检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
步骤一：创建VPN网关 前提条件 虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。 虚拟私有云VPC中ECS的安全组规则已经配置，并确保安全组规则允许数据中心的对端网关可以访问VPC资源。如何配置安全组规则，请参见安全组规则。 操作步骤 登录管理控制台。
如果您需要将VPC中的弹性云服务器和您的数据中心或私有网络连通，创建VPN连接之前，需要创建对端网关。 约束与限制 国密型对端网关标识仅支持网关IP，且该网关IP地址值必须是静态地址。 FQDN类型标识的对端网关只支持策略模板模式对接。 VPN不支持对端设备配置策略的源和目的子网时使用地址组配置。
SA生命周期不匹配； 用户侧数据中心未配置DPD； VPN使用过程中修改了配置信息； 运营商网络抖动。 因此请在配置VPN时确保操作和配置，以进行连接状态保活： 两端的子网配置互为镜像； SA生命周期信息一致； 用户侧数据中心网关开启DPD配置，探测次数不少于3次； 连接过程中修改参数两侧同步修改；
VPN接入VPC的网络地址如何规划？ 云上VPC地址段和客户云下的地址段不能冲突，且不允许存在包含关系。 为避免和云服务地址冲突，用户侧网络应尽量避免使用127.0.0.0/8、169.254.0.0/16、224.0.0.0/3、100.64.0.0/10的网段。 父主题： 产品咨询
如何选择在云上的哪个区域创建VPN网关？ 在云上创建VPN网关，您可以选择任一区域的VPC进行创建。 推荐您选择与IDC同城的区域创建VPN网关，这样可以更大程度降低因公网质量对VPN的影响。 同区域的多个VPC，只需创建一个VPN网关，其它VPC可以通过对等连接（免费）打通。
如何选择购买VPN带宽的大小？ 购买VPN时，选择带宽大小需要考虑以下两个因素： VPN隧道中单位时间的数据传输量（需要冗余一定带宽，防止链路拥塞）。 考虑两端的出口带宽，云上带宽要小于云下出口带宽。 父主题： 产品咨询
如何选择在云上的哪个区域创建VPN网关？ 在云上创建VPN网关，您可以选择任一区域的VPC进行创建。 推荐您选择与IDC同城的区域创建VPN网关，这样可以更大程度降低因公网质量对VPN的影响。 同区域的多个VPC，可以通过VPN+DC的方式进行打通。 跨区域的多个VPC，可以通过VPN+CC的方式进行打通。
创建VPN网关时IP是如何分配的？ VPN网关IP是一组提前规划好的地址组，提前预置了VPN的相关配置。 在用户创建VPN网关时，系统会随机分配一个IP地址和VPC进行绑定，且这个IP地址也只能绑定1个VPC。 因为VPN的网关IP存在预置数据，在创建VPN网关时也不能指定IP地
VPN接入VPC的网络地址如何规划？ 云上VPC地址段和客户云下的地址段不能冲突，且不允许存在包含关系。 为避免和云服务地址冲突，用户侧网络应尽量避免使用127.0.0.0/8、169.254.0.0/16、224.0.0.0/3、100.64.0.0/10的网段。 父主题： VPN子网设置
如何选择购买VPN带宽的大小？ 购买VPN时，选择带宽大小需要考虑以下两个因素： VPN隧道中单位时间的数据传输量（需要冗余一定带宽，防止链路拥塞）。 考虑两端的出口带宽，云上带宽要小于云下出口带宽。 父主题： 带宽与网速
需要2+2，共4个报文。 认证方法不同。 数字信封认证（hss-de）仅IKEv1支持（需要安装加密卡），IKEv2不支持。 IKEv2支持EAP身份认证。IKEv2可以借助AAA服务器对远程接入的PC、手机等进行身份认证、分配私网IP地址。IKEv1无法提供此功能，必须借助L2TP来分配私网地址。
下载客户端配置 场景描述 服务端配置完成后，您需要在VPN网关页面下载客户端对应的配置，用于和服务端建立VPN连接。 约束与限制 服务端配置完成后，您需要在VPN网关页面下载客户端对应的配置，用于和服务端建立VPN连接。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。
请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 单击服务列表，选择““网络” >
请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 单击服务列表，选择““网络” >
正在使用VPN出现了连接中断，提示DPD超时，如何排查？ 出现DPD超时的连接中断是因为两端网络访问无数据，在SA老化后发送DPD未得到对端响应而删除连接。 解决方法： 开启用户侧数据中心设备的DPD配置，测试两端的数据流均可触发连接建立； 在两端的主机中部署Ping shell脚本，也可在用
目的网段2：172.16.1.0/24,172.16.2.0/24 策略配置 默认配置。 自定义配置：自定义配置IKE策略和IPsec策略。相关配置说明请参见表2和表3。 自定义配置 策略模板配置 仅“连接模式”采用“策略模板模式”时需要配置。 此处不支持对策略模板进行修改，如需修改，请参见修改V
正在使用VPN出现了连接中断，提示数据流不匹配，如何排查？ 这通常是由于云上与用户侧数据中心设备配置的ACL不匹配造成的。 首先确认两端VPN连接的子网信息是否配置一致，确保云端生成的ACL与用户侧数据中心ACL配置互为镜像 用户侧数据中心感兴趣流配置推荐使用“子网/掩码”的格式，避免使用网络地址对象模式，即address
如何将按需的VPN转为包年/包月？ 前提条件 计费方式选择为按带宽计费。即当前支持按带宽计费的按需计费方式转包年/包月。 按需按流量转包年/包月，需要先将按需按流量转为按需按带宽，再转包年/包月。 操作步骤 用户可以通过以下操作，在服务界面中将按带宽计费VPN网关转为包年/包月。
需要2+2，共4个报文。 认证方法不同。 数字信封认证（hss-de）仅IKEv1支持（需要安装加密卡），IKEv2不支持。 IKEv2支持EAP身份认证。IKEv2可以借助AAA服务器对远程接入的PC、手机等进行身份认证、分配私网IP地址。IKEv1无法提供此功能，必须借助L2TP来分配私网地址。
华为云端的VPN连接资源策略配置按照图2所示信息配置，使用DMZ区域专用的VPN设备进行NAT穿越连接时，协商模式修改为野蛮模式；使用防火墙进行连接协商模式选择缺省。 图2 华为云VPN策略配置 配置步骤 本示例以华为云端VPN配置信息为基础，详细介绍用户侧深信服设备的VPN配置。 配置IPsec
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
