Сведения о параметрах конфигурации VPN-шлюза

Архитектура подключения VPN-шлюза зависит от конфигурации нескольких ресурсов, каждая из которых содержит настраиваемые параметры. В разделах этой статьи рассматриваются ресурсы и параметры, связанные с VPN-шлюзом для виртуальной сети. Описания и схемы топологии для каждого решения подключения можно найти в статье о топологии и проектировании VPN-шлюз.

Значения, приведенные в этой статье, относятся к VPN-шлюзам (шлюзам виртуальной сети, используюющим VPN -GatewayType). Если вы ищете сведения о следующих типах шлюзов, ознакомьтесь со следующими статьями:

• Значения, применяемые к -GatewayType ExpressRoute, см. в статье "Шлюзы виртуальной сети" для ExpressRoute.
• Сведения об избыточных в пределах зоны шлюзах см. в разделе Избыточные в пределах зоны шлюзы.
• Сведения о шлюзах Виртуальная глобальная сеть см. в разделе Сведения о Виртуальная глобальная сеть.

Шлюзы и типы шлюзов

Шлюз виртуальной сети состоит из двух или более виртуальных машин, управляемых Azure, которые автоматически настраиваются и развертываются в определенной подсети, создаваемой подсетью шлюза. Виртуальные машины шлюза содержат таблицы маршрутизации и запускают определенные службы шлюза. При создании шлюза виртуальной сети виртуальные машины шлюза автоматически развертываются в подсети шлюза (всегда именованный GatewaySubnet) и настраиваются с заданными параметрами. Процесс может занять 45 минут или больше, в зависимости от выбранного номера SKU шлюза.

Одним из параметров, заданных при создании шлюза виртуальной сети, является тип шлюза. Тип шлюза определяет, как используется шлюз виртуальной сети, а также действия, которые принимает шлюз. Виртуальная сеть может иметь два шлюза виртуальной сети: один VPN-шлюз и один шлюз ExpressRoute. Тип -GatewayType "VPN" указывает, что созданный тип шлюза виртуальной сети является VPN-шлюзом. Это отличает его от шлюза ExpressRoute.

Номера SKU и производительность шлюза

См. статью О номерах SKU шлюза, чтобы получить актуальную информацию о номерах SKU шлюза, производительности и поддерживаемых функциях.

Типы VPN

Azure поддерживает два разных типа VPN для VPN-шлюзов: на основе политик и на основе маршрутов. VPN-шлюзы на основе маршрутов основаны на другой платформе, отличной от VPN-шлюзов на основе политик. Это приводит к различным спецификациям шлюза. В следующей таблице показаны номера SKU шлюза, поддерживающие каждый из типов VPN и связанные поддерживаемые версии IKE.

В большинстве случаев вы создадите VPN-шлюз на основе маршрутов. Ранее более старые SKU шлюзов не поддерживали IKEv1 для шлюзов с маршрутизацией. Теперь большинство существующих SKU шлюзов поддерживают как IKEv1, так и IKEv2.

• По состоянию на 1 октября 2023 г. шлюзы на основе политик можно настроить только с помощью PowerShell или CLI и недоступны в портал Azure. Сведения о создании шлюза на основе политик см. в статье "Создание VPN-шлюза SKU уровня "Базовый" с помощью PowerShell.

• Если у вас уже есть шлюз на основе политик, вам не нужно изменять шлюз на основе маршрутов, если вы не хотите использовать конфигурацию, требующую шлюза на основе маршрутов, например "точка — сеть".

• Невозможно преобразовать шлюз с маршрутизацией на основе политик в шлюз с маршрутизацией на основе маршрутов. Необходимо удалить существующий шлюз, а затем создать новый шлюз в качестве маршрута.

Шлюзы режима "активный— активный"

VPN-шлюзы Azure можно настроить в режиме «активный/резервный» или «активный/активный». В конфигурации "активный-активный" оба экземпляра виртуальных машин шлюза устанавливают VPN-туннели типа "сеть — сеть" с вашим локальным VPN-устройством. Шлюзы режима "активный— активный" являются ключевой частью проектирования подключения шлюза с высоким уровнем доступности. Дополнительные сведения см. в следующих статьях:

• О шлюзах в конфигурации «активный — активный»
• Проектирование высокодоступного подключения через шлюз для соединений между локальными средами и между виртуальными сетями (VNet)

Частные IP-адреса шлюза

Этот параметр используется для определенных конфигураций частного пиринга ExpressRoute. Дополнительные сведения см. в разделе "Настройка VPN-подключения типа "сеть — сеть" через частный пиринг ExpressRoute.

Типы подключений

Для каждого подключения требуется определенный тип подключения шлюза виртуальной сети. Доступные значения PowerShell для New-AzVirtualNetworkGatewayConnection-Connection Type: IPsec, Vnet2Vnet, ExpressRoute, VPNClient.

Режимы подключения

Свойство режима подключения применяется только к VPN-шлюзам на основе маршрутов, используюющим подключения IKEv2. Режимы подключения определяют направление запуска подключения и применяются только к первоначальному созданию подключения IKE. Любая сторона может инициировать смену ключей и последующие сообщения. InitiatorOnly означает, что подключение должно быть инициировано Azure. ResponderOnly означает, что подключение должно быть инициировано локальным устройством. По умолчанию принимается и используется то соединение, которое установится первым.

Подсеть шлюза

Прежде чем создать VPN-шлюз, необходимо создать подсеть для него. Подсеть шлюза содержит IP-адреса, которые используют виртуальные машины и службы шлюза виртуальной сети. При создании шлюза виртуальной сети его виртуальные машины развертываются в подсети шлюза и на них настраиваются необходимые параметры VPN-шлюза. Никогда не развертывать ничего другого (например, больше виртуальных машин) в подсети шлюза. Чтобы работать корректно, подсеть шлюза должна называться "GatewaySubnet". Именование подсети шлюза GatewaySubnet позволяет Azure знать, что это подсеть, в которую она должна развернуть виртуальные машины и службы шлюза виртуальной сети.

При создании подсети шлюза указывается количество IP-адресов, которое содержит подсеть. IP-адреса в подсети шлюза выделяются виртуальным машинам и службам шлюза. Некоторым конфигурациям требуется больше IP-адресов, чем прочим.

При планировании размера подсети шлюза обратитесь к документации по конфигурации, которую собираетесь создать. Например, для конфигурации с сосуществованием ExpressRoute и VPN-шлюза требуется более крупная подсеть шлюза, чем для большинства других конфигураций. Хотя можно создать подсеть шлюза меньше /29 (применимо только к номеру SKU "Базовый"), для всех остальных номеров SKU требуется подсеть шлюза размера /27 или больше (/27, /26, /25 и т. д.). Возможно, вам потребуется создать подсеть шлюза больше, чем /27, чтобы в подсети было достаточно IP-адресов для поддержки возможных будущих конфигураций.

В следующем примере PowerShell показана подсеть шлюза с именем GatewaySubnet. Здесь приведена нотация CIDR, указывающая размер /27, при котором можно использовать достаточно IP-адресов для большинства существующих конфигураций.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Рекомендации:

• Определяемые пользователем маршруты с назначением 0.0.0.0/0 и группами безопасности сети (NSG) в подсети шлюза не поддерживаются. Определяемые пользователем маршруты, содержащие адресное пространство GatewaySubnet, при этом следующий узел не задан или для следующего узла установлено значение NVA (которое отклоняет трафик), не поддерживаются. Шлюзы с такой конфигурацией блокируются и не могут быть созданы. Для правильной работы шлюзов нужен доступ к контроллерам управления. Распространение маршрутов протокола BGP для пограничного шлюза должно быть включено в подсети шлюза, чтобы обеспечить доступность шлюза. Если распространение маршрутов BGP отключено, шлюз не будет работать.

• Диагностика, путь к данным и путь управления могут быть затронуты, если определенный пользователем маршрут совпадает с диапазоном подсети шлюза или диапазоном общедоступных IP-адресов шлюза.

Шлюзы локальной сети

Локальный сетевой шлюз отличается от шлюза виртуальной сети. При работе с архитектурой VPN-шлюза типа "сеть — сеть" шлюз локальной сети обычно представляет локальную сеть и соответствующее VPN-устройство.

При настройке шлюза локальной сети укажите имя, общедоступный IP-адрес или полное доменное имя (FQDN) локального VPN-устройства, а также префиксы адресов, расположенные в локальном расположении. Azure рассматривает префиксы адреса назначения для сетевого трафика, просматривает конфигурацию, указанную для шлюза локальной сети, и маршрутизирует пакеты соответствующим образом. Если вы используете протокол Border Gateway Protocol (BGP) на своем VPN-устройстве, необходимо указать IP-адрес BGP-соседа для этого VPN-устройства и номер автономной системы (ASN) вашей локальной сети. Можно также указать шлюзы локальной сети для конфигураций типа "виртуальная сеть — виртуальная сеть", использующих подключение к VPN-шлюзу.

Следующий пример PowerShell создает шлюз локальной сети.

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

Иногда возникает необходимость изменить параметры локального сетевого шлюза. Например, при добавлении или изменении диапазона адресов, либо при изменении IP-адреса VPN-устройства. Дополнительные сведения см. в разделе "Изменение параметров шлюза локальной сети".

API REST, командлеты PowerShell и интерфейсы командной строки

Технические ресурсы и конкретные требования к синтаксису при использовании API REST, командлетов PowerShell или Azure CLI для конфигураций VPN-шлюза см. на следующих страницах:

• PowerShell
• Azure CLI;
• REST API

Следующие шаги

Дополнительные сведения о доступных конфигурациях подключений см. в статье О VPN-шлюзе.