快速入门

Size: px

Start display at page:

Download "快速入门"

厚墀尤
5 years ago
Views:

1 虚拟私有云快速入门文档版本 19 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : 客户服务邮箱 : support@huawei.com 客户服务电话 : 文档版本 19 ( ) 版权所有华为技术有限公司 i

3 目录目录 1 典型场景说明配置无需访问公网的弹性云服务器的 VPC 简介创建虚拟私有云基本信息及默认子网为虚拟私有云创建新的子网创建安全组添加安全组规则配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 简介创建虚拟私有云基本信息及默认子网为虚拟私有云创建新的子网为弹性云服务器申请和绑定弹性公网 IP 创建安全组添加安全组规则配置通过 VPN 访问公网的弹性云服务器的 VPC 简介创建虚拟私有云基本信息及默认子网为虚拟私有云创建新的子网申请 VPN 创建安全组添加安全组规则文档版本 19 ( ) 版权所有华为技术有限公司 ii

4 1 典型场景说明 1 典型场景说明虚拟私有云就是为弹性云服务器构建隔离的用户自主配置和管理的虚拟网络环境当弹性云服务器无需访问公网时, 例如用于搭建网站的数据库节点或服务器节点的弹性云服务器无需连接公网, 该类型弹性云服务器的虚拟私有云配置请参考 2 配置无需访问公网的弹性云服务器的 VPC 当弹性云服务器需要访问公网时可通过配置弹性公网 IP 实现, 例如用于搭建网站时允许接受访客通过网络访问的业务节点, 该类型弹性云服务器的虚拟私有云配置请参考 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 当您需要从公网访问虚拟私有云中的弹性云服务器并进行维护操作时可通过配置 VPN 实现, 例如网站管理员通过公网访问虚拟私有云中的服务节点, 该类型弹性云服务器的虚拟私有云配置请参考 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 文档版本 19 ( ) 版权所有华为技术有限公司 1

6 2 配置无需访问公网的弹性云服务器的 VPC 表 2-1 配置流程说明任务创建虚拟私有云基本信息和默认子网为虚拟私有云创建新的子网创建安全组添加安全组规则说明必选任务该任务是创建一个完整的虚拟私有云的第一步创建虚拟私有云的基本信息及默认子网后还需要根据您的实际网络需求, 继续创建虚拟私有云中的其他网络资源可选任务当虚拟私有云除了创建的默认子网还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络此处创建的子网就是创建弹性云服务器时添加的网卡必选任务您可以创建安全组, 将虚拟私有云中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性创建安全组成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则可选任务安全组创建成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则 2.2 创建虚拟私有云基本信息及默认子网操作场景虚拟私有云可以为您的弹性云服务器构建隔离的用户自主配置和管理的虚拟网络环境操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在总览界面, 单击 " 创建虚拟私有云 " 文档版本 19 ( ) 版权所有华为技术有限公司 3

7 2 配置无需访问公网的弹性云服务器的 VPC 5. 在 " 创建虚拟私有云 " 页面, 根据界面提示配置虚拟私有云参数表 2-2 虚拟私有云参数说明分类参数说明取值样例基本信息当前区域区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域华北 - 北京一名称 VPC 名称 VPC-001 网段标签 VPC 的地址范围,VPC 内的子网地址必须在 VPC 的地址范围内目前支持网段范围 : /8~ /12~ /16~24 虚拟私有云的标示, 包括键和值可以为虚拟私有云创建 10 个标签标签的命名规则请参考表 /16 键 :vpc_key1 值 :vpc-01 子网配置子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关 DNS 服务器地址标签默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请确保配置的 DNS 服务器地址可用子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表键 :subnet_key1 值 :subnet-01 文档版本 19 ( ) 版权所有华为技术有限公司 4

