文档首页/ 虚拟专用网络 VPN/ 最佳实践/ 终端入云VPN/ 通过企业版终端入云VPN实现移动端和VPC互通（证书认证方式）/ 操作步骤
更新时间：2024-11-07 GMT+08:00
查看PDF
分享

操作步骤

前提条件

  • 云侧
    • 请确认虚拟私有云VPC已经创建完成。如何创建虚拟私有云VPC，请参见创建虚拟私有云和子网。
    • 请确认虚拟私有云VPC的安全组规则已经配置，ECS通信正常。如何配置安全组规则，请参见安全组规则。
  • 数据中心侧
    • 用户终端设备已经完成VPN客户端软件相关配置。相关操作步骤请参见管理员指南。

约束与限制

最多支持添加10个客户端CA证书。

操作步骤

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标，选择区域和项目。
  3. 在页面左上角单击图标，选择“网络 > 虚拟专用网络VPN”。
  4. 配置VPN网关。

    1. 在左侧导航栏，选择“虚拟专用网络 > 企业版-VPN网关”。
    2. 单击“终端入云VPN网关”进入终端入云VPN网关页面，单击“创建终端入云VPN网关”。
    3. 根据界面提示配置参数，单击“立即购买”并完成支付。

      VPN网关参数请参见表 VPN网关参数说明。

      表1 VPN网关参数说明

      参数

      说明

      取值样例

      区域

      选择靠近您所在地域的区域可以降低网络时延，从而提高访问速度。

      不同区域的资源之间网络不互通。

      请根据实际需要进行选择

      名称

      输入VPN网关的名称。

      p2c-vpngw-001

      虚拟私有云

      选择虚拟私有云VPC信息。

      vpc-001(192.168.0.0/16)

      互联子网

      用于VPN网关和VPC通信，请确保选择的互联子网存在3个及以上可分配的IP地址。

      192.168.66.0/24

      规格

      仅支持专业型1一种类型。

      • 最大转发带宽：300Mbit/s
      • 最大VPN连接数：500个

      专业型1

      可用区

      可用区是指在同一地域内，电力和网络互相独立的物理区域。在同一VPC网络内可用区与可用区之间内网互通，可用区之间能做到物理隔离。

      • 当存在两个及以上可用区时，必须选择两个可用区。

        部署在两个可用区的VPN网关具备更高的可用性。建议您根据VPC内资源所在的可用区选择网关的可用区。

      • 当仅存在一个可用区时，可选择此可用区创建VPN网关。

      可用区1、可用区2

      连接数

      VPN网关最多支持10个免费的VPN连接，提供可选连接数规格，支持用户自定义。

      10

      EIP

      用于VPN网关和客户端进行网络连接。

      • 现在创建：购买新EIP，新购买EIP的计费模式为按需。
      • 使用已有：使用已有EIP，仅支持使用独享带宽的EIP。
        说明：

        使用已有EIP时，已有EIP的计费模式可以为按需，也可以为包年/包月。

      现在创建

      弹性公网IP类型

      仅“EIP”选择“现在创建”时需要配置。

      全动态BGP：可以根据设定的寻路协议实时自动优化网络结构，以保持客户使用的网络持续稳定、高效。

      弹性公网IP类型的详细介绍请参见什么是弹性公网IP。

      全动态BGP

      带宽大小

      仅“EIP”选择“现在创建”时需要配置。

      EIP对应带宽大小，单位：Mbit/s。

      • 所有使用该EIP创建的VPN连接均会分摊占用该EIP的带宽大小，所有VPN连接的带宽总和不能超过该EIP的带宽大小。

        当网络流量超过EIP的带宽大小时，有可能造成网络拥塞导致VPN连接中断，请提前做好带宽规划。

      • 支持在云监控中配置告警规则对带宽进行监控。
      • 支持用户在允许的带宽范围内自定义带宽大小。
      • 部分区域默认仅支持300M带宽。如果需要更大带宽，您可以先申请300M带宽，然后提交工单进行带宽扩容。

      20 Mbit/s

      带宽名称

      仅“EIP”选择“现在创建”时需要配置。

      EIP对应带宽对象的名称。

      p2c-vpngw-bandwidth1

  5. 配置服务端。

    1. 在左侧导航栏，选择“虚拟专用网络 > 企业版-VPN网关”。
    2. 单击“终端入云VPN网关”进入“终端入云VPN网关”页面，可以单击目标VPN网关操作列的“配置服务端”，也可以单击目标VPN网关名称进入详情页配置服务端。
    3. 根据界面提示配置参数，单击“确定”。

