Co to jest usługa VPN Gateway?What is VPN Gateway?

Brama sieci VPN to specyficzny typ bramy sieci wirtualnej, który służy do wysyłania zaszyfrowanego ruchu sieciowego między siecią wirtualną platformy Azure a lokalizacją lokalną za pośrednictwem publicznego Internetu.A VPN gateway is a specific type of virtual network gateway that is used to send encrypted traffic between an Azure virtual network and an on-premises location over the public Internet. Za pomocą bramy sieci VPN można także wysyłać zaszyfrowany ruch sieciowy między sieciami wirtualnymi platformy Azure za pośrednictwem sieci firmy Microsoft.You can also use a VPN gateway to send encrypted traffic between Azure virtual networks over the Microsoft network. Każda sieć wirtualna może mieć tylko jedną bramę sieci VPN.Each virtual network can have only one VPN gateway. Możesz jednak utworzyć wiele połączeń do tej samej bramy sieci VPN.However, you can create multiple connections to the same VPN gateway. W przypadku utworzenia wielu połączeń do tej samej bramy sieci VPN wszystkie tunele VPN współdzielą dostępną przepustowość bramy.When you create multiple connections to the same VPN gateway, all VPN tunnels share the available gateway bandwidth.

Co to jest brama sieci wirtualnej?What is a virtual network gateway?

Brama sieci wirtualnej składa się z co najmniej dwóch maszyn wirtualnych wdrożonych w określonej podsieci, która jest tworzona w ramach podsieci bramy.A virtual network gateway is composed of two or more VMs that are deployed to a specific subnet you create called the gateway subnet. Maszyny wirtualne bramy sieci wirtualnej zawierają tabele routingu i uruchamiają konkretne usługi bramy.Virtual network gateway VMs contain routing tables and run specific gateway services. Te maszyny wirtualne są tworzone podczas tworzenia bramy sieci wirtualnej.These VMs are created when you create the virtual network gateway. Nie można bezpośrednio skonfigurować maszyn wirtualnych, które są częścią bramy sieci wirtualnej.You can't directly configure the VMs that are part of the virtual network gateway.

Jednym z ustawień skonfigurowanych dla bramy sieci wirtualnej jest typ bramy.One setting that you configure for a virtual network gateway is the gateway type. Typ bramy określa sposób użycia bramy sieci wirtualnej oraz akcje podejmowane przez bramę.Gateway type specifies how the virtual network gateway will be used and the actions that the gateway takes. Typ bramy "VPN" określa, że typ tworzonej bramy sieci wirtualnej to "Brama sieci VPN", a nie Brama ExpressRoute.The gateway type 'Vpn' specifies that the type of virtual network gateway created is a 'VPN gateway', rather than an ExpressRoute gateway. Sieć wirtualna może mieć dwie bramy sieci wirtualnej; jedna Brama sieci VPN i jedna brama ExpressRoute — podobnie jak w przypadku współistniejących konfiguracji połączeń.A virtual network can have two virtual network gateways; one VPN gateway and one ExpressRoute gateway - as is the case with coexisting connection configurations. Aby uzyskać więcej informacji, zobacz Gateway types (Typy bram).For more information, see Gateway types.

Bramy sieci VPN można wdrożyć w Strefy dostępności platformy Azure.VPN gateways can be deployed in Azure Availability Zones. Zapewni to elastyczność, skalowalność i większą dostępność bram sieci wirtualnej.This brings resiliency, scalability, and higher availability to virtual network gateways. Wdrażanie bram w strefach dostępności platformy Azure fizycznie i logicznie dzieli bramy w danym regionie, chroniąc jednocześnie lokalną łączność sieci z platformą Azure przed błędami na poziomie strefy.Deploying gateways in Azure Availability Zones physically and logically separates gateways within a region, while protecting your on-premises network connectivity to Azure from zone-level failures. Zobacz temat strefy — nadmiarowe bramy sieci wirtualnej w strefy dostępności platformy Azuresee About zone-redundant virtual network gateways in Azure Availability Zones

Tworzenie bramy sieci wirtualnej może potrwać do 45 minut.Creating a virtual network gateway can take up to 45 minutes to complete. Podczas tworzenia bramy sieci wirtualnej maszyny wirtualne bramy są wdrażane w podsieci bramy i konfigurowane przy użyciu określonych przez Ciebie ustawień.When you create a virtual network gateway, gateway VMs are deployed to the gateway subnet and configured with the settings that you specify. Po utworzeniu bramy sieci VPN możesz utworzyć połączenie tunelu VPN IPsec/IKE między bramą sieci VPN a inną bramą sieci VPN (sieć wirtualna-sieć wirtualna) lub utworzyć połączenie tunelu VPN IPsec/IKE obejmujące wiele lokalizacji między bramą sieci VPN a lokalnym urządzeniem sieci VPN (lokacja-lokacja).After you create a VPN gateway, you can create an IPsec/IKE VPN tunnel connection between that VPN gateway and another VPN gateway (VNet-to-VNet), or create a cross-premises IPsec/IKE VPN tunnel connection between the VPN gateway and an on-premises VPN device (Site-to-Site). Możesz również utworzyć połączenie sieci VPN typu punkt-lokacja (VPN over OpenVPN, IKEv2 lub SSTP), które umożliwia łączenie się z siecią wirtualną z lokalizacji zdalnej, np. z konferencji lub z domu.You can also create a Point-to-Site VPN connection (VPN over OpenVPN, IKEv2, or SSTP), which lets you connect to your virtual network from a remote location, such as from a conference or from home.

