# 操作步骤
#### 前提条件
- 云侧
- 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见[创建虚拟私有云和子网](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0013935842.html)。
- 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见[安全组规则](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0030969470.html)。
- 数据中心侧
- 用户终端设备已经完成VPN客户端软件相关配置。相关操作步骤请参见[管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)。
#### 约束与限制
最多支持添加10个客户端CA证书。
#### 操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击图标，选择区域和项目。
3. 在页面左上角单击图标，选择"网络 \> 虚拟专用网络 VPN"。
4. 在左侧导航栏，选择"虚拟专用网络 \> 企业版-VPN网关"。
5. 单击"终端入云VPN网关"页签，进入终端入云VPN网关页面。
6. 配置VPN网关。
1. 在"终端入云VPN网关"页面，单击"创建终端入云VPN网关"。
2. 根据界面提示配置参数，单击"立即购买"。 VPN网关参数请参见[表 VPN网关参数说明]。
表1VPN网关参数说明
| 参数 | 说明 | 取值样例 |
|:---|:---|:---|
| 区域 | 选择靠近您所在地域的区域可以降低网络时延，从而提高访问速度。 不同区域的资源之间网络不互通。 | *请根据实际需要进行选择* |
| 名称 | 输入VPN网关的名称。 | p2c-vpngw-001 |
| 虚拟私有云 | 选择虚拟私有云VPC信息。 | vpc-001(192.168.0.0/16) |
| 互联子网 | 用于VPN网关和VPC通信，请确保选择的互联子网存在3个及以上可分配的IP地址。 | 192.168.66.0/24 |
| 规格 | 支持专业型1和专业型2两种类型。 详细规格差异请参见[规格介绍](https://support.huaweicloud.com/productdesc-vpn/vpn_01_0039.html)。 | 专业型1 |
| 可用区 | 可用区是指在同一地域内，电力和网络互相独立的物理区域。在同一VPC网络内可用区与可用区之间内网互通，可用区之间能做到物理隔离。 - 当存在两个及以上可用区时，必须选择两个可用区。 部署在两个可用区的VPN网关具备更高的可用性。建议您根据VPC内资源所在的可用区选择网关的可用区。 - 当仅存在一个可用区时，可选择此可用区创建VPN网关。 | 可用区1、可用区2 |
| 连接数 | VPN网关最多支持10个免费的VPN连接，提供可选连接数规格，支持用户自定义。 | 10 |
| 是否使用共享带宽 | - "计费模式"采用"包年/包月"时，默认开启使用共享带宽。 - "计费模式"采用"按需计费"时，默认不开启使用共享带宽。 | 开启 |
| 弹性公网IP类型 | 选择VPN网关绑定EIP的类型。 全动态BGP：可以根据设定的寻路协议实时自动优化网络结构，以保持客户使用的网络持续稳定、高效。 弹性公网IP类型的详细介绍请参见[什么是弹性公网IP](https://support.huaweicloud.com/productdesc-eip/overview_0001.html)。 | 全动态BGP |
| 带宽名称 | 选择EIP对应带宽对象的名称。 | p2c-vpngw-bandwidth1 |
| EIP | 用于VPN网关和客户端进行网络连接。 - 现在创建：购买新EIP。 - 使用已有：使用已有EIP。 说明： 使用已有EIP时，已有EIP的计费模式可以为按需，也可以为包年/包月。 | 现在创建 |
7. 配置服务端。
1. 在"终端入云VPN网关"页面，可以单击目标VPN网关操作列的"配置服务端"，也可以单击目标VPN网关名称进入详情页配置服务端。
2. 根据界面提示配置参数，单击"确定"。 服务端配置参数请参见[表2]。
表2服务端参数说明
| 区域 | 参数 | 说明 | 取值样例 |
