# 操作步骤 #### 前提条件 - 云侧 - 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见[创建虚拟私有云和子网](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0013935842.html)。 - 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见[安全组规则](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0030969470.html)。 - 请确认企业路由器ER已经创建完成。如何创建企业路由器ER，请参见企业路由器ER相关资料。 - 数据中心侧 - 用户数据中心的VPN设备已经完成IPsec连接相关配置。相关操作步骤请参见[管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)。 #### 操作步骤 本示例以BGP路由模式进行配置讲解，需要在云侧和数据中心之间共创建4条VPN连接。 1. 登录管理控制台。 2. 选择"网络 \> 虚拟专用网络VPN"。 3. 配置VPN网关。 1. 选择"虚拟专用网络 \> 企业版-VPN网关"，单击"创建站点入云VPN网关"。 2. 根据界面提示配置参数。 VPN网关1参数说明如[表 VPN网关1参数说明]所示。 表1VPN网关1参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN网关的名称。 | vpngw-001 | | 网络类型 | 选择"公网"。 | 公网 | | 关联模式 | 选择"企业路由器"。 | 企业路由器 | | 企业路由器 | 选择待接入企业路由器。 | er-001 | | 接入虚拟私有云 | 仅选择"企业路由器"时需要配置。 | vpc-001(192.168.0.0/24) | | 接入子网 | 用于VPN网关1和VPC通信，请确保选择的接入子网存在4个及以上可分配的IP地址。 | 192.168.2.0/24 | | BGP ASN | BGP自治系统编号。 | 64512 | | HA模式 | 选择"双活"。 | 双活 | | 主EIP | VPN网关和用户数据中心通信的公网IP1。 | 1.1.1.2 | | 主EIP2 | VPN网关和用户数据中心通信的公网IP2。 | 2.2.2.2 | 3. 参见上述步骤，配置VPN网关2的参数（192.168.3.0/24）。 ![](https://support.huaweicloud.com/bestpractice-vpn/public_sys-resources/note_3.0-zh-cn.png) 此处仅名称、接入子网、主EIP和主EIP2的配置参数与VPN网关1不同，未提及参数建议和VPN网关1的配置保持一致。 表2VPN网关2参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN网关的名称。 | vpngw-002 | | 接入子网 | 用于VPN网关2和VPC通信，请确保选择的接入子网存在4个及以上可分配的IP地址。 | 192.168.3.0/24 | | 主EIP | VPN网关和用户数据中心通信的公网IP1。 | 3.3.3.3 | | 主EIP2 | VPN网关和用户数据中心通信的公网IP2。 | 4.4.4.4 | 4. 配置对端网关。 1. 选择"虚拟专用网络 \> 企业版-对端网关"，单击"创建对端网关"。 2. 根据界面提示配置参数。 对端网关参数1说明如[对端网关1参数说明]所示。 表3对端网关1参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | 对端网关的名称。 | cgw-fw1 | | 标识 | 对端网关1和华为云VPN网关通信的IP地址。 请确认数据中心的对端网关已经放通UDP端口4500。 | 1.1.1.1 | | BGP ASN | BGP自治系统编号。 | 65000 | 3. 参见上述步骤，配置对端网关2的参数（2.2.2.1）。 ![](https://support.huaweicloud.com/bestpractice-vpn/public_sys-resources/note_3.0-zh-cn.png) 此处仅名称和网关IP的配置参数与对端网关1不同，未提及参数建议和对端网关1的配置保持一致。 表4对端网关2参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | 对端网关的名称。 | cgw-fw2 | | 标识 | 对端网关2和华为云VPN网关通信的IP地址。 请确认数据中心的对端网关已经放通UDP端口4500。 | 2.2.2.1 | 5. 配置云侧VPN网关1和数据中心的VPN连接。 1. 选择"虚拟专用网络 \> 企业版-VPN连接"，单击"创建VPN连接"。 2. 配置第一组VPN连接参数，单击"立即购买"。 VPN连接参数说明如[表5]所示。 表5第一组VPN连接参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN连接的名称。 | vpn-001 | | VPN网关 | 选择VPN网关1。 | vpngw-001 | | 连接1网关IP | 选择VPN网关1的主EIP。 | 1.1.1.2 | | 连接1对端网关 | 选择连接1对端网关。 | 1.1.1.1 | | 连接2网关IP | 选择VPN网关1的主EIP2。 | 2.2.2.2 | | 连接2对端网关 | 选择连接2对端网关。 | 1.1.1.1 | | 连接模式 | 选择"BGP路由模式"。 | BGP路由模式 | | 对端子网 | 用户数据中心中需要和华为云VPC通信的子网。 - 对端子网与本端子网可以重叠，不能重合；对端子网不能被本网关关联的VPC内已有子网所包含。 - 部分网段是VPC预留网段，不能作为对端子网，例如：100.64.0.0/10、100.64.0.0/12，214.0.0.0/8。不同region的预留网段不同，实际使用以控制台显示为准。 如果需要使用100.64.0.0/10或100.64.0.0/12，请[提交工单](https://console.huaweicloud.com/ticket/?locale=zh-cn#/ticketindex/serviceTickets)申请。 | 172.16.0.0/16 | | 连接1配置 | 配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、检测机制、健康检查、预共享密钥、确认密钥和策略配置。 | *请根据实际设置* | | 接口地址分配方式 | - 手动分配 本示例以"手动分配"为例。 - 自动分配 | 手动分配 | | 本端隧道接口地址 | 配置在VPN网关上的tunnel接口地址。 | 169.254.70.1/30 | | 对端隧道接口地址 | 配置在对端网关上的tunnel接口地址，该接口地址需要和对端网关实际配置的tunnel接口地址保持一致。 | 169.254.70.2/30 | | 检测机制 | 用于多链路场景下路由可靠性检测，通过ICMP报文检测实现；使能NQA，您的对端设备需要允许ICMP响应请求。 | 勾选"使能NQA" | | 健康检查 | 健康检查可以配置VPN网关向对端网关发送监测报文，统计链路往返时延和丢包率，用于检测连接的质量。 默认开启健康检查，开启健康检查不会影响隧道连接。 | 开启 | | 预共享密钥、确认密钥 | 和对端网关的预共享密钥需要保持一致。 | Test@123 | | 策略配置 | 和对端网关的策略配置需要保持一致。 | 保持默认 | | 连接2配置 | 选择是否"与连接1保持一致"。 说明： 当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。 | 关闭 | | 本端隧道接口地址 | VPN网关的Tunnel隧道IP地址。 | 169.254.72.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道IP地址。 | 169.254.72.2/30 | 3. 配置第二组VPN连接参数。 ![](https://support.huaweicloud.com/bestpractice-vpn/public_sys-resources/note_3.0-zh-cn.png) 此处仅名称、对端网关、本端隧道接口地址和对端隧道接口地址的配置参数与第一组VPN连接不同，未提及参数建议和第一组VPN连接配置保持一致。 表6第二组VPN连接参数说明 | 参数 | 说明 | 取值参数 | |:---|:---|:---| | 名称 | VPN连接的名称。 | vpn-002 | | 连接1网关IP | 选择VPN网关1的主EIP。 | 1.1.1.2 | | 连接1对端网关 | 选择连接1对端网关。 | 2.2.2.1 | | 连接2网关IP | 选择VPN网关1的主EIP2。 | 2.2.2.2 | | 连接2对端网关 | 选择连接2对端网关。 | 2.2.2.1 | | 连接1配置 | 配置连接1网关IP的接口地址分配方式、本端隧道接口地址、对端隧道接口地址、检测机制、预共享密钥、确认密钥和策略配置。 | *请根据实际设置* | | 本端隧道接口地址 | VPN网关的Tunnel隧道接口IP地址。 | 169.254.71.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道接口IP地址。 | 169.254.71.2/30 | | 连接2配置 | 选择是否"与连接1保持一致"。 说明： 当选择关闭时，连接2配置仅本端隧道接口地址和对端隧道接口地址与连接1配置不同，其他参数建议和连接1配置保持一致。 | 关闭 | | 本端隧道接口地址 | VPN网关的Tunnel隧道IP地址。 | 169.254.73.1/30 | | 对端隧道接口地址 | 对端网关的Tunnel隧道IP地址。 | 169.254.73.2/30 | 6. 配置云侧VPN网关2和数据中心的VPN连接。 配置步骤与VPN网关1的步骤相同。 7. 配置数据中心的对端网关信息。 根据对端网关类型不同，配置操作可能存在差异。详细配置方法，请参见[管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)。