什么是 VPN 网关?

VPN 网关是特定类型的虚拟网关,用于跨公共 Internet 在 Azure 虚拟网络和本地位置之间发送加密的流量。 也可使用 VPN 网关在基于 Microsoft 网络的 Azure 虚拟网络之间发送加密流量。 每个虚拟网络只能有一个 VPN 网关。 但是,可以创建连接到相同 VPN 网关的多个连接。 与同一个 VPN 网关建立多个连接时,所有 VPN 隧道共享可用的网关带宽。

什么是虚拟网关?

虚拟网关由两个或更多虚拟机组成,这些虚拟机会部署到所创建的名为“网关子网”的特定子网。 创建虚拟网关时,将创建位于网关子网中的 VM。 虚拟网络网关 VM 配置为包含特定于该网关的路由表和网关服务。 无法直接配置属于虚拟网关的 VM,且绝不应该将其他资源部署到网关子网。

创建虚拟网关可能需要多达 45 分钟才能完成。 创建虚拟网关时,会将网关 VM 部署到网关子网,并使用指定的设置进行配置。 配置的设置之一是网关类型。 网关类型“vpn”指定创建的虚拟网关类型为 VPN 网关。 在创建 VPN 网关以后,即在一个 VPN 网关和另一个 VPN 网关之间(VNet 到 VNet)创建 IPsec/IKE VPN 隧道连接,或者在 VPN 网关和本地 VPN 设备(站点到站点)之间创建跨界 IPsec/IKE VPN 隧道连接。 也可创建点到站点 VPN 连接(基于 IKEv2 或 SSTP 的 VPN),以便从远程位置(例如从会议或家)连接到虚拟网络。

配置 VPN 网关

VPN 网关连接需依赖于多个具有特定设置的资源。 大多数资源可以单独配置,虽然某些资源必须按特定顺序配置。

设置

为每个资源选择的设置对于成功创建连接至关重要。 有关 VPN 网关的各个资源和设置的信息,请参阅 关于 VPN 网关设置。 本文包含的信息有助于了解网关类型、网关 SKU、VPN 类型、连接类型、网关子网、本地网关,以及可能需要考虑的其他各项资源设置。

部署工具

开始时可以使用一个配置工具(如 Azure 门户)创建和配置资源。 可在以后切换到另一个工具(如 PowerShell)来配置其他资源或修改现有资源(如果适用)。 目前,无法在 Azure 门户中配置每个资源和资源设置。 需要使用特定的配置工具时,本文中针对每种连接拓扑提供的说明都有指明。

部署模型

目前有两种适用于 Azure 的部署模型。 配置 VPN 网关时,采取的步骤取决于用于创建虚拟网络的部署模型。 例如,如果使用经典部署模型创建了 VNet,则使用经典部署模型的指导原则和说明来创建及配置 VPN 网关设置。 有关部署模型的详细信息,请参阅 了解 Resource Manager 和经典部署模型

规划表

下表可帮助选择最适合解决方案的连接选项。

点到站点 站点到站点 ExpressRoute
Azure 支持的服务 云服务和虚拟机 云服务和虚拟机 服务列表
典型带宽 基于网关 SKU 通常 < 1 Gbps(总计) 50 Mbps、100 Mbps、200 Mbps、500 Mbps、1 Gbps、2 Gbps、5 Gbps、10 Gbps
支持的协议 安全套接字隧道协议 (SSTP) 和 IPsec IPsec 通过 VLAN、NSP 的 VPN 技术(MPLS、VPLS...)直接连接
路由 基于路由(动态) 我们支持基于策略(静态路由)和基于路由(动态路由 VPN) BGP
连接复原能力 主动-被动 主动-被动或主动-主动 主动-主动
典型用例 云服务和虚拟机的原型设计、开发/测试/实验方案 云服务和虚拟机的开发/测试/实验方案和小规模生产工作负荷 访问所有 Azure 服务(已验证列表)、企业级和任务关键型工作负荷、备份、大数据、Azure 即 DR 站点
SLA SLA SLA SLA
价格 价格 价格 价格
技术文档 VPN 网关文档 VPN 网关文档 ExpressRoute 文档
常见问题 VPN 网关常见问题 VPN 网关常见问题解答 ExpressRoute 常见问题

网关 SKU

创建虚拟网络网关时,需指定要使用的网关 SKU。 请根据工作负荷、吞吐量、功能和 SLA 的类型,选择满足需求的 SKU。 有关网关 SKU 的详细信息(包括支持的功能、生产和开发测试以及配置步骤),请参阅网关 SKU

