检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
大多数的连接中断都是因为两端的配置信息错误造成的，或公网异常导致重协商失败造成的。 常见的连接中断原因有： 两端的ACL不匹配； SA生命周期不匹配； 用户侧数据中心未配置DPD； VPN使用过程中修改了配置信息； 运营商网络抖动。 因此请在配置VPN时确保操作和配置，以进行连接状态保活：
检查云上VPN连接中的IKE策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。 如果第一阶段IKE策略已经建立，第二阶段的IPsec策略未开启，常见情况为IPsec策略与数据中心远端的配置不一致。 如果客户本地侧使用的是CISCO的物理设备，建议客户使用MD5算法。同
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数，未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数，未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
方案概述 应用场景 某大型跨国公司数据中心部署在泰国，云上业务部署在华为云华南区，存在云上云下业务访问诉求。该场景下如果直接将泰国数据中心通过虚拟专用网络VPN连接到华南区的私有虚拟云VPC，则会出现网络不稳定的问题。 本方案采用云连接CC配合虚拟专用网络，实现跨境网络稳定连通。
修订记录 表1 修订记录 发布日期 更新说明 2024-08-31 第八次正式发布。文档内容更新为： 新增批量创建VPN用户、批量删除VPN用户章节。 2024-08-23 第七次正式发布。文档内容更新为： 新增站点入云VPN授权项列表、终端入云VPN授权项列表、服务公共接口授权项列表章节。
如何修改VPN的带宽大小？ 在VPN网关列表，单击目标VPN网关名称，进入网关详情页面。 单击EIP带宽大小后的“修改”。 配置EIP带宽信息。 按需的VPN可自由修改带宽大小。 包年/包月的VPN只可进行带宽扩容，不可降低带宽大小。 父主题： 带宽与网速
USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow IPsec VPN Client配置云上云下互通 示例：使用OpenSwan配置云上云下互通 示例：使用StrongSwan配置云上云下互通 示例：Web配置华为USG防火墙
0/24 预共享密钥 配置在云上VPN连接的密钥，需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。 取值范围：6~128位。 Test@123 确认密钥 再次输入预共享密钥。 Test@123 高级配置 默认配置。 自定义配置：自定义配置IKE策略和IPsec策略。相关配置说明请参见表2和表3。
0/24 预共享密钥 配置在云上VPN连接的密钥，需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。 取值范围：6~128位。 Test@123 确认密钥 再次输入预共享密钥。 Test@123 高级配置 默认配置。 自定义配置：自定义配置IKE策略和IPsec策略。相关配置说明请参见表2和表3。
Test@123 确认密钥 再次输入预共享密钥。 Test@123 高级配置 默认配置。 已有配置。 自定义配置：包含IKE策略和IPsec策略，用于指定VPN隧道加密算法。相关配置说明请参见表 IKE策略和表 IPsec策略。 自定义配置 表2 IKE策略 参数 说明 取值样例 认证算法 认证哈希算法，支持的算法：
选择“目的路由”。 目的路由 高级配置 DPD 华为云DPD默认为45秒，不支持配置。 45 健康检测 本地地址和对端地址与华为云连接的Tunnel地址对应。 说明： 健康检查必须配置，否则腾讯云连接故障后流量无法切换。 健康 IKE配置 （选填） 版本 IKE配置需要和表3配置的IKE策略保持一致。
在超过生存时间后，安全联盟将被重新协商。 单位：秒。 取值范围：60~604800 默认配置为：86400。 √ 本端标识 IPsec连接协商时，VPN网关的鉴权标识。在对端网关配置的VPN网关标识需要和此处配置的本端标识保持一致，否则协商失败。 默认配置为：VPN网关的EIP。 × IPsec策略 认证算法 认证哈希算法，支持的算法：
两种方式。IPsec通信时，优先使用IKE对等体的DPD配置参数，如果对等体未配置DPD，则采用全局DPD配置参数。 检测模式：分为按需和周期性检测。华为设备缺省配置中无全局检测配置，是否开启对等体检测要看对等体的DPD配置是否使能。 按需型：当本端需要向对端发送IPsec报文时
hub连接拓扑 配置思路： 通过云连接将VPC1、VPC2和VPC3进行连接，并配置云连接路由，实际网络配置需要购买带宽包。 分别创建IDC1-VPC1、IDC2-VPC2、IDC3-VPC3的VPN网络。 更新每一段VPN的本地子网和远端子网。 局点配置说明 表1 配置说明 节点 标识
SA的安全性。 为了增强安全性，默认开启PFS，请确认用户侧数据中心网关设备也开启了该功能，且两端配置保持一致，否则会导致协商失败。 IPsec SA字节生命周期，不是VPN服务可配置参数，云侧采用的是默认配置1843200KB。该参数不是协商参数，不影响双方建立IPsec SA。 父主题： VPN协商与对接
接虚拟网关和物理连接。 配置IDC侧路由：在线下IDC侧路由设备配置网络参数。 步骤三：在企业路由器中添加并配置VPC连接 在企业路由器中添加“虚拟私有云（VPC）”连接：将1个业务VPC接入企业路由器中。 在VPC路由表中配置路由：在VPC路由表中配置到企业路由器的路由信息，目的地址为IDC侧网段。
VPN感兴趣流 本地设备配置VPN时需要设置ACL，为何在Console上找不到对应的配置？ 如何配置和修改云上VPN的感兴趣流？ 父主题： 站点入云VPN经典版
VPN感兴趣流 本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 如何配置和修改云上VPN的感兴趣流？ 父主题： 站点入云VPN企业版
当VPN监控结果异常时，可以发送提醒信息吗？ 可以。 用户可以通过配置“消息通知服务”和 “云监控服务”实现VPN监控结果异常提醒。 配置消息通知服务 登录管理控制台。 选择“管理与监管＞消息通知服务” 选择“主题 ＞ 创建主题”，创建一个主题，如VPN-huaweicloud。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
