Настройка настраиваемых политик подключения IPsec/IKE для VPN S2S и виртуальной сети: PowerShell

В этой статье пошагово описывается, как с помощью PowerShell настроить пользовательскую политику IPsec/IKE для подключений Site-to-Site VPN или VNet-to-VNet через VPN-шлюз.

Рабочий процесс

Инструкции в этой статье помогут вам создать и настроить политики IPsec/IKE, как показано на схеме ниже.

1. Создайте виртуальную сеть и VPN-шлюз.
2. Создайте шлюз локальной сети для подключения между локальными площадками или другую виртуальную сеть и шлюз для подключения между виртуальными сетями.
3. Создайте политику IPsec/IKE с выбранными алгоритмами и параметрами.
4. Создайте подключение (IPsec или VNet2VNet) с политикой IPsec/IKE.
5. Добавление и обновление и удаление политики IPsec/IKE для существующего подключения.

Параметры политики

Стандарт протоколов IPsec и IKE поддерживает широкий набор алгоритмов шифрования в различных сочетаниях. См. раздел О криптографических требованиях и VPN-шлюзах Azure, чтобы узнать, как это помогает обеспечить подключение между локальной сетью и Azure, а также между виртуальными сетями (VNet-to-VNet) для соблюдения требований соответствия нормативам и безопасности. Помните о следующих рекомендациях.

• Политика IPsec/IKE работает только на следующих номерах SKU шлюза:
  • VpnGw1~5 и VpnGw1AZ~5AZ
  • Standard и HighPerformance
• Для данного подключения можно указать только одну комбинацию политик.
• Необходимо указать все алгоритмы и параметры для IKE (основной режим) и IPsec (быстрый режим). Указать частичную спецификацию политики невозможно.
• Обратитесь к спецификациям поставщика VPN-устройств, чтобы убедиться, что политика поддерживается на локальных VPN-устройствах. Подключения S2S или VNet-to-VNet невозможно установить, если политики несовместимы.

Криптографические алгоритмы и сильные стороны ключей

В следующей таблице перечислены поддерживаемые настраиваемые алгоритмы шифрования и преимущества ключей.

• Конфигурация локального VPN-устройства должна соответствовать или содержать следующие алгоритмы и параметры, указанные в политике Azure IPsec или IKE:

  • Алгоритм шифрования IKE (основной режим, этап 1)
  • Алгоритм целостности IKE (основной режим, этап 1)
  • Группа DH (основной режим, этап 1)
  • Алгоритм шифрования IPsec (быстрый режим, этап 2)
  • Алгоритм целостности IPsec (быстрый режим, этап 2)
  • Группа PFS (быстрый режим, этап 2)
  • Селектор трафика (если используется UsePolicyBasedTrafficSelectors)
  • Срок службы SA (локальные спецификации, которые не должны соответствовать)

• При использовании GCMAES для алгоритма шифрования IPsec необходимо выбрать тот же алгоритм GCMAES и длину ключа для целостности IPsec. Например, используйте GCMAES128 для обоих.

• В таблице алгоритмов и ключей:

  • IKE соответствует главному режиму или этапу 1.
  • IPsec соответствует быстрому режиму или фазе 2;
  • Группа DH указывает группу Diffie-Hellman, используемую в главном режиме или на этапе 1.
  • Группа PFS указывает группу Diffie-Hellman, используемую в быстром режиме или на этапе 2.

• Время существования SA основного режима IKE фиксировано и составляет 28 800 секунд на VPN-шлюзах Azure.

• UsePolicyBasedTrafficSelectors — необязательный параметр подключения. Если вы задаёте UsePolicyBasedTrafficSelectors значение $True для подключения, это настраивает VPN-шлюз для соединения с локальным VPN-брандмауэром на основе политик.

  Если вы включите UsePolicyBasedTrafficSelectors, убедитесь, что ваше VPN-устройство имеет соответствующие селекторы трафика, определенные для всех комбинаций префиксов вашей локальной сети (шлюза локальной сети) в префиксы виртуальной сети Azure или из них, вместо любого к любому. VPN-шлюз принимает любой селектор трафика, который предлагает удаленный VPN-шлюз независимо от того, что настроено в VPN-шлюзе.