8 2 配置无需访问公网的弹性云服务器的 VPC 表 2-3 虚拟私有云标签命名规则参数规则样例键值不能为空对于同一虚拟私有云键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 vpc_key1 vpc-01 表 2-4 子网标签命名规则参数规则样例键值不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 subnet 检查当前配置, 单击立即创建 2.3 为虚拟私有云创建新的子网操作场景申请 VPC 时会创建一个子网, 当该 VPC 还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络创建的子网默认配置 DHCP 协议, 即使用该 VPC 的弹性云服务器启动过后, 会通过 DHCP 协议自动获取到 IP 地址操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目文档版本 19 ( ) 版权所有华为技术有限公司 5

9 2 配置无需访问公网的弹性云服务器的 VPC 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航栏选择虚拟私有云 5. 在虚拟私有云列表中, 单击需要创建子网的虚拟私有云名称 6. 在子网页签中, 单击创建子网 7. 在创建子网提示框中, 根据界面提示配置参数表 2-5 参数说明参数说明取值样例名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关标签子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表 2-6 键 : subnet_key1 值 :subnet-01 表 2-6 子网标签命名规则参数规则样例键值不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 subnet 默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请单击自定义配置进行配置请确保配置的 DNS 服务器地址可用 9. 单击确定注意事项子网创建成功后, 有 5 个系统保留地址您不能使用以 /24 的子网为例, 默认 5 个系统保留地址如下 : : 网络地址 : 网关地址文档版本 19 ( ) 版权所有华为技术有限公司 6

10 2 配置无需访问公网的弹性云服务器的 VPC :DHCP 服务地址 : 系统接口, 用于 VPC 对外通信 : 广播地址如果您在创建子网时选择了自定义配置, 系统保留地址可能与上面默认的不同, 系统会根据您的配置进行自动分配 2.4 创建安全组操作场景您可以创建安全组并定义安全组中的规则, 将 VPC 中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性建议您将不同公网访问策略的弹性云服务器划分到不同的安全组操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击创建安全组 6. 在创建安全组下拉区域, 根据界面提示配置参数, 如图 2-2 所示, 参数说明参考表 2-7 图 2-2 创建安全组文档版本 19 ( ) 版权所有华为技术有限公司 7

11 2 配置无需访问公网的弹性云服务器的 VPC 表 2-7 参数说明参数名称描述参数说明安全组的名称, 必填项安全组的名称只能由中文英文字母数字 _ - 和. 组成, 且不能有空格, 长度不能大于 64 个字符说明安全组名称创建后可以修改, 建议不要重名安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > 取值样例 sg-318b - 7. 单击确定 2.5 添加安全组规则操作场景安全组创建成功后, 即具备默认的安全组规则您可以自定义添加新的出方向入方向安全组规则入方向 : 指从外部访问安全组规则下的弹性云服务器出方向 : 指安全组规则下的弹性云服务器访问安全组外的实例操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击操作列的配置规则, 进入安全组详情界面 6. 在入方向页签, 单击添加规则, 添加入方向规则单击 + 可以依次增加多条入方向规则图 2-3 添加入方向规则文档版本 19 ( ) 版权所有华为技术有限公司 8

12 2 配置无需访问公网的弹性云服务器的 VPC 表 2-8 入方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或源地址描述可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > /0 default - 7. 在出方向页签, 单击添加规则, 添加出方向规则单击 + 可以依次增加多条出方向规则图 2-4 添加出方向规则表 2-9 出方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或文档版本 19 ( ) 版权所有华为技术有限公司 9

13 2 配置无需访问公网的弹性云服务器的 VPC 参数目的地址描述说明可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > 取值样例 /0 default - 文档版本 19 ( ) 版权所有华为技术有限公司 10

14 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 3.1 简介当弹性云服务器需要访问公网时, 例如用于搭建网站时允许接受访客通过网络访问的业务节点, 可以通过绑定弹性公网 IP 来实现具体的配置流程如图 3-1 所示图 3-1 配置网络功能配置网络流程图说明如表 3-1 所示文档版本 19 ( ) 版权所有华为技术有限公司 11

