VPN网关 权限 对应API接口 授权项（Action） 依赖的授权项 IAM 项目 (Project) 企业项目 (Enterprise Project) 创建VPN网关 POST /v5/{project_id}/vpn-gateways vpn:vpnGateways:create er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subnets:create vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:create vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:ports:create vpc:quotas:list vpc:bandwidths:list vpc:ports:get vpc:ports:delete vpc:routeTables:update vpc:routeTables:get vpc:bandwidths:get √ √ 查询VPN网关 GET /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:get vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ √ 查询VPN网关列表 GET /v5/{project_id}/vpn-gateways vpn:vpnGateways:list vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ × 更新VPN网关 PUT /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:update er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 删除VPN网关 DELETE /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:delete er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:ports:delete vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN网关可用区(V5) GET /v5/{project_id}/vpn-gateways/availability-zones vpn:vpnGatewayAvailabilityZone:list - √ × 查询VPN网关可用区(V5.1) GET /v5.1/{project_id}/vpn-gateways/availability-zones vpn:vpnGatewayAvailabilityZone:list - √ × 导入VPN网关证书 POST /v5/{project_id}/vpn-gateways/{vgw_id}/certificate vpn:vpnGateways:importCertificate - √ √ 查询VPN网关证书 GET /v5/{project_id}/vpn-gateways/{vgw_id}/certificate vpn:vpnGateways:getCertificate - √ √ 更新VPN网关证书 PUT /v5/{project_id}/vpn-gateways/{vgw_id}/certificate/{certificate_id} vpn:vpnGateways:updateCertificate - √ √ 查询VPN网关的路由表 GET /v5/{project_id}/vpn-gateways/{vgw_id}/routing-table vpn:vpnGateways:getRoutingTable - √ √ 变更按需VPN网关规格 POST /v5/{project_id}/vpn-gateways/{vgw_id}/update-specification vpn:vpnGateways:updatePostpaidSpecification - √ √ 父主题： 站点入云VPN授权项列表

VPN连接 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建VPN连接 POST /v5/{project_id}/vpn-connection vpn:vpnConnections:create ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN连接列表 GET /v5/{project_id}/vpn-connection vpn:vpnConnections:list vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ × 查询VPN连接详情 GET /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:get vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ √ 更新VPN连接 PUT /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:update vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 删除VPN连接 DELETE /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:delete ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 批量创建VPN连接 POST /v5/{project_id}/vpn-connections/batch-create vpn:vpnConnections:batchCreate ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN连接日志 GET /v5/{project_id}/vpn-connection/{vpn_connection_id}/log vpn:vpnConnections:getLog - √ √ 父主题： 站点入云VPN授权项列表

