Om VPN Gateway konfigurationsinställningar

En VPN-gateway är en typ av virtuell nätverksgateway som skickar krypterad trafik mellan ditt virtuella nätverk och din lokala plats via en offentlig anslutning. Du kan också använda en VPN-gateway för att skicka trafik mellan virtuella nätverk i Azure-stamnätet.

En VPN-gatewayanslutning är beroende av konfigurationen av flera resurser, som var och en innehåller konfigurerbara inställningar. I avsnitten i den här artikeln beskrivs de resurser och inställningar som är relaterade till en VPN-gateway för ett virtuellt nätverk som Resource Manager i distributionsmodellen. Du hittar beskrivningar och topologidiagram för varje anslutningslösning i artikeln Om VPN Gateway.

Värdena i den här artikeln gäller VPN-gatewayer (virtuella nätverksgatewayer som använder Vpn-typen -GatewayType). Den här artikeln beskriver inte alla gatewaytyper eller zonredundant gateways.

• Värden som gäller för -GatewayType ExpressRoute finns i Virtual Network gatewayer för ExpressRoute.

• Mer information om zonredundant gateway finns i Om zonredundant gateway.

• Information om aktiv-aktiv-gatewayer finns i Om anslutning med hög tillgänglig .

• Mer Virtual WAN finns i Om Virtual WAN.

Gateway-typer

Varje virtuellt nätverk kan bara ha en virtuell nätverksgateway av varje typ. När du skapar en virtuell nätverksgateway måste du se till att gatewaytypen är korrekt för din konfiguration.

Tillgängliga värden för -GatewayType är:

• Vpn
• ExpressRoute

En VPN-gateway kräver -GatewayType Vpn.

Exempel:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
-Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
-VpnType RouteBased

Gateway-SKU:er

När du skapar en virtuell nätverksgateway måste du ange vilken gateway-SKU som du vill använda. Välj den SKU som uppfyller dina krav baserat på typerna av arbetsbelastning, dataflöden, funktioner och serviceavtal. Information om SKU:er för virtuella nätverksgatewayer i Azure-tillgänglighetszoner finns i Azure-tillgänglighetszoner gateway-SKU:er.

Gateway-SKU:er efter tunnel, anslutning och dataflöde

(*) Använd Virtual WAN om du behöver fler än 100 S2S VPN-tunnlar.

• Storleksändring av VpnGw-SKU:er tillåts inom samma generation, förutom storleksändring av Basic-SKU:n. Basic-SKU:n är en äldre SKU och har funktionsbegränsningar. Om du vill flytta från Basic till en annan VpnGw SKU måste du ta bort den grundläggande SKU VPN-gatewayen och skapa en ny gateway med önskad kombination av generation och SKU-storlek. Du kan bara ändra storlek på en Basic-gateway till en annan äldre SKU (se Arbeta med äldre SKU:er).

• Dessa anslutningsgränser är separata. Du kan exempelvis ha 128 SSTP-anslutningar och även 250 IKEv2-anslutningar på en VpnGw1-SKU.

• Information om priser finns på sidan Priser.

• Information om SLA (serviceavtal) finns på sidan SLA.

• På en enda tunnel kan ett dataflöde på högst 1 Gbit/s uppnås. Prestandamått för aggregerat dataflöde i tabellen ovan baseras på mätningar av flera tunnlar som aggregerats via en enda gateway. Prestandamåttet för aggregerat dataflöde för VPN Gateway är S2S + P2S kombinerat. Om du har många P2S-anslutningar kan det påverka en S2S-anslutning negativt på grund av dataflödesbegränsningar. Prestandamåttet för aggregerat datagenomflöde inte garanterat genomströmning på grund av villkor för Internet-trafik och dina program.

För att hjälpa våra kunder att förstå den relativa prestandan för SKU:er med hjälp av olika algoritmer använde vi offentligt tillgängliga iPerf- och CTSTraffic-verktyg för att mäta prestanda. Tabellen nedan visar resultatet av prestandatester för SKU:er av första generationen, VpnGw. Som du ser får vi bästa möjliga prestanda när vi använde GCMAES256-algoritmen för både IPsec-kryptering och integritet. Vi fick genomsnittlig prestanda när vi använder AES256 för IPsec-kryptering och SHA256 för integritet. När vi använde DES3 för IPsec-kryptering och SHA256 för integritet fick vi lägsta prestanda.

