Acerca de la configuración de VPN Gateway

La arquitectura de conexión de puerta de enlace de VPN se basa en la configuración de varios recursos, cada uno de los cuales contiene valores configurables. En las secciones de este artículo se describen los recursos y la configuración relacionados con una puerta de enlace de VPN para una red virtual. Encontrará descripciones y diagramas topológicos de cada solución de conexión en el artículo Topología y diseño de VPN Gateway.

Los valores de este artículo se aplican específicamente a las puertas de enlace de VPN (puertas de enlace de red virtual que usan -GatewayType Vpn). Si busca información sobre los siguientes tipos de puertas de enlace, consulte los siguientes artículos:

Puertas de enlace y tipos de puerta de enlace

Una puerta de enlace de red virtual está formada por dos o más máquinas virtuales administradas por Azure que se configuran e implementan automáticamente en la subred específica que cree, que se llama subred de puerta de enlace. Las máquinas virtuales de puerta de enlace contienen tablas de enrutamiento y ejecutan servicios de puerta de enlace específicos. Al crear una puerta de enlace de red virtual, las máquinas virtuales de puerta de enlace se implementan automáticamente en la subred de puerta de enlace (que siempre se llama GatewaySubnet) y se configuran con los valores que ha especificado. Este proceso puede tardar 45 minutos o más en completarse, dependiendo de la SKU de puerta de enlace que haya seleccionado.

Una de las opciones de configuración que se especifican al crear una puerta de enlace de red virtual es el tipo de puerta de enlace. El tipo de puerta de enlace especifica cómo se utiliza la puerta de enlace de red virtual y las acciones que realiza la puerta de enlace. Una red virtual puede tener dos puertas de enlace de red virtual, una puerta de enlace de VPN y una puerta de enlace de ExpressRoute. El valor -GatewayType 'Vpn' especifica que el tipo de puerta de enlace de red virtual que se crea es una puerta de enlace VPN. Esto lo distingue de una puerta de enlace de ExpressRoute.

SKU de puerta de enlace y rendimiento

Consulte el artículo Acerca de las SKU de puerta de enlace para obtener la información más reciente sobre las SKU de puerta de enlace, el rendimiento y las características admitidas.

Tipos de VPN

Azure admite dos tipos de VPN diferentes para las puertas de enlace de VPN: basadas en directivas y basadas en rutas. Las puertas de enlace de VPN basadas en rutas se basan en una plataforma diferente de las puertas de enlace de VPN basadas en directivas. Esto da como resultado diferentes especificaciones de puerta de enlace. En la tabla siguiente se muestran las SKU de puerta de enlace que admiten cada uno de los tipos de VPN y las versiones de IKE admitidas asociadas.

Tipo de VPN de la puerta de enlace SKU de puerta de enlace Versiones de IKE admitidas
Puerta de enlace basada en directivas Básico IKEv1
Puerta de enlace basada en rutas Básico IKEv2
Puerta de enlace basada en rutas VpnGw1AZ, VpnGw2AZ, VpnGw3AZ, VpnGw4AZ, VpnGw5AZ IKEv1 e IKEv2

En la mayoría de los casos, deberá crear una puerta de enlace VPN basada en rutas. Anteriormente, las SKU de puerta de enlace más antiguas no admitían IKEv1 para las puertas de enlace basadas en rutas. Ahora, la mayoría de las SKU de puerta de enlace actuales admiten IKEv1 y IKEv2.

  • A partir del 1 de octubre de 2023, las puertas de enlace basadas en directivas solo se pueden configurar mediante PowerShell o la CLI y no están disponibles en Azure Portal. Para crear una puerta de enlace basada en directivas, consulte Creación de una puerta de enlace de VPN de SKU básica mediante PowerShell.

  • Si ya tiene una puerta de enlace basada en directivas, no es necesario cambiarla a una puerta de enlace basada en rutas, a menos que quiera usar una configuración que requiera una puerta de enlace basada en rutas, como de punto a sitio.

  • No se puede convertir una puerta de enlace basada en directivas en una basada en rutas. Debe eliminar la puerta de enlace existente y, a continuación, crear una nueva puerta de enlace basada en rutas.

Puertas de enlace en modo activo-activo

Las puertas de enlace VPN de Azure se pueden configurar como activo-en espera o activo-activo. En una configuración activo-activo, ambas instancias de las máquinas virtuales de puerta de enlace establecen túneles VPN de sitio a sitio con su dispositivo VPN en sus instalaciones. Las puertas de enlace en modo activo-activo son una parte fundamental del diseño de conectividad de alta disponibilidad de las puertas de enlace. Vea los siguientes artículos para más información:

Direcciones IP privadas de puerta de enlace

Esta configuración se usa para determinadas configuraciones de emparejamiento privado de ExpressRoute. Para obtener más información, consulteConfiguración de una conexión VPN de sitio a sitio a través del emparejamiento privado de ExpressRoute.

Tipos de conexión

Cada conexión requiere un tipo de conexión de puerta de enlace de red virtual específico. Los valores de PowerShell disponibles para New-AzVirtualNetworkGatewayConnection-Connection Type son: IPsec, Vnet2Vnet, ExpressRoute, VPNClient.

