關於 VPN 裝置和站對站 VPN 閘道連線的 IPsec/IKE 參數
使用 VPN 閘道設定站對站 (S2S) 跨單位 VPN 連接需要有 VPN 裝置。 站對站連線可以用來建立混合式解決方案，或者用於您想要在內部部署網路與虛擬網路之間建立安全連線之時。 本文提供已驗證的 VPN 裝置清單和 VPN 閘道的 IPsec/IKE 參數清單。
重要
如果您的內部部署 VPN 裝置與 VPN 閘道之間發生連線問題，請參考已知的裝置相容性問題。
檢視表格時應注意的項目：
- Azure VPN 閘道的名稱已經變更。 只有名稱會變更。 功能未變更。
- 靜態路由 = 原則式
- 動態路由 = 路由式
- 除非另有說明，否則高效能 VPN 閘道和路由式 VPN 閘道的規格相同。 例如，已經驗證與路由式 VPN 閘道相容的 VPN 裝置，也能與高效能 VPN 閘道相容。
已驗證的 VPN 裝置及裝置設定指南
我們已與裝置廠商合作驗證一組標準 VPN 裝置。 在以下清單的裝置系列中，所有裝置應該都能與 VPN 閘道搭配運作。 這些是適用於裝置設定的建議演算法。
| 建議演算法 | 加密 | 完整性 | DH 群組 |
|---|---|---|---|
| IKE | AES256 | SHA256 | DH2 |
| IPsec | AES256GCM | AES256GCM | 無 |
為了協助設定您的 VPN 裝置，請參閱對應到適當裝置系列的連結。 我們會以最佳做法為基礎來提供設定指示的連結，而設定指南列出的預設值則不需要包含最佳密碼編譯演算法。 如需 VPN 裝置的支援，請連絡裝置製造商。
| 廠商 | 裝置系列 | 作業系統最低版本 | 原則式設定指示 | 路由式設定指示 |
|---|---|---|---|---|
| A10 Networks, Inc. | Thunder CFW | ACOS 4.1.1 | 不相容 | 設定指南 |
| AhnLab | TrusGuard | TG 2.7.6 TG 3.5.x |
未測試 | 設定指南 |
| Allied Telesis | AR 系列 VPN 路由器 | AR 系列 5.4.7+ | 設定指南 | 設定指南 |
| Arista | CloudEOS 路由器 | vEOS 4.24.0FX | 未測試 | 設定指南 |
| Barracuda Networks, Inc. | Barracuda CloudGen Firewall | 原則式︰5.4.3 路由式︰6.2.0 |
設定指南 | 設定指南 |
| Check Point | Security Gateway | R80.10 | 設定指南 | 設定指南 |
| Cisco | ASA | 8.3 8.4+ (IKEv2\*) |
支援 | 設定指南\* |
| Cisco | ASR | 原則式：IOS 15.1 路由式：IOS 15.2 |
支援 | 支援 |
| Cisco | CSR | RouteBased：IOS-XE 16.10 | 未測試 | 組態指令碼 |
| Cisco | ISR | 原則式：IOS 15.0 路由式\*：IOS 15.1 |
支援 | 支援 |
| Cisco | Meraki (MX) | MX v15.12 | 不相容 | 設定指南 |
| Cisco | vEdge (Viptela OS) | 18.4.0 (主動/被動模式) | 不相容 | 手動設定 (主動/被動) |
| Citrix | NetScaler MPX、SDX、VPX | 10.1 及更新版本 | 設定指南 | 不相容 |
| F5 | BIG-IP 系列 | 12.0 | 設定指南 | 設定指南 |
| Fortinet | FortiGate | FortiOS 5.6 | 未測試 | 設定指南 |
| Fujitsu | Si-R G 系列 | V04：V04.12 V20：V20.14 |
設定指南 | 設定指南 |
| Hillstone Networks | 下一代防火牆 (NGFW) | 5.5R7 | 未測試 | 設定指南 |
