設定 Azure Stack Hub 的 VPN 閘道設定

VPN 閘道是一種虛擬網路閘道類型，可在 Azure Stack Hub 中的虛擬網路與遠端 VPN 閘道之間傳送加密流量。 遠端 VPN 閘道可以位於 Azure、資料中心的裝置，或另一個站臺上的裝置。 如果兩個端點之間有網路連線，您可以建立兩個網路之間的安全站對站 VPN 連線。

VPN 閘道依賴多個資源的設定，每個資源都包含可設定的設定。 本文說明與您在 Resource Manager 部署模型中建立之虛擬網路之 VPN 閘道相關的資源和設定。 您可以在建立 Azure Stack Hub 的 VPN 閘道中找到每個連線解決方案的描述和拓撲圖表。

VPN 閘道設定

閘道類型

每個 Azure Stack Hub 虛擬網路都支援單一虛擬網路閘道，其類型必須是 Vpn。 這項支援與支援其他類型的 Azure 不同。

當您建立虛擬網路閘道時，您必須確定閘道類型適用於您的組態。 VPN 閘道需要 -GatewayType Vpn 旗標;例如：

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewayType Vpn `
   -VpnType RouteBased

未啟用 VPN 快速路徑的閘道 SKU

當你建立虛擬網路閘道器時，請指定你想使用的 SKU。 根據工作負載、輸送量、功能和 SLA 的類型，選取符合需求的 SKU。

在達到最大容量之前，您可以擁有10個高效能閘道或20個基本和標準。

Azure Stack Hub 提供下表所示的 VPN 閘道 SKU：

啟用 VPN 快速路徑的閘道 SKU

當 Microsoft 發布 VPN Fast Path 公開預覽版時，Azure Stack Hub 新增了三種更高吞吐量的 SKU 支援。

當你在 Azure Stack 印章上啟用 VPN 快速路徑時，你會獲得新的限制和吞吐量。

Azure Stack Hub 提供下表所示的 VPN 閘道 SKU：

調整虛擬網路閘道 SKU 大小

Azure Stack Hub 不支援從支援的舊有 SKU（Basic、Standard 和 HighPerformance）調整大小到Azure 支援的新 SKU（VpnGw1、VpnGw2 和 VpnGw3）。

要使用 VPN 快速路徑啟用的新 SKU，你需要建立新的虛擬網路閘道器和連線。

設定虛擬網路閘道 SKU

Azure Stack Hub 入口網站

如果你使用 Azure Stack Hub 入口網站建立虛擬網路閘道，請從下拉選單中選擇 SKU。 要查看新的 VPN 快速路徑 SKU（VpnGw1、 VpnGw2、 VpnGw3），請在網址中新增查詢參數 「？azurestacknewvpnskus=true」 並重新整理頁面。

下列 URL 範例會在 Azure Stack Hub 使用者入口網站中顯示新的虛擬網路閘道 SKU：

https://portal.local.azurestack.local/?azurestacknewvpnskus=true

在建立這些資源之前，營運商必須在 Azure Stack Hub 標記上啟用 VPN 快速路徑。 如需詳細資訊，請參閱 操作員的 VPN 快速路徑。

PowerShell

下列 PowerShell 範例會將 -GatewaySku 參數指定為 Standard：

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig -GatewaySku Standard `
   -GatewayType Vpn -VpnType RouteBased

連線類型

在 Resource Manager 部署模型中，每個組態皆需要特定的虛擬網路閘道連線類型。 可用的 Resource Manager PowerShell 值為 -ConnectionTypeIPsec。

在以下 PowerShell 範例中，你建立一個需要 IPsec 連線類型的 S2S 連線：

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
   -Location 'West US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

VPN 類型

當您為 VPN 閘道組態建立虛擬網路閘道時，必須指定 VPN 類型。 您所選擇的 VPN 類型取決於您想要建立的連線拓撲。 VPN 類型也可以取決於您所使用的硬體。 S2S 組態需要 VPN 裝置。 有些 VPN 裝置僅支援特定 VPN 類型。

• 基於政策的 VPN：基於政策的 VPN 根據你設定的 IPsec 政策，透過 IPsec 隧道加密並導向封包，這些政策是你在本地網路與 Azure Stack Hub VNet 之間組合的地址前綴。 原則或流量選取器通常是 VPN 裝置組態中的存取清單。

