Instellingen configureren voor VPN-gateway voor Azure Stack Hub

Een VPN-gateway is een type virtuele netwerkgateway waarmee versleuteld verkeer tussen uw virtuele netwerk in Azure Stack Hub en een externe VPN-gateway wordt verzonden. De externe VPN-gateway kan zich in Azure bevinden, een apparaat in uw datacenter of een apparaat op een andere site. Als er een netwerkverbinding tussen de twee eindpunten is, kunt u een beveiligde site-naar-site-VPN-verbinding (S2S) tussen de twee netwerken tot stand brengen.

Een VPN-gateway is afhankelijk van de configuratie van meerdere resources, die elk configureerbare instellingen bevatten. In dit artikel worden de resources en instellingen beschreven die betrekking hebben op een VPN-gateway voor een virtueel netwerk dat u maakt in het Resource Manager-implementatiemodel. U vindt beschrijvingen en topologiediagrammen voor elke verbindingsoplossing in VPN-gateways maken voor Azure Stack Hub.

VPN-gatewayinstellingen

Gatewaytypen

Elk virtueel Azure Stack Hub-netwerk ondersteunt één virtuele netwerkgateway, die van het type Vpn moet zijn. Deze ondersteuning verschilt van Azure, die ondersteuning biedt voor extra typen.

Wanneer u een virtuele netwerkgateway maakt, moet u ervoor zorgen dat het gatewaytype juist is voor uw configuratie. Voor een VPN-gateway is de -GatewayType Vpn vlag vereist, bijvoorbeeld:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
   -VpnType RouteBased

Gateway-SKU's zonder vpn-snelpad ingeschakeld

Wanneer u een gateway voor een virtueel netwerk maakt, geeft u de SKU op die u wilt gebruiken. Selecteer de SKU's die voldoen aan uw vereisten op basis van de typen workloads, doorvoer, functies en SLA's.

U kunt 10 gateways met hoge prestaties of 20 basis- en standaardgateways hebben voordat u de maximale capaciteit bereikt.

Azure Stack Hub biedt de VPN-gateway-SKU's die worden weergegeven in de volgende tabel:

Gateway-SKU's waarvoor VPN Fast Path is ingeschakeld

Toen Microsoft de openbare preview van vpn Fast Path uitgebracht, Azure Stack Hub ondersteuning toegevoegd voor drie nieuwe SKU's met een hogere doorvoer.

Wanneer u VPN Fast Path inschakelt op uw Azure Stack stempel, krijgt u nieuwe limieten en doorvoer.

Azure Stack Hub biedt de VPN-gateway-SKU's die worden weergegeven in de volgende tabel:

Grootte van gateway-SKU's voor virtuele netwerken wijzigen

Azure Stack Hub biedt geen ondersteuning voor het wijzigen van het formaat van een ondersteunde verouderde SKU (Basic, Standard en HighPerformance) naar een nieuwere SKU die wordt ondersteund door Azure (VpnGw1, VpnGw2 en VpnGw3).

Als u de nieuwe SKU's wilt gebruiken die zijn ingeschakeld door VPN Fast Path, moet u nieuwe virtuele netwerkgateways en verbindingen maken.

De gateway-SKU van het virtuele netwerk configureren

Azure Stack Hub-portal

Als u de Azure Stack Hub-portal gebruikt om een virtuele netwerkgateway te maken, selecteert u de SKU in de vervolgkeuzelijst. Als u de nieuwe VPN Fast Path-SKU's (VpnGw1, VpnGw2, VpnGw3) wilt zien, voegt u de queryparameter '?azurestacknewvpnskus=true' toe aan de URL en vernieuwt u de pagina.

In het volgende URL-voorbeeld worden de nieuwe gateway-SKU's van het virtuele netwerk zichtbaar in de Azure Stack Hub-gebruikersportal:

https://portal.local.azurestack.local/?azurestacknewvpnskus=true

Voordat u deze resources maakt, moet de operator VPN Fast Path inschakelen op de Azure Stack Hub stempel. Zie VPN Fast Path voor operators voor meer informatie.

Powershell

In het volgende PowerShell-voorbeeld wordt de -GatewaySku parameter opgegeven als Standaard:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewaySku Standard `
   -GatewayType Vpn -VpnType RouteBased

Verbindingstypen

In het Resource Manager-implementatiemodel is voor elke configuratie een specifiek verbindingstype voor de virtuele netwerkgateway vereist. De beschikbare PowerShell-waarden voor -ConnectionType Resource Manager zijn IPsec.

In het volgende PowerShell-voorbeeld maakt u een S2S-verbinding waarvoor het IPsec-verbindingstype is vereist:

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
   -Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

VPN-typen

Wanneer u de virtuele netwerkgateway voor een VPN-gatewayconfiguratie maakt, moet u een VPN-type opgeven. Het VPN-type dat u kiest, is afhankelijk van de verbindingstopologie die u wilt maken. Een VPN-type kan ook afhankelijk zijn van de hardware die u gebruikt. Voor S2S-configuraties is een VPN-apparaat vereist. Sommige VPN-apparaten ondersteunen alleen een bepaald VPN-type.

• PolicyBased: op beleid gebaseerde VPN's versleutelen en directe pakketten via IPsec-tunnels op basis van het IPsec-beleid dat u configureert met combinaties van adresvoorvoegsels tussen uw on-premises netwerk en het Azure Stack Hub VNet. Het beleid of de verkeerskiezer is meestal een toegangslijst in de configuratie van het VPN-apparaat.

