Projekt bramy sieci VPN

  • Artykuł
  • Czas czytania: 5 min

Dostępne są różne konfiguracje połączeń bramy sieci VPN. Należy określić, która konfiguracja najlepiej odpowiada Twoim wymaganiom. W poniższych sekcjach można wyświetlić informacje o projekcie i diagramy topologii dotyczące następujących połączeń bramy sieci VPN. Przedstawione diagramy i opisy mogą ułatwić wybór topologii połączenia dostosowanej do potrzeb użytkownika. Diagramy pokazują główne topologie linii bazowej, ale można utworzyć bardziej złożone konfiguracje przy użyciu diagramów jako wytycznych.

Sieć VPN typu lokacja-lokacja

Połączenie bramy sieci VPN typu lokacja-lokacja to połączenie nawiązywane za pośrednictwem tunelu sieci VPN wykorzystującego protokół IPsec/IKE (IKEv1 lub IKEv2). Z połączeń typu lokacja-lokacja (S2S) można korzystać w ramach konfiguracji hybrydowych i obejmujących wiele lokalizacji. Połączenie S2S wymaga urządzenia sieci VPN znajdującego się lokalnie, które ma przypisany publiczny adres IP. Aby uzyskać informacje o wybieraniu urządzenia VPN, zobacz Brama VPN Gateway — często zadawane pytania dotyczące urządzeń VPN.

Azure VPN Gateway Site-to-Site connection example

Brama sieci VPN można skonfigurować w trybie aktywne-wstrzymanie przy użyciu jednego publicznego adresu IP lub w trybie aktywny-aktywny przy użyciu dwóch publicznych adresów IP. W trybie aktywnego wstrzymania jeden tunel IPsec jest aktywny, a drugi tunel jest w stanie wstrzymania. W tej konfiguracji ruch przepływa przez aktywny tunel, a jeśli wystąpi jakiś problem z tym tunelem, ruch przechodzi do tunelu rezerwowego. Skonfigurowanie bramy SIECI VPN w trybie aktywny-aktywny jest zalecane , w którym oba tunele IPsec są jednocześnie aktywne, a dane przepływające przez oba tunele jednocześnie. Dodatkową zaletą trybu aktywnego-aktywnego jest to, że klienci korzystają z wyższej przepływności.

Możesz utworzyć więcej niż jedno połączenie sieci VPN z bramy sieci wirtualnej, zwykle łącząc się z wieloma lokacjami lokalnymi. Podczas pracy z wieloma połączeniami musisz użyć sieci VPN typu RouteBased (nazywanego dynamiczną bramą w przypadku pracy z klasycznymi sieciami wirtualnymi). Ze względu na to, że każda sieć wirtualna może mieć tylko jedną bramę sieci VPN, wszystkie połączenia za pośrednictwem bramy współużytkują dostępną przepustowość. Ten typ połączenia jest czasami określany jako "połączenie obejmujące wiele lokacji".

Azure VPN Gateway Multi-Site connection example

Modele wdrażania i metody S2S

Model/metoda wdrażania Witryna Azure Portal Program PowerShell Interfejs wiersza polecenia platformy Azure
Resource Manager Samouczek
Samouczek		 Samouczek Samouczek
Klasyczny Samouczek** Samouczek Nieobsługiwane

(**) oznacza, że ta metoda zawiera kroki, które wymagają programu PowerShell.

Sieć VPN typu punkt-lokacja

Połączenie bramy VPN Gateway typu punkt-lokacja pozwala utworzyć bezpieczne połączenie z siecią wirtualną z indywidualnego komputera klienckiego. Połączenie typu punkt-lokacja jest ustanawiane przez uruchomienie z komputera klienckiego. To rozwiązanie jest przydatne dla osób pracujących zdalnie, które chcą łączyć się z sieciami wirtualnymi platformy Azure z lokalizacji zdalnej, na przykład z domu lub sali konferencyjnej. Połączenie sieci VPN typu punkt-lokacja jest również przydatne zamiast połączenia sieci VPN typu lokacja-lokacja w przypadku niewielkiej liczby klientów, którzy muszą się łączyć z siecią wirtualną.

W przeciwieństwie do połączeń S2S połączenia P2S nie wymagają lokalnego, publicznego adresu IP ani urządzenia sieci VPN. Połączenia typu punkt-lokacja mogą być używane z połączeniami typu lokacja-lokacja z użyciem tej samej bramy sieci VPN, pod warunkiem że wszystkie wymagania dotyczące konfiguracji dla obu połączeń są zgodne. Aby uzyskać więcej informacji na temat połączeń punkt-lokacja, zobacz About Point-to-Site VPN (Informacje o sieci VPN typu punkt-lokacja).

