Configurar as definições do gateway de VPN para o Azure Stack Hub

Um gateway VPN é um tipo de gateway de rede virtual que envia tráfego criptografado entre sua rede virtual no Azure Stack Hub e um gateway VPN remoto. O gateway VPN remoto pode estar no Azure, um dispositivo no seu datacenter ou um dispositivo em outro site. Se houver conectividade de rede entre os dois pontos de extremidade, você pode estabelecer uma conexão VPN Site-to-Site (S2S) segura entre as duas redes.

Um gateway VPN depende da configuração de vários recursos, cada um dos quais contém configurações configuráveis. Este artigo descreve os recursos e as configurações relacionados a um gateway VPN para uma rede virtual que você cria no modelo de implantação do Resource Manager. Você pode encontrar descrições e diagramas de topologia para cada solução de conexão em Criar gateways VPN para o Azure Stack Hub.

Configurações do gateway VPN

Tipos de gateway

Cada rede virtual do Azure Stack Hub dá suporte a um único gateway de rede virtual, que deve ser do tipo Vpn. Esse suporte é diferente do Azure, que dá suporte a tipos adicionais.

Ao criar um gateway de rede virtual, você deve certificar-se de que o tipo de gateway está correto para sua configuração. Um gateway VPN requer o -GatewayType Vpn sinalizador, por exemplo:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
   -VpnType RouteBased

SKUs de gateway sem VPN Fast Path ativado

Quando criares um gateway de rede virtual, especifica o SKU que queres usar. Selecione as SKUs que satisfazem seus requisitos com base nos tipos de cargas de trabalho, taxa de transferência, recursos e SLAs.

Você pode ter 10 gateways de alto desempenho ou 20 básicos e padrão antes de atingir a capacidade máxima.

O Azure Stack Hub oferece as SKUs de gateway VPN mostradas na tabela a seguir:

SKUs Gateway com VPN Fast Path ativado

Quando a Microsoft lançou a pré-visualização pública do VPN Fast Path, o Azure Stack Hub adicionou suporte para três novos SKUs com maior rendimento.

Quando ativas o VPN Fast Path no teu carimbo do Azure Stack, recebes novos limites e throughput.

O Azure Stack Hub oferece as SKUs de gateway VPN mostradas na tabela a seguir:

Redimensionamento de SKUs de gateway de rede virtual

O Azure Stack Hub não suporta redimensionamento de um SKU legado suportado (Basic, Standard e HighPerformance) para um SKU mais recente suportado pelo Azure (VpnGw1, VpnGw2 e VpnGw3).

Para usar os novos SKUs habilitados pelo VPN Fast Path, é necessário criar novos gateways e ligações de rede virtual.

Configurar a SKU do gateway de rede virtual

Portal do Azure Stack Hub

Se usar o portal Azure Stack Hub para criar um gateway de rede virtual, selecione o SKU na lista suspensa. Para ver os novos SKUs do VPN Fast Path (VpnGw1, VpnGw2, VpnGw3), adicione o parâmetro de consulta "?azurestacknewvpnskus=true" ao URL e atualize a página.

O exemplo de URL a seguir torna as novas SKUs de gateway de rede virtual visíveis no portal do usuário do Azure Stack Hub:

https://portal.local.azurestack.local/?azurestacknewvpnskus=true

Antes de criar estes recursos, o operador deve ativar o VPN Fast Path no carimbo do Azure Stack Hub. Para obter mais informações, consulte VPN Fast Path para operadores.

PowerShell

O exemplo do PowerShell a seguir especifica o -GatewaySku parâmetro como Standard:

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewaySku Standard `
   -GatewayType Vpn -VpnType RouteBased

Tipos de ligação

No modelo de implantação do Resource Manager, cada configuração requer um tipo de conexão de gateway de rede virtual específico. Os valores disponíveis do PowerShell do Gerenciador de Recursos para -ConnectionType são IPsec.

No exemplo seguinte do PowerShell, cria-se uma ligação S2S que requer o tipo de ligação IPsec:

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
   -Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

Tipos de VPN

Ao criar o gateway de rede virtual para uma configuração de gateway VPN, você deve especificar um tipo de VPN. O tipo de VPN escolhido depende da topologia de conexão que você deseja criar. Um tipo de VPN também pode depender do hardware que você está usando. As configurações S2S requerem um dispositivo VPN. Alguns dispositivos VPN suportam apenas um determinado tipo de VPN.

• Baseado em Políticas: VPNs baseadas em políticas encriptam e dirigem pacotes através de túneis IPsec com base nas políticas IPsec que configura com combinações de prefixos de endereço entre a sua rede local e o Azure Stack Hub VNet. A política, ou seletor de tráfego, geralmente é uma lista de acesso na configuração do dispositivo VPN.

