Informace o nastavení konfigurace VPN Gateway

Brána sítě VPN je typem brány virtuální sítě, která odesílá šifrovaný provoz mezi vaší virtuální sítí a vaším místním umístěním přes veřejné připojení. Bránu VPN můžete použít také k posílání provozu mezi virtuálními sítěmi v rámci páteřní sítě Azure.

Připojení brány VPN se spoléhá na konfiguraci více prostředků, z nichž každá obsahuje konfigurovatelné nastavení. Části v tomto článku popisují prostředky a nastavení vztahující se k bráně VPN pro virtuální síť vytvořenou v modelu nasazení Správce prostředků. Popisy a diagramy topologie pro každé řešení připojení najdete v článku o VPN Gateway .

Hodnoty v tomto článku platí pro brány VPN (brány virtuální sítě, které používají síť VPN-GatewayType). Tento článek nepopisuje všechny typy bran nebo brány redundantní v zóně.

• Hodnoty, které se vztahují na-GatewayType ' ExpressRoute ', najdete v tématu Virtual Network Branch pro ExpressRoute.

• Informace o branách redundantních bránách najdete v tématu informace o redundantních branách v zóně.

• Informace o branách Active-Active najdete v tématu informace o připojení s vysokou dostupností.

• Informace o virtuální síti WAN najdete v tématu o virtuální síti WAN.

Typy bran

Každá virtuální síť může mít pouze jednu bránu virtuální sítě každého typu. Při vytváření brány virtuální sítě je nutné zajistit, aby byl typ brány správný pro vaši konfiguraci.

Dostupné hodnoty pro – GatewayType jsou:

• Vpn
• ExpressRoute

Brána sítě VPN vyžaduje -GatewayType síť VPN.

Příklad:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
-Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
-VpnType RouteBased

Skladové položky brány

Při vytváření brány virtuální sítě musíte určit SKU brány, které chcete použít. Vyberte jednotku SKU, která splňuje vaše požadavky na základě typů úloh, propustnosti, funkcí a SLA. Skladové jednotky brány virtuální sítě v Zóny dostupnosti Azure najdete v tématu skladové položky brány zóny dostupnosti Azure.

SKU brány podle tunelu, připojení a propustnosti

(*) Pokud Virtual WAN více než 100 tunelů, použijte S2S VPN připojení.

• Změna velikosti skladových velikosti VpnGw je povolená v rámci stejné generace s výjimkou velikosti skladové oblasti Basic. Základní SKU je starší verze SKU a má omezení funkcí. Pokud chcete přejít z basic na jinou SKU VpnGw, musíte odstranit bránu VPN se základní SKU a vytvořit novou bránu s požadovanou kombinací generace a velikosti SKU. Změnu velikosti brány basic můžete změnit jenom na jinou starší verzi SKU (viz Práce se staršími skladovémi verzemi).

• Tato omezení připojení jsou nezávislá. Pro skladovou položku VpnGw1 můžete například mít 128 připojení SSTP a také 250 připojení IKEv2.

• Informace o cenách najdete na stránce Ceny.

• Informace o smlouvě SLA (smlouva o úrovni služeb) můžete najít na stránce SLA.

• V jednom tunelu je možné dosáhnout propustnosti maximálně 1 Gb/s. Srovnávací test agregované propustnosti ve výše uvedené tabulce vychází z měření více tunelů agregovaných prostřednictvím jedné brány. Srovnávací test agregované propustnosti pro VPN Gateway je kombinací S2S + P2S. Pokud máte velké množství připojení typu P2S, může to vzhledem k omezením propustnosti negativně ovlivnit připojení S2S. Srovnávací test agregované propustnosti není zaručenou propustností kvůli podmínkám internetového provozu a chování vaší aplikace.

Aby naši zákazníci pochopili relativní výkon skladových měr pomocí různých algoritmů, použili jsme k měření výkonu veřejně dostupné nástroje iPerf a CTSTraffic. Následující tabulka uvádí výsledky testů výkonnosti pro SKU 1. generace a VpnGw. Jak vidíte, nejlepšího výkonu se dosáhnou, když jsme použili algoritmus GCMAES256 pro šifrování IPsec i integritu. Při použití AES256 pro šifrování IPsec a SHA256 pro integritu jsme získali průměrný výkon. Když jsme použili DES3 pro šifrování IPsec a SHA256 pro integritu, získali jsme nejnižší výkon.

