检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
单击“终端入云VPN网关”进入“终端入云VPN网关”页面，单击目标VPN网关操作列的“查看服务端”。 选择“访问策略”，选择目标策略所在行，单击操作列“修改”，修改名称、目的网段、描述、用户组。 父主题： 终端入云VPN服务端管理
通过云证书管理服务CCM托管服务端证书 通过Easy-RSA自签发证书（服务端和客户端共用CA证书） 通过Easy-RSA自签发证书（服务端和客户端使用不同CA证书） 通过云证书管理服务CCM购买证书 02 购买 您可以灵活选择VPN的计费模式，针对不同的应用场景，选择不同规格的虚拟专用网络。
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
操作步骤 本示例对端网关以华为AR路由器为例。更多对端网关配置示例，请参见管理员指南。 登录AR路由器配置界面。 进入系统视图。 <AR651>system-view 配置公网接口的IP地址。本示例假设AR路由器GigabitEthernet 0/0/8为公网接口。 [AR651]interface
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
示例：深信服防火墙配置 操作场景 用户数据中心的出口防火墙选用深信服设备，同时在DMZ区域旁路接入了一台IPsec VPN设备，需要通过VPN接入华为云网络。 拓扑连接 拓扑连接方式： 使用防火墙设备直接和云端建立VPN连接。 使用DMZ区域的专用VPN设备结合NAT穿越与云端建立VPN连接。
虚拟专用网络的配额是什么？ 什么是配额？ 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少台弹性云服务器、多少块云硬盘。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 怎样查看我的配额？ 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。
IDC与云端对接，VPN连接正常，子网间业务无法互相访问？ 连接状态正常，说明两端的协商参数没有问题，排查项如下： 用户侧数据中心设备子网路由是否从网关开始逐跳指向VPN出口设备。 VPN设备有安全设置放行了子网间的数据互访。 IDC子网访问云端数据不做NAT。 确保两侧公网IP（网关IP）间访问不被阻拦。 父主题：
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备按照策略限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 不建议通过修改本端子网和对端子网的方式来限定访问。 父主题： 产品咨询
在业务VPC子网内，创建ECS，本示例中创建1个ECS。 步骤二：在企业路由器中添加并配置DGW连接 创建物理连接，物理连接是线下IDC侧和华为云的专属通道，需要运营商进行施工，搭建物理专线链路连接线下和云上。 创建全域接入网关：创建1个关联企业路由器的全域接入网关，企业路由器中会自动添加“全域接入网关（DGW）”连接。
功能说明：客户端网段。客户端建立连接时，会从该网段分配一个虚拟IP地址。 格式："点分十进制/掩码"格式，例如192.168.1.0/24。 约束： 客户端网段不能和网关所在VPC默认路由表中的路由存在冲突。 客户端网段不能和本服务端中本端网段列表的网段存在冲突。 客户端网段地址池的IP地址数量需大于网关最大连接数的四倍。
如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备按照策略限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 不建议通过修改本端子网和对端子网的方式来限定访问。 父主题： VPN协商与对接
客户端业务访问过程中出现丢包 故障现象 客户端正常连接终端入云VPN网关，但业务访问过程中出现丢包。 可能原因 业务流量有突发或持续超过VPN网关实例的带宽规格。 VPN网关绑定的EIP带宽不足。 Internet网络质量不佳。 处理步骤 在VPN网关列表页跳转到流量监控视图，确
击“查看服务端”进入服务端配置界面。 单击“基本信息”右侧的按钮对本端网段和客户端网段进行修改。 单击“服务端证书”操作列的更换，对服务端证书进行修改。 单击“客户端认证类型”右侧的按钮，对客户端认证类型进行修改。 单击“高级配置”右侧的按钮，对端口、加密算法和域名访问进行修改。
选择“VPN > 用户网关”，单击“创建用户网关”。 根据界面提示配置参数。 对端网关参数说明如表 对端网关参数说明所示。 此处仅对关键参数进行说明，非关键参数请保持默认。 表2 对端网关参数说明 参数 说明 取值参数 名称 华为VPN网关的名称。 cgw-hw01 IP地址 华为云VPN网关的主EIP。
示例：Fortinet飞塔防火墙VPN配置 操作场景 用户数据中心的出口防火墙选用飞塔设备，用户数据中心存在多个互联网出口，用户在华为云购买VPN网关，需要创建VPN连接连通本地网络到VPC子网。 拓扑连接 如图 多出口客户网络通过VPN接入VPC连接拓扑所示，用户数据中心存在多个互联网出口，当前指定11
步骤二：配置服务端 前提条件 请确认已通过云证书管理服务托管服务端证书。如何托管服务端证书，请参见使用CCM托管服务端证书。 操作步骤 配置服务端。 在“终端入云VPN网关”页面，单击目标VPN网关操作列的“配置服务端”。 根据界面提示配置参数，单击“确定”。 本示例仅对关键参数进行说明，全量参数请参见配置服务端。
经过步骤2的配置调整后，可以实现ECS1、ECS2和ECS3之间互联互通，结果验证如下。 IDC1 ECS1访问VPN连接VPC1子网下的ECS2：结果OK。 ECS1访问VPC2子网下的ECS3：结果OK。 IDC2 ECS1访问VPN连接VPC1子网下的ECS2：结果OK。 ECS1访问VPC2子网下的ECS3：结果OK。
虚拟专用网络的配额是什么？ 什么是配额？ 为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少台弹性云服务器、多少块云硬盘。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 资源类型 VPN的资源类型包括VPN网关、VPN连
et0/1的网关IP,如B.B.B.1。 安全策略：Trust访问Untrust，源地址、目标地址及服务均为any，动作放行。 NAT策略：源地址为内网网段，目标地址为ANY，转换为出接口IP。 VPN配置过程 登录设备WEB管理界面，在导航栏中选择“VPN ＞ IPsec VPN”。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
