Руководство: Создание VPN-соединения пользователя P2S с помощью Azure Virtual WAN — аутентификация с использованием сертификата или RADIUS.

В этом руководстве показано, как использовать Virtual WAN для подключения к ресурсам в Azure. В этом руководстве вы создадите пользовательское VPN-подключение "точка-к-сети" через OpenVPN или IPsec/IKE (IKEv2) с помощью портала Azure. Для этого типа подключения на каждом клиентском компьютере должен быть настроен собственный VPN-клиент.

• Эта статья применима к проверке подлинности сертификата и RADIUS. Сведения о проверке подлинности Microsoft Entra см. в разделе Настройка VPN-подключения пользователя — проверка подлинности Microsoft Entra.
• Дополнительные сведения о Virtual WAN см. в разделе Virtual WAN Обзор.

В этом руководстве описано следующее:

Предварительные условия

• У вас есть подписка Azure. Если у вас нет подписки Azure, создайте учетную запись free.

• У вас есть виртуальная сеть, к которой вы хотите подключиться.

  • Ни одна из подсетей локальной сети не должна перекрывать виртуальные сети, к которым вы хотите подключиться.

  • Сведения о создании виртуальной сети на портале Azure см. в статье Quickstart.

    В этом упражнении мы использовали следующие примеры значений для создания виртуальной сети. Эти значения можно изменить при создании собственной виртуальной сети.

    Параметр	Ценность
    Группа ресурсов	TestRG
    Имя	VNet1
    Расположение/регион	Восточная часть США
    Диапазон IPv4-адресов	10.11.0.0/16

• В вашей виртуальной сети не должно быть шлюзов виртуальной сети.

  • Если в виртуальной сети уже есть шлюзы (VPN или ExpressRoute), необходимо удалить их все, прежде чем продолжать работу.
  • Для этой конфигурации требуется, чтобы виртуальные сети подключались только к шлюзу концентратора Virtual WAN.

• Выберите диапазон IP-адресов, который вы хотите использовать для пространства частных адресов виртуального концентратора. Эти сведения используются при настройке виртуального концентратора. Виртуальный концентратор — это виртуальная сеть, которая создается и используется Virtual WAN. Это ядро вашей Virtual WAN сети в регионе. Диапазон адресного пространства должен соответствовать определенным правилам:

  • Диапазон адресов, который вы указываете для концентратора, не может пересекаться с любой из существующих виртуальных сетей, к которым вы подключаетесь.
  • Указанный диапазон не может пересекаться с диапазонами локальных адресов, к которым вы подключаетесь.
  • Если вы не знаете диапазоны IP-адресов в своей конфигурации локальной сети, обратитесь к специалисту, который сможет предоставить вам нужную информацию.

Создание виртуальной глобальной сети

1. На портале в строке Search resources введите Virtual WAN в поле поиска и выберите Enter.

2. Выберите Виртуальные глобальные сети в результатах. На странице "Виртуальные глобальные сети" щелкните + Создать, чтобы открыть страницу Создание глобальной сети.

3. На странице Создание глобальной сети на вкладке Основные сведения заполните поля. Замените примеры значений на соответствующие для вашей среды.

   

   • Подписка. Выберите подписку, которую вы хотите использовать.
   • Группа ресурсов. Создайте новую группу ресурсов или используйте имеющуюся.
   • Расположение группы ресурсов. Выберите расположение ресурсов из раскрывающегося списка. Глобальная сеть — это глобальный ресурс, который не располагается в определенном регионе. Но вы должны выбрать регион, чтобы находить созданный вами ресурс глобальной сети и управлять им.
   • Имя. Введите имя своей виртуальной глобальной сети.
   • Тип. "Базовый" или "Стандартный". Выберите Стандартное. Если вы выбрали "Базовый", учтите, что виртуальные сети уровня "Базовый" могут включать центры только такого же уровня. Центры уровня "Базовый" можно использовать только для подключений "сеть — сеть".

4. Заполнив поля, нажмите кнопку Просмотреть и создать внизу страницы.

5. После прохождения проверки нажмите кнопку Создать, чтобы создать виртуальную глобальную сеть.

