教學課程：在 Azure 入口網站中建立站對站 VPN 連線

發行項
03/20/2024

本教學課程說明如何使用 Azure 入口網站，在內部部署網路與虛擬網路之間建立站對站 VPN 網關聯機。您也可以使用 Azure PowerShell 或 Azure CLI 來建立此組態。

在本教學課程中，您會了解如何：

建立虛擬網路。
建立 VPN 閘道。
建立局域網路閘道。
建立 VPN 連線。
確認連線。
連線至虛擬機。

必要條件

您需要具有有效訂用帳戶的 Azure 帳戶。如果您沒有，可以免費建立一個。
請確定您有相容的 VPN 裝置，以及可以設定它的人員。如需相容 VPN 裝置和裝置設定的詳細資訊，請參閱關於 VPN 裝置。
確認您的 VPN 裝置有對外開放的公用 IPv4 位址。
如果您不熟悉位於內部部署網路設定的 IP 位址範圍，您需要與能夠提供那些詳細資料的人協調。當您建立此組態時，您必須指定 IP 位址範圍的首碼，以供 Azure 路由傳送至您的內部部署位置。內部部署網路的子網都不能與您想要連線的虛擬網路子網重疊。

建立虛擬網路

在本節中，您會使用下列值來建立虛擬網路：

資源群組︰TestRG1
名稱：VNet1
區域：(美國) 美國東部
IPv4 位址空間：10.1.0.0/16
子網路名稱：FrontEnd
子網路位址空間：10.1.0.0/24

注意

在使用虛擬網路作為用作跨部署結構的一部分時，請務必與內部部署網路系統管理員協調，以切割出此虛擬網路專用的 IP 位址範圍。如果 VPN 連線的兩端存在重複的位址範圍，流量就會以未預期的方式路由傳送。此外，如果要將此虛擬網路連線至另一個虛擬網路，則位址空間不能與其他虛擬網路重疊。請據此規劃您的網路組態。

登入 Azure 入口網站。
在入口網站頁面頂端的 [搜尋資源、服務和文件 (G+/)] 中，輸入虛擬網路。從 Marketplace 搜尋結果中選取虛擬網路，以開啟 [虛擬網路] 頁面。
在 [虛擬網路] 頁面上，選取 [建立] 以開啟 [建立虛擬網路] 頁面。
在 [基本] 索引標籤上，設定 [專案詳細資料] 和 [執行個體詳細資料] 的虛擬網路設定。當您輸入的值經過驗證後，即會顯示綠色的核取記號。您可以根據所需設定來調整範例中顯示的值。
- 訂用帳戶：確認列出的訂用帳戶是否正確。您可以使用下拉式方塊變更訂用帳戶。
- 資源群組：選取現有的資源群組，或選取 [新建] 以建立新的資源群組。如需有關資源群組的詳細資訊，請參閱 Azure Resource Manager 概觀。
- 名稱：輸入虛擬網路的名稱。
- 區域：選取虛擬網路的位置。這會決定您部署到此虛擬網路的資源存留位置。
選取 [下一步] 或 [安全性] 以移至 [安全性] 索引標籤。在此練習中，請保留此頁面上所有服務的預設值。
選取 [IP 位址] 以移至 [IP 位址] 索引標籤。在 [IP 位址] 索引標籤上完成設定。
- IPv4 位址空間：依預設，系統會自動建立位址空間。您可以選取位址空間並加以調整，以反映自己的值。您也可以新增不同的位址空間，並移除自動建立的預設值。例如，您可以將開始位址指定為 10.1.0.0，並將位址空間大小指定為 /16。然後選取 [新增]，以新增該位址空間。
- + 新增子網路：如果您使用預設的位址空間，則系統會自動建立預設子網路。如果您變更位址空間，請在該位址空間內新增子網路。選取 [+ 新增子網路] 以開啟 [新增子網路] 視窗。完成以下設定，然後在頁面底部選取 [新增] 以新增值。
  - 子網路名稱：例如 FrontEnd。
  - 子網路位址範圍︰此子網路的位址範圍。例如 10.1.0.0 和 /24。
檢閱 [IP位址] 頁面，並移除您不需要的任何位址空間或子網路。
選取 [檢閱 + 建立] 來驗證虛擬網路設定。
驗證設定之後，請選取 [建立] 以建立虛擬網路。

