VPN协商与对接-华为云

虚拟专用网络 VPN-本地防火墙无法收到VPN子网的回复包怎么解决？

本地防火墙无法收到VPN子网的回复包怎么解决？如果二阶段协商中需要检查云下的路由、安全策略、NAT和感兴趣流、协商策略信息。路由设置：将访问云上子网的数据送入隧道。安全策略：放行云下子网访问云上子网的流量。 NAT策略：云下子网访问云上子网不做源nat。感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置刚兴趣流不可使用地址对象名称。协商信息：协商策略信息云上云下一致，特别注意PFS的配置。确认一、二阶段协商均已正常后，请检查云上安全组策略，放行入方向的云下子网访问云上子网的ICMP协议。父主题： VPN协商与对接

虚拟专用网络 VPN VPN协商与对接

虚拟专用网络 VPN-对端VPN设备支持列表？

对端VPN设备支持列表？满足IPsec VPN标准和协议的设备，大部分都可以对接VPN。例如：Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。表1 华为VPN设备列表对端支持列表说明 HUAWEI USG6系列 USG6320/6310/6510-SJJ USG6306/6308/6330/6350/6360/6370/6380/6390/6507/6530/6550/6570：2048 USG6620/6630/6650/6660/6670/6680 HUAWEI USG9系列 USG9520/USG9560/USG9580 其他满足参考标准和协议的设备，也在支持列表中，但是可能会因为设备对协议的实现方式不一致，导致接入失败。如果发现不能建立连接，请参考如何解决VPN连接无法建立连接问题？，进行基本检查或联系技术支持人员。父主题： VPN协商与对接

虚拟专用网络 VPN VPN协商与对接

虚拟专用网络 VPN-VPN是否启动了DPD检测机制？

VPN是否启动了DPD检测机制？是的。 VPN服务默认开启了DPD探测机制，用于探测用户侧数据中心IKE进程的存活状态。 3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。 DPD探测失败后会删除隧道，不会导致业务不稳定。 DPD可以及时发现对方IKE进程异常，并通过重置隧道的方法来保持双方隧道同步。在删除隧道后，当有用户流量时，可以重新触发协商并建立隧道。父主题： VPN协商与对接

虚拟专用网络 VPN VPN协商与对接

虚拟专用网络 VPN-如何配置VPN对端设备？（HUAWEI USG6600配置示例）:操作步骤

操作步骤登录防火墙设备的命令行配置界面。查看防火墙版本信息。 display version 17:20:502017/03/09 Huawei Versatile Security Platform Software Software Version: USG6600 V100R001C30SPC300(VRP (R) Software，Version 5.30) 创建ACL并绑定到对应的VPN instance。 acl number 3065 vpn-instance vpn64 rule 1 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 2 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 rule 3 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 4 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 q 创建ike proposal。 ike proposal 64 dh group5 authentication-algorithm sha1 integrity-algorithm hmac-sha2-256 sa duration 3600 q 创建ike peer，并引用之前创建的ike proposal，其中对端IP地址是1.1.1.1。 ike peer vpnikepeer_64 pre-shared-key ********（********为您输入的预共享密码） ike-proposal 64 undo version 2 remote-address vpn-instance vpn64 1.1.1.1 sa binding vpn-instance vpn64 q 创建IPsec协议。 IPsec proposal IPsecpro64 encapsulation-mode tunnel esp authentication-algorithm sha1 q 创建IPsec策略，并引用ike policy和IPsec proposal。 IPsec policy vpnIPsec64 1 isakmp security acl 3065 pfs dh-group5 ike-peer vpnikepeer_64 proposal IPsecpro64 local-address xx.xx.xx.xx q 将IPsec策略应用到相应的子接口上去。 interface GigabitEthernet0/0/2.64 IPsec policy vpnIPsec64 q 测试连通性。在上述配置完成后，我们可以利用您在云中的主机和您数据中心的主机进行连通性测试，如下图图1所示。图1 连通性测试

虚拟专用网络 VPN VPN协商与对接

虚拟专用网络 VPN-使用VPN连通云端VPC网络，云下设备如何配置？

使用VPN连通云端VPC网络，云下设备如何配置？首先按照网络的连接规划，明确用户侧数据中心子网、云上子网以及两端的网关公网IP信息。其次按照云端VPN的协商策略信息完成用户侧数据中心设备的IPsec配置，并开启云上VPC主机关联的安全组的出入方向的ICMP报文。路由设置：用户侧数据中心设备从子网的网关设备开始至VPN对接设备，逐跳添加去往云端子网的路由，下一跳指向连接VPN设备出方向的路由，在VPN设备上的路由指向出接口下一跳公网网关IP。 NAT设置：在VPN设备上关闭本地子网访问云端子网的NAT，即本端子网访问云端子网不做NAT。最后在安全策略中双向放行本地子网和云端子网互访，双向放行云端VPN网关IP与本地VPN设备对接使用的公网IP的UDP500、UDP4500、ESP(IP protocol 50)、AH(IP protocol 51)报文。父主题： VPN协商与对接

虚拟专用网络 VPN VPN协商与对接

云服务器内容精选

VPN协商与对接

7*24

备案

专业服务

退订

建议反馈

售前咨询热线