# 操作步骤 #### 前提条件 - 云侧 - 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见[创建虚拟私有云和子网](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0013935842.html)。 - 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见[安全组规则](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0030969470.html)。 - 如果通过企业路由器ER关联VPN网关，请确认企业路由器ER已经创建完成。如何创建企业路由器ER，请参见企业路由器ER相关资料。 - 数据中心侧 - 用户数据中心的VPN设备已经完成IPsec连接相关配置。相关操作步骤请参见[管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)。 #### 操作步骤 华为云VPN服务支持静态路由模式、BGP路由模式和策略模式三种连接模式。本示例以静态路由模式进行配置讲解。 1. 登录华为云管理控制台。 2. 选择"网络 \> 虚拟专用网络"。 3. 配置VPN网关。 1. 选择"虚拟专用网络 \> 企业版-VPN网关"，单击"创建站点入云VPN网关"。 2. 根据界面提示配置参数。 VPN网关参数说明如[表1]所示。 表1VPN网关参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN网关的名称。 | vpngw-001 | | 网络类型 | 选择"公网"。 | 公网 | | 关联模式 | 选择"虚拟私有云"。 关联ER场景时，请先选择ER信息。 | 虚拟私有云 | | 虚拟私有云 | 选择华为云需要和用户数据中心通信的VPC。 | vpc-001(192.168.0.0/16) | | 互联子网 | 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 | 192.168.2.0/24 | | 本端子网 | 仅关联场景为"虚拟私有云"时需要配置。 - 输入网段 输入需要和用户数据中心通信的子网，该子网可以在关联VPC内，也可以不再关联VPC内。 - 选择子网 选择关联VPC内的子网信息，用于和用户数据中心通信。 | 192.168.0.0/24，192.168.1.0/24 | | BGP ASN | BGP自治系统编号。 | 64512 | | HA模式 | 选择"主备"。 | 主备 | | 主EIP | VPN网关和用户数据中心通信的公网IP1。 | 1.1.1.2 | | 备EIP | VPN网关和用户数据中心通信的公网IP2。 | 2.2.2.2 | 4. 配置对端网关。 1. 选择"虚拟专用网络 \> 企业版-对端网关"，单击"创建对端网关"。 2. 根据界面提示，配置第一个对端网关参数。 对端网关参数说明如[表2]所示。 表2第一个对端网关参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | 对端网关的名称。 | cgw-ar01 | | 标识 | 对端网关和华为云VPN网关通信的IP地址。 请确认数据中心中的对端网关已经放通UDP端口4500。 | 1.1.1.1 | 3. 根据界面提示，配置第二个对端网关参数。 对端网关参数说明如[表3]所示。 表3第二个对端网关参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | 对端网关的名称。 | cgw-ar02 | | 标识 | 对端网关和华为云VPN网关通信的IP地址。 请确认数据中心中的对端网关已经放通UDP端口4500。 | 2.2.2.1 | 5. 配置VPN连接。 1. 选择"虚拟专用网络 \> 企业版-VPN连接"，单击"创建VPN连接"。 2. 配置VPN连接参数，单击"立即购买"。 VPN连接参数说明如[表4]所示。 表4VPN连接参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN连接的名称。 | vpn-001 | | VPN网关 | 选择VPN网关。 | vpngw-001 | | 连接1网关IP | 选择VPN网关的主EIP。 | 1.1.1.2 | | 连接1对端网关 | 选择连接1对端网关。 | 1.1.1.1 | | 连接2网关IP | 选择VPN网关的备EIP。 | 2.2.2.2 | | 连接2对端网关 | 选择连接2对端网关。 | 2.2.2.1 | | 连接模式 | 选择"静态路由模式"。 | 静态路由模式 | | 对端子网 | 用户数据中心中需要和华为云VPC通信的子网。 - 对端子网与本端子网可以重叠，不能重合；对端子网不能被本网关关联的VPC内已有子网所包含。 - 部分网段是VPC预留网段，不能作为对端子网，例如：100.64.0.0/10、100.64.0.0/12，214.0.0.0/8。不同region的预留网段不同，实际使用以控制台显示为准。 如果需要使用100.64.0.0/10或100.64.0.0/12，请[提交工单](https://console.huaweicloud.com/ticket/?locale=zh-cn#/ticketindex/serviceTickets)申请。 | 172.16.0.0/16 | | 连接1配置 | 配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、检测机制、健康检查、预共享密钥、确认密钥和策略配置。 | *请根据实际设置* | | 接口地址分配方式 | - 手动分配 本示例以"手动分配"为例。 - 自动分配 | 手动分配 | | 本端隧道接口地址 | 配置在VPN网关上的tunnel接口地址。 | 169.254.70.1/30 | | 对端隧道接口地址 | 配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。 | 169.254.70.2/30 | | 检测机制 | 用于多链路场景下路由可靠性检测，通过ICMP报文检测实现；使能NQA，您的对端设备需要允许ICMP响应请求。 | 勾选"使能NQA" | | 健康检查 | 健康检查可以配置VPN网关向对端网关发送监测报文，统计链路往返时延和丢包率，用于检测连接的质量。 默认开启健康检查，开启健康检查不会影响隧道连接。 | 开启 | | 预共享密钥、确认密钥 | 和对端网关的预共享密钥需要保持一致。 | Test@123 | | 策略配置 | 和对端网关的策略配置需要保持一致。 | 保持默认 | | 连接2配置 | 选择是否"与连接1保持一致"。 说明： 当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。 | 关闭 | | 本端隧道接口地址 | VPN网关的Tunnel隧道IP地址。 | 169.254.71.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道IP地址。 | 169.254.71.2/30 | 6. 配置对端网关信息。 根据对端网关类型不同，配置操作可能存在差异。详细配置方法，请参见[管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)。 #### 结果验证 - 大约5分钟后，查看VPN连接状态。 选择"虚拟专用网络 \> 企业版-VPN连接"，两条VPN连接状态显示为正常。 - 用户数据中心内服务器和华为云VPC子网内服务器可以相互Ping通。