Azure VPN Gateway Point-to-Site connection example

Modele wdrażania i metody nawiązywania połączeń typu punkt-lokacja

Natywne uwierzytelnianie certyfikatów platformy Azure

Model/metoda wdrażania Witryna Azure Portal Program PowerShell
Resource Manager Samouczek Samouczek
Klasyczny Samouczek Obsługiwane

Uwierzytelnianie za pomocą protokołu RADIUS

Model/metoda wdrażania Witryna Azure Portal Program PowerShell
Resource Manager Obsługiwane Samouczek
Klasyczny Nieobsługiwane Nieobsługiwane

Połączenia między sieciami wirtualnymi (tunel VPN protokołu IPsec/IKE)

Proces nawiązywania połączenia między dwiema sieciami wirtualnymi przebiega podobnie do procesu łączenia sieci wirtualnej z lokacją lokalną. Oba typy połączeń wykorzystują bramę sieci VPN, aby zapewnić bezpieczny tunel z użyciem protokołu IPsec/IKE. Można także łączyć połączenia między sieciami wirtualnymi z konfiguracjami połączeń obejmujących wiele lokacji. Pozwala to tworzyć topologie sieci, które łączą wdrożenia obejmujące wiele lokalizacji z połączeniami między sieciami wirtualnymi.

Sieci wirtualne, między którymi tworzone jest połączenie, mogą:

  • znajdować się w tym samym lub różnych regionach,
  • należeć do tej samej lub różnych subskrypcji,
  • korzystać z tego samego lub różnych modeli wdrażania.

Azure VPN Gateway VNet to VNet connection example

Połączenia między modelami wdrażania

Platforma Azure ma obecnie dwa modele wdrażania: klasyczny model wdrażania oraz model wdrażania przy użyciu usługi Resource Manager. Jeśli korzystasz z platformy Azure od pewnego czasu, prawdopodobnie masz maszyny wirtualne i wystąpienia roli platformy Azure działające w klasycznej sieci wirtualnej. Nowsze maszyny wirtualne i wystąpienia roli mogą działać w sieci wirtualnej utworzonej w usłudze Resource Manager. Możesz utworzyć połączenie między tymi sieciami wirtualnymi, aby umożliwić zasobom w jednej sieci wirtualnej bezpośrednie komunikowanie się z zasobami w innej sieci.

Komunikacja równorzędna sieci wirtualnych

Można utworzyć połączenie przy użyciu komunikacji równorzędnej sieci wirtualnych pod warunkiem, że sieć wirtualna spełnia określone wymagania. W przypadku komunikacji równorzędnej sieci wirtualnych nie jest używana brama sieci wirtualnej. Aby uzyskać więcej informacji, zobacz temat Komunikacja równorzędna sieci wirtualnych.

Modele wdrażania i metody nawiązywania połączeń między sieciami wirtualnymi

Model/metoda wdrażania Witryna Azure Portal Program PowerShell Interfejs wiersza polecenia platformy Azure
Klasyczny Samouczek* Obsługiwane Nieobsługiwane
Resource Manager Samouczek+ Samouczek Samouczek
Połączenia między różnymi modelami wdrażania Samouczek* Samouczek Nieobsługiwane

(+) wskazuje, że ta metoda wdrażania jest dostępna tylko dla sieci wirtualnych w tej samej subskrypcji.
( * ) wskazuje, że ta metoda wdrażania wymaga również programu PowerShell.

Współistniejące połączenia typu lokacja-lokacja i ExpressRoute

ExpressRoute to bezpośrednie, prywatne połączenie z sieci WAN (nie za pośrednictwem publicznego Internetu) do usług firmy Microsoft, w tym platformy Azure. Zaszyfrowany ruch połączenia sieci VPN typu lokacja-lokacja jest przesyłany za pośrednictwem publicznej sieci Internet. Możliwość konfiguracji połączenia sieci VPN typu lokacja-lokacja oraz połączenia ExpressRoute dla tej samej sieci wirtualnej niesie ze sobą pewne korzyści.

Sieć VPN typu lokacja-lokacja może zostać skonfigurowana jako bezpieczna ścieżka trybu failover dla połączenia ExpressRoute. Połączenia sieci VPN typu lokacja-lokacja mogą także zostać użyte w celu połączenia się z lokacjami, które nie są częścią sieci, ale które są połączone metodą ExpressRoute. Ta konfiguracja wymaga dwóch bram sieci wirtualnej dla tej samej sieci wirtualnej, z których jedna używa bramy typu „Vpn”, a druga — bramy typu „ExpressRoute”.

ExpressRoute and VPN Gateway coexisting connections example

Modele wdrażania i metody nawiązywania połączeń typu lokacja-lokacja i połączeń usługi ExpressRoute współistnieją

Model/metoda wdrażania Witryna Azure Portal Program PowerShell
Resource Manager Obsługiwane Samouczek
Klasyczny Nieobsługiwane Samouczek

Połączenia o wysokiej dostępności

Aby zaplanować i zaprojektować połączenia o wysokiej dostępności, zobacz Połączenia o wysokiej dostępności.

Następne kroki