Gateway-SKU:er efter funktionsuppsättning

De nya SKU:erna för VPN-gateway effektiviserar de funktionsuppsättningar som erbjuds på gatewayerna:

(*) Du kan konfigurera "PolicyBasedTrafficSelectors" för att ansluta en ruttbaserad VPN-gateway till flera lokala principbaserade brandväggsenheter. Referera till Ansluta VPN-gatewayer till flera lokala principbaserad VPN-enheter med hjälp av PowerShell för mer information.

( * * ) Basic-SKU:n betraktas som en äldre SKU. Basic SKU:n har vissa funktionsbegränsningar. Du kan inte ändra storlek på en gateway som använder en Basic SKU till en av de nya gateway-SKU:erna. Du måste istället ändra till en ny SKU, vilket innebär att ta bort och återskapa din VPN-gateway.

Gateway-SKU:er – produktion Dev-Test arbetsbelastningar

På grund av skillnader i serviceavtal och funktioner, rekommenderar vi följande SKU: er för produktion jämfört med utv-test:

( * * ) Basic-SKU:n betraktas som en äldre SKU och har funktionsbegränsningar. Kontrollera att funktionen du behöver stöds innan du använder Basic SKU:n.

Om du använder gamla SKU:er (äldre) är produktions-SKU-rekommendationerna Standard och HighPerformance. Information och instruktioner för gamla SKU:er finns i Gateway-SKU:er (äldre).

Konfigurera en gateway-SKU

Azure Portal

Om du använder Azure Portal för att skapa en Resource Manager virtuell nätverksgateway kan du välja gateway-SKU:n med hjälp av listrutan. De alternativ som visas motsvarar den gatewaytyp och VPN-typ som du väljer.

PowerShell

I följande PowerShell-exempel anges -GatewaySku som VpnGw1. När du använder PowerShell för att skapa en gateway måste du först skapa IP-konfigurationen och sedan använda en variabel för att referera till den. I det här exemplet är konfigurationsvariabeln $gwipconfig.

New-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1 `
-Location 'US East' -IpConfigurations $gwipconfig -GatewaySku VpnGw1 `
-GatewayType Vpn -VpnType RouteBased

Azure CLI

az network vnet-gateway create --name VNet1GW --public-ip-address VNet1GWPIP --resource-group TestRG1 --vnet VNet1 --gateway-type Vpn --vpn-type RouteBased --sku VpnGw1 --no-wait

Ändra storlek på eller ändra en SKU

Om du har en VPN-gateway och vill använda en annan gateway-SKU kan du antingen ändra storlek på din gateway-SKU eller ändra till en annan SKU. När du ändrar till en annan gateway-SKU tar du bort den befintliga gatewayen helt och hållet och skapar en ny. Att skapa en gateway kan ofta ta 45 minuter eller mer, beroende på vald gateway-SKU. När du ändrar storlek på en gateway-SKU är det inte mycket avbrott eftersom du inte behöver ta bort och återskapa gatewayen. Om du har möjlighet att ändra storlek på din gateway-SKU i stället för att ändra den, bör du göra det. Det finns dock regler för storleksändring:

1. Med undantag för Basic-SKU:n kan du ändra storlek på en VPN-gateway-SKU till en annan VPN-gateway-SKU inom samma generation (Generation1 eller Generation2). Till exempel kan VpnGw1 av Generation1 ändras till VpnGw2 av Generation1 men inte till VpnGw2 av Generation2.
2. När du arbetar med gamla gatewayen-SKU: er, kan du ändra storlek mellan Basic, Standard och HighPerformance SKU: er.
3. Du kan inte ändra storlek från SKU:er för Basic/Standard/HighPerformance till VpnGw-SKU:er. Du måste i stället ändra till de nya SKU:erna.

Ändra storlek på en gateway

Azure-portalen

1. Gå till konfigurations sidan för den virtuella Nätverksgatewayen.

2. Välj pilarna för List rutan.

   

3. Välj SKU i list rutan.

   

PowerShell

Du kan använda PowerShell-cmdleten för att uppgradera eller nedgradera en Resize-AzVirtualNetworkGateway Generation1- eller Generation2-SKU (alla VpnGw-SKU:er kan storleksändras förutom Basic-SKU:er). Om du använder Basic-gateway-SKU:n använder du i stället de här instruktionerna för att ändra storlek på din gateway.

I följande PowerShell-exempel visas en gateway-SKU som ändras till VpnGw2.

$gw = Get-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg
Resize-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -GatewaySku VpnGw2

Så här ändrar du från en gammal (äldre) SKU till en ny SKU

Om du arbetar med distributions modellen för Resource Manager kan du ändra till de nya gateway-SKU: erna. När du ändrar från en äldre Gateway-SKU till en ny SKU tar du bort den befintliga VPN-gatewayen och skapar en ny VPN-gateway.

