Sdílet prostřednictvím

Konfigurace vlastních zásad připojení IPsec/IKE pro S2S VPN a VNet-to-VNet: Azure Portal

  • Článek

Tento článek vás provede postupem konfigurace zásad IPsec/IKE pro připojení SITE-to-Site vpn služby VPN Gateway nebo připojení typu VNet-to-VNet pomocí webu Azure Portal. Následující části vám pomůžou vytvořit a nakonfigurovat zásady IPsec/IKE a použít zásadu na nové nebo existující připojení.

Pracovní postup

Pokyny v tomto článku vám pomůžou nastavit a nakonfigurovat zásady IPsec/IKE, jak je znázorněno v následujícím diagramu.

Diagram znázorňující zásady IPsec/IKE pro brány VPN typu VNet-to-VNet i Site-to-Site

  1. Vytvořte virtuální síť a bránu VPN.
  2. Vytvořte bránu místní sítě pro připojení mezi místy nebo jinou virtuální síť a bránu pro připojení typu VNet-to-VNet.
  3. Vytvoření připojení (IPsec nebo VNet2VNet)
  4. Nakonfigurujte, aktualizujte nebo odeberte zásady protokolu IPsec/IKE pro prostředky připojení.

Parametry zásad

Standard protokolu IPsec a IKE podporuje širokou škálu kryptografických algoritmů v různých kombinacích. Informace o kryptografických požadavcích a branách Azure VPN najdete v tématu o tom, jak to může pomoct zajistit připojení mezi různými místy a připojením typu VNet-to-VNet, aby splňovaly vaše požadavky na dodržování předpisů nebo zabezpečení. Mějte na paměti následující aspekty:

  • Zásady IPsec/IKE fungují jenom u následujících skladových položek brány:
    • VpnGw1~5 a VpnGw1AZ~5AZ
    • Standard a HighPerformance
  • Pro jedno připojení můžete zadat pouze jednu kombinaci zásad.
  • Musíte zadat všechny algoritmy a parametry pro protokol IKE (hlavní režim) i protokol IPsec (rychlý režim). Částečná specifikace zásad není povolená.
  • Obraťte se na specifikace dodavatele zařízení VPN a ujistěte se, že jsou zásady podporované na místních zařízeních VPN. Připojení typu S2S nebo VNet-to-VNet nemůžou navázat, pokud nejsou zásady nekompatibilní.

Silné stránky kryptografických algoritmů a klíčů

Následující tabulka uvádí podporované konfigurovatelné kryptografické algoritmy a silné stránky klíčů.

IPsec/IKEv2 Možnosti
Šifrování IKEv2 GCMAES256, GCMAES128, AES256, AES192, AES128
Integrita IKEv2 SHA384, SHA256, SHA1, MD5
Skupina DH DHGroup24, ECP384, ECP256, DHGroup14, DHGroup2048, DHGroup2, DHGroup1, None
Šifrování IPsec GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, Žádné
Integrita protokolu IPsec GCMAES256, GCMAES192, GCMAES128, SHA256, SHA1, MD5
Skupina PFS PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, Žádná
Životnost SA rychlého režimu (Volitelné; výchozí hodnoty, pokud nejsou zadané)
Sekundy (celé číslo; minimálně 300, výchozí 27 000)
Kilobajtů (celé číslo; minimálně 1 024, výchozí 10 2400 000)
Selektor provozu UsePolicyBasedTrafficSelectors ($True nebo $False, ale nepovinný; výchozí, $False pokud není zadán)
Časový limit DPD Sekundy (celé číslo; minimálně 9, maximum 3 600, výchozí 45)

  • Konfigurace místního zařízení VPN se musí shodovat nebo obsahovat následující algoritmy a parametry, které zadáte v zásadách Azure IPsec nebo IKE:

    • Šifrovací algoritmus IKE (hlavní režim, fáze 1)
    • Algoritmus integrity protokolu IKE (hlavní režim, fáze 1)
    • Skupina DH (hlavní režim, fáze 1)
    • Šifrovací algoritmus IPsec (rychlý režim, fáze 2)
    • Algoritmus integrity protokolu IPsec (rychlý režim, fáze 2)
    • Skupina PFS (rychlý režim, fáze 2)
    • Selektor provozu (pokud používáte UsePolicyBasedTrafficSelectors)
    • Životnosti přidružení služby (místní specifikace, které se nemusí shodovat)

  • Pokud pro šifrovací algoritmus IPsec používáte GCMAES, musíte pro integritu protokolu IPsec vybrat stejný algoritmus a délku klíče GCMAES. Například pro oba použijte GCMAES128.

