混合连接：将本地连接到 Azure

本文可帮助你选择并规划正确的连接选项，以便将本地网络连接到Azure虚拟网络（VNet）。

本文介绍的内容

本文介绍使用Azure VPN 网关或Azure ExpressRoute将本地网络连接到 Azure VNet 的设计决策。 你将了解何时使用每个选项、它们如何协同工作以及如何规划网关部署。

谁需要本文

如果满足以下一个或多个条件，请阅读本文：

• Azure工作负荷必须与本地系统、用户或数据中心通信。
• 需要根据带宽、延迟、复原或成本在 VPN 网关 和 ExpressRoute 之间进行选择。
• 需要一个专用或加密的路径，用于保留Azure外部的标识、数据、管理或应用程序依赖项。
• 需要规划 VPN 与 ExpressRoute 之间的网关拓扑、冗余或共存。

Azure服务和功能

Azure为混合连接提供多个服务。 每个服务都解决了不同的带宽、延迟、成本和安全要求。

VPN 网关的工作原理

Azure VPN 网关在本地 VPN 设备和Azure虚拟网络网关之间创建加密的 IPsec/IKE 隧道。 以下步骤介绍了站点到站点（S2S）隧道设置过程：

1. 网关预配：你将 VPN 网关资源部署到中心 VNet 的 GatewaySubnet 中。 Azure 会预配两个或更多网关实例（取决于 SKU 和双活配置）。 预配大约需要 30-45 分钟。
2. 本地网络网关定义：在表示本地网络的Azure中创建本地网络网关资源。 此资源指定本地 VPN 设备的公共 IP 地址，以及 Azure 应通过该隧道路由的本地地址范围。
3. 连接资源创建：创建将VPN 网关链接到本地网络网关的连接资源。 为隧道指定共享密钥（预共享密钥）和 IPsec/IKE 参数。
4. IKE 阶段 1 （主模式）：Azure网关和本地设备协商安全通道。 它们交换了加密算法、完整性算法、Diffie-Hellman 组和身份验证方法的建议。 结果是 IKE 安全关联（SA）。
5. IKE 阶段 2 （快速模式）： 使用阶段 1 的安全通道，双方协商 IPsec SA 参数：加密算法、完整性算法和密钥生存期。 此过程建立 IPsec 隧道。
6. 流量流： 两个阶段完成后，隧道将处于活动状态。 与定义的地址范围匹配的流量经过加密，封装在 IPsec ESP 数据包中，并通过公共 Internet 发送到远程终结点。

对于主动-主动配置，Azure 会预配两个网关实例，每个实例都有各自的公共 IP 地址。 您的本地设备分别与这两个实例建立隧道；如果其中一个实例不可用，系统会自动故障转移。

ExpressRoute 的工作原理

Azure ExpressRoute 通过连接提供商在本地网络与 Azure 之间建立专用连接。 与 VPN 不同，流量永远不会通过公共 Internet。 连接模型涉及三个网络边缘：

• 客户边缘（CE）： 数据中心或托管设施的本地路由器。 此设备使用 BGP 与运营商边缘路由器建立对等关系。
• 运营商边缘（PE）： 连接服务提供商在其互连点（对等互连设施）部署的路由器。 服务商在您的 CE 与其 PE 之间建立第 2 层或第 3 层连接。
• Microsoft Edge (MSEE)：位于对等互连设施的 Microsoft Enterprise Edge 路由器。 提供商将其 PE 连接到 MSEE，从而完成通往 Azure 的专用路径。

预配 ExpressRoute 线路时，提供程序将在所有三个边缘之间设置冗余连接。 Azure使用 BGP 将 VNet 地址前缀播发到 CE 路由器，CE 会将本地路由播发回Azure。 此双向路由交换使流量能够流经专用路径。

ExpressRoute 支持两种对等互连类型：

• Azure专用对等互连：连接到 Azure VNet（具有专用终结点的 IaaS 和 PaaS）。 此对等互连类型是混合连接的最常见类型。
• Microsoft 对等互连：连接到 Microsoft 365 和 Azure 公共服务（例如 Azure 存储公共终结点）。 要求路由筛选器选择特定的服务前缀。