  注意

  Azure 支援 PolicyBased ，但在 Azure Stack Hub 中則不支援。

• 路由式：路由型 VPN 利用您在 IP 轉發或路由表中設定的路由，將封包導向對應的隧道介面。 然後，通道介面會加密或解密輸入和輸出通道的封包。 你可以將路由 基礎 VPN 的政策或流量選擇器設定為任意對任何（或使用萬用卡）。 預設情況下，你無法更改它。 RouteBased VPN 類型的值為 RouteBased。

下列 PowerShell 範例會將 -VpnType 指定為 RouteBased。 建立閘道器時，請確保 是 -VpnType 符合你設定的。

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'West US' -IpConfigurations $gwipconfig `
   -GatewayType Vpn -VpnType RouteBased

未啟用 VPN 快速路徑時，虛擬網路閘道支援設定

啟用 VPN 快速路徑時，虛擬網路閘道支援設定

閘道子網路

建立 VPN 閘道之前，您必須先建立閘道子網路。 閘道子網具有虛擬網路閘道 VM 和服務所使用的 IP 位址。 當你建立虛擬網路閘道和連線時，擁有該連線的閘道虛擬機會連結到閘道子網，並設定了所需的 VPN 閘道設定。 請勿將任何其他專案 （例如，其他 VM） 部署到閘道子網。

當您建立閘道子網路時，您可指定子網路包含的 IP 位址數目。 閘道子網路中的 IP 位址會配置給閘道 VM 和閘道服務。 有些組態需要的 IP 位址比其他組態多。 查看您想要建立的組態指示，並確認您想要建立的閘道子網符合這些需求。

此外，確保你的閘道子網有足夠的 IP 位址，以應付未來的額外設定。 雖然你可以建立一個小到 /29 的閘道子網，但也可以建立一個 /28 或更大的閘道子網（如 /28、/27、/26 等）。這樣未來新增功能時，就不用拆除閘道器，然後刪除並重建閘道子網以增加更多 IP 位址。

下列 Resource Manager PowerShell 範例顯示名為 GatewaySubnet 的閘道子網。 您可以看到 CIDR 標記法指定 /27，這可提供足以供大多數現有組態使用的 IP 位址。

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

區域網路閘道

當你在 Azure 建立 VPN 閘道設定時，本地網路閘道通常代表你的本地位置。 在 Azure Stack Hub 中，它代表位於 Azure Stack Hub 外部的任何遠端 VPN 裝置。 此裝置可以是您資料中心的 VPN 裝置（或遠端資料中心），或 Azure 中的 VPN 閘道。

您可以為局域網路閘道命名、遠端 VPN 裝置的公用 IP 位址，並指定內部部署位置上的位址前置詞。 Azure Stack Hub 會查看網路流量的目的地地址前綴，參考你為本地網路閘道所指定的設定，並相應地路由封包。

此 PowerShell 範例會建立新的區域網路閘道：

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
   -Location 'West US' -GatewayIpAddress '198.51.100.101' -AddressPrefix '10.5.51.0/24'

有時，您會需要修改區域網路閘道設定。 例如，你可能需要更改地址範圍，或是 VPN 裝置的 IP 位址改變。 如需詳細資訊，請參閱 使用PowerShell修改局域網路閘道設定。

IPsec/IKE 參數

當您在 Azure Stack Hub 中設定 VPN 連線時，必須在兩端設定連線。 如果你正在設定 Azure Stack Hub 與硬體裝置（如交換器或路由器）之間的 VPN 連線，該裝置可能需要額外設定。

與支援多個供應專案做為啟動器和回應程式的 Azure 不同，Azure Stack Hub 預設僅支援一個供應專案。 如果你需要用不同的 IPSec/IKE 設定來配合你的 VPN 裝置，你可以手動設定連線。 如需詳細資訊，請參閱 設定站對站 VPN 連線的 IPsec/IKE 原則。

IKE 階段 1 (主要模式) 參數

IKE 階段 2 (快速模式) 參數

* 新增或變更參數。

下一步

• 使用 ExpressRoute 進行連線