создание пользовательской конфигурации VPN;

Конфигурация пользовательского VPN (P2S) определяет параметры для подключения удалённых клиентов. Перед созданием шлюза P2S в концентраторе создаются пользовательские конфигурации VPN. Можно создать несколько пользовательских конфигураций VPN. При создании шлюза P2S выберите пользовательскую конфигурацию VPN, которую нужно использовать.

Инструкции, которым вы следуете, зависят от метода аутентификации, который вы хотите использовать. В этом упражнении мы выбираем OpenVpn и IKEv2 и проверку подлинности на основе сертификата. Однако доступны и другие конфигурации. Каждый способ проверки подлинности имеет определенные требования.

• Azure сертификаты: Для этой конфигурации требуются сертификаты. Сертификаты необходимо создать или получить. Для каждого клиента требуется отдельный сертификат клиента. Кроме того, необходимо отправить сведения о корневом сертификате (открытый ключ). Дополнительные сведения о необходимых сертификатах см. в разделе Создание и экспорт сертификатов.

• Проверка подлинности на основе RADIUS. Получите IP-адрес сервера RADIUS, секрет сервера RADIUS и сведения о сертификате.

• Аутентификация Microsoft Entra: См. Настройку подключения пользователя VPN - аутентификация Microsoft Entra.

Шаги настройки

1. Перейдите к созданной виртуальной глобальной сети.

2. В меню слева выберите Пользовательские конфигурации VPN.

3. На странице Пользовательские конфигурации VPN выберите Создать пользовательскую конфигурацию VPN.

4. На странице Создание пользовательской конфигурации VPN на вкладке Основные в разделе Сведения об экземпляре введите значение для поля Имя для вашей конфигурации VPN.

   

5. В раскрывающемся списке Тип туннеля выберите нужное значение. Доступные типы туннелей: IKEV2 VPN, OpenVPN и OpenVPN и IKEv2. Каждый тип туннеля имеет свои обязательные параметры. Выбранный тип туннеля соответствует доступным вариантам проверки подлинности.

   Требования и параметры:

   IKEv2 VPN

   • Требования: Если выбран тип туннеля IKEv2, то отобразится сообщение, предлагающее выбрать способ аутентификации. Для IKEv2 можно указать несколько методов проверки подлинности. Вы можете выбрать Azure сертификат, проверку подлинности на основе RADIUS или оба варианта.

   • Пользовательские параметры IPsec. Чтобы задать настройки для этапа IKE 1 и этапа IKE 2, установите переключатель IPsec в положение Пользовательские и выберите значения параметров. Дополнительные сведения о настройке см. в статье о пользовательских параметрах IPsec.

   OpenVPN.

   • Требования. Если вы выбрали тип туннеля OpenVPN, то отобразится сообщение о необходимости выбрать механизм аутентификации. Если OpenVPN выбран в качестве типа туннеля, можно указать несколько методов проверки подлинности. Вы можете выбрать любое подмножество сертификата Azure, Microsoft Entra ID или проверки подлинности на основе RADIUS. Для проверки подлинности на основе протокола RADIUS можно указать дополнительный IP-адрес RADIUS-сервера и секрет сервера.

   OpenVPN и IKEv2

   • Требования. При выборе типа туннеля OpenVPN и IKEv2 вы увидите сообщение, направляющее вас к выбору механизма проверки подлинности. Если в качестве типа туннеля выбраны OpenVPN и IKEv2 , можно указать несколько методов проверки подлинности. Вы можете выбрать Microsoft Entra ID вместе с Azure сертификатом или проверкой подлинности на основе RADIUS. Для проверки подлинности на основе протокола RADIUS можно указать дополнительный IP-адрес RADIUS-сервера и секрет сервера.

6. Настройте способы проверки подлинности, которые вы хотите использовать. Каждый метод проверки подлинности находится на отдельной вкладке: Azure certificate, RADIUS authentication и Microsoft Entra ID. Некоторые способы проверки подлинности доступны только для определенных типов туннелей.

   На вкладке способа проверки подлинности, который вы хотите настроить, выберите Да, чтобы просмотреть доступные параметры конфигурации.

   • Пример: проверка подлинности на основе сертификата

     Для настройки этого параметра тип туннеля на странице "Основное" может быть IKEv2, OpenVPN или OpenVPN и IKEv2.

