文档中心

VPN连接

第三方云厂商互通

使用SSL VPN连接与第三方IDP实现双因子访问控制

企业用户通常拥有自己的IDP体系（如 Azure AD、Okta、AD 域），VPN连接服务为您提供基于SAML的用户SSO，实现证书 + SSO登录联合身份认证的访问控制方案，无需在VPN侧单独维护用户账号。本文以Okta为第三方身份认证服务商为例，为您介绍SSL VPN连接如何与第三方IDP实现SSO认证访问控制，帮助您提升访问安全性，降低管理成本。

前提条件

已注册登录Okta身份认证服务商的账号。

已创建支持SSL连接能力的VPN网关（vpn-01）。

约束限制

SSO认证登录当前仅支持SAML2.0，以及客户端Openvpn connect 3.8版本以上(推荐使用3.8+版本)，如有问题请联系客户经理咨询。

切换SSO登录时生效时间较长，请您耐心等待并避免频繁切换。

操作步骤

IDP配置

步骤一：创建应用程序

登录Okta 网站，单击右上角用户名称，选择Your Org进入主页。

在 Okta 主页，单击右上角管理员按钮。

在左侧导航树中选择Applications and Resources > Applications。

单击 Create APP Integration按钮。

配置Platform及Sign-in method。其中Sign-in method需设置为SAML 2.0。

单击Next按钮。

根据您的实际业务需求配置App name、App logo（可选）、App visibility（可选）信息，单击 Next按钮。

创建完成后，您可以在Applications中查看Okta应用程序并为其配置SAML和用户。

步骤二：配置SAML

在左侧导航树中选择Applications and Resources > Applications，单击步骤一中创建的Okta应用程序名称。

单击Sign On页签中的Edit按钮。

配置General Settings：确认Okta应用程序基础配置后，单击Next按钮。

配置Configure SAML：其中Single sign-on URL和Audience URL(SP Entity ID)需配置为指定值，如下图所示。

Single sign-on URL：https://sso.vpnconnect.volces.com/api/saml-acs。

勾选：Use this for Recipient URL and Destination URL。

Audience URL(SP Entity ID)：https://sso.vpnconnect.volces.com。

配置Feedback：根据您的业务需求自定义配置后，单击Finish按钮。

步骤三：配置Okta用户

在左侧导航树中选择Applications and Resources > Applications，单击步骤一中创建的Okta应用程序名称。

单击Assignments页签，单击Assign按钮。

单击Assign to People或者Assign to Groups，配置SSO登录用户或者用户组。

选择目标用户或者用户组，单击Assign按钮。

说明

仅授权后的用户支持通过客户端Openvpn第三方认证登录。

步骤四：获取元数据信息

在左侧导航树中选择Applications and Resources > Applications，单击步骤一中创建的Okta应用程序名称。

单击Sign On页签，您可以在Metadata URL提供的链接中查看身份提供商元数据。

复制保存身份提供商元数据至本地。

VPN配置

步骤一：配置SSL服务端

登录VPN网关控制台。

在顶部导航栏，选择项目和地域。

单击创建SSL服务端按钮，参考下表，配置SSL服务端参数。

参数	说明	取值样例
名称	设置SSL服务端的名称。	Server-01
VPN网关	选择待创建SSL服务端关联的VPN网关。	vpn-01
本端网段	在SSL VPN连接中，本端网段是客户端通过SSL VPN连接访问的地址段，可以是VPC子网网段、通过专线连接与VPC互通的本地IDC网段、云服务网段（对象存储、云数据库）等多种网段。本端网段掩码推荐：/8～/32。本端网段不可与客户端网段冲突。最多支持配置5个本端网段。	172.XX.1.0/24、172.XX.2.0/24