  • V tabulce algoritmů a klíčů:

    • IKE odpovídá hlavnímu režimu nebo fázi 1.
    • Protokol IPsec odpovídá rychlému režimu nebo fázi 2.
    • Skupina DH určuje skupinu Diffie-Hellman použitou v hlavním režimu nebo fázi 1.
    • Skupina PFS určuje skupinu Diffie-Hellman použitou v rychlém režimu nebo fázi 2.

  • Životnost přidružení zabezpečení hlavního režimu IKE je u bran Azure VPN opravena na 28 800 sekund.

  • UsePolicyBasedTrafficSelectors je volitelný parametr připojení. Pokud jste nastavili UsePolicyBasedTrafficSelectors $True připojení, nakonfiguruje bránu VPN tak, aby se připojila k místní bráně firewall vpn založené na zásadách.

    Pokud povolíte UsePolicyBasedTrafficSelectors, ujistěte se, že vaše zařízení VPN má definované odpovídající selektory provozu se všemi kombinacemi předpon místní sítě (brány místní sítě) nebo z předpon virtuální sítě Azure místo předpon typu any-to-any. Brána VPN přijímá jakýkoli výběr provozu, který vzdálená brána VPN navrhuje, bez ohledu na to, co je na bráně VPN nakonfigurované.

    Například pokud jsou předpony vaší místní sítě 10.1.0.0/16 a 10.2.0.0/16 a předpony vaší virtuální sítě jsou 192.168.0.0/16 a 172.16.0.0/16, je potřeba zadat následující selektory provozu:

    • 10.1.0.0/16 <====> 192.168.0.0/16
    • 10.1.0.0/16 <====> 172.16.0.0/16
    • 10.2.0.0/16 <====> 192.168.0.0/16
    • 10.2.0.0/16 <====> 172.16.0.0/16

    Další informace o selektorech provozu založených na zásadách najdete v tématu Připojení brány VPN k několika místním zařízením VPN založeným na zásadách.

  • Nastavení časového limitu na kratší období způsobí, že se protokol IKE agresivněji opraví. Připojení se pak může v některých případech zdát odpojené. Tato situace nemusí být žádoucí, pokud jsou vaše místní umístění daleko od oblasti Azure, ve které se nachází brána VPN, nebo pokud by mohla dojít ke ztrátě paketů. Obecně doporučujeme nastavit časový limit mezi 30 a 45 sekund.

Poznámka:

Integrita IKEv2 se používá pro integritu i PRF (pseudonáhodná funkce).  Pokud je zadaný šifrovací algoritmus IKEv2 GCM*, hodnota předaná v integritě IKEv2 se používá pouze pro PRF a implicitně nastavíme integritu IKEv2 na GCM*. Ve všech ostatních případech se hodnota předaná v integritě IKEv2 používá pro integritu IKEv2 i PRF.

Skupiny Diffie-Hellman

Následující tabulka uvádí odpovídající skupiny Diffie-Hellman podporované vlastní zásadou:

Skupina Diffie-Hellman DHGroup PFSGroup Délka klíče
0 DHGroup1 PFS1 768bitová skupina MODP
2 DHGroup2 PFS2 1024bitová skupina MODP
14 DHGroup14
DHGroup2048		 PFS2048 2048bitová skupina MODP
19 ECP256 ECP256 256bitová skupina ECP
20 ECP384 ECP384 384bitová skupina ECP
24 DHGroup24 PFS24 2048bitová skupina MODP

Další informace najdete na stránkách RFC3526 a RFC5114.

Vytvoření připojení VPN S2S s využitím vlastních zásad

Tato část vás provede postupem vytvoření připojení VPN typu Site-to-Site pomocí zásad IPsec/IKE. Následující kroky vytvoří připojení, jak je znázorněno v následujícím diagramu. Místní lokalita v tomto diagramu představuje web Site6.

Diagram znázorňuje připojení brány vpn typu site-to-site s vlastní zásadou.

Krok 1: Vytvoření virtuální sítě, brány VPN a brány místní sítě pro virtuální síť TestVNet1

Vytvořte následující prostředky. Postup najdete v tématu Vytvoření připojení VPN typu Site-to-Site.

