Delen via

Over configuratie-instellingen van VPN Gateway

De vpn-gatewayverbindingsarchitectuur is afhankelijk van de configuratie van meerdere resources, die elk configureerbare instellingen bevatten. In de secties in dit artikel worden de resources en instellingen besproken die betrekking hebben op een VPN-gateway voor een virtueel netwerk. U vindt beschrijvingen en topologiediagrammen voor elke verbindingsoplossing in het artikel over de VPN Gateway-topologie en het ontwerp .

De waarden in dit artikel zijn specifiek van toepassing op VPN-gateways (virtuele netwerkgateways die gebruikmaken van -GatewayType Vpn). Als u op zoek bent naar informatie over de volgende typen gateways, raadpleegt u de volgende artikelen:

  • Zie Virtuele netwerkgateways voor ExpressRoute voor waarden die van toepassing zijn op -GatewayType 'ExpressRoute'.
  • Voor zone-redundante gateways, zie Over zone-redundante gateways.
  • Voor Virtual WAN-gateways, zie Over Virtual WAN.

Gateways en gatewaytypen

Een virtuele netwerkgateway bestaat uit twee of meer door Azure beheerde VM's die automatisch worden geconfigureerd en geïmplementeerd in een specifiek subnet dat u het gatewaysubnet maakt. De gateway-VM's bevatten routeringstabellen en voeren specifieke gatewayservices uit. Wanneer u een virtuele netwerkgateway maakt, worden de gateway-VM's automatisch geïmplementeerd in het gatewaysubnet (altijd GatewaySubnet genoemd) en geconfigureerd met de instellingen die u hebt opgegeven. Het proces kan 45 minuten of langer duren, afhankelijk van de gateway-SKU die u hebt geselecteerd.

Een van de instellingen die u opgeeft bij het maken van een virtuele netwerkgateway is het gatewaytype. Het gatewaytype bepaalt hoe de gateway van het virtuele netwerk wordt gebruikt en welke acties de gateway uitvoert. Een virtueel netwerk kan twee virtuele netwerkgateways hebben: één VPN-gateway en één ExpressRoute-gateway. Het -GatewayType Vpn geeft aan dat het type virtuele netwerkgateway dat is gemaakt een VPN-gateway is. Dit onderscheidt deze van een ExpressRoute-gateway.

Gateway-SKU's en prestaties

Zie het artikel Over gateway-SKU's voor de meest recente informatie over gateway-SKU's , prestaties en ondersteunde functies.

VPN-typen

Azure ondersteunt twee verschillende VPN-typen voor VPN-gateways: beleid-gebaseerd en route-gebaseerd. Op route gebaseerde VPN-gateways zijn gebouwd op een ander platform dan op beleid gebaseerde VPN-gateways. Dit resulteert in verschillende gatewayspecificaties. In de volgende tabel ziet u de gateway-SKU's die ondersteuning bieden voor elk van de VPN-typen en de bijbehorende ondersteunde IKE-versies.

Gateway VPN-type Gateway SKU ONDERSTEUNDE IKE-versies
Gateway op basis van beleid Basis IKEv1
Gateway op basis van route Basis IKEv2
Gateway op basis van route VpnGw1, VpnGw2, VpnGw3, VpnGw4, VpnGw5 IKEv1 en IKEv2
Gateway op basis van route VpnGw1AZ, VpnGw2AZ, VpnGw3AZ, VpnGw4AZ, VpnGw5AZ IKEv1 en IKEv2

In de meeste gevallen maakt u een op route gebaseerde VPN-gateway. Voorheen bieden de oudere gateway-SKU's geen ondersteuning voor IKEv1 voor op route gebaseerde gateways. De meeste huidige gateway-SKU's ondersteunen nu zowel IKEv1 als IKEv2.

  • Vanaf 1 oktober 2023 kunnen op beleid gebaseerde gateways alleen worden geconfigureerd met behulp van PowerShell of CLI en zijn ze niet beschikbaar in Azure Portal. Als je een op beleid gebaseerde gateway wilt maken, raadpleeg dan Create a Basic SKU VPN-gateway using PowerShell.

  • Als u al een op beleid gebaseerde gateway hebt, hoeft u uw gateway niet te wijzigen in op route gebaseerd, tenzij u een configuratie wilt gebruiken waarvoor een op route gebaseerde gateway is vereist, zoals punt-naar-site.

  • U kunt een op beleid gebaseerde gateway niet converteren naar op route gebaseerd. U moet de bestaande gateway verwijderen en vervolgens een nieuwe gateway maken op basis van routes.

Gateways in de actieve modus

Azure VPN-gateways kunnen worden geconfigureerd als actief-stand-by of actief-actief. In een actief-actief-configuratie brengen beide exemplaren van de gateway-VM's site-naar-site VPN-tunnels tot stand op uw on-premises VPN-apparaat. Gateways in de actieve modus zijn een belangrijk onderdeel van het ontwerp van maximaal beschikbare gatewayconnectiviteit. Raadpleeg voor meer informatie de volgende artikelen:

Privé-IP-adressen van gateways

Deze instelling wordt gebruikt voor bepaalde configuraties voor persoonlijke ExpressRoute-peering. Zie Een site-naar-site-VPN-verbinding configureren via persoonlijke ExpressRoute-peering voor meer informatie.

Verbindingstypen

Voor elke verbinding is een specifiek verbindingstype voor de virtuele netwerkgateway vereist. De beschikbare PowerShell-waarden voor New-AzVirtualNetworkGatewayConnection-Connection Type zijn: IPsec, Vnet2Vnet, ExpressRoute, VPNClient.

