检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
多人访问ECS，是否可以给每个客户机安装一套IPsec软件和云端建立VPN连接？ 不可以。 VPN打通的是两个局域网的网络，用户侧数据中心局域网内多台主机都安装IPsec软件，实际情况是用户侧数据中心多个主机使用同一个公网IP与云端对接，云端的VPN网关会收到来自用户侧数据中心不
组网场景所示。 图1 组网场景 安装iPerf3 此处以在本次测试使用的云下设备上安装iPerf3为例。 在Linux上安装iPerf3 打开命令行窗口。 执行以下命令安装iPerf3。 yum install -y iperf3 使用iperf3 -v命令查看是否安装成功。 若系统回显iPerf版本信息，表示安装成功。
防火墙侧操作步骤 操作步骤 登录防火墙设备的命令行配置界面。 不同防火墙型号及版本命令可能存在差异，配置时请以对应版本的产品文档为准。 配置基本信息。 配置防火墙接口的IP地址。 interface GigabitEthernet1/0/1 //配置防火墙的公网IP地址。 ip address
200和192.168.222.222。 VPN连接的协商参数使用华为云缺省配置。 图1 拓扑连接及策略协商配置信息 配置步骤 本实例以在CentOs6.8中配置Openswan IPsec客户端为例进行介绍。 安装Openswan客户端。 yum install -y openswan
8-0ubuntu0.22.04.1_amd64操作系统上安装OpenVPN为例，不同Linux系统的安装命令可能存在差异，请以实际为准。（2.5版本不支持dco，需要在配置文件中注释“disable-dco”。） 打开命令行窗口。 执行以下命令安装OpenVPN客户端。 yum install
步骤四：验证连通性 操作步骤 打开客户端设备的命令行窗口。 执行命令：ping 192.168.1.10，验证连通性。 其中，192.168.1.10为客户端需要访问的弹性云服务器的IP地址，请根据实际替换。 回显如下信息，表示网络已通。 来自 xx.xx.xx.xx 的回复: 字节=32
根据Windows操作系统下载Easy-RSA安装包至“D:\”目录下。 Windows 32位操作系统，可以下载EasyRSA-3.1.7-win32.zip。 Windows 64位操作系统，可以下载EasyRSA-3.1.7-win64.zip。 此处以安装EasyRSA-3.1.7-win64为示例。
VPN连接的协商参数使用华为云缺省配置。 图1 拓扑连接及策略协商配置信息 配置步骤 根据strongswan版本不同，相关配置可能存在差异。本实例以strongswan 5.7.2版本为例，详细介绍strongswan在Linux环境下的VPN配置。 安装IPsec VPN客户端。 yum
根据Windows操作系统下载Easy-RSA安装包至“D:\”目录下。 Windows 32位操作系统，可以下载EasyRSA-3.1.7-win32.zip。 Windows 64位操作系统，可以下载EasyRSA-3.1.7-win64.zip。 此处以安装EasyRSA-3.1.7-win64为示例。
步骤五：配置对端网关设备 操作步骤 本示例对端网关以华为AR路由器为例。更多对端网关配置示例，请参见管理员指南。 登录AR路由器配置界面。 进入系统视图。 <AR651>system-view 配置公网接口的IP地址。本示例假设AR路由器GigabitEthernet 0/0/8为公网接口。
Key Usage 使用Easy-RSA的shell命令“./easyrsa build-server-full”生成的服务端证书默认携带此属性。 使用OpenSSL自签发的服务端证书不携带此扩展属性，需要在证书文件中补充配置“extendedKeyUsage = serverAuth”。
检查两端公网IP是否可以互访，推荐使用ping命令，VPN网关EIP缺省可以ping通。 云下网关与VPN网关可以互访UDP 500、4500报文。 云下公网IP访问VPN网关IP时，没有发生源端口NAT转换，如果存在NAT穿越，端口号在nat穿越后不得发生改变。 两端的IKE协商参数配置一致。 NAT穿越
检查两端公网IP是否可以互访，推荐使用ping命令，云端网关IP缺省可以ping通。 云下网关与云网关可以互访UDP 500、4500报文。 云下公网IP访问网关IP时，没有发生源端口NAT转换，如果存在nat穿越，端口号在nat穿越后不得发生改变。 两端的ike协商参数配置一致，nat穿越场景中云下
VPN连接？ 与云进行VPN连通时，需要云下有支持标准的IPsec设备和固定公网IP，二者缺一不可。 如果需要临时与云对接，可通过在主机上安装第三方软件完成与云的对接。 第三方IPsec软件推荐：strongSwan、Openswan、TheGreenBow等，对接指南详见管理员指南。
立VPN连接？ 与VPN网关连通时，需要云下有支持标准的IPsec设备和固定公网IP，二者缺一不可。 如果需要临时与云对接，可通过在主机上安装第三方软件完成与云的对接。 第三方IPsec软件推荐：strongSwan、Openswan、TheGreenBow等，对接指南详见管理员指南。
使用iperf3服务器端测试结果截图如图2所示。 图2 200M带宽服务端iperf3测试结果 互为对端的ECS都使用Centos7系统，测试速率可达180M，使用iperf3测试满足带宽要求。 服务器端ECS使用Centos7系统，客户端使用Windows系统，测试速率只有20M左右，使用iperf3和filezilla测试均不能满足带宽要求。
使用iperf3服务器端测试结果截图如图2所示。 图2 200M带宽服务端iperf3测试结果 互为对端的ECS都使用Centos7系统，测试速率可达180M，使用iperf3测试满足带宽要求。 服务器端ECS使用Centos7系统，客户端使用Windows系统，测试速率只有20M左右，使用iperf3和filezilla测试均不能满足带宽要求。
使用iperf3服务器端测试结果截图如图2所示。 图2 200M带宽服务端iperf3测试结果 互为对端的ECS都使用Centos7系统，测试速率可达180M，使用iperf3测试满足带宽要求。 服务器端ECS使用Centos7系统，客户端使用Windows系统，测试速率只有20M左右，使用iperf3和filezilla测试均不能满足带宽要求。
使用iperf3服务器端测试结果截图如图2所示。 图2 200M带宽服务端iperf3测试结果 互为对端的ECS都使用Centos7系统，测试速率可达180M，使用iperf3测试满足带宽要求。 服务器端ECS使用Centos7系统，客户端使用Windows系统，测试速率只有20M左右，使用iperf3和filezilla测试均不能满足带宽要求。
步骤三：配置客户端 前提条件 请确认已创建用户及用户密码。 请确认客户端设备可正常访问互联网。 下载客户端配置 在“终端入云VPN网关”页面，单击目标网关操作列的“下载客户端配置”，下载配置文件压缩包。 解压缩，得到“client_config.conf”、“client_config
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
