配置VPN
- 在华为云香港区域购买VPN，配置云上VPN服务。
- 在管理控制台左上角单击
图标，选择“中国-香港”区域。 - 在系统首页，单击“网络 > 虚拟专用网络”。
- 在左侧导航栏，选择“虚拟专用网络 ＞ 经典版”。
- 在VPN网关页面，单击“创建VPN网关”
- 根据界面提示，如表1所示填写对应参数后，单击“立即购买”。
表1 VPN网关参数说明 参数
说明
取值样例
计费模式
当前区域的VPN网关支持按需计费。
按需计费
区域
不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。
本案例中请选择“中国-香港”。
中国-香港
名称
VPN网关的名称。
vpcgw-001
虚拟私有云
VPN接入的VPC名称。
选择香港区域对应的VPC。
vpc-001
类型
VPN类型。默认为选择“IPsec”。
IPsec
计费方式
按需计费支持两种计费方式：按带宽计费/按流量计费。
- 按带宽计费：指定带宽上限，按使用时间计费，与使用的流量无关。
- 按流量计费：指定带宽上限，按实际使用的上行流量计费，与使用时间无关。
按流量计费
带宽大小
本地VPN网关的带宽大小（单位Mbit/s），为所有基于该网关创建的VPN连接共享的带宽，VPN连接带宽总和不超过VPN网关的带宽。
在VPN使用过程中，当网络流量超过VPN带宽时有可能造成网络拥塞导致VPN连接中断，请用户提前做好带宽规划。
可以在云监控服务中配置告警规则对带宽进行监控。
100
表2 VPN连接参数说明 参数
说明
取值样例
名称
VPN连接名称。
vpn-001
VPN网关
VPN连接挂载的VPN网关名称。
vpcgw-001
本端子网
本端子网指需要通过VPN访问用户本地网络的VPC子网。
这里选择网段，来指定本端子网，此处需要将香港和华南两个子网都填写进去，以保证华南发出的流量也能进入VPN隧道。
这里填写10.0.2.0/24，10.0.3.0/24
10.0.2.0/24，
10.0.3.0/24
远端网关
用户数据中心侧的VPN网关地址
这里填写泰国区域数据中心的VPN网关地址
-
远端子网
远端子网指需要通过VPN访问VPC的用户本地子网。
这里填写10.0.1.0/24
10.0.1.0/24
预共享密钥
预共享密钥（Pre Shared Key），指配置在云上VPN连接的密钥，需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。
取值范围：
- 取值长度：6~128位。
- 只能包括以下几种字符：
- 数字
- 大小写字母
- 特殊符号：包括“~”、“`”、“!”、“@”、“#”、“$”、“%”、“^”、“(”、“)”、“-”、“_”、“+”、“=”、“[”、“]”、“{”、“}”、“|”、"\"、","、"."、"/"、“:”和“;”
Test@123
确认密钥
再次输入预共享密钥。
Test@123
高级配置
自定义配置
表3 IKE策略 参数
说明
取值样例
认证算法
认证哈希算法，支持的算法：SHA1、SHA2-256、SHA2-384、SHA2-512、MD5。
默认配置为：SHA2-256。
SHA2-256
加密算法
加密算法，支持的算法：AES-128、AES-192、AES-256、3DES（有安全风险不推荐）。
默认配置为：AES-128。
AES-128
DH算法
Diffie-Hellman密钥交换算法，支持的算法：Group 1、Group 2、Group 5、Group 14、Group 15、Group 16、Group 19、Group 20、Group 21。
默认配置为：Group 14。
协商双方的dh算法必须一致，否则会导致协商失败。
Group 14
版本
IKE密钥交换协议版本，支持的版本：v1（有安全风险不推荐）、v2。
默认配置为：v2。
v2
生命周期（秒）
安全联盟（SA—Security Association）的生存时间，单位：秒。
在超过生存时间后，安全联盟将被重新协商。
默认配置为：86400。
86400
协商模式
选择IKE策略版本为“v1”时，可以配置协商模式，取值支持Main、Aggressive。
默认配置为：Main
Main
表4 IPsec策略 参数
说明
取值样例
认证算法
认证哈希算法，支持的算法：SHA1、SHA2-256、SHA2-384、SHA2-512、MD5。
默认配置为：SHA2-256。
SHA2-256
加密算法
加密算法，支持的算法：AES-128、AES-192、AES-256、3DES（有安全风险不推荐）。
默认配置为：AES-128。
AES-128
PFS
PFS（Perfect Forward Secrecy）即完美前向安全功能，用来配置IPsec隧道协商时使用。
PFS组支持的算法：DH group 1、DH group 2、DH group 5、DH group 14、DH group 15、DH group 16、DH group 19、DH group 20、DH group 21。
默认配置为：DH group 14。
DH group 14
传输协议
IPsec传输和封装用户数据时使用的安全协议，目前支持的协议：AH、ESP、AH-ESP。
默认配置为：ESP。
ESP
生命周期（秒）
安全联盟（SA—Security Association）的生存时间，单位：秒。
在超过生存时间后，安全联盟将被重新协商。
默认配置为：3600。
3600
以下算法安全性较低，请慎用：
认证算法：SHA1、MD5。
加密算法：3DES。
DH算法：Group 1、Group 2、Group 5。
- 在管理控制台左上角单击
- 配置用户侧数据中心的VPN网关（即泰国的用户VPN网关）。
根据用户使用的VPN网关设备型号，进行相应的配置。
在IPsec策略中引用的ACL，应配置如下：
- 源网段 : 10.0.1.0/24
- 目的网段 : 10.0.2.0/24，10.0.3.0/24