Konfigurowanie bramy VPN GatewayConfiguring a VPN Gateway

Połączenie bramy sieci VPN bazuje na wielu zasobach konfigurowanych przy użyciu konkretnych ustawień.A VPN gateway connection relies on multiple resources that are configured with specific settings. Większość zasobów można skonfigurować osobno, choć niektóre z nich należy skonfigurować w określonej kolejności.Most of the resources can be configured separately, although some resources must be configured in a certain order.

UstawieniaSettings

Ustawienia wybrane dla każdego zasobu mają kluczowe znaczenie dla utworzenia prawidłowego połączenia.The settings that you chose for each resource are critical to creating a successful connection. Aby uzyskać informacje na temat poszczególnych zasobów i ustawień dla bramy sieci VPN, zobacz Ustawienia bramy sieci VPN — informacje.For information about individual resources and settings for VPN Gateway, see About VPN Gateway settings. Ten artykuł zawiera informacje ułatwiające poznanie typów bram, jednostek SKU bram typów sieci VPN, typów połączeń, podsieci bram, bram sieci lokalnych i innych ustawień zasobów, które warto wziąć pod uwagę.The article contains information to help you understand gateway types, gateway SKUs, VPN types, connection types, gateway subnets, local network gateways, and various other resource settings that you may want to consider.

Narzędzia wdrażaniaDeployment tools

Możesz rozpocząć tworzenie i konfigurowanie zasobów za pomocą jednego narzędzia konfiguracji, takiego jak witryna Azure Portal.You can start out creating and configuring resources using one configuration tool, such as the Azure portal. Później możesz zdecydować się zmienić narzędzie na inne, np. program PowerShell, w celu skonfigurowania dodatkowych zasobów lub zmodyfikowania istniejących zasobów, jeśli jest to wymagane.You can later decide to switch to another tool, such as PowerShell, to configure additional resources, or modify existing resources when applicable. Obecnie nie wszystkie zasoby i ustawienia zasobów można skonfigurować w witrynie Azure Portal.Currently, you can't configure every resource and resource setting in the Azure portal. Instrukcje w artykułach dotyczących poszczególnych topologii połączeń określają, kiedy potrzebne jest konkretne narzędzie konfiguracji.The instructions in the articles for each connection topology specify when a specific configuration tool is needed.

Model wdrażaniaDeployment model

Obecnie dostępne są dwa modele wdrażania dla platformy Azure.There are currently two deployment models for Azure. Czynności wykonywane podczas konfigurowania bramy sieci VPN zależą od modelu wdrażania użytego w celu utworzenia sieci wirtualnej.When you configure a VPN gateway, the steps you take depend on the deployment model that you used to create your virtual network. Jeśli na przykład sieć wirtualna została utworzona przy użyciu klasycznego modelu wdrożenia, do tworzenia i konfigurowania ustawień bramy sieci VPN należy użyć wskazówek i instrukcji dotyczących klasycznego modelu wdrażania.For example, if you created your VNet using the classic deployment model, you use the guidelines and instructions for the classic deployment model to create and configure your VPN gateway settings. Aby uzyskać więcej informacji na temat modeli wdrażania, zobacz Omówienie modelu wdrażania przy użyciu usługi Resource Manager oraz wdrażania klasycznego.For more information about deployment models, see Understanding Resource Manager and classic deployment models.

Tabela planowaniaPlanning table

W poniższej tabeli znajdują się informacje pomocne podczas podejmowania decyzji co do najlepszej opcji łączności dla rozwiązania.The following table can help you decide the best connectivity option for your solution.