| HPE Aruba | EdgeConnect SDWAN 閘道 | ECOS 版本 v9.2 協調器 OS v9.2 |
設定指南 | 設定指南 |
| Internet Initiative Japan (IIJ) | SEIL 系列 | SEIL/X 4.60 SEIL/B1 4.60 SEIL/x86 3.20 |
設定指南 | 不相容 |
| Juniper | SRX | 原則式：JunOS 10.2 路由式：JunOS 11.4 |
支援 | 組態指令碼 |
| Juniper | J 系列 | 原則式：JunOS 10.4r9 路由式：JunOS 11.4 |
支援 | 組態指令碼 |
| Juniper | ISG | ScreenOS 6.3 | 支援 | 組態指令碼 |
| Juniper | SSG | ScreenOS 6.2 | 支援 | 組態指令碼 |
| Juniper | MX | JunOS 12.x | 支援 | 組態指令碼 |
| Microsoft | 路由及遠端存取服務 | Windows Server 2012 | 不相容 | 支援 |
| 開啟系統 AG | 任務控制安全性閘道 | N/A | 支援 | 不相容 |
| Palo Alto Networks | 所有執行 PAN-OS 的裝置 | PAN-OS 原則式：6.1.5 或更新版本 路由式：7.1.4 |
支援 | 設定指南 |
| Sentrium (開發人員) | VyOS | VyOS 1.2.2 | 未測試 | 設定指南 |
| ShareTech | 新一代 UTM (NU 系列) | 9.0.1.3 | 不相容 | 設定指南 |
| SonicWall | TZ 系列、NSA 系列 SuperMassive 系列 E-Class NSA 系列 |
SonicOS 5.8.x SonicOS 5.9.x SonicOS 6.x |
不相容 | 設定指南 |
| Sophos | XG 新一代防火牆 | XG v17 | 未測試 | 設定指南 設定指南 - 多個 SA |
| Synology | MR2200ac RT2600ac RT1900ac |
SRM1.1.5/VpnPlusServer-1.2.0 | 未測試 | 設定指南 |
| Ubiquiti | EdgeRouter | EdgeOS v1.10 | 未測試 | 透過 IKEv2/IPsec 的 BGP \(英文\) 透過 IKEv2/IPsec 的 VTI \(英文\) |
| Ultra | 3E-636L3 | 5.2.0.T3 Build-13 | 未測試 | 設定指南 |
| WatchGuard | 全部 | Fireware XTM 原則式：v11.11.x 路由式：v11.12.x |
設定指南 | 設定指南 |
| Zyxel | ZyWALL USG 系列 ZyWALL ATP 系列 ZyWALL VPN 系列 |
ZLD v4.32+ | 未測試 | 透過 IKEv2/IPsec 的 VTI \(英文\) 透過 IKEv2/IPsec 的 BGP \(英文\) |
注意
(\*) Cisco ASA 8.4 版以上新增了 IKEv2 支援，可使用自訂 IPsec/IKE 原則並搭配 "UsePolicyBasedTrafficSelectors" 選項來連線到 Azure VPN 閘道。 請參閱這篇操作說明文章。
(\*\*) ISR 7200 系列路由器僅支援原則式 VPN。
從 Azure 下載 VPN 裝置設定指令碼
針對特定裝置，您可以直接從 Azure 下載設定指令碼。 如需詳細資訊和下載指示，請參閱下載 VPN 裝置設定指令碼。
未驗證的 VPN 裝置
如果您沒有在「已驗證的 VPN 裝置」資料表中看到裝置，則裝置仍可能可以和站對站連線搭配使用。 如需支援和設定指示，請連絡裝置製造商。
編輯裝置組態範本
下載提供的 VPN 裝置組態範本之後，您將需要取代其中一些值，以反映您環境的設定。
編輯範本：
- 使用 [記事本] 開啟範本。
- 搜尋所有 <文字> 字串並使用適合您環境的值加以取代。 請務必包含 < 和 >。 當有指定名稱時，您選取的名稱應該是唯一名稱。 如果命令無法運作，請參閱裝置製造商文件。