ExpressRoute SKU 比较

VPN 网关 SKU 比较

如何选择

使用以下决策表选择正确的连接选项，并确定网关的位置。

VPN 网关与 ExpressRoute

网关位于何处？

ExpressRoute 复原选项

下表总结了如何提高 ExpressRoute 可用性。 有关当前 SLA 百分比，请参阅Azure服务级别协议。

部署决策：网关放置示例

设想某企业采用中心辐射型网络架构，其中包含三个分支 VNet，分别用于生产、预演和开发。 生产工作负荷需要 ExpressRoute 进行低延迟数据库复制，而开发则使用VPN 网关来提高效率。

建议的位置：

1. 在中心 VNet 的 GatewaySubnet 中同时部署 ExpressRoute 网关和 VPN 网关（若要共存，需要使用 /26 子网）。
2. 通过 VNet 对等互连将生产和暂存辐射网络连接到中心网络，并启用网关传递。 这些分支网络使用 ExpressRoute 路径与本地环境连接。
3. 将开发辐射网络连接到中心，并启用网关传递。 配置路由表，以便开发流量优先使用 VPN 隧道，从而减少 ExpressRoute 数据传输成本。
4. 将 VPN 连接配置为用于生产环境的故障转移路径，以防 ExpressRoute 线路发生服务提供商中断。

此方法将网关管理集中在单一中心，最大限度地减少所需的网关资源数量，并允许每个辐射分支根据其工作负载需求使用适当的连接层级。

成本注意事项

VPN 网关和 ExpressRoute 有不同的定价模型。 了解这些模型有助于优化支出。

成本优化技巧：

• 当您的工作负载与对等互连位置位于同一都市圈时，请使用 ExpressRoute 的 本地 SKU。 此选项消除了出站数据传输费用。
• 如果出站数据传输小于 10 TB/月，请选择 ExpressRoute 的 按流量计费计划 。 使用 不限量套餐 来处理更大规模的工作负载。
• 如果预算受限，但仍需要冗余，请将VPN 网关部署为故障转移，而不是另一条 ExpressRoute 线路。
• 调整VPN 网关 SKU 的大小。 从适用于大多数生产工作负荷的 VpnGw2AZ 开始，仅当观察到一致的吞吐量饱和度时，才会纵向扩展。
• 每月查看网关利用率。 Azure Monitor指标显示隧道吞吐量和连接计数，有助于识别过度预配的网关。

设计注意事项

先决条件

在实现混合连接之前，请确认满足以下要求：

• 使用 GatewaySubnet 的虚拟网络： 如果计划共存 ExpressRoute 和 VPN 网关，VNet 必须包含一个最小大小为 /27（或 /26）的专用子网 GatewaySubnet 。 有关 VNet 和子网规划指南，请参阅 VNet 和子网文章。
• 本地 VPN 设备（适用于 VPN 网关）：支持 IKEv2 和 IPsec 的兼容 VPN 设备。 Microsoft维护已验证的 VPN 设备列表。
• 连接提供程序关系（适用于 ExpressRoute）： 与 ExpressRoute 连接提供程序或 ExpressRoute Direct 端口分配的协定。 服务提供商开通需要进行服务密钥交换并建立物理交叉连接。
• IP 地址规划：本地和Azure网络之间的地址空间不重叠。 将网关子网地址规划纳入整体 IP 策略。 请参阅 IP 规划文章。
• 边界网关协议（BGP）支持：ExpressRoute 需要 BGP，建议用于VPN 网关动态路由。 确认本地设备支持 BGP。

安全注意事项

混合连接引入了需要仔细规划的安全边界。 每种连接方式都有不同的威胁特征和缓解策略。

默认情况下，ExpressRoute 流量未加密

ExpressRoute 提供一条私有路径，但默认情况下，流量不会在网络层进行加密。 这意味着，任何对提供商基础结构具有物理访问权限的人理论上都可以截获流量。 请根据您的风险状况，考虑以下加密选项：

