Konfigurieren von VPN-Gatewayeinstellungen für Azure Stack Hub

Ein VPN-Gateway ist eine Art von Gateway für virtuelle Netzwerke, mit dem verschlüsselter Datenverkehr zwischen Ihrem virtuellen Netzwerk in Azure Stack Hub und einem Remote-VPN-Gateway gesendet wird. Das Remote-VPN-Gateway kann sich in Azure befinden, es kann sich dabei aber auch um ein Gerät in Ihrem Datencenter oder um ein Gerät an einem anderen Standort handeln. Falls die beiden Endpunkte über Netzwerkkonnektivität verfügen, können Sie zwischen den beiden Netzwerken eine sichere S2S-VPN-Verbindung (Site-to-Site) herstellen.

Ein VPN-Gateway basiert auf der Konfiguration mehrerer Ressourcen, die jeweils konfigurierbare Einstellungen enthalten. In diesem Artikel werden die Ressourcen und Einstellungen beschrieben, die sich auf ein im Resource Manager-Bereitstellungsmodell erstelltes VPN-Gateway für ein virtuelles Netzwerk beziehen. Beschreibungen und Topologiediagramme für die einzelnen Verbindungslösungen finden Sie im Artikel mit Erstellen von VPN-Gateways für Azure Stack Hub.

Einstellungen von VPN-Gateways

Gatewaytypen

Jedes virtuelle Azure Stack Hub-Netzwerk unterstützt ein einzelnes Gateway für virtuelle Netzwerke, das vom Typ VPN sein muss. Diese Unterstützung unterscheidet sich von Azure, das zusätzliche Typen unterstützt.

Achten Sie beim Erstellen eines Gateways für virtuelle Netzwerke darauf, dass der Gatewaytyp für Ihre Konfiguration richtig ist. Ein VPN-Gateway erfordert das -GatewayType Vpn-Flag. Beispiel:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
   -VpnType RouteBased

Gateway-SKUs ohne VPN Fast Path Enabled

Wenn Sie ein virtuelles Netzwerkgateway erstellen, geben Sie die SKU an, die Sie verwenden möchten. Wählen Sie die SKUs aus, die Ihre Anforderungen basierend auf den Arten von Workloads, Durchsatz, Features und SLAs erfüllen.

Sie können über 10 Hochleistungsgateways oder 20 standard und standard verfügen, bevor Sie die maximale Kapazität erreichen.

Die folgende Tabelle zeigt die VPN-Gateway-SKUs, die für Azure Stack Hub angeboten werden:

Gateway-SKUs mit aktivierter VPN-Schnellpfad

Wenn Microsoft die öffentliche VPN Fast Path-Vorschau veröffentlicht hat, Azure Stack Hub Unterstützung für drei neue SKUs mit höherem Durchsatz hinzugefügt.

Wenn Sie VPN Fast Path für Ihren Azure Stack Stempel aktivieren, erhalten Sie neue Grenzwerte und den Durchsatz.

Die folgende Tabelle zeigt die VPN-Gateway-SKUs, die für Azure Stack Hub angeboten werden:

Ändern der Größe von SKUs für virtuelles Netzwerkgateway

Azure Stack Hub unterstützt keine Größenänderung von einer unterstützten Legacy-SKU (Basic, Standard und HighPerformance) auf eine neuere SKU, die von Azure (VpnGw1, VpnGw2 und VpnGw3) unterstützt wird.

Um die neuen SKUs zu verwenden, die von VPN Fast Path aktiviert sind, müssen Sie neue Gateways und Verbindungen für virtuelle Netzwerke erstellen.

Konfigurieren der SKU des virtuellen Netzwerkgateways

Azure Stack Hub-Portal

Wenn Sie das Azure Stack Hub Portal verwenden, um ein virtuelles Netzwerkgateway zu erstellen, wählen Sie die SKU aus der Dropdownliste aus. Um die neuen VPN Fast Path SKUs (VpnGw1, VpnGw2, VpnGw3) anzuzeigen, fügen Sie den Abfrageparameter "?azurestacknewvpnskus=true" zur URL hinzu, und aktualisieren Sie die Seite.

