文档首页/ 虚拟专用网络 VPN/ 最佳实践/ 终端入云VPN/ 通过终端入云VPN实现移动端和VPC互通（IAM认证方式）/ 操作步骤
更新时间：2025-11-13 GMT+08:00
查看PDF
分享

操作步骤

前提条件

  • 云侧
    • 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。
    • 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。
  • 数据中心侧

    用户终端设备已经完成VPN客户端软件相关配置。相关操作步骤请参见管理员指南。

操作须知

更换客户端认证类型会导致已有VPN连接中断，请谨慎操作。

操作步骤

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 在页面左上角单击图标，选择“管理与监管 > 统一身份认证服务 IAM”。
  4. 创建IAM用户、用户组并授权。

    1. 创建用户组。
      1. 在左侧导航栏，单击“用户组”。
      2. 在“用户组”页签中，单击“创建用户组”。
      3. 根据界面提示，输入“用户组名称”。
      4. 单击“确定”，用户组创建完成。

        在用户组列表中，可以查看新创建的用户组。

    2. 用户组授权。
      1. 选择目标用户组，单击操作列的“授权”。
      2. 在右上方搜索“VPN SSOAccessPolicy”，勾选该权限。
      3. 单击“下一步”，根据实际情况选择授权范围方案。
      4. 单击“确定”，用户组授权完成。
    3. 创建IAM用户。
      1. 在左侧导航栏，单击“用户”。
      2. 在“用户”页签中，单击“创建用户”。
      3. 根据界面提示，配置用户基本信息。

        如何配置用户基本信息，请参见创建IAM用户。

      4. 单击“下一步”。
      5. （可选）勾选要加入的用户组，将用户加入到用户组。

        加入用户组后，用户将具备用户组的权限。

  5. 在页面左上角单击图标，选择“网络 > 虚拟专用网络 VPN”。
  6. 在左侧导航栏，选择“虚拟专用网络 > 企业版-VPN网关”。
  7. 单击“终端入云VPN网关”页签，进入终端入云VPN网关页面。
  8. 配置VPN网关。

    1. 在“终端入云VPN网关”页面，单击“创建终端入云VPN网关”。
    2. 根据界面提示配置参数，单击“立即购买”并完成支付。

      VPN网关参数请参见表 VPN网关参数说明。

      表1 VPN网关参数说明

      参数

      说明

      取值样例

      区域

      选择靠近您所在地域的区域可以降低网络时延，从而提高访问速度。

      不同区域的资源之间网络不互通。

      请根据实际需要进行选择

      名称

      输入VPN网关的名称。

      p2c-vpngw-001

      虚拟私有云

      选择虚拟私有云VPC信息。

      vpc-001(192.168.0.0/16)

      互联子网

      用于VPN网关和VPC通信，请确保选择的互联子网存在3个及以上可分配的IP地址。

      192.168.66.0/24

      规格

      支持专业型1和专业型2两种类型。

      详细规格差异请参见规格介绍。

      专业型1

      可用区

      可用区是指在同一地域内，电力和网络互相独立的物理区域。在同一VPC网络内可用区与可用区之间内网互通，可用区之间能做到物理隔离。

      • 当存在两个及以上可用区时，必须选择两个可用区。

        部署在两个可用区的VPN网关具备更高的可用性。建议您根据VPC内资源所在的可用区选择网关的可用区。

      • 当仅存在一个可用区时，可选择此可用区创建VPN网关。

      可用区1、可用区2

      连接数

      VPN网关最多支持10个免费的VPN连接，提供可选连接数规格，支持用户自定义。

      10

      EIP

      用于VPN网关和客户端进行网络连接。

      • 现在创建：购买新EIP，新购买EIP的计费模式为按需。
      • 使用已有：使用已有EIP，仅支持使用独享带宽的EIP。
        说明：

        使用已有EIP时，已有EIP的计费模式可以为按需，也可以为包年/包月。

      现在创建

      弹性公网IP类型

      仅“EIP”选择“现在创建”时需要配置。

      全动态BGP：可以根据设定的寻路协议实时自动优化网络结构，以保持客户使用的网络持续稳定、高效。

      弹性公网IP类型的详细介绍请参见什么是弹性公网IP。

      全动态BGP

      带宽大小

      仅“EIP”选择“现在创建”时需要配置。

      EIP对应带宽大小，单位：Mbit/s。

      • 所有使用该EIP创建的VPN连接均会分摊占用该EIP的带宽大小，所有VPN连接的带宽总和不能超过该EIP的带宽大小。

        当网络流量超过EIP的带宽大小时，有可能造成网络拥塞导致VPN连接中断，请提前做好带宽规划。

      • 支持在云监控中配置告警规则对带宽进行监控。
      • 支持用户在允许的带宽范围内自定义带宽大小。

      20 Mbit/s

      带宽名称

      仅“EIP”选择“现在创建”时需要配置。

      EIP对应带宽对象的名称。

      p2c-vpngw-bandwidth1

  9. 配置服务端。

    1. 在“终端入云VPN网关”页面，可以单击目标VPN网关操作列的“配置服务端”，也可以单击目标VPN网关名称进入详情页配置服务端。
    2. 根据界面提示配置参数，单击“确定”。

