配置 Azure Stack Hub 的 VPN 网关设置

VPN 网关是一种虚拟网络网关，可在 Azure Stack Hub 中的虚拟网络与远程 VPN 网关之间发送加密流量。 远程 VPN 网关可位于 Azure 中、数据中心的设备中，或另一个站点上的设备中。 如果两个终结点之间有网络连接，可以在这两个网络之间建立安全的站点到站点 (S2S) VPN 连接。

VPN 网关依赖于多个资源的配置，每个资源都包含可配置的设置。 本文介绍与资源管理器部署模型中创建的虚拟网络的 VPN 网关相关的资源和设置。 可在为 Azure Stack Hub 创建 VPN 网关中找到每个连接解决方案的说明和拓扑图。

VPN 网关设置

网关类型

每个 Azure Stack Hub 虚拟网络支持单个虚拟网络网关，其类型必须是 Vpn。 此项支持不同于 Azure，后者可支持其他类型。

创建虚拟网络网关时，必须确保用于配置的网关类型正确。 VPN 网关需要 -GatewayType Vpn 标志，例如：

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'China East 2' -IpConfigurations $gwipconfig -GatewayType Vpn `
   -VpnType RouteBased

未启用 VPN Fast Path 功能的网关 SKU

创建虚拟网络网关时，请指定要使用的 SKU。 根据工作负载类型、吞吐量、功能和 SLA 选择满足要求的 SKU。

在达到最大容量之前，可以有 10 个高性能网关或 20 个基本网关和标准网关。

Azure Stack Hub 提供下表中所示的 VPN 网关 SKU：

已启用 VPN 快速路径的网关 SKU

Microsoft发布 VPN 快速路径公共预览版时，Azure Stack Hub添加了对具有更高吞吐量的三个新 SKU 的支持。

在Azure Stack标记上启用 VPN 快速路径时，将获得新的限制和吞吐量。

Azure Stack Hub 提供下表中所示的 VPN 网关 SKU：

调整虚拟网络网关 SKU 的大小

Azure Stack Hub不支持从受支持的旧版 SKU（基本、标准和HighPerformance）调整为由 Azure（VpnGw1、VpnGw2 和 VpnGw3）支持的较新的 SKU 大小。

若要使用 VPN 快速路径启用的新 SKU，需要创建新的虚拟网络网关和连接。

配置虚拟网络网关 SKU

Azure Stack Hub 门户

如果使用 Azure Stack Hub 门户创建虚拟网络网关，请从下拉列表中选择 SKU。 若要查看新的 VPN 快速路径 SKU（VpnGw1、VpnGw2、VpnGw3），请将查询参数“？azurestacknewvpnskus=true”添加到 URL 并刷新页面。

以下 URL 示例使新的虚拟网络网关 SKU 在 Azure Stack Hub 用户门户中可见：

https://portal.local.azurestack.local/?azurestacknewvpnskus=true

在创建这些资源之前，操作员必须在Azure Stack Hub标记上启用 VPN 快速路径。 有关详细信息，请参阅面向运营商的 VPN Fast Path。

PowerShell

以下 PowerShell 示例将 -GatewaySku 参数指定为“Standard”：

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'China East 2' -IpConfigurations $gwipconfig -GatewaySku Standard `
   -GatewayType Vpn -VpnType RouteBased

连接类型

在 资源管理器 部署模型中，每个配置都需要特定的虚拟网络网关连接类型。 -ConnectionType 的可用资源管理器 PowerShell 值为 IPsec。

在以下 PowerShell 示例中，创建需要 IPsec 连接类型的 S2S 连接：

New-AzVirtualNetworkGatewayConnection -Name localtovon -ResourceGroupName testrg `
   -Location 'China East 2' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

VPN 类型

为 VPN 网关配置创建虚拟网络网关时，必须指定 VPN 类型。 选择的 VPN 类型取决于要创建的连接拓扑。 VPN 类型还取决于使用的硬件。 S2S 配置需要 VPN 设备。 有些 VPN 设备仅支持特定的 VPN 类型。

• PolicyBased：基于策略的 VPN 会根据你使用本地网络与 Azure Stack Hub VNet 之间的地址前缀组合配置的 IPsec 策略，通过 IPsec 隧道对数据包进行加密并将其定向传送。 策略或流量选择器通常是 VPN 设备配置中的访问列表。

