Implementare le opzioni VPN di Azure
I data center di Contoso supportano la connettività remota, in modo che gli utenti possano lavorare in remoto. Alcune succursali sono inoltre connesse al data center della sede centrale tramite VPN da sito a sito. In qualità di responsabile del sistema, è necessario implementare una soluzione VPN che consenta il supporto continuo per gli scenari d'uso correnti.
Progettazione del gateway VPN
Usando un gateway di Azure, è possibile implementare i vari tipi di connessioni VPN seguenti per soddisfare le esigenze aziendali:
- eBGP
- Multisito
- Da punto a sito
- Da rete virtuale a rete virtuale
Da sito a sito
Si implementa una connessione da sito a sito tramite i protocolli IPsec (Internet Protocol Security) e IKE (Internet Key Exchange). Usare le connessioni da sito a sito per supportare le configurazioni tra più sedi locali e ibride. Per implementare una connessione da sito a sito, è necessario disporre di un dispositivo VPN con un indirizzo IP pubblico, come indicato nel diagramma seguente.
Multisito
Una connessione multisito è una variante della connessione da sito a sito. Con questo tipo di connessione, è possibile creare più di una connessione VPN dal gateway di rete virtuale. Quando si implementano connessioni multisito, è necessario usare un tipo di VPN RouteBased.
Come suggerisce il nome, in genere si usa questo tipo di connessione per connettersi a più siti locali, come indicato nel diagramma seguente.
Suggerimento
Una rete virtuale può avere un solo gateway VPN, quindi tutte le connessioni condividono la larghezza di banda.
Da punto a sito
Una connessione VPN da punto a sito consente agli utenti di connettersi all'organizzazione da una rete remota, ad esempio l'abitazione, o un hotspot Wi-Fi pubblico. Gli utenti in genere avviano connessioni da punto a sito, come illustrato nel diagramma seguente. Nel diagramma due utenti avviano una connessione SSTP (Secure Socket Tunneling Protocol), mentre un terzo usa IKEv2. Diversamente dalle connessioni da sito a sito, non è necessario un indirizzo IP pubblico o un dispositivo VPN locale per implementare le connessioni da punto a sito.
Suggerimento
È possibile usare le connessioni da punto a sito insieme a connessioni da sito a sito tramite lo stesso gateway VPN.
Da rete virtuale a rete virtuale
In alcuni casi, l'implementazione delle connessioni da rete virtuale a rete virtuale è simile alla connessione di una singola rete virtuale a un sito locale (da sito a sito). In entrambi gli scenari si usa un gateway VPN per implementare un tunnel IPsec/IKE.
Nota
Quando si implementa una connessione da rete virtuale a rete virtuale tramite il gateway VPN, non è necessario che le reti virtuali si trovino nella stessa area geografica o sottoscrizione di Azure.
Suggerimento
È anche possibile usare il peering per connettere reti virtuali indipendentemente dal percorso o dalla sottoscrizione. Questo approccio può essere più veloce e più efficiente per le risorse.
Connessioni ExpressRoute
È possibile usare le connessioni di Azure ExpressRoute per facilitare una connessione privata dalle reti locali al cloud Microsoft o ad altri siti all'interno dell'organizzazione. Poiché la connessione di rete è privata, è più sicura e può offrire anche vantaggi significativi in termini di prestazioni. Per configurare una connessione ExpressRoute, è possibile usare un gateway di rete virtuale. Tuttavia, con una connessione ExpressRoute, il gateway di rete virtuale viene configurato con il tipo di gateway ExpressRoute, anziché VPN.
Suggerimento
Sebbene il traffico in transito in un circuito ExpressRoute non sia crittografato per impostazione predefinita, è possibile configurare la connessione per l'invio di traffico crittografato.
È anche possibile combinare le connessioni ExpressRoute e da sito a sito, come indicato nel diagramma seguente. Ad esempio, è possibile configurare una connessione VPN da sito a sito:
- Come percorso di failover sicuro per ExpressRoute.
