新增或移除 VPN 閘道站對站連線

本文可協助您新增或移除 VPN 閘道的站對站 (S2S) 連線。 您也可以將 S2S 連線新增到已經有 S2S 連線、點對站連線或 VNet 對 VNet 連線的 VNet 閘道。 新增連線有一些限制。 開始設定之前，請先閱讀本文的必要條件一節。

關於 ExpressRoute/站對站及並存連線

• 您可以使用本文中的步驟，將新的 VPN 連線新增至已存在的 ExpressRoute/站對站並存連線。
• 您可以使用本文中的步驟，設定新的 ExpressRoute/站對站並存連線。 若要建立新的並存連線，請參閱：ExpressRoute/S2S 並存連線。

必要條件

請確認下列事項：

• 您「未」設定新的並存 ExpressRoute 和 VPN 閘道站對站連線。
• 您使用 Resource Manager 部署模型建立的虛擬網路具有現有連線。
• 您虛擬網路的虛擬網路閘道是路由型。 如果您的 VPN 閘道為原則型，您就必須刪除虛擬網路閘道，並建立新的路由型 VPN 閘道。
• 此虛擬網路所連線的任何虛擬網路，位址範圍都不會重疊。
• 您有相容的 VPN 裝置以及能夠對其進行設定的人員。 請參閱 關於 VPN 裝置。 如果不熟悉設定 VPN 裝置，或不熟悉位於內部部署網路組態的 IP 位址範圍，則您需要與能夠提供那些詳細資料的人協調。
• 您的 VPN 裝置有對外開放的公用 IP 位址。

建立區域網路閘道

區域網路閘道是一個部署至 Azure 的特定物件，代表您用於路由的內部部署位置 (網站)。 請將站台命名為可供 Azure 參考的名稱，然後指定您想要與其建立連線的內部部署 VPN 裝置 IP 位址。 也請指定 IP 位址首碼，以供系統透過 VPN 閘道路由至 VPN 裝置。 您指定的位址首碼是位於內部部署網路上的首碼。 如果您的內部部署網路變更，或者您需要變更 VPN 裝置的公用 IP 位址，您稍後可以輕鬆地更新這些值。

使用下列範例值建立區域網路閘道：

• 名稱：Site1
• 資源群組︰TestRG1
• 位置：美國東部

組態考量：

• VPN 閘道對每個 FQDN 僅支援一個 IPv4 位址。 如果網域名稱解析為多個 IP 位址，VPN 閘道將會使用 DNS 伺服器所傳回的第一個 IP 位址。 若要排除不確定性，我們建議您的 FQDN 一律解析成單一 IPv4 位址。 不支援 IPv6。
• VPN 閘道會以每 5 分鐘重新整理一次的方式維護 DNS 快取。 閘道只會嘗試解析已中斷連線通道的 FQDN。 重設閘道也會觸發 FQDN 解析。
• 雖然 VPN 閘道支援使用不同 FQDN 連線到不同區域網路閘道的多個連線，但所有 FQDN 都必須解析為不同的 IP 位址。

1. 在入口網站中，移至 [區域網路閘道]，然後開啟 [建立區域網路閘道] 頁面。

2. 在 [基本] 索引標籤上，指定區域網路閘道的值。

   

   • 訂用帳戶：確認顯示的是正確的訂用帳戶。
   • 資源群組：選取要使用的資源群組。 您可以建立新的資源群組，或選取您已建立的資源群組。
   • 區域：選取此物件的區域。 您可能想要選取虛擬網路所在的相同位置，但可以不用這麼做。
   • 名稱：指定區域網路閘道物件的名稱。
   • 端點：選取內部部署 VPN 裝置的端點類型：[IP 位址] 或 [FQDN (完整網域名稱)]。
     • IP 位址：如果您有從 VPN 裝置網際網路服務提供者 (ISP) 配置的靜態公用 IP 位址，請選取 [IP 位址] 選項。 填入 IP 位址，如範例所示。 這個位址是您希望 Azure VPN 閘道連線的 VPN 裝置公用 IP 位址。 如果您目前沒有 IP 位址，可以使用範例中顯示的值。 您後續必須回來將預留位置 IP 位址取代為 VPN 裝置的公用 IP 位址。 否則，Azure 無法連線。
     • FQDN：如果您有一段特定時間後可能變更的動態公用 IP 位址 (通常取決於您的 ISP)，即可使用固定 DNS 名稱搭配動態 DNS 服務，以指向您 VPN 裝置目前的公用 IP 位址。 Azure VPN 閘道會解析 FQDN，以決定要連線的公用 IP 位址。
   • 位址空間：位址空間是指此區域網路所代表之網路的位址範圍。 您可以加入多個位址空間範圍。 確定您在此指定的範圍，不會與您要連線的其他網路範圍重疊。 Azure 會將您指定的位址範圍路由傳送至內部部署 VPN 裝置 IP 位址。 如果您想要連線至內部部署網站，在此處請使用您自己的值，而不是範例中顯示的值。

3. 在 [進階] 索引標籤上，您可以視需要設定 BGP 設定。

4. 指定值之後，請選取頁面底部的 [檢閱 + 建立] 來驗證頁面。

5. 選取 [建立]，建立區域網路閘道物件。

設定 VPN 裝置

內部部署網路的站對站連線需要 VPN 裝置。 在此步驟中，設定 VPN 裝置。 設定 VPN 裝置時，您需要下列值：

• 共用金鑰。 這個共同金鑰與您建立站對站 VPN 連線時指定的共用金鑰相同。 在我們的範例中，我們會使用基本的共用金鑰。 我們建議您產生更複雜的金鑰以供使用。
• 虛擬網路閘道的公用 IP 位址。 您可以使用 Azure 入口網站、PowerShell 或 CLI 來檢視公用 IP 位址。 若要使用 Azure 入口網站尋找 VPN 閘道的公用 IP 位址，請移至 [虛擬網路閘道]，然後選取閘道名稱。

