关于用于站点到站点 VPN 网关连接的 VPN 设备和 IPsec/IKE 参数
通过 VPN 网关配置站点到站点 (S2S) 跨界 VPN 连接需要用到 VPN 设备。 在创建混合解决方案时，或者每想要在本地网络与虚拟网络之间建立安全连接时，可以使用站点到站点连接。 本文提供了一个已验证 VPN 设备的列表，以及一个适用于 VPN 网关的 IPsec/IKE 参数的列表。
重要
如果遇到本地 VPN 设备与 VPN 网关之间的连接问题，请参阅已知的设备兼容性问题。
查看表时的注意事项：
- Azure VPN 网关的术语已更改。 只有名称已更改。 没有功能变更。
- 静态路由 = PolicyBased
- 动态路由 = RouteBased
- 除非另有说明，否则高性能 VPN 网关和 RouteBased VPN 网关的规范相同。 例如，经验证与 RouteBased VPN 网关兼容的 VPN 设备也与高性能 VPN 网关兼容。
验证的 VPN 设备和设备配置指南
我们在与设备供应商合作的过程中验证了一系列的标准 VPN 设备。 以下列表的设备系列中的所有设备都应适用于 VPN 网关。 这些是建议用于设备配置的算法。
| 建议的算法 | 加密 | 完整性 | DH 组 |
|---|---|---|---|
| IKE | AES256 | SHA256 | DH2 |
| IPSec | AES256GCM | AES256GCM | 无 |
若要获取配置 VPN 设备的帮助，请参考相应设备系列所对应的链接。 我们会尽力而为地提供配置说明的链接，配置指南中列出的默认值不需要包含最佳加密算法。 如需 VPN 设备支持，请联系设备制造商。
| 供应商 | 设备系列 | 最低操作系统版本 | PolicyBased 配置说明 | RouteBased 配置说明 |
|---|---|---|---|---|
| A10 Networks, Inc. | Thunder CFW | ACOS 4.1.1 | 不兼容 | 配置指南 |
| AhnLab | TrusGuard | TG 2.7.6 TG 3.5.x |
未测试 | 配置指南 |
| Allied Telesis | AR 系列 VPN 路由器 | AR 系列 5.4.7+ | 配置指南 | 配置指南 |
| Arista | CloudEOS 路由器 | vEOS 4.24.0FX | 未测试 | 配置指南 |
| Barracuda Networks, Inc. | Barracuda CloudGen 防火墙 | PolicyBased：5.4.3 RouteBased：6.2.0 |
配置指南 | 配置指南 |
| 检查点 | 安全网关 | R80.10 | 配置指南 | 配置指南 |
| Cisco | ASA | 8.3 8.4+ (IKEv2*) |
支持 | 配置指南* |
| Cisco | ASR | PolicyBased：IOS 15.1 RouteBased：IOS 15.2 |
支持 | 支持 |
| Cisco | CSR | RouteBased：IOS-XE 16.10 | 未测试 | 配置脚本 |
| Cisco | ISR | PolicyBased：IOS 15.0 RouteBased*：IOS 15.1 |
支持 | 支持 |
| Cisco | Meraki (MX) | MX v15.12 | 不兼容 | 配置指南 |
| Cisco | vEdge (Viptela OS) | 18.4.0（主动/被动模式） | 不兼容 | 手动配置（主动/被动） |
| Citrix | NetScaler MPX、SDX、VPX | 10.1 和更高版本 | 配置指南 | 不兼容 |
| F5 | BIG-IP 系列 | 12.0 | 配置指南 | 配置指南 |
| Fortinet | FortiGate | FortiOS 5.6 | 未测试 | 配置指南 |
| Fsas 技术 | Si-R G 系列 | V04：V04.12 V20：V20.14 |
配置指南 | 配置指南 |
| Hillstone Networks | 下一代防火墙 (NGFW) | 5.5R7 | 未测试 | 配置指南 |
| HPE Aruba | EdgeConnect SDWAN Gateway | ECOS 版本 v9.2 Orchestrator OS v9.2 |
配置指南 | 配置指南 |
| Internet Initiative Japan (IIJ) | SEIL 系列 | SEIL/X 4.60 SEIL/B1 4.60 SEIL/x86 3.20 |
配置指南 | 不兼容 |
| Juniper | SRX | PolicyBased：JunOS 10.2 Routebased：JunOS 11.4 |
支持 | 配置脚本 |
| Juniper | J 系列 | PolicyBased：JunOS 10.4r9 RouteBased：JunOS 11.4 |
支持 | 配置脚本 |
| Juniper | ISG | ScreenOS 6.3 | 支持 | 配置脚本 |
| Juniper | SSG | ScreenOS 6.2 | 支持 | 配置脚本 |
| Juniper | MX | JunOS 12.x | 支持 | 配置脚本 |
| Microsoft | 路由和远程访问服务 | Windows Server 2012 | 不兼容 | 支持 |
| Open Systems AG | 任务控制安全网关 | 空值 | 支持 | 不兼容 |
