华为云用户手册

前提条件 场景一：桌面云+VPC 云端完成VPC、子网和ECS配置。 云端完成VPN网关和连接配置。 图1 策略详情 云桌面完成TheGreenBow IPsec VPN Client 客户端安装。 桌面云可Ping VPN网关IP地址。 图2 桌面云Ping VPN连接 场景二：VPC+VPC 完成两个区域的VPC、子网和ECS配置，其中一个区域的ECS必须为Windows（VPC2）。 在VPC1完成VPN网关和VPN连接配置。 图3 策略详情2 VPC2中的Windows虚拟机安装TheGreenBow IPsec VPN Client 客户端。 VPC2虚拟机可Ping VPC1上的VPN网关IP地址。 图4 VPC虚拟机Ping VPN网关 华为云端的VPN配置信息采用默认配置。

操作场景 本文档详细的描述了“VPC+云桌面”和“VPC+VPC”场景下，使用TheGreenBow IPsec VPN Clinet软件与华为云端建立VPN连接的配置指导。 本任务指导您使用The GreenBow IPsec VPN Client测试VPN云连接配置，通过两个应用场景分别说明了IPsec VPN Client的配置信息，场景配置信息说明如下。 场景一：桌面云安装客户端与VPC上的VPN网关互联。 受客户端限制，桌面云需为Windows操作系统。 桌面云可Ping通云端VPC的VPN网关IP（Ping不通无法建立VPN连接）。 场景二：VPC1上的ECS安装客户端与VPC2上的VPN网关互联。 VPC1上的Windows虚拟机需要购买EIP。 VPC1的虚拟机可Ping通VPC2上的VPN网关IP（Ping不通无法建立VPN连接）。

操作流程 通过VPN实现数据中心和VPC互通的操作流程如图2所示。 图2 操作流程 表2 操作流程说明 序号 在哪里操作 步骤 说明 1 管理控制台 创建VPN网关 VPN网关需要绑定两个EIP作为出口公网IP。 如果您已经购买EIP，则此处可以直接绑定使用。 2 创建对端网关 添加AR路由器作为对端网关。 3 创建第一条VPN连接 VPN网关的主EIP和对端网关组建第一条VPN连接。 4 创建第二条VPN连接 VPN网关的主EIP2和对端网关组建第二条VPN连接。 第二条VPN连接的连接模式、预共享密钥、IKE/IPsec策略建议和第一条VPN连接配置保持一致。 5 AR命令配置界面 AR路由器侧操作步骤 AR路由器的本端隧道接口地址/对端隧道接口地址需要和VPN网关互为镜像配置。 AR路由器的连接模式、预共享密钥、IKE/IPsec策略需要和VPN连接配置保持一致。 6 - 结果验证 执行ping命令，验证网络互通情况。

数据规划 表1 规划数据 部件 参数项 AR路由器规划示例 云侧规划示例 VPC 子网 172.16.0.0/16 192.168.0.0/24 192.168.1.0/24 VPN网关 网关IP 1.1.1.1（AR路由器上行公网网口GE0/0/8的接口IP） 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 VPN连接 IKE策略 版本：v2 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group14 生命周期（秒）：86400 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH group14 传输协议：ESP 生命周期（秒）：3600

简介 欢迎使用虚拟专用网络（VPN）管理员指南，该指南可以帮助您配置本地的VPN设备，实现您本地网络与华为云VPC子网的互联互通。 VPN连接将您的数据中心或（或网络）连接到您的VPC，对端网关指用户端使用的定位标记，它可以是物理或软件设备。详细配置示例请参见： 示例：HUAWEI USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow IPsec VPN Client配置云上云下互通 示例：使用OpenSwan配置云上云下互通 示例：使用StrongSwan配置云上云下互通 示例：Web配置华为USG防火墙 父主题： 适用于经典版VPN

拓扑连接 本场景拓扑连接及策略协商配置信息如图1所示。 云上VPC的VPN网关IP：11.11.11.11，本地子网：192.168.200.0/24。 客户主机NAT映射IP：22.22.22.22，本地子网：192.168.222.0/24。 云端ECS与客户主机的本地IP地址分别为192.168.200.200和192.168.222.222。 VPN连接的协商参数使用华为云缺省配置。 图1 拓扑连接及策略协商配置信息