     

   • Пример: проверка подлинности RADIUS

     Чтобы настроить этот параметр, тип туннеля на странице "Основы" можно использовать Ikev2, OpenVPN или OpenVPN и IKEv2.

     

   • Образец — аутентификация Microsoft Entra

     Чтобы настроить этот параметр, тип туннеля на странице "Основы" должен быть OpenVPN. проверка подлинности на основе Microsoft Entra ID поддерживается только в OpenVPN.

     

7. Когда вы закончите настройку параметров, щелкните Проверка и создание внизу страницы.

8. Нажмите Создать, чтобы создать пользовательскую конфигурацию VPN.

Создание виртуального концентратора и шлюза

Страница "Основные сведения"

1. Откройте только что созданную виртуальную глобальную сеть. На странице "Виртуальная глобальная сеть" в разделе Возможность подключения выберите Концентраторы.

2. На странице Центры выберите +Новый центр, чтобы открыть страницу Создание виртуального центра.

   

3. На вкладке Основные сведения страницы Создание виртуального концентратора заполните следующие поля:

   • Регион: выберите регион, в котором требуется развернуть виртуальный центр.
   • Имя: имя виртуального центра.
   • Пространство частных адресов концентратора: диапазон адресов концентратора в нотации CIDR. Минимальное адресное пространство для создания узла — /24.
   • Емкость виртуального концентратора: выберите вариант из раскрывающегося списка. Дополнительные сведения о параметрах виртуальных концентраторов см. на этой странице.
   • Параметр маршрутизации узла: оставьте параметр по умолчанию (ExpressRoute), если у вас нет конкретной необходимости изменить это поле. Дополнительные сведения см. в разделе Предпочтение маршрутизации виртуального концентратора.

Перейти на страницу сайта

1. Перейдите на вкладку Точка — сеть, чтобы открыть страницу настройки подключения "точка — сеть". Чтобы просмотреть параметры «точка-сайт», нажмите Да.

   

2. Настройте следующие параметры:

   • Единицы масштабирования шлюза — совокупная емкость VPN-шлюза пользователя. Если вы выбрали 40 или более единиц масштабирования шлюза, спланируйте пул адресов клиентов соответствующим образом. Сведения о том, как этот параметр влияет на пул адресов клиента, см. в статье Общие сведения о пулах клиентских адресов. Для получения информации о единицах масштабирования шлюза см. раздел с часто задаваемыми вопросами.

   • Наведите указатель на конфигурацию сайта. Выберите конфигурацию VPN пользователя, созданную на предыдущем шаге.

   • параметр Routing — параметр маршрутизации Azure позволяет выбрать маршруты трафика между Azure и Интернетом. Вы можете выбрать передачу трафика через сеть Майкрософт или сети поставщиков услуг Интернета (общедоступный Интернет). Эти варианты также называются маршрутизацией "холодной картошки" и "горячей картошки" соответственно. Общедоступный IP-адрес в Virtual WAN назначается службой на основе выбранного параметра маршрутизации. Дополнительные сведения о предпочтении маршрутизации через сеть Microsoft или интернет-провайдера см. в статье предпочтение маршрутизации.

   • Использовать удаленный или локальный сервер RADIUS. Когда VPN-шлюз Virtual WAN пользователя настроен для использования проверки подлинности на основе RADIUS, VPN-шлюз пользователя выступает в качестве прокси-сервера и отправляет запросы доступа RADIUS на сервер RADIUS. Параметр "Использовать удаленный или локальный сервер RADIUS" отключен по умолчанию, то есть пользовательский VPN-шлюз будет иметь возможность перенаправлять запросы на проверку подлинности только на серверы RADIUS в виртуальных сетях, подключенных к концентратору шлюза. Включение этого параметра позволит пользовательскому VPN-шлюзу пользователя проходить проверку подлинности с помощью серверов RADIUS, подключенных к удаленным концентраторам или развернутых локально.

     Примечание.

     Настройка удаленного или локального сервера RADIUS и связанных IP-адресов прокси используется только в том случае, если шлюз настроен для использования проверки подлинности на основе RADIUS. Если шлюз не настроен на использование проверки подлинности на основе RADIUS, этот параметр будет проигнорирован.

