Tentang pengaturan konfigurasi VPN Gateway

Arsitektur koneksi gateway VPN bergantung pada konfigurasi beberapa sumber daya, yang masing-masing berisi pengaturan yang dapat dikonfigurasi. Bagian dalam artikel ini membahas sumber daya dan pengaturan yang terkait dengan gateway VPN untuk jaringan virtual. Anda dapat menemukan deskripsi dan diagram topologi untuk setiap solusi koneksi di artikel topologi dan desain VPN Gateway.

Nilai dalam artikel ini secara khusus berlaku untuk gateway VPN (gateway jaringan virtual yang menggunakan Vpn -GatewayType). Jika Anda mencari informasi tentang tipe gateway berikut ini, lihat artikel berikut ini:

Gateway dan jenis gateway

Gateway jaringan virtual terdiri dari dua atau beberapa VM yang dikelola Azure yang secara otomatis dikonfigurasi dan disebarkan ke subnet tertentu yang Anda buat yang disebut subnet gateway. Mesin virtual gateway berisi tabel perutean dan menjalankan layanan gateway khusus. Saat Anda membuat gateway jaringan virtual, gateway VM secara otomatis disebarkan ke subnet gateway (selalu bernama GatewaySubnet), dan dikonfigurasi dengan pengaturan yang Anda tentukan. Proses ini dapat memakan waktu 45 menit atau lebih untuk diselesaikan, tergantung pada SKU gateway yang Anda pilih.

Salah satu pengaturan yang Anda tentukan saat membuat gateway jaringan virtual adalah jenis gateway. Jenis gateway menentukan bagaimana gateway jaringan virtual digunakan dan tindakan yang dilakukan gateway. Satu jaringan virtual dapat memiliki dua gateway jaringan virtual; satu gateway VPN dan satu gateway ExpressRoute. -GatewayType 'Vpn' menentukan bahwa jenis gateway jaringan virtual yang dibuat adalah gateway VPN. Ini membedakannya dari gateway ExpressRoute.

SKU Gateway dan performanya

Lihat artikel Tentang SKU Gateway untuk informasi terbaru tentang SKU gateway, kinerja, dan fitur yang didukung.

Jenis VPN

Azure mendukung dua jenis VPN yang berbeda untuk gateway VPN: berbasis kebijakan dan berbasis rute. Gateway VPN berbasis rute dibangun di platform yang berbeda dari gateway VPN berbasis kebijakan. Ini menghasilkan spesifikasi gateway yang berbeda. Tabel berikut ini memperlihatkan SKU gateway yang mendukung setiap jenis VPN, dan versi IKE terkait yang didukung.

Jenis VPN Gateway SKU Gateway Versi IKE yang didukung
Gateway berbasis kebijakan Dasar IKEv1
Gateway berbasis rute Dasar IKEv2
Gateway berbasis rute VpnGw1AZ, VpnGw2AZ, VpnGw3AZ, VpnGw4AZ, VpnGw5AZ IKEv1 dan IKEv2

Dalam kebanyakan kasus, Anda akan membuat gateway VPN berbasis rute. Sebelumnya, SKU gateway yang lebih lama tidak mendukung IKEv1 untuk gateway berbasis rute. Sekarang, sebagian besar SKU gateway saat ini mendukung IKEv1 dan IKEv2.

  • Mulai 1 Okt 2023, gateway berbasis kebijakan hanya dapat dikonfigurasi menggunakan PowerShell atau CLI, dan tidak tersedia di portal Azure. Untuk membuat gateway berbasis kebijakan, lihat Membuat gateway VPN SKU Dasar menggunakan PowerShell.

  • Jika Anda sudah memiliki gateway berbasis kebijakan, Anda tidak diharuskan mengubah gateway Anda menjadi berbasis rute kecuali Anda ingin menggunakan konfigurasi yang memerlukan gateway berbasis rute, seperti titik-ke-situs.

  • Anda tidak dapat mengonversi gateway berbasis kebijakan menjadi berbasis rute. Anda harus menghapus gateway yang sudah ada, lalu membuat gateway baru sebagai berbasis rute.

Gateway mode aktif-aktif

Gateway VPN Azure dapat dikonfigurasi dalam mode aktif-siaga atau aktif-aktif. Dalam konfigurasi aktif-aktif, kedua instans VM gateway membuat terowongan VPN situs-ke-situs ke perangkat VPN lokal Anda. Gateway dalam mode aktif-aktif adalah bagian penting dari desain konektivitas gateway dengan ketersediaan tinggi. Untuk informasi lebih lanjut, baca artikel berikut:

IP Pribadi Gateway

Pengaturan ini digunakan untuk konfigurasi peering privat ExpressRoute tertentu. Untuk informasi selengkapnya, lihat Mengonfigurasi koneksi VPN Situs-ke-Situs melalui peering privat ExpressRoute.

Jenis koneksi

Setiap koneksi memerlukan jenis koneksi gateway jaringan virtual tertentu. Nilai PowerShell yang tersedia untuk New-AzVirtualNetworkGatewayConnection-Connection Type adalah: IPsec, Vnet2Vnet, ExpressRoute, VPNClient.