VPN连接 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建VPN连接 POST /v5/{project_id}/vpn-connection vpn:vpnConnections:create ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN连接列表 GET /v5/{project_id}/vpn-connection vpn:vpnConnections:list vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ × 查询VPN连接详情 GET /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:get vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ √ 更新VPN连接 PUT /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:update vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 删除VPN连接 DELETE /v5/{project_id}/vpn-connection/{vpn_connection_id} vpn:vpnConnections:delete ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 批量创建VPN连接 POST /v5/{project_id}/vpn-connections/batch-create vpn:vpnConnections:batchCreate ces:metricData:list ces:currentRegionSupportedMetrics:list vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subNetworkInterfaces:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN连接日志 GET /v5/{project_id}/vpn-connection/{vpn_connection_id}/log vpn:vpnConnections:getLog - √ √ 父主题： 站点入云VPN授权项列表

站点入云VPN 基础型和专业型1网关规格，支持相互变更。 专业型1、专业型2网关规格，支持相互变更。 专业型1-非固定IP VPN网关规格不支持变更为专业型1；专业型2-非固定IP VPN网关规格不支持变更为专业型2。 专业型3 VPN网关规格不支持与其他规格相互变更。 以上产品规格升降配，实际情况以console显示为准。 表1 站点入云VPN产品规格 对比项 基础型 专业型1 专业型1-非固定IP 专业型2 专业型2-非固定IP 国密型 专业型3 独享网关资源 支持 支持 支持 支持 支持 支持 支持 双连接 支持 支持 支持 支持 支持 支持 支持 双活网关 支持 支持 支持 支持 支持 支持 支持 主备网关 支持 支持 支持 支持 支持 支持 支持 策略模式 支持 支持 支持 支持 支持 支持 支持 路由模式-静态路由 支持 支持 支持 支持 支持 支持 支持 路由模式-BGP路由 支持 支持 支持 支持 支持 支持 支持 策略模板模式 不支持 不支持 支持 不支持 支持 不支持 支持 最大转发带宽 100Mbps 300Mbps 300Mbps 1Gbps 1Gbps 500Mbps 5000Mbps 最大VPN连接组数 10个 100个 100个 100个 100个 100个 300个 对接企业路由器 不支持 支持 支持 支持 支持 支持 支持 接入私网地址 不支持 支持 不支持 支持 不支持 支持 支持 非固定IP接入 不支持 不支持 支持 不支持 支持 不支持 不支持 支持区域 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 以管理控制台实际上线区域为准。 父主题： 产品规格

VPN网关 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目 (Project) 企业项目 (Enterprise Project) 创建VPN网关 POST /v5/{project_id}/vpn-gateways vpn:vpnGateways:create er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subnets:create vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:create vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:ports:create vpc:quotas:list vpc:bandwidths:list vpc:ports:get vpc:ports:delete vpc:routeTables:update vpc:routeTables:get vpc:bandwidths:get √ √ 查询VPN网关 GET /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:get vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ √ 查询VPN网关列表 GET /v5/{project_id}/vpn-gateways vpn:vpnGateways:list vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list √ × 更新VPN网关 PUT /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:update