     Параметр "Использовать удаленный или локальный RADIUS-сервер" необходимо включить, если пользователи вместо профиля на основе концентратора будут подключаться к глобальному профилю VPN. Дополнительные сведения см. в статье о глобальных профилях и профилях на основе концентратора.

     После создания VPN-шлюза пользователя, перейдите к этому шлюзу и обратите внимание на поле с IP-адресами прокси-сервера RADIUS. IP-адреса прокси-сервера RADIUS являются исходными адресами пакетов RADIUS, которые пользовательский VPN-шлюз отправляет на сервер RADIUS. Поэтому сервер RADIUS должен быть настроен для приема запросов проверки подлинности от IP-адресов прокси-сервера RADIUS. Если поле IP-адресов прокси-сервера RADIUS не заполнено или отсутствует, настройте сервер RADIUS на прием запросов проверки подлинности из диапазона IP-адресов концентратора.

     Кроме того, убедитесь, что ассоциации и распространение подключения (виртуальной сети или локальной сети), на котором размещается сервер RADIUS, распространяются на defaultRouteTable хаба, развернутого с использованием VPN-шлюза «Point-to-site», и что конфигурация VPN «Point-to-site» распространяется на таблицу маршрутов подключения, на котором размещен сервер RADIUS. Это обязательно, чтобы убедиться, что шлюз может взаимодействовать с сервером RADIUS и наоборот.

     

   • Клиентский пул адресов — пул адресов, из которого IP-адреса будут автоматически назначаться VPN-клиентам. Пулы адресов должны отличаться. Перекрытие между пулами адресов недопустимо. Дополнительные сведения см. в статье О пулах клиентских адресов.

   • Пользовательские DNS-серверы — IP-адрес DNS-серверов, которые будут использоваться клиентами. Можно указать максимум 5 адресов.

3. Чтобы проверить параметры, выберите Просмотр и создание.

4. После завершения проверки нажмите кнопку Создать. На создание концентратора требуется не менее 30 минут.

При создании нового концентратора вы можете заметить предупреждение на портале, ссылающееся на версию маршрутизатора. Иногда это происходит при настройке маршрутизатора. После завершения полной настройки маршрутизатора сообщение больше не появится.

Создание файлов конфигурации клиента

При подключении к виртуальной сети с помощью пользовательского VPN (P2S) можно использовать VPN-клиент, встроенный в операционную систему на компьютере, с которого подключаетесь. Все необходимые параметры конфигурации для VPN-клиентов содержатся в ZIP-файле конфигурации VPN-клиента. Параметры в этом ZIP-файле помогут вам с легкостью настроить VPN-клиенты. Файлы конфигурации VPN-клиента, которые вы создаете, относятся только к конфигурации VPN пользователя для вашего шлюза. В этом разделе вы создаете и скачиваете файлы, используемые для настройки VPN-клиентов.

Существует два разных типа профилей конфигурации, которые можно скачать: глобальный и центральный. Глобальный профиль — это профиль конфигурации на уровне глобальной сети. После скачивания профиля конфигурации на уровне глобальной сети у вас будет встроенный пользовательский профиль VPN на основе Диспетчера трафика. При использовании глобального профиля, если по какой-то причине узел недоступен, встроенное управление трафиком, предоставляемое службой, обеспечивает подключение через другой узел к ресурсам Azure для пользователей с подключением "точка-сеть". Чтобы получить дополнительные сведения или скачать пакет конфигурации VPN-клиента на уровне концентратора, посетите страницу Глобальные и центральные профили.

1. Чтобы создать пакет конфигурации VPN-клиента глобального профиля уровня глобальной сети, перейдите в виртуальную глобальную сеть (а не виртуальный концентратор).

2. В области слева выберите Пользовательские конфигурации VPN.

3. Выберите конфигурацию, для которой нужно скачать профиль. Если у вас несколько центров, назначенных одному профилю, разверните профиль, чтобы отобразить концентраторы, а затем выберите один из центров, использующих профиль.

4. Нажмите Скачать профиль VPN пользователя виртуальной глобальной сети.

5. На странице скачивания выберите EAPTLS, а затем — Создать и скачать профиль. Будет создан и скачан на ваш компьютер пакет профиля (ZIP-файл) с параметрами конфигурации клиента. Содержимое пакета данных зависит от выбора параметров проверки подлинности и туннелирования для вашей конфигурации.