Im folgenden URL-Beispiel werden die neuen SKUs des virtuellen Netzwerkgateways im Azure Stack Hub-Benutzerportal angezeigt:

https://portal.local.azurestack.local/?azurestacknewvpnskus=true

Bevor Sie diese Ressourcen erstellen, muss der Operator VPN Fast Path auf dem Azure Stack Hub Stempel aktivieren. Weitere Informationen finden Sie unter VPN Fast Path für Operatoren.

PowerShell

Im folgenden PowerShell-Beispiel wird der Parameter -GatewaySku als Standard angegeben:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewaySku Standard `
   -GatewayType Vpn -VpnType RouteBased

Verbindungstypen

Im Resource Manager-Bereitstellungsmodell ist für jede Konfiguration ein bestimmter Typ der Verbindung mit dem Gateway eines virtuellen Netzwerks erforderlich. Der verfügbare Resource Manager-PowerShell-Wert für -ConnectionType ist IPsec.

Im folgenden PowerShell-Beispiel erstellen Sie eine S2S-Verbindung, die den IPsec-Verbindungstyp erfordert:

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
   -Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

VPN-Typen

Wenn Sie das Gateway des virtuellen Netzwerks für eine VPN-Gatewaykonfiguration erstellen, müssen Sie einen VPN-Typ angeben. Der ausgewählte VPN-Typ hängt von der Verbindungstopologie ab, die Sie erstellen möchten. Der VPN-Typ kann zudem von der verwendeten Hardware abhängen. S2S-Konfigurationen erfordern ein VPN-Gerät. Einige VPN-Geräte unterstützen nur einen bestimmten VPN-Typ.

• PolicyBased: Richtlinienbasierte VPNs verschlüsseln und direkte Pakete über IPsec-Tunnel basierend auf den IPsec-Richtlinien, die Sie mit Kombinationen von Adresspräfixen zwischen Ihrem lokalen Netzwerk und dem Azure Stack Hub VNet konfigurieren. Die Richtlinie (auch Datenverkehrsselektor genannt) ist in der Regel eine Zugriffsliste in der VPN-Gerätekonfiguration.

  Hinweis

  PolicyBased wird in Azure, aber nicht in Azure Stack Hub unterstützt.

• RouteBased: Routenbasierte VPNs verwenden Routen, die Sie in der IP-Weiterleitungs- oder Routingtabelle konfigurieren, um Pakete an ihre entsprechenden Tunnelschnittstellen zu leiten. An den Tunnelschnittstellen werden die Pakete dann ver- bzw. entschlüsselt. Sie konfigurieren die Richtlinie oder die Datenverkehrsauswahl für RouteBased VPNs als beliebig (oder verwenden Sie Wildcards). Standardmäßig können Sie sie nicht ändern. Der Wert für einen RouteBased-VPN-Typ lautet RouteBased.

Das folgende PowerShell-Beispiel gibt -VpnType als RouteBasedan. Stellen Sie beim Erstellen eines Gateways sicher, dass die -VpnType Konfiguration korrekt ist.

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig `
   -GatewayType Vpn -VpnType RouteBased

Virtuelle Netzwerkgateways unterstützte Konfigurationen, wenn VPN Fast Path nicht aktiviert ist

Virtuelle Netzwerkgateways unterstützte Konfigurationen, wenn VPN Fast Path aktiviert ist

Gatewaysubnetz

Bevor Sie ein VPN-Gateway erstellen, müssen Sie ein Gatewaysubnetz erstellen. Das Gatewaysubnetz verfügt über die IP-Adressen, die von den virtuellen Computern und Diensten des Gateways für virtuelle Netzwerke verwendet werden. Wenn Sie Ihr virtuelles Netzwerkgateway und die Verbindung erstellen, wird die Gateway-VM, die die Verbindung besitzt, mit dem Gatewaysubnetz verknüpft und mit den erforderlichen VPN-Gatewayeinstellungen konfiguriert. Stellen Sie für das Gatewaysubnetz nichts anderes bereit (beispielsweise zusätzliche virtuelle Computer).