SKU brány podle sady funkcí

Nové skladové položky brány VPN zefektivňují sady funkcí nabízené na branách:

(*) Můžete nakonfigurovat "PolicyBasedTrafficSelectors" pro připojení brány sítě VPN založené na trasách k několika místním zařízením brány firewall na základě zásad. Podrobnosti najdete v tématu věnovaném připojení bran VPN k několika místním zařízením VPN založeným na zásadách s využitím PowerShellu.

( * * ) Základní SKU se považuje za starší SKU. Základní skladová položka má určitá omezení funkcí. Nemůžete změnit velikost brány, která používá základní SKU na jednu z nových SKU brány, musíte místo toho přejít na novou SKU, která zahrnuje odstranění a opětovné vytvoření brány VPN.

SKU brány – produkční a Dev-Test úlohy

Vzhledem k rozdílům ve SLA a sadách funkcí doporučujeme pro produkci vs. vývoj a testování následující SKU:

( * * ) Základní SKU se považuje za starší položku SKU a má omezení funkcí. Před použitím základní SKU ověřte, zda je funkce, kterou potřebujete, podporována.

Pokud používáte staré SKU (starší verze), doporučení pro produkční skladová jednotka jsou standardní a HighPerformance. Informace a pokyny pro staré skladové položky naleznete v tématu SKU brány (starší verze).

Konfigurace SKU brány

Azure Portal

Pokud pomocí Azure Portal vytvoříte bránu služby Správce prostředků virtuální sítě, můžete vybrat SKU brány pomocí rozevíracího seznamu. Možnosti, které zobrazíte, odpovídají typu brány a typu VPN, který vyberete.

PowerShell

Následující příklad prostředí PowerShell Určuje -GatewaySku jako VpnGw1. Když pomocí PowerShellu vytvoříte bránu, musíte nejdřív vytvořit konfiguraci IP adresy a potom k tomu použít proměnnou. V tomto příkladu je konfigurační proměnná $gwipconfig.

New-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1 `
-Location 'US East' -IpConfigurations $gwipconfig -GatewaySku VpnGw1 `
-GatewayType Vpn -VpnType RouteBased

Azure CLI

az network vnet-gateway create --name VNet1GW --public-ip-address VNet1GWPIP --resource-group TestRG1 --vnet VNet1 --gateway-type Vpn --vpn-type RouteBased --sku VpnGw1 --no-wait

Změna velikosti nebo změny SKU

Pokud máte bránu VPN a chcete použít jinou SKU brány, vaše možnosti mají buď změnit velikost SKU brány, nebo přejít na jinou SKLADOVOU položku. Když změníte jinou SKU brány, odstraníte zcela stávající bránu a vytvoříte novou. Vytvoření brány může obvykle trvat 45 minut nebo déle, a to v závislosti na vybrané skladové jednotce (SKU) brány. V porovnání se při změně velikosti SKU brány nejedná o spoustu výpadků, protože nemusíte bránu odstranit a znovu sestavovat. Pokud máte možnost změnit velikost SKU brány místo změny, budete ji chtít provést. Existují však pravidla týkající se změny velikosti:

1. S výjimkou základního SKU můžete změnit velikost SKU brány VPN na jinou SKLADOVOU položku služby VPN Gateway v rámci stejné generace (Generation1 nebo Generation2). Například VpnGw1 of Generation1 lze změnit na VpnGw2 Generation1, ale ne na VpnGw2 Generation2.
2. Pokud používáte staré SKU brány, můžete měnit velikost mezi Basic, Standard a HighPerformance SKU.
3. Nemůžete změnit velikost z položek Basic/Standard/HighPerformance SKU na SKU VpnGw. Místo toho je třeba Přejít na nové SKU.

Změna velikosti brány

Azure Portal

1. Přejít na konfigurační stránku brány virtuální sítě.

2. Vyberte šipky pro rozevírací seznam.

   

3. Z rozevíracího seznamu vyberte SKU.

   

PowerShell

K upgradu nebo downgradu SKU Generation1 nebo Generation2 můžete použít rutinu PowerShellu (velikost všech SKU VpnGw je možné změnit s výjimkou skladové velikosti Resize-AzVirtualNetworkGateway Basic). Pokud používáte SKU brány Basic, změňte velikost brány podle těchto pokynů.

Následující příklad PowerShellu ukazuje změnu velikosti SKU brány na VpnGw2.

$gw = Get-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg
Resize-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -GatewaySku VpnGw2

Změna ze staré (starší) SKU na novou SKLADOVOU položku

Pokud pracujete s modelem nasazení Správce prostředků, můžete přejít na nové SKU brány. Když změníte ze starší skladové položky brány na novou SKLADOVOU položku, odstraníte stávající bránu VPN a vytvoříte novou bránu VPN.

