检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
主备模式所示。 主备模式下，连接1和连接2互为主备，主链路为连接1，备链路为连接2。默认情况下流量仅通过主链路进行传输，如果主链路故障，流量自动切换至备链路进行传输，企业业务不受影响；主链路恢复正常后，VPN回切至主链路进行数据交互。 图2 主备模式 约束与限制 对端网关需要支持标准IKE和IPsec协议。
客户端设备可以正常访问互联网。 前提条件 请确认已获取服务端证书及私钥，并已创建用户及用户密码。如何自签发证书，请参见通过Easy-RSA自签发证书（服务端和客户端共用CA证书）。 请确认已通过云证书管理服务（Cloud Certificate Manager，CCM）托管服务端证书。如何托管服
云连接提供同账号或跨账号的连接，跨账号连接需要先获取授权。 自定义添加的子网系统不会做校验。 选择“域间带宽”页签，单击“配置域间带宽”，如果存在多个Region，需要按照链路使用情况将云连接建立时的总带宽进行划分，本示例将所有带宽用于两个Region互联，配置信息如图。 图5 配置域间带宽 验证路由信息，选择“路由信息”。
等。 API文档 API概览 如何调用API API 应用示例 SDK参考 常见问题 了解更多常见问题、案例和解决方案 热门案例 是否可以通过VPN实现跨境访问国外网站？ VPN网关删除后公网地址是否可以保留？ EIP能作为VPN的网关IP吗？ 如何将按需的VPN转为包周期？ VPN支持将两个VPC互连吗？
步骤三：配置客户端 前提条件 请确认已创建用户及用户密码。 请确认客户端设备可正常访问互联网。 操作步骤 下载客户端配置。 在“终端入云VPN网关”页面，单击目标网关操作列的“下载客户端配置”，下载配置文件压缩包。 解压缩，得到“client_config.conf”、“client_config
入云VPN基于SSL协议，两者适用于不同的应用场景。 站点入云VPN由VPN网关、对端网关和VPN连接组成。 VPN网关提供了VPC的公网出口，与用户数据中心的对端网关对应。 对端网关是云上的虚拟对象，用于记录用户数据中心实体设备的配置信息。 VPN连接通过加密技术，将VPN网关
IDC与云端对接，VPN连接正常，子网间业务无法互相访问？ 连接状态正常，说明两端的协商参数没有问题，排查项如下： 用户侧数据中心设备子网路由是否从网关开始逐跳指向VPN出口设备。 VPN设备有安全设置放行了子网间的数据互访。 IDC子网访问云端数据不做NAT。 确保两侧公网IP（网关IP）间访问不被阻拦。 父主题：
VPN支持将两个VPC互连吗？ 使用VPN会对本地网络造成哪些影响，访问云端主机在路由上会有哪些变化？ 在多出口的网络中，能否使用两个出口分别与同一VPC建立VPN连接做冗余配置？ 如何防止VPN连接出现中断情况？ 如何解决VPN连接无法建立连接问题？ EIP能作为VPN的网关IP吗？ VPN配置完成了，为什么连接一直处于未连接状态？
VPC：虚拟私有云是指云上隔离的、私密的虚拟网络环境，用户可通过虚拟专用网络（VPN）服务，安全访问云上虚拟网络内的主机（ECS）。 VPN网关：虚拟私有云中建立的出口网关设备，通过VPN网关可建立虚拟私有云和企业数据中心或其它区域VPC之间的安全可靠的加密通信。 VPN连接：是一种基于Internet的
如何理解VPN连接中的对端网关和对端子网？ 对端网关和对端子网是个相对的概念，在建立VPN连接时，从云的角度出发，VPC网络就是本地子网，创建的VPN网关就是本地网关，与之对接的用户侧网络就是对端子网， 用户侧的网关就是对端网关。 对端网关IP就是用户侧网关的公网IP，对端子网指需要和VPC子网互联的子网。
使用VPN会对本地网络造成哪些影响，访问云端主机在路由上会有哪些变化？ 在多出口的网络中，能否使用两个出口分别与同一VPC建立VPN连接做冗余配置？ 如何防止VPN连接出现中断情况？ 为什么VPN创建成功后状态显示未连接？ 如何解决VPN连接无法建立连接问题？ EIP能作为VPN的网关IP吗？
VPN网关“计费模式”为“按需计费”场景下，若备EIP为按流量计费，强烈建议用户在云监控中配置告警规则对备EIP进行监控，避免因VPN连接故障、主链路切换至备链路导致的流量费用超支问题。 如何在云监控中对EIP配置告警规则，请参见创建告警规则。 现在创建 企业项目 创建VPN时，可以将VPN加入已启用的企业项目。
169.254.70.2/30 对端隧道接口地址 配置在用户侧设备上的tunnel接口地址。 169.254.70.1/30 检测机制 用于多链路场景下路由可靠性检测。 说明： 功能开启前，请确认对端网关支持ICMP功能，且对端接口地址已在对端网关上正确配置，否则会导致VPN流量不通。
为什么我开通VPN后，云端ECS会有公网IP的访问信息？ 此现象多因您在VPN对接之前，ECS绑定了EIP。即用户除了通过VPN，也可通过公网地址直接访问该ECS。 VPN打通后，在感兴趣流内的主机访问云端ECS时会封装在隧道中。 如果ECS绑定了EIP，则非VPN网络中的设备仍可通过EIP直接访问该ECS。
创建VPN连接监控。连接监控是网关之间的健康检查，添加健康检查可以配置VPN网关、向对端网关发送监测报文，统计链路往返时延和丢包率，用于检测VPN连接的质量。 调用方法 请参见如何调用API。 URI POST /v5/{project_id}/connection-monitors 表1
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
0/24和192.168.4.0/24，VPC下的子网为192.168.1.0/24和192.168.2.0/24 ，VPC上IPsec隧道的出口公网IP为1.1.1.1（从VPC上IPsec VPN的本端网关参数上获取）。 配置步骤 登录防火墙设备的命令行配置界面。 查看防火墙版本信息。
IDC与云端对接，VPN连接正常，子网间业务无法互相访问？ 连接状态正常，说明两端的协商参数没有问题，排查项如下： 用户侧数据中心设备子网路由是否从网关开始逐跳指向VPN出口设备。 VPN设备有安全设置放行了子网间的数据互访。 IDC子网访问云端数据不做NAT。 确保两侧公网IP（网关IP）间访问不被阻拦。 父主题：
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
示例：使用StrongSwan配置云上云下互通 操作场景 云端在VPC中购买了VPN网关和连接，云下客户使用主机安装IPsec软件与云端对接，客户主机在出口网络进行了一对一的NAT映射。 拓扑连接 本场景拓扑连接及策略协商配置信息如图1所示， 云上VPC的VPN网关IP：11.11.11.11，本地子网：192
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