er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:list vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:routeTables:update vpc:routeTables:get √ √ 删除VPN网关 DELETE /v5/{project_id}/vpn-gateways/{vgw_id} vpn:vpnGateways:delete er:instances:list er:instances:get vpc:vpcs:list vpc:vpcs:get vpc:subnets:get vpc:subnets:delete vpc:subNetworkInterfaces:update vpc:publicIps:delete vpc:publicIps:update vpc:publicIps:get vpc:publicIps:list vpc:bandwidths:list vpc:ports:get vpc:ports:delete vpc:routeTables:update vpc:routeTables:get √ √ 查询VPN网关可用区(V5) GET /v5/{project_id}/vpn-gateways/availability-zones vpn:vpnGatewayAvailabilityZone:list - √ × 查询VPN网关可用区(V5.1) GET /v5.1/{project_id}/vpn-gateways/availability-zones vpn:vpnGatewayAvailabilityZone:list - √ × 导入VPN网关证书 POST /v5/{project_id}/vpn-gateways/{vgw_id}/certificate vpn:vpnGateways:importCertificate - √ √ 查询VPN网关证书 GET /v5/{project_id}/vpn-gateways/{vgw_id}/certificate vpn:vpnGateways:getCertificate - √ √ 更新VPN网关证书 PUT /v5/{project_id}/vpn-gateways/{vgw_id}/certificate/{certificate_id} vpn:vpnGateways:updateCertificate - √ √ 查询VPN网关的路由表 GET /v5/{project_id}/vpn-gateways/{vgw_id}/routing-table vpn:vpnGateways:getRoutingTable - √ √ 变更按需VPN网关规格 POST /v5/{project_id}/vpn-gateways/{vgw_id}/update-specification vpn:vpnGateways:updatePostpaidSpecification - √ √ 父主题： 站点入云VPN授权项列表

处理步骤 在开始菜单栏中输入“任务管理器”，单击打开。 单击“服务”，找到OPENVPNServiceInteractive服务，查看运行状态。如图 任务管理器所示。 图1 任务管理器 如果状态是正在运行，请继续步骤3。 如果状态是已停止，请参考以下步骤，修改该服务的启动类型。 右键单击该服务的“开始”，运行服务。 单击任务管理器下方的“打开服务”。如图 打开服务所示。 图2 打开服务 找到“OpenVPN Interactive Service”服务，右键单击“属性”。 将该服务的“启动类型”修改为“自动”。如图 修改启动类型所示。 图3 修改启动类型 单击确定。 将OpenVpn GUI客户端断开，重新连接。

VPN标签 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建资源标签 POST /v5/{project_id}/{resource_type}/{resource_id}/tags/create vpn:resourceInstanceTags:create - √ √ 删除资源标签 POST /v5/{project_id}/{resource_type}/{resource_id}/tags/delete vpn:resourceInstanceTags:delete - √ √ 查询资源类型标签列表 GET /v5/{project_id}/{resource_type}/tags vpn:resourceTypeTags:list - √ x 查询资源实例列表 POST /v5/{project_id}/{resource_type}/resource-instances/filter vpn:resourceInstances:list - √ x 查询资源标签列表 GET /v5/{project_id}/{resource_type}/{resource_id}/tags vpn:resourceInstanceTags:list - √ √ 查询资源实例数量 POST /v5/{project_id}/{resource_type}/resource-instances/count vpn:resourceInstances:count - √ x 父主题： 服务公共接口授权项列表