  Nota

  PolicyBased tem suporte no Azure, mas não no Azure Stack Hub.

• BaseRouteBased: VPNs baseadas em rotas usam rotas que configura na tabela de encaminhamento ou encaminhamento de IP para direcionar pacotes para as respetivas interfaces de túnel. As interfaces de túnel, em seguida, encriptam ou desencriptam os pacotes dentro e fora dos túneis. Configuras a política, ou seletor de tráfego, para VPNs Baseadas em Rotas como qualquer para qualquer (ou usas coringas). Por defeito, não podes mudar isso. O valor para um tipo de VPN RouteBased é RouteBased.

O exemplo do PowerShell a seguir especifica o -VpnType como RouteBased. Quando criares um gateway, certifica-te de que está -VpnType correto para a tua configuração.

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig `
   -GatewayType Vpn -VpnType RouteBased

Gateways de rede virtual suportados configurações quando VPN Fast Path não está habilitado

Gateways de rede virtual suportados configurações quando VPN Fast Path está ativado

Sub-rede de gateway

Antes de criar um gateway VPN, você deve criar uma sub-rede de gateway. A sub-rede do gateway tem os endereços IP que as VMs e os serviços do gateway de rede virtual usam. Quando cria o seu gateway de rede virtual e a ligação, a VM do Gateway que detém a ligação está ligada à sub-rede do gateway e está configurada com as definições necessárias do gateway VPN. Não implante mais nada (por exemplo, VMs adicionais) na sub-rede do gateway.

Quando cria a sub-rede do gateway, especifica o número de endereços IP que a sub-rede contém. Os endereços IP na sub-rede do gateway são alocados para as VMs e serviços de gateway do gateway. Algumas configurações requerem mais endereços IP do que outras. Observe as instruções para a configuração que você deseja criar e verifique se a sub-rede do gateway que você deseja criar atende a esses requisitos.

Além disso, certifique-se de que a sub-rede do seu gateway tem endereços IP suficientes para suportar configurações futuras adicionais. Embora possas criar uma sub-rede de gateway tão pequena quanto /29, cria uma sub-rede de gateway de /28 ou maior (/28, /27, /26, e assim sucessivamente). Assim, se adicionares funcionalidades no futuro, não tens de desmontar o teu gateway, depois apagar e recriar a sub-rede do gateway para permitir mais endereços IP.

O exemplo do PowerShell do Gerenciador de Recursos a seguir mostra uma sub-rede de gateway chamada GatewaySubnet. Você pode ver que a notação CIDR especifica um /27, que permite endereços IP suficientes para a maioria das configurações que existem atualmente.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Gateways de rede local

Quando cria uma configuração de gateway VPN no Azure, o gateway de rede local frequentemente representa a sua localização local. No Azure Stack Hub, ele representa qualquer dispositivo VPN remoto que fica fora do Azure Stack Hub. Esse dispositivo pode ser um dispositivo VPN em seu datacenter (ou um datacenter remoto) ou um gateway VPN no Azure.

Você dá ao gateway de rede local um nome, o endereço IP público do dispositivo VPN remoto e especifica os prefixos de endereço que estão no local local. O Azure Stack Hub analisa os prefixos de endereço de destino para tráfego de rede, consulta a configuração que especificaste para o teu gateway de rede local e encaminha os pacotes em conformidade.

Este exemplo do PowerShell cria um novo gateway de rede local:

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
   -Location 'West US' -GatewayIpAddress '198.51.100.101' -AddressPrefix '10.5.51.0/24'

Às vezes, você precisa modificar as configurações do gateway de rede local. Por exemplo, pode ser necessário alterar o intervalo de endereços ou se o endereço IP do dispositivo VPN mudar. Para obter mais informações, consulte Modificar configurações de gateway de rede local usando o PowerShell.

Parâmetros de IPsec/IKE

Ao configurar uma conexão VPN no Azure Stack Hub, você deve configurar a conexão em ambas as extremidades. Se estiver a configurar uma ligação VPN entre o Azure Stack Hub e um dispositivo de hardware, como um switch ou router, que atua como gateway VPN, esse dispositivo pode precisar de definições adicionais.

Ao contrário do Azure, que dá suporte a várias ofertas como iniciador e respondente, o Azure Stack Hub dá suporte a apenas uma oferta por padrão. Se precisares de usar diferentes definições IPSec/IKE para trabalhar com o teu dispositivo VPN, podes configurar a tua ligação manualmente. Para obter mais informações, consulte Configurar a política IPsec/IKE para conexões VPN site a site.

Parâmetros de IKE Fase 1 (Modo Principal)

Parâmetros de IKE Fase 2 (Modo Rápido)

* Parâmetro novo ou alterado.

Próximos passos

• Conectar-se usando a Rota Expressa