文档中心

VPN连接

手动配置

配置华三防火墙

操作场景

若本地数据中心使用的是华三防火墙，在配置好云上VPN网关、用户网关、IPsec连接等操作后，还要在华三防火墙上进行VPN连接的配置。

注意

不同型号、不同版本的华三防火墙的操作配置、界面显示等可能存在差别。您可根据实际使用的防火墙型号，查看配套说明或咨询第三方防火墙厂商具体的操作配置。

前提条件

已完成创建VPN网关、创建用户网关、创建IPsec连接和添加VPN网关路由的操作。

参数说明

云上VPC

网段为192.168.2.0/24，VPN网关的公网IP为22.XX.XX.10。

VPN网关的公网IP是指创建VPN网关时，系统自动分配的公网IP，作为VPN网关的网关出口IP，与单独购买的公网IP实例不同，是不可单独持有的资源，生命周期与VPN网关保持一致。

云上IPsec连接

预共享密钥：test@1234

IKE配置

策略
取值
认证算法
sha256
加密算法
aes192
DH算法
group14
协商模式
main
版本
ikev1
生命周期
86400

IPsec配置

策略
取值
认证算法
sha256
加密算法
aes192
DH算法
group14
生命周期
86400
安全协议
esp

本地数据中心：私网网段为10.1.1.0/24，网关设备的静态公网IP为122.XX.XX.64，网关设备连接公网的接口为Reth1。

操作步骤

本文仅介绍必要的参数配置，其他参数您可根据实际情况，选择性的配置。

在本地登录华三防火墙的Web操作页面。

新建IPsec策略。

在左侧导航树，单击网络 > VPN > IPsec > 策略。

在新建IPsec策略页面，配置本地IPsec策略。请确保本地IPsec策略与云上VPC中创建的IPsec连接的配置保持一致。

本文云上IPsec连接的配置参数如参数说明所示，本地必要参数配置如表所示，配置完成后保存配置。

参数	说明	取值
基本配置
接口	网关设备连接公网的接口。	Reth1
IP地址类型	IP地址的类型。	IPv4
模式	选择对等/分支节点。	对等/分支节点
对端IP地址/主机名	云上VPN网关的公网IP地址。	22.XX.XX.10
协商模式	IKE认证阶段的协商模式。主模式：对应云上的main；野蛮模式：对应云上的aggressive。	主模式
认证方式	选择预共享密钥。	预共享密钥
预共享密钥	IPsec连接时设置的预共享密钥。	test@1234
再次输入预共享密钥	确认预共享密钥。	test@1234
对端ID	云上VPN网关的公网IP地址。	22.XX.XX.10
本端ID	本地VPN网关的公网IP地址。	122.XX.XX.64
保护的数据流
源IP地址	本地IDC的私网网段。	10.1.1.0/24
目的IP地址	云上待通信VPC的网段。	192.168.2.0/24

在左侧导航树，单击网络 > VPN > IPsec > IKE提议，然后单击新建，添加IKE配置，完成后单击确定。

此处的IKE配置需要与云上IPsec连接中的IKE配置保持一致。

参数
取值
优先级
10
认证方式
预共享密钥
认证算法
SHA256
加密算法
AES-CBC-192
DH
DH group 14
IKE SA 生存周期
86400

在左侧导航树，单击网络 > VPN > IPsec > 策略，找到步骤2新建的策略，在高级配置下添加IPsec配置，配置完成后单击确定。

此处的IPsec配置需要与云上IPsec连接中的IPsec配置保持一致。

参数	取值
封装模式	隧道模式
安全协议	ESP
ESP认证算法	SHA256
ESP加密算法	AES-CBC-192
PFS	Group_14
IPsec SA生存时间（基于时间）	86400
本端IP地址	122.XX.XX.64

在左侧导航树，单击网络 > VPN > IPsec > 策略 > 安全策略 > 新建，分别创建上、下行安全策略。

上行安全策略

从本地IDC到云上VPC方向的安全策略。

参数	说明	取值
名称	输入此条上行安全策略的名称。	h3c_to_vpc
源安全域	选择源安全域。	Trust
目的安全域	选择目的安全域。	Untrust
类型	选择IP的类型。	IPv4
动作	设置此条安全策略的执行动作，允许或拒绝访问。	允许
源IP地址	本地IDC的私网网段。	10.1.1.0/24
目的IP地址	云上VPC的网段。	192.168.2.0/24

下行安全策略

从云上VPC到本地IDC方向的安全策略。

参数	说明	取值
名称	输入此条下行安全策略的名称。	vpc_to_h3c
源安全域	选择源安全域。	Untrust
目的安全域	选择目的安全域。	Trust
类型	选择IP的类型。	IPv4
动作	设置此条安全策略的执行动作，允许或拒绝访问。	允许
源IP地址	云上VPC的网段。	192.168.2.0/24
目的IP地址	本地IDC的私网网段。	10.1.1.0/24

在左侧导航树，单击网络 > 路由 > 静态路由，进入新建IPv4静态路由页面，添加本地IDC到云上VPC方向的静态路由，完成后单击确定。

上行路由

从本地IDC到云上VPC方向的路由。

参数	说明	取值
VRF	选择VRF的类型。	公网
目的IP地址	输入目的IP地址。	0.0.0.0
掩码长度	输入掩码长度。	0
下一跳
下一跳所属的VRF	勾选下一跳所属的VRF，并选择为公网。	勾选，公网
下一跳IP地址	输入下一跳的IP地址。	22.XX.XX.10

下行路由

从云上VPC到本地IDC方向的路由。由于本文操作演示使用直连路由，因此无需配置下行路由。您也可根据实际网络情况配置相关静态路由条目。

最近更新时间：2025.08.11 17:58:21

这个页面对您有帮助吗？

有用

无用

策略	取值
认证算法	sha256
加密算法	aes192
DH算法	group14
协商模式	main
版本	ikev1
生命周期	86400

参数	取值
优先级	10
认证方式	预共享密钥
认证算法	SHA256
加密算法	AES-CBC-192
DH	DH group 14
IKE SA 生存周期	86400