| Palo Alto Networks | 运行 PAN-OS 的所有设备 | PAN-OS PolicyBased：6.1.5 或更高版本 RouteBased：7.1.4 |
支持 | 配置指南 |
| Sentrium（开发人员） | VyOS | VyOS 1.2.2 | 未测试 | 配置指南 |
| ShareTech | Next Generation UTM（NU 系列） | 9.0.1.3 | 不兼容 | 配置指南 |
| SonicWall | TZ 系列、NSA 系列 SuperMassive 系列 E 类 NSA 系列 |
SonicOS 5.8.x SonicOS 5.9.x SonicOS 6.x |
不兼容 | 配置指南 |
| Sophos | XG 下一代防火墙 | XG v17 | 未测试 | 配置指南 配置指南 - 多个 SA |
| Synology | MR2200ac RT2600ac RT1900ac |
SRM1.1.5/VpnPlusServer-1.2.0 | 未测试 | 配置指南 |
| Ubiquiti | EdgeRouter | EdgeOS v1.10 | 未测试 | 基于 IKEv2/IPsec 的BGP 基于 IKEv2/IPsec 的 VTI |
| 超高性能 | 3E-636L3 | 5.2.0.T3 Build-13 | 未测试 | 配置指南 |
| WatchGuard | 全部 | Fireware XTM PolicyBased：v11.11.x RouteBased：v11.12.x |
配置指南 | 配置指南 |
| Zyxel | ZyWALL USG 系列 ZyWALL ATP 系列 ZyWALL VPN 系列 |
ZLD v4.32+ | 未测试 | 基于 IKEv2/IPsec 的 VTI 基于 IKEv2/IPsec 的BGP |
注意
(*) Cisco ASA 版本 8.4+ 增加了 IKEv2 支持，可以通过“UsePolicyBasedTrafficSelectors”选项使用自定义 IPsec/IKE 策略连接到 Azure VPN 网关。 请参阅此操作说明文章。
(**) ISR 7200 系列路由器仅支持 PolicyBased VPN。
从 Azure 下载 VPN 设备配置脚本
对于某些设备，你可以直接从 Azure 下载配置脚本。 有关详细信息和下载说明，请参阅下载 VPN 设备配置脚本。
未验证的 VPN 设备
即使没有看到设备在“已验证的 VPN 设备”表列出中，该设备也有可能适用于站点到站点连接。 请联系设备制造商了解支持和配置说明。
编辑设备配置示例
在下载提供的 VPN 设备配置示例后，需要替换一些值来反映你环境的设置。
编辑示例的步骤：
- 使用记事本打开示例。
- 搜索所有 <text> 字符串并将其替换为与环境相关的值。 请确保包含 < 和 >。 指定名称时，选择的名称应是唯一的。 如果命令无效，请查看设备制造商文档。
| 示例文本 | 更改为 |
|---|---|
| <RP_OnPremisesNetwork> | 为此对象选择的名称。 示例：myOnPremisesNetwork |
| <RP_AzureNetwork> | 为此对象选择的名称。 示例：myAzureNetwork |
| <RP_AccessList> | 为此对象选择的名称。 示例：myAzureAccessList |
| <RP_IPSecTransformSet> | 为此对象选择的名称。 示例：myIPSecTransformSet |
| <RP_IPSecCryptoMap> | 为此对象选择的名称。 示例：myIPSecCryptoMap |
| <SP_AzureNetworkIpRange> | 指定范围。 示例：192.168.0.0 |
| <SP_AzureNetworkSubnetMask> | 指定子网掩码。 示例：255.255.0.0 |
| <SP_OnPremisesNetworkIpRange> | 指定本地范围。 示例：10.2.1.0 |
| <SP_OnPremisesNetworkSubnetMask> | 指定本地子网掩码。 示例：255.255.255.0 |
| <SP_AzureGatewayIpAddress> | 此信息特定于虚拟网络，位于管理门户的“网关 IP 地址”中。 |
| <SP_PresharedKey> | 此信息特定于虚拟网络，位于管理门户的“管理密钥”中。 |
默认 IPsec/IKE 参数
下表包含了 Azure VPN 网关在默认配置（默认策略）中使用的算法和参数的组合。 对于使用 Azure 资源管理器部署模型创建的基于路由的 VPN 网关，可以在每个单独的连接上指定一个自定义策略。 有关详细说明，请参阅配置 IPsec/IKE 策略。
在下面的表中：
- SA = 安全关联
- IKE 阶段 1 也称“主模式”
- IKE 阶段 2 也称“快速模式”
IKE 阶段 1（主模式）参数
| 属性 | PolicyBased | RouteBased |
|---|---|---|
| SDK 版本 | IKEv1 | IKEv1 和 IKEv2 |
| Diffie-Hellman 组 | 组 2（1024 位） | 组 2（1024 位） |
| 身份验证方法 | 预共享密钥 | 预共享密钥 |
| 加密和哈希算法 | 1.AES256、SHA256 2.AES256、SHA1 3.AES128、SHA1 4. 3DES、SHA1 |
1.AES256、SHA1 2.AES256、SHA256 3.AES128、SHA1 4.AES128、SHA256 5. 3DES、SHA1 6. 3DES、SHA256 |