15 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 表 3-1 配置流程说明任务创建虚拟私有云基本信息和默认子网为虚拟私有云创建新的子网申请和绑定弹性公网 IP 创建安全组添加安全组规则说明必选任务该任务是创建一个完整的虚拟私有云的第一步创建虚拟私有云的基本信息及默认子网后还需要根据您的实际网络需求, 继续创建虚拟私有云中的其他网络资源可选任务当虚拟私有云除了创建的默认子网还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络此处创建的子网就是创建弹性云服务器时添加的网卡必选任务可以通过申请并将弹性公网 IP 绑定到弹性云服务器上, 实现弹性云服务器访公网的目的必选任务您可以创建安全组, 将虚拟私有云中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性创建安全组成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则可选任务安全组创建成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则 3.2 创建虚拟私有云基本信息及默认子网操作场景虚拟私有云可以为您的弹性云服务器构建隔离的用户自主配置和管理的虚拟网络环境操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目文档版本 19 ( ) 版权所有华为技术有限公司 12

16 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在总览界面, 单击 " 创建虚拟私有云 " 5. 在 " 创建虚拟私有云 " 页面, 根据界面提示配置虚拟私有云参数表 3-2 虚拟私有云参数说明分类参数说明取值样例基本信息当前区域区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域华北 - 北京一名称 VPC 名称 VPC-001 网段标签 VPC 的地址范围,VPC 内的子网地址必须在 VPC 的地址范围内目前支持网段范围 : /8~ /12~ /16~24 虚拟私有云的标示, 包括键和值可以为虚拟私有云创建 10 个标签标签的命名规则请参考表 /16 键 :vpc_key1 值 :vpc-01 子网配置子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关 DNS 服务器地址标签默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请确保配置的 DNS 服务器地址可用子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表键 :subnet_key1 值 :subnet-01 文档版本 19 ( ) 版权所有华为技术有限公司 13

17 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 表 3-3 虚拟私有云标签命名规则参数规则样例键值不能为空对于同一虚拟私有云键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 vpc_key1 vpc-01 表 3-4 子网标签命名规则参数规则样例键值不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 subnet 检查当前配置, 单击立即创建 3.3 为虚拟私有云创建新的子网操作场景申请 VPC 时会创建一个子网, 当该 VPC 还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络创建的子网默认配置 DHCP 协议, 即使用该 VPC 的弹性云服务器启动过后, 会通过 DHCP 协议自动获取到 IP 地址操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目文档版本 19 ( ) 版权所有华为技术有限公司 14

18 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航栏选择虚拟私有云 5. 在虚拟私有云列表中, 单击需要创建子网的虚拟私有云名称 6. 在子网页签中, 单击创建子网 7. 在创建子网提示框中, 根据界面提示配置参数表 3-5 参数说明参数说明取值样例名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关标签子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表 3-6 键 : subnet_key1 值 :subnet-01 表 3-6 子网标签命名规则参数规则样例键值不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 subnet 默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请单击自定义配置进行配置请确保配置的 DNS 服务器地址可用 9. 单击确定注意事项子网创建成功后, 有 5 个系统保留地址您不能使用以 /24 的子网为例, 默认 5 个系统保留地址如下 : : 网络地址 : 网关地址文档版本 19 ( ) 版权所有华为技术有限公司 15

19 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC :DHCP 服务地址 : 系统接口, 用于 VPC 对外通信 : 广播地址如果您在创建子网时选择了自定义配置, 系统保留地址可能与上面默认的不同, 系统会根据您的配置进行自动分配 3.4 为弹性云服务器申请和绑定弹性公网 IP 操作场景可以通过申请弹性公网 IP 并将弹性公网 IP 绑定到弹性云服务器上, 实现弹性云服务器访公网的目的操作步骤申请弹性公网 IP 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树, 单击弹性公网 IP 5. 在弹性公网 IP 界面, 单击购买弹性公网 IP 6. 根据界面提示配置参数表 3-7 参数说明参数说明取值样例当前区域类型区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域全动态 BGP: 可以根据设定的寻路协议实时自动优化网络结构, 以保持客户使用的网络持续稳定高效静态 BGP: 网络结构发生变化时, 无法实时自动调整网络设置以保障用户体验华北 - 北京一全动态 BGP 计费模式计费模式分为以下两种 : 包年包月按需计费按需计费文档版本 19 ( ) 版权所有华为技术有限公司 16

