Configurare una connessione di autenticazione del certificato da sito a sito Gateway VPN - Anteprima

In questo articolo viene usato il portale di Azure per creare una connessione gateway VPN di autenticazione da sito a sito (S2S) tra la rete locale e la rete virtuale. I passaggi per questa configurazione usano identità gestita, Azure Key Vault e certificati. Se invece è necessario creare una connessione VPN da sito a sito che usa una chiave condivisa, vedere Creare una connessione VPN da sito a sito.

Prerequisiti

Nota

L'autenticazione del certificato da sito a sito non è supportata nei gateway VPN SKU basic.

• Si dispone già di una rete virtuale e di un gateway VPN. In caso contrario, seguire la procedura per creare un gateway VPN, quindi tornare a questa pagina per configurare la connessione di autenticazione del certificato da sito a sito.

• Verificare di avere un dispositivo VPN compatibile e che sia presente un utente che possa configurarlo. Per altre informazioni sui dispositivi VPN compatibili e sulla configurazione dei dispositivi, vedere Informazioni sui dispositivi VPN.

• Verificare di avere un indirizzo IPv4 pubblico esterno per il dispositivo VPN.

• Se non si ha familiarità con gli intervalli degli indirizzi IP disponibili nella configurazione della rete locale, è necessario coordinarsi con qualcuno che possa fornire tali dettagli. Quando si crea questa configurazione, è necessario specificare i prefissi degli intervalli di indirizzi IP che Azure instraderà alla posizione in locale. Nessuna delle subnet della rete locale può sovrapporsi alle subnet della rete virtuale a cui ci si vuole connettere.

Creare un'identità gestita

Questa configurazione richiede un'identità gestita. Per altre informazioni sulle identità gestite, vedere Informazioni sulle identità gestite per le risorse di Azure. Se si ha già un'identità gestita assegnata dall'utente, è possibile usarla per questo esercizio. In caso contrario, seguire questa procedura per creare un'identità gestita.

1. Nella portale di Azure cercare e selezionare Identità gestite.
2. Selezionare Crea.
3. Immettere le informazioni necessarie. Quando si crea il nome, usare qualcosa di intuitivo. Ad esempio, gestito da sito a sito o gestito da vpngwy. È necessario il nome per i passaggi di configurazione dell'insieme di credenziali delle chiavi. Il gruppo di risorse non deve corrispondere al gruppo di risorse usato per il gateway VPN.
4. Selezionare Rivedi e crea.
5. I valori convalidano. Al termine della convalida selezionare Crea.

Abilitare Gateway VPN per l'insieme di credenziali delle chiavi e l'identità gestita

In questa sezione viene abilitato il gateway per Azure Key Vault e l'identità gestita creata in precedenza. Per altre informazioni su Azure Key Vault, vedere Informazioni su Azure Key Vault.

1. Nel portale passare al gateway di rete virtuale (gateway VPN).
2. Passare a Impostazioni -> Configurazione. Nella pagina Configurazione specificare le impostazioni di autenticazione seguenti:
   • Abilitare l'accesso all'insieme di credenziali delle chiavi: abilitato.
   • Identità gestita: selezionare l'identità gestita creata in precedenza.
3. Salva le impostazioni.

Creare un gateway di rete locale

Il gateway di rete locale è un oggetto specifico che rappresenta la posizione locale (il sito) a scopo di routing. Assegnare al sito un nome che Azure possa usare come riferimento, quindi specificare l'indirizzo IP del dispositivo VPN locale con cui si crea una connessione. Specificare anche i prefissi degli indirizzi IP che saranno instradati tramite il gateway VPN al dispositivo VPN. I prefissi degli indirizzi specificati sono quelli disponibili nella rete locale. Se la rete locale viene modificata o è necessario modificare l'indirizzo IP pubblico del dispositivo VPN, è possibile aggiornare facilmente i valori in un secondo momento.

Nota

L'oggetto gateway di rete locale viene distribuito in Azure, non nel percorso locale.

Creare un gateway di rete locale usando i valori seguenti:

• Nome: Site1
• Gruppo di risorse: TestRG1
• Località: Stati Uniti orientali

Considerazioni sulla configurazione:

• Il Gateway VPN supporta un solo indirizzo IPv4 per ogni FQDN. Se il nome di dominio si risolve in più indirizzi IP, il gateway VPN usa il primo restituito dai server DNS. Per eliminare l'incertezza, è consigliabile che il nome FQDN si risolva sempre in un singolo indirizzo IPv4. IPv6 non è supportato.
• Il gateway VPN mantiene una cache DNS che viene aggiornata ogni 5 minuti. Il gateway prova a risolvere i nomi FQDN solo per i tunnel disconnessi. La reimpostazione del gateway attiva anche la risoluzione FQDN.
• Anche se il Gateway VPN supporta più le connessioni a gateway di rete locali diversi con FQDN diversi, tutti i nomi di dominio completi devono essere risolti in indirizzi IP diversi.

1. Nel portale, passare a Gateway di rete locale e quindi aprire la pagina Crea gateway di rete locale.

2. Nella scheda Informazioni di base, specificare i valori per il gateway di rete locale.

   

   • Sottoscrizione: verificare che sia visualizzata la sottoscrizione corretta.
   • Gruppo di risorse: selezionare il gruppo di risorse che si desidera usare. È possibile creare un nuovo gruppo di risorse o selezionarne uno già creato.
   • Area: selezionare l'area per questo oggetto. È possibile selezionare la stessa posizione in cui risiede la rete virtuale, ma non è necessario farlo.
   • Nome: specificare un nome per l'oggetto gateway di rete locale.
   • Endpoint: selezionare il tipo di endpoint per il dispositivo VPN locale come indirizzo IP o un FQDN (nome di dominio completo).
     • Indirizzo IP: se si dispone di un indirizzo IP pubblico statico allocato dal provider di servizi Internet (ISP) per il dispositivo VPN, selezionare l'opzione Indirizzo IP. Compilare l'indirizzo IP come illustrato nell'esempio. Si tratta dell'indirizzo IP pubblico del dispositivo VPN a cui si dovrà connettere il gateway VPN di Azure. Se non si ha l'indirizzo IP al momento, è possibile usare i valori mostrati nell'esempio. Successivamente, è necessario tornare indietro e sostituire l'indirizzo IP segnaposto con l'indirizzo IP pubblico del dispositivo VPN. In caso contrario, Azure non può connettersi.
     • FQDN: se è disponibile un indirizzo IP pubblico dinamico che potrebbe cambiare dopo un certo periodo di tempo, spesso specificato dall’ISP, è possibile usare un nome DNS costante con un servizio DNS dinamico da puntare all'indirizzo IP pubblico corrente del dispositivo VPN. Il gateway VPN di Azure risolve il nome di dominio completo per determinare l'indirizzo IP pubblico a cui connettersi.
   • Spazio indirizzi: lo spazio indirizzi fa riferimento agli intervalli di indirizzi per la rete rappresentata da questa rete locale. È possibile aggiungere più intervalli di spazi indirizzi. Assicurarsi che gli intervalli specificati non si sovrappongano con gli intervalli di altre reti a cui ci si vuole connettere. Azure indirizza l'intervallo di indirizzi specificato all'indirizzo IP del dispositivo VPN locale. Usare valori personalizzati se si vuole stabilire la connessione con il sito locale, non i valori mostrati nell'esempio.

3. Nella scheda Avanzate è possibile configurare le impostazioni BGP, se necessario.

4. Dopo aver specificato i valori, selezionare Rivedi + crea nella parte inferiore della pagina per convalidare la pagina.

5. Selezionare Crea per creare l’oggetto gateway di rete locale.

Certificati

L'architettura di autenticazione del certificato da sito a sito si basa sia sui certificati in ingresso che in uscita.

