哪些设备可以与天翼云进行VPN对接？

天翼云的VPN连接支持标准IPsec协议，用户可以通过以下两个方面确认用户侧数据中心的设备能否与天翼云进行对接：

• 设备是否具备IPsec功能和授权：请查询设备的特性列表获取是否支持IPsec VPN。
• 关于组网结构，要求用户侧数据中心有固定的公网IP或者经过NAT映射后的固定公网IP（即NAT穿越，VPN设备在NAT网关后部署）也可以。

                    
说明
                    
普通家庭宽带路由器、个人的移动终端设备、Windows主机自带的VPN服务（如L2TP）无法与天翼云的VPN连接进行对接。
与天翼云VPN连接服务做过对接测试厂商包括但不限于：华为（路由器、防火墙）、H3C（路由器、防火墙）、CISCO（路由器、防火墙）、锐捷（路由器、防火墙）、中兴、深信服、Fortinet、360、天融信、山石、网康、绿盟、DELL、合勤、Juniper等。
云服务厂商包括但不限于：华为云、阿里云，腾讯云，亚马逊云。
软件厂商包括但不限于：Openswan/strongSwan、GreenBow等 。
IPsec协议属于IETF标准协议，宣称支持该协议的厂商均可与天翼云进行对接，用户不需要关注具体的设备型号。目前绝大多数企业级路由器和防火墙都支持该协议。
部分硬件厂商在特性规格列表中是宣称支持IPsec VPN的，但是需要专门购买软件License才能激活相关功能。请用户侧数据中心管理员根据设备具体型号与厂商进行确认。


                    
                  
                  

是否可以将应用部署在云端，数据库放在本地IDC，然后通过VPN实现互联？

VPN连通的是两个子网，即云上VPC网络与用户数据中心网络。

VPN成功建立后，两个子网间可以运行任何类型的业务流量，此时应用服务器访问数据库业务在逻辑上和访问同一局域网的其它主机是相同的，因此该方案可行的。

这种场景是IPsec VPN的典型场景，请用户放心使用。

同时VPN连通以后，并不限定业务的发起方是云上还是用户侧数据中心，即用户可以从云上向用户侧数据中心发起业务，也可以反向。

                    
注意
                    
用户在打通VPN以后，需要关注网络延迟和丢包情况，避免影响业务正常运行。
建议用户先运行ping，获取网络的丢包和时延情况。

                    
                  
                  

建立IPsec VPN连接需要帐户名和密码吗？

常见的使用帐户名和密码进行认证的VPN有SSL VPN，PPTP或L2TP。

天翼云的IPsec VPN使用预共享密钥方式进行认证，密钥是配置在VPN网关上的，在VPN协商完成后即建立通道，VPN网关所保护的主机在进行通信时无需输入帐户名和密码。

                    
说明
                    
IPsec XAUTH技术是IPsec VPN的扩展技术，它在VPN协商过程中可以强制接入用户输入帐户名和密码。目前天翼云VPN不支持该扩展技术。
                    
                  
                  

IPsec VPN和SSL VPN在使用场景和连接方式上有什么区别？

使用场景

• IPsec VPN连通的是两个局域网，如分支机构与总部（或天翼云VPC）之间、本地IDC与云端VPC的子网，即IPsec VPN是网对网的连接。
• SSL VPN连通的是一个客户端到一个局域网络，如出差员工的便携机访问公司内网，即SSL VPN是点对网的连接。

连接方式

IPsec VPN要求两端有固定的网关设备，如防火墙或路由器，管理员需要分别配置两端网关完成IPsec VPN协商。

SSL VPN需要在主机上安装指定的Client软件，通过用户名/密码拨号连接至SSL设备。

IPsec VPN是否会自动建立连接？

IPsec VPN在完成两侧配置后，并不会自行建立连接，需要两侧主机间的数据流来触发隧道的建立。如果云上与用户侧数据中心没有交互数据流，VPN的连接状态会一直处于Down状态。所谓的数据流，可以是真实的业务访问数据，也可以是主机间Ping测数据。

触发隧道建立的方式有两种，一种是通过建立连接间的网关设备自动触发协商，另一种是通过云上云下主机间的交互流量触发。

天翼云不支持通过云端VPN网关自动触发协商。推荐您在首次建立连接时，分别验证两侧的交互数据流均可触发连接建立。即用户侧数据中心主机ping云上主机可触发连接建立，然后断开连接，确认云上主机Ping用户侧数据中心主机亦可触发连接建立。

                    
说明
                    
Ping包的源地址、目的地址需要处于VPN保护的范围内。
在建立连接之前，两端的网关地址应该是可以Ping通的，但是Ping网关IP并不触发VPN连接的建立。
                    
                  
                  

VPN网关删除后公网地址是否可以保留？

VPN网关删除后不保留网关IP。

通过管理控制台界面删除VPN网关后， VPN网关相关联的资源，如公网IP，配置信息即被释放，不会保留。

                    
注意
                    
删除最后一个连接会同步删除网关，用户如果需要保留公网IP，请确保不要删除最后一个VPN连接。
                    
                  
                  

VPC、VPN网关、VPN连接之间有什么关系？

• VPC，即云上私有专用网络，同一节点中可以创建多个VPC，且VPC之间相互隔离。一个VPC内可以划分多个子网网段。
• VPN网关，基于VPC创建，是VPN连接的接入点。天翼云中一个VPC仅能购买一个VPN网关，每个网关可以创建多个VPN连接。
• VPN连接，基于VPN网关创建，用于连通VPC子网和用户数据中心（或其它节点的VPC）子网，即每个VPN连接连通了一个用户侧数据中心的网关。

