检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
终端入云VPN客户端管理 下载客户端配置 配置客户端 父主题： 终端入云VPN
查看监控指标 创建告警规则 支持云审计的关键操作 查看云审计日志 06 API与SDK 通过VPN开放的丰富API和调用示例，您可以使用并管理网关、连接、标签等。 API文档 API概览 如何调用API API 应用示例 SDK参考 常见问题 了解更多常见问题、案例和解决方案 热门案例
现象。 建议您使用出口的防火墙设备配置VPN与云端进行对接。建立VPN时可以选择多个网段，结合云上安全组或用户侧数据中心安全策略，限定属于开发人员主机才能访问云端ECS。 父主题： 组网与使用场景
IKE/IPsec策略配置。 配置VPN连接模式为路由模式或策略模式。 用户需要审视用户侧数据中心网关的路由配置，确保发往VPC的流量被路由到正确的出接口（即绑定IPsec策略的接口）。 父主题： 热点问题
配置VPN连接包括静态路由模式、BGP路由模式和策略模式。 用户需要审视用户侧数据中心网关的路由配置，确保发往VPC的流量被路由到正确的出接口（即绑定IPsec策略的接口）。 父主题： 组网与使用场景
16.0.0/16 接口分配方式 支持“手动分配”和“自动分配”两种方式。 手动分配 本端隧道接口地址 配置在VPN网关上的tunnel接口地址。 说明： 对端网关需要对此处的本端隧道接口地址/对端隧道接口地址做镜像配置。 169.254.71.2/30 对端隧道接口地址 配置在用户侧设备上的tunnel接口地址。
本场景中选择接入虚拟私有云对应的接入子网。 192.168.2.0/24 配置虚拟接口。 虚拟接口参数说明如表3所示。详细全量参数解释请参见创建虚拟接口。 表3 虚拟接口参数说明 参数 说明 取值参数 名称 虚拟接口名称。 dcif_01 物理连接 选择可用的物理连接。 phlk_01 虚拟网关
IKE/IPsec策略配置。 指定感兴趣流（ACL）。 用户需要审视用户侧数据中心网关的路由配置，确保发往VPC的流量被路由到正确的出接口（即绑定IPsec策略的接口）。 在完成VPN配置后，只有命中感兴趣流的流量会进入VPN隧道，其它网络的访问都不受影响。 例如，云端的ECS绑定的EIP
IKE/IPsec策略配置。 指定感兴趣流（ACL）。 用户需要审视用户侧数据中心网关的路由配置，确保发往VPC的流量被路由到正确的出接口（即绑定IPsec策略的接口）。 在完成VPN配置后，只有命中感兴趣流的流量会进入VPN隧道，其它网络的访问都不受影响。 例如，云端的ECS绑定的EIP
通过IAM，您可以在账号中给员工创建IAM用户，并授权控制员工对华为云资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有VPN的使用权限，但是不希望他们拥有删除VPN等高危操作的权限，那么您可以使用IAM为开发人员创建用户，通过授予仅能使用VPN，但是不允许删除VPN的权限，控制他们对VPN资源的使用范围。
SaaS 类各项云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。 《华为云安全白皮书》详细介绍华为云安全性的构建思路与
VPN隧道创建完成后会在物理接口port下自动生成一个VPN隧道接口。 图7 VPN隧道接口 完成IPsec隧道配置。 图8 完成IPsec隧道配置 配置路由 添加静态路由。 添加去往云端VPC子网172.16.0.0/24的子网路由，出接口为VPN隧道接口。 图9 添加静态路由 配置多出口策略路由。
本端隧道接口地址 仅“接口分配方式”采用“手动分配”时需要配置。 配置在VPN网关上的tunnel接口地址。 - 对端隧道接口地址 仅“接口分配方式”采用“手动分配”时需要配置。 配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。
操作步骤 登录防火墙设备的命令行配置界面。 不同防火墙型号及版本命令可能存在差异，配置时请以对应版本的产品文档为准。 配置基本信息。 配置防火墙接口的IP地址。 interface GigabitEthernet1/0/1 //配置防火墙的公网IP地址。 ip address 1.1.1
资源部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，则建议您将资源创建在同一可用区内。 区域和终端节点 当您通过API使用资源时，您必须指定其区域终端节点。有关华为云的区域和终端节点的更多信息，请参阅地区和终端节点。 父主题： 基本概念
0/16 接口分配方式 手动分配 本示例以“手动分配”为例。 自动分配 手动分配 本端隧道接口地址 配置在VPN网关上的tunnel接口地址。 169.254.70.1 对端隧道接口地址 配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。
静态路由配置所示。 图1 静态路由配置 配置tunnel接口。 选择“高级 > 接口管理 > 逻辑接口”。 配置两个tunnel接口，信息填写完毕后单击“添加”。 关键参数配置如图 tunnel接口配置所示。 图2 tunnel接口配置 配置VPN连接。 选择“高级 > VPN > IPSec
跳指向本地出接口网关IP。 图5 新建静态路由 表2 新建静态路由参数设置 参数名称 说明 协议类型 IPv4。 源虚拟路由器 选择默认的“public”。 目的地址/掩码 云端子网地址。 目的虚拟路由器 选择默认的“public”。 出接口 本端公网IP配置的接口。 下一跳 本端公网地址下一跳。
0/16 接口分配方式 手动分配 本示例以“手动分配”为例。 自动分配 手动分配 本端隧道接口地址 配置在VPN网关上的tunnel接口地址。 169.254.70.1 对端隧道接口地址 配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。
客户侧设备组网与基础配置假设 内网接口：ethnet0/0 所属zone为Trust，接口IP为b.b.b.1/24。 外网接口：ethnet0/1 所属zone为Untrust，接口IP为B.B.B.Y/24。 缺省路由：目标网段0.0.0.0/0 出接口ethnet0/1，下一跳为ethnet0/1的网关IP
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
