更新时间:2024-07-19 GMT+08:00

创建VPN连接

操作场景

您需要将VPC中的弹性云服务器和您的数据中心或私有网络连通,创建VPN网关后需要创建VPN连接。

操作步骤

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 在系统首页,单击“网络 > 虚拟专用网络”。
  4. 在左侧导航栏选择“虚拟专用网络 > 经典版-VPN连接”。

    如果所在region已同步上线企业版VPN,请选择“虚拟专用网络 > 经典版”。

  5. 在“VPN连接”页面,单击“创建VPN连接”。
  6. 根据界面提示配置参数,并单击“立即购买”。VPN连接参数请参见表1
    表1 VPN连接参数说明

    参数

    说明

    取值样例

    区域

    不同区域的资源之间内网不互通。请选择靠近您客户的区域,可以降低网络时延、提高访问速度。

    华北-北京四

    名称

    VPN连接名称。

    vpn-001

    VPN网关

    VPN连接挂载的VPN网关名称。

    vpcgw-001

    本端子网

    本端子网指需要通过VPN访问用户本地网络的VPC子网。支持以下方式设置本端子网:

    • 选择子网,表示用户数据中心或者私有网络与您选择的子网进行互通。
    • 手动输入网段,表示用户数据中心或者私有网络与您配置的网段之间进行互通。
      说明:

      多个本端子网不支持子网网段重叠。

    192.168.1.0/24,

    192.168.2.0/24

    远端网关

    您的数据中心或私有网络中VPN的公网IP地址,用于与VPC内的VPN互通。

    -

    远端子网

    远端子网指需要通过VPN访问VPC的用户本地子网。远端子网网段不能被本端子网网段覆盖,也不能与本端VPC已有的对等连接网段、专线/云连接的远端子网网段重复。

    说明:

    多个远端子网不支持子网网段重叠。

    192.168.3.0/24,

    192.168.4.0/24

    预共享密钥

    配置在云上VPN连接的密钥,需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。

    取值范围:

    • 取值长度:6~128个字符。
    • 只能包括以下几种字符:
      • 数字
      • 大小写字母
      • 特殊符号:包括“~”、“`”、“!”、“@”、“#”、“$”、“%”、“^”、“(”、“)”、“-”、“_”、“+”、“=”、“[”、“]”、“{”、“}”、“|”、"\"、","、"."、"/"、“:”和“;”

    Test@123

    确认密钥

    再次输入预共享密钥。

    Test@123

    高级配置

    • 默认配置。
    • 已有配置。
    • 自定义配置:包含IKE策略和IPsec策略,用于指定VPN隧道加密算法。相关配置说明请参见表2表3

    自定义配置

    表2 IKE策略

    参数

    说明

    取值样例

    认证算法

    认证哈希算法,支持的算法:

    • MD5(此算法安全性较低,请慎用)
    • SHA1(此算法安全性较低,请慎用)
    • SHA2-256
    • SHA2-384
    • SHA2-512

    默认配置为:SHA2-256。

    SHA2-256

    加密算法

    加密算法,支持的算法:

    • AES-128
    • AES-192
    • AES-256
    • 3DES(此算法安全性较低,请慎用)

    默认配置为:AES-128。

    AES-128

    DH算法

    Diffie-Hellman密钥交换算法,支持的算法:

    • Group 1(此算法安全性较低,请慎用)
    • Group 2(此算法安全性较低,请慎用)
    • Group 5(此算法安全性较低,请慎用)
    • Group 14
    • Group 15
    • Group 16
    • Group 19
    • Group 20
    • Group 21

    默认配置为:Group 14。

    Group 14

    版本

    IKE密钥交换协议版本,支持的版本:

    • v1(有安全风险不推荐)
    • v2

    默认配置为:v2。

    v2

    生命周期(秒)

    安全联盟(SA—Security Association)的生存时间,单位:秒。

    在超过生存时间后,安全联盟将被重新协商。

    默认配置为:86400。

    86400

    表3 IPsec策略

    参数

    说明

    取值样例

    认证算法

    认证哈希算法,支持的算法:

    • SHA1(此算法安全性较低,请慎用)
    • MD5(此算法安全性较低,请慎用)
    • SHA2-256
    • SHA2-384
    • SHA2-512

    默认配置为:SHA2-256。

    SHA2-256

    加密算法

    加密算法,支持的算法:

    • AES-128
    • AES-192
    • AES-256
    • 3DES(此算法安全性较低,请慎用)

    默认配置为:AES-128。

    AES-128

    PFS

    PFS(Perfect Forward Secrecy)即完美前向安全功能,用来配置IPsec隧道协商时使用。

    PFS组支持的算法:

    • DH group 1(此算法安全性较低,请慎用)
    • DH group 2(此算法安全性较低,请慎用)
    • DH group 5(此算法安全性较低,请慎用)
    • DH group 14
    • DH group 15
    • DH group 16
    • DH group 19
    • DH group 20
    • DH group 21

    默认配置为:DH group 14。

    DH group 14

    传输协议

    IPsec传输和封装用户数据时使用的安全协议,目前支持的协议:

    • AH
    • ESP
    • AH-ESP

    默认配置为:ESP。

    ESP

    生命周期(秒)

    安全联盟(SA—Security Association)的生存时间,单位:秒。

    在超过生存时间后,安全联盟将被重新协商。

    默认配置为:3600。

    3600

    IKE策略指定了IPsec隧道在协商阶段的加密和认证算法,IPsec策略指定了IPsec在数据传输阶段所使用的协议,加密以及认证算法;这些参数在VPC上的VPN连接和您数据中心的VPN中需要进行相同的配置,否则会导致VPN无法建立连接。

    以下算法安全性较低,请慎用:

    • 认证算法:SHA1、MD5。
    • 加密算法:3DES。
    • DH算法:Group 1、Group 2、Group 5。
  7. 单击“提交”。
  8. 因为隧道的对称性,还需要在您自己数据中心的路由器或者防火墙上进行IPsec VPN隧道配置。