  Например, если префиксы локальной сети — 10.1.0.0/16 и 10.2.0.0/16, а префиксы виртуальной сети — 192.168.0.0/16 и 172.16.0.0/16, необходимо указать следующие селекторы трафика:

  • 10.1.0.0/16 <===> 192.168.0.0/16
  • 10.1.0.0/16 <===> 172.16.0.0/16
  • 10.2.0.0/16 <===> 192.168.0.0/16
  • 10.2.0.0/16 <===> 172.16.0.0/16

  Дополнительные сведения о селекторах трафика на основе политик см. в статье "Подключение VPN-шлюза к нескольким локальным VPN-устройствам на основе политик".

• Установка времени ожидания на более короткие периоды заставляет IKE более агрессивно выполнять повторное установление ключей. После этого подключение может быть отключено в некоторых случаях. Эта ситуация может оказаться нежелательной, если локальные расположения находятся далеко от региона Azure, где находится VPN-шлюз, или если физическое условие связи может привести к потере пакета. Обычно рекомендуется задать время ожидания в диапазоне от 30 до 45 секунд.

группы Diffie-Hellman

В следующей таблице перечислены соответствующие группы Diffie-Hellman, поддерживаемые настраиваемой политикой:

Дополнительные сведения см. в RFC3526 и RFC5114 .

Создание VPN-подключения S2S с помощью политики IPsec/IKE

В этом разделе описаны шаги по созданию VPN-подключения S2S с политикой IPsec/IKE. Следующие шаги создают подключение, как показано на схеме:

Дополнительные пошаговые инструкции по созданию VPN-подключения S2S см. в статье "Создание VPN-подключения S2S ".

Вы можете выполнить действия для этого упражнения с помощью Azure Cloud Shell в браузере. Если вы хотите использовать PowerShell непосредственно на своём компьютере, вместо этого установите командлеты PowerShell для Azure Resource Manager. Дополнительные сведения об установке командлетов PowerShell см. в разделе Установка и настройка Azure PowerShell.

Шаг 1. Создание виртуальной сети, VPN-шлюза и ресурсов шлюза локальной сети

Если вы используете Azure Cloud Shell, вы автоматически подключаетесь к учетной записи и не требуется выполнять следующую команду.

Если вы используете PowerShell с компьютера, откройте консоль PowerShell и подключитесь к учетной записи. Дополнительные сведения см. в статье "Использование Windows PowerShell с Resource Manager". Используйте следующий пример, чтобы помочь вам подключиться:

Connect-AzAccount
Select-AzSubscription -SubscriptionName <YourSubscriptionName>

1. Объявление переменных

Для этого упражнения мы начнем с объявления переменных. Перед выполнением команд можно заменить переменные собственными.

$RG1           = "TestRG1"
$Location1     = "EastUS"
$VNetName1     = "TestVNet1"
$FESubName1    = "FrontEnd"
$BESubName1    = "Backend"
$GWSubName1    = "GatewaySubnet"
$VNetPrefix11  = "10.1.0.0/16"
$FESubPrefix1  = "10.1.0.0/24"
$BESubPrefix1  = "10.1.1.0/24"
$GWSubPrefix1  = "10.1.255.0/27"
$DNS1          = "8.8.8.8"
$GWName1       = "VNet1GW"
$GW1IPName1    = "VNet1GWIP1"
$GW1IPconf1    = "gw1ipconf1"
$Connection16  = "VNet1toSite6"
$LNGName6      = "Site6"
$LNGPrefix61   = "10.61.0.0/16"
$LNGPrefix62   = "10.62.0.0/16"
$LNGIP6        = "131.107.72.22"

2. Создание виртуальной сети, VPN-шлюза и шлюза локальной сети

В следующих примерах создается виртуальная сеть, TestVNet1 с тремя подсетями и VPN-шлюзом. При подстановке значений важно всегда называть подсеть шлюза именно GatewaySubnet. Если вы дадите ему другое имя, создание шлюза потерпит неудачу. Для создания шлюза виртуальной сети может потребоваться 45 минут. В это время, если вы используете Azure Cloud Shell, сеанс подключения может завершиться из-за истечения времени ожидания. Это не влияет на выполнение команды создания шлюза.