  1. Vytvořte virtuální síť TestVNet1 pomocí následujících hodnot.

    • Skupina prostředků: TestRG1
    • Název: TestVNet1
    • Oblast: USA – východ
    • Adresní prostor IPv4: 10.1.0.0/16
    • Název podsítě 1: FrontEnd
    • Rozsah adres podsítě 1: 10.1.0.0/24
    • Název podsítě 2: BackEnd
    • Rozsah adres podsítě 2: 10.1.1.0/24

  2. Vytvořte bránu virtuální sítě VNet1GW pomocí následujících hodnot.

    • Název: VNet1GW
    • Oblast: USA – východ
    • Typ brány: Síť VPN
    • Typ sítě VPN: Založená na trasách
    • SKU: VpnGw2
    • Generování: generace 2
    • Virtuální síť: VNet1
    • Rozsah adres podsítě brány: 10.1.255.0/27
    • Typ veřejné IP adresy: Basic nebo Standard
    • Veřejná IP adresa: Vytvoření nové
    • Název veřejné IP adresy: VNet1GWpip
    • Povolit režim aktivní-aktivní: Zakázáno
    • Konfigurace protokolu BGP: Zakázáno

Krok 2: Konfigurace brány místní sítě a prostředků připojení

  1. Pomocí následujících hodnot vytvořte prostředek brány místní sítě Site6 .

    • Název: Site6
    • Skupina prostředků: TestRG1
    • Umístění: USA – východ
    • IP adresa místní brány: 5.4.3.2 (jenom ukázková hodnota – použijte IP adresu místního zařízení).
    • Adresní prostory 10.61.0.0/16, 10.62.0.0/16 (pouze ukázková hodnota)

  2. Z brány virtuální sítě přidejte připojení k bráně místní sítě pomocí následujících hodnot.

    • Název připojení: VNet1toSite6
    • Typ připojení: IPsec
    • Brána místní sítě: Site6
    • Sdílený klíč: abc123 (ukázková hodnota – musí odpovídat použitému klíči místního zařízení)
    • Protokol IKE: IKEv2

Krok 3: Konfigurace vlastních zásad IPsec/IKE pro připojení VPN typu S2S

Nakonfigurujte vlastní zásadu IPsec/IKE s následujícími algoritmy a parametry:

  • Fáze IKE 1: AES256, SHA384, DHGroup24
  • IKE Fáze 2(IPsec): AES256, SHA256, PFS None
  • Životnost protokolu IPsec SA v KB: 102400000
  • Životnost SA protokolu IPsec v sekundách: 30000
  • Časový limit DPD: 45 sekund

  1. Přejděte k prostředku připojení , který jste vytvořili, VNet1toSite6. Otevřete stránku Konfigurace. Pokud chcete zobrazit všechny možnosti konfigurace, vyberte vlastní zásady IPsec/IKE. Následující snímek obrazovky ukazuje konfiguraci podle seznamu:

    Snímek obrazovky znázorňující konfiguraci připojení Site 6

    Pokud používáte GCMAES pro protokol IPsec, musíte použít stejný algoritmus ACMAES a délku klíče pro šifrování IPsec i integritu. Například následující snímek obrazovky určuje GCMAES128 pro šifrování IPsec i integritu protokolu IPsec:

    Snímek obrazovky znázorňující GCMAES pro protokol IPsec

  2. Pokud chcete službě Azure VPN Gateway povolit připojení k místním zařízením VPN založeným na zásadách, můžete vybrat možnost Povolit pro selektory provozu na základě zásad.

  3. Po výběru všech možností potvrďte změny prostředku připojení výběrem možnosti Uložit . Zásada se vynutí přibližně za minutu.

    Důležité

    • Po zadání zásady IPsec/IKE pro připojení brána Azure VPN Gateway odešle nebo přijme návrh protokolu IPsec/IKE pouze se zadanými kryptografickými algoritmy a sílami klíčů pro dané konkrétní připojení. Ujistěte se, že vaše místní zařízení VPN pro připojení používá nebo přijímá přesnou kombinaci zásad, jinak se tunel VPN S2S nenaváže.

    • Pomocí výchozích zásad je možné zadat selektor provozu založený na zásadách a možnosti časového limitu DPD bez vlastních zásad IPsec/IKE.

Vytvoření připojení typu VNet-to-VNet s využitím vlastních zásad

Postup vytvoření připojení typu VNet-to-VNet se zásadou IPsec/IKE se podobá připojení S2S VPN. Abyste mohli vytvořit a nakonfigurovat virtuální síť TestVNet1 a bránu VPN, musíte dokončit předchozí části v části Vytvoření připojení vpn typu S2S.

Diagram znázorňuje diagram zásad typu VNet-to-VNet pro virtuální síť TestVNet1 a TestVNet2.

Krok 1: Vytvoření virtuální sítě, brány VPN a brány místní sítě pro virtuální síť TestVNet2

Pomocí kroků v článku Vytvoření připojení typu VNet-to-VNet vytvořte virtuální síť TestVNet2 a vytvořte připojení typu VNet-to-VNet1.