参考标准和协议 与VPN相关的参考标准与协议如下： RFC 2403: The Use of HMAC-MD5-96 within ESP and AH RFC 2404: The Use of HMAC-SHA-1-96 within ESP and AH RFC 2409: The Internet Key Exchange (IKE) RFC 2451: The ESP CBC-Mode Cipher Algorithms RFC 3526: More Modular Exponential (MODP) Diffie-Hellman groups for Internet Key Exchange (IKE) RFC 3566: The AES-XCBC-MAC-96 Algorithm and Its Use With IPsec RFC 3602: The AES-CBC Cipher Algorithm and Its Use with IPsec RFC 3664: The AES-XCBC-PRF-128 Algorithm for the Internet Key Exchange Protocol (IKE) RFC 4106: The Use of Galois/Counter Mode (GCM) in IPsec Encapsulating Security Payload (ESP) RFC 4109: Algorithms for Internet Key Exchange version 1 (IKEv1) RFC 4434: The AES-XCBC-PRF-128 Algorithm for the Internet Key Exchange Protocol (IKE) RFC 4868: Using HMAC-SHA-256, HMAC-SHA-384, and HMAC-SHA-512 with IPsec RFC 4301: Security Architecture for the Internet Protocol RFC 4302: IP Authentication Header RFC 4303: IP Encapsulating Security Payload (ESP) RFC 4305: Cryptographic Algorithm Implementation Requirements for Encapsulating Security Payload (ESP) and Authentication Header (AH) RFC 4306: Internet Key Exchange (IKEv2)Protocol RFC 4307: Cryptographic Algorithms for Use in the Internet Key Exchange Version 2 (IKEv2) RFC 4308: Cryptographic Suites for IPsec RFC 5282: Using Authenticated Encryption Algorithms with the Encrypted Payload of the Internet Key Exchange version 2 (IKEv2) Protocol RFC 6989: Additional Diffie-Hellman Tests for the Internet Key Exchange Protocol Version 2 (IKEv2) RFC 7296: Internet Key Exchange Protocol Version 2 (IKEv2) RFC 7321: Cryptographic Algorithm Implementation Requirements and Usage Guidance for Encapsulating Security Payload (ESP) and Authentication Header (AH) RFC 8247: Algorithm Implementation Requirements and Usage Guidance for the Internet Key Exchange Protocol Version 2 (IKEv2) RFC 3947: Negotiation of NAT-Traversal in the IKE RFC 3948: UDP Encapsulation of IPsec ESP Packets RFC 3706: A Traffic-Based Method of Detecting Dead Internet Key Exchange (IKE) Peers RFC 4271: A Border Gateway Protocol 4 (BGP-4) RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3 RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile RFC 5116: An Interface and Algorithms for Authenticated Encryption GM/T 0022-2014: IPSec VPN技术规范 GB∕T 36968-2018: 信息安全技术 IPSec VPN技术规范

VPN权限 默认情况下，管理员创建的IAM用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。 VPN部署时通过物理区域划分，为项目级服务。授权时，“授权范围”需要选择“指定区域项目资源”，然后在指定区域（如华北-北京1）对应的项目（cn-north-1）中设置相关权限，并且该权限仅对此项目生效；如果“授权范围”选择“所有资源”，则该权限在所有区域项目中都生效。访问VPN时，需要先切换至授权区域。 根据授权精细程度分为角色和策略。 角色：IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于华为云各服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对VPN服务，管理员能够控制IAM用户仅能对某一类VPN资源进行指定的管理操作。 如表1所示，包括了VPN的所有系统权限。 表1 VPN系统权限 系统角色/策略名称 描述 依赖关系 VPN Administrator（不推荐使用） VPN服务的管理员权限，拥有该权限的用户拥有VPN服务所有执行权限。 该角色有依赖，需要在同项目中勾选依赖的角色：Tenant Guest、VPC Administrator。 VPC Administrator：项目级策略，在同项目中勾选。 Tenant Guest：项目级策略，在同项目中勾选。 - VPN FullAccess（推荐使用） VPN服务的所有执行权限。 说明： 所有查询列表的action不支持企业项目授权，需要在IAM视图下单独配置。 