# 创建VPN连接 #### 操作场景 您需要将VPC中的弹性云服务器和您的数据中心或私有网络连通，创建VPN网关后需要创建VPN连接。 #### 操作步骤 1. 登录管理控制台。 2. 在管理控制台左上角单击![](https://support.huaweicloud.com/usermanual-vpn/figure/zh-cn_image_0000001542015070.png "点击放大")图标，选择区域和项目。 3. 在系统首页，单击"网络 \> 虚拟专用网络"。 4. 在左侧导航栏选择"虚拟专用网络 \> 经典版 \> VPN连接"。 如果所在region已同步上线企业版VPN，请选择"虚拟专用网络 \> 经典版"。 5. 在"VPN连接"页面，单击"创建VPN连接"。 6. 根据界面提示配置参数，并单击"立即购买"。VPN连接参数请参见[表 VPN连接参数说明]。 表1VPN连接参数说明 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 区域 | 不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。 | 华北-北京四 | | 名称 | VPN连接名称。 | vpn-001 | | VPN网关 | VPN连接挂载的VPN网关名称。 | vpcgw-001 | | 本端子网 | 本端子网指需要通过VPN访问用户本地网络的VPC子网。支持以下方式设置本端子网： - 选择子网，表示用户数据中心或者私有网络与您选择的子网进行互通。 - 手动输入网段，表示用户数据中心或者私有网络与您配置的网段之间进行互通。 说明： 多个本端子网不支持子网网段重叠。 | 192.168.1.0/24， 192.168.2.0/24 | | 远端网关 | 您的数据中心或私有网络中VPN的公网IP地址，用于与VPC内的VPN互通。 | - | | 远端子网 | 远端子网指需要通过VPN访问VPC的用户本地子网。远端子网网段不能被本端子网网段覆盖，也不能与本端VPC已有的对等连接网段、专线/云连接的远端子网网段重复。 说明： 多个远端子网不支持子网网段重叠。 | 192.168.3.0/24， 192.168.4.0/24 | | 预共享密钥 | 配置在云上VPN连接的密钥，需要与本地网络VPN设备配置的密钥一致。此密钥用于VPN连接协商。 取值范围： - 取值长度：6\~128个字符。 - 只能包括以下几种字符： - 数字 - 大小写字母 - 特殊符号：包括"\~"、"\`"、"!"、"@"、"#"、"$"、"%"、"\^"、"("、")"、"-"、"_"、"+"、"="、"\["、"\]"、"{"、"}"、"\|"、"\\"、","、"."、"/"、":"和";" | Test@123 | | 确认密钥 | 再次输入预共享密钥。 | Test@123 | | 高级配置 | - 默认配置。 - 已有配置。 - 自定义配置：包含IKE策略和IPsec策略，用于指定VPN隧道加密算法。相关配置说明请参见[表 IKE策略]和[表 IPsec策略]。 | 自定义配置 | 表2IKE策略 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 认证算法 | 认证哈希算法，支持的算法： - MD5（此算法安全性较低，请慎用） - SHA1（此算法安全性较低，请慎用） - SHA2-256 - SHA2-384 - SHA2-512 默认配置为：SHA2-256。 | SHA2-256 | | 加密算法 | 加密算法，支持的算法： - AES-128 - AES-192 - AES-256 - 3DES（此算法安全性较低，请慎用） 默认配置为：AES-128。 | AES-128 | | DH算法 | Diffie-Hellman密钥交换算法，支持的算法： - Group 1（此算法安全性较低，请慎用） - Group 2（此算法安全性较低，请慎用） - Group 5（此算法安全性较低，请慎用） - Group 14 - Group 15 - Group 16 - Group 19 - Group 20 - Group 21 默认配置为：Group 14。 | Group 14 | | 版本 | IKE密钥交换协议版本，支持的版本： - v1（有安全风险不推荐） - v2 默认配置为：v2。 | v2 | | 生命周期（秒） | 安全联盟（SA---Security Association）的生存时间，单位：秒。 在超过生存时间后，安全联盟将被重新协商。 默认配置为：86400。 | 86400 | 表3IPsec策略 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 认证算法 | 认证哈希算法，支持的算法： - SHA1（此算法安全性较低，请慎用） - MD5（此算法安全性较低，请慎用） - SHA2-256 - SHA2-384 - SHA2-512 默认配置为：SHA2-256。 | SHA2-256 | | 加密算法 | 加密算法，支持的算法： - AES-128 - AES-192 - AES-256 - 3DES（此算法安全性较低，请慎用） 默认配置为：AES-128。 | AES-128 | | PFS | PFS（Perfect Forward Secrecy）即完美前向安全功能，用来配置IPsec隧道协商时使用。 PFS组支持的算法： - DH group 1（此算法安全性较低，请慎用） - DH group 2（此算法安全性较低，请慎用） - DH group 5（此算法安全性较低，请慎用） - DH group 14 - DH group 15 - DH group 16 - DH group 19 - DH group 20 - DH group 21 默认配置为：DH group 14。 | DH group 14 | | 传输协议 | IPsec传输和封装用户数据时使用的安全协议，目前支持的协议： - AH - ESP - AH-ESP 默认配置为：ESP。 | ESP | | 生命周期（秒） | 安全联盟（SA---Security Association）的生存时间，单位：秒。 在超过生存时间后，安全联盟将被重新协商。 默认配置为：3600。 | 3600 | ![](https://support.huaweicloud.com/usermanual-vpn/public_sys-resources/note_3.0-zh-cn.png) IKE策略指定了IPsec隧道在协商阶段的加密和认证算法，IPsec策略指定了IPsec在数据传输阶段所使用的协议，加密以及认证算法；这些参数在VPC上的VPN连接和您数据中心的VPN中需要进行相同的配置，否则会导致VPN无法建立连接。 以下算法安全性较低，请慎用： - **认证算法：**SHA1、MD5。 - **加密算法：**3DES。 - **DH算法：**Group 1、Group 2、Group 5。 7. 单击"提交"。 8. 因为隧道的对称性，还需要在您自己数据中心的路由器或者防火墙上进行IPsec VPN隧道配置。 VPN设备支持列表请参见[哪些设备可以与华为云进行VPN对接？](https://support.huaweicloud.com/vpn_faq/vpn_faq_00002.html)。