建立虛擬網路之後，您可以選擇性地設定 Azure DDoS 保護。 Azure DDoS 保護很容易在任何新的或現有的虛擬網路上啟用，而且不需要任何應用程式或資源變更。如需 Azure DDoS 保護的詳細資訊，請參閱什麼是 Azure DDoS 保護？。

建立閘道子網路

虛擬網路閘道需要稱為 GatewaySubnet 的特定子網路。閘道子網路是虛擬網路 IP 位址範圍的一部份，包含虛擬網路閘道資源和服務所使用的 IP 位址。

當您建立閘道子網路時，您可指定子網路包含的 IP 位址數目。所需的 IP 位址數目取決於您想要建立的 VPN 閘道組態。有些組態需要的 IP 位址比其他組態多。最好為您的閘道子網路指定 /27 或更大範圍 (/26、/25 等)。

如果您看到錯誤指出位址空間與子網路重疊，或子網路未包含在虛擬網路的位址空間內，請檢查您的虛擬網路位址範圍。您為虛擬網路所建立的位址範圍中可能沒有足夠的可用 IP 位址。例如，如果您的預設子網路包含整個位址範圍，則沒有剩餘任何 IP 位址可供建立更多子網路。您可以調整現有位址空間內的子網路以釋出 IP 位址，也可以指定其他位址範圍並於該處建立閘道子網路。

在虛擬網路頁面的左側窗格中，選取 [子網路] 以開啟 [子網路] 頁面。
在頁面頂端選取 [+ 閘道子網路]，以開啟 [新增子網路] 窗格。
名稱會自動輸入為 GatewaySubnet。視需要調整 IP 位址範圍值。例如 10.1.255.0/27。
請勿調整頁面上的其他值。選取頁面底部的 [儲存] 以儲存子網路。

建立 VPN 閘道

在此步驟中，您會為虛擬網路建立虛擬網路網關。建立閘道通常可能需要 45 分鐘或更久，視選取的閘道 SKU 而定。

建立閘道

使用下列值建立虛擬網路閘道（VPN 閘道）：

名稱：VNet1GW
區域：美國東部
閘道類型：VPN
SKU：VpnGw2
世代：第 2 代
虛擬網路：VNet1
閘道子網路位址範圍：10.1.255.0/27
公用 IP 位址：新建
公用 IP 位址名稱：VNet1GWpip
啟用主動-主動模式：已停用
設定 BGP：已停用

在 [搜尋資源、服務和文件 (G+/)] 中，輸入虛擬網路閘道。在 Marketplace 搜尋結果中找出並選取虛擬網路閘道，以開啟 [建立虛擬網路閘道] 頁面。
在 [基本] 索引標籤中，填入 [專案詳細資料] 和 [執行個體詳細資料] 的值。
- 訂用帳戶：從下拉式清單選取您想要使用的訂用帳戶。
- 資源群組：在此頁面上選取您的虛擬網路時，系統會自動填入此設定。
- 名稱：為您的閘道命名。為您的閘道命名與為閘道子網路命名不同。這是您要建立之閘道物件的名稱。
- 區域：選取您要在其中建立此資源的區域。閘道的區域必須與虛擬網路相同。
- 閘道類型︰選取 [VPN]。 VPN 閘道使用 VPN 虛擬網路閘道類型。
- SKU：在下拉清單中，選取可支援所用功能的閘道 SKU。請參閱閘道 SKU。在入口網站中，下拉式清單中可用的 SKU 是取決於所選 VPN type。您只能使用 Azure CLI 或 PowerShell 設定基本 SKU。您無法在 Azure 入口網站中設定基本 SKU。
- 世代：選取您要使用的世代。我們建議您使用第 2 代 SKU。如需詳細資訊，請參閱閘道 SKU。
- 虛擬網路：在下拉式清單中，選取您要新增此閘道的虛擬網路。如果您看不到想要建立閘道的虛擬網路，請確定您在先前設定中選取了正確的訂用帳戶和區域。
- 閘道子網路位址範圍或子網路：建立 VPN 閘道所需的閘道子網路。
  