| SA 生存期 | 28,800 秒 | 28,800 秒 |
| 快速模式 SA 的数量 | 100 | 100 |
IKE 阶段 2（快速模式）参数
| 属性 | PolicyBased | RouteBased |
|---|---|---|
| SDK 版本 | IKEv1 | IKEv1 和 IKEv2 |
| 加密和哈希算法 | 1.AES256、SHA256 2.AES256、SHA1 3.AES128、SHA1 4. 3DES、SHA1 |
RouteBased QM SA 产品/服务 |
| SA 生存期（时间） | 3,600 秒 | 27,000 秒 |
| SA 生存期（字节数） | 102,400,000 KB | 102,400,000 KB |
| 完全向前保密 (PFS) | 否 | RouteBased QM SA 产品/服务 |
| 死对等体检测 (DPD) | 不支持 | 支持 |
Azure VPN 网关 TCP MSS 固定
MSS 固定在 Azure VPN 网关上双向执行。 下表列出了不同场景中的数据包大小。
| 数据包流 | IPv4 | IPv6 |
|---|---|---|
| 通过 Internet | 1340 字节 | 1360 字节 |
| 通过 Express Route 网关 | 1250 字节 | 1250 字节 |
RouteBased VPN IPsec 安全关联（IKE 快速模式 SA）产品/服务
下表列出了 IPsec SA（IKE 快速模式）产品/服务。 这些产品按提供或接受产品的偏好顺序列出。
Azure 网关作为发起方
| - | 加密 | 身份验证 | PFS 组 |
|---|---|---|---|
| 1 | GCM AES256 | GCM (AES256) | 无 |
| 2 | AES256 | SHA1 | 无 |
| 3 | 3DES | SHA1 | 无 |
| 4 | AES256 | SHA256 | 无 |
| 5 | AES128 | SHA1 | 无 |
| 6 | 3DES | SHA256 | 无 |
Azure 网关作为响应方
| - | 加密 | 身份验证 | PFS 组 |
|---|---|---|---|
| 1 | GCM AES256 | GCM (AES256) | 无 |
| 2 | AES256 | SHA1 | 无 |
| 3 | 3DES | SHA1 | 无 |
| 4 | AES256 | SHA256 | 无 |
| 5 | AES128 | SHA1 | 无 |
| 6 | 3DES | SHA256 | 无 |
| 7 | DES | SHA1 | 无 |
| 8 | AES256 | SHA1 | 1 |
| 9 | AES256 | SHA1 | 2 |
| 10 | AES256 | SHA1 | 14 |
| 11 | AES128 | SHA1 | 1 |
| 12 | AES128 | SHA1 | 2 |
| 13 | AES128 | SHA1 | 14 |
| 14 | 3DES | SHA1 | 1 |
| 15 | 3DES | SHA1 | 2 |
| 16 | 3DES | SHA256 | 2 |
| 17 | AES256 | SHA256 | 1 |
| 18 | AES256 | SHA256 | 2 |
| 19 | AES256 | SHA256 | 14 |
| 20 | AES256 | SHA1 | 24 |
| 21 | AES256 | SHA256 | 24 |
| 22 | AES128 | SHA256 | 无 |
| 23 | AES128 | SHA256 | 1 |
| 24 | AES128 | SHA256 | 2 |
| 25 | AES128 | SHA256 | 14 |
| 26 | 3DES | SHA1 | 14 |
- 可以使用 RouteBased 和 HighPerformance VPN 网关指定 IPsec ESP NULL 加密。 基于 Null 的加密不对传输中的数据提供保护，仅应在需要最大吞吐量和最小延迟时才使用。 客户端可以在 VNet 到 VNet 通信方案中选择使用此方法，或者在解决方案中的其他位置应用加密时使用此方法。
- 对于通过 Internet 进行的跨界连接，请使用上表中列出的带有加密和哈希算法的默认 Azure VPN 网关设置，以确保关键通信的安全。
已知的设备兼容性问题
重要
这些是第三方 VPN 设备与 Azure VPN 网关之间的已知兼容性问题。 Azure 团队正积极与供应商合作解决此处列出的问题。 解决问题后，使用最新的信息更新此页。 请定期查看。
2017 年 2 月 16 日
早于 7.1.4 版的 Palo Alto Networks 设备（针对 Azure 基于路由的 VPN）：如果通过 PAN-OS 版本早于 7.1.4 的 Palo Alto Networks 使用 VPN 设备，并且遇到 Azure 基于路由的 VPN 网关的连接问题，请执行以下步骤：
- 检查 Palo Alto Networks 设备的固件版本。 如果 PAN-OS 版本低于 7.1.4，请升级到 7.1.4。
- 连接到 Azure VPN 网关时，请在 Palo Alto Networks 设备上将阶段 2 SA（或快速模式 SA）生存期更改为 28,800 秒（8 小时）。
- 如果仍然遇到连接问题，请从 Azure 门户开具支持请求票证。