客户端网段	在SSL VPN中，客户端网段是SSL服务端分配给客户端设备进行通信的网段，而不是客户端设备的本地网段。当客户端通过SSL VPN连接访问时，VPN网关会从指定的客户端网段中分配一个IP地址给客户端使用。客户端网段掩码限制：/16～/28。客户端网段不可与本端网段冲突。客户端网段与VPN网关路由不允许相同。客户端网段不可与VPN网关的默认路由表中的路由条目冲突。客户端网段不可与100.64.0.0/10、169.254.0.0/16、127.0.0.0/8、224.0.0.0/4、240.0.0.0/4网段重叠。客户端网段掩码下的可用IP数量，需要大于创建VPN网关时选择的SSL连接数的4倍。例如：SSL连接数为10，则客户端网段可用IP数量需大于40。	192.XX.0.0/16
协议	选择SSL VPN连接使用的协议，当前支持TCP（默认）和UDP协议。	TCP
加密算法	选择SSL VPN连接使用的加密算法，支持AES-128-CBC（默认）、AES-192-CBC、AES-256-CBC、不使用加密。	AES-128-CBC
认证算法	选择SSL VPN连接使用的认证算法，支持SHA1（默认）、MD5、不使用加密。	SHA1
是否压缩	是否对加密传输数据进行压缩处理，默认否。	否
端口	SSL服务端使用的端口。端口取值范围：1~65535，默认端口：1194。说明不支持使用以下端口：22、68、179、323、500、4500。	1194
所属项目	选择新创建SSL服务端所属项目。项目指您日常工作中的一项任务，您可以在同一账户下创建多个项目，并为项目创建/购买云资源。不同项目间，云资源不可共享。选定项目后，创建的SSL服务端只能被具有该项目权限的用户所使用。若进入创建页面前，您已在顶部导航栏选择账号全部资源，则新创建的SSL服务端属于default项目，您可在创建SSL服务端页面更换项目。若进入创建页面前，您已在顶部导航栏选择了具体项目，则新创建的SSL服务端属于该具体项目。您不可在创建SSL服务端页面更换项目，如需更换项目，请退出创建页面重新选择项目再创建SSL服务端。若无可用项目，您可单击右侧的创建项目，创建一个新的项目。 SSL服务端加入项目后，您可根据实际业务需求把SSL服务端迁出项目，具体请参见项目资源管理。 SSL客户端证书为SSL服务端的子资源，仅可跟随SSL服务端进行项目的迁移，不可单独对SSL客户端证书进行项目迁移。	default
高级选项
证书复用	是否开启证书复用功能，默认为是。	是
双因子认证	双因子认证是一种通过两种不同类型的凭证进行身份校验的安全认证机制，VPN连接服务为您提供基于SAML的用户SSO。功能开启：开启后，用户需要同时完成证书认证和身份认证后才允许建立SSL VPN连接。功能关闭：关闭后，用户仅需完成证书认证即可建立SSL VPN连接。注意双因子认证功能状态变更时（开启/关闭），该SSL服务端下所有存量的SSL VPN连接将中断，请谨慎操作。	开启
SAML元数据	仅双因子认证功能开启时需配置，用于身份提供商（IDP）和服务提供商交换身份验证和授权数据身份。输入步骤四：获取元数据信息中复制保存的XML元数据信息。说明由身份提供商导出的SAML元数据中需包含IdP的登录地址、IdP标识（entityID）等信息以及有效的X.509证书。这些信息用于后续的SAML SSO安全性校验。一个身份提供商的SAML元数据可以用于多个SSL服务端的双因子认证。注意变更SAML元数据后，该SSL服务端下所有存量的SSL VPN连接将中断，请谨慎操作。	-
标签	标签由标签键（Key）和标签值（Value）两部分组成，可作为标记对SSL服务端进行分类和搜索。了解更多单击添加标签可按需添加多个标签。单次操作最多可添加20个标签，单个SSL服务端最多可添加50个标签。同一SSL服务端多个标签的标签键（Key）不可重复，且每个标签的标签键（Key），只能存在一个标签值（Value）。设置标签键（Key）和标签值（Value）时应区分大小写，如Key=tag和Key=Tag是两个不同的标签键。	key:test

单击确定按钮，完成操作。

步骤二：配置SSL客户端

请参考文档创建SSL客户端证书并下载。

步骤三：配置客户端

请参考文档配置SSL客户端。

测试联通性

从客户端发起SSL VPN连接，单击Connect后输入Okta用户的账号和密码，由SSL VPN身份认证中心跳转SAML认证通过。此时支持客户端访问本端网段所属VPC中的云服务器，表示SSO认证访问成功，服务端与客户端可通过SSL VPN正常通信。

说明

SSO登录成功后, Openvpn连接大约存在0~8秒网络延迟。大流量集中访问登录延迟可能较高，请您耐心等待。

最近更新时间：2026.09.02 11:43:31

这个页面对您有帮助吗？

有用

无用