Вывод из эксплуатации протокола SSTP и миграция подключений

Подключение "точка — сеть" (P2S) к VPN-шлюзу позволяет установить безопасное соединение с вашей виртуальной сетью на индивидуальном клиентском компьютере. Подключение P2S устанавливается путем его запуска с клиентского компьютера. В этой статье рассказывается о выходе на пенсию SSTP и способах миграции с SSTP путем перехода на протокол OpenVPN или IKEv2.

Какой протокол используется при подключении "точка — сеть"?

В VPN-подключении "точка — сеть" может использоваться один из следующих протоколов:

• Протокол OpenVPN® — это VPN-протокол на основе SSL/TLS. Решение SSL VPN может проходить через брандмауэры, так как большинство брандмауэров открывают исходящий TCP-порт 443, который использует SSL. OpenVPN можно использовать для подключения к устройствам Android, iOS (версии 11.0 и выше), Windows, Linux и Mac (macOS версии 12.x и выше).

• SSTP (Secure Socket Tunneling Protocol) — разработанный корпорацией Майкрософт VPN-протокол на основе SSL. Решение SSL VPN может проходить через брандмауэры, так как большинство брандмауэров открывают исходящий TCP-порт 443, который использует SSL. SSTP поддерживается только на Windows устройствах. Azure поддерживает все версии Windows с SSTP (Windows 7 и более поздними версиями). SSTP поддерживает лишь до 128 одновременных подключений независимо от SKU шлюза.

• VPN IKEv2 — стандартное VPN-решение IPsec. IKEv2 VPN можно использовать для подключения с устройств Mac (macOS версии 10.11 и выше).

Выход на пенсию SSTP: переход с SSTP на IKEv2 или OpenVPN

Из-за ограниченной производительности и неоптимальной производительности мы удаляем протокол SSTP:

• С 31 марта 2026 г. Включение протокола SSTP в VPN-шлюзах больше не будет поддерживаться.
• С 31 марта 2027 г. Существующие шлюзы с поддержкой SSTP больше не могут использоваться для установления подключений SSTP.

Ниже приведены инструкции по переносу подключений SSTP.

Вариант 1. Добавление IKEv2 в дополнение к SSTP на шлюзе

Это самый простой вариант. SSTP и IKEv2 можно использовать на одном шлюзе параллельно, чтобы увеличить число одновременных подключений. Вы можете включить IKEv2 в существующем шлюзе и скачать пакет конфигурации клиента, содержащий обновленные параметры.

Добавление IKEv2 в существующий VPN-шлюз SSTP не повлияет на существующие клиенты, и вы можете настроить их для использования IKEv2 небольшими группами либо просто настроить новые клиенты для IKEv2. Если клиент Windows настроен как для SSTP, так и для IKEv2, сначала пытается подключиться с помощью IKEV2 и при сбое, он возвращается к SSTP.

IKEv2 использует нестандартные UDP-порты, поэтому необходимо убедиться, что эти порты не заблокированы в брандмауэре пользователя. Используются порты UDP 500 и 4500.

Вариант 2. Удаление SSTP и включение OpenVPN на шлюзе

Так как SSTP и OpenVPN являются протоколом на основе TLS, они не могут сосуществовать на одном шлюзе. Если вы решили перейти от SSTP к OpenVPN, необходимо отключить SSTP и включить OpenVPN на шлюзе. Эта операция приводит к тому, что существующие клиенты теряют подключение к VPN-шлюзу, пока новый профиль не будет настроен на клиенте.

При желании вы можете включить OpenVPN вместе с IKEv2. Протокол OpenVPN основан на TLS и использует стандартный TCP-порт 443.

1. Чтобы перейти на OpenVPN, перейдите к шлюзу виртуальной сети на портале.

2. В разделе "Параметры" выберите конфигурацию "Точка — сеть".

3. На странице конфигурации "Точка — сеть" в раскрывающемся списке выберите OpenVPN (SSL) или IKEv2 и OpenVPN (SSL).