配置验证 场景一验证 在桌面云与VPC连接的场景中，桌面云最终可访问VPC远端虚拟机。 桌面云VPN连接在开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。 图15 发送第二阶段 图16 隧道开启 VPN连接建立成功如下图所示。 图17 VPN连接建立成功 查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。 图18 VPN连接状态 查看桌面云网络配置信息，如下图所示。 图19 桌面云网络配置信息 桌面云 Ping 云端VPC虚拟机 图20 桌面云 Ping 云端VPC虚拟机 云端VPC虚拟机 Ping 桌面云 图21 云端虚拟机 Ping 桌面云 场景一验证成功。 场景二验证 在VPC+VPC连接的场景中，VPC1的虚拟机和VPC安装客户端的虚拟机应该可以互通。 VPN连接过程，开启隧道后，若配置正确，第一阶段创建的图示会很快切换为第二阶段，第二阶段和隧道建立成功。如下图所示。 图22 发送第二阶段2 图23 隧道已开启2 VPN连接建立成功。如下图所示。 图24 VPN连接建立成功2 查看云端VPC中VPN连接状态。连接状态由“未连接”变为“正常”。 图25 VPN连接状态2 查看VPC网络配置信息。如下图所示。 图26 VPC网络配置信息 VPC内的虚拟机 Ping 云端VPC虚拟机 图27 VPC内的虚拟机 Ping 云端VPC虚拟机 云端VPC虚拟机 Ping VPC内的虚拟机 图28 云端VPC虚拟机 Ping VPC内的虚拟机 场景二验证成功。

配置步骤 场景一：桌面云+VPC场景的客户端配置 全局参数配置 修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。 图5 全局参数配置 IKE第一阶段配置 右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图6。 图6 IKE第一阶段配置 接口：选择本地用于VPN连接的网卡接口。 远端网关：VPC云端购买的VPN网关。 预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。 第一阶段高级信息按缺省配置，证书无需配置。 若高级信息中配置本端和远端ID，推荐选择IP。 可选配置【本端ID】：IP地址10.119.156.78 //选择本端建立VPN的连接地址 可选配置【远端ID】：IP地址10.154.71.9 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图7。 图7 高级配置信息 IPsec第二阶段配置 右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图8。 图8 IPsec第二阶段配置 VPN客户端地址：10.119.156.78 //选择安装客户端桌面云的真实IP 地址类型：子网地址 远端LAN地址：192.168.11.0 //VPC侧的子网 子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。 高级和脚本保持默认配置即可。 Remote Sharing配置需要将VPC云端的ECS主机IP进行添加。 图9 Remote Sharing配置 所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具 ＞重置IKE”，待IKE重置后再重新开启隧道。 场景二：VPC+VPC场景的客户端配置 全局参数配置 修改IKE和IPsec的默认生存时间（非关键配置步骤，选配），建议不勾选断线侦测。 图10 全局参数配置2 IKE第一阶段配置 右键单击“VPN配置”，选择“新建第一阶段”，本实例中使用客户端软件已有的第一阶段进行配置，配置信息请参见图11。 图11 IKE第一阶段配置2 接口：选择本地用于VPN连接的网卡接口。 远端网关：VPC云端购买的VPN网关。 预共享密钥：与华为云端配置一致【huawei@123】。 IKE：与华为云端一致。加密【AES128】、验证【SHA-1】、密钥组【DH5(1536)】。 第一阶段高级信息按缺省配置，证书无需配置。 在高级信息中配置本端和远端ID，推荐选择IP； //此配置区别于桌面云 必选配置【本端ID】：IP地址122.112.215.214 //选择本端建立VPN连接EIP 必选配置【远端ID】：IP地址117.78.30.55 //选择远端建立VPN的网关IP IKE阶段高级配置信息请参见图12。 图12 IKE阶段高级配置信息2 IPsec第二阶段配置 右键单击“第一阶段”，选择“新建第二阶段”，本实例中使用客户端软件已有的第二阶段进行配置，配置信息请参见图13。 图13 IPsec第二阶段配置 VPN客户端地址：192.168.222.225 //选择安装客户端虚拟机的真实IP 地址类型：子网地址 远端LAN地址：192.168.111.0 //VPC侧的子网 子网掩码：255.255.255.0 //VPC侧的子网掩码 ESP：与华为云端配置一致。加密【AES128】、验证【SHA-1】、模式【隧道】。 PSF：与华为云端配置一致。勾选PFS、群组【DH5(1536)】。 高级和脚本保持默认配置即可。 远程分享配置需要将VPC云端的ECS主机IP进行添加。 图14 远程分享配置 所有配置完成后请单击“保存”，后续修改配置信息请先保存再发起连接，否则更改配置信息不生效，建立连接在第二阶段页签点击右键，选择“开启隧道”，在调试过程中若修改过配置参数，请在保存后选择“工具 ＞ 重置IKE”，IKE重置后再重新开启隧道。

前提条件 场景一：桌面云+VPC 云端完成VPC、子网和ECS配置。 云端完成VPN网关和连接配置。 图1 策略详情 云桌面完成TheGreenBow IPsec VPN Client 客户端安装。 桌面云可Ping VPN网关IP地址。 图2 桌面云Ping VPN连接 场景二：VPC+VPC 完成两个区域的VPC、子网和ECS配置，其中一个区域的ECS必须为Windows（VPC2）。 在VPC1完成VPN网关和VPN连接配置。 图3 策略详情2 VPC2中的Windows虚拟机安装TheGreenBow IPsec VPN Client 客户端。 VPC2虚拟机可Ping VPC1上的VPN网关IP地址。 图4 VPC虚拟机Ping VPN网关 华为云端的VPN配置信息采用默认配置。

操作场景 本文档详细的描述了“VPC+云桌面”和“VPC+VPC”场景下，使用TheGreenBow IPsec VPN Clinet软件与华为云端建立VPN连接的配置指导。 本任务指导您使用The GreenBow IPsec VPN Client测试VPN云连接配置，通过两个应用场景分别说明了IPsec VPN Client的配置信息，场景配置信息说明如下。 场景一：桌面云安装客户端与VPC上的VPN网关互联。 受客户端限制，桌面云需为Windows操作系统。 桌面云可Ping通云端VPC的VPN网关IP（Ping不通无法建立VPN连接）。 场景二：VPC1上的ECS安装客户端与VPC2上的VPN网关互联。 VPC1上的Windows虚拟机需要购买EIP。 VPC1的虚拟机可Ping通VPC2上的VPN网关IP（Ping不通无法建立VPN连接）。

拓扑连接 本场景拓扑连接及策略协商配置信息如图1所示。 云上VPC的VPN网关IP：11.11.11.11，本地子网：192.168.200.0/24。 客户主机NAT映射IP：22.22.22.22，本地子网：192.168.222.0/24。 云端ECS与客户主机的本地IP地址分别为192.168.200.200和192.168.222.222。 VPN连接的协商参数使用华为云缺省配置。 图1 拓扑连接及策略协商配置信息

简介 欢迎使用虚拟专用网络（VPN）管理员指南，该指南可以帮助您配置本地的VPN设备，实现您本地网络与华为云VPC子网的互联互通。 VPN连接将您的数据中心或（或网络）连接到您的VPC，对端网关指用户端使用的定位标记，它可以是物理或软件设备。详细配置示例请参见： 示例：HUAWEI USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow IPsec VPN Client配置云上云下互通 示例：使用OpenSwan配置云上云下互通 示例：使用StrongSwan配置云上云下互通 示例：Web配置华为USG防火墙 父主题： 适用于经典版VPN

拓扑连接 本场景拓扑连接及策略协商配置信息如图1所示， 云上VPC的VPN网关IP：11.11.11.11，本地子网：192.168.200.0/24。 客户主机NAT映射IP：22.22.22.22，本地子网：192.168.222.0/24。 云端ECS与客户主机的本地IP地址分别为192.168.200.200和192.168.222.222。 VPN连接的协商参数使用华为云缺省配置。 图1 拓扑连接及策略协商配置信息

配置步骤 根据strongswan版本不同，相关配置可能存在差异。本实例以strongswan 5.7.2版本为例，详细介绍strongswan在Linux环境下的VPN配置。 安装IPsec VPN客户端。 yum install strongswan 安装交互过程选择“Y”，出现“Complete!”提示即完成安装，strongswan的配置文件集中放置在/etc/strongswan目录中，配置过程只需编辑IPsec.conf和IPsec.secrets文件即可。 开启IPv4转发。 vim /etc/sysctl.conf 在配置文件中增加如下内容： net.ipv4.ip_forward = 1 执行/sbin/sysctl -p命令，使转发配置参数生效。 iptables配置。 确认关闭firewall或允许数据流转发，查询命令：iptables -L iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination 预共享密钥配置。 vim /etc/strongswan/IPsec.secrets # 编辑IPsec.secrets文件 22.22.22.22 11.11.11.11 : PSK "IPsec-key" 格式与openswan相同，冒号的两边都有空格，PSK只能为大写，密钥用英文双引号。 IPsec连接配置。 vim /etc/strongswan/IPsec.conf 在配置文件中增加如下内容： config setup conn strong_IPsec # 定义连接名称为strong_IPsec auto=route # 可选择add、route和start type=tunnel # 开启隧道模式 compress=no # 关闭压缩 leftauth=psk # 定义本地认证方式为PSK rightauth=psk # 定义远端认证方式为PSK ikelifetime=86400s # ike阶段生命周期 lifetime=3600s # 二阶段生命周期 keyexchange=ikev1 # ike密钥交换方式为版本1 ike=aes128-sha1-modp1536! # 按照对端配置定义ike阶段算法和group，modp1536=DH group 5 esp=aes128-sha1-modp1536! # 按照对端配置定义IPsec阶段算法和group，modp1536=DH group 5 leftid=22.22.22.22 # 本端标识ID left=192.168.222.222 # 本地IP，nat场景选择真实的主机地址 leftsubnet=192.168.222.0/24 # 本地子网 rightid=11.11.11.11 # 远端标识ID right=11.11.11.11 # 远端VPN网关IP rightsubnet=192.168.200.0/24 # 远端子网 华为云VPN使用的DH-group对应的比特位详细请参见华为云VPN使用的DH-group对应的比特位是多少？。 启动服务。 service strongswan stop # 关闭服务 service strongswan start # 启动服务 service strongswan restart # 重启服务 strongswan stop # 关闭连接 strongswan start # 开启连接 每次修改配置都需要重启服务，并重新开启连接。

配置验证 通过strongswan statusall查询，可见连接启动时间。 Status of IKE charon daemon (strongSwan 5.7.2, Linux 3.10.0-957.5.1.el7.x86_64, x86_64): uptime: 5 minutes, since Apr 24 19:25:29 2019 malloc: sbrk 1720320, mmap 0, used 593088, free 1127232 worker threads: 11 of 16 idle, 5/0/0/0 working, job queue: 0/0/0/0, scheduled: 1 loaded plugins: charon pkcs11 tpm aesni aes des rc2 sha2 sha1 md4 md5 mgf1 random nonce x509 revocation constra ints acert pubkey pkcs1 pkcs7 pkcs8 pkcs12 pgp dnskey sshkey pem openssl gcrypt fips-prf gmp curve25519 chapoly x cbc cmac hmac ctr ccm gcm curl attr kernel-netlink resolve socket-default farp stroke vici updown eap-identity ea p-sim eap-aka eap-aka-3gpp eap-aka-3gpp2 eap-md5 eap-gtc eap-mschapv2 eap-dynamic eap-radius eap-tls eap-ttls eap -peap xauth-generic xauth-eap xauth-pam xauth-noauth dhcp led duplicheck unity counters Listening IP addresses:192.168.222.222 Connections: strong_IPsec: 192.168.222.222...11.11.11.11 IKEv1 strong_IPsec: local: [22.22.22.22] uses pre-shared key authentication strong_IPsec: remote: [11.11.11.11] uses pre-shared key authentication strong_IPsec: child: 192.168.222.0/24 === 192.168.200.0/24 TUNNEL Routed Connections: strong_IPsec{1}: ROUTED, TUNNEL, reqid 1 strong_IPsec{1}: 192.168.222.0/24 === 192.168.200.0/24 Security Associations (0 up, 1 connecting): strong_IPsec[1]: CONNECTING, 192.168.222.222[%any]...11.11.11.11[%any] strong_IPsec[1]: IKEv1 SPIs: c3090f6512ec6b7d_i* 0000000000000000_r strong_IPsec[1]: Tasks queued: QUICK_MODE QUICK_MODE strong_IPsec[1]: Tasks active: ISAKMP_VENDOR ISAKMP_CERT_PRE MAIN_MODE ISAKMP_CERT_POST ISAKMP_NATD 通过VPC1 ping安装有IPsec客户端的VPC2的主机： ping 192.168.222.222 PING 192.168.222.222 (192.168.222.222) 56(84) bytes of data. 64 bytes from 192.168.222.222: icmp_seq=1 ttl=62 time=3.07 ms 64 bytes from 192.168.222.222: icmp_seq=2 ttl=62 time=3.06 ms 64 bytes from 192.168.222.222: icmp_seq=3 ttl=62 time=3.98 ms 64 bytes from 192.168.222.222: icmp_seq=4 ttl=62 time=3.04 ms 64 bytes from 192.168.222.222: icmp_seq=5 ttl=62 time=3.11 ms 64 bytes from 192.168.222.222: icmp_seq=6 ttl=62 time=3.71 ms