Point-to-SitePoint-to-Site Site-to-SiteSite-to-Site ExpressRouteExpressRoute
Usługi obsługiwane przez platformę AzureAzure Supported Services Usługi Cloud Services i Virtual MachinesCloud Services and Virtual Machines Usługi Cloud Services i Virtual MachinesCloud Services and Virtual Machines Lista usługServices list
Typowe przepustowościTypical Bandwidths Oparte na jednostce SKU bramyBased on the gateway SKU Zwykle < 1 Gb/s łącznieTypically < 1 Gbps aggregate 50 Mb/s, 100 Mb/s, 200 Mb/s, 500 Mb/s, 1 Gb/s, 2 Gb/s, 5 Gb/s, 10 Gb/s50 Mbps, 100 Mbps, 200 Mbps, 500 Mbps, 1 Gbps, 2 Gbps, 5 Gbps, 10 Gbps
Obsługiwane protokołyProtocols Supported Secure Socket Tunneling Protocol (SSTP), OpenVPN i IPsecSecure Sockets Tunneling Protocol (SSTP), OpenVPN and IPsec IPsecIPsec Bezpośrednie połączenie za pośrednictwem sieci VLAN, technologie VPN NSP (MPLS, VPLS itp.)Direct connection over VLANs, NSP's VPN technologies (MPLS, VPLS,...)
RoutingRouting RouteBased (dynamic)RouteBased (dynamic) Firma Microsoft obsługuje routing typu PolicyBased (statyczny) i RouteBased (dynamiczny VPN)We support PolicyBased (static routing) and RouteBased (dynamic routing VPN) BGPBGP
Elastyczność połączeniaConnection resiliency aktywne/pasywneactive-passive aktywne/pasywne lub aktywne/aktywneactive-passive or active-active aktywne/aktywneactive-active
Typowy przypadek użyciaTypical use case Tworzenie prototypów, scenariusze laboratorium do tworzenia i testowania dla usług w chmurze i maszyn wirtualnychPrototyping, dev / test / lab scenarios for cloud services and virtual machines Scenariusze laboratorium do tworzenia i testowania oraz obciążenia produkcyjne o małej skali dla usług w chmurze i maszyn wirtualnychDev / test / lab scenarios and small scale production workloads for cloud services and virtual machines Dostęp do wszystkich usług Azure (zatwierdzona lista), obciążenia o znaczeniu krytycznym oraz klasy korporacyjnej, Backup, dane big data, platforma Azure jako lokacja DRAccess to all Azure services (validated list), Enterprise-class and mission critical workloads, Backup, Big Data, Azure as a DR site
Umowa SLASLA Umowa SLASLA Umowa SLASLA Umowa SLASLA
CennikPricing CennikPricing CennikPricing CennikPricing
Dokumentacja technicznaTechnical Documentation Dokumentacja usługi VPN GatewayVPN Gateway Documentation Dokumentacja usługi VPN GatewayVPN Gateway Documentation Dokumentacja usługi ExpressRouteExpressRoute Documentation
Często zadawane pytaniaFAQ VPN Gateway — często zadawane pytaniaVPN Gateway FAQ VPN Gateway — często zadawane pytaniaVPN Gateway FAQ Usługa ExpressRoute — często zadawane pytaniaExpressRoute FAQ

Jednostki SKU bramyGateway SKUs

Podczas tworzenia bramy sieci wirtualnej określa się jednostkę SKU bramy do użycia.When you create a virtual network gateway, you specify the gateway SKU that you want to use. Wybierz jednostkę SKU spełniającą Twoje wymagania na podstawie typów obciążeń, przepustowości, funkcji i umów SLA.Select the SKU that satisfies your requirements based on the types of workloads, throughputs, features, and SLAs.

Jednostki SKU bramy według tunelowania, połączenia i przepływnościGateway SKUs by tunnel, connection, and throughput

Generowanie

bramy sieci VPN
VPN
Gateway
Generation
SKUSKU Połączenia typu lokacja-lokacja/Połączenia między sieciami wirtualnymi
Tunele
S2S/VNet-to-VNet
Tunnels
Połączenia typu punkt-lokacja
Połączenia SSTP
P2S
SSTP Connections
P2S
połączenia IKEv2/OpenVPN
P2S
IKEv2/OpenVPN Connections
Test porównawczy
agregowanej przepływności
Aggregate
Throughput Benchmark
BGPBGP Strefa nadmiarowaZone-redundant
Generation1Generation1 PodstawowaBasic Maksymalnie zMax. 1010 Maksymalnie zMax. 128128 NieobsługiwaneNot Supported 100 Mb/s100 Mbps NieobsługiwaneNot Supported NieNo
Generation1Generation1 VpnGw1VpnGw1 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 250250 650 Mb/s650 Mbps ObsługiwaneSupported NieNo
Generation1Generation1 VpnGw2VpnGw2 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 500500 1 Gb/s1 Gbps ObsługiwaneSupported NieNo
Generation1Generation1 VpnGw3VpnGw3 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10001000 1,25 Gb/s1.25 Gbps ObsługiwaneSupported NieNo
Generation1Generation1 VpnGw1AZVpnGw1AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 250250 650 Mb/s650 Mbps ObsługiwaneSupported TakYes
Generation1Generation1 VpnGw2AZVpnGw2AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 500500 1 Gb/s1 Gbps ObsługiwaneSupported TakYes
Generation1Generation1 VpnGw3AZVpnGw3AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10001000 1,25 Gb/s1.25 Gbps ObsługiwaneSupported TakYes
Generation2Generation2 VpnGw2VpnGw2 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 500500 1,25 Gb/s1.25 Gbps ObsługiwaneSupported NieNo
Generation2Generation2 VpnGw3VpnGw3 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10001000 2,5 GB/s2.5 Gbps ObsługiwaneSupported NieNo
Generation2Generation2 VpnGw4VpnGw4 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 50005000 5 Gb/s5 Gbps ObsługiwaneSupported NieNo
Generation2Generation2 VpnGw5VpnGw5 Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10 00010000 10 Gb/s10 Gbps ObsługiwaneSupported NieNo
Generation2Generation2 VpnGw2AZVpnGw2AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 500500 1,25 Gb/s1.25 Gbps ObsługiwaneSupported TakYes
Generation2Generation2 VpnGw3AZVpnGw3AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10001000 2,5 GB/s2.5 Gbps ObsługiwaneSupported TakYes
Generation2Generation2 VpnGw4AZVpnGw4AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 50005000 5 Gb/s5 Gbps ObsługiwaneSupported TakYes
Generation2Generation2 VpnGw5AZVpnGw5AZ Maksymalnie zMax. 30*30* Maksymalnie zMax. 128128 Maksymalnie zMax. 10 00010000 10 Gb/s10 Gbps ObsługiwaneSupported TakYes

(*) Jeśli potrzebujesz więcej niż 30 tuneli sieci VPN S2S, skorzystaj z usługi Virtual WAN.(*) Use Virtual WAN if you need more than 30 S2S VPN tunnels.