      服务端配置参数请参见表 服务端参数说明。

      表2 服务端参数说明

      区域

      参数

      说明

      取值样例

      基本信息

      本端网段

      本端网段是客户端通过终端入云VPN网关访问的目标网络的地址段。本端网段可以是华为云VPC的网段，或与华为云VPC互联网络的网段。

      最多可指定20个本端网段。本端网段的全0配置，暂不开放支持。本端网段的限制网段为0.0.0.0/8，224.0.0.0/4，240.0.0.0/4，127.0.0.0/8，不能与这些特殊网段重叠或冲突。

      • 选择子网：

        选择本VPC子网信息。

      • 输入网段：

        可以输入本VPC下的子网信息；也可以输入与本VPC建立了对等网络的VPC子网信息。

      说明：

      本端网段修改后，客户端需要重新连接。

      192.168.0.0/24

      客户端网段

      客户端网段是分配给客户端虚拟网卡地址的网段，不能与本端网段重叠，不能与网关所在VPC的路由表内路由重叠。当客户端连接网关时，会从中分配一个IP地址给客户端使用。

      客户端网段需要满足点分十进制/掩码格式，掩码位数在16~26之间。系统在为每个客户端分配IP地址时，需要划分出一个子网掩码为30的子网段，用以保证网络通信正常。因此，请确保您指定的客户端网段所包含的IP地址个数是VPN网关连接数的4倍及以上。

      不同VPN连接数建议的客户端网段请参见表 建议的客户端网段。

      说明：

      客户端网段修改后，客户端需要重新连接。

      172.16.0.0/16

      隧道类型

      SSL协议是一种传输层安全协议，用于构建客户端和服务端之间的安全通道。

      OpenVPN（SSL），不支持修改。

      OpenVPN（SSL）

      认证信息

      服务端证书

      选择“服务自签名证书”。

      服务自签名证书

      客户端认证类型

      选择“IAM认证”。

      IAM认证

      高级配置

      协议

      终端入云VPN连接使用的协议。

      • TCP（默认）

      TCP

      端口

      终端入云VPN连接使用的端口。

      • 443（默认）
      • 1194

      443

      加密算法

      终端入云VPN连接使用的加密算法。

      • AES-128-GCM（默认）
      • AES-256-GCM

      AES-128-GCM

      认证算法

      终端入云VPN连接使用的认证算法。

      • 加密算法为AES-128-GCM时，对应认证算法为SHA256。
      • 加密算法为AES-256-GCM时，对应认证算法为SHA384。

      SHA256

      是否压缩

      是否对传输数据进行压缩处理。

      默认不压缩，不支持修改。

      否
      表3 建议的客户端网段

      VPN连接数

      建议的客户端网段

      10

      子网掩码位数小于或等于26的网段。

      例如：10.0.0.0/26、10.0.0.0/25。

      20

      子网掩码位数小于或等于25的网段。

      例如：10.0.0.0/25、10.0.0.0/24。

      50

      子网掩码位数小于或等于24的网段。

      例如：10.0.0.0/24、10.0.0.0/23。

      100

      子网掩码位数小于或等于23的网段。

      例如：10.0.0.0/23、10.0.0.0/22。

      200

      子网掩码位数小于或等于22的网段。

      例如：10.0.0.0/22、10.0.0.0/21。

      500

      子网掩码位数小于或等于21的网段。

      例如：10.0.0.0/21、10.0.0.0/20。
    3. 单击“确定”。

  10. 下载客户端配置。

    1. 在“终端入云VPN网关”页面，单击目标VPN网关所在行操作列的“下载客户端配置”。
    2. 解压缩得到“client_config.conf”、“client_config.ovpn”、“README.md”三个文件。
      • “client_config.conf”适用于Linux。
      • “client_config.ovpn”适用于Windows、Mac或Android。

  11. 配置客户端。

    本示例为您介绍如何配置Windows客户端，不同类型VPN客户端软件及版本可能存在差异，配置时请以实际为准。

    • 操作系统：Windows 10
    • 客户端软件：OpenVPN Connect 3.4.2（3160）

      客户端仅3.4.0及以上版本支持IAM认证。

    更多客户端配置案例，请参见配置客户端。

    1. 在OpenVPN官方网站下载OpenVPN Connect，根据界面提示进行安装。
    2. 启动OpenVPN Connect客户端，在“FILE”页签下单击“BROWSE”，上传客户端配置文件。
      图1 上传配置文件
    3. 单击“CONNECT”尝试建立VPN连接，若出现类似下图所示界面，代表连接成功。
      图2 连接成功
    4. 使用IAM用户名和密码登录web客户端。
      • 当登录页面显示认证成功时，表示成功建立VPN连接。
      • 当登录页面显示认证失败时，可以根据错误信息修改对应配置。具体错误信息请参考《故障排除》。

结果验证

  1. 按win+R键，输入cmd，打开客户端设备的命令行窗口。
  2. 执行以下命令，验证连通性。

    ping 192.168.1.10

    其中，192.168.1.10为客户端需要访问的弹性云服务器的IP地址，请根据实际替换。

  3. 回显如下信息，表示网络已通。 
    来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=27ms TTL=245

相关文档