Modos de conexión

La propiedad Modo de conexión solo se aplica a las puertas de enlace de VPN basadas en rutas que usan conexiones IKEv2. Los modos de conexión definen la dirección de inicio de la conexión y solo se aplican al establecimiento inicial de la conexión IKE. Cualquier parte puede iniciar el cambio de claves y los mensajes posteriores. InitiatorOnly significa que Azure debe iniciar la conexión. ResponderOnly significa que el dispositivo local debe iniciar la conexión. El comportamiento por defecto consiste en aceptar y llamar a la que se conecte primero.

Subred de puerta de enlace

Antes de crear una puerta de enlace VPN, debe crear una subred de la puerta de enlace. La subred de puerta de enlace contiene las direcciones IP que usan los servicios y las máquinas virtuales de la puerta de enlace de red virtual. Al crear la puerta de enlace de red virtual, las máquinas virtuales de puerta de enlace se implementan en la subred de puerta de enlace, y se configuran con las opciones de puerta de enlace de VPN necesarias. Nunca implemente nada más (por ejemplo, más máquinas virtuales) en la subred de puerta de enlace. La subred de puerta de enlace debe llamarse 'GatewaySubnet' para funcionar correctamente. La asignación del nombre "GatewaySubnet" a la subred de puerta de enlace permite a Azure saber que esta es la subred en la que debe implementar las máquinas virtuales y los servicios de la puerta de enlace de red virtual.

Al crear la subred de puerta de enlace, especifique el número de direcciones IP que contiene la subred. Las direcciones IP de la subred de puerta de enlace se asignan a las máquinas virtuales y los servicios de puerta de enlace. Algunas configuraciones requieren más direcciones IP que otras.

Cuando planifique el tamaño de la subred de puerta de enlace, consulte la documentación sobre la configuración que va a crear. Por ejemplo, la configuración de coexistencia de ExpressRoute/VPN Gateway requiere una subred de puerta de enlace mayor que la mayoría de las restantes. Aunque es posible crear una subred de puerta de enlace tan pequeña como /29 (aplicable solo a la SKU básica), todas las demás SKU requieren una subred de puerta de enlace de tamaño /27 o mayor (/27, /26, /25, etc.). Es posible que desee crear una subred de puerta de enlace mayor que /27 para que la subred tenga suficientes direcciones IP para dar cabida a posibles configuraciones futuras.

En el ejemplo de PowerShell siguiente, se muestra una subred de puerta de enlace con el nombre GatewaySubnet. Puede ver que la notación CIDR especifica /27, que permite suficientes direcciones IP para la mayoría de las configuraciones que existen.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Consideraciones:

  • Las rutas definidas por el usuario con un destino 0.0.0.0/0 y grupos de seguridad de red (NSG) en la subred de puerta de enlace no se admiten. Las rutas definidas por el usuario, que contienen el espacio de direcciones de GatewaySubnet, con el próximo salto configurado como ninguno o con el próximo salto configurado en NVA (que tiene directiva para bloquear el tráfico) no se admiten. Se bloquea la creación de las puertas de enlace con esta configuración. Las puertas de enlace requieren acceso a los controladores de administración para que funcionen correctamente. Se debe habilitar la propagación de rutas del Protocolo de puerta de enlace de borde (BGP) en la subred de la puerta de enlace para garantizar la disponibilidad de la puerta de enlace. Si la propagación de rutas de BGP está deshabilitada, la puerta de enlace no funcionará.

  • Los diagnósticos, la ruta de datos y la ruta de control pueden verse afectados si una ruta definida por el usuario se solapa con el intervalo de la subred de la puerta de enlace o el intervalo de IP pública de la puerta de enlace.

Puertas de enlace de red local

Una puerta de enlace de red local es diferente a una puerta de enlace de red virtual. Al trabajar con una arquitectura de puerta de enlace de VPN de sitio a sitio, la puerta de enlace de red local suele representar la red local de sus instalaciones y el dispositivo VPN correspondiente.

Cuando se configura la puerta de enlace de red local, se especifica el nombre, la dirección IP pública o el nombre de dominio completo del dispositivo VPN local, así como los prefijos de dirección que se encuentran en la ubicación local. Azure examina los prefijos de dirección de destino para el tráfico de red, consulta la configuración que especificó para la puerta de enlace de red local y enruta los paquetes según corresponda. Si utiliza Border Gateway Protocol (BGP) en su dispositivo VPN, debe proporcionar la dirección IP del par BGP de su dispositivo VPN y el número de sistema autónomo (ASN) de su red on-premises. También debe especificar puertas de enlace de red local para configuraciones de red virtual a red virtual que utilizan una conexión de puerta de enlace VPN.

En el ejemplo siguiente de PowerShell, se crea una nueva puerta de enlace de red local:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

A veces es necesario modificar la configuración de la puerta de enlace de red local. Por ejemplo, al agregar o modificar el intervalo de direcciones, o si cambia la dirección IP del dispositivo VPN. Para más información, consulte Modificar la configuración de la puerta de enlace de red local.

API de REST, cmdlets de PowerShell y CLI

Para obtener información sobre los recursos técnicos y los requisitos de sintaxis específicos al usar las API de REST, los cmdlets de PowerShell o la CLI de Azure para configuraciones de VPN Gateway, consulte las páginas siguientes:

Pasos siguientes

Para más información sobre las configuraciones de conexión disponibles, vea About VPN Gateway (Acerca de VPN Gateway).

  • Last updated on