按隧道、连接和吞吐量列出的网关 SKU

SKU S2S/VNet 到 VNet
隧道
P2S
连接
聚合
吞吐量基准
VpnGw1 最大 30 最大 128* 650 Mbps
VpnGw2 最大 30 最大 128* 1 Gbps
VpnGw3 最大 30 最大 128* 1.25 Gbps
基本 最大 10 个 最大 128 100 Mbps

*如果需要其他连接,请联系支持人员

  • 聚合吞吐量基准基于对通过单个网关聚合的多个隧道的测量。 受 Internet 流量情况和应用程序行为影响,该吞吐量无法保证。

  • 可在 定价 页上找到定价信息。

  • 可在 SLA 页上查看 SLA(服务级别协议)信息。

  • 仅在使用资源管理器部署模型的情况下才支持将 VpnGw1、VpnGw2 和 VpnGw3 用于 VPN 网关。

连接拓扑图

必须知道,VPN 网关连接可以使用不同的配置。 必须确定哪种配置最适合自己的需要。 在下面的部分中,可以查看有关以下 VPN 网关连接的信息和拓扑示意图:以下部分包含一些表格,其中列出了:

  • 可用的部署模型
  • 可用的配置工具
  • 直接转到某篇文章的链接(如果有)

使用图示和描述来帮助选择符合要求的连接拓扑。 这些图示显示主要基准拓扑,但也可以使用这些图示作为指导来构建更复杂的配置。

站点到站点和多站点(IPsec/IKE VPN 隧道)

站点到站点

站点到站点 (S2S) VPN 网关连接是通过 IPsec/IKE(IKEv1 或 IKEv2)VPN 隧道建立的连接。 S2S 连接可用于跨界和混合配置。 S2S 连接要求位于本地的 VPN 设备分配有一个公共 IP 地址,并且不位于 NAT 后面。 若要了解如何选择 VPN 设备,请参阅 VPN 网关常见问题解答 - VPN 设备

Azure VPN 网关站点到站点连接示例

多站点

此类型的连接是站点到站点连接的变体。 从虚拟网络网关创建多个 VPN 连接,通常情况下连接到多个本地站点。 使用多个连接时,必须使用 RouteBased VPN 类型(使用经典 VNet 时称为动态网关)。 由于每个虚拟网络只能有一个 VPN 网关,因此通过该网关的所有连接都共享可用带宽。 此类连接通常称为“多站点”连接。

Azure VPN 网关多站点连接示例

适用于站点到站点和多站点的部署模型和方法

部署模型/方法 Azure Portal PowerShell Azure CLI
资源管理器 文章
文章+
文章 文章
经典 文章 ** 文章+ 不支持

( ** ) 表示此方法包含的步骤需要使用 PowerShell。

(+) 表示此文章是针对多站点连接编写的。

点到站点(基于 IKEv2 或 SSTP 的 VPN)

点到站点 (P2S) VPN 网关连接用于创建从单个客户端计算机到虚拟网络的安全连接。 可通过从客户端计算机启动连接来建立 P2S 连接。 对于要从远程位置(例如从家里或会议室)连接到 Azure VNet 的远程工作者,此解决方案很有用。 如果只有一些客户端需要连接到 VNet,则还可以使用 P2S VPN 这一解决方案来代替 S2S VPN。

与 S2S 连接不同,P2S 连接不需要本地面向公众的 IP 地址或 VPN 设备。 可以通过同一 VPN 网关将 P2S 连接与 S2S 连接结合使用,前提是这两种连接的所有配置要求都兼容。 有关点到站点连接的详细信息,请参阅关于点到站点 VPN

Azure VPN 网关点到站点连接示例

适用于 P2S 的部署模型和方法

Azure 本机证书身份验证

部署模型/方法 Azure 门户 PowerShell
Resource Manager 文章 文章
经典 文章 支持

RADIUS 身份验证

部署模型/方法 Azure 门户 PowerShell
Resource Manager 支持 文章
经典 不支持 不支持

VNet 到 VNet 连接(IPsec/IKE VPN 隧道)

将一个虚拟网络连接到另一个虚拟网络(VNet 到 VNet)类似于将 VNet 连接到本地站点位置。 这两种连接类型都使用 VPN 网关来提供使用 IPsec/IKE 的安全隧道。 甚至可以将 VNet 到 VNet 通信与多站点连接配置结合使用。 这样,便可以建立将跨界连接与虚拟网络间连接相结合的网络拓扑。