  注释

  PolicyBased 在 Azure 中受支持，但在 Azure Stack Hub 中不受支持。

• RouteBased：基于路由的 VPN 使用在 IP 转发或路由表中配置的路由，将数据包定向到相应的隧道接口。 然后，隧道接口会加密或解密出入隧道的数据包。 将 基于路由的 VPN 的策略或流量选择器配置为任意到任意（或使用通配符）。 默认情况下，无法更改它。 RouteBased VPN 类型的值为 RouteBased。

以下 PowerShell 示例将 -VpnType 指定为 RouteBased。 创建网关时，请确保 -VpnType 对你的配置而言是正确的。

New-AzVirtualNetworkGateway -Name vnetgw1 -ResourceGroupName testrg `
   -Location 'China East 2' -IpConfigurations $gwipconfig `
   -GatewayType Vpn -VpnType RouteBased

未启用 VPN Fast Path 时虚拟网络网关支持的配置

启用 VPN Fast Path 时虚拟网络网关支持的配置

网关子网

在创建 VPN 网关之前，必须创建一个网关子网。 网关子网包含虚拟网络网关 VM 和服务使用的 IP 地址。 创建虚拟网络网关和连接时，拥有连接的网关 VM 将链接到网关子网，并配置了所需的 VPN 网关设置。 不要将任何其他设备（例如，其他 VM）部署到网关子网。

创建网关子网时，需指定子网包含的 IP 地址数。 将网关子网中的 IP 地址分配到网关 VM 和网关服务。 有些配置需要具有比其他配置更多的 IP 地址。 查看要创建的配置的说明，验证要创建的网关子网是否会满足这些要求。

此外，请确保网关子网有足够的 IP 地址来处理其他将来的配置。 虽然可以创建小于 /29 的网关子网，但可以创建 /28 或更大的网关子网（/28、/27、/26 等）。这样一来，如果将来添加功能，则无需拆毁网关，然后删除并重新创建网关子网以允许更多 IP 地址。

以下资源管理器 PowerShell 示例显示名为 GatewaySubnet 的网关子网。 可以看到，CIDR 表示法指定了 /27，这可提供足够的 IP 地址供大多数现有配置使用。

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

本地网关

在 Azure 中创建 VPN 网关配置时，本地网络网关通常表示本地位置。 在 Azure Stack Hub 中，它代表位于 Azure Stack Hub 外部的任何远程 VPN 设备。 此设备可以是数据中心（或远程数据中心）内的 VPN 设备，或 Azure 中的 VPN 网关。

指定本地网络网关的名称、远程 VPN 设备的公共 IP 地址，并指定位于本地位置的地址前缀。 Azure Stack Hub查看网络流量的目标地址前缀，查阅为本地网络网关指定的配置，并相应地路由数据包。

此 PowerShell 示例创建新的本地网络网关：

New-AzLocalNetworkGateway -Name LocalSite -ResourceGroupName testrg `
   -Location 'China East 2' -GatewayIpAddress '198.51.100.101' -AddressPrefix '10.5.51.0/24'

有时需要修改本地网络网关设置。 例如，可能需要更改地址范围，或者 VPN 设备的 IP 地址发生更改。 有关详细信息，请参阅使用 PowerShell 修改本地网络网关设置。

IPsec/IKE 参数

在 Azure Stack Hub 中设置 VPN 连接时，必须在两端配置连接。 如果要在Azure Stack Hub与充当 VPN 网关的硬件设备（例如充当 VPN 网关的交换机或路由器）之间配置 VPN 连接，该设备可能需要其他设置。

Azure Stack Hub 默认情况下仅支持一个套餐，这与 Azure 不同，后者支持将多个套餐用作发起程序和响应程序。 如果需要使用不同的 IPSec/IKE 设置来处理 VPN 设备，可以手动配置连接。 有关详细信息，请参阅为站点到站点 VPN 连接配置 IPsec/IKE 策略。

IKE 阶段 1（主模式）参数

IKE 阶段 2（快速模式）参数

*新的或已更改的参数。

后续步骤

• 使用 ExpressRoute 进行连接