iT邦幫忙

第 12 屆 iThome 鐵人賽

DAY 21
1
影片教學

企業如何用好用滿Azure影片教學系列 第 21

Day21影片教學:Azure小白如何使用 VPN Gateway打通內網到Azure公有雲

  • 分享至 

  • xImage
  •  

在昨天我們談完Azure小如何使用Traffic Manager分散全球網路流量後

今天我們來聊聊Azure VPN Gateway,了解Azure VPN Gatway的功能和類型,

以及企業內部如何設定讓網路連通到Azure Virtual Network

https://ithelp.ithome.com.tw/upload/images/20201006/20112182wDozZG880i.jpg

Virtual Private Network (VPN) 是一種私人互連的網路,VPN會與另一個網路內在

Public Internet使用加密通道,流量會在於不受信任的網路上移動時加密,以防止竊聽

或其他攻擊。

録影片時前幾分鐘麥克風怪怪der,請見諒/images/emoticon/emoticon46.gif/images/emoticon/emoticon46.gif/images/emoticon/emoticon46.gif

Yes

Azure VPN gateway在部署時,支援以下情境:

1.Site-to-Site Connection : 將內部部署資料中心連線至 Azure virtual networks。

2.Point-to-Site Connection : 將個別裝置連線至 Azure virtual networks。

3.Network-to-Network :將Azure virtual networks連線至其他Azure virtual networks。

以下為Azure VPN Gateway示意圖:

https://ithelp.ithome.com.tw/upload/images/20201006/20112182ypNQ0jMJLZ.jpg

所有傳輸的資料都會在通過網際網路時於私人通道中加密。你在每個虛擬網路

中只能部署一個VPN gateway,但可以使用一個gateway來連線至多個位置,

包括其他 Azure virtual networks或內部部署資料中心。

部署 VPN gateway時你必需指定VPN類型,有分為policy-based or route-based

,這兩種 VPN 類型的主要差異在於如何指定要加密的流量

Policy VPN說明:

Policy VPN Gateway會以靜態方式指定應透過每個通道加密之封包的 IP 位址。

此類型的裝置會針對那些 IP 位址集合評估每個資料封包,以選擇要透過哪個

通道傳送封包。 Azure 中原則型 VPN 閘道的主要功能包括:

1.只支援 IKEv1。

2.使用「靜態路由」,其中來自這兩個網路的位址首碼組合可控制流量通過

VPN 通道的加密和解密方式。 通道網路的來源和目的地均宣告於原則中,

而不需宣告於路由表中。

3.Policy VPN 必須在需要它們的特定案例中使用,例如,為了與舊有內部
部署 VPN 裝置相容。

Routing VPN說明:

若定義哪些 IP 位址位於每個通道後太麻煩,可以使用route-based gateways

,透過route-based gateways,IPSec通道會模型化為網路介面或VTI

(虛擬通道介面)。 IP 路由 (靜態路由或動態路由通訊協定) 會決定透過其中

一個通道介面來傳送每個封包。 路由型 VPN 是內部部署裝置的慣用連線方式,

為它們對於拓撲變更 (例如建立新的子網路) 更有彈性。 如果需要下列任何

類型的連線能力,請使用route-based VPN gateway:

  • Connections between virtual networks
  • Point-to-site connections
  • Multisite connections
  • Coexistence with an Azure ExpressRoute gateway

Azure route-based VPNs gateways的主要功能包括:

1.支援 IKEv2。

2.any-to-any (wildcard) traffic selectors。

3.可以使用「動態路由通訊協定」,其中路由/轉送表會將流量導向至不同的

IPSec 通道。 在此案例中,來源與目的地網路不會以靜態方式定義,因為

它們位於原則型 VPN 中,或甚至是具有靜態路由的路由型 VPN 中。

相反地,資料封包會根據使用路由通訊協定 (例如 BGP (邊界閘道協定))

