharing配置需要将VPC云端的ECS主机IP进行添加。图9 Remote Sharing配置所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具＞重置IKE”，待IKE重置后再重新开启隧道。场景二：VPC+VPC场景的客户端配置全局参数配置修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。图10 全局参数配置2 IKE第一阶段配置右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图11。图11 IKE第一阶段配置2 接口：选择本地用于VPN连接的网卡接口。远端网关：VPC云端购买的VPN网关。预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。第一阶段高级信息按缺省配置，证书无需配置。在高级信息中配置本端和远端ID，推荐选择IP； //此配置区别于桌面云必选配置【本端ID】：IP地址122.112.215.214 //选择本端建立VPN连接EIP 必选配置【远端ID】：IP地址117.78.30.55 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图12。图12 IKE阶段高级配置信息2 IPsec第二阶段配置右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图13。图13 IPsec第二阶段配置 VPN客户端地址：192.168.222.225 //选择安装客户端虚拟机的真实IP 地址类型：子网地址远端LAN地址：192.168.111.0 //VPC侧的子网子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。高级和脚本保持默认配置即可。远程分享配置需要将VPC云端的ECS主机IP进行添加。图14 远程分享配置所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具＞重置IKE”，IKE重置后再重新开启隧道。

虚拟专用网络 VPN

云服务器内容精选

虚拟专用网络 VPN

7*24

备案

专业服务

退订

建议反馈

售前咨询热线