Mode koneksi

Properti Mode Koneksi hanya berlaku untuk gateway VPN berbasis rute yang menggunakan koneksi IKEv2. Mode koneksi menentukan arah inisiasi koneksi dan hanya berlaku untuk pembentukan koneksi IKE awal. Setiap pihak dapat menginisiasi penggantian kunci dan pesan-pesan berikutnya. InisiatorOnly berarti koneksi perlu dimulai oleh Azure. ResponderOnly berarti koneksi perlu dimulai oleh perangkat lokal. Perilaku Default adalah menerima dan menghubungi yang terlebih dahulu terhubung.

Subnet untuk gateway

Sebelum Anda membuat gateway VPN, Anda harus membuat subnet gateway terlebih dahulu. Subnet gateway berisi alamat IP yang digunakan oleh VM gateway jaringan virtual dan layanan. Saat Anda membuat gateway jaringan virtual, gateway VM disebarkan ke subnet gateway dan dikonfigurasi dengan pengaturan VPN gateway yang diperlukan. Jangan pernah menyebarkan hal lain (misalnya, lebih banyak VM) ke subnet gateway. Semua subnet gateway harus diberi nama 'GatewaySubnet' agar berfungsi dengan baik. Menamai subnet gateway sebagai 'GatewaySubnet' memberi tahu Azure bahwa subnet ini adalah subnet tempat Azure harus menyebarkan VM dan layanan gateway jaringan virtual.

Saat Anda membuat subnet gateway, Anda menentukan jumlah alamat IP yang ditampung oleh subnet tersebut. Alamat IP di subnet gateway dialokasikan ke gateway VM dan layanan gateway. Beberapa konfigurasi memerlukan lebih banyak alamat IP daripada yang lain.

Saat Anda merencanakan ukuran subnet gateway, rujuk dokumentasi untuk konfigurasi yang ingin Anda buat. Misalnya, konfigurasi koeksistensi ExpressRoute/VPN Gateway memerlukan subnet gateway yang lebih besar daripada kebanyakan konfigurasi lainnya. Meskipun dimungkinkan untuk membuat subnet gateway sekurang /29 (berlaku untuk SKU Dasar saja), semua SKU lainnya memerlukan subnet gateway berukuran /27 atau lebih besar (/27, /26, /25 dll.). Anda mungkin ingin membuat subnet gateway yang lebih besar dari /27 sehingga subnet memiliki alamat IP yang cukup untuk mengakomodasi kemungkinan konfigurasi di masa mendatang.

Contoh PowerShell berikut ini memperlihatkan subnet gateway bernama GatewaySubnet. Seperti yang Anda lihat, notasi CIDR menetapkan /27, sehingga alamat IP cukup untuk sebagian besar konfigurasi yang saat ini sudah ada.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Pertimbangan:

  • Rute yang ditentukan pengguna dengan tujuan 0.0.0.0/0 dan grup keamanan jaringan (NSG) pada subnet gateway tidak didukung. Rute yang ditentukan pengguna, yang berisi ruang alamat GatewaySubnet, dengan next-hop diatur ke none atau dengan next-hop diatur ke NVA (yang memiliki kebijakan untuk menghilangkan lalu lintas) tidak didukung. Gateway dengan konfigurasi ini diblokir agar tidak dibuat. Gateway memerlukan akses ke pengontrol manajemen agar berfungsi dengan baik. Propagasi rute Border Gateway Protocol (BGP) harus diaktifkan pada subnet gateway untuk memastikan ketersediaan gateway. Jika penyebaran rute BGP dinonaktifkan, gateway tidak akan berfungsi.

  • Diagnostik, jalur data, dan jalur kontrol dapat terpengaruh jika rute yang ditentukan pengguna tumpang tindih dengan rentang subnet gateway atau rentang IP publik gateway.

Gateway jaringan lokal

Gateway jaringan lokal berbeda dari gateway jaringan virtual. Saat Anda bekerja dengan arsitektur situs-ke-situs gateway VPN, gateway jaringan lokal biasanya mewakili jaringan lokal Anda dan perangkat VPN yang sesuai.

Saat mengonfigurasi gateway jaringan lokal, Anda menentukan nama, alamat IP publik, atau nama domain yang sepenuhnya memenuhi syarat (FQDN) perangkat VPN lokal, dan awalan alamat yang terletak di lokasi lokal. Azure melihat awalan alamat tujuan untuk lalu lintas jaringan, berkonsultasi dengan konfigurasi yang Anda tentukan untuk gateway jaringan lokal Anda, dan merutekan paket yang sesuai. Jika Anda menggunakan Border Gateway Protocol (BGP) di perangkat VPN, Anda menyediakan alamat IP serekan BGP perangkat VPN Anda dan nomor sistem otonom (ASN) jaringan lokal Anda. Anda juga menentukan gateway jaringan lokal untuk konfigurasi VNet-to-VNet yang menggunakan koneksi gateway VPN.

Contoh PowerShell berikut ini membuat gateway jaringan lokal baru:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

Terkadang Anda perlu mengubah pengaturan gateway jaringan lokal. Misalnya, saat Anda menambahkan atau mengubah rentang alamat, atau jika alamat IP perangkat VPN berubah. Untuk informasi selengkapnya, lihat Mengubah pengaturan gateway jaringan lokal.

REST API, PowerShell cmdlets, dan CLI

Untuk sumber daya teknis dan persyaratan sintaksis tertentu saat menggunakan REST API, cmdlet PowerShell, atau Azure CLI untuk konfigurasi VPN Gateway, lihat halaman berikut ini:

Langkah berikutnya

Untuk informasi selengkapnya tentang konfigurasi koneksi yang tersedia, lihat Tentang VPN Gateway.

  • Last updated on