|:---|:---|:---|:---|
| 基本信息 | 本端网段 | 本端网段是客户端通过终端入云VPN网关访问的目标网络的地址段。本端网段可以是华为云VPC的网段，或与华为云VPC互联网络的网段。 最多可指定20个本端网段。本端网段的全0配置，暂不开放支持。本端网段的限制网段为0.0.0.0/8，224.0.0.0/4，240.0.0.0/4，127.0.0.0/8，不能与这些特殊网段重叠或冲突。 - 选择子网： 选择本VPC子网信息。 - 输入网段： 可以输入本VPC下的子网信息；也可以输入与本VPC建立了对等网络的VPC子网信息。 说明： 本端网段修改后，客户端需要重新连接。 | 192.168.0.0/24 |
| 基本信息 | 客户端网段 | 客户端网段是分配给客户端虚拟网卡地址的网段，不能与本端网段重叠，不能与网关所在VPC的路由表内路由重叠。当客户端连接网关时，会从中分配一个IP地址给客户端使用。 客户端网段需要满足点分十进制/掩码格式，掩码位数在16\~26之间。系统在为每个客户端分配IP地址时，需要划分出一个子网掩码为30的子网段，用以保证网络通信正常。因此，请确保您指定的客户端网段所包含的IP地址个数是VPN网关连接数的4倍及以上。 不同VPN连接数建议的客户端网段请参见[表 建议的客户端网段]。 说明： 客户端网段修改后，客户端需要重新连接。 | 172.16.0.0/16 |
| 基本信息 | 隧道类型 | SSL协议是一种传输层安全协议，用于构建客户端和服务端之间的安全通道。 OpenVPN（SSL），不支持修改。 | OpenVPN（SSL） |
| 认证信息 | 服务端证书 | 服务端证书是服务端使用的SSL证书，客户端会基于此证书验证服务端的身份。 选择已有证书：查看并选择已上传证书。 - 上传证书：单击下拉框最下方的"上传证书"，跳转至云证书与管理服务。按照界面提示上传服务端证书，详细步骤请参见[上传已有SSL证书](https://support.huaweicloud.com/usermanual-ccm/ccm_01_0011.html)。 - 推荐使用强密码算法的证书，如RSA3072/4096。 说明： 用户在完成服务端配置后，在云证书与管理服务中删除了引用的服务端证书，并不影响服务端证书的可用性。 | 选择已有证书 |
| 认证信息 | 客户端认证类型 | 选择"客户端认证类型 \> 证书认证"。 - 单击"上传CA证书"，以文本格式打开CA证书PEM格式的文件，将证书内容复制到"上传CA证书"的"内容"文本框内。最多支持添加10个客户端CA证书。 推荐使用强密码算法的证书，如RSA3072/4096。RSA2048加密算法的证书存在风险，请慎用。 - 证书验证通过后，您可以在列表中查看CA证书基本信息，包含名称、序列号、签名算法、颁发者、使用者、过期时间。 说明： 删除该CA证书后，相关的客户端无法再正常连接。 | 证书认证 |
| 高级配置 | 协议 | 终端入云VPN连接使用的协议。 - TCP（默认） | TCP |
| 高级配置 | 端口 | 终端入云VPN连接使用的端口。 - 443（默认） - 1194 | 443 |
| 高级配置 | 加密算法 | 终端入云VPN连接使用的加密算法。 - AES-128-GCM（默认） - AES-256-GCM | AES-128-GCM |
| 高级配置 | 认证算法 | 终端入云VPN连接使用的认证算法。 - 加密算法为AES-128-GCM时，对应认证算法为SHA256。 - 加密算法为AES-256-GCM时，对应认证算法为SHA384。 | SHA256 |
| 高级配置 | 是否压缩 | 是否对传输数据进行压缩处理。 默认不压缩，不支持修改。 | 否 |
表3建议的客户端网段
| VPN连接数 | 建议的客户端网段 |
|:---|:---|
| 10 | 子网掩码位数小于或等于26的网段。 例如：10.0.0.0/26、10.0.0.0/25。 |
| 20 | 子网掩码位数小于或等于25的网段。 例如：10.0.0.0/25、10.0.0.0/24。 |
| 50 | 子网掩码位数小于或等于24的网段。 例如：10.0.0.0/24、10.0.0.0/23。 |
| 100 | 子网掩码位数小于或等于23的网段。 例如：10.0.0.0/23、10.0.0.0/22。 |