| 範本中的文字 | 變更為 |
|---|---|
| <RP_OnPremisesNetwork> | 您為此物件選擇的名稱。 例如：myOnPremisesNetwork |
| <RP_AzureNetwork> | 您為此物件選擇的名稱。 例如：myAzureNetwork |
| <RP_AccessList> | 您為此物件選擇的名稱。 例如：myAzureAccessList |
| <RP_IPSecTransformSet> | 您為此物件選擇的名稱。 例如：myIPSecTransformSet |
| <RP_IPSecCryptoMap> | 您為此物件選擇的名稱。 例如：myIPSecCryptoMap |
| <SP_AzureNetworkIpRange> | 指定範圍。 例如：192.168.0.0 |
| <SP_AzureNetworkSubnetMask> | 指定子網路遮罩。 例如：255.255.0.0 |
| <SP_OnPremisesNetworkIpRange> | 指定內部部署範圍。 例如：10.2.1.0 |
| <SP_OnPremisesNetworkSubnetMask> | 指定內部部署子網路遮罩。 例如：255.255.255.0 |
| <SP_AzureGatewayIpAddress> | 此為您虛擬網路的特定資訊，位於管理入口網站中的 [閘道器 IP 位址] 。 |
| <SP_PresharedKey> | 此資訊專屬於您的虛擬網路，是 [管理入口網站] 中的管理金鑰。 |
預設的 IPsec/IKE 參數
下列資料表包含 Azure VPN 閘道在預設設定中使用的演算法和參數組合 (預設原則)。 對於使用 Azure Resource Management 部署模型所建立的路由式 VPN 閘道，您可以對每個個別的連線指定自訂原則。 如需詳細指示，請參閱設定 IPsec/IKE 原則。
此外，您必須將 TCP MSS 固定在 1350。 或者，如果您的 VPN 裝置不支援 MSS 固定，您也可以將通道介面上的 MTU 改設為 1400 位元組。
在下列資料表中：
- SA = 安全性關聯
- IKE 階段 1 也稱為「主要模式」
- IKE 階段 2 也稱為「快速模式」
IKE 階段 1 (主要模式) 參數
| 屬性 | 原則式 | 路由式 |
|---|---|---|
| IKE 版本 | IKEv1 | IKEv1 和 IKEv2 |
| Diffie-Hellman 群組 | 群組 2 (1024 位元) | 群組 2 (1024 位元) |
| 驗證方法 | 預先共用金鑰 | 預先共用金鑰 |
| 加密與雜湊演算法 | 1.AES256、SHA256 2.AES256、SHA1 3.AES128、SHA1 4. 3DES、SHA1 |
1.AES256、SHA1 2.AES256、SHA256 3.AES128、SHA1 4.AES128、SHA256 5. 3DES、SHA1 6. 3DES、SHA256 |
| SA 存留期 | 28,800 秒 | 28,800 秒 |
| 快速模式 SA 的數目 | 100 | 100 |
IKE 階段 2 (快速模式) 參數
| 屬性 | 原則式 | 路由式 |
|---|---|---|
| IKE 版本 | IKEv1 | IKEv1 和 IKEv2 |
| 加密與雜湊演算法 | 1.AES256、SHA256 2.AES256、SHA1 3.AES128、SHA1 4. 3DES、SHA1 |
RouteBased QM SA 供應項目 |
| SA 存留期 (時間) | 3,600 秒 | 27,000 秒 |
| SA 存留期 (位元組) | 102,400,000 KB | 102,400,000 KB |
| 完整轉寄密碼 (PFS) | No | RouteBased QM SA 供應項目 |
| 停用的對等偵測 (DPD) | 不支援 | 支援 |
RouteBased VPN IPsec 安全性關聯 (IKE 快速模式 SA) 供應項目
