Topologia i projekt usługi VPN Gateway
Istnieje wiele różnych opcji konfiguracji dostępnych dla połączeń usługi VPN Gateway. Aby ułatwić wybór topologii połączenia spełniającej wymagania, skorzystaj z diagramów i opisów w poniższych sekcjach. Diagramy przedstawiają główne topologie punktów odniesienia, ale istnieje możliwość utworzenia bardziej złożonych konfiguracji przy użyciu diagramów jako wytycznych.
Sieć VPN typu lokacja-lokacja
Połączenie bramy sieci VPN typu lokacja-lokacja (S2S) to połączenie za pośrednictwem tunelu sieci VPN protokołu IPsec/IKE (IKEv1 lub IKEv2). Z połączeń typu lokacja-lokacja można korzystać w ramach konfiguracji hybrydowych i obejmujących wiele lokalizacji. Połączenie typu lokacja-lokacja wymaga urządzenia sieci VPN znajdującego się lokalnie, które ma przypisany publiczny adres IP.
Z bramy sieci wirtualnej można utworzyć więcej niż jedno połączenie sieci VPN, zazwyczaj łączące się z wieloma lokacjami lokalnymi. Podczas pracy z wieloma połączeniami należy użyć typu sieci VPN RouteBased. Ze względu na to, że każda sieć wirtualna może mieć tylko jedną bramę sieci VPN, wszystkie połączenia za pośrednictwem bramy współużytkują dostępną przepustowość. Ten typ projektu łączności jest czasami określany jako wiele lokacji.
Jeśli chcesz utworzyć projekt dla łączności bramy o wysokiej dostępności, możesz skonfigurować bramę tak, aby był w trybie aktywny-aktywny. Ten tryb umożliwia skonfigurowanie dwóch aktywnych tuneli (po jednym z każdego wystąpienia maszyny wirtualnej bramy) do tego samego urządzenia sieci VPN w celu utworzenia łączności o wysokiej dostępności. Oprócz projektowania łączności o wysokiej dostępności kolejną zaletą trybu aktywne-aktywne jest to, że klienci doświadczają większej przepływności.
- Aby uzyskać informacje o wybieraniu urządzenia VPN, zobacz Brama VPN Gateway — często zadawane pytania dotyczące urządzeń VPN.
- Aby uzyskać informacje o połączeniach o wysokiej dostępności, zobacz Projektowanie połączeń o wysokiej dostępności.
- Aby uzyskać informacje o trybie aktywny-aktywny, zobacz Informacje o bramach trybu aktywny-aktywny.
Modele wdrażania i metody S2S
| Model wdrażania | Witryna Azure Portal | PowerShell | Interfejs wiersza polecenia platformy Azure |
|---|---|---|---|
| Resource Manager | Samouczek | Samouczek | Samouczek |
Sieć VPN typu punkt-lokacja
Połączenie bramy sieci VPN typu punkt-lokacja (P2S) umożliwia utworzenie bezpiecznego połączenia z siecią wirtualną z indywidualnego komputera klienckiego. Połączenie typu punkt-lokacja jest ustanawiane przez uruchomienie go z komputera klienckiego. To rozwiązanie jest przydatne dla osób pracujących zdalnie, które chcą łączyć się z sieciami wirtualnymi platformy Azure z lokalizacji zdalnej, na przykład z domu lub sali konferencyjnej. Sieć VPN typu punkt-lokacja jest również przydatnym rozwiązaniem do użycia zamiast sieci VPN typu lokacja-lokacja, gdy masz tylko kilku klientów, którzy muszą nawiązać połączenie z siecią wirtualną.
W przeciwieństwie do połączeń typu lokacja-lokacja połączenia typu punkt-lokacja nie wymagają lokalnego publicznego adresu IP ani urządzenia sieci VPN. Połączenia typu punkt-lokacja mogą być używane z połączeniami typu lokacja-lokacja za pośrednictwem tej samej bramy sieci VPN, o ile wszystkie wymagania dotyczące konfiguracji obu połączeń są zgodne. Aby uzyskać więcej informacji na temat połączeń punkt-lokacja, zobacz About point-to-site VPN (Informacje o sieci VPN typu punkt-lokacja).
