关于主动-主动模式 VPN网关

可将 Azure VPN 网关配置为主动-待机或主动-主动。 本文介绍主动-主动模式网关配置，并重点介绍使用主动-主动模式所能获得的优势。

为何创建主动-主动网关？

VPN 网关由两个采用主动-备用配置的实例组成，除非您指定为主动-主动模式。

主动-待机模式行为

在主备模式下，当发生任何影响主动实例的计划内维护或计划外中断时，会出现以下情况：

• S2S 和 VNet 到 VNet：备用实例会自动接管（故障转移），并恢复站点到站点 (S2S) VPN 或 VNet 到 VNet 连接。 此切换会导致短暂中断。 在计划内维护期间，连接可快速恢复。 对于计划外的问题，连接恢复时间较长。
• P2S：对于到网关的点到站点 (P2S) VPN 客户端连接，P2S 连接会断开。 用户需要从客户端计算机重新连接。

对于今后的维护或中断情况，主动-主动模式可减少与主动-待机故障转移相关的业务中断。 然而，转换使用非APIPA BGP对等IP地址的现有网关会导致停机，并需要更新本地BGP对等端。 更多信息请参见 将网关切换为主动-主动模式。

主动-主动模式设计

在 S2S 连接的主动-主动模式中，网关 VM 的两个实例均会与您的本地部署的 VPN 设备建立 S2S VPN 隧道，如下图所示：

在这种配置中，每个Azure网关实例都有唯一的公共IP地址，并且每个实例都会建立一条IPsec/IKE S2S VPN隧道到本地VPN设备。 这两条隧道都是同一连接的一部分。 配置本地 VPN 设备以接受两个 S2S VPN 隧道（每个网关实例各有一个隧道）。 点对点（P2S）连接不需要额外的本地VPN设备配置。 然而，启用 P2S 的主动-主动网关需要为 P2S 端点设置第三个公共 IP 地址。

在主动-主动配置中，Azure 会同时通过两条隧道将流量从虚拟网络路由到本地网络，即使本地 VPN 设备优先使用了其中一条隧道。 对于单个 TCP 或 UDP 流，Azure 在将数据包发送到本地网络时会尝试使用同一隧道。 但是，本地网络可能会使用另一条隧道将数据包发送回 Azure。

当一个网关实例发生计划内维护或计划外事件时，从该实例到本地 VPN 设备的 IPsec 隧道会断开。 VPN 设备上的对应路由应会自动删除或撤消，以便将流量切换到其他活动 IPsec 隧道。 在 Azure 端，会自动从受影响的实例切换到其他活动实例。

双冗余主动-主动模式设计

最可靠的设计方案是将您的网络和 Azure 两端的主动-主动网关结合起来，如下图所示。

在此配置中，你将创建并设置主动-主动模式的 Azure VPN 网关。 为两个本地 VPN 设备创建两个本地网络网关和两个连接。 结果是在 Azure 虚拟网络与本地网络之间建立了包含四个 IPsec 隧道的全面网格连接。

所有网关和隧道从 Azure 端激活，因此流量同时分散在四个隧道之间，每个 TCP 或 UDP 流量将沿着源自 Azure 端的相同隧道或路径传送。 即使通过分发流量，你仍可能通过 IPsec 隧道看到略微更高的吞吐量，此配置的主要目标是实现高可用性。 由于分散的统计特征，难以通过某种测量方式来确定不同的应用程序流量状况对聚合吞吐量造成的影响。

此拓扑需要两个本地网络网关和两个连接，以支持一对本地部署的 VPN 设备。 有关详细信息，请参阅关于高度可用的连接。

配置主动-主动模式网关

你可以使用 Azure 门户、PowerShell 或 CLI 来配置主动-主动模式网关。 还可以将主动-备用网关更改为主动-主动模式。 如需步骤，请参阅将网关更改为主动-主动。

主动-主动网关的配置要求与主动-备用网关略有不同。

• 无法使用基本 SKU 的网关配置主动-主动模式网关。
• VPN 必须基于路由。 它不能基于策略。
• 你需要两个公共IP地址用于网关实例。 这两个地址必须是标准 SKU 公共 IP 地址，且都分配为静态。
• 如果网关启用了P2S，那么P2S端点需要第三个公共IP地址。 关于Basic到标准的公共IP迁移要求，请参见 “将Basic SKU公网IP地址迁移到标准SKU”。
• 主动-主动网关配置的成本与主动-待机网关配置相同。 然而，主动-主动配置模式至少需要两个公用 IP 地址，而不是一个。 请参阅 IP 地址定价。

重置主动-主动模式网关

如果需要重置主动-主动型网关，可以通过门户重置两个实例。 还可以使用 PowerShell 或 CLI 通过实例 VIP 单独重置每个网关实例。 请参阅重置连接或网关。

后续步骤

• 在 Azure 门户中配置主动-主动网关
• 将网关更改为主动-主动模式
• 重置主动-主动网关