VPN连接
VPN连接
文档指南
请输入
- 文档首页
VPN连接常见问题IPsec VPN连接FAQ
复制全文
下载 pdfIPsec VPN连接FAQ
文档反馈
问问助手什么是IPsec连接？
IPsec连接是指用户网关和VPN网关之间，建立连接形成的通信隧道。用户侧和云上私有网络通过IPsec连接隧道，进行加密通信。
IPsec连接隧道是否会自动建立连接？
您可在创建IPsec连接时，通过配置参数立即发起协商来控制是否立即建立连接。
- 立即发起协商配置为是：IPsec连接创建完成后系统立即主动发起协商。
- 立即发起协商配置为否：IPsec连接创建后不会立即建立连接，只有在对端（本地IDC、其他VPC）主动发起SA、执行Ping命令访问云上VPC或者有数据通过时，隧道才被触发建立连接。
IPsec连接通道建立成功后还需要多长时间可用VPN连接功能？
VPN连接功能即开即用，在IPsec通信隧道建立成功后，无需等待，您可立即使用VPN连接功能进行数据传输。
IPsec连接的协商参数有哪些？
- IKE配置
- 配置项取值默认版本支持ikev1、ikev2。ikev2协商模式支持main 、aggressive，仅ikev1模式下支持配置此参数。main认证算法支持sha1、md5、sha256、sha384、sha512。sha1加密算法支持aes、aes192、aes256、des、3des。aesDH算法支持group1、group2、group5、group14。group2生命周期取值范围900～86400，单位：秒。86400
- IPsec配置
-
使用IPsec连接有什么注意事项？
- 需确保IPsec连接的两端IKE配置和IPsec配置的加密算法、认证算法一致。
- IKE密钥交换协议版本推荐使用ikev2，如果必须使用ikev1，需确保IPsec连接的两端IKE配置的生命周期一致。
说明
如果使用ikev1，但IKE配置的生命周期配置不同，会出现断流后无法重新建立连接IPsec连接隧道。
使用IPsec连接必须配置VPN网关路由么？
必须配置。
成功建立IPsec通信隧道，为什么本地数据中心仍无法访问私有网络内的云服务器？
在此情景下，请查看如下配置：
- 查看本地数据中心的路由和ACL，确认已允许访问私有网络的流量进入IPsec通信隧道。
- 查看被访问云服务器所属的安全组，确认安全组中的安全组规则已放通本地数据中心的私网网段。
如何使用NAT穿越功能？
如何开启DPD功能？
创建IPsec连接时DPD功能为默认开启状态。如果您手动关闭DPD功能后想要再次开启DPD功能，您可在修改IPsec连接页面打开DPD按钮，以开启DPD功能。
使用DPD功能，对端VPN网关需要满足什么条件？
DPD本身不要求对端VPN网关具备DPD能力，但是要能做出DPD VendorID应答。如果对端VPN网关无法应答，则会一直触发DPD超时。
因此，使用DPD功能前，请确认对端VPN网关具备DPD VendorID应答的能力。
说明
本文档中用本端和对端来指代VPN连接的两端。
- 本端：云上VPC侧。
- 对端：本地IDC或其他VPC侧。
是否支持配置两个除RemoteID不同其他信息均相同的IPsec连接？
- ikev2类型：支持。
- ikev1类型：不支持。如果配置两个除RemoteID不同，其他配置信息完全相同的ikev1类型的IPsec连接，会引起这两个IPsec连接分别反复删除、重连，导致两条IPsec连接通道均无法使用。
若对端为非固定出口IP，是否支持发起IPsec连接？
支持。如果您对端网关出口IP是非固定的IP，您在配置VPN连接时需特别注意以下几点：
- 创建用户网关时，IP地址配置为0.0.0.0。
- 创建IPsec连接时，不支持选择是否立即发起协商，固定为否。
- IKE 版本配置为ikev1。
- IKE 协商模式配置为aggressive。
- 全部配置完成后，需要从对端向云上VPN发起协商请求。
- 由于对端IP不固定，因此云上无法主动发起协商请求，即使存在从云上到对端的流量，云上也无法发起协商。
- IPsec连接中断后，如需重新发起连接，请重新从对端发起协商请求。
- 若对端有多个非固定出口IP需要发起协商，请分别创建多条IPsec连接，以避免抢占。详细操作请参考搭建云上VPC与云下数据中心互通（单个非固定出口IP场景）、搭建云上VPC与云下数据中心互通（多个非固定出口IP场景）。
如何查看TR类型IPsec连接的公网IP地址？
IPsec连接绑定中转路由器（TR）场景下，在完成IPsec连接的创建后，平台会自动为该IPsec连接分配一个公网IP作为云上的出口IP。
获取方法
- 登录IPsec连接控制台，选择目标IPsec连接所在地域和项目。
- 在IPsec连接列表中，单击目标IPsec连接名称，进入IPsec连接详情页面，然后在概览页签下查看分配的公网IP。
-
IPsec连接配置了健康检查后，如何查看健康检查事件信息？
若您为IPsec连接配置了健康检查，您可在云监控控制台 > 云产品事件中查看健康检查的事件信息。
为什么IPsec连接隧道连通一段时间后忽然不通？
若重置IPsec连接后，IPsec连接隧道仍然不通，您可根据IPsec连接的健康检查状态及相关上报时间进行排查处理，若均尝试之后仍然无法连通，请提交工单进行处理。
是否支持查看流量TopN的资源信息？如何查看？
支持，根据IPsec连接绑定资源不同，查看流量TopN资源信息的入口有所差别。
IPsec连接绑定资源类型 | 查看位置 | 信息说明 |
VPN网关 | VPN网关的数据页面 > IP流量监控 | |
中转路由器（TR） | IPsec连接的数据页面 > IP流量监控 |
说明
IP流量监控仅支持查询7天内的数据，且单次查询最大时间间隔为1天（24小时）。
哪些设备支持与火山引擎VPN对接？
火山引擎VPN支持RFC(IKEv1&IKEv2)标准协议，原则上支持该协议的厂商均可与火山引擎公有云进行对接，用户无需关注具体的设备型号。如因标准差异导致您的设备无法与火山引擎VPN对接，请您联系客户经理。
在多网段场景中，为什么IPsec连接状态为“第二阶段协商成功”时存在部分网段连接不通？
在使用IPsec-VPN连接实现本地数据中心和VPC互通的场景中，如果IPsec连接使用感兴趣流的路由模式且配置了多网段，可能由于VPN网关与思科、华三等传统厂商的设备对接时两端IPsec协议不兼容，导致仅一个网段可以互通，其他网段不通。建议您选用支持IKEv2版本RFC协议的本地网关设备搭建IPsec连接。
本地网关设备不支持IKEv2版本的RFC标准协议时，如何实现多网段互通？
如果本地网关设备不支持IKEv2版本，则IPsec连接及本地网关设备可以使用IKEv1版本。
在IPsec连接使用IKEv1版本的场景下，一个IPsec连接仅支持配置一个本端网段和一个对端网段。推荐您配置IPsec连接时使用目的路由的路由模式，IPsec连接对端的网关设备配置源网段为0.0.0.0/0、目的网段为0.0.0.0/0的感兴趣流，然后通过在VPN网关和本地数据中心配置BGP动态路由或者静态路由控制流量转发。
最近更新时间：2026.01.23 08:19:20
这个页面对您有帮助吗？
有用
有用
无用
无用