检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
应用场景 终端设备接入VPC 用户在PC或手机等终端设备上使用客户端软件远程访问云上VPC，建立与云上资源的连接，如图 终端设备远程接入VPC所示。 图1 终端设备远程接入VPC 混合云部署 通过VPN将用户数据中心和云上VPC互联，利用云上弹性和快速伸缩能力，扩展应用计算能力，如图
VPN网关删除后公网地址是否可以保留？ 创建VPN是需要创建VPN网关还是VPN连接，已经创建的VPN哪些信息可以修改，哪些信息不可以修改？ 本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 创建VPN连接时添加远端子网，提示系统异常，如何处理？ Console界面在哪添加VPN远端路由？
VPN网关需要绑定两个EIP作为出口公网IP。 如果您已经购买EIP，则此处可以直接绑定使用。 2 步骤二：创建对端网关 添加数据中心的VPN设备为对端网关。 3 步骤三：创建第一条VPN连接 VPN网关的主EIP和对端网关组建第一条VPN连接。 4 步骤四：创建第二条VPN连接 V
Down状态。所谓的数据流，可以是真实的业务访问数据，也可以是主机间Ping测数据。 触发隧道建立的方式有两种，一种是通过建立连接间的网关设备自动触发协商，另一种是通过云上云下主机间的交互流量触发。 暂不支持通过云端VPN网关自动触发协商。推荐您在首次建立连接时，分别验证两侧的交
首先需要确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/远端子网、本端网关/远端网关互为镜像。 其次确认用户侧数据中心设备的路由、NAT和安全策略配置无误，最后通过两端的子网互PING对端子网主机。 因为VPN是基于数据流触发的，在配置完成后需要从任一端子网主
Down状态。所谓的数据流，可以是真实的业务访问数据，也可以是主机间Ping测数据。 触发隧道建立的方式有两种，一种是通过建立连接间的网关设备自动触发协商，另一种是通过云上云下主机间的交互流量触发。 暂不支持通过云端VPN网关自动触发协商。推荐您在首次建立连接时，分别验证两侧的交
DPD的核心配置包含检测模式、检测时间、报文格式等。以华为设备为例，配置DPD的方法有全局配置和IKE对等体两种方式。IPsec通信时，优先使用IKE对等体的DPD配置参数，如果对等体未配置DPD，则采用全局DPD配置参数。 检测模式：分为按需和周期性检测。华为设备缺省配置中无全局检测配置，是否开启对
以控制台实际上线区域为准。 页面操作 创建步骤及顺序如下： 创建VPN网关 创建VPN连接 配置对端设备 创建步骤及顺序如下： 申请创建购买VPN（墨西哥城一/圣保罗一） 配置对端设备 父主题： 通过站点入云VPN经典版实现数据中心和VPC互通
VPN协商与对接 哪些设备可以与云进行VPN对接？ VPN协商参数有哪些？默认值是什么？ IPsec VPN是否会自动建立连接？ 使用VPN连通云端VPC网络，云下设备如何配置？ VPN支持远端网关域名对接吗？ 我创建的VPN连接有几个隧道？ 如何在已创建的VPN连接中，限定特定的主机访问云上子网？
2、Group 5。 单击“提交”。 因为隧道的对称性，还需要在您自己数据中心的路由器或者防火墙上进行IPsec VPN隧道配置。 VPN设备支持列表请参见哪些设备可以与华为云进行VPN对接？。 父主题： 通过站点入云VPN经典版实现数据中心和VPC互通
如何解决VPN连接无法建立连接问题？ EIP能作为VPN的网关IP吗？ VPN配置完成了，为什么连接一直处于未连接状态？ 对端VPN设备支持列表？ 本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ 父主题： 站点入云VPN经典版
VPN网关：虚拟专用网络在云上的虚拟网关，与用户本地网络、数据中心的对端网关建立安全私有连接。 对端网关：用户数据中心的VPN设备或软件应用程序。控制台上创建的对端网关是云上虚拟对象，用于记录用户数据中心实体设备的配置信息。 VPN连接：VPN网关和对端网关之间的安全通道，使用IKE和IPsec协议对传输数据进行加密。
站点入云企业版VPN和经典版VPN的区别 表1 企业版VPN和经典版VPN的区别 类别 对比项 企业版VPN 经典版VPN 租户隔离 租户独享网关 支持 不支持 功能&特性 策略模式 支持 支持 路由模式 静态路由/BGP路由 不支持 VPN Hub 支持 不支持 企业路由器 支持
VPN协商与对接 哪些设备可以与华为云进行VPN对接？ VPN协商参数有哪些？默认值是什么？ IPsec VPN是否会自动建立连接？ 如何配置VPN对端设备？（HUAWEI USG6600配置示例） VPN支持对端网关域名对接吗？ 我创建的VPN连接有几个隧道？ 如何在已创建的V
untrust到trust：放行云上VPC到本地VPC子网访问策略。 检查防火墙NAT配置 确认本地VPN网关是否在NAT设备后（一般是边界防火墙）进行部署，即VPN网关的出接口使用私有地址，然后在NAT设备上做公网地址转换。 这种场景也被称为IPsec nat穿越。 父主题： 站点入云VPN经典版
不少于3次； 连接过程中修改参数两侧同步修改； 设置用户侧数据中心设备TCP MAX-MSS为1300； 确保用户侧数据中心出口有足够的带宽可被VPN使用； 确认VPN连接可被两端触发协商，开启用户侧数据中心设备的主动协商配置； 父主题： 连接故障或无法PING通
不少于3次； 连接过程中修改参数两侧同步修改； 设置用户侧数据中心设备TCP MAX-MSS为1300； 确保用户侧数据中心出口有足够的带宽可被VPN使用； 确认VPN连接可被两端触发协商，开启用户侧数据中心设备的主动协商配置； 父主题： 热点问题
group 19 DH group 20 DH group 21 图1 PFS 抗重放 抗重放攻击是针对IPsec加密报文序列号保护的一种方式，防止恶意用户通过重复发送捕获到的数据包进行攻击。VPN服务默认开启抗重放功能。 图2 重放攻击原理 资源隔离 VPN默认为每个用户创建独立的V
SA生命周期信息一致； 用户侧数据中心设备开启DPD配置，探测次数不少于5次； 连接过程中修改参数两侧同步修改； 设置用户侧数据中心设备TCP MAX-MSS为1300； 确保用户侧数据中心出口有足够的带宽可被VPN使用； 确认VPN连接可被两端触发协商，开启用户侧数据中心设备的主动协商配置； 两
如果重新触发协商失败，请确认两端配置的协商策略是否一致、感兴趣流是否互为镜像（条目数、子网均相同）。 如果协商策略和感兴趣流配置无误，请关停云下设备的VPN连接，等待云端连接显示为“未连接”后，重启云下设备VPN连接，并进行数据流触发。 如果依然无法触发协商时，请执行以下操作： 记录VPN连接的协商策略、PSK、本端子网、对端网关、对端子网。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