Verbindingsmodi

De eigenschap Verbindingsmodus is alleen van toepassing op op route gebaseerde VPN-gateways die IKEv2-verbindingen gebruiken. Verbindingsmodi definiëren de richting van de verbindingsinitiatie en zijn alleen van toepassing op de eerste IKE-verbindingsinstelling. Elke partij kan opnieuw versleutelen en verdere berichten initiëren. InitiatorOnly betekent dat de verbinding moet worden gestart door Azure. ResponderOnly betekent dat de verbinding moet worden gestart door het on-premises apparaat. Het standaardgedrag is om te accepteren en de verbinding te maken die als eerste tot stand komt.

Gatewaysubnet

Voordat u een VPN-gateway maakt, moet u een gatewaysubnet maken. Het gatewaysubnet bevat de IP-adressen die de virtuele netwerkgateway-VM's en -services gebruiken. Wanneer u uw virtuele netwerkgateway maakt, worden gateway-VM's geïmplementeerd in het gatewaysubnet en geconfigureerd met de vereiste VPN-gatewayinstellingen. Implementeer nooit iets anders (bijvoorbeeld meer VM's) naar het gatewaysubnet. Het gatewaysubnet moet de naam GatewaySubnet hebben om goed te kunnen werken. Als u het gatewaysubnet 'GatewaySubnet' noemt, weet Azure dat dit het subnet is waarnaar de virtuele netwerkgateway-VM's en -services moeten worden geïmplementeerd.

Wanneer u het gatewaysubnet maakt, geeft u op hoeveel IP-adressen het subnet bevat. De IP-adressen in het gatewaysubnet worden toegewezen aan de gateway-VM's en gatewayservices. Sommige configuraties vereisen meer IP-adressen dan andere.

Wanneer u de grootte van uw gatewaysubnet plant, raadpleegt u de documentatie voor de configuratie die u wilt maken. De co-existentieconfiguratie voor ExpressRoute/VPN Gateway vereist bijvoorbeeld een groter gatewaysubnet dan de meeste andere configuraties. Hoewel het mogelijk is om een gatewaysubnet te maken dat zo klein is als /29 (alleen van toepassing op de Basic-SKU), vereisen alle andere SKU's een gatewaysubnet van grootte /27 of groter (/27, /26, /25 enzovoort). Mogelijk wilt u een gatewaysubnet maken dat groter is dan /27, zodat het subnet voldoende IP-adressen heeft voor mogelijke toekomstige configuraties.

In het volgende PowerShell-voorbeeld ziet u een gatewaysubnet met de naam GatewaySubnet. U kunt zien dat de CIDR-notatie een /27 opgeeft, waardoor er voldoende IP-adressen zijn voor de meeste configuraties die momenteel bestaan.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Overwegingen:

  • Door de gebruiker gedefinieerde routes met een doel van 0.0.0.0/0 en netwerkbeveiligingsgroepen (NSG's) in het gatewaysubnet worden niet ondersteund. Gateways met deze configuratie mogen niet worden gemaakt. Gateways vereisen toegang tot de management controllers om correct te kunnen funcioneren. Doorgifte van BGP-route (Border Gateway Protocol) moet zijn ingeschakeld op het gatewaysubnet om de beschikbaarheid van de gateway te garanderen. Als doorgifte van BGP-routes is uitgeschakeld, werkt de gateway niet.

  • Diagnostiek, gegevenspad en controlepad kunnen worden beïnvloed als een door de gebruiker gedefinieerde route overlapt met het gateway-subnetbereik of het openbare IP van de gateway.

Lokale netwerkgateways

Een lokale netwerkgateway verschilt van een virtuele netwerkgateway. Wanneer u met een site-naar-site-architectuur van een VPN-gateway werkt, vertegenwoordigt de lokale netwerkgateway meestal uw on-premises netwerk en het bijbehorende VPN-apparaat.

Wanneer u een lokale netwerkgateway configureert, geeft u de naam, het openbare IP-adres of de FQDN (Fully Qualified Domain Name) van het on-premises VPN-apparaat en de adresvoorvoegsels op die zich op de on-premises locatie bevinden. Azure bekijkt de voorvoegsels van het doeladres voor netwerkverkeer, raadpleegt de configuratie die u hebt opgegeven voor uw lokale netwerkgateway en routeert pakketten dienovereenkomstig. Als u Border Gateway Protocol (BGP) op uw VPN-apparaat gebruikt, geeft u het BGP-peer-IP-adres van uw VPN-apparaat en het autonome systeemnummer (ASN) van uw on-premises netwerk op. U geeft ook lokale netwerkgateways op voor VNet-naar-VNet-configuraties die gebruikmaken van een VPN-gatewayverbinding.

In het volgende PowerShell-voorbeeld wordt een nieuwe lokale netwerkgateway gemaakt:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
-Location 'West US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.5.51.0/24'

Soms moet u de instellingen van de lokale netwerkgateway wijzigen. Wanneer u bijvoorbeeld het adresbereik toevoegt of wijzigt, of als het IP-adres van het VPN-apparaat wordt gewijzigd. Zie Instellingen voor lokale netwerkgateway wijzigen voor meer informatie.

REST API's, PowerShell-cmdlets en CLI

Zie de volgende pagina's voor technische resources en specifieke syntaxisvereisten bij het gebruik van REST API's, PowerShell-cmdlets of Azure CLI voor VPN Gateway-configuraties:

Volgende stappen

Zie Over VPN Gateway voor meer informatie over beschikbare verbindingsconfiguraties.