New-AzResourceGroup -Name $RG1 -Location $Location1

$fesub1 = New-AzVirtualNetworkSubnetConfig -Name $FESubName1 -AddressPrefix $FESubPrefix1
$besub1 = New-AzVirtualNetworkSubnetConfig -Name $BESubName1 -AddressPrefix $BESubPrefix1
$gwsub1 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName1 -AddressPrefix $GWSubPrefix1

New-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 -Location $Location1 -AddressPrefix $VNetPrefix11 -Subnet $fesub1,$besub1,$gwsub1

$gw1pip1 = New-AzPublicIpAddress -Name $GW1IPName1 -ResourceGroupName $RG1 -Location $Location1 -AllocationMethod Dynamic
$vnet1 = Get-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1
$subnet1 = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet1
$gw1ipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GW1IPconf1 -Subnet $subnet1 -PublicIpAddress $gw1pip1

New-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 -Location $Location1 -IpConfigurations $gw1ipconf1 -GatewayType Vpn -VpnType RouteBased -VpnGatewayGeneration "Generation2" -GatewaySku VpnGw2AZ

Создайте шлюз локальной сети. Возможно, потребуется подключиться заново и повторно объявить следующие переменные, если сеанс Azure Cloud Shell завершился из-за истечения времени ожидания.

Объявите переменные.

$RG1           = "TestRG1"
$Location1     = "EastUS"
$LNGName6      = "Site6"
$LNGPrefix61   = "10.61.0.0/16"
$LNGPrefix62   = "10.62.0.0/16"
$LNGIP6        = "131.107.72.22"
$GWName1       = "VNet1GW"
$Connection16  = "VNet1toSite6"

Создание шлюза локальной сети Site6.

New-AzLocalNetworkGateway -Name $LNGName6 -ResourceGroupName $RG1 -Location $Location1 -GatewayIpAddress $LNGIP6 -AddressPrefix $LNGPrefix61,$LNGPrefix62

Шаг 2. Создание VPN-подключения S2S с политикой IPsec/IKE

1. Создание политики IPsec/IKE

В следующем примере скрипта создается политика IPsec/IKE со следующими алгоритмами и параметрами:

• IKEv2: AES256, SHA384, DHGroup24
• IPsec: AES256, SHA256, PFS: нет, Время жизни SA: 14400 секунд и 102400000 КБ

$ipsecpolicy6 = New-AzIpsecPolicy -IkeEncryption AES256 -IkeIntegrity SHA384 -DhGroup DHGroup24 -IpsecEncryption AES256 -IpsecIntegrity SHA256 -PfsGroup None -SALifeTimeSeconds 14400 -SADataSizeKilobytes 102400000

При использовании GCMAES для IPsec необходимо использовать один и тот же алгоритм GCMAES и длину ключа для шифрования и целостности IPsec. Например, приведенные выше параметры будут иметь значение "-IpsecEncryption GCMAES256 -IpsecIntegrity GCMAES256" при использовании GCMAES256.

2. Создайте VPN-подключение S2S с политикой IPsec/IKE.

Создайте VPN-подключение S2S и примените политику IPsec/IKE, созданную ранее.

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1  -ResourceGroupName $RG1
$lng6 = Get-AzLocalNetworkGateway  -Name $LNGName6 -ResourceGroupName $RG1

New-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng6 -Location $Location1 -ConnectionType IPsec -IpsecPolicies $ipsecpolicy6 -SharedKey 'AzureA1b2C3'

При необходимости можно добавить "-UsePolicyBasedTrafficSelectors $True" в командлет создания подключения, чтобы шлюз Azure VPN мог подключаться к локальным VPN-устройствам с маршрутизацией на основе политик.

Создание подключения между виртуальными сетями с помощью политики IPsec/IKE

Этапы создания подключения VNet-to-VNet с политикой IPsec/IKE аналогичны этапам создания VPN-подключения типа S2S. Следующие примеры скриптов создают подключение, как показано на схеме:

Дополнительные сведения о создании подключения между виртуальными сетями см. в статье "Создание подключения между виртуальными сетями".

Шаг 1. Создание второй виртуальной сети и VPN-шлюза

1. Объявление переменных

$RG2          = "TestRG2"
$Location2    = "EastUS"
$VNetName2    = "TestVNet2"
$FESubName2   = "FrontEnd"
$BESubName2   = "Backend"
$GWSubName2   = "GatewaySubnet"
$VNetPrefix21 = "10.21.0.0/16"
$VNetPrefix22 = "10.22.0.0/16"
$FESubPrefix2 = "10.21.0.0/24"
$BESubPrefix2 = "10.22.0.0/24"
$GWSubPrefix2 = "10.22.255.0/27"
$DNS2         = "8.8.8.8"
$GWName2      = "VNet2GW"
$GW2IPName1   = "VNet2GWIP1"
$GW2IPconf1   = "gw2ipconf1"
$Connection21 = "VNet2toVNet1"
$Connection12 = "VNet1toVNet2"