      服务端配置参数请参见表2。

      表2 服务端参数说明

      区域

      参数

      说明

      取值样例

      基本信息

      本端网段

      本端网段是客户端通过终端入云VPN网关访问的目标网络的地址段。本端网段可以是华为云VPC的网段，或与华为云VPC互联网络的网段。

      最多可指定20个本端网段。本端网段的全0配置，暂不开放支持。本端网段的限制网段为0.0.0.0/8，224.0.0.0/4，240.0.0.0/4，127.0.0.0/8，不能与这些特殊网段重叠或冲突。

      • 选择子网：

        选择本VPC子网信息。

      • 输入网段：

        可以输入本VPC下的子网信息；也可以输入与本VPC建立了对等网络的VPC子网信息。

      说明：

      本端网段修改后，客户端需要重新连接。

      192.168.0.0/24

      客户端网段

      客户端网段是分配给客户端虚拟网卡地址的网段，不能与本端网段重叠，不能与网关所在VPC的路由表内路由重叠。当客户端连接网关时，会从中分配一个IP地址给客户端使用。

      客户端网段需要满足点分十进制/掩码格式，掩码位数在16~26之间。系统在为每个客户端分配IP地址时，需要划分出一个子网掩码为30的子网段，用以保证网络通信正常。因此，请确保您指定的客户端网段所包含的IP地址个数是VPN网关连接数的4倍及以上。

      不同VPN连接数建议的客户端网段请参见表 建议的客户端网段。

      说明：

      客户端网段修改后，客户端需要重新连接。

      172.16.0.0/16

      隧道类型

      SSL协议是一种传输层安全协议，用于构建客户端和服务端之间的安全通道。

      OpenVPN（SSL），不支持修改。

      OpenVPN（SSL）

      认证信息

      服务端证书

      服务端证书是服务端使用的SSL证书，客户端会基于此证书验证服务端的身份。

      • 使用已上传证书：查看并选择已上传证书。
      • 上传证书：单击下拉框最下方的“上传证书”，跳转至云证书管理服务。按照界面提示上传服务端证书，详细步骤请参见上传已有SSL证书。
      • 推荐使用强密码算法的证书，如RSA3072/4096。
      说明：

      用户在完成服务端配置后，在云证书管理服务中删除了引用的服务端证书，并不影响服务端证书的可用性。

      请根据实际需要进行选择

      客户端认证类型
      选择“客户端认证类型 > 证书认证”。
      • 单击“上传CA证书”，以文本格式打开CA证书PEM格式的文件，将证书内容复制到“上传CA证书”的“内容”文本框内。最多支持添加10个客户端CA证书。

