检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
华为云VPC上的ECS服务器无法Ping通云下数据中心服务器。 可能原因 华为云安全组配置不正确 互联子网的ACL规则配置不正确 客户设备侧放通策略配置不正确 客户设备侧路由配置不正确 处理步骤 检查华为云安全组配置 确认华为云default安全组已经放通去往对端子网数据流。 华为云default安全组查看步骤如下:
用户在华为云VPN产品使用过程中,通常会出现由于配置错误(华为云侧或用户侧协商策略、防火墙、路由表、域间策略、NAT配置、安全组等信息配置)而导致连接故障或无法PING通。 通常可使用以下方式排除故障: 检查VPN两侧协商信息 检查客户防火墙ACL和云端安全组配置 检查防火墙路由表 检查客户防火墙域间策略
示例:Fortinet飞塔防火墙VPN配置 示例:深信服防火墙配置 示例:使用TheGreenBow IPsec VPN Client配置云上云下互通 示例:使用OpenSwan配置云上云下互通 示例:使用StrongSwan配置云上云下互通 示例:Web配置华为USG防火墙 父主题: 站点入云VPN经典版
示例:Fortinet飞塔防火墙VPN配置 示例:深信服防火墙配置 示例:使用TheGreenBow IPsec VPN Client配置云上云下互通 示例:使用OpenSwan配置云上云下互通 示例:使用StrongSwan配置云上云下互通 示例:Web配置华为USG防火墙 父主题: 站点入云VPN经典版
在多出口的网络中,能否使用两个出口分别与同一VPC建立VPN连接做冗余配置? 不可以。 云端创建VPN时,本端子网为VPC内部子网,远端子网为客户用户侧数据中心子网,两条连接使用相同的本端子网和远端子网是无法进行创建的。 父主题: 热点问题
在多出口的网络中,能否使用两个出口分别与同一VPC建立VPN连接做冗余配置? 不可以。 云端创建VPN时,本端子网为VPC内部子网,远端子网为客户用户侧数据中心子网,两条连接使用相同的本端子网和远端子网是无法进行创建的。 父主题: 组网与使用场景
修改服务端证书 操作须知 更换服务端证书,会导致客户端断开后无法重新连接,需要下载新的客户端配置,使用新的客户端配置文件重新接入。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标,选择区域和项目。 在页面左上角单击图标,选择“网络 > 虚拟专用网络VPN”。 在左侧导航栏,选择“虚拟专用网络
企业版-VPN连接”页面,VPN连接状态显示为“未连接”。 可能原因 VPN连接两端的连接配置不正确。 华为云安全组和客户设备侧ACL配置不正确。 处理步骤 检查VPN连接两端的连接配置 确认两端配置的网关IP参数是否为镜像。 VPN网关的主/备EIP可以选择“虚拟专用网络 > 企业版-VPN网关”,在网关IP栏下查看。
企业版-VPN连接”页面,VPN连接状态显示为“未连接”。 可能原因 VPN连接两端的连接配置不正确。 华为云安全组和客户设备侧ACL配置不正确。 处理步骤 检查VPN连接两端的连接配置 确认两端配置的网关IP参数是否为镜像。 VPN网关的主/备EIP可以选择“虚拟专用网络 > 企业版-VPN网关”,在网关IP栏下查看。
华为云VPC上的ECS服务器无法Ping通云下数据中心服务器。 可能原因 华为云安全组配置不正确 互联子网的ACL规则配置不正确 客户设备侧放通策略配置不正确 客户设备侧路由配置不正确 处理步骤 检查华为云安全组配置 确认华为云default安全组已经放通去往对端子网数据流。 华为云default安全组查看步骤如下:
网关:1.1.1.2。 子网:192.168.2.0/24。 华为云端的VPN连接资源策略配置按照缺省信息配置,详见图2。 图2 策略配置 配置步骤 IPsec基础配置 登录防火墙管理页面,选择“网络 > IPsec”,新建IPsec连接,详情如图4所示。 图3 新建IPsec连接1 图4
部分网段或者部分主机,可以通过安全组进行控制。 配置示例:VPC内子网10.1.0.0/24下的ECS不允许访问客户侧的子网192.168.1.0/24, 配置方法: 创建两个安全组:安全组1和安全组2。 安全组1的入方向规则配置deny网段192.168.1.0/24。 安全组2允许192
连接数? VPN连接,指一个VPN网关与用户侧一个独立的公网IP之间建立的IPsec连接,一个连接中可以配置多个本端子网(vpc中的子网)和对端子网(用户侧子网), 无需配置多个连接。 拟创建VPN连接的数量通常与用户数据中心数量有关,每条VPN连接可打通当前VPC与云下的一个数据中心网络。
预共享密钥 预共享密钥(Pre Shared Key),指配置在云上VPN连接的密钥,用于双方VPN设备的IKE协商,需要确保双方配置一致,否则会导致IKE协商失败。 相关链接: 建立IPsec VPN连接需要账户名和密码吗? 父主题: 基本概念
在差异,配置时请以对应设备型号、系统版本的产品文档为准。 配置基础设置。 选择“高级 > IP业务 > 路由 > 静态路由配置 > IPv4 静态路由”,分别填写到主EIP、主EIP2的静态路由信息后,单击“添加”,关键参数配置如图 静态路由配置所示。 图1 静态路由配置 配置tunnel接口。
图1 VPN连接配置 配置VPN安全策略。 选择“配置 > 攻击防范 > ACL > 高级ACL”,高级ACL填写完毕后单击“添加”,关键参数配置如图 高级ACL规则配置所示。 图2 高级ACL规则配置 配置业务路由。 选择“高级 > IP业务 > 路由 > 静态路由配置 > IPv4
用户站点通过VPN访问OBS服务,需要使用VPC终端节点服务。需要为内网DNS和OBS分别申请两个终端节点。 然后在用户侧配置云的内网DNS和路由。 详细配置请参见访问OBS。 父主题: 组网与使用场景
身份认证与访问控制 站点入云VPN连接支持通过预共享密钥(PSK)方式对对端网关进行身份验证。 只有对端网关配置的预共享密钥和VPN连接配置的预共享密钥相同时,身份验证才能通过,VPN连接才能成功建立。 图1 身份和访问管理 父主题: 安全
客户端无法正常连接终端入云VPN网关,日志中记录如下错误: Error message:certReadError 可能原因 客户端配置文件中缺少客户端证书和私钥。 处理步骤 请复制客户端证书和私钥到客户端配置文件中,再重新接入。示例如下: <cert> -----BEGIN CERTIFICATE----- 此处添加客户端证书
certificate file [[INLINE]](no entries were read) 可能原因 客户端配置文件中缺少客户端证书和私钥。 处理步骤 请复制客户端证书和私钥到客户端配置文件中,再重新接入。示例如下: <cert> -----BEGIN CERTIFICATE----- 此处添加客户端证书