Pracovního postupu

1. Odeberte všechna připojení k bráně virtuální sítě.
2. Odstraňte starou bránu VPN.
3. Vytvořte novou bránu VPN.
4. Aktualizujte místní zařízení VPN novou IP adresou brány VPN (pro připojení typu Site-to-Site).
5. Aktualizujte hodnotu IP adresy brány pro všechny místní síťové brány typu VNet-to-VNet, které se připojují k této bráně.
6. Stáhněte nové klientské balíčky konfigurace klienta VPN pro klienty P2S, kteří se připojují k virtuální síti přes tuto bránu VPN.
7. Znovu vytvořte všechna připojení k bráně virtuální sítě.

Požadavky:

• Pokud chcete přejít na nové SKU, musí být vaše brána VPN v modelu nasazení Správce prostředků.
• Pokud máte klasickou bránu VPN, musíte pro tuto bránu používat starší starší verze SKU, ale můžete změnit velikost mezi staršími SKU. Nemůžete změnit na nové SKU.
• Při změně z původní SKU na novou SKU budete mít výpadek připojení.
• Při přechodu na novou skladovou jednotku brány se změní veřejná IP adresa pro vaši bránu VPN. K tomu dojde i v případě, že zadáte stejný objekt veřejné IP adresy, který jste použili dříve.

Typy připojení

V modelu nasazení Správce prostředkůKaždá konfigurace vyžaduje konkrétní typ připojení brány virtuální sítě. Dostupné hodnoty prostředí PowerShell v Resource Manageru pro -ConnectionType jsou:

• IPsec
• Vnet2Vnet
• ExpressRoute
• VPNClient

V následujícím příkladu PowerShellu vytvoříme připojení S2S, které vyžaduje typ připojení s protokolem IPSec.

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
-Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
-ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

Typy sítě VPN

Když vytvoříte bránu virtuální sítě pro konfiguraci brány sítě VPN, musíte zadat typ sítě VPN. Typ sítě VPN, který zvolíte, závisí na topologii připojení, kterou chcete vytvořit. Například připojení P2S vyžaduje typ VPN RouteBased. Typ sítě VPN může také záviset na hardwaru, který používáte. Konfigurace S2S vyžadují zařízení VPN. Některá zařízení VPN podporují jenom určitý typ sítě VPN.

Typ sítě VPN, který vyberete, musí splňovat všechny požadavky na připojení pro řešení, které chcete vytvořit. Pokud například chcete vytvořit připojení k bráně VPN Gateway a připojení brány VPN P2S pro stejnou virtuální síť, použijete typ VPN RouteBased , protože P2S vyžaduje typ RouteBased VPN. Budete taky muset ověřit, jestli vaše zařízení VPN podporovalo připojení VPN RouteBased.

Jakmile je brána virtuální sítě vytvořená, nemůžete změnit typ sítě VPN. Musíte odstranit bránu virtuální sítě a vytvořit novou. Existují dva typy sítě VPN:

• PolicyBased: Sítě VPN PolicyBased se dřív nazývaly brány statického směrování v modelu nasazení Classic. Sítě VPN založené na zásadách šifrují a směrují pakety prostřednictvím tunelů IPsec na základě zásad IPsec nakonfigurovaných s kombinacemi předpon adres mezi vaší místní sítí a virtuální sítí Azure. Zásada (nebo selektor provozu) se většinou určuje v konfiguraci zařízení VPN jako přístupový seznam. Hodnota pro typ VPN PolicyBased je PolicyBased. Při použití PolicyBased VPN mějte na paměti následující omezení:

  • Sítě VPN PolicyBased se dají použít jenom na základní skladové jednotce brány. Tento typ sítě VPN není kompatibilní s jinými SKU brány.
  • Při použití PolicyBased VPN můžete mít jenom jeden tunel.
  • Pro připojení S2S můžete použít jenom sítě VPN PolicyBased a jenom pro určité konfigurace. Většina konfigurací VPN Gateway vyžaduje RouteBased VPN.

• RouteBased: v modelu nasazení Classic se dříve používaly sítě VPN brány RouteBased. Sítě VPN RouteBased používají "trasy" v tabulce předávání IP nebo směrovací tabulky k přímému směrování paketů do příslušných rozhraní tunelového propojení. Rozhraní tunelového propojení potom šifrují nebo dešifrují pakety směřující do tunelových propojení nebo z nich. Zásady (nebo selektor provozu) pro VPN RouteBased jsou nakonfigurovány jako any (nebo zástupné karty). Hodnota pro typ VPN RouteBased je RouteBased.