  Notitie

  PolicyBased wordt ondersteund in Azure, maar niet in Azure Stack Hub.

• RouteBased: op route gebaseerde VPN's maken gebruik van routes die u configureert in de doorsturen- of routeringstabel voor IP om pakketten naar hun bijbehorende tunnelinterfaces te leiden. De tunnelinterfaces versleutelen of ontsleutelen de pakketten vervolgens naar en vanuit de tunnels. U configureert het beleid of de verkeerskiezer voor RouteBased VPN's als any-to-any (of gebruik jokertekens). Standaard kunt u deze niet wijzigen. De waarde voor een RouteBased VPN-type is RouteBased.

In het volgende PowerShell-voorbeeld wordt de -VpnType als RouteBased opgegeven. Wanneer u een gateway maakt, moet u ervoor zorgen dat de -VpnType configuratie juist is.

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig `
   -GatewayType Vpn -VpnType RouteBased

Ondersteunde configuraties voor virtuele netwerkgateways wanneer VPN Fast Path niet is ingeschakeld

Ondersteunde configuraties voor virtuele netwerkgateways wanneer VPN Fast Path is ingeschakeld

Gatewaysubnet

Voordat u een VPN-gateway maakt, moet u een gatewaysubnet maken. Het gatewaysubnet heeft de IP-adressen die de virtuele netwerkgateway-VM's en -services gebruiken. Wanneer u uw virtuele netwerkgateway en de verbinding maakt, wordt de gateway-VM die eigenaar is van de verbinding gekoppeld aan het gatewaysubnet en wordt deze geconfigureerd met de vereiste INSTELLINGEN voor de VPN-gateway. Implementeer niets anders (bijvoorbeeld extra VM's) naar het gatewaysubnet.

Wanneer u het gatewaysubnet maakt, geeft u op hoeveel IP-adressen het subnet bevat. De IP-adressen in het gatewaysubnet worden toegewezen aan de gateway-VM's en gatewayservices. Sommige configuraties vereisen meer IP-adressen dan andere. Bekijk de instructies voor de configuratie die u wilt maken en controleer of het gatewaysubnet dat u wilt maken aan deze vereisten voldoet.

Zorg er bovendien voor dat uw gatewaysubnet voldoende IP-adressen heeft om aanvullende toekomstige configuraties af te handelen. Hoewel u een gatewaysubnet zo klein als /29 kunt maken, maakt u een gatewaysubnet van /28 of groter (/28, /27, /26, enzovoort).) Als u in de toekomst functionaliteit toevoegt, hoeft u de gateway niet te verwijderen en vervolgens het gatewaysubnet te verwijderen en opnieuw te maken om meer IP-adressen toe te staan.

In het volgende PowerShell-voorbeeld van Resource Manager ziet u een gatewaysubnet met de naam GatewaySubnet. U kunt zien dat de CIDR-notatie een /27 opgeeft, waardoor er voldoende IP-adressen zijn voor de meeste configuraties die momenteel bestaan.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Lokale netwerkgateways

Wanneer u een VPN-gatewayconfiguratie in Azure maakt, vertegenwoordigt de lokale netwerkgateway vaak uw on-premises locatie. In Azure Stack Hub vertegenwoordigt het een extern VPN-apparaat dat zich buiten Azure Stack Hub bevindt. Dit apparaat kan een VPN-apparaat zijn in uw datacenter (of een extern datacenter) of een VPN-gateway in Azure.

U geeft de lokale netwerkgateway een naam, het openbare IP-adres van het externe VPN-apparaat en geeft de adresvoorvoegsels op die zich op de on-premises locatie bevinden. Azure Stack Hub kijkt naar de voorvoegsels van het doeladres voor netwerkverkeer, raadpleegt u de configuratie die u hebt opgegeven voor uw lokale netwerkgateway en routeert u pakketten dienovereenkomstig.

In dit PowerShell-voorbeeld wordt een nieuwe lokale netwerkgateway gemaakt:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
   -Location 'West US' -GatewayIpAddress '198.51.100.101' -AddressPrefix '10.5.51.0/24'

Soms moet u de instellingen van de lokale netwerkgateway wijzigen. U moet bijvoorbeeld het adresbereik wijzigen of als het IP-adres van het VPN-apparaat wordt gewijzigd. Zie Instellingen voor lokale netwerkgateway wijzigen met behulp van PowerShell voor meer informatie.

IPSec-/IKE-parameters

Wanneer u een VPN-verbinding instelt in Azure Stack Hub, moet u de verbinding aan beide uiteinden configureren. Als u een VPN-verbinding configureert tussen Azure Stack Hub en een hardwareapparaat, zoals een switch of router die fungeert als een VPN-gateway, vereist dat apparaat mogelijk aanvullende instellingen.

In tegenstelling tot Azure, dat meerdere aanbiedingen ondersteunt als zowel een initiator als een responder, ondersteunt Azure Stack Hub standaard slechts één aanbieding. Als u verschillende IPSec-/IKE-instellingen moet gebruiken om met uw VPN-apparaat te werken, kunt u de verbinding handmatig configureren. Zie IPsec-/IKE-beleid configureren voor site-naar-site-VPN-verbindingen voor meer informatie.

Parameters voor IKE Phase 1 (Main Mode)

Parameters voor IKE Phase 2 (Quick Mode)

* Nieuwe of gewijzigde parameter.

Volgende stappen

• Verbinding maken met Behulp van ExpressRoute