Настройка VPN-клиентов

Используйте скачанный пакет профиля для настройки собственного VPN-клиента на компьютере. Процедуры для каждой операционной системы отличаются, Следуйте инструкциям, которые применимы к вашей системе. Завершив настройку клиента, можно установить подключение.

IKEv2

Если вы указали тип VPN-туннеля IKEv2, можно настроить собственный VPN-клиент (Windows и macOS Catalina или более поздней версии).

Следующие действия предназначены для Windows. Сведения о macOS см. в статье Настройка VPN-клиентов P2S — собственный VPN-клиент — шаги macOS .

1. Выберите файлы конфигурации VPN-клиента, соответствующие архитектуре Windows компьютера. Для 64-разрядной архитектуры процессора выберите пакет установщика VpnClientSetupAmd64. Для 32-разрядной архитектуры процессора выберите пакет установщика VpnClientSetupX86.

2. Дважды щелкните пакет, чтобы установить его. При появлении всплывающего окна SmartScreen выберите Подробнее, затем Выполнить в любом случае.

3. На клиентском компьютере перейдите в раздел Параметры сети и щелкните VPN. Для VPN-подключения отображается имя виртуальной сети, к которой оно подключается.

4. Установите сертификат клиента на каждом компьютере, который требуется подключить через эту пользовательскую конфигурацию VPN. Сертификат клиента требуется для проверки подлинности при использовании собственного типа проверки подлинности Azure сертификата. Дополнительную информацию о создании сертификатов см. в разделе Создание сертификатов. Для получения информации о том, как установить сертификат клиента, см. раздел Установка сертификата клиента.

OpenVPN.

В конфигурации VPN пользователя, если указан тип туннеля OpenVPN, можно скачать и настроить Azure VPN-клиент или в некоторых случаях использовать клиентское программное обеспечение OpenVPN. Инструкции см. по ссылке, соответствующей вашей конфигурации.

Настройка клиента

Подключение виртуальной сети к концентратору

В этом разделе описано, как создать подключение между виртуальным концентратором и виртуальной сетью. В рамках этого учебника настраивать параметры маршрутизации не требуется.

1. На портале Azure перейдите к Virtual WAN В левой области выберите Virtual network connections.

2. На странице подключений к виртуальной сети нажмите кнопку +Добавить подключение.

3. На странице Добавление подключения настройте параметры подключения. Сведения о параметрах маршрутизации см. в разделе "Сведения о маршрутизации".

   • Имя подключения: задайте имя для своего подключения.

   • Концентраторы: выберите концентратор, который нужно связать с этим подключением.

   • Подписка: проверьте подписку.

   • Группа ресурсов: выберите группу ресурсов, содержащую виртуальную сеть, к которой требуется подключиться.

   • Виртуальная сеть: выберите виртуальную сеть, которую вы хотите подключить к этому концентратору. В выбранной виртуальной сети не может быть уже существующего шлюза виртуальной сети.

   • Не распространять: по умолчанию для этого параметра выбрано значение Нет. Если установить переключатель в положение Да, варианты конфигурации Распространить в таблицы маршрутизации и Распространить к меткам станут недоступны.

   • Ассоциировать таблицу маршрутов: из выпадающего списка можно выбрать таблицу маршрутов, которую нужно ассоциировать.

   • Применить к меткам: Метки — это логическая группа таблиц маршрутов. Для этого параметра выберите в раскрывающемся списке.

   • Статические маршруты: при необходимости настройте статические маршруты. Настройте статические маршруты для сетевых виртуальных устройств (если применимо). Virtual WAN поддерживает один IP-адрес следующего прыжка для статического маршрута в подключении к виртуальной сети. Например, если у вас есть отдельное виртуальное устройство для входящего трафика и исходящего трафика, рекомендуется использовать виртуальные устройства в отдельных виртуальных сетях и подключить виртуальные сети к виртуальному концентратору.

   • Обход IP-адреса следующего узла для рабочих нагрузок в этой виртуальной сети. Этот параметр позволяет развертывать сетевые виртуальные устройства (NVA) и другие рабочие нагрузки в одной виртуальной сети без направления всего трафика через NVA. Этот параметр можно настроить только при настройке нового подключения. Если вы хотите использовать этот параметр для уже созданного подключения, удалите подключение, а затем добавьте новое подключение. Дополнительные сведения о поведении маршрутизации, связанном с этим параметром, см. в документации по обходу IP следующего перехода.