        推荐使用强密码算法的证书，如RSA3072/4096。RSA2048加密算法的证书存在风险，请慎用。

      • 证书验证通过后，您可以在列表中查看CA证书基本信息，包含名称、序列号、签名算法、颁发者、使用者、过期时间。
      说明：

      删除该CA证书后，相关的客户端无法再正常连接。

      证书认证

      高级配置

      协议

      终端入云VPN连接使用的协议。

      • TCP（默认）

      TCP

      端口

      终端入云VPN连接使用的端口。

      • 443（默认）
      • 1194

      443

      加密算法

      终端入云VPN连接使用的加密算法。

      • AES-128-GCM（默认）
      • AES-256-GCM

      AES-128-GCM

      认证算法

      终端入云VPN连接使用的认证算法。

      • 加密算法为AES-128-GCM时，对应认证算法为SHA256。
      • 加密算法为AES-256-GCM时，对应认证算法为SHA384。

      SHA256

      是否压缩

      是否对传输数据进行压缩处理。

      默认不压缩，不支持修改。

      否
      表3 建议的客户端网段

      VPN连接数

      建议的客户端网段

      10

      子网掩码位数小于或等于26的网段。

      例如：10.0.0.0/26、10.0.0.0/25。

      20

      子网掩码位数小于或等于25的网段。

      例如：10.0.0.0/25、10.0.0.0/24。

      50

      子网掩码位数小于或等于24的网段。

      例如：10.0.0.0/24、10.0.0.0/23。

      100

      子网掩码位数小于或等于23的网段。

      例如：10.0.0.0/23、10.0.0.0/22。

      200

      子网掩码位数小于或等于22的网段。

      例如：10.0.0.0/22、10.0.0.0/21。

      500

      子网掩码位数小于或等于21的网段。

      例如：10.0.0.0/21、10.0.0.0/20。
    4. 上传服务端证书。
      1. 在“服务端”界面，选择“服务端证书”，在下拉选项中单击“上传证书”进入“云证书管理服务”页面。
      2. 在“SSL证书管理”页面，选择“上传证书 > 上传证书”，根据界面提示填写相关信息。
        上传证书参数请参见表 上传国际标准证书参数说明。
        表4 上传国际标准证书参数说明

        参数

        说明

        证书标准

        选择国际标准证书。

        证书名称

        用户自定义。

        企业项目

        将上传的SSL证书分配至对应的企业项目中。

        证书文件

        以文本编辑器（如Notepad++）打开待上传证书里的PEM格式的文件，将证书内容复制到此处。

        按照“服务端证书--CA证书”的顺序依次排列上传。

        上传证书文件格式如图 证书上传格式。

        证书私钥

        以文本编辑器（如Notepad++）打开待上传证书里的KEY格式的文件，将私钥内容复制到此处。

        仅上传服务端证书私钥。

        上传证书私钥格式如图 证书上传格式。
        图1 证书上传格式

        服务端证书的CN必须是域名格式。

      3. 单击“确定”，完成上传证书。
      4. 查看证书列表，确认证书状态为“托管中”。
    5. 上传客户端CA证书。
      1. 在“服务端”界面，在“客户端认证类型”下拉选项中选择“证书认证 ”，单击“上传CA证书”。
      2. 根据界面提示填写相关信息。
        表5 上传CA证书参数说明

        参数

        说明

        取值样例

        名称

        支持修改。

        ca-cert-xxxx

        内容

        以文本编辑器（如Notepad++）打开签名证书PEM格式的文件，将证书内容复制到此处。

        说明：
        • 推荐使用强密码算法的证书，如RSA3072/4096。
        • RSA2048加密算法的证书存在风险，请慎用。

        -----BEGIN CERTIFICATE-----

        证书内容

        -----END CERTIFICATE-----
      3. 单击“确定”。

        最多支持添加10个客户端CA证书。

  6. 下载客户端配置。

    1. 登录管理控制台。
    2. 在管理控制台左上角单击图标，选择区域和项目。
    3. 在页面左上角单击图标，选择“网络 > 虚拟专用网络VPN”。
    4. 在左侧导航栏，选择“虚拟专用网络 > 企业版-VPN网关”。
    5. 选择“终端入云VPN网关”页签，在“终端入云VPN网关”界面目标VPN网关所在行操作列，单击“下载客户端配置”。

      解压缩得到“client_config.conf”、“client_config.ovpn”、“README.md”三个文件。

      • “client_config.conf”适用于Linux。
      • “client_config.ovpn”适用于Windows、Mac或Android。

  7. 补充证书信息。

    1. 以文本编辑器（如Notepad++）打开“client_config.ovpn”文件。
    2. 在<cert></cert>和<key></key>标记对内分别填写客户端证书、客户端证书私钥。 
      <cert>
客户端证书
</cert>
<key>
客户端证书私钥
</key>
    3. 保存修改并退出。

  8. 配置客户端。

    本示例为您介绍如何配置Windows客户端，不同类型VPN客户端软件及版本可能存在差异，配置时请以实际为准。

    • 操作系统：Windows 10
    • 客户端软件：OpenVPN Connect 3.4.2（3160）
    1. 在OpenVPN官方网站下载OpenVPN Connect，根据界面提示进行安装。
    2. 启动OpenVPN Connect客户端，在“FILE”页签下单击“BROWSE”，上传客户端配置文件。
      图2 上传配置文件
    3. 单击“CONNECT”尝试建立VPN连接，若出现类似下图所示界面，代表连接成功。
      图3 连接成功

结果验证

  1. 打开客户端设备的命令行窗口。
  2. 执行命令：ping 192.168.1.10，验证连通性。

    其中，192.168.1.10为客户端需要访问的弹性云服务器的IP地址，请根据实际替换。

  3. 回显如下信息，表示网络已通。 
    来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=28ms TTL=245
来自 xx.xx.xx.xx 的回复: 字节=32 时间=27ms TTL=245