- Per connettersi a siti che non fanno parte della rete, ma che sono connessi tramite ExpressRoute.
Implementare il gateway VPN
Quando si configura il gateway VPN, è necessario selezionare e configurare alcune impostazioni. In primo luogo, è necessario decidere se implementare una configurazione basata su criteri o basata su route.
Basato su criteri
Se si sceglie di implementare gateway basati su criteri (ovvero basati sul routing statico), è necessario definire i set di indirizzi IP usati dal gateway per determinare le destinazioni dei pacchetti. Il gateway valuta ogni pacchetto rispetto a questi set di indirizzi IP per determinare attraverso quale tunnel viene crittografato e instradato un pacchetto.
Basato su route
È possibile usare i gateway basati su route per evitare di dover definire gli indirizzi IP che si trovano dietro ogni tunnel. Con i gateway basati su route, il routing IP determina attraverso quale delle interfacce del tunnel inviare ogni pacchetto.
Suggerimento
È necessario selezionare i VPN basati su route per i dispositivi locali, perché sono più resilienti alle modifiche della topologia, ad esempio se si creano nuove subnet nella rete virtuale.
È consigliabile sempre scegliere un gateway VPN basato su route per i tipi di connettività seguenti:
- Connessioni tra reti virtuali
- Connessioni da punto a sito
- Connessioni multisito
- Coesistenza con un gateway di Azure ExpressRoute
Impostazioni aggiuntive
Inoltre, è necessario definire le impostazioni seguenti per implementare il gateway VPN:
- VPN o ExpressRoute. Scegliere il tipo di connessione fondamentale.
- Intervallo di indirizzi subnet del gateway. Questa impostazione specifica l'intervallo di indirizzi IP privati associato al gateway VPN.
- Indirizzo IP pubblico. Questa impostazione specifica l'oggetto indirizzo IP pubblico che viene associato al gateway VPN.
Creare una rete virtuale
Per implementare un gateway VPN, è necessario disporre di una rete virtuale. È possibile crearla prima o durante la configurazione del gateway VPN. In questo caso, viene creata prima. A tale scopo, aprire il portale di Azure e completare la procedura seguente:
Selezionare Crea una risorsa e quindi cercare e selezionare Rete virtuale.
Nel pannello Rete virtuale selezionare Crea.
Creare una rete virtuale specificando le proprietà appropriate: Sottoscrizione, Gruppo di risorse, Nome e Area geografica.
Selezionare Avanti: Indirizzi IP>.
Configurare la subnet che si vuole associare alla rete virtuale accettando le impostazioni predefinite o configurando le proprie.
Seleziona Rivedi e crea e quindi seleziona Crea.
Creare il gateway
Dopo aver creato la rete virtuale appropriata, è ora necessario creare il gateway VPN. Ad esempio, per creare un gateway VPN basato su route usando il portale di Azure, attenersi alla procedura seguente:
Nel portale di Azure cercare e selezionare Gateway di rete virtuale.
Nel pannello Gateway di rete virtuale selezionare Crea.
Nel pannello Crea gateway di rete virtuale creare il gateway specificando le proprietà appropriate: Sottoscrizione, Nome e Area geografica.
Scegliere quindi se si sta implementando una connessione VPN o ExpressRoute.
Per il tipo di VPN selezionare Basato su route o Basato su criteri.
Selezionare la rete virtuale creata in precedenza.
Configurare Intervallo di indirizzi subnet del gateway e le impostazioni di Indirizzo IP pubblico.
Seleziona Rivedi e crea e quindi seleziona Crea.
Provala
Se si vuole utilizzare la rete privata virtuale di Azure, provare questi esercizi del lab. Gli esercizi sono basati su un ambiente sandbox e non richiedono il completamento di una sottoscrizione di Azure: