Информация о VPN-устройствах и параметрах IPsec/IKE для подключений типа "сеть — сеть" через VPN-шлюз

Для настройки распределенного VPN-подключения типа "сеть — сеть" через VPN-шлюз требуется VPN-устройство. Подключения типа "сеть — сеть" можно использовать для создания гибридного решения, а также когда требуется безопасное подключение между локальной и виртуальной сетями. В этой статье перечислены проверенные VPN-устройства и параметры IPsec/IKE для VPN-шлюзов.

На что следует обратите внимание при просмотре таблицы:

• Существуют изменения терминологии для VPN-шлюзов Azure. Изменены только имена. Нет изменений в функциональных возможностях.
  • Статическая маршрутизация — на основе политик (PolicyBased).
  • Динамическая маршрутизация — на основе маршрутов (RouteBased).
• Спецификации высокопроизводительных VPN-шлюзов и VPN-шлюзов типа RouteBased одинаковы, если не указано иное. Например, проверенные VPN-устройства, совместимые с VPN-шлюзами RouteBased, также совместимы с высокопроизводительными VPN-шлюзами.

Проверенные VPN-устройства и руководства по конфигурации устройства

В сотрудничестве с поставщиками устройств мы утвердили набор стандартных VPN-устройств. Все устройства из приведенного ниже списка семейств должны работать с VPN-шлюзами. Это рекомендуемые алгоритмы для конфигурации устройства.

Чтобы настроить VPN-устройство, перейдите по ссылкам, соответствующим семейству устройств. Ссылки на инструкции по настройке предоставляются на основе наилучших усилий и значения по умолчанию, перечисленные в руководстве по настройке, не должны содержать лучшие алгоритмы шифрования. За поддержкой VPN-устройства обратитесь к его изготовителю.

Загрузка сценариев конфигурации VPN-устройства из Azure

Для некоторых устройств можно загрузить сценарии конфигурации непосредственно из Azure. Для получения дополнительной информации и инструкций по загрузке см. Загрузка сценариев конфигурации VPN-устройств.

Непроверенные VPN-устройства

Если устройство не отображается в таблице проверенных VPN-устройств, устройство по-прежнему может работать с подключением типа "сеть — сеть". Чтобы получить поддержку и инструкции по настройке, обратитесь к изготовителю устройства.

Изменение примеров конфигурации устройств

После скачивания предоставленного примера конфигурации VPN-устройства некоторые значения необходимо заменить в соответствии с параметрами вашей среды.

Чтобы изменить образец, выполните описанные ниже действия

1. Откройте пример с помощью блокнота.
2. Найдите все строки <text> и замените их значениями, отражающими свойства вашей среды. Не забудьте добавить < и >. Если указывается имя, оно должно быть уникальным. Если команда не работает, обратитесь к документации изготовителя устройства.

Параметры IPsec/IKE по умолчанию

В следующих таблицах содержатся сочетания алгоритмов и параметров VPN-шлюзов Azure, используемых в конфигурации по умолчанию (политики по умолчанию). Для VPN-шлюзов на основе маршрутов, созданных с помощью модели развертывания на основе Azure Resource Management, можно указать пользовательскую политику для каждого отдельного подключения. Дополнительные сведения см. в разделе Настройка политик IPsec/IKE.

В таблицах ниже приведены следующие сведения:

• SA — ассоциация безопасности.
• Этап 1 IKE также называется "Главный режим".
• Этап 2 IKE также называется "Быстрый режим".

Параметры этапа 1 IKE (основной режим)

Параметры этапа 2 IKE (быстрый режим)

Ограничение MSS TCP в VPN-шлюзе Azure

Ограничение MSS выполняется двунаправленно на VPN-шлюзе Azure. В следующей таблице перечислены размеры пакетов в разных сценариях.

Предложения ассоциации безопасности IPsec для маршрутизируемых VPN (в быстром режиме IKE)

В следующей таблице перечислены параметры к SA IPsec (быстрого режима IKE). Предложения перечислены в порядке предпочтения представления или принятия предложения.

Шлюз Azure в качестве инициатора

Шлюз Azure как элемент реагирования

• Вы можете указать NULL-шифрование ESP IPsec для высокопроизводительных VPN-шлюзов и VPN-шлюзов типа RouteBased. NULL-шифрование не защищает данные при передаче. Его следует использовать только в случаях, когда требуется максимальная пропускная способность и минимальная задержка. Клиенты могут использовать это в сценариях обмена данными между виртуальными сетями или при применении шифрования в другом месте решения.
• Для межсайтовых подключений через Интернет используйте параметры VPN-шлюза Azure по умолчанию с алгоритмами шифрования и хэширования, перечисленными в предыдущих таблицах, чтобы обеспечить безопасность критического взаимодействия.