# 华为云控制台操作步骤 #### 前提条件 云上VPC及其子网已经创建完成。 #### 操作步骤 1. 登录华为云管理控制台。 2. 选择"网络 \> 虚拟专用网络"。 3. 配置VPN网关。 1. 选择"虚拟专用网络 \> 企业版-VPN网关"，单击"创建站点入云VPN网关"。 2. 根据界面提示配置参数，单击"立即购买"。 VPN网关参数说明如[表1]所示。 此处仅对关键参数进行说明，非关键参数请保持默认。 表1VPN网关关键参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN网关的名称。 | vpngw-001 | | 关联模式 | 选择"虚拟私有云"。 | 虚拟私有云 | | 虚拟私有云 | 选择华为云需要和用户数据中心通信的VPC。 | vpc-001(192.168.0.0/16) | | 互联子网 | 用于VPN网关和用户数据中心的VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 | 192.168.2.0/24 | | 本端子网 | 华为云VPC需要与用户数据中心VPC互通的子网。 | 192.168.0.0/24 | | BGP ASN | BGP自治系统号码。 | 64512 | | HA模式 | 选择VPN网关的工作模式。 | 双活 | | 主EIP | VPN网关和用户数据中心通信的公网IP1。 | 1.1.1.2 | | 主EIP2 | VPN网关和用户数据中心通信的公网IP2。 | 2.2.2.2 | 4. 配置对端网关。 1. 选择"虚拟专用网络 \> 企业版-对端网关"，单击"创建对端网关"。 2. 根据界面提示配置参数。 对端网关参数说明如[表2]所示。 此处仅对关键参数进行说明，非关键参数请保持默认。 表2对端网关参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | 对端网关的名称。 | cgw-ali | | 标识 | - IP Address：使用对端网关的网关IP作为IP Address。 - FQDN：全地址域名，支持自定义设置。长度范围是1\~128个字符，只能由大小写字母、数字和特殊符号组成，不支持以下特殊字符：\&、\<、\>、\[、\]、\\、空格、？，区分大小写。 如果对端网关无固定IP，请选择FQDN类型标识。 说明： 请确认对端网关的ACL规则已经放通UDP端口4500。 | IP Address 1.1.1.1 | | BGP ASN | 请输入用户数据中心或私有网络的ASN。 用户数据中心的BGP ASN与VPN网关的BGP ASN不能相同。 | 65515 | 5. 配置VPN连接。 本场景下，阿里云VPN网关仅支持单IP地址方案，华为云VPN网关的主EIP、主EIP2和该IP地址创建一组VPN连接。 1. 选择"虚拟专用网络 \> 企业版-VPN连接"，单击"创建VPN连接"。 2. 根据界面提示配置参数。 VPN连接参数说明如[表3]所示。 此处仅对关键参数进行说明，非关键参数请保持默认。 表3VPN连接参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN连接的名称。 | vpn-001 | | VPN网关 | 选择VPN网关。 | vpngw-001 | | 连接1网关IP | 选择VPN网关的主EIP。 | 1.1.1.2 | | 连接1对端网关 | 选择连接1对端网关。 | 1.1.1.1 | | 连接2网关IP | 选择VPN网关的主EIP2。 | 2.2.2.2 | | 连接2对端网关 | 选择连接2对端网关。 | 1.1.1.1 | | 连接模式 | 选择"BGP路由模式"。 | BGP路由模式 | | 对端子网 | 用户数据中心中需要和华为云VPC通信的子网。 - 对端子网与本端子网可以重叠，不能重合；对端子网不能被本网关关联的VPC内已有子网所包含。 - 部分网段是VPC预留网段，不能作为对端子网，例如：100.64.0.0/10、100.64.0.0/12，214.0.0.0/8。不同region的预留网段不同，实际使用以控制台显示为准。 如果需要使用100.64.0.0/10或100.64.0.0/12，请[提交工单](https://console.huaweicloud.com/ticket/?locale=zh-cn#/ticketindex/serviceTickets)申请。 | 172.16.0.0/24 | | 连接1配置 | 配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、预共享密钥、确认密钥和策略配置。 | *请根据实际设置* | | 接口地址分配方式 | - 手动分配 本示例以"手动分配"为例。 - 自动分配 | 手动分配 | | 本端隧道接口地址 | VPN网关的Tunnel隧道IP地址。 | 169.254.70.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道IP地址。 | 169.254.70.2/30 | | 健康检查 | 健康检查可以配置VPN网关向对端网关发送监测报文，统计链路往返时延和丢包率，用于检测连接的质量。 默认开启健康检查，开启健康检查不会影响隧道连接。 | 开启 | | 预共享密钥、确认密钥 | 和防火墙连接的预共享密钥需要保持一致。 | *请根据实际设置* | | 策略配置 | 和防火墙的策略配置需要保持一致。 | - IKE策略 - 认证算法：SHA2-256 - 加密算法：AES-128 - DH算法：Group 14 - 版本：v2 - 生命周期（秒）：86400 - 本端标识：IP Address - 对端标识：IP Address - IPsec策略 - 认证算法：SHA2-256 - 加密算法：AES-128 - PFS：DH Group 14 - 传输协议：ESP - 生命周期（秒）：3600 | | 连接2配置 | 选择是否"与连接1保持一致"。 说明： 当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。 | 关闭 | | 本端隧道接口地址 | VPN网关的Tunnel隧道IP地址。 | 169.254.71.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道IP地址。 | 169.254.71.2/30 |