Nota

I certificati in ingresso e in uscita non devono essere generati dallo stesso certificato radice.

Certificato in uscita

• Il certificato in uscita viene usato per verificare le connessioni provenienti da Azure al sito locale.
• Il certificato viene archiviato in Azure Key Vault. Specificare l'identificatore del percorso del certificato in uscita quando si configura la connessione da sito a sito.
• È possibile creare un certificato usando un'autorità di certificazione di propria scelta oppure creare un certificato radice autofirmato.

Quando si genera un certificato in uscita, il certificato deve rispettare le linee guida seguenti:

• Lunghezza minima della chiave di 2048 bit.
• Deve avere una chiave privata.
• Deve disporre dell'autenticazione client e del server.
• Deve avere un nome soggetto.

Certificato in ingresso

• Il certificato in ingresso viene usato per la connessione dalla posizione locale ad Azure.
• Il valore del nome soggetto viene usato quando si configura la connessione da sito a sito.
• La chiave pubblica della catena di certificati viene specificata quando si configura la connessione da sito a sito.

Generare i certificati

Usare PowerShell in locale nel computer per generare certificati. La procedura seguente illustra come creare un certificato radice autofirmato e certificati foglia (in ingresso e in uscita). Quando si usano gli esempi seguenti, non chiudere la finestra di PowerShell tra la creazione della CA radice autofirmato e i certificati foglia.

Creare un certificato radice autofirmato

Usare il cmdlet New-SelfSignedCertificate per creare un certificato radice autofirmato. Per altre informazioni sui parametri, vedere New-SelfSignedCertificate.

1. Da un computer che esegue Windows 10 o versione successiva o Windows Server 2016 aprire una console di Windows PowerShell con privilegi elevati.

2. Creare un certificato radice autofirmato. L'esempio seguente crea un certificato radice autofirmato denominato "VPNRootCA01", che viene installato automaticamente in "Certificates-Current User\Personal\Certificates". Dopo aver creato il certificato, è possibile visualizzarlo aprendo certmgr.msc o Gestisci certificati utente.

   Apportare le modifiche necessarie prima di usare questo esempio. Il parametro 'NotAfter' è facoltativo. Per impostazione predefinita, senza questo parametro, il certificato scade in un anno.

   PowerShell

   $params = @{
       Type = 'Custom'
       Subject = 'CN=VPNRootCA01'
       KeySpec = 'Signature'
       KeyExportPolicy = 'Exportable'
       KeyUsage = 'CertSign'
       KeyUsageProperty = 'Sign'
       KeyLength = 2048
       HashAlgorithm = 'sha256'
       NotAfter = (Get-Date).AddMonths(120)
       CertStoreLocation = 'Cert:\CurrentUser\My'
       TextExtension = @('2.5.29.19={critical}{text}ca=1&pathlength=4')
   }
   $cert = New-SelfSignedCertificate @params
   

3. Per generare certificati foglia, lasciare aperta la console di PowerShell e procedere con i passaggi successivi.

Generare certificati foglia

Questi esempi usano il cmdlet New-SelfSignedCertificate per generare certificati foglia in uscita e in ingresso. I certificati vengono installati automaticamente in 'Certificati - Utente corrente\Personale\Certificati' nel computer.

Certificato in uscita

PowerShell

   $params = @{
       Type = 'Custom'
       Subject = 'CN=Outbound-certificate'
       KeySpec = 'Signature'
       KeyExportPolicy = 'Exportable'
       KeyLength = 2048
       HashAlgorithm = 'sha256'
       NotAfter = (Get-Date).AddMonths(120)
       CertStoreLocation = 'Cert:\CurrentUser\My'
       Signer = $cert
       TextExtension = @(
        '2.5.29.37={text}1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.1')
   }
   New-SelfSignedCertificate @params