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： "tms:predefineTags:list" "scm:cert:list" "scm:cert:get" "scm:cert:download" VPN ReadOnlyAccess VPN服务只读权限，拥有该权限的用户仅能查看VPN服务下的资源信息。 说明： 所有查询列表的action不支持企业项目授权，需要在IAM视图下单独配置。 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： "tms:predefineTags:list" "scm:cert:list" "scm:cert:get" 表 VPN常用操作与系统权限的关系列出了站点入云VPN常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 站点入云VPN常用操作与系统权限的关系 操作 VPN Administrator（不推荐使用） VPN FullAccess（推荐使用） VPN ReadOnlyAccess 创建VPN网关 √ 企业版VPN：√ 经典版VPN：× × 查询VPN网关 √ √ √ 查询VPN网关列表 √ √ √ 更新VPN网关 √ 企业版VPN：√ 经典版VPN：× × 删除VPN网关 √ 企业版VPN：√ 经典版VPN：× × 创建VPN连接 √ 企业版VPN：√ 经典版VPN：√ × 查询VPN连接 √ √ √ 查询VPN连接列表 √ √ √ 更新VPN连接 √ 企业版VPN：√ 经典版VPN：√ × 删除VPN连接 √ 企业版VPN：√ 经典版VPN：√ × 创建对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 查询对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 √ 查询对端网关列表 √ 企业版VPN：√ 经典版VPN：不涉及 √ 更新对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 删除对端网关 √ 企业版VPN：√ 经典版VPN：不涉及 × 创建连接监控 √ 企业版VPN：√ 经典版VPN：× × 查询连接监控 √ 企业版VPN：√ 经典版VPN：× √ 查询连接监控列表 √ 企业版VPN：√ 经典版VPN：× √ 删除连接监控 √ 企业版VPN：√ 经典版VPN：× × 列出了终端入云VPN常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表3 终端入云VPN常用操作与系统权限的关系 操作 VPN Administrator（不推荐使用） VPN FullAccess（推荐使用） VPN ReadOnlyAccess 订购包周期终端入云VPN网关 √ √ × 变更包周期终端入云VPN网关规格 √ √ × 更新终端入云VPN网关 √ √ × 查询终端入云VPN网关详情 √ √ √ 查询终端入云VPN网关列表 √ √ √ 查询终端入云VPN连接列表 √ √ √ 创建VPN服务端 √ × 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： scm:cert:get scm:cert:list scm:cert:download × 查询一个网关下的服务端信息 √ √ √ 更新指定网关的服务端 √ × 全局服务的action和region级的action不能配置在同一策略，需要补充全局action： scm:cert:get scm:cert:list scm:cert:download × 导出服务端对应的客户端配置信息 √ √ × 校验CA证书的合法性 √ √ √ 导入客户端CA证书 √ √ × 修改客户端CA证书 √ √ × 查询客户端CA证书 √ √ √ 删除客户端CA证书 √ √ × 查询租户下的所有服务端信息 √ √ √ 创建VPN用户 √ √ × 查询VPN用户列表 √ √ √ 修改VPN用户 √ √ × 查询VPN用户 √ √ √ 删除VPN用户 √ √ × 修改VPN用户密码 √ √ × 重置VPN用户密码 √ √ × 创建VPN用户组 √ √ × 查询VPN用户组列表 √ √ √ 修改VPN用户组 √ √ × 查询VPN用户组 √ √ √ 删除VPN用户组 √ √ × 添加VPN用户到组 √ √ × 删除组内VPN用户 √ √ × 查询组内VPN用户 √ √ √ 创建VPN访问策略 √ √ × 查询VPN访问策略列表 √ √ √ 修改VPN访问策略 √ √ × 查询VPN访问策略 √ √ √ 删除VPN访问策略 √ √ × 查询P2C VPN网关可用区 √ √ √ 批量添加资源标签 √ √ × 批量删除资源标签 √ √ × 通过资源标签查询资源实例列表 √ √ √ 查询标签下资源实例数量 √ √ √ 通过资源实例查询资源标签列表 √ √ √ 查询资源标签列表 √ √ √

VPN连接监控 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建连接监控 POST /v5/{project_id}/connection-monitors vpn:connectionMonitors:create - √ √ 查询连接监控列表 GET /v5/{project_id}/connection-monitors vpn:connectionMonitors:list - √ x 删除连接监控 DELETE /v5/{project_id}/connection-monitors/{connection_monitor_id} vpn:connectionMonitors:delete - √ √ 查询连接监控 GET /v5/{project_id}/connection-monitors/{connection_monitor_id} vpn:connectionMonitors:get - √ √ 父主题： 站点入云VPN授权项列表