20 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 参数说明取值样例标签带宽选择用于标示弹性公网 IP 地址包括键和值标签的命名规则请参考表 3-8 选择新建带宽或者使用已有带宽键 :Ipv4_key1 值 : 新建带宽带宽名称带宽的名称 bandwidth 带宽类型带宽类型分为以下两种 : 独享 : 带宽只能被一个弹性公网 IP 地址使用共享 : 带宽可以加入多个弹性公网 IP, 带宽被多个弹性公网 IP 地址共用独享计费方式按带宽计费或按流量计费按带宽计费带宽大小带宽大小, 单位 Mbit/s 100 购买量企业项目选择包年包月计费模式时, 需要选择购买时长选择按需计费模式时, 需要选择弹性公网 IP 数量弹性公网 IP 归属的企业项目, 默认归属于 Default 项目 1 或 1 个月 Default 表 3-8 弹性公网 IP 地址标签命名规则参数规则样例键值不能为空对于同一弹性公网 IP 地址键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 Ipv4_key 文档版本 19 ( ) 版权所有华为技术有限公司 17

21 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 说明带宽只限制出方向的大小, 入方向带宽当前不做限制对于按需计费的弹性公网 IP, 当带宽类型选择共享带宽时, 只能在带宽名称的下拉选项中选择已有的共享带宽加入如果带宽名称不可选, 说明您没有可用共享带宽, 请先创建 7. 单击立即购买 8. 单击提交绑定当申请选择新建带宽时, 需要同时购买带宽 9. 在弹性公网 IP 界面待绑定弹性公网 IP 地址所在行, 单击绑定 10. 在绑定 IP 界面, 选择云服务器和网卡 11. 单击确定 3.5 创建安全组操作场景您可以创建安全组并定义安全组中的规则, 将 VPC 中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性建议您将不同公网访问策略的弹性云服务器划分到不同的安全组操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击创建安全组 6. 在创建安全组下拉区域, 根据界面提示配置参数, 如图 3-2 所示, 参数说明参考表 3-9 文档版本 19 ( ) 版权所有华为技术有限公司 18

22 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 图 3-2 创建安全组表 3-9 参数说明参数名称描述参数说明安全组的名称, 必填项安全组的名称只能由中文英文字母数字 _ - 和. 组成, 且不能有空格, 长度不能大于 64 个字符说明安全组名称创建后可以修改, 建议不要重名安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > 取值样例 sg-318b - 7. 单击确定 3.6 添加安全组规则操作场景安全组创建成功后, 即具备默认的安全组规则您可以自定义添加新的出方向入方向安全组规则入方向 : 指从外部访问安全组规则下的弹性云服务器文档版本 19 ( ) 版权所有华为技术有限公司 19

23 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 出方向 : 指安全组规则下的弹性云服务器访问安全组外的实例操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击操作列的配置规则, 进入安全组详情界面 6. 在入方向页签, 单击添加规则, 添加入方向规则单击 + 可以依次增加多条入方向规则图 3-3 添加入方向规则表 3-10 入方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或源地址描述可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > /0 default - 7. 在出方向页签, 单击添加规则, 添加出方向规则单击 + 可以依次增加多条出方向规则文档版本 19 ( ) 版权所有华为技术有限公司 20

24 3 配置通过弹性公网 IP 访问公网的弹性云服务器的 VPC 图 3-4 添加出方向规则表 3-11 出方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或目的地址描述可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > /0 default - 文档版本 19 ( ) 版权所有华为技术有限公司 21