连接的 VNet 可以:

  • 在相同或不同的区域中
  • 在相同或不同订阅中
  • 在相同或不同部署模型中

Azure VPN 网关 VNet 到 VNet 连接示例

部署模型之间的连接

Azure 当前具有两个部署模型:经典模型和 Resource Manager 模型。 如果 Azure 已经使用了一段时间,则 Azure VM 和实例角色可能是在经典 VNet 上运行。 而较新的 VM 和角色实例可能是在 Resource Manager 中创建的 VNet 上运行。 可以在 Vnet 之间创建连接,使其中一个 VNet 中的资源能够直接与另一个 VNet 中的资源通信。

VNet 对等互连

只要虚拟网络符合特定要求,就能使用 VNet 对等互连来创建连接。 VNet 对等互连不使用虚拟网络网关。 有关详细信息,请参阅 VNet 对等互连

适用于 VNet 到 VNet 的部署模型和方法

部署模型/方法 Azure Portal PowerShell Azure CLI
经典 文章 * 支持 不支持
资源管理器 文章+ 文章 文章
不同部署模型之间的连接 文章 * 文章 不支持

(+) 表示这种部署方法仅适用于同一订阅中的 VNet。
(*) 表示这种部署方法也需要 PowerShell。

ExpressRoute(专用连接)

使用 ExpressRoute 可通过连接服务提供商所提供的专用连接,将本地网络扩展到 Azure 云。 使用 ExpressRoute 可与 Azure 云服务建立连接。 可以从任意位置之间的 (IP VPN) 网络、点到点以太网或在共置设施上通过连接服务提供商的虚拟交叉连接来建立这种连接。

ExpressRoute 连接不通过公共 Internet 。 与通过 Internet 的典型连接相比,ExpressRoute 连接提供更高的可靠性、更快的速度、更低的延迟和更高的安全性。

ExpressRoute 连接使用虚拟网关作为其所需配置的一部分。 在 ExpressRoute 连接中,虚拟网络网关的网关类型配置为“ExpressRoute”而不是“Vpn”。 虽然经 ExpressRoute 线路传送的流量默认不加密,但可以创建一项解决方案,通过 ExpressRoute 线路来发送加密的流量。 有关 ExpressRoute 的详细信息,请参阅 ExpressRoute 技术概述

站点到站点和 ExpressRoute 共存连接

ExpressRoute 是从 WAN (不通过公共 Internet)到 Microsoft 服务(包括 Azure)的直接专用连接。 站点到站点 VPN 流量以加密方式通过公共 Internet 传输。 能够为同一个虚拟网络配置站点到站点 VPN 和 ExpressRoute 连接可带来诸多好处。

可以将站点到站点 VPN 配置为 ExpressRoute 的安全故障转移路径,或者使用站点到站点 VPN 连接到不属于网络但却已通过 ExpressRoute 进行连接的站点。 请注意,对于同一虚拟网络,此配置需要两个虚拟网络网关,一个使用“Vpn”网关类型,另一个使用“ExpressRoute”网关类型。

ExpressRoute 和 VPN 网关共存连接示例

适用于 S2S 和 ExpressRoute 的部署模型和方法共存

部署模型/方法 Azure 门户 PowerShell
Resource Manager 不支持 文章
经典 不支持 文章

定价

需要为两件事情付费:虚拟网络网关的小时计算成本和来自虚拟网络网关的出口数据传输。 可在 定价 页上找到定价信息。

虚拟网络网关计算成本
每个虚拟网络网关都有每小时计算成本。 该价格取决于创建虚拟网络网关时指定的网关 SKU。 成本与网关本身以及流经网关的数据传输相关。

数据传输成本
数据传输成本根据源虚拟网络网关的出口流量计算。

  • 如果将流量发送到本地 VPN 设备,会以 Internet 出站数据传输费率收费。
  • 如果要在不同区域的虚拟网络之间发送流量,定价因区域而异。
  • 如果仅在同一区域的虚拟网络之间发送流量,不会有数据成本。 同一区域的 VNet 之间的流量是免费的。

有关用于 VPN 网关的网关 SKU 的详细信息,请参阅网关 SKU

常见问题解答

有关 VPN 网关的常见问题,请参阅 VPN 网关常见问题

后续步骤