  在此情況中，此欄位有幾種不同的行為，這取決於虛擬網路位址空間，以及您是否已為虛擬網路建立名為 GatewaySubnet 的子網路。
  
  如果您沒有閘道子網路，「並且」看不到此頁面上建立閘道子網路的選項，請返回您的虛擬網路並建立閘道子網路。然後，返回此頁面並設定 VPN 閘道。

指定 [公用 IP 位址] 的值。這些設定可指定會與 VPN 閘道建立關聯的公用 IP 位址物件。建立 VPN 閘道時，系統會將公用 IP 位址指派給此物件。主要公用 IP 位址只會在刪除或重新建立閘道時變更。它不會因為重新調整、重設或 VPN 閘道的其他內部維護/升級而變更。
- 公用IP位址類型：在此練習中，如果您可選擇位址類型選項，請選取 [標準] 。
- 公用 IP 位址：將 [新建] 維持已選取狀態。
- 公用 IP 位址名稱：在文字輸入框中，輸入公用 IP 位址執行個體的名稱。
- 公用 IP 位址 SKU：系統會自動選取該設定。
- 指派：系統通常會自動選取指派，指派可以是「動態」或「靜態」。
- 啟用主動-主動模式：選取 [已停用]。只有當您要建立「主動-主動」閘道設定時，才能啟用此設定。
- 設定 BGP：選取 [已停用] (除非您的設定特別需要此設定)。如果您需要此設定，則預設的 ASN 為 65515，不過您可以變更此值。
選取 [檢閱 + 建立] 以執行驗證。
驗證通過後，選取 [建立] 以部署 VPN 閘道。

您可以在閘道的 [概觀] 頁面上看到部署狀態。閘道最多可能需要 45 分鐘的時間才能完全建立和部署。建立閘道之後，您可以查看入口網站中的虛擬網路，以檢視指派給閘道的IP位址。閘道會顯示為已連接的裝置。

重要

使用閘道子網路時，請避免將網路安全性群組 (NSG) 與閘道子網路產生關聯。將網路安全性群組與此子網路產生關聯，可能會導致您的虛擬網路閘道 (VPN 與 ExpressRoute 閘道) 如預期停止運作。如需有關網路安全性群組的詳細資訊，請參閱什麼是網路安全性群組？。

檢視公用 IP 位址

您可以在閘道的 [概觀] 頁面上，檢視閘道的公用 IP 位址。

若要查看公用 IP 位址物件的詳細資訊，請選取 [公用 IP 位址] 旁的 [名稱/IP 位址] 連結。

建立局域網路閘道

局域網路網關是特定物件，代表您的內部部署位置（月台）進行路由。您可以為網站指定 Azure 可以參考的名稱，然後指定您建立連線之內部部署 VPN 裝置的 IP 位址。您也會指定透過 VPN 閘道路由傳送至 VPN 裝置的 IP 位址前置綴。您指定的位址首碼是位於內部部署網路上的首碼。如果您的內部部署網路變更，或您需要變更 VPN 裝置的公用 IP 位址，您稍後可以輕鬆地更新這些值。

