Přehled konfigurací partnerských zařízení VPN

Článek
07/28/2023

Tento článek obsahuje přehled konfigurace místních zařízení VPN pro připojení k branám Azure VPN. Ukázkové nastavení virtuální sítě Azure a brány VPN se používá k ukázce, jak se připojit k různým místním zařízením VPN pomocí stejných parametrů.

Požadavky na zařízení

Brány Azure VPN používají standardní sady protokolů IPsec/IKE pro tunely site-to-site (S2S) VPN. Seznam parametrů protokolu IPsec/IKE a kryptografických algoritmů pro brány Azure VPN najdete v tématu Informace o zařízeních VPN. Můžete také zadat přesné algoritmy a sílu klíče pro konkrétní připojení, jak je popsáno v tématu Informace o kryptografických požadavcích.

Jeden tunel VPN

První konfigurace v ukázce se skládá z jednoho tunelu S2S VPN mezi službou Azure VPN Gateway a místním zařízením VPN. Volitelně můžete přes tunel VPN nakonfigurovat protokol BGP (Border Gateway Protocol).

Diagram jednoho tunelu S2S VPN

Podrobné pokyny k nastavení jednoho tunelu VPN najdete v tématu Konfigurace připojení typu site-to-site. Následující části určují parametry připojení pro ukázkovou konfiguraci a obsahují skript PowerShellu, který vám pomůže začít.

Parametry připojení

Tato část obsahuje seznam parametrů pro příklady, které jsou popsány v předchozích částech.

Parametr	Hodnota
Předpony adres virtuální sítě	10.11.0.0/16 10.12.0.0/16
Azure VPN gateway IP	IP adresa VPN Gateway Azure
Předpony místních adres	10.51.0.0/16 10.52.0.0/16
IP adresa místního zařízení VPN	IP adresa místního zařízení VPN
* AsN protokolu BGP virtuální sítě	65010
* IP adresa partnerského uzlu Azure BGP	10.12.255.30
* Místní BGP ASN	65050
* Místní IP adresa partnerského uzlu protokolu BGP	10.52.255.254

* Volitelný parametr pouze pro protokol BGP.

Ukázkový skript PowerShellu

Tato část obsahuje ukázkový skript, který vám pomůžou začít. Podrobné pokyny najdete v tématu Vytvoření připojení VPN S2S pomocí PowerShellu.

# Declare your variables

$Sub1          = "Replace_With_Your_Subscription_Name"
$RG1           = "TestRG1"
$Location1     = "East US 2"
$VNetName1     = "TestVNet1"
$FESubName1    = "FrontEnd"
$BESubName1    = "Backend"
$GWSubName1    = "GatewaySubnet"
$VNetPrefix11  = "10.11.0.0/16"
$VNetPrefix12  = "10.12.0.0/16"
$FESubPrefix1  = "10.11.0.0/24"
$BESubPrefix1  = "10.12.0.0/24"
$GWSubPrefix1  = "10.12.255.0/27"
$VNet1ASN      = 65010
$DNS1          = "8.8.8.8"
$GWName1       = "VNet1GW"
$GWIPName1     = "VNet1GWIP"
$GWIPconfName1 = "gwipconf1"
$Connection15  = "VNet1toSite5"
$LNGName5      = "Site5"
$LNGPrefix50   = "10.52.255.254/32"
$LNGPrefix51   = "10.51.0.0/16"
$LNGPrefix52   = "10.52.0.0/16"
$LNGIP5        = "Your_VPN_Device_IP"
$LNGASN5       = 65050
$BGPPeerIP5    = "10.52.255.254"

# Connect to your subscription and create a new resource group

Connect-AzAccount
Select-AzSubscription -SubscriptionName $Sub1
New-AzResourceGroup -Name $RG1 -Location $Location1

# Create virtual network

$fesub1 = New-AzVirtualNetworkSubnetConfig -Name $FESubName1 -AddressPrefix $FESubPrefix1 $besub1 = New-AzVirtualNetworkSubnetConfig -Name $BESubName1 -AddressPrefix $BESubPrefix1
$gwsub1 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName1 -AddressPrefix $GWSubPrefix1

New-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 -Location $Location1 -AddressPrefix $VNetPrefix11,$VNetPrefix12 -Subnet $fesub1,$besub1,$gwsub1

# Create VPN gateway

$gwpip1    = New-AzPublicIpAddress -Name $GWIPName1 -ResourceGroupName $RG1 -Location $Location1 -AllocationMethod Dynamic
$vnet1     = Get-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1
$subnet1   = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet1
$gwipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName1 -Subnet $subnet1 -PublicIpAddress $gwpip1

New-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 -Location $Location1 -IpConfigurations $gwipconf1 -GatewayType Vpn -VpnType RouteBased -GatewaySku VpnGw1 -Asn $VNet1ASN

# Create local network gateway

New-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 -Location $Location1 -GatewayIpAddress $LNGIP5 -AddressPrefix $LNGPrefix51,$LNGPrefix52 -Asn $LNGASN5 -BgpPeeringAddress $BGPPeerIP5

# Create the S2S VPN connection

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1  -ResourceGroupName $RG1
$lng5gw  = Get-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1

New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $False

(Volitelné) Použití vlastních zásad IPsec/IKE s usePolicyBasedTrafficSelectors

Pokud vaše zařízení VPN nepodporují selektory provozu any-to-any, jako jsou konfigurace založené na trasách nebo VTI, vytvořte vlastní zásadu IPsec/IKE s možností UsePolicyBasedTrafficSelectors .

Důležité

Pokud chcete u připojení povolit možnost UsePolicyBasedTrafficSelectors , musíte vytvořit zásadu IPsec/IKE.

Ukázkový skript vytvoří zásadu IPsec/IKE s následujícími algoritmy a parametry:

IKEv2: AES256, SHA384, DHGroup24
IPsec: AES256, SHA1, PFS24, životnost SA 7 200 sekund a 20 480 000 kB (20 GB)

Skript použije zásadu IPsec/IKE a povolí možnost UsePolicyBasedTrafficSelectors pro připojení.

$ipsecpolicy5 = New-AzIpsecPolicy -IkeEncryption AES256 -IkeIntegrity SHA384 -DhGroup DHGroup24 -IpsecEncryption AES256 -IpsecIntegrity SHA1 -PfsGroup PFS24 -SALifeTimeSeconds 7200 -SADataSizeKilobytes 20480000

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1  -ResourceGroupName $RG1
$lng5gw  = Get-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1

New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $False -IpsecPolicies $ipsecpolicy5 -UsePolicyBasedTrafficSelectors $True

(Volitelné) Použití protokolu BGP u připojení VPN typu S2S

Při vytváření připojení VPN typu Site-to-Site můžete volitelně použít protokol BGP pro bránu VPN. Tento přístup má dva rozdíly:

Předpony místních adres můžou být jedna adresa hostitele. IP adresa místního partnerského uzlu protokolu BGP se zadává takto:

New-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 -Location $Location1 -GatewayIpAddress $LNGIP5 -AddressPrefix $LNGPrefix50 -Asn $LNGASN5 -BgpPeeringAddress $BGPPeerIP5

Při vytváření připojení musíte nastavit možnost -EnableBGP na $True:

New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $True

Další kroky

Podrobné pokyny k nastavení bran VPN typu aktivní-aktivní najdete v tématu Konfigurace bran VPN typu aktivní-aktivní pro připojení mezi různými místy a připojení typu VNet-to-VNet.