Arbets flöde

1. Ta bort flera anslutningar till en virtuell nätverksgateway.
2. Ta bort VPN gatewayen.
3. Skapa den nya VPN gatewayen.
4. Uppdatera din lokala VPN-enhet med den nya IP-adressen för VPN-gatewayen (för plats-till-plats-anslutningar).
5. Uppdatera gateway IP-adressvärdet för alla lokala nätverket VNet-till-VNet-gateways som ska ansluta till den här gatewayen.
6. Hämta den nya klientpaket för VPN-konfiguration för P2S-klienter som ansluter till det virtuella nätverket via den här VPN-gatewayen.
7. Skapa om flera anslutningar till en virtuell nätverksgateway.

Överväganden:

• Om du vill flytta till de nya SKU: erna måste din VPN-gateway vara i distributions modellen för Resource Manager.
• Om du har en klassisk VPN-gateway måste du fortsätta att använda äldre SKU: er för denna gateway, men du kan ändra storlek mellan de äldre SKU: erna. Du kan inte ändra till nya SKU: er.
• Du får anslutnings avbrott när du ändrar från en äldre SKU till en ny SKU.
• När du byter till en ny Gateway-SKU kommer den offentliga IP-adressen för din VPN-gateway att ändras. Detta inträffar även om du anger samma offentliga IP-adress objekt som du använde tidigare.

Anslutningstyper

I Resource Manager måste varje konfigurationha en specifik anslutningstyp för virtuell nätverksgateway. Tillgängliga PowerShell-värden i Resource Manager för -ConnectionType är:

• IPsec
• Vnet2Vnet
• ExpressRoute
• VPNClient

I följande PowerShell-exempel skapar vi en S2S-anslutning som kräver anslutningstypen IPsec.

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
-Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
-ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

VPN-typer

När du skapar den virtuella nätverksgatewayen för en VPN-gatewaykonfiguration måste du ange en VPN-typ. Vilken VPN-typ du väljer beror på vilken anslutningstopologi du vill skapa. Till exempel kräver en P2S-anslutning en RouteBased VPN-typ. En VPN-typ kan också bero på vilken maskinvara du använder. S2S-konfigurationer kräver en VPN-enhet. Vissa VPN-enheter stöder endast en viss VPN-typ.

Den VPN-typ du väljer måste uppfylla alla anslutningskrav för den lösning som du vill skapa. Om du till exempel vill skapa en VPN-gatewayanslutning mellan servrar och en P2S VPN-gatewayanslutning för samma virtuella nätverk använder du VPN-typen RouteBased eftersom P2S kräver vpn-typen RouteBased. Du måste också kontrollera att VPN-enheten har stöd för en RouteBased VPN-anslutning.

När en virtuell nätverksgateway har skapats kan du inte ändra VPN-typen. Du måste ta bort den virtuella nätverksgatewayen och skapa en ny. Det finns två VPN-typer:

• Principbaserad: Principbaserad-VPN kallades tidigare för statiska routnings-gatewayer i den klassiska distributions modellen. Principbaserad VPN krypterar och dirigerar paket via IPsec-tunnlar baserat på IPsec-principerna som kon figurer ATS med kombinationer av adressprefix mellan ditt lokala nätverk och Azure VNet. Principen (eller trafikväljaren) definieras vanligtvis som en åtkomstlista i VPN-enhetens konfiguration. Värdet för en principbaserad VPN-typ är Principbaserad. Tänk på följande begränsningar när du använder en principbaserad VPN:

  • Principbaserad-VPN kan bara användas på Basic Gateway-SKU: n. Den här VPN-typen är inte kompatibel med andra gateway-SKU: er.
  • Du kan bara ha 1 tunnel när du använder en principbaserad VPN.
  • Du kan bara använda principbaserad VPN för S2S-anslutningar och endast för vissa konfigurationer. De flesta VPN Gateway konfigurationer kräver en Routningsbaserad VPN.

• Routningsbaserad: Routningsbaserad-VPN kallades tidigare för dynamiska routnings-gatewayer i den klassiska distributions modellen. Routningsbaserad VPN använder "vägar" i IP-vidarebefordran eller routningstabellen för att dirigera paket till sina motsvarande tunnel gränssnitt. Tunnelgränssnitten krypterar eller dekrypterar sedan paketen in och ut från tunnlarna. Principen (eller trafik väljaren) för Routningsbaserad-VPN konfigureras som alla-till-alla (eller jokertecken). Värdet för en Routningsbaserad VPN-typ är routningsbaserad.