使用下列值建立區域網路閘道：

名稱：Site1
資源群組︰TestRG1
位置：美國東部

在 Azure 入口網站中，於 [搜尋資源、服務和檔] 中輸入局域網路網關。 在搜尋結果中找出 Marketplace 底下的局域網路閘道，然後選取它以開啟 [建立局域網路閘道] 頁面。
在 [ 建立局域網络網關] 頁面上的 [基本] 索引 卷標上，指定局域網路網關的值。
- 訂用帳戶：確認顯示正確的訂用帳戶。
- 資源群組：選取您想要使用的資源群組。您可以建立新的資源群組，或選取您已建立的資源群組。
- 區域：選取將建立此對象的區域。您可能想要選取虛擬網路所在的相同位置，但不需要這麼做。
- 名稱： 指定區域網路閘道物件的名稱。
- 端點：選取內部部署 VPN 裝置的端點類型作為 IP 位址或 FQDN（完整功能變數名稱）。
  - IP 位址：如果您的 VPN 裝置有從因特網服務提供者（ISP）配置的靜態公用 IP 位址，請選取 [IP 位址] 選項。填入IP位址，如範例所示。此位址是您想要 Azure VPN 閘道連線之 VPN 裝置的公用 IP 位址。如果您目前沒有IP位址，您可以使用範例中顯示的值。之後，您必須返回，並以 VPN 裝置的公用 IP 位址取代佔位元 IP 位址。否則，Azure 無法連線。
  - FQDN：如果您有動態公用 IP 位址，可能會在一段時間後變更，通常由 ISP 決定，您可以使用固定 DNS 名稱搭配動態 DNS 服務，指向您 VPN 裝置目前的公用 IP 位址。您的 Azure VPN 閘道會解析 FQDN，以判斷要連線的公用 IP 位址。
- 位址空間：位址空間是指此局域網路所代表網路的位址範圍。您可以新增多個位址空間範圍。請確定在此處指定的範圍不會與您想要連線的其他網路範圍重疊。 Azure 會將您指定的位址範圍路由傳送至內部部署 VPN 裝置 IP 位址。 如果您想要連線到您的內部部署網站，而不是範例中顯示的值，請使用您自己的值。
注意
- Azure VPN 閘道每個 FQDN 僅支援一個 IPv4 位址。如果功能變數名稱解析為多個IP位址，VPN 閘道會使用 DNS 伺服器傳回的第一個IP位址。若要消除不確定性，我們建議您的 FQDN 一律解析成單一 IPv4 位址。不支援 IPv6。
- VPN 閘道會維護每隔 5 分鐘重新整理的 DNS 快取。網關只會嘗試解析已中斷連線通道的 FQDN。重設閘道也會觸發 FQDN 解析。
- 雖然 Azure VPN 閘道支援使用不同 FQDN 連線到不同局域網路閘道的多個連線，但所有 FQDN 都必須解析為不同的 IP 位址。
在 [ 進階 ] 索引標籤上，您可以視需要設定 BGP 設定。
指定值之後，請選取頁面底部的 [ 檢閱 + 建立 ] 來驗證頁面。
選取 [建立] 以建立區域網路閘道物件。

設定 VPN 裝置

內部部署網路的站對站連線需要 VPN 裝置。在此步驟中，設定 VPN 裝置。當您設定 VPN 裝置時，您需要下列值：

共用金鑰：此共用金鑰與您建立站對站 VPN 連線時所指定的金鑰相同。在我們的範例中，我們會使用基本的共用金鑰。我們建議您產生更複雜的金鑰以供使用。
虛擬網路閘道的公用IP位址：您可以使用 Azure 入口網站、PowerShell 或 Azure CLI 來檢視公用IP位址。若要使用 Azure 入口網站尋找 VPN 閘道的公用 IP 位址，請移至 [虛擬網路閘道]，然後選取閘道的名稱。

視您擁有的 VPN 裝置而定，您可能可以下載 VPN 裝置組態腳本。如需詳細資訊，請參閱下載 VPN 裝置組態指令碼。

如需詳細資訊，請參閱下列連結：

如需相容 VPN 裝置的相關信息，請參閱 VPN 裝置。
設定 VPN 裝置之前，請先檢查您想要使用之 VPN 裝置的任何已知裝置相容性問題。
如需裝置組態設定的連結，請參閱已驗證的 VPN 裝置。會以最佳方式來提供裝置組態連結。最好一律洽詢您的裝置製造商以取得最新的組態資訊。此清單會顯示我們已測試的版本。如果您的OS不在該清單中，則版本仍可能相容。請洽詢您的裝置製造商，確認 VPN 裝置的 OS 版本是否相容。
如需 VPN 裝置設定的概觀，請參閱第三方 VPN 裝置組態的概觀。
如需編輯裝置組態範例的相關資訊，請參閱編輯範例。
如需密碼編譯需求，請參閱關於密碼編譯需求和 Azure VPN 閘道。
如需 IPsec/IKE 參數的相關信息，請參閱關於站對站 VPN 網關聯機的 VPN 裝置和 IPsec/IKE 參數。此鏈接會顯示 IKE 版本、Diffie-Hellman 群組、驗證方法、加密和哈希演算法、SA 存留期、PFS 和 DPD 的相關信息，以及您需要完成設定的其他參數資訊。
如需 IPsec/IKE 原則設定步驟，請參閱設定站對站 VPN 或 VNet 對 VNet 連線的 IPsec/IKE 原則。
若要連線多個以原則為基礎的 VPN 裝置，請參閱使用 PowerShell 將 Azure VPN 閘道連線至多個內部部署以原則為基礎的 VPN 裝置。