  • Zmiany rozmiarów jednostek SKU VpnGw są dozwolone w ramach tej samej generacji, z wyjątkiem zmiany rozmiarów podstawowej jednostki SKU.The resizing of VpnGw SKUs is allowed within the same generation, except resizing of the Basic SKU. Podstawowa jednostka SKU jest starszą wersją SKU i ma ograniczenia dotyczące funkcji.The Basic SKU is a legacy SKU and has feature limitations. Aby przejść z warstwy Podstawowa do innej jednostki SKU VpnGw, należy usunąć podstawową jednostkę SKU sieci VPN i utworzyć nową bramę z kombinacją żądanej generacji i rozmiaru jednostki SKU.In order to move from Basic to another VpnGw SKU, you must delete the Basic SKU VPN gateway and create a new gateway with the desired Generation and SKU size combination.

  • Te limity połączeń są niezależne.These connection limits are separate. Przykładowo dla jednostki SKU VpnGw1 można mieć 128 połączeń SSTP, a oprócz tego 250 połączeń IKEv2.For example, you can have 128 SSTP connections and also 250 IKEv2 connections on a VpnGw1 SKU.

  • Informacje o cenach znajdują się na stronie Cennik.Pricing information can be found on the Pricing page.

  • Informacje na temat umowy SLA (Service Level Agreement) można znaleźć na stronie SLA.SLA (Service Level Agreement) information can be found on the SLA page.

  • Na pojedynczym tunelu można osiągnąć maksymalnie 1 GB/s przepustowości.On a single tunnel a maximum of 1 Gbps throughput can be achieved. Wzorzec zagregowanej przepływności w powyższej tabeli opiera się na pomiarach wielu tuneli zagregowanych za pośrednictwem jednej bramy.Aggregate Throughput Benchmark in the above table is based on measurements of multiple tunnels aggregated through a single gateway. Test porównawczy agregowanej przepływności dla bramy sieci VPN bazuje na sumie wartości dla połączeń typu lokacja-lokacja i punkt-lokacja.The Aggregate Throughput Benchmark for a VPN Gateway is S2S + P2S combined. Posiadanie dużej liczby połączeń typu punkt-lokacja może negatywnie wpływać na połączenie typu lokacja-lokacja z powodu ograniczeń przepustowości.If you have a lot of P2S connections, it can negatively impact a S2S connection due to throughput limitations. Ze względu na warunki ruchu internetowego i zachowania aplikacji test porównawczy agregowanej przepływności nie pokazuje przepływności gwarantowanej.The Aggregate Throughput Benchmark is not a guaranteed throughput due to Internet traffic conditions and your application behaviors.

Aby pomóc naszym klientom zrozumieć względną wydajność jednostek SKU przy użyciu różnych algorytmów, do mierzenia wydajności używamy publicznie dostępnych narzędzi iPerf i CTSTraffic.To help our customers understand the relative performance of SKUs using different algorithms, we used publicly available iPerf and CTSTraffic tools to measure performances. W poniższej tabeli przedstawiono wyniki testów wydajności dla generacji 1, VpnGw jednostek SKU.The table below lists the results of performance tests for Generation 1, VpnGw SKUs. Jak widać, najlepszą wydajność uzyskuje się w przypadku użycia algorytmu GCMAES256 w przypadku szyfrowania i integralności protokołu IPsec.As you can see, the best performance is obtained when we used GCMAES256 algorithm for both IPsec Encryption and Integrity. Średnia wydajność podczas korzystania z AES256 na potrzeby szyfrowania IPsec i SHA256 w celu zapewnienia integralności.We got average performance when using AES256 for IPsec Encryption and SHA256 for Integrity. W przypadku użycia DES3 na potrzeby szyfrowania IPsec i SHA256 w celu zapewnienia integralności mamy najniższą wydajność.When we used DES3 for IPsec Encryption and SHA256 for Integrity we got lowest performance.