I följande PowerShell-exempel anges -VpnType som RouteBased. När du skapar en gateway måste du kontrollera att -VpnType är rätt för din konfiguration.

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
-Location 'West US' -IpConfigurations $gwipconfig `
-GatewayType Vpn -VpnType RouteBased

Gateway-krav

I följande tabell visas kraven för principbaserad-och Routningsbaserad VPN-gatewayer. Tabellen gäller både för Resource Manager- och den klassiska distributionsmodellen. För den klassiska modellen är principbaserad VPN-gatewayer samma som statiska gatewayer och vägbaserade gatewayer är samma som dynamiska gatewayer.

(*) BGP stöds inte för den klassiska distributions modellen.

Gatewayundernät

Innan du skapar en VPN-gateway måste du skapa ett gateway-undernät. Gateway-undernätet innehåller de IP-adresser som virtuella datorer och tjänster för den virtuella nätverksgatewayen använder. När du skapar din virtuella nätverksgateway distribueras virtuella gateway-datorer till gatewayundernätet och konfigureras med de nödvändiga VPN-gatewayinställningarna. Distribuera aldrig något annat (till exempel ytterligare virtuella datorer) till gatewayundernätet. Gateway-undernätet måste ha namnet "GatewaySubnet" för att fungera korrekt. Genom att namnge gatewayundernätet "GatewaySubnet" får Azure veta att det här är det undernät som de virtuella nätverksgatewayens virtuella datorer och tjänster ska distribueras till.

När du skapar gatewayundernätet anger du det antal IP-adresser som undernätet innehåller. IP-adresserna i gatewayundernätet allokeras till de virtuella gateway-datorerna och gatewaytjänsterna. Vissa konfigurationer kräver fler IP-adresser än andra.

När du planerar storleken på gateway-undernätet kan du läsa dokumentationen för den konfiguration som du planerar att skapa. Till exempel kräver konfigurationen ExpressRoute/VPN Gateway samexistera ett större gateway-undernät än de flesta andra konfigurationer. Dessutom kanske du vill kontrollera att gatewayundernätet innehåller tillräckligt med IP-adresser för att hantera eventuella framtida ytterligare konfigurationer. Även om du kan skapa ett gateway-undernät som är så litet som /29, rekommenderar vi att du skapar ett gateway-undernät på /27 eller större (/27, /26 osv.) om du har det tillgängliga adressutrymmet att göra det. Detta passar de flesta konfigurationer.

Följande exempel Resource Manager PowerShell visar ett gateway-undernät med namnet GatewaySubnet. Du kan se att CIDR-notationen anger en /27, vilket tillåter tillräckligt med IP-adresser för de flesta konfigurationer som för närvarande finns.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Lokala nätverksgatewayer

En lokal nätverksgateway skiljer sig från en virtuell nätverksgateway. När du skapar en VPN-gatewaykonfiguration representerar den lokala nätverksgatewayen vanligtvis ditt lokala nätverk och motsvarande VPN-enhet. I den klassiska distributionsmodellen kallades den lokala nätverksgatewayen för Lokal plats.

Du ger den lokala nätverksgatewayen ett namn, den offentliga IP-adressen eller det fullständiga domännamnet (FQDN) för den lokala VPN-enheten och anger de adressprefix som finns på den lokala platsen. Azure tittar på måladressprefix för nätverkstrafik, söker i konfigurationen som du har angett för din lokala nätverksgateway och dirigerar paket därefter. Om du använder Border Gateway Protocol (BGP) på VPN-enheten anger du BGP-peer-IP-adressen för din VPN-enhet och ASN (Autonomous System Number) för ditt lokala nätverk. Du kan också ange lokala nätverksgatewayer för VNet-till-VNet-konfigurationer som använder en VPN-gatewayanslutning.

I följande PowerShell-exempel skapas en ny lokal nätverksgateway:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

Ibland måste du ändra inställningarna för den lokala nätverksgatewayen. Det kan till exempel vara när du lägger till eller ändrar adressintervallet, eller om IP-adressen för VPN-enheten ändras. Se Ändra inställningar för lokal nätverksgateway med Hjälp av PowerShell.

REST API:er, PowerShell-cmdlets och CLI

Ytterligare tekniska resurser och specifika syntaxkrav när du använder REST-API:er, PowerShell-cmdlets eller Azure CLI för VPN Gateway konfigurationer finns på följande sidor:

Nästa steg

Mer information om tillgängliga anslutningskonfigurationer finns i Om VPN Gateway.