VPN标签 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建资源标签 POST /v5/{project_id}/{resource_type}/{resource_id}/tags/create vpn:resourceInstanceTags:create - √ √ 删除资源标签 POST /v5/{project_id}/{resource_type}/{resource_id}/tags/delete vpn:resourceInstanceTags:delete - √ √ 查询资源类型标签列表 GET /v5/{project_id}/{resource_type}/tags vpn:resourceTypeTags:list - √ x 查询资源实例列表 POST /v5/{project_id}/{resource_type}/resource-instances/filter vpn:resourceInstances:list - √ x 查询资源标签列表 GET /v5/{project_id}/{resource_type}/{resource_id}/tags vpn:resourceInstanceTags:list - √ √ 查询资源实例数量 POST /v5/{project_id}/{resource_type}/resource-instances/count vpn:resourceInstances:count - √ x 父主题： 服务公共接口授权项列表

VPN连接监控 权限 对应API接口 授权项（Action） 依赖的授权项 IAM项目（Project） 企业项目（Enterprise Project） 创建连接监控 POST /v5/{project_id}/connection-monitors vpn:connectionMonitors:create - √ √ 查询连接监控列表 GET /v5/{project_id}/connection-monitors vpn:connectionMonitors:list - √ x 删除连接监控 DELETE /v5/{project_id}/connection-monitors/{connection_monitor_id} vpn:connectionMonitors:delete - √ √ 查询连接监控 GET /v5/{project_id}/connection-monitors/{connection_monitor_id} vpn:connectionMonitors:get - √ √ 父主题： 站点入云VPN授权项列表

监控指标 表1 企业版VPN网关支持的监控指标 指标ID 指标名称 指标含义 取值范围 单位 进制 测量对象（维度） 监控周期（原始指标） gateway_send_pkt_rate 出云包速率 该指标用于统计测量对象平均每秒出云的数据包数量。 ≥ 0 pps 不涉及 网关 1分钟 gateway_recv_pkt_rate 入云包速率 该指标用于统计测量对象平均每秒入云的数据包数量。 ≥ 0 pps 不涉及 网关 1分钟 gateway_send_rate 出云带宽 该指标用于统计测量对象平均每秒出云流量。 0-1 bps 1024(IEC) 网关 1分钟 gateway_recv_rate 入云带宽 该指标用于统计测量对象平均每秒入云流量。 0-1 bps 1024(IEC) 网关 1分钟 gateway_send_rate_usage 出云带宽使用率 该指标用于统计测量对象出云带宽使用率。 0-100 percentage(%) 不涉及 网关 1分钟 gateway_recv_rate_usage 入云带宽使用率 该指标用于统计测量对象入云带宽使用率。 0-100 percentage(%) 不涉及 网关 1分钟 gateway_connection_num 连接数 该指标用于统计测量对象关联VPN连接数。 ≥ 0 count 不涉及 网关 1分钟 表2 企业版VPN连接支持的监控指标 指标ID 指标名称 指标含义 取值范围 单位 进制 测量对象（维度） 监控周期（原始指标） tunnel_average_latency 隧道往返平均时延 VPN网关与对端网关之间隧道的往返平均时延。 0~5000 ms 不涉及 VPN连接 15s tunnel_max_latency 隧道往返最大时延 VPN网关与对端网关之间隧道的往返最大时延。 0~5000 ms 不涉及 VPN连接 15s tunnel_packet_loss_rate 隧道丢包率 VPN网关与对端网关之间隧道的丢包率。 0~100 percentage(%) 不涉及 VPN连接 15s link_average_latency 链路往返平均时延 VPN网关与对端网关之间链路的往返平均时延。 0~5000 ms 不涉及 VPN连接 15s link_max_latency 链路往返最大时延 VPN网关与对端网关之间链路的往返最大时延。 0~5000 ms 不涉及 VPN连接 15s link_packet_loss_rate 链路丢包率 VPN网关与对端网关之间链路的丢包率。 0~100 percentage(%) 不涉及 VPN连接 15s connection_status VPN连接状态 展示VPN连接的通断状态。 0：未连接状态 1：连接状态 2：未知状态 0，1，2 不涉及 不涉及 VPN连接 1分钟 bgp_peer_status BGP邻居状态指标 展示BGP邻居的建连状态。 0：未连接状态 1：连接状态 2：未知状态 0，1，2 不涉及 不涉及 VPN连接 1分钟 recv_pkt_rate 接收包速率 平均每秒接收的数据包数量。 ≥ 0 pps 不涉及 VPN连接 1分钟 send_pkt_rate 发送包速率 平均每秒发送的数据包数量。 ≥ 0 pps 不涉及 VPN连接 1分钟 recv_rate 接收速率 平均每秒接收流量。 0~1 bps 1024(IEC) VPN连接 1分钟 send_rate 发送速率 平均每秒发送流量。 0~1 bps 1024(IEC) VPN连接 1分钟 sa_send_pkt_rate SA发送包速率 平均每秒发送的数据包数量 ≥ 0 pps 不涉及 VPN连接SA 1分钟 sa_recv_pkt_rate SA接收包速率 平均每秒接收的数据包数量 ≥ 0 pps 不涉及 VPN连接SA 1分钟 sa_recv_rate SA接收速率 平均每秒接收流量 0~1 bps 1024(IEC) VPN连接SA 1分钟 sa_send_rate SA发送速率 平均每秒发送流量 0~1 bps 1024(IEC) VPN连接SA 1分钟

