Структура VPN-шлюза

Важно знать, что существуют различные конфигурации подключения к VPN-шлюзу. Вам нужно определить, какая из конфигураций наилучшим образом соответствует вашим требованиям. Далее приводятся сведения о структуре и схемы топологии для следующих типов подключения VPN-шлюза. Представленные здесь схемы и описания помогут вам выбрать топологию подключения в соответствии со своими требованиями. На схемах показаны основные базовые топологии. Руководствуясь этими схемами, можно создавать и более сложные конфигурации.

👨 VPN-подключение “сеть-сеть”

Подключение типа “сеть — сеть” (S2S) через VPN-шлюз — это подключение через туннель VPN по протоколу IPsec/IKE (IKEv1 или IKEv2). Подключения типа “сеть — сеть” можно использовать для распределенных и гибридных конфигураций. Для подключения типа “сеть — сеть” требуется локальное VPN-устройство, которому назначен общедоступный IP-адрес.

VPN-шлюз можно настроить в режиме “активный — резервный” с одним общедоступным IP-адресом или в режиме “активный — активный” с двумя общедоступными IP-адресами. В режиме “активный — резервный” всегда активен один туннель IPsec, а другой находится в режиме ожидания. В этом варианте трафик проходит через активный туннель и переключается на резервный только в том случае, если возникла проблема с основным туннелем. Мы рекомендуем настраивать для VPN-шлюза режим “активный — активный”, в котором оба туннеля IPsec одновременно активны и данные передаются через оба туннеля. Дополнительное преимущество режима “активный — активный” заключается в том, что клиенты получают более высокую пропускную способность.

В шлюзе виртуальной сети можно создать несколько VPN-подключений, как правило, к разным локальным сайтам. При работе с несколькими подключениями следует использовать тип VPN “RouteBased” (динамический шлюз для работы с классическими виртуальными сетями). Так как каждая виртуальная сеть может иметь только один VPN-шлюз, доступную пропускную способность шлюза используют все подключения. Этот тип подключения иногда называется многосайтовым.

👨 Модели и методы развертывания для подключения “сеть — сеть”

👨 VPN-подключение типа “точка — сеть”

Подключение типа “точка — сеть” через VPN-шлюз позволяет создать безопасное подключение к виртуальной сети с отдельного клиентского компьютера. Подключение типа “точка — сеть” сначала устанавливается на клиентском компьютере. Это эффективное решение для сотрудников, которым нужно подключаться к виртуальным сетям Azure из удаленного расположения, например, если они находятся дома или на конференции. Такую конфигурацию также удобно использовать вместо VPN-подключения типа “сеть — сеть” при наличии небольшого числа клиентов, которым требуется подключение к виртуальной сети.

В отличие от подключений типа “сеть — сеть”, для подключений типа “точка — сеть” локальный общедоступный IP-адрес или VPN-устройство не требуются. Подключения типа “точка — сеть” можно использовать с подключениями “сеть — сеть” через один и тот же VPN-шлюз при условии совместимости всех требований к конфигурации для обоих типов подключений.

👨 Подключение между виртуальными сетями (через VPN-туннель IPsec/IKE)

Подключение типа “виртуальная сеть — виртуальная сеть” похоже на подключение виртуальной сети к локальному сайту. В обоих типах подключений используется VPN-шлюз для создания защищенного туннеля, использующего IPsec/IKE. Можно даже комбинировать подключение между виртуальными сетями с конфигурациями многосайтовых подключений. Это позволяет настраивать топологии сети, совмещающие распределенные подключения с подключениями между виртуальными сетями.

Подключаемые виртуальные сети могут относиться:

• к одному или разным регионам;
• к одной или разным подпискам;
• к одной или разным моделям развертывания.

👨 Подключения между моделями развертывания

Сейчас в Azure доступны два режима развертывания: классический и Resource Manager. Если вы использовали Azure какое-то время, вероятно, у вас есть виртуальные машины и роли экземпляров Azure, выполняемые в классической виртуальной сети. А более новые виртуальные машины и экземпляры ролей могут выполняться в виртуальной сети, созданной Resource Manager. Вы можете создать подключение между виртуальными сетями, чтобы ресурсы в одной виртуальной сети непосредственно взаимодействовали с ресурсами в другой.

👨 Пиринговая связь между виртуальными сетями

Для создания подключения можно использовать пиринговую связь между виртуальными сетями, если виртуальная сеть соответствует определенным требованиям. При пиринговой связи между виртуальными сетями шлюз виртуальной сети не используется.

👨 Параллельные подключения “сеть — сеть” и ExpressRoute

ExpressRoute — это прямое частное подключение из глобальной сети (не через общедоступный Интернет) к службам Майкрософт, включая Azure. Трафик подключения VPN типа “сеть — сеть” проходит через общедоступный Интернет в зашифрованном виде. Возможность настраивать VPN-подключения типа “сеть — сеть” и ExpressRoute для одной виртуальной сети дает целый ряд преимуществ.

VPN типа “сеть — сеть” можно настроить как защищенный путь отработки отказа для ExpressRoute или использовать для подключения к сайтам, которые не входят в вашу сеть, но подключены через ExpressRoute. Обратите внимание, что в рамках такой конфигурации для одной виртуальной сети требуются два шлюза виртуальной сети: с типом “VPN” и типом “ExpressRoute”.