检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
操作指引 场景介绍 华为云VPN网关通过BGP路由模式对接阿里云的典型组网如图 典型组网所示。 图1 典型组网 本场景下，阿里云VPN网关仅支持单IP地址方案，华为云VPN网关的主EIP、主EIP2分别和该IP地址创建一条VPN连接。 数据规划 表1 数据规划 部件 参数项 阿里云规划示例
EIP的名称和弹性公网IP类型需要到EIP界面修改。 支持 本端子网 VPC与对端网关对应数据中心互通的子网。 支持 计费模式 包括包年/包月和按需计费。 支持 VPN连接组数 仅“计费模式”为“包年/包月”时需要设置。 支持 区域 选择靠近您所在地域的区域可以降低网络时延，从而提高访问速度。 不同区域的资源之间网络不互通。
本地防火墙无法收到VPN网关的IKE第一阶段的回复包怎么解决？ 检查两端公网IP是否可以互访，推荐使用ping命令，云端网关IP缺省可以ping通。 云下网关与云网关可以互访UDP 500、4500报文。 云下公网IP访问网关IP时，没有发生源端口NAT转换，如果存在nat穿越，端口号在nat穿越后不得发生改变。
对端隧道接口地址 对端网关的Tunnel隧道IP地址。 169.254.70.1/30 预共享密钥、确认密钥 和防火墙连接的预共享密钥需要保持一致。 请根据实际设置 策略配置 和防火墙的策略配置需要保持一致。 IKE策略 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group
网关：1.1.1.2。 子网：192.168.2.0/24。 华为云端的VPN连接资源策略配置按照缺省信息配置，详见图2。 图2 策略配置 配置步骤 IPsec基础配置 登录防火墙管理页面，选择“网络 ＞ IPsec”，新建IPsec连接，详情如图4所示。 图3 新建IPsec连接1 图4
VPN标准和协议的设备，大部分都可以对接VPN。例如：Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表 对端支持列表 说明
对端隧道接口地址 对端网关的Tunnel隧道IP地址。 169.254.70.1/30 预共享密钥、确认密钥 和防火墙连接的预共享密钥需要保持一致。 请根据实际设置 策略配置 和防火墙的策略配置需要保持一致。 IKE策略 版本：v2 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group
增加VPN连接数：升配后，新连接数将在原来已有的时间周期内立即生效，您需补交新老配置的差价。 变更VPN网关规格：升配后，非固定IP接入特性将在原来已有的时间周期内立即生效，您需要补交新老配置的差价。 资源降配：新配置价格低于老配置价格，此时华为云会将新老配置的差价退给您。 降低EIP带宽大小：降配后，新带宽
VPN标准和协议的设备，大部分都可以对接VPN。例如：Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表 对端支持列表 说明
租户独享网关 支持 不支持 功能&特性 策略模式 支持 支持 路由模式 静态路由/BGP路由 不支持 VPN Hub 支持 不支持 企业路由器 支持 不支持 网络类型 公网/私网 公网 容量&性能 子网数量 路由模式：50 策略模式：5 策略模式：5 更多信息，请参见表 企业版VPN不同规格的区别。
）数将在原来已有的时间周期内立即生效，您需补交新老配置的差价。 变更VPN网关规格：升配后，非固定IP接入特性将在原来已有的时间周期内立即生效，您需要补交新老配置的差价。 资源降配：新配置价格低于老配置价格，此时华为云会将新老配置的差价退给您。 降低EIP带宽大小：降配后，新带宽
Test@123 确认密钥 再次输入预共享密钥。 Test@123 高级配置 默认配置。 自定义配置：自定义配置IKE策略和IPsec策略。相关配置说明请参见表 IKE策略和表 IPsec策略。 自定义配置 表3 IKE策略 参数 说明 取值样例 认证算法 认证哈希算法，支持的算法：
租户独享网关 支持 不支持 功能&特性 策略模式 支持 支持 路由模式 静态路由/BGP路由 不支持 VPN Hub 支持 不支持 企业路由器 支持 不支持 网络类型 公网/私网 公网 容量&性能 子网数量 路由模式：50 策略模式：5 策略模式：5 更多信息，请参见表 企业版VPN不同规格的区别。
支持绑定同一共享带宽下的EIP实例，从而节省带宽使用成本。 支持在创建EIP实例时，按需配置带宽大小。 支持非固定IP接入，典型场景帮助客户节省接入费用。 灵活易用 支持多种连接模式：一个网关支持配置策略、静态路由和BGP路由多种连接模式，满足不同对端网关的接入需要。 支持分支互访：支持云上VPN网关作为VPN
仅“关联模式”采用“虚拟私有云”时需要配置。 选择虚拟私有云VPC信息。 vpc-001(192.168.0.0/16) 企业路由器 仅“关联模式”采用“企业路由器”时需要配置。 选择企业路由器ER信息。 er-001 互联子网 仅“关联模式”采用“虚拟私有云”时需要配置。 用于
的剩余天数，补齐差价。 增加VPN连接数：升配后，新连接数将在原来已有的时间周期内立即生效，您需补交新老配置的差价。 续费降配：新配置价格低于老配置价格，此时华为云会将新老配置的差价退给您。 降低EIP带宽大小：降配后，新带宽在当前计费周期不生效。您需要选择续费时长并根据新的带宽
注意PFS和云下配置一致，部分设备默认关闭了PFS配置。 感兴趣流：两端ACL配置不互为镜像，特别注意云下的ACL配置不能采用地址组名称，要使用真实的IP地址+掩码。 NAT配置：云下子网访问云上子网配置为NONAT，云下公网IP不能被二次NAT为设备的接口IP。 安全策略：放行
ASN BGP自治系统号码。 64512 HA模式 选择VPN网关的工作模式。 双活 主EIP VPN网关和用户数据中心通信的公网IP1。 1.1.1.2 主EIP2 VPN网关和用户数据中心通信的公网IP2。 2.2.2.2 配置对端网关。 选择“虚拟专用网络 > 企业版-对端网关”，单击“创建对端网关”。
请以企业路由器价格详情中的价格为准。 变更配置后对计费的影响 如果您在购买按需计费实例后变更了实例配置，会产生一个新订单并开始按新配置的价格计费，旧订单自动失效。 如果您在一个小时内变更了实例配置，将会产生多条计费信息。每条计费信息的开始时间和结束时间对应不同配置在该小时内的生效时间。 例如，
图1 VPN连接配置 配置VPN安全策略。 选择“配置 > 攻击防范 > ACL > 高级ACL”，高级ACL填写完毕后单击“添加”，关键参数配置如图 高级ACL规则配置所示。 图2 高级ACL规则配置 配置业务路由。 选择“高级 > IP业务 > 路由 > 静态路由配置 > IPv4
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