VPN自定义策略样例 示例1：授权用户删除VPN网关 需要添加如下依赖的授权项，如果不添加依赖的授权项，删除VPN网关时，可能会出现异常。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "vpn:vpnGateways:delete" ] }, { "Effect": "Allow", "Action": [ "vpc:subNetworkInterfaces:update", "vpc:routeTables:update", "vpc:subnets:delete", "vpc:publicIps:list", "vpc:publicIps:delete", "vpc:vpcs:get", "vpc:routeTables:get", "vpc:ports:get", "vpc:ports:delete", "vpc:publicIps:update", "vpc:subnets:get", "vpc:bandwidths:list", "vpc:publicIps:get", "vpc:vpcs:list" ] }, { "Effect": "Allow", "Action": [ "er:instances:get", "er:instances:list" ] } ] } 示例2：拒绝用户删除VPN连接 拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先原则。 如果您给用户授予VPN FullAccess的系统策略，但不希望用户拥有VPN FullAccess中定义的删除VPN连接权限，您可以创建一条拒绝删除VPN连接的自定义策略，然后同时将VPN FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对VPN执行除了删除VPN连接外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Effect": "Deny", "Action": [ "vpn:vpnGateways:delete" ] } ] } 示例3：多个授权项策略 一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "vpn:vpnGateways:create", "vpn:vpnConnections:create", "vpn:customerGateways:create" ] }, { "Effect": "Deny", "Action": [ "vpn:vpnGateways:delete", "vpn:vpnConnections:delete", "vpn:customerGateways:create" ] }, { "Effect": "Allow", "Action": [ "vpc:vpcs:list", "vpc:subnets:get" ] } ] }

支持审计的关键操作列表 站点入云VPN经典版墨西哥城一/圣保罗一Region不支持 云审计 服务。 表1 站点入云VPN企业版操作列表 操作名称 资源类型 事件名称 创建用户对端网关 customer-gateway createCgw 更新用户对端网关 customer-gateway updateCgw 删除用户对端网关 customer-gateway deleteCgw 创建 虚拟专用网络 网关 vpn-gateway createVgw 更新虚拟专用网络网关 vpn-gateway updateVgw 删除虚拟专用网络网关 vpn-gateway deleteVgw 包年/包月创建VPN网关 vpn-gateway createPrePaidVgw 更新VPN网关状态 vpn-gateway updateResourceState 更新包周期VPN网关规格 vpn-gateway updateVgwSpecification 更新按需VPN网关规格 vpn-gateway updatePostpaidVgwSpecification 创建虚拟专用网络连接 vpn-connection createVpnConnection 更新虚拟专用网络连接 vpn-connection updateVpnConnection 删除虚拟专用网络连接 vpn-connection deleteVpnConnection 上传网关证书 vgw-certificate createVgwCertificate 更换网关证书 vgw-certificate updateVgwCertificate 创建资源标签 instance batchCreateResourceTags 删除资源标签 instance batchDeleteResourceTags 查询用户对端网关列表 customer-gateway listCgws 查询用户对端网关 customer-gateway showCgw 查询资源标签 instance showResourceTags 查询项目标签 instance listProjectTags 按标签查询资源实例列表 instance listResourcesByTags 按标签查询资源实例数量 instance countResourcesByTags 查询VPN网关证书 vpn-gateway showVpnGatewayCertificate 查询VPN网关 vpn-gateway showVgw 查询VPN网关可用区 vpn-gateway listExtendedAvailabilityZones 查询指定VPN网关下的路由表 vpn-gateway showVpnGatewayRoutingTable 查询VPN连接列表 vpn-connection listVpnConnections 查询VPN连接 vpn-connection showVpnConnection 查询VPN网关列表 vpn-connection listVgws 查询VPN连接监控 vpn-connection showConnectionMonitor 