2. Создание второй виртуальной сети и VPN-шлюза

New-AzResourceGroup -Name $RG2 -Location $Location2

$fesub2 = New-AzVirtualNetworkSubnetConfig -Name $FESubName2 -AddressPrefix $FESubPrefix2
$besub2 = New-AzVirtualNetworkSubnetConfig -Name $BESubName2 -AddressPrefix $BESubPrefix2
$gwsub2 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName2 -AddressPrefix $GWSubPrefix2

New-AzVirtualNetwork -Name $VNetName2 -ResourceGroupName $RG2 -Location $Location2 -AddressPrefix $VNetPrefix21,$VNetPrefix22 -Subnet $fesub2,$besub2,$gwsub2

$gw2pip1    = New-AzPublicIpAddress -Name $GW2IPName1 -ResourceGroupName $RG2 -Location $Location2 -AllocationMethod Dynamic
$vnet2      = Get-AzVirtualNetwork -Name $VNetName2 -ResourceGroupName $RG2
$subnet2    = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet2
$gw2ipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GW2IPconf1 -Subnet $subnet2 -PublicIpAddress $gw2pip1

New-AzVirtualNetworkGateway -Name $GWName2 -ResourceGroupName $RG2 -Location $Location2 -IpConfigurations $gw2ipconf1 -GatewayType Vpn -VpnType RouteBased -VpnGatewayGeneration "Generation2" -GatewaySku VpnGw2AZ

Для создания VPN-шлюза может потребоваться около 45 минут.

Шаг 2. Создание подключения VNet-to-VNet с политикой IPsec/IKE

Аналогично VPN-подключению S2S, создайте политику IPsec/IKE, а затем примените политику к новому подключению. Если вы использовали Azure Cloud Shell, возможно, истекло время ожидания подключения. В этом случае повторно подключите и окажите необходимые переменные снова.

$GWName1 = "VNet1GW"
$GWName2 = "VNet2GW"
$RG1     = "TestRG1"
$RG2     = "TestRG2"
$Location1     = "EastUS"
$Location2    = "EastUS"
$Connection21 = "VNet2toVNet1"
$Connection12 = "VNet1toVNet2"

1. Создание политики IPsec/IKE

В следующем примере скрипта создается другая политика IPsec/IKE со следующими алгоритмами и параметрами:

• IKEv2: AES128, SHA1, DHGroup14
• IPsec: GCMAES128, GCMAES128, PFS24, время жизни SA 14400 секунд и 102400000 КБ

$ipsecpolicy2 = New-AzIpsecPolicy -IkeEncryption AES128 -IkeIntegrity SHA1 -DhGroup DHGroup14 -IpsecEncryption GCMAES128 -IpsecIntegrity GCMAES128 -PfsGroup PFS24 -SALifeTimeSeconds 14400 -SADataSizeKilobytes 102400000

2. Создание подключений между виртуальными сетями с помощью политики IPsec/IKE

Создайте подключение между виртуальными сетями и примените созданную политику IPsec/IKE. В этом примере оба шлюза находятся в одной подписке. Поэтому можно создать и настроить оба подключения с одной политикой IPsec/IKE в одном сеансе PowerShell.

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1  -ResourceGroupName $RG1
$vnet2gw = Get-AzVirtualNetworkGateway -Name $GWName2  -ResourceGroupName $RG2

New-AzVirtualNetworkGatewayConnection -Name $Connection12 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -VirtualNetworkGateway2 $vnet2gw -Location $Location1 -ConnectionType Vnet2Vnet -IpsecPolicies $ipsecpolicy2 -SharedKey 'AzureA1b2C3'

New-AzVirtualNetworkGatewayConnection -Name $Connection21 -ResourceGroupName $RG2 -VirtualNetworkGateway1 $vnet2gw -VirtualNetworkGateway2 $vnet1gw -Location $Location2 -ConnectionType Vnet2Vnet -IpsecPolicies $ipsecpolicy2 -SharedKey 'AzureA1b2C3'

После выполнения этих действий подключение устанавливается через несколько минут, и вы получите следующую топологию сети, как показано в начале:

Обновление политики IPsec/IKE для подключения

В последнем разделе описано, как управлять политикой IPsec/IKE для существующего подключения типа S2S или VNet-to-VNet. В следующем упражнении описаны следующие операции подключения:

1. Отображение политики IPsec/IKE подключения
2. Добавление или обновление политики IPsec/IKE для подключения
3. Удаление политики IPsec/IKE из подключения

Те же действия выполняются как для подключений S2S, так и для подключений между виртуальными сетями.