     Параметр IP-адреса следующего прыжка не применяется к маршрутам, полученным через пиринг BGP от одного из NVA, развернутых в виртуальной сети, непосредственно подключенной к виртуальному концентратору. Это связано с тем, что виртуальный концентратор автоматически узнает о системных маршрутах, связанных с адресами в периферийной виртуальной сети при создании соединения с периферийной виртуальной сетью. Эти автоматически полученные системные маршруты предпочтительнее, чем маршруты, полученные концентратором по протоколу BGP. Системные маршруты можно переопределить только статическими маршрутами.

   • Распространите статический маршрут. Этот параметр позволяет распространять статические маршруты, определенные в разделе статических маршрутов, в таблицы маршрутов, указанные в Распространения в таблицы маршрутов. Кроме того, маршруты будут распространяться в таблицы маршрутов с метками, указанными как Распространить по меткам. Эти маршруты могут распространяться интерхаб, за исключением маршрута по умолчанию 0/0.

4. После того как вы завершите настройку параметров, выберите Создать, чтобы установить подключение.

Панель мониторинга сеансов «точка-сайт»

1. Чтобы просмотреть активные сеансы point-to-site, щелкните Сеансы point-to-site. Это покажет вам всех активных пользователей Point-to-Site, подключённых к вашему пользовательскому VPN-шлюзу.

2. Чтобы отключить пользователей от VPN-шлюза пользователя, нажмите кнопку ... контекстное меню и нажмите кнопку "Отключить".

Изменение параметров

Изменение пула адресов клиента

1. Перейдите в ваш Виртуальный концентратор -> VPN пользователя ("от точки к сети").

2. Щелкните значение рядом с параметром Единицы масштабирования шлюза, чтобы открыть страницу Изменение шлюза VPN пользователя.

3. На странице Изменение шлюза VPN пользователя измените параметры.

4. Щелкните Изменить в нижней части страницы, чтобы проверить параметры.

5. Нажмите кнопку Подтвердить, чтобы сохранить настройки. Потребуется до 30 минут, пока вступят в силу любые внесенные здесь изменения.

Изменение DNS-серверов

1. Перейдите в ваш Виртуальный концентратор -> VPN пользователя ("от точки к сети").

2. Щелкните значение рядом с элементом Пользовательские DNS-серверы, чтобы открыть страницу Изменение пользовательского VPN-шлюза.

3. На странице Изменение пользовательского VPN-шлюза измените поле Пользовательские DNS-серверы. Введите IP-адреса DNS-серверов в текстовых полях Пользовательские DNS-серверы. Можно указать до пяти DNS-серверов.

4. Щелкните Изменить в нижней части страницы, чтобы проверить параметры.

5. Нажмите кнопку Подтвердить, чтобы сохранить настройки. Потребуется до 30 минут, пока вступят в силу любые внесенные здесь изменения.

Очистка ресурсов

Если созданные ресурсы вам больше не нужны, удалите их. Некоторые из Virtual WAN ресурсов должны быть удалены в определенном порядке из-за зависимостей. Удаление может занять около 30 минут.

1. Откройте только что созданную виртуальную глобальную сеть.

2. Выберите виртуальный концентратор, связанный с виртуальной глобальной сетью, чтобы открыть страницу концентратора.

3. Удалите все элементы шлюза в следующем порядке для каждого типа шлюза. Этот процесс может занять до 30 минут.

   VPN:

   • Отключите VPN-сайты.
   • Удалите VPN-подключения.
   • Удалите VPN-шлюзы.

   ExpressRoute:

   • Удалите подключения ExpressRoute.
   • Удалите шлюзы ExpressRoute.

4. Повторите эти действия для всех концентраторов, связанных с виртуальной глобальной сетью.

5. Вы можете удалить концентраторы либо на этом этапе, либо позже, когда будете удалять группу ресурсов.

6. Перейдите к группе ресурсов на портале Azure.

7. Выберите команду Удалить группу ресурсов. Это действие удаляет все элементы в группе ресурсов, включая концентраторы и виртуальную глобальную сеть.

Следующие шаги