检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
//华为云必须使能PFSipsec policy map-ipsec 100 isakmp //配置ipsec策略，使用IKE策略建立连接 transform-set ipsec-set //调用IPsec
IPsec虽然很强大，有自己的隧道和加密技术，但是IPsec不支持路由组播，而GRE支持，所以使用IPsec保护GRE进行安全传输。所以是先有GRE然后再由IPsec来保护GRE，这也就是GRE over IPsec，这是实际需求的一种用法。
配置步骤如下1、创建或使用两个已有的VPC，他们分别为VPC1和VPC22、创建P2C VPN网关和服务端按照正常创建P2C VPN网关和服务端流程创建即可。
配置IPSec策略。
USG配置3.1 IPSec基础配置登录防火墙管理页面，选择“网络-IPSec”进行新建IPSec连接，详情见下图所示。
本身GRE和L2TP是缺乏安全技术的，但是可以通过IPsec来解决这个问题。 • GRE是最强的隧道技术，但是他没有安全性，所以一般不会单独使用他。一般会使用IPsec来保护，或者单独使用IPsec。
的 GRE 隧道流量都将受到 IPsec 的保护。
它并不是一个基于Web的VPN软件，也不与IPsec及其他VPN软件包兼容。所有的通信都基于一个单一的IP端口， 默认且推荐使用UDP协议通讯，同时TCP也被支持。OpenVPN连接能通过大多数的代理服务器，并且能够在NAT的环境中很好地工作。
配置IPSec SA，指定IPSec SA的名称、绑定的IKE SA、加密算法、认证算法，DH。
操作步骤 在管理控制台上，选择合适的IKE策略和IPsec策略申请VPN。 检查本端和对端子网的IP地址池。
2、存量VPN网关不支持添加VPN连接。若您需要将存量网关切换为新版网关，可提交工单，我们将协助您进行切换。请留意您的业务情况，相关事宜做好安排。给您带来的不便，敬请谅解。感谢您对华为云的支持！
9、检查VPN网关的带宽使用情况，若存在带宽超限时，请扩容VPN网关的带宽规格。若以上情况均未出现，请您通过工单告知我们。10、云侧运维人员需要排查公网出口质量，整体带宽配额使用情况，安全流量配置等信息，确认是否出现异常丢包。
2.0.0.0 NetSecurity Function Copy-NetIPsecQuickModeCryptoSet 2.0.0.0 NetSecurity Function Copy-NetIPsecRule
VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。VPN可通过服务器、硬件、软件等多种方式实现。 后端服务地址：北向应用NA接受请求的ip或域名。 后端请求Path：北向应用NA接受请求的地址。
操作步骤 在管理控制台上，选择合适的IKE策略和IPsec策略申请VPN。 检查本端和对端子网的IP地址池。
作者 : 华为云VPN服务团队拓扑说明：客户希望通过在华为云和AWS之间建立VPN连接，实现云间的数据传输华为云端网络信息：VPN网关117.117.117.117 云端子网：192.168.3.0/24AWS云端网络信息：虚拟专用网关：52.52.52.52 云端子网：10.10.0.0
1、预共享密钥更新-单独更新预共享密钥会在下一次IKE协商时生效，最长等待一个IKE的生命周期；2、两端协商策略不一致-IKE中的认证算法、加密算法、版本、DH组、协商模式；-IPSec中的认证算法、加密算法、封装格式、PFS算法；-特别注意PFS和云下配置一致，部分设备默认关闭了
L2TP和IPSec配合使用是目前性能最好，应用最广泛的一种。
您需要考虑四个方面：IKE、IPsec、ACL规则和路由选择。您可以按任何次序对这些方面进行故障排除，不过我们建议您从 IKE 开始 (位于网络堆栈的底部) 并依次向上排除。
VPN由VPN网关、对端网关和VPN连接组成，VPN网关提供了虚拟私有云的公网出口，与用户本地数据中心侧的对端网关对应。VPN连接则通过公网加密技术，将VPN网关与对端网关关联，使本地数据中心与虚拟私有云通信，更快速、安全的构建混合云环境。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