Bei der Gatewayerstellung geben Sie die Anzahl der im Subnetz enthaltenen IP-Adressen an. Die IP-Adressen im Gatewaysubnetz werden den Gatewaydiensten und -VMs zugeordnet. Einige Konfigurationen erfordern mehr IP-Adressen als andere. Sehen Sie sich die Anweisungen für die Konfiguration an, die Sie erstellen möchten, und vergewissern Sie sich, dass das Gatewaysubnetz, das sie erstellen möchten, diese Anforderungen erfüllt.

Stellen Sie außerdem sicher, dass Ihr Gatewaysubnetz über genügend IP-Adressen verfügt, um zusätzliche zukünftige Konfigurationen zu verarbeiten. Obwohl Sie ein Gatewaysubnetz so klein wie /29 erstellen können, erstellen Sie ein Gatewaysubnetz von /28 oder größer (/28, /27, /26 usw.). Auf diese Weise müssen Sie, wenn Sie zukünftig Funktionen hinzufügen, Ihr Gateway nicht herunterreißen, dann das Gateway-Subnetz löschen und neu erstellen, um weitere IP-Adressen zu ermöglichen.

Im folgenden Resource Manager-PowerShell-Beispiel wird ein Gatewaysubnetz mit dem Namen GatewaySubnet gezeigt. Sie erkennen, das mit der CIDR-Notation die Größe /27 angegeben wird. Dies ist für eine ausreichende Zahl von IP-Adressen für die meisten Konfigurationen, die derzeit üblich sind, groß genug.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Lokale Netzwerkgateways

Wenn Sie eine VPN-Gatewaykonfiguration in Azure erstellen, stellt das lokale Netzwerkgateway häufig Ihren lokalen Standort dar. In Azure Stack stellt es ein beliebiges Remote-VPN-Gerät dar, das sich außerhalb von Azure Stack Hub befindet. Bei diesem Gerät kann es sich um ein VPN-Gerät in Ihrem Datencenter (oder in einem Remotedatencenter) oder um ein VPN Gateway in Azure handeln.

Sie geben dem lokalen Netzwerkgateway einen Namen, die öffentliche IP-Adresse des Remote-VPN-Geräts und geben die Adresspräfixe an, die sich am lokalen Standort befinden. Azure Stack Hub die Zieladressenpräfixe für Netzwerkdatenverkehr untersucht, die Konfiguration, die Sie für Ihr lokales Netzwerkgateway angegeben haben, und leitet Pakete entsprechend weiter.

In diesem PowerShell-Beispiel wird ein neues Gateway des lokalen Netzwerks erstellt:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
   -Location 'West US' -GatewayIpAddress '198.51.100.101' -AddressPrefix '10.5.51.0/24'

Manchmal müssen Sie die Einstellungen des Gateways des lokalen Netzwerks ändern, Beispielsweise müssen Sie den Adressbereich ändern oder die IP-Adresse des VPN-Geräts ändern. Weitere Informationen hierzu finden Sie im Artikel Ändern der Einstellungen des lokalen Netzwerkgateways mit PowerShell.

IPsec-/IKE-Parameter

Wenn Sie eine VPN-Verbindung in Azure Stack Hub einrichten, müssen Sie die Verbindung an beiden Endpunkten konfigurieren. Wenn Sie eine VPN-Verbindung zwischen Azure Stack Hub und einem Hardwaregerät wie einem Switch oder Router konfigurieren, der als VPN-Gateway fungiert, erfordert dieses Gerät möglicherweise zusätzliche Einstellungen.

Im Gegensatz zu Azure, das mehrere Angebote als Initiator und Antwortdienst unterstützt, bietet Azure Stack Hub standardmäßig nur Unterstützung für ein Angebot. Wenn Sie unterschiedliche IPSec/IKE-Einstellungen verwenden müssen, um mit Ihrem VPN-Gerät zu arbeiten, können Sie Ihre Verbindung manuell konfigurieren. Weitere Informationen finden Sie unter Konfigurieren einer IPsec/IKE-Richtlinie für Site-to-Site-VPN-Verbindungen.

Parameter der IKE-Phase 1 (Hauptmodus)

Parameter der IKE-Phase 2 (Schnellmodus)

* Neuer oder geänderter Parameter

Nächste Schritte

• Herstellen einer Verbindung mithilfe von ExpressRoute