正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
正在使用VPN出现了连接中断,提示数据流不匹配,如何排查? 这通常是由于云上与用户侧数据中心设备配置的ACL不匹配造成的。 首先确认两端VPN连接的子网信息是否配置一致,确保云端生成的ACL与用户侧数据中心ACL配置互为镜像。 用户侧数据中心感兴趣流配置推荐使用“子网/掩码”的格式,避免使用网络地址对象模式,即address
、泄漏和篡改。 用户在创建站点入云VPN连接时,可以在策略配置中对数据进行加密和认证算法的配置。 站点入云VPN推荐使用的算法根据安全性从高到低排序如表 站点入云VPN策略配置参数说明所示。 表1 站点入云VPN策略配置参数说明 参数 说明 IKE策略 版本 v2 v1(版本安全
192.168.0.0/24 服务端证书 cert-server(使用云证书管理服务托管的服务端证书名称) 客户端 SSL参数 协议:TCP 端口:443 加密算法:AES-128-GCM 认证算法:SHA256 是否压缩:否 客户端网段 172.16.0.0/16 客户端认证类型 选择“证书认证”,单击上传CA证书。
ssl_options 名称 类型 必选 描述 protocol String 否 功能说明:协议 取值范围: TCP 默认值:TCP port Integer 否 功能说明:端口号 取值范围: 443 1194 默认值:443 encryption_algorithm String 否 功能说明:加密算法
数据中心实体设备的配置信息。 VPN连接:VPN网关和对端网关之间的安全通道,使用IKE和IPsec协议对传输数据进行加密。 终端入云VPN VPN网关:虚拟专用网络在云上的虚拟网关,与客户端建立安全私有连接。 服务端:虚拟网关提供SSL服务的功能模块,用于配置管理及客户端的连接认证。
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数,未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数,未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
网关:1.1.1.2。 子网:192.168.2.0/24。 华为云端的VPN连接资源策略配置按照缺省信息配置,详见图2。 图2 策略配置 配置步骤 IPsec基础配置 登录防火墙管理页面,选择“网络 > IPsec”,新建IPsec连接,详情如图4所示。 图3 新建IPsec连接1 图4
部分网段或者部分主机,可以通过安全组进行控制。 配置示例:VPC内子网10.1.0.0/24下的ECS不允许访问客户侧的子网192.168.1.0/24, 配置方法: 创建两个安全组:安全组1和安全组2。 安全组1的入方向规则配置deny网段192.168.1.0/24。 安全组2允许192
将“启动BGP”按钮置为开启状态,“AS号”配置为AR路由器的BGP自治系统号码,“路由器ID”配置为AR路由器下行私网网口的网关地址,单击“应用”。 配置BGP邻居,关键参数配置如图5所示。 图5 BGP邻居配置 配置路由引入,在“路由引入设置”区域将“协议类型”配置为“Direct”。 父主题:
键参数配置如图2所示。 图2 高级ACL规则配置 配置业务路由。 选择“高级 > IP业务 > 路由 > 静态路由配置 > IPv4 静态路由”,分别填写到VPN网关主EIP、主EIP2及云上VPC的静态路由信息后,单击“添加”,关键参数配置如图3所示。 图3 业务路由配置 父主题:
预共享密钥 预共享密钥(Pre Shared Key),指配置在云上VPN连接的密钥,用于双方VPN设备的IKE协商,需要确保双方配置一致,否则会导致IKE协商失败。 相关链接: 建立IPsec VPN连接需要账户名和密码吗? 父主题: 基本概念
用户站点通过VPN访问OBS服务,需要使用VPC终端节点服务。需要为内网DNS和OBS分别申请两个终端节点。 然后在用户侧配置云的内网DNS和路由 详细配置请参见访问OBS。 父主题: 组网与使用场景
VPN是点对网的连接。 连接方式 IPsec VPN要求两端有固定的网关设备,如防火墙或路由器,管理员需要分别配置两端网关完成IPsec VPN协商。 SSL VPN需要在主机上安装指定的Client软件,通过用户名/密码拨号连接至SSL设备。 VPN目前仅支持IPsec VPN,不支持SSL
修改访问策略 前提条件 仅“客户端认证类型””选择“口令认证(本地)”,且已创建策略时可以配置。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标,选择区域和项目。 在页面左上角单击图标,选择“网络 > 虚拟专用网络VPN”。 在左侧导航栏,选择“虚拟专用网络 > 企业版-VPN网关”。
身份认证与访问控制 站点入云VPN连接支持通过预共享密钥(PSK)方式对对端网关进行身份验证。 只有对端网关配置的预共享密钥和VPN连接配置的预共享密钥相同时,身份验证才能通过,VPN连接才能成功建立。 图1 身份和访问管理 父主题: 安全
Z 表6 ssl_options 名称 类型 描述 protocol string 功能说明:协议 取值范围: TCP port integer 功能说明:端口 取值范围: 443 1194 encryption_algorithm string 功能说明:加密算法 取值范围: AES-128-GCM
Z 表6 ssl_options 名称 类型 描述 protocol string 功能说明:协议 取值范围: TCP port integer 功能说明:端口 取值范围: 443 1194 encryption_algorithm string 功能说明:加密算法 取值范围: AES-128-GCM
Console界面在哪添加VPN远端路由? 云端在VPN连接创建时会自动下发远端子网路由,无需手动配置。 父主题: 产品咨询
Console界面在哪添加VPN远端路由? 云端在VPN连接创建时会自动下发远端子网路由,无需手动配置。 父主题: Console与页面使用