检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
示例:Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙,通过该设备配置VPN与华为云VPC连通,两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息: 网关:1.1.1.1。 子网:192.168.1.0/24。 华为云侧信息: 网关:1.1
客户端无法ping通ECS的IP地址 故障现象 客户端正常连接终端入云VPN网关,但不能ping通需要访问的ECS的IP地址。 可能原因 客户端设备或ECS禁止ping探测。 VPN网关本端网段未包含需要访问的ECS的IP地址。 ECS安全组禁止ping探测。 处理步骤 确认客户端设备和ECS的访
静态路由模式 场景介绍 数据规划 华为云控制台操作步骤 防火墙侧操作步骤 结果验证 父主题: 对接华为USG防火墙
数据规划 表1 数据规划 部件 参数项 华为USG防火墙规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP:1.1.1.2 主EIP2:2.2.2.2 互联子网 - 192.168.2.0/24
对端VPN设备支持列表? 满足IPsec VPN标准和协议的设备,大部分都可以对接VPN。例如:Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表
如何配置和修改云上VPN的感兴趣流? 感兴趣流由本端子网与远端子网full-mesh生成,例如本端子网有2个,分别为A与B,远端子网有3个,分别为C、D和E,生成感兴趣流过ACL的rule如下: rule 1 permit ip source A destination C rule
配置VPN连接的本端子网和对端子网时需要注意什么? 子网数量满足规格限制,数量超出规格限制请进行聚合汇总。 每个VPN网关配置的本地子网数量:50。 每个VPN连接支持配置的对端子网个数:50。 本端子网不可以包含远端子网,远端子网可以包含本端子网。 推荐配置的本端子网在VPC内有路由可达。
对端VPN设备支持列表? 满足IPsec VPN标准和协议的设备,大部分都可以对接VPN。例如:Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表
如何配置和修改云上VPN的感兴趣流? 感兴趣流由本端子网与远端子网full-mesh生成,例如本端子网有2个,分别为A与B,远端子网有3个,分别为C、D和E,生成感兴趣流ACL的rule如下: rule 1 permit ip source A destination C rule
PN连接的用户数据中心网络。 图7 添加本端路由 修改VPN配置 VPC1和VPC2通过VPC-peering连接后,用户数据中心网络和VPC1之间的VPN子网也随即发生了变化,从VPN连接的角度看,VPC1的本地子网应该包含自身的子网和通过VPC-peering连接的VPC2的
名称 VPN连接的名称,只能由中文、英文字母、数字、下划线、中划线、点组成。 支持 BGP ASN 仅“路由模式”选择“动态BGP”时需要设置。 不支持 网关IP 对端网关和VPN网关通信的IP地址,该网关IP地址值必须是静态地址。 请确认数据中心或私有网络中的防火墙规则已经放通UDP端口4500。
VPN连接需要账户名和密码吗? 常见的使用账户名和密码进行认证的VPN有SSL VPN、PPTP或L2TP,IPsec VPN使用预共享密钥方式进行认证,密钥配置在VPN网关上,在VPN协商完成后即建立通道,VPN网关所保护的主机在进行通信时无需输入账户名和密码。 IPsec XAUTH技术是IPsec
数据保护技术 站点入云VPN是基于IKE/IPsec协议族,提供IP层安全的隧道技术,为IP数据包提供机密性和完整性,避免用户数据在不安全网络(如Internet)上被窃取、泄漏和篡改。 用户在创建站点入云VPN连接时,可以在策略配置中对数据进行加密和认证算法的配置。 站点入云VPN推荐使用的算法根据安全性从高到低排序如表
如何修改当前客户的VPN网关和连接的配额? 进入管理控制台,在界面右上方选择“工单管理 > 新建工单 ” 选择问题所属产品:选择“业务类 > 配额类”。 选择问题类型:单击“配额申请”。 新建工单:单击“新建工单”。 填写区域、问题描述等信息,单击“提交”。 父主题: 配额类
USG6600配置示例) 因为隧道的对称性,在云上的VPN参数和您的VPN中需要进行相同的配置,否则会导致VPN无法建立连接。 在您自己数据中心的路由器或者防火墙上需要进行IPsec VPN隧道配置,具体配置方法取决于您使用的网络设备,请查询对应设备厂商的指导书。 本文以Huawei
)。 用户侧数据中心IDC与其中一个VPC建立VPN连接。 修改用户侧数据中心设备的远端子网为云上两个VPC子网,VPN对接的VPC1本端子网需要包含通过对等连接或CC连接的子网,对等连接或CC的子网路由包含用户侧数据中心IDC子网。 父主题: 组网与使用场景
PN连接组的费用。 按需计费:后付费方式,VPN网关和VPN连接组按使用时长收取费用,计费周期为1小时。 不支持 VPN网关 已创建的VPN网关。 不支持 网关IP 对端网关和VPN网关通信的IP地址,该网关IP地址值必须是静态地址。 请确认数据中心或私有网络中的防火墙规则已经放通UDP端口4500。
VPN网关带宽计费方式在选择按带宽计费和按流量计费时有什么差别? VPN网关带宽的计费方式是针对VPN网关的。 如果选择按需付费方式(即后付费),可以选择按带宽或按流量计费 : 按带宽计费,计费的周期为1小时,费用也会因带宽大小存在差异。 按流量计费,统计1小时内产生的流量费用,调整带宽大小不
购买VPN网关和连接后,发现云下没有支持IPsec的设备,如何临时建立VPN连接? 与云进行VPN连通时,需要云下有支持标准的IPsec设备和固定公网IP,二者缺一不可。 如果需要临时与云对接,可通过在主机上安装第三方软件完成与云的对接。 第三方IPsec软件推荐:strongS
数据中心与VPC之间的通信隧道。 配置VPN时需要注意以下几点: 本端子网与对端子网不能重复。 本端和对端的IKE策略、IPsec策略、PSK相同。 本端和对端子网,网关等参数对称。 VPC内弹性云服务器安全组允许访问对端和被对端访问。 VPN对接成功后两端的服务器或者虚拟机之间