26 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 配置网络流程图说明如表 4-1 所示表 4-1 配置流程说明任务创建虚拟私有云基本信息和默认子网为虚拟私有云创建新的子网申请 VPN 创建安全组添加安全组规则说明必选任务该任务是创建一个完整的虚拟私有云的第一步创建虚拟私有云的基本信息及默认子网后还需要根据您的实际网络需求, 继续创建虚拟私有云中的其他网络资源可选任务当虚拟私有云除了创建的默认子网还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络此处创建的子网就是创建弹性云服务器时添加的网卡必选任务通过执行该任务, 您可以成功申请 VPN, 在您的数据中心与云服务之间建立一条保密而安全的通信隧道必选任务您可以创建安全组, 将虚拟私有云中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性创建安全组成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则可选任务安全组创建成功后, 具备默认的访问规则默认规则是在出方向上的数据报文全部放行, 安全组内的弹性云服务器无需添加规则即可互相访问当默认访问规则可以满足需求时, 则无需单独再为该安全组添加安全组规则 4.2 创建虚拟私有云基本信息及默认子网操作场景虚拟私有云可以为您的弹性云服务器构建隔离的用户自主配置和管理的虚拟网络环境文档版本 19 ( ) 版权所有华为技术有限公司 23

27 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在总览界面, 单击 " 创建虚拟私有云 " 5. 在 " 创建虚拟私有云 " 页面, 根据界面提示配置虚拟私有云参数表 4-2 虚拟私有云参数说明分类参数说明取值样例基本信息当前区域区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域华北 - 北京一名称 VPC 名称 VPC-001 网段标签 VPC 的地址范围,VPC 内的子网地址必须在 VPC 的地址范围内目前支持网段范围 : /8~ /12~ /16~24 虚拟私有云的标示, 包括键和值可以为虚拟私有云创建 10 个标签标签的命名规则请参考表 /16 键 :vpc_key1 值 :vpc-01 子网配置子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关 DNS 服务器地址默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请确保配置的 DNS 服务器地址可用文档版本 19 ( ) 版权所有华为技术有限公司 24

28 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 分类参数说明取值样例标签子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表 4-4 键 :subnet_key1 值 :subnet-01 表 4-3 虚拟私有云标签命名规则参数规则样例键值不能为空对于同一虚拟私有云键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 vpc_key1 vpc-01 表 4-4 子网标签命名规则参数规则样例键值不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 subnet 检查当前配置, 单击立即创建文档版本 19 ( ) 版权所有华为技术有限公司 25

29 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 4.3 为虚拟私有云创建新的子网操作场景申请 VPC 时会创建一个子网, 当该 VPC 还需要添加其他子网时, 可以通过创建新的子网来为 VPC 增加用户自己的私有网络创建的子网默认配置 DHCP 协议, 即使用该 VPC 的弹性云服务器启动过后, 会通过 DHCP 协议自动获取到 IP 地址操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航栏选择虚拟私有云 5. 在虚拟私有云列表中, 单击需要创建子网的虚拟私有云名称 6. 在子网页签中, 单击创建子网 7. 在创建子网提示框中, 根据界面提示配置参数表 4-5 参数说明参数说明取值样例名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关标签子网的标示, 包括键和值可以为子网创建 10 个标签标签的命名规则请参考表 4-6 键 : subnet_key1 值 :subnet-01 表 4-6 子网标签命名规则参数规则样例键不能为空对于同一子网键值唯一长度不超过 36 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet_key1 文档版本 19 ( ) 版权所有华为技术有限公司 26