Ukázkové hodnoty:

Virtuální síť TestVNet2

  • Skupina prostředků: TestRG2
  • Název: TestVNet2
  • Oblast: USA – západ
  • Adresní prostor IPv4: 10.2.0.0/16
  • Název podsítě 1: FrontEnd
  • Rozsah adres podsítě 1: 10.2.0.0/24
  • Název podsítě 2: BackEnd
  • Rozsah adres podsítě 2: 10.2.1.0/24

Brána VPN: VNet2GW

  • Název: VNet2GW
  • Oblast: USA – západ
  • Typ brány: Síť VPN
  • Typ sítě VPN: Založená na trasách
  • SKU: VpnGw2
  • Generování: generace 2
  • Virtuální síť: TestVNet2
  • Rozsah adres podsítě brány: 10.2.255.0/27
  • Typ veřejné IP adresy: Basic nebo Standard
  • Veřejná IP adresa: Vytvoření nové
  • Název veřejné IP adresy: VNet2GWpip
  • Povolit režim aktivní-aktivní: Zakázáno
  • Konfigurace protokolu BGP: Zakázáno

Krok 2: Konfigurace připojení VNet-to-VNet

  1. Z brány VNet1GW přidejte připojení VNet-to-VNet k VNet2GW s názvem VNet1toVNet2.

  2. Dále z VNet2GW přidejte připojení VNet-to-VNet k VNet1GW s názvem VNet2toVNet1.

  3. Po přidání připojení se zobrazí připojení typu VNet-to-VNet, jak je znázorněno na následujícím snímku obrazovky z prostředku VNet2GW:

    Snímek obrazovky znázorňující připojení typu VNet-to-VNet

Krok 3: Konfigurace vlastních zásad IPsec/IKE ve virtuální síti VNet1toVNet2

  1. Z prostředku připojení VNet1toVNet2 přejděte na stránku Konfigurace.

  2. V případě zásad IPsec/ IKE vyberte Vlastní , aby se zobrazily možnosti vlastních zásad. Vyberte kryptografické algoritmy s odpovídajícími délkami klíče. Tato zásada se nemusí shodovat s předchozími zásadami, které jste vytvořili pro připojení VNet1toSite6.

    Ukázkové hodnoty:

    • Fáze IKE 1: AES128, SHA1, DHGroup14
    • IKE Fáze 2(IPsec): GCMAES128, GCMAES128, PFS2048
    • Životnost protokolu IPsec SA v KB: 102400000
    • Životnost SA protokolu IPsec v sekundách: 14400
    • Časový limit DPD: 45 sekund

  3. Výběrem možnosti Uložit v horní části stránky použijte změny zásad u prostředku připojení.

Krok 4: Konfigurace vlastních zásad IPsec/IKE ve virtuální síti VNet2toVNet1

  1. Použijte stejnou zásadu pro připojení VNet2toVNet1, VNet2toVNet1. Pokud ne, tunel VPN IPsec/IKE se kvůli neshodě zásad nepřipojí.

    Důležité

    Po zadání zásady IPsec/IKE pro připojení brána Azure VPN Gateway odešle nebo přijme návrh protokolu IPsec/IKE pouze se zadanými kryptografickými algoritmy a sílami klíčů pro dané konkrétní připojení. Ujistěte se, že zásady IPsec pro obě připojení jsou stejné, jinak se připojení typu VNet-to-VNet nenaváže.

  2. Po dokončení těchto kroků se připojení vytvoří během několika minut a budete mít následující síťovou topologii.

    Diagram znázorňuje zásady protokolu IPsec/IKE pro síť VNet-to-VNet a S2S VPN.

Odebrání vlastních zásad z připojení

  1. Pokud chcete z připojení odebrat vlastní zásadu, přejděte k prostředku připojení.
  2. Na stránce Konfigurace změňte zásadu IP adresy /IKE z vlastní na výchozí. Tím se odeberou všechny vlastní zásady dříve zadané pro připojení a obnoví se výchozí nastavení protokolu IPsec/IKE pro toto připojení.
  3. Výběrem možnosti Uložit odeberete vlastní zásady a obnovíte výchozí nastavení protokolu IPsec/IKE v připojení.

Nejčastější dotazy k zásadám IPsec/IKE

Pokud chcete zobrazit nejčastější dotazy, přejděte do části Zásady protokolu IPsec/IKE v nejčastějších dotazech ke službě VPN Gateway.

Další kroky

Další informace o selektorech provozu založených na zásadách najdete v tématu Připojení více místních zařízení VPN založených na zásadách.