建立 VPN 連線

建立虛擬網路閘道與內部部署 VPN 裝置之間的站對站 VPN 連線。

使用下列值建立連線：

局域網路閘道名稱：Site1
連線 ion 名稱：VNet1toSite1
共用金鑰：在此範例中，您會使用 abc123。但是，您可以使用任何與 VPN 硬體相容的專案。重要的是，值會比對連接兩側。

移至您的虛擬網路。在虛擬網路頁面上的左側，選取 連線裝置。找出您的 VPN 閘道，然後選取它以開啟它。
在閘道的頁面上，選取 [連線]。
在 [連線 ions] 頁面頂端，選取 [+ 新增] 以開啟 [建立連線] 頁面。
在 [建立連線] 頁面上的 [基本] 索引標籤上，設定連線的值：
- 在 [專案詳細數據] 底下，選取您的資源所在的訂用帳戶和資源群組。
- 在 [實例詳細數據] 底下，設定下列設定：
  - 連線 ion 類型：選取 [站對站 ][IPSec]。
  - 名稱： 為連線命名。
  - 區域： 選取此連線的區域。
選取 [設定] 索引標籤並設定下列值：
- 虛擬網路閘道：從下拉式清單中選取虛擬網路閘道。
- 局域網路閘道：從下拉式清單中選取局域網路閘道。
- 共用金鑰：這裡的值必須符合您用於本機內部部署 VPN 裝置的值。
- IKE 通訊協定：選取 [IKEv2]。
- 使用 Azure 私人 IP 位址：不要選取。
- 啟用 BGP：不要選取。
- FastPath：不要選取。
- IPsec/IKE 原則： 選取 [預設]。
- 使用以原則為基礎的流量選取器：選取 [ 停用]。
- DPD 逾時以秒為單位：選取 45。
- 連線模式：選取 [預設值]。此設定可用來指定可起始連線的閘道。如需詳細資訊，請參閱 VPN 閘道設定 - 連線模式。
針對 NAT 規則關聯，將輸入和輸出保留為 0。
選取 [ 檢閱 + 建立 ] 來驗證您的連線設定。
選取建立建立連接。
部署完成後，您可以在虛擬網路網關的 [連線 ions] 頁面上檢視連線。狀態會從 [未知] 變更為 [連線]，然後變更為 [成功]。

設定更多連線設定（選擇性）

您可以視需要為連線設定更多設定。否則，請略過本節並保留預設值。如需詳細資訊，請參閱設定自定義 IPsec/IKE 連線原則。

移至您的虛擬網路閘道，然後選取 [連線]，以開啟 [連線 ions] 頁面。
選取您要設定的連線名稱，以開啟 [連線 ion] 頁面。
在 [連線 ion] 頁面的左側，選取 [組態] 以開啟 [組態] 頁面。進行任何必要的變更，然後選取 [ 儲存]。

在下列螢幕快照中，會啟用設定，讓您可以看到入口網站中可用的組態設定。選取螢幕快照以查看展開的檢視。當您設定連線時，只設定所需的設定。否則，請保留預設設定。

確認 VPN 連線

在 Azure 入口網站中，您可以移至連線，檢視 VPN 閘道的連線狀態。下列步驟顯示前往連線並驗證的一種方式。

在 [Azure 入口網站] 功能選單上，選取 [所有資源] 或搜尋，然後從任何頁面上選取 [所有資源]。
選取您的虛擬網路閘道。
在虛擬網路閘道的窗格中，選取 [連線]。 您可以看到每個連線的狀態。
選取您要驗證以開啟 Essentials 的連接名稱。在 [ 基本資訊 ] 窗格中，您可以檢視連線的詳細資訊。狀態為 [成功]，且在您成功連線之後連線。

連接到虛擬機器

您可以建立 VM 的遠端桌面連線，以連線至已部署至虛擬網路的 VM。一開始確認您可以連線至 VM 的最佳方法是使用其私人 IP 位址 (而不是電腦名稱) 進行連線。這樣一來，您會測試以查看您是否可以連線，而不是否已正確設定名稱解析。

