检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备按照策略限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 不建议通过修改本端子网和对端子网的方式来限定访问。 父主题： 产品咨询
控制台上创建的对端网关是云上虚拟对象，用于记录用户数据中心实体设备的配置信息。 VPN连接：VPN网关和对端网关之间的安全通道，使用IKE和IPsec协议对传输数据进行加密。 终端入云VPN VPN网关：虚拟专用网络在云上的虚拟网关，与客户端建立安全私有连接。
用户数据中心1的VPN设备对端网络中需要包含华为云VPC的本端子网和用户数据中心2的待互通子网；用户数据中心2的VPN设备对端网络中需要包含华为云VPC的本端子网和用户数据中心1的待互通子网。 操作步骤 华为云VPN服务支持静态路由模式、BGP路由模式和策略模式三种连接模式。
将VPN资源委托给更专业、高效的其他华为云账号或者云服务，这些账号或者云服务可以根据权限进行代运维。 如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用VPN服务的其它功能。 本章节为您介绍对用户授权的方法，操作流程如图1所示。
预共享密钥无法在云上直接查看。如果不确认预共享密钥，建议根据客户设备侧的预共享密钥对VPN连接的预共享密钥进行重置。 可以选择“虚拟专用网络 > 企业版-VPN连接”，选择“更多 > 重置密钥”进行重置。
数据规划 表1 数据规划 部件 参数项 AR路由器规划示例 华为云规划示例 VPC 子网 172.16.0.0/16 192.168.0.0/24 192.168.1.0/24 VPN网关 网关IP 1.1.1.1（AR路由器上行公网网口GE0/0/8的接口IP） 主EIP：1.1.1.2
操作步骤 华为云VPN服务支持静态路由模式、BGP路由模式和策略模式三种连接模式。本示例以静态路由模式进行配置讲解。 登录华为云管理控制台。 选择“网络 > 虚拟专用网络”。 配置VPN网关。 选择“虚拟专用网络 > 企业版-VPN网关”，单击“创建VPN网关”。
用户数据中心内服务器和华为云VPC子网内服务器可以相互Ping通。 父主题： 通过VPN实现专线加密
数据规划 表1 数据规划 部件 参数项 AR路由器规划示例 华为云规划示例 VPC 子网 172.16.0.0/16 192.168.0.0/24 192.168.1.0/24 VPN网关 网关IP 1.1.1.1（AR路由器上行公网网口GE0/0/8的接口IP） 主EIP：1.1.1.2
数据规划 表1 数据规划 部件 参数项 AR路由器规划示例 华为云规划示例 VPC 子网 172.16.0.0/16 192.168.0.0/24 192.168.1.0/24 VPN网关 网关IP 1.1.1.1（AR路由器上行公网网口GE0/0/8的接口IP） 主EIP：1.1.1.2
处理步骤 请在客户端设备上尝试访问其他Internet服务，查看网络是否正常。 如果无法访问，请联系运营商排除网络问题。 登录华为云管理控制台。 找到对应的VPN网关，查看服务端的协议和端口与客户端配置文件中的信息是否一致。
预共享密钥无法在云上直接查看。如果不确认预共享密钥，建议根据客户设备侧的预共享密钥对VPN连接的预共享密钥进行重置。 可以选择“虚拟专用网络 > 企业版-VPN连接”，选择“更多 > 重置密钥”进行重置。
处理步骤 登录华为云管理控制台。 下载客户端配置，会生成“client_config.ovpn”文件。 打开“client_config.ovpn”文件，在“disable-dco”配置项前加上“#”注释。 保存配置文件后，客户端使用新的配置重新接入。 父主题： 客户端连接失败
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备的按照策略中限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 所有的限定规则需要添加在建立VPN隧道之前的设备上。不建议通过修改本端子网和远端子网的方式来限定访问。
命名空间 SYS.VPN 监控指标 表1 企业版VPN网关支持的监控指标 指标ID 指标名称 指标含义 取值范围 测量对象 监控周期（原始指标） gateway_send_pkt_rate 出云包速率 该指标用于统计测量对象平均每秒出云的数据包数量。
路由设置：将访问云上子网的数据送入隧道。 安全策略：放行云下子网访问云上子网的流量。 NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置感兴趣流不可使用地址对象名称。
路由设置：将访问云上子网的数据送入隧道。 安全策略：放行云下子网访问云上子网的流量。 NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE v2配置感兴趣流不可使用地址对象名称。
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备的按照策略中限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 所有的限定规则需要添加在建立VPN隧道之前的设备上。不建议通过修改本端子网和远端子网的方式来限定访问。
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备按照策略限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 不建议通过修改本端子网和对端子网的方式来限定访问。 父主题： VPN协商与对接
配置验证 本地子网与云上子网互访正常。 父主题： 站点入云VPN经典版
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