GeneracjiGeneration SKUSKU Używane algorytmy
Algorithms
used

przepływności
Throughput
observed
Obserwujene
pakietów na sekundę
Packets per second
observed
Generation1Generation1 VpnGw1VpnGw1 GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
650 Mb/s650 Mbps
500 Mb/s500 Mbps
120 MB/s120 Mbps
58 00058,000
50 00050,000
50 00050,000
Generation1Generation1 VpnGw2VpnGw2 GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
1 Gb/s1 Gbps
500 Mb/s500 Mbps
120 MB/s120 Mbps
90,00090,000
80,00080,000
55 00055,000
Generation1Generation1 VpnGw3VpnGw3 GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
1,25 Gb/s1.25 Gbps
550 MB/s550 Mbps
120 MB/s120 Mbps
105 000105,000
90,00090,000
60,00060,000
Generation1Generation1 VpnGw1AZVpnGw1AZ GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
650 Mb/s650 Mbps
500 Mb/s500 Mbps
120 MB/s120 Mbps
58 00058,000
50 00050,000
50 00050,000
Generation1Generation1 VpnGw2AZVpnGw2AZ GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
1 Gb/s1 Gbps
500 Mb/s500 Mbps
120 MB/s120 Mbps
90,00090,000
80,00080,000
55 00055,000
Generation1Generation1 VpnGw3AZVpnGw3AZ GCMAES256GCMAES256
AES256 & SHA256AES256 & SHA256
DES3 & SHA256DES3 & SHA256
1,25 Gb/s1.25 Gbps
550 MB/s550 Mbps
120 MB/s120 Mbps
105 000105,000
90,00090,000
60,00060,000

Diagramy topologii połączeńConnection topology diagrams

Dostępne są różne konfiguracje połączeń bramy sieci VPN.It's important to know that there are different configurations available for VPN gateway connections. Należy określić, która konfiguracja najlepiej odpowiada Twoim wymaganiom.You need to determine which configuration best fits your needs. Poniższe sekcje zawierają informacje i diagramy topologii dotyczące następujących połączeń bramy sieci VPN: Poniższe sekcje zawierają tabele z informacjami o następujących elementach:In the sections below, you can view information and topology diagrams about the following VPN gateway connections: The following sections contain tables which list:

  • Dostępny model wdrażaniaAvailable deployment model
  • Dostępne narzędzia konfiguracjiAvailable configuration tools
  • Linki prowadzące bezpośrednio do artykułu, jeśli jest dostępnyLinks that take you directly to an article, if available

Przedstawione diagramy i opisy mogą ułatwić wybór topologii połączenia dostosowanej do potrzeb użytkownika.Use the diagrams and descriptions to help select the connection topology to match your requirements. Choć te diagramy przedstawiają podstawowe topologie, możliwe jest utworzenie bardziej złożonych konfiguracji z użyciem tych diagramów jako wskazówek.The diagrams show the main baseline topologies, but it's possible to build more complex configurations using the diagrams as a guideline.

Połączenia typu lokacja-lokacja i połączenia obejmujące wiele lokacji (tunel VPN protokołu IPsec/IKE)Site-to-Site and Multi-Site (IPsec/IKE VPN tunnel)

Lokacja-lokacjaSite-to-Site

Połączenie bramy sieci VPN typu lokacja-lokacja to połączenie nawiązywane za pośrednictwem tunelu sieci VPN wykorzystującego protokół IPsec/IKE (IKEv1 lub IKEv2).A Site-to-Site (S2S) VPN gateway connection is a connection over IPsec/IKE (IKEv1 or IKEv2) VPN tunnel. Z połączeń typu lokacja-lokacja (S2S) można korzystać w ramach konfiguracji hybrydowych i obejmujących wiele lokalizacji.S2S connections can be used for cross-premises and hybrid configurations. Połączenie S2S wymaga, aby urządzenie sieci VPN znajdowało się w środowisku lokalnym, które ma przypisany publiczny adres IP.A S2S connection requires a VPN device located on-premises that has a public IP address assigned to it. Aby uzyskać informacje o wybieraniu urządzenia VPN, zobacz Brama VPN Gateway — często zadawane pytania dotyczące urządzeń VPN.For information about selecting a VPN device, see the VPN Gateway FAQ - VPN devices.

Przykład połączenia typu lokacja-lokacja w usłudze Azure VPN Gateway

Wiele witrynMulti-Site

Ten typ połączenia jest odmianą połączenia typu lokacja-lokacja.This type of connection is a variation of the Site-to-Site connection. W tym przypadku tworzysz więcej niż jedno połączenie VPN z bramy sieci wirtualnej — zwykle do nawiązywania połączenia z wieloma lokacjami lokalnymi.You create more than one VPN connection from your virtual network gateway, typically connecting to multiple on-premises sites. Podczas pracy z wieloma połączeniami musisz użyć sieci VPN typu RouteBased (nazywanego dynamiczną bramą w przypadku pracy z klasycznymi sieciami wirtualnymi).When working with multiple connections, you must use a RouteBased VPN type (known as a dynamic gateway when working with classic VNets). Ze względu na to, że każda sieć wirtualna może mieć tylko jedną bramę sieci VPN, wszystkie połączenia za pośrednictwem bramy współużytkują dostępną przepustowość.Because each virtual network can only have one VPN gateway, all connections through the gateway share the available bandwidth. Ten typ połączenia jest często określany mianem połączenia „obejmującego wiele lokacji”.This type of connection is often called a "multi-site" connection.

Przykład połączenia obejmującego wiele lokacji w usłudze Azure VPN Gateway

Modele wdrażania i metody nawiązywania połączeń typu lokacja-lokacja i połączeń obejmujących wiele lokacjiDeployment models and methods for Site-to-Site and Multi-Site

Model/metoda wdrażaniaDeployment model/method Azure PortalAzure portal Program PowerShellPowerShell Interfejs wiersza polecenia platformy AzureAzure CLI
Resource ManagerResource Manager SamouczekTutorial
Samouczek +Tutorial+
SamouczekTutorial SamouczekTutorial
Wdrożenie klasyczneClassic Samouczek **Tutorial** Samouczek +Tutorial+ NieobsługiwaneNot Supported

( ** ) oznacza, że ta metoda zawiera kroki, które wymagają programu PowerShell.(**) denotes that this method contains steps that require PowerShell.

