# 配置VPN 1. 在华为云香港区域购买VPN，配置云上VPN服务**。** 1. 在管理控制台左上角单击![](https://support.huaweicloud.com/bestpractice-vpn/figure/zh-cn_image_0000001542174566.png "点击放大")图标，选择"中国-香港"区域。 2. 在系统首页，单击"网络 \> 虚拟专用网络"。 3. 在左侧导航栏，选择"虚拟专用网络 ＞ 经典版"。 4. 在VPN网关页面，单击"创建VPN网关" 5. 根据界面提示，如[表1]所示填写对应参数后，单击"立即购买"。 表1VPN网关参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 计费模式 | 当前区域的VPN网关支持按需计费。 | 按需计费 | | 区域 | 不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。 本案例中请选择"中国-香港"。 | 中国-香港 | | 名称 | VPN网关的名称。 | vpcgw-001 | | 虚拟私有云 | VPN接入的VPC名称。 选择香港区域对应的VPC。 | vpc-001 | | 类型 | VPN类型。默认为选择"IPsec"。 | IPsec | | 计费方式 | 按需计费支持两种计费方式：按带宽计费/按流量计费。 - 按带宽计费：指定带宽上限，按使用时间计费，与使用的流量无关。 - 按流量计费：指定带宽上限，按实际使用的上行流量计费，与使用时间无关。 | 按流量计费 | | 带宽大小 | 本地VPN网关的带宽大小（单位Mbit/s），为所有基于该网关创建的VPN连接共享的带宽，VPN连接带宽总和不超过VPN网关的带宽。 在VPN使用过程中，当网络流量超过VPN带宽时有可能造成网络拥塞导致VPN连接中断，请用户提前做好带宽规划。 可以在云监控服务中配置告警规则对带宽进行监控。 | 100 | 表2VPN连接参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 名称 | VPN连接名称。 | vpn-001 | | VPN网关 | VPN连接挂载的VPN网关名称。 | vpcgw-001 | | 本端子网 | 本端子网指需要通过VPN访问用户本地网络的VPC子网。 这里选择网段，来指定本端子网，此处需要将香港和华南两个子网都填写进去，以保证华南发出的流量也能进入VPN隧道。 这里填写10.0.2.0/24，10.0.3.0/24。 | 10.0.2.0/24， 10.0.3.0/24 | | 远端网关 | 用户数据中心侧的VPN网关地址。 这里填写泰国区域数据中心的VPN网关地址。 | - | | 远端子网 | 远端子网指需要通过VPN访问VPC的用户本地子网。 这里填写10.0.1.0/24。 | 10.0.1.0/24 | | 预共享密钥 | 预共享密钥（Pre Shared Key），指配置在云上VPN连接的密钥，需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。 取值范围： - 取值长度：6\~128位。 - 只能包括以下几种字符： - 数字 - 大小写字母 - 特殊符号：包括"\~"、"\`"、"!"、"@"、"#"、"$"、"%"、"\^"、"("、")"、"-"、"_"、"+"、"="、"\["、"\]"、"{"、"}"、"\|"、"\\"、","、"."、"/"、":"和";" | Test@123 | | 确认密钥 | 再次输入预共享密钥。 | Test@123 | | 高级配置 | - 默认配置。 - 自定义配置：自定义配置IKE策略和IPsec策略。相关配置说明请参见[表3]和[表4]。 | 自定义配置 | 表3IKE策略 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 认证算法 | 认证哈希算法，支持的算法：SHA1、SHA2-256、SHA2-384、SHA2-512、MD5。 默认配置为：SHA2-256。 | SHA2-256 | | 加密算法 | 加密算法，支持的算法：AES-128、AES-192、AES-256、3DES（有安全风险不推荐）。 默认配置为：AES-128。 | AES-128 | | DH算法 | Diffie-Hellman密钥交换算法，支持的算法：Group 1、Group 2、Group 5、Group 14、Group 15、Group 16、Group 19、Group 20、Group 21。 默认配置为：Group 14。 协商双方的dh算法必须一致，否则会导致协商失败。 | Group 14 | | 版本 | IKE密钥交换协议版本，支持的版本：v1（有安全风险不推荐）、v2。 默认配置为：v2。 | v2 | | 生命周期（秒） | 安全联盟（SA---Security Association）的生存时间，单位：秒。 在超过生存时间后，安全联盟将被重新协商。 默认配置为：86400。 | 86400 | | 协商模式 | 选择IKE策略版本为"v1"时，可以配置协商模式，取值支持Main、Aggressive。 默认配置为：Main。 | Main | 表4IPsec策略 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 认证算法 | 认证哈希算法，支持的算法：SHA1、SHA2-256、SHA2-384、SHA2-512、MD5。 默认配置为：SHA2-256。 | SHA2-256 | | 加密算法 | 加密算法，支持的算法：AES-128、AES-192、AES-256、3DES（有安全风险不推荐）。 默认配置为：AES-128。 | AES-128 | | PFS | PFS（Perfect Forward Secrecy）即完美前向安全功能，用来配置IPsec隧道协商时使用。 PFS组支持的算法：DH group 1、DH group 2、DH group 5、DH group 14、DH group 15、DH group 16、DH group 19、DH group 20、DH group 21。 默认配置为：DH group 14。 | DH group 14 | | 传输协议 | IPsec传输和封装用户数据时使用的安全协议，目前支持的协议：AH、ESP、AH-ESP。 默认配置为：ESP。 | ESP | | 生命周期（秒） | 安全联盟（SA---Security Association）的生存时间，单位：秒。 在超过生存时间后，安全联盟将被重新协商。 默认配置为：3600。 | 3600 | ![](https://support.huaweicloud.com/bestpractice-vpn/public_sys-resources/caution_3.0-zh-cn.png) 以下算法安全性较低，请慎用： - **认证算法：**SHA1、MD5。 - **加密算法：**3DES。 - **DH算法：**Group 1、Group 2、Group 5。 2. 配置用户侧数据中心的VPN网关（即泰国的用户VPN网关）。 根据用户使用的VPN网关设备型号，进行相应的配置。 ![](https://support.huaweicloud.com/bestpractice-vpn/public_sys-resources/note_3.0-zh-cn.png) 在IPsec策略中引用的ACL，应配置如下： - 源网段 : 10.0.1.0/24。 - 目的网段 : 10.0.2.0/24，10.0.3.0/24。