检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
在实际建立隧道时，只要有一个隧道的状态Active，连接的状态就会显示正常，如果需要每个隧道都处于Active状态，需要每两个子网间都进行数据流触发。 父主题： VPN协商与对接
本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 用户侧数据中心配置VPN设备时，是需要独立创建ACL，且该ACL会被IPsec的策略引用。 云上配置VPN服务时，会根据管理控制台界面填入的本端子网和远端子网自动生成ACL，然后下发给VPN网关。其中ACL中的rule数量是两端子网数量的乘积。
本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 用户侧数据中心配置VPN设备时，是需要独立创建ACL，且该ACL会被IPsec的策略引用。 云上配置VPN服务时，会根据管理控制台界面填入的本端子网和远端子网自动生成ACL，然后下发给VPN网关。其中ACL中的rule数量是两端子网数量的乘积。
自定义连接数为10，是包含VPN网关默认提供10个免费的VPN连接数。 10 EIP 选择VPN网关需要绑定的EIP。 支持“现在创建”和“使用已有”两种方式。 现在创建 弹性公网IP类型 选择VPN网关绑定EIP的类型。 全动态BGP 带宽大小 EIP对应带宽大小，单位：Mbit/s。
本地设备配置VPN时需要设置ACL，为何在Console上找不到对应的配置？ 用户侧数据中心配置VPN设备时，是需要独立创建ACL，且该ACL会被IPsec的策略引用。 云上配置VPN服务时，会根据管理控制台界面填入的本端子网和远端子网自动生成ACL，然后下发给VPN网关，其中A
示例：HUAWEI USG6600配置 本章节以Huawei USG6600系列V100R001C30SPC300版本的防火墙的配置过程为例进行说明。 假设数据中心的子网为192.168.3.0/24和192.168.4.0/24，VPC下的子网为192.168.1.0/24和192.168.2.0/24
VPN连接 Tunnel接口地址 用于VPN网关和对端网关建立IPsec隧道，配置时两边需要互为镜像。 和用户数据中心1的VPN连接 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 和用户数据中心2的VPN连接 VPN连接3：169.254
为了增强安全性，云默认开启PFS，请用户在配置用户侧数据中心网关设备时确认也开启了该功能，否则会导致协商失败。 用户开启此功能的同时，需要保证两端配置一致。 IPsec SA字节生命周期，不是VPN服务可配置参数，云侧采用的是默认配置1843200KB。该参数不是协商参数，不影响双方建立IPsec SA。
为了增强安全性，云默认开启PFS，请用户在配置用户侧数据中心网关设备时确认也开启了该功能，否则会导致协商失败。 用户开启此功能的同时，需要保证两端配置一致。 IPsec SA字节生命周期，不是VPN服务可配置参数，云侧采用的是默认配置1843200KB。该参数不是协商参数，不影响双方建立IPsec SA。
0/16) 配置对端网关。即华为云VPN网关信息。 选择“VPN连接 > 对端网关”，单击“新建”。 根据界面提示配置参数，单击“确定”。 对端网关参数说明如表2所示。 此处仅对关键参数进行说明，非关键参数请保持默认。 表2 对端网关参数说明 参数 说明 取值参数 名称 对端网关的名称。
PRIVATE KEY----- 签名私钥 -----END EC PRIVATE KEY----- 加密证书 加密证书用于对VPN连接的传输数据进行加密，以保证数据的保密性和完整性。签发该加密证书的CA机构需和签发签名证书的CA机构保持一致。 以文本编辑器（如Notepad++）打开
0/24），同时您在自己的数据中心也有2个子网（192.168.3.0/24，192.168.4.0/24），那么您可以通过VPN使VPC内的子网与数据中心的子网互相通信。 图1 IPsec VPN 支持站点到站点VPN（Site-to-Site VPN），可实现VPC子网和数据中心局域网互访。
拟私有云（VPC）中的弹性云服务器无法与用户的数据中心或私有网络进行通信。如果需要将VPC中的弹性云服务器和数据中心或私有网络连通，可以启用VPN功能。VPN服务有站点入云VPN和终端入云VPN。站点入云VPN用于在您的本地网络、数据中心与华为云云上网络之间搭建安全、可靠、高性价
创建VPN连接时如何关闭PFS的Group配置？ 云在部分区域开启了PFS的Disable选项，推荐用户侧数据中心也开启PFS的Group配置。 PFS功能可以增强IKE二阶段协商的安全性，建议用户开启功能。 部分设备厂商默认关闭了PFS功能，请用户查询设备配置手册确保PFS功能打开。
从云证书管理服务购买的证书会自动托管，无需手动操作。 下载根证书。 安装根证书。 将根证书以文本编辑器（如Notepad++）打开，复制证书内容到客户端配置文件中已有CA证书后面，在客户端配置文件中增加服务端根证书的方式请参考如何解决SSL证书链不完整？。 安装服务端根证书如下所示： .... <ca>
# 按照对端配置定义ike阶段算法和group，modp1536=DH group 5 esp=aes128-sha1-modp1536! # 按照对端配置定义IPsec阶段算法和group，modp1536=DH
结果验证 大约5分钟后，查看VPN连接状态。 选择“虚拟专用网络 > 企业版-VPN连接”，两条VPN连接状态显示为正常。 用户数据中心内服务器和华为云VPC子网内服务器可以相互Ping通。 父主题： 通过VPN实现专线加密
为了增强安全性，云默认开启PFS，请用户在配置用户侧数据中心网关设备时确认也开启了该功能，否则会导致协商失败。 用户开启此功能的同时，需要保证两端配置一致。 IPsec SA字节生命周期，不是VPN服务可配置参数，云侧采用的是默认配置1843200KB。该参数不是协商参数，不影响双方建立IPsec SA。
组网和资源规划 数据规划 表1 规划数据 类别 规划项 规划值 用户数据中心 待互通业务子网 VPN对端网关IP所在子网。 172.16.0.0/16 接入子网 专线对端网关IP所在子网。接入子网可以和业务子网相同。本示例以接入子网和业务子网相同为例。 172.16.0.0/16
修改访问策略 场景描述 仅“客户端认证类型””选择“口令认证（本地）”，且已创建策略时可以配置。 操作须知 修改访问策略可能会导致网络中断，请谨慎操作。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 在页面左上角单击图标，选择“网络 > 虚拟专用网络VPN”。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