(+) oznacza, że ten artykuł dotyczy połączeń obejmujących wiele lokalizacji.(+) denotes that this article is written for multi-site connections.

Sieć VPN typu punkt-lokacjaPoint-to-Site VPN

Połączenie bramy VPN Gateway typu punkt-lokacja pozwala utworzyć bezpieczne połączenie z siecią wirtualną z indywidualnego komputera klienckiego.A Point-to-Site (P2S) VPN gateway connection lets you create a secure connection to your virtual network from an individual client computer. Połączenie typu punkt-lokacja jest ustanawiane przez uruchomienie z komputera klienckiego.A P2S connection is established by starting it from the client computer. To rozwiązanie jest przydatne dla osób pracujących zdalnie, które chcą łączyć się z sieciami wirtualnymi platformy Azure z lokalizacji zdalnej, na przykład z domu lub sali konferencyjnej.This solution is useful for telecommuters who want to connect to Azure VNets from a remote location, such as from home or a conference. Połączenie sieci VPN typu punkt-lokacja jest również przydatne zamiast połączenia sieci VPN typu lokacja-lokacja w przypadku niewielkiej liczby klientów, którzy muszą się łączyć z siecią wirtualną.P2S VPN is also a useful solution to use instead of S2S VPN when you have only a few clients that need to connect to a VNet.

W przeciwieństwie do połączeń S2S połączenia P2S nie wymagają lokalnego, publicznego adresu IP ani urządzenia sieci VPN.Unlike S2S connections, P2S connections do not require an on-premises public-facing IP address or a VPN device. Połączenia typu punkt-lokacja mogą być używane z połączeniami typu lokacja-lokacja z użyciem tej samej bramy sieci VPN, pod warunkiem że wszystkie wymagania dotyczące konfiguracji dla obu połączeń są zgodne.P2S connections can be used with S2S connections through the same VPN gateway, as long as all the configuration requirements for both connections are compatible. Aby uzyskać więcej informacji na temat połączeń punkt-lokacja, zobacz About Point-to-Site VPN (Informacje o sieci VPN typu punkt-lokacja).For more information about Point-to-Site connections, see About Point-to-Site VPN.

Przykład połączenia typu punkt-lokacja w usłudze Azure VPN Gateway

Modele wdrażania i metody nawiązywania połączeń typu punkt-lokacjaDeployment models and methods for P2S

Natywne uwierzytelnianie certyfikatów platformy AzureAzure native certificate authentication

Model/metoda wdrażaniaDeployment model/method Azure PortalAzure portal Program PowerShellPowerShell
Resource ManagerResource Manager SamouczekTutorial SamouczekTutorial
Wdrożenie klasyczneClassic SamouczekTutorial ObsługiwaneSupported

Uwierzytelnianie za pomocą protokołu RADIUSRADIUS authentication

Model/metoda wdrażaniaDeployment model/method Azure PortalAzure portal Program PowerShellPowerShell
Resource ManagerResource Manager ObsługiwaneSupported SamouczekTutorial
Wdrożenie klasyczneClassic NieobsługiwaneNot Supported NieobsługiwaneNot Supported

Połączenia między sieciami wirtualnymi (tunel VPN protokołu IPsec/IKE)VNet-to-VNet connections (IPsec/IKE VPN tunnel)

Proces nawiązywania połączenia między dwiema sieciami wirtualnymi przebiega podobnie do procesu łączenia sieci wirtualnej z lokacją lokalną.Connecting a virtual network to another virtual network (VNet-to-VNet) is similar to connecting a VNet to an on-premises site location. Oba typy połączeń wykorzystują bramę sieci VPN, aby zapewnić bezpieczny tunel z użyciem protokołu IPsec/IKE.Both connectivity types use a VPN gateway to provide a secure tunnel using IPsec/IKE. Można także łączyć połączenia między sieciami wirtualnymi z konfiguracjami połączeń obejmujących wiele lokacji.You can even combine VNet-to-VNet communication with multi-site connection configurations. Pozwala to tworzyć topologie sieci, które łączą wdrożenia obejmujące wiele lokalizacji z połączeniami między sieciami wirtualnymi.This lets you establish network topologies that combine cross-premises connectivity with inter-virtual network connectivity.