30 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 参数规则样例值长度不超过 43 个字符不能包含 = * < > \\, 和 /, 且首尾字符不能为空格 subnet 默认情况下使用网络外部 DNS 服务器地址, 如果需要修改 DNS 服务器地址, 请单击自定义配置进行配置请确保配置的 DNS 服务器地址可用 9. 单击确定注意事项子网创建成功后, 有 5 个系统保留地址您不能使用以 /24 的子网为例, 默认 5 个系统保留地址如下 : : 网络地址 : 网关地址 :DHCP 服务地址 : 系统接口, 用于 VPC 对外通信 : 广播地址如果您在创建子网时选择了自定义配置, 系统保留地址可能与上面默认的不同, 系统会根据您的配置进行自动分配 4.4 申请 VPN 简介默认情况下, 在 Virtual Private Cloud (VPC) 中的弹性云服务器无法与您自己的数据中心或私有网络进行通信如果您需要将 VPC 中的弹性云服务器和您的数据中心或私有网络连通, 可以启用 VPN 功能此操作您需要在 VPC 中创建 VPN 并更新安全组规则简单的 IPsecVPN 内网对连拓扑说明如图 4-2 所示, 假设您在云中已经申请了 VPC, 并申请了 2 个子网 ( /24, /24), 您在自己的数据中心 Router 下也有 2 个子网 ( /24, /24) 您可以通过 VPN 使 VPC 内的子网与数据中心的子网互相通信文档版本 19 ( ) 版权所有华为技术有限公司 27

4 配置通过 VPN 访问公网的弹性云服务器的 VPC 图 4-2 IPSec VPN 目前我们支持点到点 VPN(Site-to-Site VPN) 和点到多点 VPN(Hub-Spoke VPN), 除了在 VPC 中搭建 VPN, 您还需在自己的数据中心内也搭建 VPN VPC 内的 VPN 和您搭建的 VPN, 需要保证 IKE 策略以及 IPsec 策略配置一致在配置前, 请参考表

31 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 图 4-2 IPSec VPN 目前我们支持点到点 VPN(Site-to-Site VPN) 和点到多点 VPN(Hub-Spoke VPN), 除了在 VPC 中搭建 VPN, 您还需在自己的数据中心内也搭建 VPN VPC 内的 VPN 和您搭建的 VPN, 需要保证 IKE 策略以及 IPsec 策略配置一致在配置前, 请参考表 4-7 了解相关术语, 并确认您的设备满足以下协议, 以及相关配置的约束表 4-7 术语解释参数说明限制 RFC 2409 定义了 Internet 密钥交换 (IKE) 协议, 它是用于协商和验证密钥信息来保护连接的使用预共享密钥进行 IKE 协议的建立使用主模式和野蛮模式进行协商 RFC 4301 定义了 IPSec 的架构,IPSec 能够提供的安全服务, 以及各个组件之间如何配置工作的请使用 IPSec 隧道模式建立 VPN 连接操作场景通过执行该任务, 您可以创建 VPN, 以便在您的数据中心与云服务之间建立一条保密而安全的通信隧道 VPN 网关是 VPC 中建立 IPsec VPN 的出口网关, 用于 VPC 和外部数据中心之间建立安全可靠的加密网络通信 VPN 连接是建立 VPN 网关和外部数据中心 VPN 网关之间的加密通道当前 VPN 连接仅支持 IPsec VPN 加密协议需要先申请 VPN 网关, 再申请 VPN 连接, 一个 VPN 网关可以对应多个 VPN 连接说明目前, 申请 VPN 操作仅对华东区域开放, 申请 VPN 网关和申请 VPN 连接仅对华南和华北区域开放申请 VPN 网关 1. 登录管理控制台文档版本 19 ( ) 版权所有华为技术有限公司 28