Certificato in ingresso

PowerShell

   $params = @{
       Type = 'Custom'
       Subject = 'CN=Inbound-certificate'
       KeySpec = 'Signature'
       KeyExportPolicy = 'Exportable'
       KeyLength = 2048
       HashAlgorithm = 'sha256'
       NotAfter = (Get-Date).AddMonths(120)
       CertStoreLocation = 'Cert:\CurrentUser\My'
       Signer = $cert
       TextExtension = @(
        '2.5.29.37={text}1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.1')
   }
   New-SelfSignedCertificate @params

Certificato in uscita: esportare i dati delle chiavi private

Esportare le informazioni sul certificato in uscita (con la chiave privata) in un file con estensione pfx o pem. Queste informazioni sul certificato vengono caricate in modo sicuro in Azure Key Vault nei passaggi successivi. Per eseguire l'esportazione in pfx tramite Windows, seguire questa procedura:

1. Per ottenere il certificato del file .cer, aprire Gestire i certificati utente.

2. Individuare il certificato in uscita, in genere in Certificati - Utente corrente\Personale\Certificati, e fare clic con il pulsante destro del mouse. Selezionare Tutte le attività ->Esporta. Si avvia la procedura di Esportazione guidata certificati.

3. Nella procedura guidata selezionare Avanti.

4. Selezionare Sì, esportare la chiave privata e quindi selezionare Avanti.

5. Nella pagina Formato file di esportazione selezionare Scambio di informazioni personali - PKCS #12 (PFX). Selezionare gli elementi seguenti:

   • Includi tutti i certificati nel percorso di certificazione se possibile
   • Esporta tutte le proprietà estese
   • Abilitare la privacy dei certificati

6. Selezionare Avanti. Nella pagina Sicurezza selezionare Password e un metodo di crittografia. Quindi seleziona Avanti.

7. Specificare un nome file e passare al percorso in cui si desidera esportare.

8. Selezionare Fine per esportare il certificato.

9. Verrà visualizzata una conferma che indica che l'esportazione ha avuto esito positivo.

Certificato in ingresso - Esportare i dati delle chiavi pubbliche

Esportare i dati della chiave pubblica per il certificato in ingresso. Le informazioni nel file vengono usate per il campo della catena di certificati in ingresso quando si configura la connessione da sito a sito. I file esportati devono essere nel .cer formato . Non crittografare il valore del certificato.

1. Per ottenere il certificato del file .cer, aprire Gestire i certificati utente.
2. Individuare il certificato, in genere in Certificati - Utente corrente\Personale\Certificati, e fare clic con il pulsante destro del mouse. Selezionare Tutte le attività ->Esporta. Si avvia la procedura di Esportazione guidata certificati.
3. Nella procedura guidata selezionare Avanti.
4. Selezionare No, non esportare la chiave privata. Quindi seleziona Avanti.
5. Selezionare Base-64 con codifica X.509 (. CER), quindi selezionare Avanti.
6. Specificare un nome file e passare al percorso in cui si desidera esportare.
7. Selezionare Fine per esportare il certificato.
8. Verrà visualizzata una conferma che indica che l'esportazione ha avuto esito positivo.
9. Questo .cer file viene usato in un secondo momento, quando si configura la connessione.

Certificato radice: esportare i dati delle chiavi pubbliche

Esportare i dati della chiave pubblica per il certificato radice. I file esportati devono essere nel .cer formato . Non crittografare il valore del certificato.

1. Per ottenere il certificato del file .cer, aprire Gestire i certificati utente.
2. Individuare il certificato, in genere in Certificati - Utente corrente\Personale\Certificati, e fare clic con il pulsante destro del mouse. Selezionare Tutte le attività ->Esporta. Si avvia la procedura di Esportazione guidata certificati.
3. Nella procedura guidata selezionare Avanti.
4. Selezionare No, non esportare la chiave privata. Quindi seleziona Avanti.
5. Selezionare Base-64 con codifica X.509 (. CER), quindi selezionare Avanti.
6. Specificare un nome file e passare al percorso in cui si desidera esportare.
7. Selezionare Fine per esportare il certificato.
8. Verrà visualizzata una conferma che indica che l'esportazione ha avuto esito positivo.
9. Questo .cer file viene usato in un secondo momento, quando si configura la connessione.

Creare un insieme di credenziali delle chiavi

Questa configurazione richiede Azure Key Vault. La procedura seguente consente di creare un insieme di credenziali delle chiavi. Il certificato e l'identità gestita verranno aggiunti all'insieme di credenziali delle chiavi in un secondo momento. Per istruzioni più complete, vedere Avvio rapido : Creare un insieme di credenziali delle chiavi usando il portale di Azure.

1. Nella portale di Azure cercare Insiemi di credenziali delle chiavi. Nella pagina Insiemi di credenziali delle chiavi selezionare +Crea.
2. Nella pagina Crea un insieme di credenziali delle chiavi compilare le informazioni necessarie. Il gruppo di risorse non deve corrispondere al gruppo di risorse usato per il gateway VPN.
3. Nella scheda Configurazione di accesso selezionare Criteri di accesso all'insieme di credenziali per Modello di autorizzazione.
4. Non compilare nessuno degli altri campi.
5. Selezionare Rivedi e crea e quindi Crea l'insieme di credenziali delle chiavi.

Aggiungere il file del certificato in uscita all'insieme di credenziali delle chiavi

La procedura seguente consente di caricare le informazioni sul certificato in uscita in Azure Key Vault.

1. Passare all'insieme di credenziali delle chiavi. Nel riquadro sinistro aprire la pagina Certificati .
2. Nella pagina Certificati selezionare +Genera/Importa.
3. Per Metodo di creazione del certificato selezionare Importa nell'elenco a discesa.
4. Immettere un nome di certificato intuitivo. Non è necessario che sia il nome del certificato CN o il nome del file del certificato.
5. Caricare il file del certificato in uscita. Il file del certificato deve essere in uno dei formati seguenti:
   • Pfx
   • Pfm
6. Immettere la password usata per proteggere le informazioni sul certificato.
7. Selezionare Crea per caricare il file del certificato.

Aggiungere l'identità gestita all'insieme di credenziali delle chiavi

1. Passare all'insieme di credenziali delle chiavi. Nel riquadro sinistro aprire la pagina Criteri di accesso .
2. Seleziona + Crea.
3. Nella pagina Crea criteri di accesso selezionare Seleziona tutto per Opzioni di gestione dei segreti e Operazioni di gestione certificati.
4. Selezionare Avanti per passare alla pagina Principal*.
5. Nella pagina Entità cercare e selezionare l'identità gestita creata in precedenza.
6. Selezionare Avanti e passare alla pagina Rivedi e crea . Selezionare Crea.

Configurare il dispositivo VPN

Le connessioni da sito a sito verso una rete locale richiedono un dispositivo VPN. In questo passaggio configurare il dispositivo VPN. Quando si configura il dispositivo VPN, è necessario specificare i valori seguenti:

• Certificato: sono necessari i dati del certificato usati per l'autenticazione. Questo certificato verrà usato anche come certificato in ingresso durante la creazione della connessione VPN.
• Valori degli indirizzi IP pubblici per il gateway di rete virtuale: per trovare l'indirizzo IP pubblico per l'istanza della macchina virtuale del gateway VPN usando il portale di Azure, passare al gateway di rete virtuale e cercare in Impostazioni ->Proprietà. Se si dispone di un gateway in modalità attiva (scelta consigliata), assicurarsi di configurare i tunnel per ogni istanza di macchina virtuale. Entrambi i tunnel fanno parte della stessa connessione. I gateway VPN in modalità attiva hanno due indirizzi IP pubblici, uno per ogni istanza di macchina virtuale del gateway.

A seconda del dispositivo VPN usato, potrebbe essere possibile scaricare un apposito script di configurazione. Per altre informazioni, vedere Scaricare gli script di configurazione del dispositivo VPN.