• MACsec （第 2 层）： 仅适用于 ExpressRoute Direct。 对边缘路由器与 Microsoft 边缘网络之间物理链路上的流量进行加密。 必须在端口预配后显式启用 MACsec。 此选项提供线速加密，且仅带来极小的延迟开销。
• 通过 ExpressRoute 的 IPsec（第 3 层）： 通过 ExpressRoute 专用对等互连连接运行 VPN 隧道进行端到端加密。 此方法适用于任何 ExpressRoute 线路，并加密提供商网络和Microsoft主干之间的流量。 吞吐量受VPN 网关 SKU 的限制。
• 应用程序层加密： 在应用程序级别使用 TLS/HTTPS。 无论基础传输如何，此方法都独立于连接类型并保护数据。 这是适用于所有混合工作负载的最常见且建议采用的最低加密级别。

对于大多数组织，ExpressRoute 专用路径和应用程序层 TLS 的组合提供了足够的保护。 仅当法规要求要求强制传输中的数据进行网络层加密时，才通过 ExpressRoute 添加 MACsec 或 IPsec。

非对称路由会导致有状态防火墙失效

使用多个连接路径（例如 ExpressRoute 和 VPN）时，流量可以遵循不同的入站和出站路径。 有状态防火墙会丢弃从与原始请求不同的接口到达的返回流量。 规划路由以确保对称路径，或使用路由表和 BGP 属性来控制流量流。

缓解策略包括：

• 在备份路径上设置 BGP AS 路径预追加，以降低其优先级。
• 使用子网上的 路由表 （UDR）强制流量通过特定网关。
• 配置 BGP 社区 和 本地首选项 ，以确定方式影响路由选择。
• 测试故障转移方案，以验证流量是否通过到达的同一路径返回。

GatewaySubnet NSG 注意事项

如果必须对 GatewaySubnet 应用 NSG，至少应允许来自 GatewayManager 服务标记和 AzureLoadBalancer 服务标记的流量。 在进行更改之前，请查看网关文档，了解所需规则的完整列表。

站点到站点 VPN 加密

站点到站点 VPN 流量始终使用 IKEv2/IPsec 在传输中加密。 在连接上将加密算法和密钥强度配置为 IPsec/IKE 策略的一部分。 使用自定义策略来强制实施特定的加密算法，而不是依赖于默认值。

建议用于生产工作负载的自定义策略设置：

• IKE 阶段 1：AES-256 加密、SHA-256 完整性、DH 组 14 或更高版本
• IKE 阶段 2 （IPsec）：AES-256-GCM 加密、PFS 组 14 或更高版本
• 默认 SA 生存期：28,800 秒（IKE）、3,600 秒（IPsec）

避免使用已弃用的算法（DES、3DES、MD5、SHA-1、DH 组 1/2），即使Azure仍支持它们以实现向后兼容性。

点对站点 VPN 身份验证

P2S VPN 支持集成多重身份验证（MFA）的 Microsoft Entra ID 身份验证。 此选项为连接到Azure的单个客户端提供基于标识的访问控制。 还支持基于证书的身份验证和 RADIUS 身份验证。

根据要求选择身份验证方法：

相关文章

• VNet 和子网：用于混合连接的 GatewaySubnet 大小要求和 VNet 前提条件。
• 强制隧道和出口控制：强制隧道如何将从 Azure 发往 Internet 的流量路由回本地部署环境。
• 对 PaaS 服务的专用访问：通过混合连接从本地网络访问专用终结点。
• 面向开发人员和管理员的远程访问：点到站点 VPN 部署、身份集成和客户端配置详情。
• 多云和跨区域连接：ExpressRoute Global Reach 和跨云连接方案。
• 中心辐射拓扑：网关在中心 VNet 中的部署以及辐射网络的路由配置。

Learn more

• 什么是Azure VPN 网关？
• Azure ExpressRoute是什么？
• 关于 ExpressRoute Direct
• 关于 VPN 网关 的配置设置
• 使用 ExpressRoute 设计高可用性架构
• 将 S2S VPN 用作 ExpressRoute 专用对等互连的备份
• 关于 ExpressRoute 的加密

后续步骤