4. Выберите Сохранить, чтобы применить изменения.

После настройки шлюза существующие клиенты не смогут подключиться, пока не будут развернуты и настроены клиенты OpenVPN. Если вы используете Windows 10 или более поздней версии, вы также можете использовать VPN-клиент Azure.

Часто задаваемые вопросы

Каковы требования к конфигурации клиента?

Пользователи используют собственные VPN-клиенты на устройствах Windows и Mac для P2S. Azure предоставляет ZIP-файл конфигурации VPN-клиента, содержащий параметры, необходимые этим собственным клиентам для подключения к Azure.

• Для Windows устройств конфигурация VPN-клиента состоит из пакета установщика, который пользователи устанавливают на своих устройствах.
• Конфигурация для устройств Mac содержит файл mobileconfig, который пользователи устанавливают на своих устройствах.

Zip-файл также предоставляет значения некоторых важных параметров на стороне Azure, которые можно использовать для создания собственного профиля для этих устройств. К этим значениям относится адрес VPN-шлюза, настроенные типы туннелей, маршруты и корневой сертификат для проверки шлюза.

Что произойдет, если я не переносю подключения SSTP к 31 марта 2027 г.?

Все существующие подключения SSTP после 31 марта 2027 г. будут приостановлены и перестают работать.

Когда SKU шлюза "Базовый" начнет поддерживать IKEv2?

Начиная с ноября 2025 г., базовый SKU начнет поддерживать протокол IKEv2

Почему не удается просмотреть диагностику Azure на VPN-шлюзе?

Диагностика Azure не поддерживается для протокола SSTP в VPN-шлюзе, перенесите шлюз на использование IKEv2 или OpenVPN для включения диагностики.

Будет ли время простоя при переносе подключений SSTP к другому протоколу?

Нет, при переходе протокола SSTP на протокол IKEv2 и SSTP (SSL) не будет никакого простоя. Однако при переходе только на IKEv2 шлюз будет иметь время простоя, пока новая конфигурация не будет применена.

Потребуется ли перераспространить новый пакет конфигурации P2S всем клиентам?

Да, новая конфигурация должна распространяться на новые клиенты, чтобы предотвратить любое влияние.

Сможет ли я включить протокол SSTP до даты выхода на пенсию?

Нет, вы не сможете включить протокол SSTP после 31 марта 2026 г.

Можно ли перейти к протоколу IKEv2 напрямую вместо протокола IKEv2 и SSTP?

Да, вы можете. Если вы решили перейти к IKEv2 напрямую, шлюз перестанет работать до тех пор, пока не будет применена новая конфигурация. Однако если вы выберете протокол IKEv2 и SSTP, это не повлияет на шлюз.

Какие номера SKU шлюза поддерживают VPN-подключение "точка — сеть"?

В следующей таблице показаны номера SKU шлюза по туннелям, подключению и пропускной способности. Дополнительные таблицы и дополнительные сведения об этой таблице см. в секции SKU шлюза в статье Параметры VPN-шлюза.

Какие политики IKE/IPsec настроены на VPN-шлюзах для подключения "точка — сеть"?

IKEv2

IPsec

Какие политики TLS настроены на VPN-шлюзах для подключения "точка — сеть" (P2S)?

TLS

**Поддерживается только в TLS1.3 с OpenVPN

Как настроить подключение P2S (точка-точка)?

Для настройки подключения "точка — сеть" необходимо выполнить ряд определенных действий. В следующих статьях описаны шаги для настройки P2S, а также приведены ссылки для настройки клиентских устройств VPN.

• Настройка подключения P2S — аутентификация RADIUS

• Настройка подключения P2S — проверка подлинности собственного сертификата Azure

• Настройка OpenVPN

Связанный контент

• Настройка подключения P2S — аутентификация RADIUS

• Настройка подключения P2S — проверка подлинности сертификата Azure

OpenVPN является товарным знаком OpenVPN Inc.