Následující příklad prostředí PowerShell Určuje -VpnType jako RouteBased. Při vytváření brány se musíte ujistit, že parametr -VpnType odpovídá vaší konfiguraci.

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
-Location 'West US' -IpConfigurations $gwipconfig `
-GatewayType Vpn -VpnType RouteBased

Požadavky na bránu

V následující tabulce jsou uvedené požadavky na brány VPN PolicyBased a RouteBased. Tato tabulka platí pro model nasazení Resource Manager a pro model nasazení Classic. Pro klasický model jsou brány VPN PolicyBased stejné jako statické brány a brány založené na trasách jsou stejné jako dynamické brány.

(*) Protokol BGP není pro klasický model nasazení podporován.

Podsíť brány

Než vytvoříte bránu sítě VPN, musíte vytvořit podsíť brány. Podsíť brány obsahuje IP adresy, které používají virtuální počítače a služby brány virtuální sítě. Když vytvoříte bránu virtuální sítě, virtuální počítače brány se nasadí do podsítě brány a nakonfigurují s požadovaným nastavením služby VPN Gateway. Nikdy nesaďte nic jiného (například další virtuální počítače) do podsítě brány. Aby bylo možné správně pracovat, podsíť brány musí mít název "GatewaySubnet". Pojmenování podsítě brány "GatewaySubnet" umožňuje službě Azure zjistit, že se jedná o podsíť pro nasazení virtuálních počítačů a služeb brány virtuální sítě do.

Při vytváření podsítě brány zadáte počet IP adres, které podsíť obsahuje. IP adresy v podsíti brány jsou přiděleny virtuálním počítačům brány a službám brány. Některé konfigurace vyžadují víc IP adres než jiné.

Při plánování velikosti podsítě brány si přečtěte dokumentaci ke konfiguraci, kterou plánujete vytvořit. Například konfigurace s ExpressRoute/VPN Gateway vyžaduje větší podsíť brány než většina ostatních konfigurací. Kromě toho můžete chtít zajistit, aby podsíť brány obsahovala dostatek IP adres, aby mohla pojmout možné budoucí další konfigurace. I když můžete vytvořit podsíť brány, která je menší než/29, doporučujeme vytvořit podsíť brány o velikosti/27 nebo větší (/27,/26 atd.), pokud máte dostupný adresní prostor. To bude vyhovovat většině konfigurací.

Následující příklad Správce prostředků PowerShell ukazuje podsíť brány s názvem GatewaySubnet. Můžete vidět, že zápis CIDR určuje/27, což umožňuje dostatek IP adres pro většinu konfigurací, které aktuálně existují.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Brány místní sítě

Brána místní sítě se liší od brány virtuální sítě. Při vytváření konfigurace brány VPN se jako brána místní sítě obvykle představuje vaše místní síť a příslušné zařízení VPN. V modelu nasazení Classic se brána místní sítě označovala jako „místní lokalita“.

Bráně místní sítě dáte název, veřejnou IP adresu nebo plně kvalifikovaný název domény (FQDN) místního zařízení VPN a určíte předpony adres, které se nacházejí v místním umístění. Azure nahlíží na předpony cílových adres pro síťový provoz, sleduje konfiguraci, kterou jste zadali pro bránu místní sítě, a odpovídajícím způsobem směruje pakety. Pokud na svém zařízení VPN používáte Border Gateway Protocol (BGP), zadáte IP adresu partnerského uzlu protokolu BGP vašeho zařízení VPN a číslo autonomního systému (ASN) vaší místní sítě. Také zadáte brány místní sítě pro konfigurace VNet-to-VNet, které používají připojení brány VPN.

Následující příklad prostředí PowerShell vytvoří novou bránu místní sítě:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

Někdy je potřeba upravit nastavení místní síťové brány. Například když přidáte nebo upravíte rozsah adres nebo pokud se změní IP adresa zařízení VPN. Viz Úprava nastavení brány místní sítě pomocí PowerShellu.

Rozhraní REST API, rutiny PowerShellu a rozhraní příkazového řádku

Další technické zdroje a specifické požadavky na syntaxi při použití rozhraní REST API, rutin PowerShellu nebo Azure CLI pro VPN Gateway konfigurace najdete na následujících stránkách:

Další kroky

Další informace o dostupných konfiguracích připojení najdete v tématu Informace o VPN Gateway.