根據您所擁有的 VPN 裝置，您或許可以下載 VPN 裝置設定指令碼。 如需詳細資訊，請參閱下載 VPN 裝置組態指令碼。

如需詳細設定資訊，請參閱下列連結：

• 如需相容 VPN 裝置的詳細資訊，請參閱 VPN 裝置。
• 請在設定 VPN 裝置之前，檢查您要使用的 VPN 裝置是否有任何已知裝置相容性問題。
• 如需裝置組態設定的連結，請參閱已經驗證的 VPN 裝置。 會以最佳方式來提供裝置組態連結。 最好一律洽詢您的裝置製造商以取得最新的組態資訊。 該清單會顯示已完成測試的版本。 如果您的 OS 不在清單中，版本仍然可能相容。 請洽詢裝置製造商，以驗證您 VPN 裝置的 OS 版本相容。
• 如需 VPN 裝置設定的概觀，請參閱第三方 VPN 裝置設定的概觀。
• 如需編輯裝置組態範例的相關資訊，請參閱編輯範例。
• 如需密碼編譯需求，請參閱關於密碼編譯需求和 Azure VPN 閘道。
• 如需 IPsec/IKE 參數的詳細資訊，請參閱關於 VPN 裝置和站對站 VPN 閘道連線的 IPsec/IKE 參數。 除了您完成設定所需的其他參數資訊之外，此連結還會顯示 IKE 版本、Diffie-hellman 群組、驗證方法、加密和雜湊演算法、SA 存留期、PFS 和 DPD 的相關資訊。
• 如需 IPsec/IKE 原則設定步驟，請參閱設定站對站 VPN 或 VNet 對 VNet 連線的 IPsec/IKE 原則 (部分機器翻譯)。
• 若要連線多個以原則為基礎的 VPN 裝置，請參閱使用 PowerShell 將 Azure VPN 閘道連線至多個內部部署以原則為基礎的 VPN 裝置。

設定連線

您會在虛擬網路閘道與內部部署 VPN 裝置之間建立站對站 VPN 連線。 在本節中，我們使用下列範例值：

• 區域網路閘道名稱：Site1
• 連線名稱︰VNet1toSite1
• 共用的金鑰：此範例中，我們會使用 abc123。 但是，您可以使用任何與您 VPN 硬體相容的項目。 值務必符合連線的兩端。

1. 在入口網站中，移至虛擬網路閘道並加以開啟。

2. 在閘道的頁面上，選取 [連線]。

3. 在 [連線] 頁面的頂部，選取 [+新增] 以開啟 [建立連線] 頁面。

   

4. 在 [建立連線] 頁面的 [基本] 索引標籤上 ，設定連線的值：

   • 在 [專案詳細資料] 底下，選取您資源所在的訂用帳戶和資源群組。

   • 在 [執行個體詳細資料] 底下，進行下列設定：

     • 連線類型：選取 [站對站 (IPSec)]。
     • 名稱：為連線命名。
     • 區域：選取此連線的區域。

5. 選取 [設定] 索引標籤並設定下列值：

   

   • 虛擬網路閘道：從下拉式清單中選取虛擬網路閘道。
   • 區域網路閘道：從下拉式清單中選取區域網路閘道。
   • 共用金鑰：此處的值必須與您用於本機內部部署 VPN 裝置的值相符。 如果此欄位未出現在入口網站頁面上，或您想要稍後更新此金鑰，您可以在建立連線物件之後執行此動作。 移至您所建立的連線物件 (範例名稱：VNet1toSite1)，並在 [驗證] 頁面上更新金鑰。
   • IKE 通訊協定：選取 [IKEv2]。
   • 使用 Azure 私人 IP 位址：不要選取。
   • 啟用 BGP：不要選取。
   • FastPath：不要選取。
   • IPsec/IKE 原則：選取 [預設]。
   • 使用原則型流量選取器：選取 [停用]。
   • DPD 逾時 (秒)：選取 45。
   • 連線模式：選取 [預設]。 此設定可用來指定哪些閘道可以起始連線。 如需詳細資訊，請參閱 VPN 閘道設定 - 連線模式。

6. 針對 [NAT 規則關聯]，將 [輸入] 和 [輸出] 都保留為 [已選取 0 個]。

7. 選取 [檢閱 + 建立] 以驗證連線設定。

8. 選取建立建立連接。

9. 部署完成後，即可在虛擬網路閘道的 [連線] 頁面上檢視連線。 狀態會從 [未知] 變成 [連線中]，然後變成 [成功]。

檢視和驗證 VPN 連線

在 Azure 入口網站中，您可以移至連線，檢視 VPN 閘道的連線狀態。 下列步驟顯示移至連線並進行驗證的其中一種方式。

1. 在 Azure 入口網站功能表上，從任何頁面選取 [所有資源]，或搜尋並選取 [所有資源]。
2. 選取虛擬網路閘道。
3. 在虛擬網路閘道的窗格中，選取 [連線]。 您可以看到每個連線的狀態。
4. 選取您要驗證的連線名稱以開啟 Essentials。 在 [Essentials] 窗格中，您可以檢視連線的相關詳細資訊。 成功連線之後，狀態為「成功」和「已連線」。

移除連接

1. 在入口網站中，移至您的 VPN 閘道 [連線] 頁面。
2. 按一下您要移除的連線。 這會開啟連線的頁面。
3. 按一下 [刪除] 以移除連線。

下一步

如需站對站 VPN 閘道組態的詳細資訊，請參閱教學課程：設定站對站 VPN 閘道組態。