检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
VPN网关 VPN网关是虚拟专用网络在云上的虚拟网关，与用户本地网络、数据中心的对端网关建立安全私有连接。 VPN网关需要与用户数据中心的对端网关配合使用。 父主题： 基本概念
每条VPN连接可打通当前VPC与云下的一个数据中心网络。 请用户在购买包年/包月VPN网关时，根据规划连通的数据中心数量选择合适的VPN连接数。 例如，当云侧的网段a1、a2与用户侧网段b1、b2分别通信时，仅需创建一条VPN连接，在该连接中指定云侧多个源网段和多个地址网段即可。如下图所示：
预共享密钥 预共享密钥（Pre Shared Key），指配置在云上VPN连接的密钥，用于双方VPN设备的IKE协商，需要确保双方配置一致，否则会导致IKE协商失败。 相关链接： 建立IPsec VPN连接需要账户名和密码吗？ 父主题： 基本概念
VPN和OBS可以直接通信吗？ 可以。 用户站点通过VPN访问OBS服务，需要使用VPC终端节点服务。需要为内网DNS和OBS分别申请两个终端节点。 然后在用户侧配置云的内网DNS和路由 详细配置请参见访问OBS。 父主题： 组网与使用场景
身份认证与访问控制 站点入云VPN连接支持通过预共享密钥（PSK）方式对对端网关进行身份验证。 只有对端网关配置的预共享密钥和VPN连接配置的预共享密钥相同时，身份验证才能通过，VPN连接才能成功建立。 图1 身份和访问管理 父主题： 安全
当前访问云网关IP流量未从协商端口流出。 如果无多出口或出口路径正常，可尝试IPsec隧道两端同时修改一次PSK，重新触发协商。 如果重新触发协商失败，请确认两端配置的协商策略是否一致、感兴趣流是否互为镜像（条目数、子网均相同）。 如果协商策略和感兴趣流配置无误，请关停云下设备的
即当前访问云网关IP流量未从协商端口流出。 如果无多出口或出口路径正常，可尝试隧道两端同时修改一次PSK，重新触发协商。 如果重新触发协商失败，请确认两端配置的协商策略是否一致、感兴趣流是否互为镜像（条目数、掩码均相同）。 如果协商策略和感兴趣流配置无误，请关停云下设备的VPN
用户站点通过VPN访问OBS服务，需要使用VPC终端节点服务。需要为内网DNS和OBS分别申请两个终端节点。 详细配置请参见访问OBS。 在用户侧配置云的内网DNS和路由 父主题： 组网与使用场景
3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。
用户侧数据中心的网关设备没有固定的公网IP可以吗？ 可以。 用户数据中心与云进行VPN对接时，如果用户购买的VPN网关规格支持非固定IP接入能力，对端网关设备就可以使用非固定IP接入。 VPN网关是否支持非固定IP接入能力，以控制台实际上线区域为准。 父主题： 公网地址
3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。
因此该方案可行的。 这种场景是IPsec VPN的典型场景，请用户放心使用。 同时VPN连通以后，并不限定业务的发起方是云上还是用户侧数据中心，即用户可以从云上向用户侧数据中心发起业务，也可以反向。 用户在打通VPN以后，需要关注网络延迟和丢包情况，避免影响业务正常运行。 建议用
3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。
3次探测失败后即认为用户侧数据中心IKE异常，此时云会删除本端隧道，以保持双方的隧道同步。 DPD协议本身并不要求对端也同步进行配置（但是要求对端可以应答DPD探测），为了保证协商双方隧道状态一致，避免出现单边隧道（一端存在隧道，而另一端已不存在），建议用户同时启动用户侧网关的DPD探测机制，用于探测云侧VPN服务的IKE状态。
VPN配置完成了，为什么连接一直处于未连接状态？ 可能存在信息配置错误，请从以下方面进行排查： 确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/对端子网、本端网关/对端网关互为镜像。 确认用户侧数据中心设备的路由、NAT和安全策略配置无误。 父主题： 连接故障或无法PING通
VPN配置完成了，为什么连接一直处于未连接状态？ 可能存在信息配置错误，请从以下方面进行排查： 确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/对端子网、本端网关/对端网关互为镜像。 确认用户侧数据中心设备的路由、NAT和安全策略配置无误。 父主题： 热点问题
创建VPN连接时如何关闭PFS的Group配置？ 云在部分区域开启了PFS的Disable选项，推荐用户侧数据中心也开启PFS的Group配置。 PFS功能可以增强IKE二阶段协商的安全性，建议用户开启功能。 部分设备厂商默认关闭了PFS功能，请用户查询设备配置手册确保PFS功能打开。
VPN配置完成了，为什么连接一直处于未连接状态？ 可能存在信息配置错误，请从以下方面进行排查： 确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/对端子网、本端网关/对端网关互为镜像。 确认用户侧数据中心设备的路由、NAT和安全策略配置无误。 父主题： Console与页面使用
监控虚拟专用网络 监控是保持VPN可靠性、可用性和性能的重要部分，通过监控，用户可以观察VPN资源。为使用户更好地掌握自己的VPN运行状态，云平台提供了云监控服务。您可以使用该服务监控您的VPN，执行自动实时监控、告警和通知操作，帮助您更好地了解VPN的各项性能指标。 父主题： 监控
本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 用户侧数据中心配置VPN设备时，是需要独立创建ACL，且该ACL会被IPsec的策略引用。 云上配置VPN服务时，会根据管理控制台界面填入的本端子网和远端子网自动生成ACL，然后下发给VPN网关。其中ACL中的rule数量是两端子网数量的乘积。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
