Delen via


IPSec/IKE-beleid voor site-to-site-VPN-verbindingen configureren

In dit artikel worden de stappen beschreven voor het configureren van een IPsec-/IKE-beleid voor site-naar-site-VPN-verbindingen (S2S) in Azure Stack Hub.

IPsec- en IKE-beleidsparameters voor VPN-gateways

De IPsec- en IKE-protocolstandaard ondersteunt een breed scala aan cryptografische algoritmen in verschillende combinaties. Zie IPsec/IKE-parameters om te zien welke parameters worden ondersteund in Azure Stack Hub, zodat u kunt voldoen aan uw nalevings- of beveiligingsvereisten.

Dit artikel bevat instructies voor het maken en configureren van een IPsec-/IKE-beleid en het toepassen op een nieuwe of bestaande verbinding.

Overwegingen

Houd rekening met de volgende belangrijke overwegingen bij het gebruik van dit beleid:

  • Het IPsec-/IKE-beleid werkt alleen op de Gateway-SKU's Standard en HighPerformance (op route gebaseerd).

  • U kunt slechts één beleidscombinatie opgeven voor een bepaalde verbinding.

  • U moet alle algoritmen en parameters opgeven voor zowel IKE (hoofdmodus) als IPsec (snelle modus). Gedeeltelijke beleidsspecificatie is niet toegestaan.

  • Raadpleeg de specificaties van de leverancier van uw VPN-apparaat om ervoor te zorgen dat het beleid wordt ondersteund op uw on-premises VPN-apparaten. Site-naar-site-verbindingen kunnen niet tot stand worden gebracht als het beleid niet compatibel is.

Vereisten

Zorg ervoor dat u voordat u begint over het volgende beschikt:

Deel 1: IPsec-/IKE-beleid maken en instellen

In deze sectie worden de stappen beschreven die nodig zijn om het IPsec-/IKE-beleid voor een site-naar-site-VPN-verbinding te maken en bij te werken:

  1. Maak een virtueel netwerk en een VPN-gateway.

  2. Maak een lokale netwerkgateway voor cross-premises verbinding.

  3. Maak een IPsec-/IKE-beleid met geselecteerde algoritmen en parameters.

  4. Maak een IPSec-verbinding met het IPsec-/IKE-beleid.

  5. Een IPsec-/IKE-beleid voor een bestaande verbinding toevoegen/bijwerken/verwijderen.

De instructies in dit artikel helpen u bij het instellen en configureren van IPsec-/IKE-beleid, zoals wordt weergegeven in de volgende afbeelding:

IPsec-/IKE-beleid instellen en configureren

Deel 2: ondersteunde cryptografische algoritmen en belangrijke sterke punten

De volgende tabel bevat de ondersteunde cryptografische algoritmen en belangrijke sterke punten die kunnen worden geconfigureerd door Azure Stack Hub:

IPsec/IKEv2 Opties
IKEv2-versleuteling AES256, AES192, AES128, DES3, DES
IKEv2-integriteit SHA384, SHA256, SHA1, MD5
DH-groep ECP384, DHGroup14, DHGroup2, DHGroup1, ECP256*, DHGroup24*
IPsec-versleuteling GCMAES256, GCMAES192, GCMAES128, AES256, AES192, AES128, DES3, DES, geen
IPsec-integriteit GCMAES256, GCMAES192, GCMAES128, SHA256
PFS-groep PFS24, ECP384, ECP256, PFS2048, PFS2, PFS1, PFSMM, Geen
QM SA-levensduur (Optioneel: standaardwaarden worden gebruikt als deze niet zijn opgegeven)
Seconden (geheel getal; min. 300 /standaard 27000 seconden)
KB (geheel getal; min. 1024/standaard 102400000 KB)
Verkeersselector Op beleid gebaseerde verkeerskiezers worden niet ondersteund in Azure Stack Hub.

Notitie

Als u de QM SA-levensduur te laag instelt, moet u onnodig opnieuw versleutelen, wat de prestaties kan verminderen.

* Deze parameters zijn alleen beschikbaar in builds 2002 en hoger.