Per altre informazioni sulla configurazione, vedere i collegamenti seguenti:

• Per informazioni sui dispositivi VPN compatibili, vedere Dispositivi VPN.
• Prima di configurare il dispositivo VPN, verificare eventuali Problemi noti di compatibilità del dispositivo per il dispositivo VPN da usare.
• Per collegamenti alle impostazioni di configurazione dei dispositivi, vedere Dispositivi VPN convalidati. I collegamenti alla configurazione del dispositivo vengono forniti nel modo più efficiente possibile. È sempre consigliabile rivolgersi al produttore del dispositivo per le informazioni di configurazione più aggiornate. L'elenco include le versioni testate. Se il sistema operativo in uso non è incluso in tale elenco, è comunque possibile che la versione sia compatibile. Rivolgersi al produttore del dispositivo per verificare la compatibilità della versione del sistema operativo del dispositivo VPN.
• Per una panoramica della configurazione di dispositivi VPN, vedere Panoramica delle configurazioni di dispositivi VPN di terze parti.
• Per informazioni sulla modifica degli esempi, vedere Modifica degli esempi di configurazione di dispositivo.
• Per i requisiti di crittografia, vedere About cryptographic requirements and Azure VPN gateways (Informazioni sui requisiti di crittografia e i gateway VPN di Azure).
• Per informazioni sui parametri IPsec/IKE, vedere Informazioni sui dispositivi VPN e sui parametri IPsec/IKE per connessioni del Gateway VPN da sito a sito. Tale articolo contiene informazioni su versione IKE, gruppo Diffie-Hellman, metodo di autenticazione, algoritmi di crittografia e hash, durata dell'associazione di sicurezza, PFS (Perfect Forward Secrecy) e rilevamento peer inattivo, oltre ad altre informazioni sui parametri necessarie per completare la configurazione.
• Per la procedura di configurazione dei criteri IPsec/IKE, vedere Configurare i criteri IPsec/IKE per connessioni VPN da sito a sito o tra reti virtuali.
• Per connettere più dispositivi VPN basati su criteri, vedere Connettere i gateway VPN di Azure a più dispositivi VPN basati su criteri locali usando PowerShell.

Creare la connessione da sito a sito

In questa sezione viene creata una connessione VPN da sito a sito tra il gateway di rete virtuale e il dispositivo VPN locale.

Raccogliere i valori di configurazione

Prima di procedere, raccogliere le informazioni seguenti per i valori di configurazione necessari.

• Percorso certificato in uscita: percorso del certificato in uscita. Il certificato in uscita è il certificato usato per la connessione da Azure alla posizione locale. Queste informazioni provengono dallo stesso certificato caricato in Azure Key Vault.

  1. Passare a Key Vault e fare clic sull'insieme di credenziali delle chiavi. Nel riquadro sinistro espandere Oggetti e selezionare Certificati.
  2. Individuare e fare clic sul certificato per aprire la pagina del certificato.
  3. Fare clic sulla riga relativa alla versione del certificato.
  4. Copiare il percorso accanto a Identificatore chiave. Il percorso è specifico del certificato.

  Esempio: https://s2s-vault1.vault.azure.net/certificates/site-to-site/<certificate-value>

• Nome soggetto certificato in ingresso: cn per il certificato in ingresso. Per individuare questo valore:

  1. Se il certificato è stato generato nel computer Windows, è possibile individuarlo usando Gestione certificati.
  2. Passare alla scheda Dettagli . Scorrere e fare clic su Oggetto. I valori sono visualizzati nel riquadro inferiore.
  3. Non includere CN= nel valore.

• Catena di certificati in ingresso: queste informazioni sul certificato vengono usate solo per verificare il certificato in ingresso e non contengono chiavi private. È consigliabile avere sempre almeno due certificati nella sezione del certificato in ingresso del portale.

  Se nella catena di certificati sono presenti ca intermedie, aggiungere prima di tutto il certificato radice come primo certificato intermedio, quindi seguire questa operazione con il certificato intermedio in ingresso.