Sieci wirtualne, między którymi tworzone jest połączenie, mogą:The VNets you connect can be:

  • znajdować się w tym samym lub różnych regionach,in the same or different regions
  • należeć do tej samej lub różnych subskrypcji,in the same or different subscriptions
  • korzystać z tego samego lub różnych modeli wdrażania.in the same or different deployment models

Przykład połączenia między sieciami wirtualnymi w usłudze Azure VPN Gateway

Połączenia między modelami wdrażaniaConnections between deployment models

Platforma Azure ma obecnie dwa modele wdrażania: klasyczny model wdrażania oraz model wdrażania przy użyciu usługi Resource Manager.Azure currently has two deployment models: classic and Resource Manager. Jeśli korzystasz z platformy Azure od pewnego czasu, prawdopodobnie masz maszyny wirtualne i wystąpienia roli platformy Azure działające w klasycznej sieci wirtualnej.If you have been using Azure for some time, you probably have Azure VMs and instance roles running in a classic VNet. Nowsze maszyny wirtualne i wystąpienia roli mogą działać w sieci wirtualnej utworzonej w usłudze Resource Manager.Your newer VMs and role instances may be running in a VNet created in Resource Manager. Możesz utworzyć połączenie między tymi sieciami wirtualnymi, aby umożliwić zasobom w jednej sieci wirtualnej bezpośrednie komunikowanie się z zasobami w innej sieci.You can create a connection between the VNets to allow the resources in one VNet to communicate directly with resources in another.

Wirtualne sieci równorzędneVNet peering

Można utworzyć połączenie przy użyciu komunikacji równorzędnej sieci wirtualnych pod warunkiem, że sieć wirtualna spełnia określone wymagania.You may be able to use VNet peering to create your connection, as long as your virtual network meets certain requirements. W przypadku komunikacji równorzędnej sieci wirtualnych nie jest używana brama sieci wirtualnej.VNet peering does not use a virtual network gateway. Aby uzyskać więcej informacji, zobacz temat Komunikacja równorzędna sieci wirtualnych.For more information, see VNet peering.

Modele wdrażania i metody nawiązywania połączeń między sieciami wirtualnymiDeployment models and methods for VNet-to-VNet

Model/metoda wdrażaniaDeployment model/method Azure PortalAzure portal Program PowerShellPowerShell Interfejs wiersza polecenia platformy AzureAzure CLI
Wdrożenie klasyczneClassic Samouczek *Tutorial* ObsługiwaneSupported NieobsługiwaneNot Supported
Resource ManagerResource Manager Samouczek +Tutorial+ SamouczekTutorial SamouczekTutorial
Połączenia między różnymi modelami wdrażaniaConnections between different deployment models Samouczek *Tutorial* SamouczekTutorial NieobsługiwaneNot Supported

(+) wskazuje, że ta metoda wdrażania jest dostępna tylko dla sieci wirtualnych w tej samej subskrypcji.(+) denotes this deployment method is available only for VNets in the same subscription.
( * ) wskazuje, że ta metoda wdrażania wymaga również programu PowerShell.(*) denotes that this deployment method also requires PowerShell.

ExpressRoute (połączenie prywatne)ExpressRoute (private connection)

Usługa ExpressRoute umożliwia rozszerzanie sieci lokalnych na chmurę Microsoft za pośrednictwem połączenia prywatnego obsługiwanego przez dostawcę połączenia.ExpressRoute lets you extend your on-premises networks into the Microsoft cloud over a private connection facilitated by a connectivity provider. Dzięki usłudze ExpressRoute można ustanowić połączenia z usługami Microsoft w chmurze, np. Microsoft Azure, Office 365 i CRM Online.With ExpressRoute, you can establish connections to Microsoft cloud services, such as Microsoft Azure, Office 365, and CRM Online. Połączenie może być z sieci typu dowolna-dowolna (IP VPN), sieci Ethernet typu punkt-punkt lub przy użyciu łączności obejmującej wiele połączeń wirtualnych przez dostawcę połączenia w ramach infrastruktury współlokacji.Connectivity can be from an any-to-any (IP VPN) network, a point-to-point Ethernet network, or a virtual cross-connection through a connectivity provider at a co-location facility.

Połączenia ExpressRoute nie odbywają się za pośrednictwem publicznego Internetu.ExpressRoute connections do not go over the public Internet. Dzięki temu oferują one większą niezawodność i szybkość oraz mniejsze opóźnienia i lepsze zabezpieczenia niż typowe połączenia przez Internet.This allows ExpressRoute connections to offer more reliability, faster speeds, lower latencies, and higher security than typical connections over the Internet.

Połączenie usługi ExpressRoute używa bramy sieci wirtualnej w ramach wymaganej konfiguracji.An ExpressRoute connection uses a virtual network gateway as part of its required configuration. W przypadku połączenia usługi ExpressRoute brama sieci wirtualnej jest konfigurowana z typem bramy „ExpressRoute” zamiast „Vpn”.In an ExpressRoute connection, the virtual network gateway is configured with the gateway type 'ExpressRoute', rather than 'Vpn'. Mimo iż ruch sieciowy przesyłany za pośrednictwem obwodu usługi ExpressRoute domyślnie nie jest szyfrowany, możliwe jest utworzenie rozwiązania umożliwiającego przesyłanie zaszyfrowanego ruchu sieciowego za pośrednictwem obwodu usługi ExpressRoute.While traffic that travels over an ExpressRoute circuit is not encrypted by default, it is possible create a solution that allows you to send encrypted traffic over an ExpressRoute circuit. Więcej informacji na temat usługi ExpressRoute zawiera artykuł ExpressRoute technical overview (Opis techniczny usługi ExpressRoute).For more information about ExpressRoute, see the ExpressRoute technical overview.