1. Отображение политики IPsec/IKE для подключения

В следующем примере показано, как получить политику IPsec/IKE, настроенную для подключения. Скрипты также являются продолжением предыдущих упражнений.

$RG1          = "TestRG1"
$Connection16 = "VNet1toSite6"
$connection6  = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1
$connection6.IpsecPolicies

Последняя команда перечисляет текущую политику IPsec/IKE, настроенную для подключения, если она существует. Ниже приведен пример выходных данных для подключения:

SALifeTimeSeconds   : 14400
SADataSizeKilobytes : 102400000
IpsecEncryption     : AES256
IpsecIntegrity      : SHA256
IkeEncryption       : AES256
IkeIntegrity        : SHA384
DhGroup             : DHGroup24
PfsGroup            : PFS24

Если не настроена политика IPsec/IKE, команда (PS> $connection 6). IpsecPolicies) получает пустой возврат. Это не означает, что IPsec/IKE не настроен для подключения, но нет настраиваемой политики IPsec/IKE. Фактическое подключение использует политику по умолчанию, согласованную между локальным VPN-устройством и VPN-шлюзом Azure.

2. Добавление или обновление политики IPsec/IKE для подключения

Действия по добавлению новой политики или обновлению существующей политики подключения одинаковы: создайте новую политику, а затем примените новую политику к подключению.

$RG1          = "TestRG1"
$Connection16 = "VNet1toSite6"
$connection6  = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1

$newpolicy6   = New-AzIpsecPolicy -IkeEncryption AES128 -IkeIntegrity SHA1 -DhGroup DHGroup14 -IpsecEncryption AES256 -IpsecIntegrity SHA256 -PfsGroup None -SALifeTimeSeconds 14400 -SADataSizeKilobytes 102400000

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6 -IpsecPolicies $newpolicy6

Чтобы включить "UsePolicyBasedTrafficSelectors" при подключении к локальному VPN-устройству на основе политик, добавьте параметр "-UsePolicyBaseTrafficSelectors" к командлету или задайте для него значение $False, чтобы отключить этот параметр:

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6 -IpsecPolicies $newpolicy6 -UsePolicyBasedTrafficSelectors $True

Аналогично параметру «UsePolicyBasedTrafficSelectors», настройку тайм-аута DPD можно выполнять вне применяемой политики IPsec:

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6 -IpsecPolicies $newpolicy6 -DpdTimeoutInSeconds 30

При необходимости можно указать один или оба параметра: селектор трафика на основе политик и тайм-аут DPD с политикой Default, без использования настраиваемой политики IPsec/IKE.

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6 -UsePolicyBasedTrafficSelectors $True -DpdTimeoutInSeconds 30 

Вы можете снова получить подключение, чтобы проверить, обновлена ли политика. Чтобы проверить соединение с обновлённой политикой, выполните следующую команду.

$connection6  = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1
$connection6.IpsecPolicies

Пример выходных данных:

SALifeTimeSeconds   : 14400
SADataSizeKilobytes : 102400000
IpsecEncryption     : AES256
IpsecIntegrity      : SHA256
IkeEncryption       : AES128
IkeIntegrity        : SHA1
DhGroup             : DHGroup14
PfsGroup            : None

3. Удаление политики IPsec/IKE из подключения

После удаления пользовательской политики из подключения шлюз Azure VPN возвращается к списку предложений IPsec/IKE по умолчанию и повторно согласовывает параметры с локальным VPN-устройством.

$RG1           = "TestRG1"
$Connection16  = "VNet1toSite6"
$connection6   = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1

$currentpolicy = $connection6.IpsecPolicies[0]
$connection6.IpsecPolicies.Remove($currentpolicy)

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6

Вы можете использовать тот же сценарий, чтобы проверить, удалена ли политика из подключения.

Вопросы и ответы о политике IPsec/IKE

Чтобы просмотреть часто задаваемые вопросы, перейдите в раздел политики IPsec/IKE VPN-шлюз вопросы и ответы.

Дальнейшие действия

Дополнительные сведения о селекторах трафика на основе политик см. в статье "Подключение нескольких локальных VPN-устройств на основе политик ".