找出私人 IP 位址。在 Azure 入口網站中或使用 PowerShell 查看 VM 的屬性，即可找到 VM 的私人 IP 位址。

Azure 入口網站：在 Azure 入口網站中尋找您的 VM。檢視 VM 的屬性。系統會列出私人 IP 位址。

PowerShell：使用範例來檢視資源群組中的 VM 和私人 IP 位址清單。使用此範例前，您不需要加以修改。

$VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null

foreach ($Nic in $Nics) {
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}

確認您已連線至虛擬網路。
在工作列上的搜尋方塊中輸入「RDP」或「遠端桌面連線」以開啟 [遠端桌面連線]。然後選取 [遠端桌面連線]。您也可以在 PowerShell 中使用 mstsc 命令，開啟 [遠端桌面連線]。
在 [遠端桌面連線] 中，輸入 VM 的私人 IP 位址。您可以選取 [顯示選項]，調整其他設定，然後進行連線。

如果您無法透過 VPN 連線與 VM 連線，請檢查下列幾點：

確認您的 VPN 連線成功。
確認您正連線至 VM 的私人 IP 位址。
如果您可以使用私人 IP 位址來連線至 VM，但無法使用電腦名稱連線，請確認您已正確設定 DNS。如需 VM 的名稱解析運作方式的詳細資訊，請參閱 VM 的名稱解析。

如需 RDP 連線的詳細資訊，請參閱對 VM 的遠端桌面連線進行疑難排解。

選擇性步驟

本節說明可供您使用的選項。

調整閘道 SKU 的大小

有關於重設大小與變更閘道 SKU 的特定規則。在本節中，您會調整 SKU 的大小。如需詳細資訊，請參閱閘道 SKU 的大小調整或變更。

移至虛擬網路閘道的 [設定] 頁面。
在頁面右側，選取下拉式箭號以顯示可用的 SKU 清單。

請注意，清單只會填入您可用來調整目前 SKU 大小的 SKU。如果您沒有看到想使用的 SKU，則必須變更為新的 SKU，而不是調整大小。
從下拉式清單中選取 SKU。

重設閘道

如果您遺失一或多個站對站 VPN 通道上的跨單位 VPN 連線，重設 Azure VPN 閘道會很有幫助。在此情況下，您的所有內部部署 VPN 裝置都會運作正常，但無法使用 Azure VPN 閘道建立 IPsec 通道。

在入口網站中，按一下您想要重設的虛擬網路閘道。
在 [虛擬網路閘道] 頁面上的左窗格中，向下捲動至 [重設]。
在 [重設] 頁面上，選取 [重設]。發出此命令後，會立即重新啟動 Azure VPN 閘道目前作用中的執行個體。重設閘道會導致 VPN 連線中斷，而且可能會限制未來對該問題進行根本原因分析。

新增另一個連線

您可以從相同的 VPN 閘道建立多個內部部署網站的連線。如果您想要設定多個連線，位址空間不能在任何連線之間重疊。

若要新增另一個連線，請移至 VPN 閘道，然後選取 [連線]，以開啟 [連線 ions] 頁面。
選取 [+ 新增 ] 以新增您的連線。調整連線類型以反映網路對網路（如果連接到另一個虛擬網路閘道），或站對站。
如果您使用站對站連線，而且尚未為想要連線的月臺建立局域網路網關，您可以建立新的局域網路閘道。
指定您想要使用的共用密鑰，然後選取 [ 確定 ] 以建立連線。

清除資源

如果您不打算繼續使用此應用程式或移至下一個教學課程，請刪除這些資源。

在入口網站頂端的 [搜尋] 方塊中輸入您的資源群組，然後從搜尋結果中進行選取。
選取 [刪除資源群組]。
針對 [輸入資源群組名稱] 輸入您的資源群組，然後選取 [刪除]。

下一步

設定站對站連線之後，您可以將點對站連線新增至相同的網關。

點對站 VPN 連線

教學課程：在 Azure 入口網站中建立站對站 VPN 連線

必要條件

建立虛擬網路

建立閘道子網路

建立 VPN 閘道