检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
可能原因 客户端配置文件中的证书和私钥与VPN网关“服务端”页签中导入的客户端CA证书不匹配。 处理步骤 若VPN网关“服务端”页签中导入的客户端CA证书不正确，请在VPN网关的服务端中导入正确的CA证书，并删除错误的CA证书，再使用客户端重新接入。 若客户端配置文件中的证书和私钥不正
String 功能说明：证书名称。 取值范围：1-64个字符，支持数字、英文字母、中文(\u4e00 - \u9fa5)、_(下划线)、-(中划线) issuer String 功能说明：证书颁发者。 取值范围：1-256个字符。 subject String 功能说明：证书使用者。 取值范围：1-256个字符。
deleteVpnAccessPolicy 下载客户端配置 vpn-server exportClientConfig 导入客户端CA证书 vpn-server importClientCa 修改客户端CA证书 vpn-server updateClientCa 删除客户端CA证书 vpn-server deleteClientCa
方案概述 应用场景 终端入云VPN支持证书认证，服务端使用客户端CA证书验证客户端身份。 方案架构 支持多个客户端使用CA颁发的证书，登录连接VPN网关访问到云上VPC的场景。 图1 方案架构 方案优势 用户通过客户端证书认证方式连接到VPN网关，用户数据传输更安全。 约束与限制
为弹性云服务器配置安全组规则，允许通过VPN进出用户数据中心的报文。 检查VPC安全组。 从用户数据中心ping云服务器，验证安全组是否允许通过VPN进出用户数据中心的报文。 检查远端LAN配置（即对端数据中心网络配置）。 在远程LAN（对端数据中心网络）配置中有可以将VPN流
场景一：桌面云+VPC场景的客户端配置 全局参数配置 修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。 图5 全局参数配置 IKE第一阶段配置 右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图6。 图6
场景一：桌面云+VPC场景的客户端配置 全局参数配置 修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。 图5 全局参数配置 IKE第一阶段配置 右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图6。 图6
修改已创建的对端网关 场景描述 用户创建对端网关后，可以修改已创建的对端网关名称，国密型对端网关同时支持添加或更换CA证书。 添加或更换CA证书相关操作请参见上传对端网关证书和更换对端网关证书。 操作步骤 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 在页面左上角单击图标，选择“网络
部分网段或者部分主机，可以通过安全组进行控制。 配置示例：不允许客户侧的子网192.168.1.0/24方位VPC内子网10.1.0.0/24下的ECS。 配置方法： 创建两个安全组：安全组1和安全组2。 安全组1的入方向规则配置deny网段192.168.1.0/24。 安全组2允许192
VPN连接需要账户名和密码吗？ 常见的使用账户名和密码进行认证的VPN有SSL VPN，PPTP或L2TP，IPsec VPN使用预共享密钥方式进行认证，密钥是配置在VPN网关上的，在VPN协商完成后即建立通道，VPN网关所保护的主机在进行通信时无需输入账户名和密码。 IPsec XAUTH技术是IPsec
OpenSSL: error:0A080009:SSL routines::PEM lib: 可能原因 客户端配置文件中缺少客户端证书和私钥。 处理步骤 请复制客户端证书和私钥到客户端配置文件中，再重新接入。 父主题： 客户端连接失败
步骤三：配置客户端 前提条件 请确认已创建用户及用户密码。 请确认客户端设备可正常访问互联网。 下载客户端配置 在“终端入云VPN网关”页面，单击目标网关操作列的“下载客户端配置”，下载配置文件压缩包。 解压缩，得到“client_config.conf”、“client_config
创建VPN服务端 查询网关下VPN服务端 修改VPN服务端 导出VPN服务端对应的客户端配置 查询租户下所有VPN服务端 校验客户端CA证书 上传客户端CA 证书 查询客户端CA证书 修改客户端CA证书 删除客户端CA证书 父主题： 终端入云VPN API
配置对端设备 配置对端设备详细请参见《虚拟专用网络管理员指南》，该指南可以帮助您配置本地的VPN设备，实现您本地网络与华为云VPC子网的互联互通。 详细配置示例可参见： 示例：HUAWEI USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow
配置VPN连接的SSL参数（协议、端口、认证算法、加密算法等）。 3 步骤三：配置客户端 从控制台下载客户端配置，对配置文件进行修改后导入对应的VPN客户端软件。 4 步骤四：验证连通性 打开客户端设备的命令行窗口，执行ping命令，验证连通性。 父主题： 通过企业版终端入云VPN实现移动端和VPC互通
VPN连接需要账户名和密码吗？ 常见的使用账户名和密码进行认证的VPN有SSL VPN、PPTP或L2TP，IPsec VPN使用预共享密钥方式进行认证，密钥配置在VPN网关上，在VPN协商完成后即建立通道，VPN网关所保护的主机在进行通信时无需输入账户名和密码。 IPsec XAUTH技术是IPsec
build-server-full”生成的服务端证书默认携带此属性。 使用OpenSSL自签发的服务端证书不携带此扩展属性，需要在证书文件中补充配置“extendedKeyUsage = serverAuth”。 将包含该属性的服务端证书托管到云证书管理服务中，在VPN网关的“服务端”
公司内网。 连接方式 IPsec VPN：要求两端有固定的网关设备，如防火墙或路由器； 管理员需要分别配置两端网关完成IPsec VPN协商。 SSL VPN：需要在主机上安装指定的Client软件，通过用户名/密码拨号连接至SSL设备。 VPN目前仅支持IPsec VPN，不支持SSL
VPN是点对网的连接。 连接方式 IPsec VPN要求两端有固定的网关设备，如防火墙或路由器，管理员需要分别配置两端网关完成IPsec VPN协商。 SSL VPN需要在主机上安装指定的Client软件，通过用户名/密码拨号连接至SSL设备。 VPN目前仅支持IPsec VPN，不支持SSL
服务端证书，推荐使用强密码算法的证书，如RSA3072/4096。 ssl_options ssl_options object 否 SSL隧道协议的可选配置项 client_auth_type String 否 功能说明：客户端认证类型 取值范围： CERT：证书认证 LOCAL_PASSWORD：口令认证（本地）
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