32 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟专用网络 4. 在左侧导航栏选择虚拟专用网络 > VPN 网关 5. 在 VPN 网关界面, 单击购买 VPN 网关 6. 根据界面提示配置参数, 并单击立即购买表 4-8 VPN 网关参数说明分类参数说明取值样例基本信息当前区域区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域华北 - 北京一 VPC VPN 接入的 VPC 名称 vpc-001 名称 VPN 网关名称 vpngw-001 类型 VPN 类型默认为选择 IPsec IPsec 带宽本地 VPN 网关的带宽大小, 单位 Mbit/s 100 可靠性当前环境下仅支持单活单活基本信息计费方式支持两种计费方式 : 按带宽计费 / 按流量计费按流量计费申请 VPN 连接 7. 确认信息正确后, 单击提交说明 VPN 网关创建完成后,VPN 网关的状态为创建中当有 VPN 连接使用该 VPN 网关时,VPN 网关的状态更新为正常 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟专用网络 4. 在左侧导航栏选择虚拟专用网络 > VPN 连接 5. 在 VPN 连接页面, 单击购买 VPN 连接 6. 根据界面提示配置参数, 并单击立即购买文档版本 19 ( ) 版权所有华为技术有限公司 29

33 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 表 4-9 VPN 连接参数说明分类付费参数说明取值样例计费模式 VPN 连接支持按需计费按需计费基本信息当前区域区域指虚拟私有云所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通可以在管理控制台左上角切换区域华北 - 北京一 VPN 网关 VPN 连接挂载的 VPN 网关名称 vpcgw-001 名称 VPN 连接名称 vpn-001 预共享密钥预共享密钥 (Pre Shared Key), 取值范围为 6~128 位此项配置在 VPC 的 VPN 和您的数据中心的 VPN 中, 配置需要一致 Test@123 确认密钥再次输入预共享密钥 Test@123 本端子网远端网关远端子网高级配置 VPC 内需要与您的数据中心或者私有网络互通的子网支持以下方式设置本端子网选择子网手动输入网段您的数据中心或私有网络中 VPN 的公网 IP 地址, 用于与 VPC 内的 VPN 互通在双活网关下支持输入 2 个远端网关 IP 地址您的数据中心或私有网络中需要与 VPC 通信的子网地址远端子网网段不能被本端子网网段覆盖, 也不能与本端 VPC 已有的对等连接网段重合默认配置自定义配置 : 自定义配置 IKE 策略和 IPsec 策略相关配置说明请参考表 4-10 和表 /24, / /24, /24 自定义配置表 4-10 IKE 策略参数说明取值样例认证算法认证哈希算法, 支持的算法 :sha1 sha2-256 sha2-384 sha2-512 md5 默认配置为 :sha1 sha1 文档版本 19 ( ) 版权所有华为技术有限公司 30

34 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 参数说明取值样例加密算法加密算法, 支持的算法 :aes-128 aes-192 aes-256 3des( 有安全风险不推荐 ) 默认配置为 :aes-128 aes-128 DH 算法 Diffie-Hellman 密钥交换算法, 支持的算法 :group2 group5 group14 默认配置为 :group5 group5 版本 IKE 密钥交换协议版本, 支持的版本 : v1 v2 默认配置为 :v1 v1 生命周期 ( 秒 ) 协商模式安全联盟 (SA Secuity Associations) 的生存时间, 单位 : 秒在超过生存时间后, 安全联盟将被重新协商默认配置为 :86400 选择 IKE 策略版本未 v1 时, 可以配置协商模式, 取值支持 main aggressive 默认配置为 :main main 表 4-11 IPsec Policy 策略参数说明取值样例认证算法认证哈希算法, 支持的算法 :sha1 sha2-256 sha2-384 sha2-512 md5 默认配置为 :sha1 加密算法加密算法, 支持的算法 :aes-128 aes-192 aes-256 3des( 有安全风险不推荐 ) 默认配置为 :aes-128 sha1 aes-128 DH 算法传输协议 Diffie-Hellman 密钥交换算法, 支持的算法 :group2 group5 group14 默认配置为 :group5 IPSec 传输和封装用户数据时使用的安全协议, 目前支持的协议 :ah esp ah-esp 默认配置为 :esp group5 esp 文档版本 19 ( ) 版权所有华为技术有限公司 31