| 200 | 子网掩码位数小于或等于22的网段。 例如：10.0.0.0/22、10.0.0.0/21。 |
| 500 | 子网掩码位数小于或等于21的网段。 例如：10.0.0.0/21、10.0.0.0/20。 |
3. 上传服务端证书。
1. 在"服务端"界面，选择"服务端证书"，在下拉选项中单击"上传证书"进入"云证书与管理服务"页面。
2. 在"SSL证书管理"页面，选择"上传证书 \> 上传证书"，根据界面提示填写相关信息。
上传证书参数请参见[表 上传国际标准证书参数说明]。
表4上传国际标准证书参数说明
| 参数 | 说明 |
|:---|:---|
| 证书标准 | 选择国际标准证书。 |
| 证书名称 | 用户自定义。 |
| 企业项目 | 将上传的SSL证书分配至对应的企业项目中。 |
| 证书文件 | 以文本编辑器（如Notepad++）打开待上传证书里的PEM格式的文件，将证书内容复制到此处。 按照"服务端证书--CA证书"的顺序依次排列上传。 上传证书文件格式如[图 证书上传格式]。 |
| 证书私钥 | 以文本编辑器（如Notepad++）打开待上传证书里的KEY格式的文件，将私钥内容复制到此处。 仅上传服务端证书私钥。 上传证书私钥格式如[图 证书上传格式]。 |
图1证书上传格式
服务端证书的CN必须是域名格式。
3. 单击"确定"，完成上传证书。
4. 查看证书列表，确认证书状态为"托管中"。
4. 上传客户端CA证书。
1. 在"服务端"界面，在"客户端认证类型"下拉选项中选择"证书认证 "，单击"上传CA证书"。
2. 根据界面提示填写相关信息。
表5上传CA证书参数说明
| 参数 | 说明 | 取值样例 |
|:---|:---|:---|
| 名称 | 支持修改。 | ca-cert-xxxx |
| 内容 | 以文本编辑器（如Notepad++）打开签名证书PEM格式的文件，将证书内容复制到此处。 说明： - 推荐使用强密码算法的证书，如RSA3072/4096。 - RSA2048加密算法的证书存在风险，请慎用。 | -----BEGIN CERTIFICATE----- 证书内容 -----END CERTIFICATE----- |
3. 单击"确定"。
最多支持添加10个客户端CA证书。
8. 下载客户端配置。
1. 在"终端入云VPN网关"页面，单击目标VPN网关所在行操作列的"下载客户端配置"。
2. 解压缩得到"client_config.conf"、"client_config.ovpn"、"README.md"三个文件。
- "client_config.conf"适用于Linux。
- "client_config.ovpn"适用于Windows、Mac或Android。
9. 补充证书信息。
1. 以文本编辑器（如Notepad++）打开"client_config.ovpn"文件。
2. 在\\和\\标记对内分别填写客户端证书、客户端证书私钥。
```
客户端证书
客户端证书私钥
```
3. 保存修改并退出。
10. 配置客户端。
本示例为您介绍如何配置Windows客户端，不同类型VPN客户端软件及版本可能存在差异，配置时请以实际为准。
- 操作系统：Windows 10
- 客户端软件：OpenVPN Connect 3.4.2（3160）
更多客户端配置案例，请参见[配置客户端](https://support.huaweicloud.com/usermanual-vpn/vpn_ug_p2c_00012.html)。
1. 在OpenVPN官方网站[下载OpenVPN Connect](https://openvpn.net/client/)，根据界面提示进行安装。
2. 启动OpenVPN Connect客户端，在"FILE"页签下单击"BROWSE"，上传客户端配置文件。
图2上传配置文件
3. 单击"CONNECT"尝试建立VPN连接，若出现类似下图所示界面，代表连接成功。
图3连接成功
#### 结果验证
1. 打开客户端设备的命令行窗口。
2. 执行以下命令，验证连通性。 ping 192.168.1.10
其中，192.168.1.10为客户端需要访问的弹性云服务器的IP地址，请根据实际替换。
3. 回显如下信息，表示网络已通。
```
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=27ms TTL=245
```