查询VPN连接监控列表 vpn-connection listConnectionMonitors 查询指定租户配额 quota showQuotasInfo 查询VPN连接日志 vpn-connection queryVpnConnectionLog 批量创建VPN连接 vpn-connection batchCreateVpnConnection 表2 站点入云VPN经典版操作列表 操作名称 资源类型 事件名称 创建vpn连接 VpnConnection createVpnConnection 更新vpn连接 VpnConnection updateVpnConnection 删除vpn连接 VpnConnection deleteVpnConnection 创建vpn网关 VpnGw createVpnGw 更新vpn网关 VpnGw updateVpnGw 删除vpn网关 VpnGw deleteVpnGw 查询VPN连接 VpnConnection showVpnConnection 查询VPN连接列表 VpnConnection listVpnConnection 查询IPSEC策略 查询IKE策略 查询VPN网关 VpnGw showVpnGw 查询VPN网关列表 VpnGw listVpnGw 查询配额 quota showQuota 查询国密算法列表 VpnConnection listSupportedAlgorithm 表3 终端入云VPN操作列表 操作名称 资源类型 事件名称 订购资源 p2c-vpn-gateway subscribeP2cVgw 更新包周期VPN网关规格 p2c-vpn-gateway updateP2cVgwSpecification 资源状态变更（冻结解冻） p2c-vpn-gateway updateP2cVgwStatus 退订资源 p2c-vpn-gateway unsubscribeP2cVgw 更新终端入云VPN网关 p2c-vpn-gateway updateP2cVgw 创建SSL服务端 vpn-server createVpnServer 修改SSL服务端 vpn-server updateVpnServer 创建VPN用户 vpn-user createVpnUser 修改VPN用户 vpn-user updateVpnUser 修改VPN用户密码 vpn-user updateVpnUserPassword 重置VPN用户密码 vpn-user resetVpnUserPassword 删除VPN用户 vpn-user deleteVpnUser 创建VPN用户组 vpn-user-group createVpnUserGroup 修改VPN用户组 vpn-user-group updateVpnUserGroup 添加VPN用户组用户 vpn-user-group addVpnUsersToGroup 移除VPN用户组用户 vpn-user-group removeVpnUsersToGroup 创建VPN访问策略 vpn-access-policy createVpnAccessPolicy 修改VPN访问策略 vpn-access-policy updateVpnAccessPolicy 删除VPN访问策略 vpn-access-policy deleteVpnAccessPolicy 下载客户端配置 vpn-server exportClientConfig 导入客户端CA证书 vpn-server importClientCa 修改客户端CA证书 vpn-server updateClientCa 删除客户端CA证书 vpn-server deleteClientCa 批量创建资源标签 p2c-vpn-gateway batchCreateResourceTags 批量删除资源标签 p2c-vpn-gateway batchDeleteResourceTags 查询终端入云VPN网关列表 p2c-vpn-gateway listP2cVgws 根据终端入云VPN网关ID，查询指定的VPN网关 p2c-vpn-gateway showP2cVgw 查询终端入云VPN网关可用区 p2c-vpn-gateway listP2cVgwAvailabilityZones 查询终端入云VPN网关连接信息列表 p2c-vpn-gateway listP2cVgwConnections 查询指定实例的标签信息 p2c-vpn-gateway listTagsForResource 查询租户在指定Project中实例类型的所有资源标签集合 p2c-vpn-gateway listTags 查询VPN访问策略列表 vpn-access-policy listVpnAccessPolicies 查询VPN访问策略 vpn-access-policy showVpnAccessPolicy 查询一个网关下的服务端信息 vpn-server listVpnServersByVgw 查询客户端CA证书 vpn-server showClientCa 查询租户下的所有服务端信息 vpn-server listVpnServersByProject 查询VPN用户列表 vpn-user listVpnUsers 查询VPN用户 vpn-user showVpnUser 查询VPN用户组列表 vpn-user listVpnUserGroups 查询VPN用户组 vpn-user showVpnUserGroup 查询组内VPN用户 vpn-user listVpnUsersInGroup 批量创建VPN用户 vpn-user batchCreateVpnUsers 批量删除VPN用户 vpn-user batchDeleteVpnUsers 创建/更新连接日志配置 p2c-vpn-gateway updateVpnConnectionsLogConfig 删除连接日志配置 p2c-vpn-gateway deleteVpnConnectionsLogConfig 查询连接日志配置 p2c-vpn-gateway showVpnConnectionsLogConfig 断开终端入云VPN网关连接 p2c-vpn-gateway disconnectP2cVgwConnection 父主题： 审计