35 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 参数说明取值样例生命周期 ( 秒 ) 安全联盟 (SA Secuity Associations) 的生存时间, 单位 : 秒在超过生存时间后, 安全联盟将被重新协商默认配置为 : 说明 IKE 策略指定了 IPSec 隧道在协商阶段的加密和认证算法,IPSec 策略指定了 IPSec 在数据传输阶段所使用的协议, 加密以及认证算法 ; 这些参数在 VPC 上的 VPN 连接和您数据中心的 VPN 中需要进行相同的配置, 否则会导致 VPN 无法建立连接 7. 单击提交创建成功后云为该 IPSec VPN 分配一个公网出口 IP 地址该地址为 VPN 页面中, 已创建的 VPN 的本端网关地址在您自己数据中心配置对端隧道时, 远端网关需要配置为该 IP 地址图 4-3 网关出口 IP 地址 8. 因为隧道的对称性, 还需要在您自己数据中心的路由器或者防火墙上进行 IPSecVPN 隧道配置 VPN 配置样例请参考如何配置 VPN 对端设备? VPN 链接支持的协议参考 VPN 参考标准和协议 VPN 设备支持列表请参考对端 VPN 设备支持列表 4.5 创建安全组操作场景您可以创建安全组并定义安全组中的规则, 将 VPC 中的弹性云服务器划分成不同的安全域, 以提升弹性云服务器访问的安全性建议您将不同公网访问策略的弹性云服务器划分到不同的安全组操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击创建安全组 6. 在创建安全组下拉区域, 根据界面提示配置参数, 如图 4-4 所示, 参数说明参考表 4-12 文档版本 19 ( ) 版权所有华为技术有限公司 32

36 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 图 4-4 创建安全组表 4-12 参数说明参数名称描述参数说明安全组的名称, 必填项安全组的名称只能由中文英文字母数字 _ - 和. 组成, 且不能有空格, 长度不能大于 64 个字符说明安全组名称创建后可以修改, 建议不要重名安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > 取值样例 sg-318b - 7. 单击确定 4.6 添加安全组规则操作场景安全组创建成功后, 即具备默认的安全组规则您可以自定义添加新的出方向入方向安全组规则入方向 : 指从外部访问安全组规则下的弹性云服务器文档版本 19 ( ) 版权所有华为技术有限公司 33

37 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 出方向 : 指安全组规则下的弹性云服务器访问安全组外的实例操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 在系统首页, 单击网络 > 虚拟私有云 4. 在左侧导航树选择安全组 5. 在安全组界面, 单击操作列的配置规则, 进入安全组详情界面 6. 在入方向页签, 单击添加规则, 添加入方向规则单击 + 可以依次增加多条入方向规则图 4-5 添加入方向规则表 4-13 入方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或源地址描述可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > /0 default - 7. 在出方向页签, 单击添加规则, 添加出方向规则单击 + 可以依次增加多条出方向规则文档版本 19 ( ) 版权所有华为技术有限公司 34

4 配置通过 VPN 访问公网的弹性云服务器的 VPC 图 4-6 添加出方向规则表 4-14 出方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~65535 22 或 22-30 目的地址描述可以是 IP 地址, 也可以是安全组例如

38 4 配置通过 VPN 访问公网的弹性云服务器的 VPC 图 4-6 添加出方向规则表 4-14 出方向参数说明参数协议说明网络协议, 取值范围为 :TCP,UDP,ICMP,ANY 取值样例 TCP 端口范围规则的端口范围, 取值范围为 :1~ 或目的地址描述可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 安全组的描述信息, 非必填项描述信息内容不能超过 255 个字符, 且不能包含 < 和 > /0 default - 文档版本 19 ( ) 版权所有华为技术有限公司 35

天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司

天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司目录目录 1 产品定义... 2 2... 3 2.1 申请 VPN... 3 2.2 修改 VPN 配置信息... 5 2.3 查看 VPN 策略详情... 6 2.4 删除 VPN... 7 3 常见问题... 8 3.1 每个用户可申请多少个 VPN?... 8 3.2 VPN 是否收费?... 8 3.3 使用 VPN