检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
操作指引 场景描述 VPN网关通过策略模式对接华为AR路由器的典型组网如图 典型组网所示。 图1 典型组网 本场景下以AR路由器单IP地址方案为例，VPN网关采用双活模式，主EIP、主EIP2分别和该IP地址创建一条VPN连接。 约束与限制 VPN和AR路由器支持的认证算法、加密
数据规划 表1 数据规划 部件 参数项 华为USG防火墙规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24
大约5分钟后，查看VPN连接状态。 华为云 选择“虚拟专用网络 > 企业版-VPN连接”，两条VPN连接状态显示为正常。 AR路由器 选择“高级 > VPN > IPSec > IPSec策略管理”，两条VPN连接状态显示为“READY|STAYLIVE”。 用户数据中心内服务器和华为云VPC子网内服务器可以相互Ping通。
操作指引 场景描述 VPN网关通过静态路由模式对接华为AR路由器的典型组网如图 典型组网所示。 图1 典型组网 本场景下以AR路由器单IP地址方案为例，VPN网关采用双活模式，主EIP、主EIP2分别和该IP地址创建一条VPN连接。 约束与限制 VPN和AR路由器支持的认证算法、
操作指引 场景描述 VPN网关通过BGP路由模式对接华为AR路由器的典型组网如图 典型组网所示。 图1 典型组网 本场景下以AR路由器单IP地址方案为例，VPN网关采用双活模式，主EIP、主EIP2分别和该IP地址创建一条VPN连接。 约束与限制 VPN和AR路由器支持的认证算法
结果验证 策略模式下，AR路由器使用1个接口创建2个VPN连接，由于AR路由器功能规格限制，同一时间只能有1个VPN连接是协商正常的。 大约5分钟后，查看VPN连接状态。 云侧管理控制台 选择“虚拟专用网络 > 企业版-VPN连接”，只有1条VPN连接状态显示为“正常”。 AR路由器
静态路由模式 操作指引 云侧控制台操作步骤 AR路由器侧操作步骤 结果验证 父主题： 对接华为AR路由器（双活连接）
BGP路由模式 操作指引 云侧控制台操作步骤 AR路由器侧操作步骤 结果验证 父主题： 对接华为AR路由器（双活连接）
/HW-IPsec200/ firewall zone untrust add interface /Tunnel200/ 配置路由信息。 配置华为云公网IP的静态路由。 ip route-static 1.1.1.2 255.255.255.255 1.1.1.1 //VPN网关主EIP+空格+255
虚拟私有云 虚拟私有云 选择华为云需要和用户数据中心通信的VPC。 vpc-001(192.168.0.0/16) 互联子网 用于VPN网关和用户数据中心的VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 华为云VPC需要与用户数据中心VPC互通的子网。
虚拟私有云 虚拟私有云 选择华为云需要和用户数据中心通信的VPC。 vpc-001(192.168.0.0/16) 互联子网 用于VPN网关和用户数据中心的VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 华为云VPC需要与用户数据中心VPC互通的子网。
虚拟私有云 虚拟私有云 选择华为云需要和用户数据中心通信的VPC。 vpc-001(192.168.0.0/16) 互联子网 用于VPN网关和用户数据中心的VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 本端子网 华为云VPC需要与用户数据中心VPC互通的子网。
AR路由器侧操作步骤 前提条件 已配置AR路由器WAN口IP地址：GE0/0/8，公网IP地址假设为1.1.1.1。 已配置AR路由器LAN口IP地址：GE0/0/1，私网IP地址假设为172.16.0.1。 操作步骤 登录AR路由器Web管理界面。 此处以AR651 V300R
AR路由器侧操作步骤 前提条件 已配置AR路由器上行公网网口：GE0/0/8，公网IP假设为1.1.1.1。 已配置AR路由器下行私网网口：GE0/0/1，私网IP假设为172.16.0.1。 操作步骤 登录AR路由器Web管理界面。 此处以AR651 V300R019C13SP
配置对端设备 配置对端设备详细请参见《虚拟专用网络管理员指南》，该指南可以帮助您配置本地的VPN设备，实现您本地网络与华为云VPC子网的互联互通。 详细配置示例可参见： 示例：HUAWEI USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow
AR路由器侧操作步骤 操作步骤 登录AR路由器配置界面。 进入系统视图。 <AR651>system-view 配置公网接口的IP地址。 [AR651]interface GigabitEthernet 0/0/8 [AR651-GigabitEthernet0/0/8]ip address
PN，但是不允许删除VPN的权限，控制他们对VPN资源的使用范围。 如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用VPN服务的其它功能。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
打通点到端的网络。 适用典型场景： 不同region之间创建VPN，实现跨region的VPC间网络互访。 华为云与友商云创建VPN，如与阿里云的VPC间网络互访。 华为云与客户IDC机房打通VPN，实现线上VPC与线下的IDC网络互访。 VPN HUB功能，结合对等连接和CC实现云下IDC与云上多VPC网络互访。
责任共担 华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的华为云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善华为云服务安全保障体系。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