  • De configuratie van uw on-premises VPN-apparaat moet overeenkomen met of de volgende algoritmen en parameters bevatten die u in het Azure IPsec/IKE-beleid opgeeft:

    • IKE-versleutelingsalgoritmen (hoofdmodus/fase 1).
    • IKE-integriteitsalgoritmen (hoofdmodus/fase 1).
    • DH-groep (hoofdmodus/fase 1).
    • IPsec-versleutelingsalgoritmen (snelle modus/fase 2).
    • IPsec-integriteitsalgoritmen (snelle modus/fase 2).
    • PFS-groep (snelle modus/fase 2).
    • De SA-levensduur is alleen lokaal en hoeft niet overeen te komen.
  • Als GCMAES wordt gebruikt als IPsec-versleutelingsalgoritmen, moet u hetzelfde GCMAES-algoritme en dezelfde sleutellengte selecteren voor IPsec-integriteit; bijvoorbeeld GCMAES128 gebruiken voor beide.

  • In de voorgaande tabel:

    • IKEv2 komt overeen met de hoofdmodus of fase 1.
    • IPsec komt overeen met snelle modus of fase 2.
    • DH-groep geeft de Diffie-Hellmen groep die wordt gebruikt in de hoofdmodus of fase 1.
    • PFS-groep geeft de Diffie-Hellmen groep die wordt gebruikt in de snelle modus of fase 2.
  • De SA-levensduur van IKEv2 Main Mode is vastgesteld op 28.800 seconden op de Azure Stack Hub VPN-gateways.

De volgende tabel bevat de bijbehorende Diffie-Hellman groepen die worden ondersteund door het aangepaste beleid:

Diffie-Hellman-groep DHGroup PFSGroup Sleutellengte
1 DHGroup1 PFS1 768-bits MODP
2 DHGroup2 PFS2 1024-bits MODP
14 DHGroup14
DHGroup2048
PFS2048 2048-bits MODP
19 ECP256* ECP256 256-bits ECP
20 ECP384 ECP384 384-bits ECP
24 DHGroup24* PFS24 2048-bits MODP

* Deze parameters zijn alleen beschikbaar in builds 2002 en hoger.

Zie RFC3526 en RFC5114 voor meer informatie.

Deel 3: Een nieuwe site-naar-site-VPN-verbinding maken met IPsec/IKE-beleid

In deze sectie worden de stappen beschreven voor het maken van een site-naar-site-VPN-verbinding met een IPsec-/IKE-beleid. Met de volgende stappen maakt u de verbinding, zoals wordt weergegeven in de volgende afbeelding:

site-naar-site-beleid

Zie Een site-naar-site-VPN-verbinding maken voor meer gedetailleerde stapsgewijze instructies voor het maken van een site-naar-site-VPN-verbinding.

Stap 1: het virtuele netwerk, de VPN-gateway en de lokale netwerkgateway maken

1. Variabelen declareren

Voor deze oefening begint u met het declareren van de volgende variabelen. Zorg ervoor dat u de tijdelijke aanduidingen vervangt door uw eigen waarden bij het configureren voor productie:

$Sub1 = "<YourSubscriptionName>"
$RG1 = "TestPolicyRG1"
$Location1 = "East US 2"
$VNetName1 = "TestVNet1"
$FESubName1 = "FrontEnd"
$BESubName1 = "Backend"
$GWSubName1 = "GatewaySubnet"
$VNetPrefix11 = "10.11.0.0/16"
$VNetPrefix12 = "10.12.0.0/16"
$FESubPrefix1 = "10.11.0.0/24"
$BESubPrefix1 = "10.12.0.0/24"
$GWSubPrefix1 = "10.12.255.0/27"
$DNS1 = "8.8.8.8"
$GWName1 = "VNet1GW"
$GW1IPName1 = "VNet1GWIP1"
$GW1IPconf1 = "gw1ipconf1"
$Connection16 = "VNet1toSite6"
$LNGName6 = "Site6"
$LNGPrefix61 = "10.61.0.0/16"
$LNGPrefix62 = "10.62.0.0/16"
$LNGIP6 = "131.107.72.22"

2. Maak verbinding met uw abonnement en maak een nieuwe resourcegroep

Zorg ervoor dat u overschakelt naar de PowerShell-modus als u de Resource Manager-cmdlets wilt gebruiken. Zie Verbinding maken met Azure Stack Hub met PowerShell als gebruiker voor meer informatie.

