正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
假设数据中心的子网为192.168.3.0/24和192.168.4.0/24,数据中心IPsec隧道的出口公网IP为1.1.1.2;VPC下的子网为192.168.1.0/24和192.168.2.0/24 ,VPC上IPsec隧道的出口公网IP为1.1.1.1。 操作步骤 登录防火墙设备的命令行配置界面。
创建1个VPN网关使用的VPC。 创建VPC及子网,具体方法请参见创建虚拟私有云和子网。 您在创建VPN网关时,“虚拟私有云”需要选择该VPC,“互联子网”填写该VPC下的网段,请确保选择的互联子网存在4个及以上可分配的IP地址。 创建VPN网关,即在企业路由器中添加“VPN网关(VPN)”连接。 在虚拟专用网络管理控制台,创建VPN网关。
cgw-ar 标识 选择“IP Address”,并输入AR路由器的公网IP地址。 IP Address 1.1.1.1 创建VPN连接。 本场景下,AR路由器与VPN网关主EIP、主EIP2分别创建一条VPN连接。 选择“虚拟专用网络 > 企业版-VPN连接”,单击“创建VPN连接”。
Address”,并输入AR路由器的公网IP地址。 IP Address 1.1.1.1 BGP ASN AR路由器的BGP自治系统号码。 64515 配置VPN连接。 本场景下,AR路由器与VPN网关主EIP、主EIP2分别创建一条VPN连接。 选择“虚拟专用网络 > 企业版-VPN连接”,单击“创建VPN连接”。
请输入用户数据中心或私有网络的ASN。 对端网关的BGP ASN与VPN网关的BGP ASN不能相同。 65515 配置VPN连接。 本场景下,该网关仅支持单IP地址方案,华为云VPN网关的主备EIP分别和该IP地址创建一条VPN连接。 选择“虚拟专用网络 > 企业版-VPN连接”,单击“创建VPN连接”。
如果对端网关无固定IP,请选择FQDN类型标识。 说明: 请确认对端网关的ACL规则已经放通UDP端口4500。 IP Address 1.1.1.1 配置VPN连接。 本场景下,阿里云VPN网关仅支持单IP地址方案,华为云VPN网关的主备EIP分别和该IP地址创建一条VPN连接。 选择“虚拟专用网络 > 企业版-VPN连接”,单击“创建VPN连接”。
如果对端网关无固定IP,请选择FQDN类型标识。 说明: 请确认对端网关的ACL规则已经放通UDP端口4500。 IP Address 1.1.1.1 配置VPN连接。 本场景下,对端网关仅支持单IP地址方案,华为云VPN网关推荐使用双活模式,主EIP、主EIP2分别和该IP地址创建一条VPN连接。 选择“虚拟专用网络
对端设备的完整性算法(integrity Algorithm)与云测的认证算法(Authentication Algorithm)一致。 即在IKEv2场景下,云内Authentication算法同时控制Integrity Algorithm和PRF算法,在云内选定Authentication算法
在弹窗界面配置一阶段基本信息和高级配置项,配置界面如图4所示。 图4 参数配置 基本信息: 设备名称:自主命名一阶段连接名称,二阶段会调用此设备名称下的相关配置。 设备地址类型:选择“对端是固定IP”。 固定IP:云端VPN网关IP,本实例IP:22.22.22.22 认证方式:预共享密钥,即PSK,与云端密钥相同。
配置在对端网关上的tunnel接口地址,该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。 169.254.70.2 检测机制 用于多链路场景下路由可靠性检测,通过ICMP报文检测实现;使能NQA,您的对端设备需要允许ICMP响应请求。 勾选“使能NQA” 预共享密钥、确认密钥 和对端网关的预共享密钥需要保持一致。
配置在对端网关上的tunnel接口地址,该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。 169.254.70.2 检测机制 用于多链路场景下路由可靠性检测,通过ICMP报文检测实现;使能NQA,您的对端设备需要允许ICMP响应请求。 勾选“使能NQA” 预共享密钥、确认密钥 和对端网关的预共享密钥需要保持一致。
"port1" config router policy edit 2 //策略路由编号2,云下访问云端策略路由 set input-device "A1" set src "10.10.00/255.255
配置在对端网关上的tunnel接口地址,该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。 169.254.70.2 检测机制 用于多链路场景下路由可靠性检测,通过ICMP报文检测实现;使能NQA,您的对端设备需要允许ICMP响应请求。 勾选“使能NQA” 预共享密钥、确认密钥 和对端网关的预共享密钥需要保持一致。
当前包年/包月VPN资源的规格不满足您的业务需要时,您可以在控制台发起变更规格操作,变更时系统将按照如下规则为您计算变更费用: 包年/包月计费模式下,仅站点入云VPN和终端入云VPN支持变更配置,经典版VPN不支持。 资源升配: 升高EIP带宽大小:升配后,新带宽将在当前计费周期内立即生
ikev2-profile IKE-PROFILE sa duration time-based 3600 #将IPsec policy绑定在协商接口下 interface GigabitEthernet1/0/1 ip address 22.22.22.22 255.255.255