  Usare la procedura seguente per estrarre i dati del certificato nel formato necessario per il campo certificato in ingresso.

  1. Per estrarre i dati del certificato, assicurarsi di esportare il certificato in ingresso come X.509 con codifica Base 64 (. File CER) nei passaggi precedenti. È necessario esportare il certificato in questo formato per poterlo aprire con un editor di testo.

  2. Individuare e aprire il file del .cer certificato con un editor di testo. Quando si copiano i dati del certificato, assicurarsi di copiare il testo come una riga continua.

  3. Copiare i dati elencati tra -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----- come riga continua nel campo Catena di certificati in ingresso quando si crea una connessione.

     Esempio:

     

Crea una connessione

1. Passare al gateway di rete virtuale creato e selezionare Connessioni.

2. Nella parte superiore della pagina Connessioni selezionare +Aggiungi per aprire la pagina Aggiungi connessione.

3. Nella pagina Crea connessione, all’interno della scheda Informazioni di base configurare i valori per la connessione:

   • In Dettagli progetto selezionare la sottoscrizione e il gruppo di risorse in cui si trovano le risorse.

   • In Dettagli dell’istanza configurare le impostazioni seguenti:

     • Tipo di connessione: selezionare Da sito a sito (IPSec).
     • Nome: assegnare un nome alla connessione. Esempio: da rete virtuale a sito1.
     • Area: selezionare l'area per questa connessione.

4. Seleziona la scheda Impostazioni.

   

   Configurare i valori seguenti:

   • Gateway di rete virtuale: selezionare il gateway di rete virtuale dall'elenco a discesa.
   • Gateway di rete locale: selezionare il gateway di rete locale dall'elenco a discesa.
   • Metodo di autenticazione: selezionare Certificato dell'insieme di credenziali delle chiavi.
   • Percorso certificato in uscita: percorso del certificato in uscita che si trova in Key Vault. Il metodo per ottenere queste informazioni si trova all'inizio di questa sezione.
   • Nome soggetto certificato in ingresso: cn per il certificato in ingresso. Il metodo per ottenere queste informazioni si trova all'inizio di questa sezione.
   • Catena di certificati in ingresso: i dati del .cer certificato copiati dal file. Copiare e incollare le informazioni sul certificato in ingresso. Il metodo per ottenere queste informazioni si trova all'inizio di questa sezione.
   • Protocollo IKE: selezionare IKEv2.
   • Usa indirizzo IP privato di Azure: non selezionare.
   • Abilita BGP: abilita solo se vuoi usare BGP.
   • Criterio IPsec/IKE: selezionare Impostazione predefinita.
   • Usa selettore del traffico basato su criteri: selezionare Disabilita.
   • Timeout DPD in secondi: selezionare 45.
   • Modalità di connessione: selezionare Impostazione predefinita. Questa impostazione viene usata per specificare il gateway che può avviare la connessione. Per altre informazioni, vedere Impostazioni del gateway VPN - Modalità di connessione.
   • Per Associazioni di regole NAT lasciare sia l'opzione In ingresso che In uscitaimpostata su 0.

5. Selezionare Rivedi e crea per convalidare le impostazioni di connessione e quindi selezionare Crea per creare la connessione.

6. Al termine della distribuzione, è possibile visualizzare la connessione nella pagina Connessioni del gateway di rete virtuale. Lo stato passa da Sconosciuto a Connessione e quindi a Operazione completata.

Passaggi successivi

Dopo aver completato la connessione, è possibile aggiungere macchine virtuali alle reti virtuali. Per altre informazioni, vedere Macchine virtuali. Per altre informazioni sulla rete e sulle macchine virtuali, vedere Panoramica di rete delle macchine virtuali Linux e Azure.

Per informazioni sulla risoluzione dei problemi della connessione da punto a sito, vedere Risoluzione dei problemi di connessione da punto a sito di Azure.