Współistniejące połączenia typu lokacja-lokacja i ExpressRouteSite-to-Site and ExpressRoute coexisting connections

ExpressRoute to bezpośrednie, prywatne połączenie z usługami firmy Microsoft, w tym z platformą Azure, nawiązane z poziomu sieci WAN użytkownika, a nie z publicznego Internetu.ExpressRoute is a direct, private connection from your WAN (not over the public Internet) to Microsoft Services, including Azure. Zaszyfrowany ruch połączenia sieci VPN typu lokacja-lokacja jest przesyłany za pośrednictwem publicznej sieci Internet.Site-to-Site VPN traffic travels encrypted over the public Internet. Możliwość konfiguracji połączenia sieci VPN typu lokacja-lokacja oraz połączenia ExpressRoute dla tej samej sieci wirtualnej niesie ze sobą pewne korzyści.Being able to configure Site-to-Site VPN and ExpressRoute connections for the same virtual network has several advantages.

Sieć VPN typu lokacja-lokacja może zostać skonfigurowana jako bezpieczna ścieżka trybu failover dla połączenia ExpressRoute. Połączenia sieci VPN typu lokacja-lokacja mogą także zostać użyte w celu połączenia się z lokacjami, które nie są częścią sieci, ale które są połączone metodą ExpressRoute.You can configure a Site-to-Site VPN as a secure failover path for ExpressRoute, or use Site-to-Site VPNs to connect to sites that are not part of your network, but that are connected through ExpressRoute. Ta konfiguracja wymaga dwóch bram sieci wirtualnej dla tej samej sieci wirtualnej, z których jedna używa bramy typu „Vpn”, a druga — bramy typu „ExpressRoute”.Notice that this configuration requires two virtual network gateways for the same virtual network, one using the gateway type 'Vpn', and the other using the gateway type 'ExpressRoute'.

Przykład współistniejących połączeń usług ExpressRoute i VPN Gateway

Modele wdrażania i metody nawiązywania połączeń typu lokacja-lokacja i połączeń usługi ExpressRoute współistniejąDeployment models and methods for S2S and ExpressRoute coexist

Model/metoda wdrażaniaDeployment model/method Azure PortalAzure portal Program PowerShellPowerShell
Resource ManagerResource Manager ObsługiwaneSupported SamouczekTutorial
Wdrożenie klasyczneClassic NieobsługiwaneNot Supported SamouczekTutorial

CennikPricing

Płatność dotyczy dwóch składników: kosztu godzin obliczeniowych bramy sieci wirtualnej i transferu danych wychodzących z bramy sieci wirtualnej.You pay for two things: the hourly compute costs for the virtual network gateway, and the egress data transfer from the virtual network gateway. Informacje o cenach znajdują się na stronie Cennik.Pricing information can be found on the Pricing page. Brama starszej wersji jednostki SKU o cenach, zobacz stronę z cennikiem usługi ExpressRoute i przewiń do bramy sieci wirtualnej sekcji.For legacy gateway SKU pricing, see the ExpressRoute pricing page and scroll to the Virtual Network Gateways section.

Koszty obliczeniowe bramy sieci wirtualnejVirtual network gateway compute costs
Każda brama sieci wirtualnej ma koszt godziny obliczeniowej.Each virtual network gateway has an hourly compute cost. Cena zależy od jednostki SKU bramy, która została określona podczas tworzenia bramy sieci wirtualnej.The price is based on the gateway SKU that you specify when you create a virtual network gateway. Koszt dotyczy samej bramy i jest dodawany do kosztu transferu danych, który przepływa przez bramę.The cost is for the gateway itself and is in addition to the data transfer that flows through the gateway. Koszt konfiguracji aktywna-aktywna jest taka sam jak konfiguracji aktywna-pasywna.Cost of an active-active setup is the same as active-passive.

Koszty transferu danychData transfer costs
Koszty transferu danych są obliczane na podstawie ruchu wychodzącego ze źródłowej bramy sieci wirtualnej.Data transfer costs are calculated based on egress traffic from the source virtual network gateway.

  • Jeśli ruch jest wysyłany do lokalnego urządzenia sieci VPN, zostanie naliczona stawka za transfer danych wychodzących do sieci Internet.If you are sending traffic to your on-premises VPN device, it will be charged with the Internet egress data transfer rate.
  • Jeśli ruch jest wysyłany między sieciami wirtualnymi w różnych regionach, cena zależy od regionu.If you are sending traffic between virtual networks in different regions, the pricing is based on the region.
  • Jeśli ruch jest wysyłany tylko między sieciami wirtualnymi w tym samym regionie, nie ma żadnych kosztów danych.If you are sending traffic only between virtual networks that are in the same region, there are no data costs. Ruch między sieciami wirtualnymi w tym samym regionie jest bezpłatny.Traffic between VNets in the same region is free.

Więcej informacji o jednostkach SKU bramy dla usługi VPN Gateway zawiera artykuł Gateway SKUs (Jednostki SKU bramy).For more information about gateway SKUs for VPN Gateway, see Gateway SKUs.

Często zadawane pytaniaFAQ

Aby zapoznać się z często zadawanymi pytaniami dotyczącymi bramy sieci VPN, zobacz Brama VPN Gateway — często zadawane pytania.For frequently asked questions about VPN gateway, see the VPN Gateway FAQ.

Następne krokiNext steps