命令行配置 物理接口配置 config system interface edit "port1" set vdom "root" set ip 11.11.11.11 255.255.255.0 set type physical next edit "IPsec" //隧道接口配置信息 set vdom "root" set type tunnel set interface "port1" //隧道绑定的物理接口 next end 接口划分区域配置 config system zone edit "trust" set intrazone allow set interface "A1" next edit "untrust" set intrazone allow set interface "port1 " next end 地址对象配置 config firewall address edit "hw-172.16.0.0/24" set uuid f612b4bc-5487-51e9-e755-08456712a7a0 set subnet 172.16.0.0 255.255.255.0 //云端地址网段 next edit "local-10.10.0.0/16" set uuid 9f268868-5489-45e9-d409-5abc9a946c0c set subnet 10.10.0.0 255.255.0.0 //本地地址网段 next IPsec配置 config vpn IPsec phase1-interface //一阶段配置 edit "IPsec" set interface "port1" set nattraversal disable set proposal aes128-sha1 set comments "IPsec" set dhgrp 5 set remote-gw 22.22.22.22 set psksecret ENC dmFyLzF4tRrIjV3T+lSzhQeU2nGEoYKC31NaYRWFJl8krlwNmZX5SfwUi5W5RLJqFu82VYKYsXp5+HZJ13VYY8O2Sn/vruzdLxqu84zbHEIQkTlf5n/63KEru1rRoNiHDTWfh3A3ep3fKJmxf43pQ7OD64t151ol06FMjUBLHgJ1ep9d32Q0F3f3oUxfDQs21Bi9RA== next end config vpn IPsec phase2-interface //二阶段配置 edit "IP-TEST" set phase1name "IPsec " set proposal aes128-sha1 set dhgrp 5 set keylifeseconds 3600 set src-subnet 10.10.0.0 255.255.0.0 set dst-subnet 172.16.0.0 255.255.255.0 next end 访问策略配置 config firewall policy edit 15 //策略编号15，流入至内网策略，未启用NAT set uuid 4f452870-ddb2-51e5-35c9-38a987ebdb6c set srcintf "IPsec" set dstintf "trust" set srcaddr "hw-172.16.0.0/24" set dstaddr "local-10.10.0.0/16" set action accept set schedule "always" set service "ALL" set logtraffic all next edit 29 //策略编号29，流出至云端策略，未启用NAT set uuid c2d0ec77-5254-51e9-80dc-2813ccf51463 set srcintf "trust" set dstintf "IPsec" set srcaddr "local-10.10.0.0/16" set dstaddr "hw-172.16.0.0/24" set action accept set schedule "always" set service "ALL" set logtraffic all next 路由配置 config router static edit 24 //路由编号24，访问云端静态路由 set dst 172.16.0.0 255.255.255.0 set gateway 11.11.11.1 set distance 10 set device "port1" config router policy edit 2 //策略路由编号2，云下访问云端策略路由 set input-device "A1" set src "10.10.00/255.255.0.0" set dst "172.16.0.0/255.255.255.0" set gateway 11.11.11.1 set output-device "port1"

拓扑连接 如图1所示，用户数据中心存在多个互联网出口，当前指定11.11.11.11的物理接口和华为云的VPC建立VPN连接，本地子网网段为10.10.0.0/16，华为云VPC子网为172.16.0.0/24。假设您在华为云购买的VPN网关IP为22.22.22.22，现通过创建VPN连接方式来连通本地网络到VPC子网。 图1 多出口客户网络通过VPN接入VPC连接拓扑 华为云端的VPN连接资源策略配置按照缺省信息配置，详见图2。 图2 策略配置

数据规划 表1 数据规划 部件 参数项 阿里云规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 EIP1：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 BGP ASN 65515 64512 VPN连接 IPsec隧道接口地址 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30 IKE策略 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group14 版本：v2 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH Group14

数据规划 表1 数据规划 部件 参数项 防火墙规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 VPN连接 隧道接口地址 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30 IKE策略 认证算法：SHA2-256 加密算法：AES-128 DH算法：DHGroup15 版本：v2 生命周期（秒）：28800 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH Group15 DPD：45秒 华为云DPD默认为45秒，不支持配置。 生命周期（秒）：3600 父主题： 静态路由模式

数据规划 表1 数据规划 部件 参数项 阿里云规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 VPN连接 隧道接口地址 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30 IKE策略 版本：v2 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group14 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH Group14

