检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
连接数？ VPN连接，指一个VPN网关与用户侧一个独立的公网IP之间建立的IPsec连接，一个连接中可以配置多个本端子网（vpc中的子网）和对端子网（用户侧子网）， 无需配置多个连接。 拟创建VPN连接的数量通常与用户数据中心数量有关，每条VPN连接可打通当前VPC与云下的一个数据中心网络。
NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置感兴趣流不可使用地址对象名称。 协商信息：协商策略信息云上云下一致，特别注意PFS的配置。 确认一、二阶段协商均已正常后，请检查云上安全组策略，放行入方向的云下子网访问云上子网的ICMP协议。
连接数？ VPN连接，指一个VPN网关与用户侧一个独立的公网IP之间建立的IPsec连接，一个连接中可以配置多个本端子网（vpc中的子网）和对端子网（用户侧子网）， 无需配置多个连接。 拟创建VPN连接的数量通常与用户数据中心数量有关，每条VPN连接可打通当前VPC与云下的一个数据中心网络。
NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置感兴趣流不可使用地址对象名称。 协商信息：协商策略信息云上云下一致，特别注意PFS的配置。 确认一、二阶段协商均已正常后，请检查云上安全组策略，放行入方向的云下子网访问云上子网的ICMP协议。
VPN连接，指华为云的一个VPN网关与用户侧一个独立的公网IP之间建立的IPsec连接，一个连接中可以配置多个本端子网（vpc中的子网）和对端子网（用户侧子网）， 无需配置多个连接。 拟创建VPN连接的数量通常与用户数据中心数量有关，每条VPN连接可打通当前VPC与云下的一个数据中心网络。
改策略配置”，查看该VPN连接对应的IKE策略和IPsec策略详情。 检查云上VPN连接中的IKE策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。 如果第一阶段IKE SA已经建立，第二阶段IPsec SA未建立，常见情况为IPsec策略与数据中心远端的配置不一致。
请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 在页面左上角单击图标，选择“网络
EIP能作为VPN的网关IP吗？ 不可以。 VPN网关IP是在创建VPN网关时分配的，需要和系统内的相关配置信息结合使用，EIP不具备VPN对接服务的功能。 父主题： 产品咨询
连接数？ VPN连接，指一个VPN网关与用户侧一个独立的公网IP之间建立的IPsec连接，一个连接中可以配置多个本端子网（vpc中的子网）和对端子网（用户侧子网）， 无需配置多个连接。 拟创建VPN连接的数量通常与用户数据中心数量有关，每条VPN连接可打通当前VPC与云下的一个数据中心网络。
改策略配置”，查看该VPN连接对应的IKE策略和IPsec策略详情。 检查云上VPN连接中的IK E策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。 如果第一阶段IKE SA已经建立，第二阶段IPsec SA未建立，常见情况为IPsec策略与数据中心远端的配置不一致。
创建VPN连接时如何关闭PFS？ 云 请在VPN连接配置参数中，将IPsec策略中PFS的选项选择为Disable。云默认开启PFS。 用户数据中心对端网关 部分设备厂商默认关闭了PFS功能，请查询设备对应用户手册进行操作。 配置过程中，请确认云和对端网关侧PFS配置一致，否则会导致协商失败。 为了
改策略配置”，查看该VPN连接对应的IKE策略和IPsec策略详情。 检查云上VPN连接中的IKE策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。 如果第一阶段IKE SA已经建立，第二阶段IPsec SA未建立，常见情况为IPsec策略与数据中心远端的配置不一致。
国密型对端网关标识仅支持网关IP，且该网关IP地址值必须是静态地址。 FQDN类型标识的对端网关只支持策略模板模式对接。 VPN不支持对端设备配置策略的源和目的子网时使用地址组配置。 策略模板模式只支持ikev2。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 在页面左上角单击图标，选择“网络
访问VPC中部署的应用或服务，在使用终端入云VPN之前，需要创建VPN网关。 约束与限制 用户最多可创建50个VPN网关。 前提条件 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信
当VPN监控结果异常时，可以发送提醒信息吗？ 可以。 用户可以通过配置“消息通知服务”和 “云监控服务”实现VPN监控结果异常提醒。 配置消息通知服务 登录管理控制台。 选择“管理与监管＞消息通知服务” 选择“主题 ＞ 创建主题”，创建一个主题，如VPN-huaweicloud。
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数，未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条VPN连接参数。 此处仅对和第一条VPN连接配置不同的参数，未提及参数建议和第一条VPN连接配置保持一致。 表4 第二条VPN连接参数说明 参数 说明 取值参数
检查云上VPN连接中的IKE策略和IPsec策略中的协商模式和加密算法是否与远端配置一致。 如果第一阶段IKE策略已经建立，第二阶段的IPsec策略未开启，常见情况为IPsec策略与数据中心远端的配置不一致。 如果客户本地侧使用的是CISCO的物理设备，建议客户使用MD5算法。同
大多数的连接中断都是因为两端的配置信息错误造成的，或公网异常导致重协商失败造成的。 常见的连接中断原因有： 两端的ACL不匹配； SA生命周期不匹配； 用户侧数据中心未配置DPD； VPN使用过程中修改了配置信息； 运营商网络抖动。 因此请在配置VPN时确保操作和配置，以进行连接状态保活：
和对端网关的预共享密钥需要保持一致。 Test@123 策略配置 和对端网关的策略配置需要保持一致。 保持默认 配置第二条、第三条、第四条VPN连接参数。 此处仅名称、网关IP、对端网关、本端隧道接口地址和对端隧道接口地址的配置参数与第一条VPN连接不同，未提及参数建议和第一条VPN连接配置保持一致。 表6 第二条VPN连接参数说明
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
