VPN 连接 使用限制

一、VPN 连接

使用 VPN 连接时，你需要注意如下几点：

·VPN 参数配置完成后，你需要在子网关联路由表中添加指向 VPN 网关的路由策略，子网内云服务器访问对端网段的网络请求才会通过 VPN 通道传递至对端网关。

·VPN 连接稳定性依赖运营商公网质量。

·VPN 连接仅支持 PSK 方式，不支持 CA 认证。

·VPN 连接 SPD 或路由网段不能指定为如下网段：

·全0、全255或224开头的组播地址。

·回环地址：127.x.x.x/8。

·IPv6网段。

·使用 CCN 型 VPN 时，如果传递0.0.0.0网段路由，对端网关须开启主动协商，云端开启被动协商，否则通道可能不通；如果 VPN 网关版本是4.0，关联云联网时请注意在云联网侧开启路由重叠功能。

二、VPN 网关

·VPN 是地域级服务，但你可以在任意地域通过互联网连接你的 VPN 网关。

·不支持指定 VPN 网关的公网 IP 或公网 IP 归属的运营商，不支持 IPv6地址和 Anycast。同时，网关创建后其公网 IP 不可更换/修改。

·腾讯云分配的出入方向带宽与用户购买的带宽规格相等。

·目前仅200 Mbps 带宽及以上规格的关联 CCN 型的 VPN 网关支持动态 BGP，如需使用 BGP 功能，请 提交工单 进行咨询。

·路由优先级：静态路由＞动态 BGP 路由。

·私网 VPN：如需使用私网类型的 VPN，请 提交工单 进行咨询。

·请注意：4.0版本 VPC 型 VPN 网关，暂不支持与低版本 VPN 网关组成等价路由 ECMP。VPC 路由表等价路由 ECMP 介绍可查看：等价路由。

三、对端网关

·你必须指定对端网关的 IP 地址，对端网关的公网 IP 不支持如下 IP 地址：

·全0、全255或224开头的组播地址。

·回环地址：127.x.x.x/8。

·IP 地址中主机位为全0或者全1的地址，如：

·以 A 类中1-126开头举例，如1-126.0.0.0，1-126.255.255.255。

·以 B 类中128-191开头举例，如128-191.x.0.0，128-191.x.255.255。

·以 C 类中192-223开头举例，如192-223.x.x.0，192-223.x.x.255。

·内部服务地址：169.254.x.x/16。

·IPv6 地址。

·若通过 IPsec VPN 实现两个 VPC 内的资源互访，两个 VPC 互为对方的对端网关，VPC 网段不应重叠。

四、SSL 服务端

·服务端支持 UDP 或 TCP。

·修改端口、认证、加密算法等，你需要重新下载客户端配置。

·客户端网段与本端网段不能重叠。

·SSO 认证

·VPN 4.0版本：身份认证依赖 CAM 身份角色 配置，支持基于 SAML2.0的主流第三方 IdP，目前仅支持 Okta。

·开启身份认证情况下，你可以使用访问控制。

五、SSL 客户端

·客户端需要你自行准备，腾讯云 SSL VPN 支持开源 OpenVPN 客户端或兼容的其他商业客户端。

·每个客户端只能使用一个 SSL 客户端配置证书，暂不支持多台设备使用同一份证书。

·支持的 OpenVPN 版本：2.4.8及以上的2.x 系列，3.x 版本。

·身份认证仅3.x 版本 OpenVPN 或兼容的其他客户端支持。

·在 Windows 系统下，如果你的客户端 OpenVPN 是3.4.0及以上版本，那么 SSL 服务端配置时需要配置加密和认证算法。

·单次最多可批量创建100个 SSL 客户端。

六、IPsec VPN 限制

七、SSL VPN 限制