数据规划 表1 数据规划 部件 参数项 腾讯云规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 VPN连接 隧道接口地址 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30 IKE策略 版本：v2 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group14 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH group14 DPD：45秒 华为云DPD默认为45秒，不支持配置。 父主题： 静态路由模式

操作步骤 登录防火墙设备的命令行配置界面。 不同防火墙型号及版本命令可能存在差异，配置时请以对应版本的产品文档为准。 配置基本信息。 配置防火墙接口的IP地址。 interface GigabitEthernet1/0/1 //配置防火墙的公网IP地址。 ip address 1.1.1.1 255.255.255.0 interface GigabitEthernet1/0/2 //配置防火墙的私网IP地址。 ip address 172.16.0.233 255.255.255.0 将接口划入对应zone。 firewall zone untrust add interface GigabitEthernet1/0/1 firewall zone trust add interface GigabitEthernet1/0/2 配置TCP MSS大小。 firewall tcp-mss 1300 配置协商策略。 ike proposal /100/ //配置防火墙公网IP地址和VPN网关主EIP的IKE策略相关配置 authentication-algorithm SHA2-256 //请和表3配置的IKE策略认证算法保持一致 encryption-algorithm AES-128 //请和表3配置的IKE策略加密算法保持一致 authentication-method pre-share integrity-algorithm HMAC-SHA2-256 prf HMAC-SHA2-256 dh group15 //请和表3配置的IKE策略DH算法保持一致 sa duration 86400 //请和表3配置的IKE策略生命周期保持一致 ike peer /hwcloud_peer33/ undo version 2 //请和表3配置的IKE策略IKE版本保持一致 pre-shared-key XXXXXXX //请和表3配置的预共享密钥保持一致 ike-proposal /100/ remote-address 1.1.1.2 //请和VPN网关的主EIP保持一致 IPsec proposal /IPsec-hwcloud100/ //配置防火墙公网IP地址和VPN网关主EIP的IPsec策略相关配置 transform esp encapsulation-mode tunnel esp authentication-algorithm SHA2-256 //请和表3配置的IPsec策略认证算法保持一致 esp encryption-algorithm aes-128 //请和表3配置的IPsec策略加密算法保持一致 ike proposal /200/ //配置防火墙公网IP地址和VPN网关备EIP的相关配置，配置规则同上 authentication-algorithm SHA2-256 encryption-algorithm AES-128 authentication-method pre-share integrity-algorithm HMAC-SHA2-256 prf HMAC-SHA2-256 dh group15 sa duration 86400 ike peer /hwcloud_peer44/ undo version 2 pre-shared-key XXXXXXX ike-proposal /200/ remote-address 2.2.2.2 //请和VPN网关的备EIP保持一致 IPsec proposal /IPsec-hwcloud200/ transform esp encapsulation-mode tunnel esp authentication-algorithm SHA2-256 esp encryption-algorithm aes-128 配置隧道连接。 IPsec profile /HW-IPsec100/ //配置防火墙公网IP地址对应的路由策略 ike-peer hwcloud_peer33/ proposal /IPsec-hwcloud100/ //配置防火墙公网IP地址的路由模式隧道接口 pfs dh-group15 //请和表3配置的IPsec策略PFS保持一致 sa duration time-based 3600 //请和表3配置的IPsec策略生命周期保持一致 interface /Tunnel100/ ip address 169.254.70.1 255.255.255.252 //配置为防火墙的隧道接口1 IP地址 tunnel-protocol IPsec source 1.1.1.1 //配置为防火墙的公网IP地址 destination 1.1.1.2 //配置为VPN网关的主EIP service-manage ping permit IPsec profile /HW-IPsec100/ firewall zone untrust add interface /Tunnel100/ interface /Tunnel200/ ip address 169.254.71.1 255.255.255.252 //配置为防火墙的隧道接口2 IP地址 tunnel-protocol IPsec source 1.1.1.1 //配置为防火墙的公网IP地址 destination 2.2.2.2 //配置为VPN网关的备EIP service-manage ping permit IPsec profile /HW-IPsec200/ firewall zone untrust add interface /Tunnel200/ 配置路由信息。 配置华为云公网IP的静态路由。 ip route-static 1.1.1.2 255.255.255.255 1.1.1.1 //VPN网关主EIP+空格+255.255.255.255+空格+防火墙公网IP地址 ip route-static 2.2.2.2 255.255.255.255 1.1.1.1 //VPN网关备EIP+空格+255.255.255.255+空格+防火墙公网IP地址 配置私网静态路由。 ip route-static 192.168.0.0 255.255.255.0 /Tunnel100/ 1.1.1.2 ip route-static 192.168.0.0 255.255.255.0 /Tunnel200/ 2.2.2.2 格式为ip route-static VPC子网1+空格+子网掩码+空格+/Tunnel100/+VPN主EIP。 其中，Tunnel100需要和配置隧道连接配置的编号保持一致，且对应隧道编号中destination的值需要和配置的EIP保持一致。 如果存在多个VPC子网，则每个EIP均需要配置多条路由。 配置安全策略。 ip address-set /localsubnet192/ type object //定义地址对象 address 0 172.16.0.0 mask 24 //配置用户数据中心的子网信息 ip address-set /HWCsubnet172/ type object address 0 192.168.0.0 mask 24 //配置华为云VPC的子网信息 security-policy rule name /IPsec_permit1/ source-zone untrust source-zone internet source-zone local destination-zone untrust destination-zone internet destination-zone local service ah esp service protocol udp destination-port 500 4500 action permit rule name /IPsec_permit2/ source-zone untrust source-zone internet source-zone trust destination-zone untrust destination-zone internet destination-zone trust source-address address-set /localsubnet192/ source-address address-set /HWCsubnet172/ destination-address address-set /localsubnet192/ destination-address address-set /HWCsubnet172/ action permit nat-policy rule name IPsec_subnet_bypass source-zone trust destination-zone untrust destination-zone internet source-address address-set /localsubnet192/ destination-address address-set /HWCsubnet172/ action no-nat