Modele wdrażania i metody nawiązywania połączeń typu punkt-lokacja
| Metoda uwierzytelniania | Artykuł |
|---|---|
| Certyfikat | Samouczek Instrukcje |
| Microsoft Entra ID | Instrukcje |
| RADIUS | Instrukcje |
Konfiguracja klienta sieci VPN P2S
| Uwierzytelnianie | Typ tunelu | System operacyjny klienta | Klient sieci VPN |
|---|---|---|---|
| Certyfikat | |||
| IKEv2, SSTP | Windows | Natywny klient sieci VPN | |
| IKEv2 | macOS | Natywny klient sieci VPN | |
| IKEv2 | Linux | strongSwan | |
| OpenVPN | Windows | Klient sieci VPN platformy Azure Klient OpenVPN w wersji 2.x Klient OpenVPN w wersji 3.x |
|
| OpenVPN | macOS | Klient OpenVPN | |
| OpenVPN | iOS | Klient OpenVPN | |
| OpenVPN | Linux | Azure VPN Client Klient OpenVPN |
|
| Microsoft Entra ID | |||
| OpenVPN | Windows | Klient sieci VPN platformy Azure | |
| OpenVPN | macOS | Azure VPN Client | |
| OpenVPN | Linux | Azure VPN Client |
Połączenia między sieciami wirtualnymi (tunel VPN protokołu IPsec/IKE)
Łączenie sieci wirtualnej z inną siecią wirtualną (sieć wirtualna-sieć wirtualna) jest podobne do łączenia sieci wirtualnej z lokalizacją lokacji lokalnej. Oba typy połączeń wykorzystują bramę sieci VPN, aby zapewnić bezpieczny tunel z użyciem protokołu IPsec/IKE. Można także łączyć połączenia między sieciami wirtualnymi z konfiguracjami połączeń obejmujących wiele lokacji. Pozwala to tworzyć topologie sieci, które łączą wdrożenia obejmujące wiele lokalizacji z połączeniami między sieciami wirtualnymi.
Sieci wirtualne, z którymi się łączysz, mogą być następujące:
- znajdować się w tym samym lub różnych regionach,
- należeć do tej samej lub różnych subskrypcji,
- korzystać z tego samego lub różnych modeli wdrażania.
Modele wdrażania i metody nawiązywania połączeń między sieciami wirtualnymi
| Model wdrażania | Witryna Azure Portal | PowerShell | Interfejs wiersza polecenia platformy Azure |
|---|---|---|---|
| Resource Manager | Samouczek+ | Samouczek | Samouczek |
(+) Oznacza, że ta metoda wdrażania jest dostępna tylko dla sieci wirtualnych w tej samej subskrypcji.
W niektórych przypadkach możesz chcieć użyć komunikacji równorzędnej sieci wirtualnych zamiast sieci wirtualnej do połączenia sieci wirtualnych. Komunikacja równorzędna sieci wirtualnych nie używa bramy sieci wirtualnej. Aby uzyskać więcej informacji, zobacz Komunikacja równorzędna sieci wirtualnych.
Współistniejące połączenia typu lokacja-lokacja i ExpressRoute
Usługa ExpressRoute to bezpośrednie, prywatne połączenie z sieci WAN (nie przez publiczny Internet) do usług firmy Microsoft, w tym z platformy Azure. Ruch sieci VPN typu lokacja-lokacja jest szyfrowany za pośrednictwem publicznego Internetu. Możliwość skonfigurowania sieci VPN typu lokacja-lokacja i połączeń usługi ExpressRoute dla tej samej sieci wirtualnej ma kilka zalet.
Sieć VPN typu lokacja-lokacja można skonfigurować jako bezpieczną ścieżkę trybu failover dla usługi ExpressRoute lub użyć sieci VPN typu lokacja-lokacja, aby połączyć się z lokacjami, które nie są częścią sieci, ale są połączone za pośrednictwem usługi ExpressRoute. Zwróć uwagę, że ta konfiguracja wymaga dwóch bram sieci wirtualnej dla tej samej sieci wirtualnej, jednej przy użyciu sieci VPN typu bramy, a drugiej przy użyciu typu bramy ExpressRoute.
Modele wdrażania i metody współistniejących połączeń S2S i ExpressRoute
| Model wdrażania | Witryna Azure Portal | PowerShell |
|---|---|---|
| Resource Manager | Samouczek | Samouczek |
Połączenia o wysokiej dostępności
Aby zaplanować i zaprojektować połączenia o wysokiej dostępności, w tym konfiguracje trybu aktywne-aktywne, zobacz Projektowanie łączności bramy o wysokiej dostępności dla połączeń między lokalizacjami i sieciami wirtualnymi.
Następne kroki
Więcej informacji można znaleźć w temacie Brama VPN Gateway — często zadawane pytania.
Dowiedz się więcej o ustawieniach konfiguracji usługi VPN Gateway.
Aby zapoznać się z zagadnieniami dotyczącymi protokołu BGP usługi VPN Gateway, zobacz About BGP (Informacje o protokole BGP).
Wyświetl limity usług i subskrypcji.
Poznaj inne kluczowe możliwości sieciowe platformy Azure.