Open uw PowerShell-console en maak verbinding met uw account. bijvoorbeeld:

Connect-AzAccount
Select-AzSubscription -SubscriptionName $Sub1
New-AzResourceGroup -Name $RG1 -Location $Location1

3. Het virtuele netwerk, de VPN-gateway en de lokale netwerkgateway maken

In het volgende voorbeeld wordt het virtuele netwerk TestVNet1 gemaakt, samen met drie subnetten en de VPN-gateway. Bij het vervangen van waarden is het belangrijk dat u het gatewaysubnet GatewaySubnet specifiek noemt. Als u een andere naam kiest, mislukt het maken van de gateway.

$fesub1 = New-AzVirtualNetworkSubnetConfig -Name $FESubName1 -AddressPrefix $FESubPrefix1
$besub1 = New-AzVirtualNetworkSubnetConfig -Name $BESubName1 -AddressPrefix $BESubPrefix1
$gwsub1 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName1 -AddressPrefix $GWSubPrefix1

New-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 -Location $Location1 -AddressPrefix $VNetPrefix11,$VNetPrefix12 -Subnet $fesub1,$besub1,$gwsub1

$gw1pip1 = New-AzPublicIpAddress -Name $GW1IPName1 -ResourceGroupName $RG1 -Location $Location1 -AllocationMethod Dynamic

$vnet1 = Get-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1

$subnet1 = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" `
-VirtualNetwork $vnet1

$gw1ipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GW1IPconf1 `
-Subnet $subnet1 -PublicIpAddress $gw1pip1

New-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 `
-Location $Location1 -IpConfigurations $gw1ipconf1 -GatewayType Vpn `
-VpnType RouteBased -GatewaySku VpnGw1

New-AzLocalNetworkGateway -Name $LNGName6 -ResourceGroupName $RG1 `
-Location $Location1 -GatewayIpAddress $LNGIP6 -AddressPrefix `
$LNGPrefix61,$LNGPrefix62

Stap 2: een site-naar-site-VPN-verbinding maken met een IPsec-/IKE-beleid

1. Een IPsec-/IKE-beleid maken

Met dit voorbeeldscript wordt een IPsec-/IKE-beleid gemaakt met de volgende algoritmen en parameters:

  • IKEv2: AES128, SHA1, DHGroup14
  • IPsec: AES256, SHA256, geen, SA-levensduur 14400 seconden en 102400000 kB
$ipsecpolicy6 = New-AzIpsecPolicy -IkeEncryption AES128 -IkeIntegrity SHA1 -DhGroup DHGroup14 -IpsecEncryption AES256 -IpsecIntegrity SHA256 -PfsGroup none -SALifeTimeSeconds 14400 -SADataSizeKilobytes 102400000

Als u GCMAES voor IPsec gebruikt, moet u hetzelfde GCMAES-algoritme en dezelfde sleutellengte gebruiken voor zowel IPsec-versleuteling als integriteit.

2. Maak de site-naar-site-VPN-verbinding met het IPsec-/IKE-beleid

Maak een site-naar-site-VPN-verbinding en pas het IPsec/IKE-beleid toe dat u eerder hebt gemaakt:

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1
$lng6 = Get-AzLocalNetworkGateway -Name $LNGName6 -ResourceGroupName $RG1

New-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng6 -Location $Location1 -ConnectionType IPsec -IpsecPolicies $ipsecpolicy6 -SharedKey 'Azs123'

Belangrijk

Zodra een IPsec-/IKE-beleid is opgegeven voor een verbinding, verzendt of accepteert de Azure VPN-gateway alleen het IPsec-/IKE-voorstel met opgegeven cryptografische algoritmen en belangrijke sterke punten voor die specifieke verbinding. Zorg ervoor dat uw on-premises VPN-apparaat voor de verbinding de exacte beleidscombinatie gebruikt of accepteert, anders kan de site-naar-site-VPN-tunnel niet tot stand worden gebracht.