数据规划 表1 数据规划 部件 参数项 阿里云规划示例 华为云规划示例 VPC 本端子网 172.16.0.0/24 192.168.0.0/24 VPN网关 公网IP地址 1.1.1.1 EIP1：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24 VPN连接 IKE策略 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group14 版本：v2 本端标识：IP Address 对端标识：IP Address IPsec策略 认证算法：SHA2-256 加密算法：AES-128 PFS：DH Group14

步骤2：新建数据源 本示例以DWS数据源接入为例。其他数据源连接方式请参考用户指南“新建数据源”章节。 进入新建的项目，按下图指引完成数据源的链接，单击“新建数据源”。 图2 新建数据源 源库类型：选择数据源作为数据分析的数据输入。 DataArts Insight支持连接ClickHouse、GaussDB(DWS)，同时也支持API数据源接入。 本例选择GaussDB(DWS)数据源，使用VPC方式接入。 表2 参数说明 参数名称 是否必填 说明 源库类型 是 接入的数据源类型，本示例为GaussDB(DWS)。 接入网络类型 是 GaussDB(DWS)方式接入。 所属地域 是 GaussDB(DWS)服务主机所在的局点。 开启跨账号授权 否 跨账户授权需填写授权信息，获取账号下实例资源，再填写下面的配置项。 授权租户ID 否 授权账号的ID。 授权项目ID 否 授权账号中项目ID。 授权委托名 否 创建的委托名称。 获取实例 - 填写授权租户ID、授权项目ID、授权委托名等参数后，单击获取实例。 名称 是 数据源配置列表的显示名称，用户自定义。 说明： 名称长度不能超过32个字符，不少于2个字符，只能由字母、数字和下划线（_）组成，且只能以字母开头。 描述 否 对连接数据源的描述。 实例 是 GaussDB(DWS)服务对应的角色实例。 服务器列表 是 GaussDB(DWS)服务器列表。 说明： 如果集群绑定elb，服务器列表默认填充elb地址，如果未绑定elb，默认填充第一个节点ip：port。 数据库 是 登录的数据库名称。 用户名 是 登录云数据库的用户名。 密码 是 登录数据库的密码。 SASL_SSL 是 实现数据源和DataArts Insight之间的可信身份认证与安全数据传输。 完成配置项填写单击“连接测试”。 测试连接成功后，单击“确定”完成数据连接。