                    
说明
                    
VPN连接的数量与VPN连接的本端子网和远端子网的数量无关，仅与用户VPC需要连通的用户数据中心（或其它Region的VPC）的数量有关，已创建的VPN连接的数量即VPN连接列表中展示的数量（一个条目即一个VPN连接），也可以在VPN网关中查看当前网关已创建的VPN连接数量。
                    
                  
                  

如何理解VPN连接中的远端网关和远端子网？

远端网关和远端子网是个相对的概念，在建立VPN连接时，从天翼云的角度出发，天翼云VPC网络就是本地子网，创建的VPN网关就是本地网关，与之对接的用户侧网络就是远端子网， 用户侧的网关就是远端网关。

远端网关IP就是用户侧网关的公网IP，远端子网指需要和天翼云VPC子网互联的子网。

连接云下的多台服务器需要购买几个连接？

天翼云的VPN连接属于IPSec VPN，它是用于打通云上VPC和用户侧数据中心子网的VPN，所以购买VPN连接的个数与服务器的数量无关，而与这些服务器所在的数据中心数量有关。

大部分情况下一个用户侧数据中心会有一个公网出口网关，所有服务器（或用户主机）都通过该网关连接至Internet，因此对于这种情况配置一个VPN连接即可，通过该连接即可打通天翼云VPC与用户网络之间的流量。

VPN支持将两个VPC互连吗？

• 如果两个VPC位于同一节点内，不支持VPN互连，推荐使用VPC对等连接互连。
• 如果两个VPC位于不同节点，支持VPN互连。

在多出口的网络中，能否使用两个出口分别与同一VPC建立VPN连接做冗余配置？

不可以。

云端创建VPN时，本端子网为VPC内部子网，远端子网为客户用户侧数据中心子网，两条连接使用相同的本端子网和远端子网是无法进行创建的。

为什么VPN创建成功后状态显示未连接？

VPN对接成功后两端的服务器或者云主机之间需要进行通信，VPN的状态才会刷新为正常。

• IKE v1版本：如果VPN连接经历了一段无流量的空闲时间，则需要重新协商。协商时间取决于IPsec Policy策略中的“生命周期（秒）”取值。“生命周期（秒）”取值一般为3600（1小时），会在第54分钟时重新发起协商。如果协商成功，则保持连接状态至下一轮协商。如果协商失败，则在1小时内将状态设置为未连接，需要VPN两端重新进行通信才能恢复为连接状态。可以使用网络监控工具（例如：IP SLA）生成保持连接的Ping信号来避免这种情况发生。
• IKE v2版本：如果VPN连接经历了一段无流量的空闲时间，VPN保持连接状态。

EIP能作为VPN连接服务的VPN网关IP吗？

不可以。

VPN配置完成了，为什么连接一直处于未连接状态？

首先需要确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/远端子网、本端网关/远端网关互为镜像。

其次确认用户侧数据中心设备的路由、NAT和安全策略配置无误，最后通过两端的子网互PING对端子网主机。

                    
说明
                    
因为VPN是基于数据流触发的，在配置完成后需要从任一端子网主机ping对端子网主机，ping之前请关闭主机防火墙，云上安全组开启入方向ICMP。
ping网关IP无法触发VPN协商，需要ping网关保护的子网中的主机。
                    
                  
                  

配置VPN连接的本端子网和远端子网时需要注意什么？

• 子网数量满足规格限制，数量超出规格限制请进行聚合汇总。
• 本端子网不可以包含远端子网，远端子网可以包含本端子网。
• 推荐配置的本端子网在VPC内有路由可达。
• 同一个VPN网关创建两条连接：若这两条连接的远端子网存在包含关系，在访问的目的网络处于交集网段部分时，按照创建连接的先后顺序匹配VPN连接，且与连接状态无关（策略模式不能按照掩码长度进行匹配）。

VPN本端子网和远端子网的数量有限制吗，为什么我选择网段更新本地子网提示报错？

• 本端子网限制数量为5个，VPN本端子网和远端子网数量乘积最大支持到225。
• VPC会根据VPN连接的远端子网、云专线的远端子网、VPC对等连接子网、云连接的子网下发VPC子网路由，每个子网网段对应一条子网路由。
• VPC子网路由条目数不得大于200，即同一个VPC中所有VPN连接的远端子网数、云专线的远端子网数、VPC对等连接子网数、云连接的子网数以及自定义路由条目数的总和不得大于200。

创建VPN连接时添加远端子网，提示系统异常，如何处理？

检查VPC内是否存在对等连接、云专线的子网路由使用了该子网，导致VPN下发子网路由冲突，确认后将其配置的子网路由删除后重新创建即可。

VPN接入VPC的网络地址如何规划？

• 云上VPC地址段和客户云下的地址段不能冲突，且不允许存在包含关系。
• 为避免和云服务地址冲突，用户侧网络应尽量避免使用127.0.0.0/8、169.254.0.0/16、224.0.0.0/3、100.64.0.0/10的网段。

创建VPN网关时IP是如何分配的？

天翼云的VPN网关IP是一组提前规划好的地址组，提前预制了VPN的相关配置。

在用户创建VPN网关时，系统会随机分配一个IP地址和VPC进行绑定，且这个IP地址也只能绑定1个VPC。

因为VPN的网关IP存在预置数据，所以VPN网关IP和EIP不能转换，在创建VPN网关时也不能指定IP地址。

删除VPN网关时会释放IP地址与VPC的绑定关系；重新创建VPN网关时系统会重新随机分配网关IP地址。