Deel 4: IPsec-/IKE-beleid voor een verbinding bijwerken

In de vorige sectie is beschreven hoe u IPsec-/IKE-beleid beheert voor een bestaande site-naar-site-verbinding. In deze sectie worden de volgende bewerkingen voor een verbinding beschreven:

  • Het IPsec-/IKE-beleid van een verbinding weergeven.
  • Het IPsec-/IKE-beleid toevoegen aan of bijwerken naar een verbinding.
  • Verwijder het IPsec-/IKE-beleid uit een verbinding.

Notitie

IPsec-/IKE-beleid wordt alleen ondersteund op Standard - en HighPerformance-vpn-gateways op basis van routes. Het werkt niet op de Basic-gateway-SKU .

1. Het IPsec-/IKE-beleid van een verbinding weergeven

In het volgende voorbeeld ziet u hoe u het IPsec-/IKE-beleid kunt configureren voor een verbinding. De scripts gaan ook verder van de vorige oefeningen.

$RG1 = "TestPolicyRG1"
$Connection16 = "VNet1toSite6"
$connection6 = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1
$connection6.IpsecPolicies

Met de laatste opdracht wordt het huidige IPsec-/IKE-beleid weergegeven dat is geconfigureerd voor de verbinding, indien van toepassing. Het volgende voorbeeld is een voorbeelduitvoer voor de verbinding:

SALifeTimeSeconds : 14400
SADataSizeKilobytes : 102400000
IpsecEncryption : AES256
IpsecIntegrity : SHA256
IkeEncryption : AES128
IkeIntegrity : SHA1
DhGroup : DHGroup14
PfsGroup : None

Als er geen IPsec-/IKE-beleid is geconfigureerd, krijgt de opdracht $connection6.policy een leeg resultaat. Dit betekent niet dat IPsec/IKE niet is geconfigureerd voor de verbinding; dit betekent dat er geen aangepast IPsec-/IKE-beleid is. De werkelijke verbinding maakt gebruik van het standaardbeleid dat is onderhandeld tussen uw on-premises VPN-apparaat en de Azure VPN-gateway.

2. Een IPsec-/IKE-beleid voor een verbinding toevoegen of bijwerken

De stappen voor het toevoegen van een nieuw beleid of het bijwerken van een bestaand beleid voor een verbinding zijn hetzelfde: maak een nieuw beleid en pas het nieuwe beleid vervolgens toe op de verbinding:

$RG1 = "TestPolicyRG1"
$Connection16 = "VNet1toSite6"
$connection6 = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1

$newpolicy6 = New-AzIpsecPolicy -IkeEncryption AES128 -IkeIntegrity SHA1 -DhGroup DHGroup14 -IpsecEncryption AES256 -IpsecIntegrity SHA256 -PfsGroup None -SALifeTimeSeconds 14400 -SADataSizeKilobytes 102400000

$connection6.SharedKey = "AzS123"

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6 -IpsecPolicies $newpolicy6

U kunt de verbinding opnieuw ophalen om te controleren of het beleid is bijgewerkt:

$connection6 = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1
$connection6.IpsecPolicies

U ziet de uitvoer van de laatste regel, zoals wordt weergegeven in het volgende voorbeeld:

SALifeTimeSeconds : 14400
SADataSizeKilobytes : 102400000
IpsecEncryption : AES256
IpsecIntegrity : SHA256
IkeEncryption : AES128
IkeIntegrity : SHA1
DhGroup : DHGroup14
PfsGroup : None

3. Een IPsec-/IKE-beleid verwijderen uit een verbinding

Nadat u het aangepaste beleid uit een verbinding hebt verwijderd, keert de Azure VPN-gateway terug naar het standaard IPsec-/IKE-voorstel en wordt opnieuw onderhandeld met uw on-premises VPN-apparaat.

$RG1 = "TestPolicyRG1"
$Connection16 = "VNet1toSite6"
$connection6 = Get-AzVirtualNetworkGatewayConnection -Name $Connection16 -ResourceGroupName $RG1
$connection6.SharedKey = "AzS123"
$currentpolicy = $connection6.IpsecPolicies[0]
$connection6.IpsecPolicies.Remove($currentpolicy)

Set-AzVirtualNetworkGatewayConnection -VirtualNetworkGatewayConnection $connection6

U kunt hetzelfde script gebruiken om te controleren of het beleid uit de verbinding is verwijderd.

Volgende stappen