步骤4：新建仪表板 在步骤3：新建数据集保存完数据集后，页面给出了创建仪表板的按钮。单击“新建仪表板”。 新建可视化图表，本示例以折线图为例。其他可视化图表的创建请参考用户指南可视化控件。 在字段编辑区域，选择数据的“维度”和“度量” 例如查看不同商品类别购买的用户数。您可以按需调整图表类型和数据度量以绘制不同类型的图表。 图3 制作折线图 单击“更新”之后就可以得到需要的图表内容。 图4 不同商品类别购买的用户数 您可以按需调整图表类型和数据度量以绘制不同类型的图表。例如查看不同商品购买的用户数和消费用户的平均年龄段。 图5 不同商品购买的用户数和消费用户的平均年龄段 单击右侧的“保存”保存智能报表。 输入仪表板的名称，单击“确定”保存成功。 也可通过单击“保存并发布”，保存并发布仪表板。发布后支持查看仪表板。

步骤1：新建项目空间 登录DataArts Insight管理控制台。 新建项目空间。 单击页面右侧的“新建项目”创建项目空间。 在新增项目页面输入项目名称、选择可见成员类型、成员、填写描述信息。 单击“确认”完成项目创建。 项目名称只能由中英文字、数字、以及下划线(_)、斜线（/）、反斜线（\）、竖线（|）、小括号（()）、中括号（[]）组成。 项目名称字符长度不超过50个字符。 描述信息的长度不超过512个字符。 创建项目时，除创建者外选择的成员才对该项目可见。 创建项目成功后也可在我的项目-成员信息中增加可见成员。

数据说明 为保护用户的隐私和数据安全，所有数据均已进行了采样和脱敏。 表1 商品销售数据示例 字段名称 字段类型 字段说明 取值范围 user_id int 用户ID 脱敏 age int 年龄段 -1表示未知 gender int 性别 0表示男 1表示女 2表示保密 rank Int 用户等级 有顺序的级别枚举，越高级别数字越大 register_time string 用户注册日期 单位：天 product_id int 商品编号 脱敏 a1 int 属性1 枚举，-1表示未知 a2 int 属性2 枚举，-1表示未知 a3 int 属性3 枚举，-1表示未知 category int 品类ID 脱敏 brand int 品牌ID 脱敏 time string 行为时间 - model_id string 模块编号 脱敏 type string 浏览（指浏览商品详情页） 加入购物车 购物车删除 下单 关注 点击 -

数据说明 为保护用户的隐私和数据安全，所有数据均已进行了采样和脱敏。 本例使用某类商品销售数据为例，通过自助式分析商品销售情况，搭建仪表板。 本例共计三个数据表： 用户数据表：Idata_user_info 订单表：Idata_order_info 商品信息表：Idata_product_info 表1 商品销售数据示例 表名称 字段名称 字段类型 字段说明 Idata_user_info user_id int 用户ID age int 年龄段 gender int 性别 region string 区域 education_status string 教育程度 Idata_order_info sale_price int 销售价格 profit int 利润 pay_time int 支付时间 create_time int 订单创建时间 user_id int 用户ID product_id int 商品ID Idata_product_info product_id int 商品ID product_name string 商品名称 product_type string 商品类型 product_color string 商品颜色 product_price string 商品价格

redis-benchmark常用命令举例 单机、主备、读写分离和proxy集群的测试命令： ./redis-benchmark -h {IP或域名} -p 6379 -a {password} --threads {num} -n { nreqs } -r { randomkeys } -c {clients} -d {datasize} -t {command} cluster集群测试命令： ./redis-benchmark -h {IP或域名} -p 6379 -a {password} --threads {num} -n { nreqs } -r { randomkeys } -c {clients} -d {datasize} --cluster -t {command} 测试短连接： ./redis-benchmark -h {IP或域名} -p 6379 -a {password} --threads {num} -n { nreqs } -r { randomkeys } -c {clients} -d {datasize} -k 0 -t {command} 测试空闲连接： ./redis-benchmark -h {IP或域名} -p 6379 -a {pwd} -c {clients} -I

获取redis-cli和redis-benchmark 创建弹性云服务器（ECS），根据不同的操作系统直接安装Redis-server，下面以ubuntu和CentOS系统为例： 直接编译安装Redis或者使用yum，apt安装Redis-server，安装Redis-Server的同时，会同步安装benchmark。 ubuntu系统 sudo apt update sudo apt install redis-server CentOS系统 sudo yum install epel-release sudo yum update sudo yum -y install redis 也可以直接下载安装包，进行解压和编译，以下载redis-6.0.9版本为例： 下载redis-6.0.9客户端。 wget http://download.redis.io/releases/redis-6.0.9.tar.gz 解压客户端压缩包。 tar xzf redis-6.0.9.tar.gz 进入redis-6.0.9的src目录下。 cd redis-6.0.9/src 编译源码。 make 编译完成后，工具一般在redis-x.x.x的src目录下。