下表列出 IPsec SA (IKE 快速模式) 供應項目。 供應項目是依其呈現或被接受的喜好設定順序而列出。
Azure 閘道器為啟動者
| - | 加密 | 驗證 | PFS 群組 |
|---|---|---|---|
| 1 | GCM AES256 | GCM (AES256) | 無 |
| 2 | AES256 | SHA1 | 無 |
| 3 | 3DES | SHA1 | 無 |
| 4 | AES256 | SHA256 | 無 |
| 5 | AES128 | SHA1 | 無 |
| 6 | 3DES | SHA256 | 無 |
Azure 閘道器為回應者
| - | 加密 | 驗證 | PFS 群組 |
|---|---|---|---|
| 1 | GCM AES256 | GCM (AES256) | 無 |
| 2 | AES256 | SHA1 | 無 |
| 3 | 3DES | SHA1 | 無 |
| 4 | AES256 | SHA256 | 無 |
| 5 | AES128 | SHA1 | 無 |
| 6 | 3DES | SHA256 | 無 |
| 7 | DES | SHA1 | 無 |
| 8 | AES256 | SHA1 | 1 |
| 9 | AES256 | SHA1 | 2 |
| 10 | AES256 | SHA1 | 14 |
| 11 | AES128 | SHA1 | 1 |
| 12 | AES128 | SHA1 | 2 |
| 13 | AES128 | SHA1 | 14 |
| 14 | 3DES | SHA1 | 1 |
| 15 | 3DES | SHA1 | 2 |
| 16 | 3DES | SHA256 | 2 |
| 17 | AES256 | SHA256 | 1 |
| 18 | AES256 | SHA256 | 2 |
| 19 | AES256 | SHA256 | 14 |
| 20 | AES256 | SHA1 | 24 |
| 21 | AES256 | SHA256 | 24 |
| 22 | AES128 | SHA256 | 無 |
| 23 | AES128 | SHA256 | 1 |
| 24 | AES128 | SHA256 | 2 |
| 25 | AES128 | SHA256 | 14 |
| 26 | 3DES | SHA1 | 14 |
- 您可以使用路由式和高效能 VPN 閘道指定 IPsec ESP NULL 加密。 以 Null 為基礎的加密不提供傳輸中資料的保護，應該只用於需要最大輸送量和最小延遲時。 在 VNet 對 VNet 通訊案例中，或將加密套用至解決方案中的其他項目時，用戶端可能會選擇使用此功能。
- 針對透過網際網路的跨單位連線，請使用含有加密和雜湊演算法的預設 Azure VPN 閘道設定 (如先前資料表所列)，以確保重要通訊的安全性。
已知的裝置相容性問題
重要
協力廠商 VPN 裝置與 Azure VPN 閘道之間有已知的相容性問題。 Azure 小組正積極與廠商合作來解決這裡所列出的問題。 解決這些問題之後，就會更新此頁面來提供最新資訊。 請定期回來查看。
2017 年 2 月 16 日
適用於 Azure 路由式 VPN 但版本比 7.1.4 舊的 Palo Alto Networks 裝置：如果您使用來自 Palo Alto Networks、PAN-OS 版本比 7.1.4 舊的 VPN 裝置，而在連線到 Azure 路由式 VPN 閘道時發生問題，請執行下列步驟：
- 檢查您 Palo Alto Networks 裝置的韌體版本。 如果您的 PAN-OS 版本比 7.1.4 舊，請升級至 7.1.4。
- 在 Palo Alto Networks 裝置上，於連線到 Azure VPN 閘道時，將 [Phase 2 SA (第 2 階段 SA)] \(或 [Quick Mode SA (快速模式 SA)]) 存留期變更為 28,800 秒 (8 小時)。
- 如果您仍然遇到連線問題，請從 Azure 入口網站開啟支援要求。