動態建立的網路路由表進行加密。

https://ithelp.ithome.com.tw/upload/images/20201006/20112182poQOXQjUXk.jpg

部署 VPN Gateway你需要以下Azure和內部部署資源,才能開始部署。

所需的Azure資源List

1.Virtual network:部署一個有足夠位址空間的Azure virtual network

,以供 VPN 閘道所需的額外子網路使用。 此虛擬網路的位址空間不得與你將連線

的內部部署網路重疊。 請記住在一個Virtual network內只能部署單一 VPN 閘道。

2.GatewaySubnet:為VPN 閘道部署一個名為 GatewaySubnet 的子網路。

至少使用 /27 位址遮罩,以確保會在子網路中提供足夠的 IP 位址來

3.Public IP address:若使用non-zone-aware gateway,請建立基本

SKU 動態公用IP 位址。 此位址會為內部部署 VPN 裝置提供一個可路由

傳送的公用IP位址作為目標。此IP位址是動態的,但除非將VPN Gateway

刪除後再重新建立,否則將不會變更。

4.Local network gateway:建立local network gateway以定義內部

部署網路的設定:VPN 閘道將連線的位置與對象,此設定包括內部部署VPN

裝置的公用 IPv4 位址,以及內部部署中可路由傳送的網路。VPN Gateway

會使用此資訊,透過 IPSec 通道來路由傳送以內部部署網路為目的地的封包。

5.Virtual network gateway:建立virtual network gateway,以在

virtual network與內部部署資料中心或其他virtual network之間路由

傳送流量,此virtual network gateway可以是 VPN 或 ExpressRoute

gateway

6.Connection:建立連線資源,以在 VPN 閘道與區域網路閘道之間

建立邏輯連線,連線的目的地是local network gateway所定義之內部

部署 VPN 裝置的 IPv4 位址,連線的來源是virtual network gateway

及其相關聯的公用 IP 位址,你可以建立多個連線。

下圖顯示資源及其關聯性的這個組合,可協助您進一步了解部署 VPN 閘道的必備

要件:

https://ithelp.ithome.com.tw/upload/images/20201006/20112182f263WAL5rg.jpg

所需的內部部署資源

若要將資料中心連線至 VPN 閘道,您將需要下列內部部署資源:

  • 一個支援原則型或路由型 VPN 閘道的 VPN 裝置
  • 一個公眾對應 (可透過網際網路路由傳送) 的 IPv4 位址

VPN GateWay高可用性方案

1.Active/standby

VPN 閘道預設會以「Active/standby」設定來部署為兩個執行個體,即使你只在Azure

中看到一個 VPN 閘道資源也一樣。 當計劃性維護或非計劃性中斷影響到使用中的

執行個體時,待命執行個體就會自動負責連線工作,而不需要使用者介入。 連線

會在此容錯移轉期間中斷,但對計劃性維護來說,它們通常可在幾秒內還原,

而對非計劃性中斷來說,則會在 90 秒內還原。

https://ithelp.ithome.com.tw/upload/images/20201006/20112182kKqJhyOJ0q.jpg

2.Active/active

隨著引進對 BGP 路由傳送通訊協定的支援,你也能以「active/active 」設定

來部署 VPN gateways。 在此設定中,你會為每個執行個體指派唯一的公用

IP 位址。 接著你會建立從內部部署裝置到每個 IP 位址的個別通道。

你可以藉由在內部部署環境中部署額外的 VPN 裝置來擴展高可用性。

https://ithelp.ithome.com.tw/upload/images/20201006/20112182dQS7cSPrrY.jpg

3.ExpressRoute failover

另一個高可用性選項是將 VPN 閘道設定為 ExpressRoute 連線的安全

容錯移轉路徑。 ExpressRoute 線路內建復原能力,但在發生影響纜線

傳遞連線能力的實體問題或影響完整 ExpressRoute 位置的中斷問題時

,也不能倖免。 在高可用性案例中,如果有與 ExpressRoute 線路中斷

相關的風險,您也可以佈建使用網際網路作為連線替代方法的 VPN 閘道,

以確保一律有 Azure虛擬網路連線可用。

4.Zone-redundant gateways

在支援可用性區域的區域中,您能以區域備援設定部署VPN與ExpressRoute

閘道。 此方式可為虛擬網路閘道帶來復原力、延展性和更高的可用性。

在 Azure 可用性區域中部署閘道可從根本上和邏輯上分隔區域內的閘道,

同時還能在發生區域層級的失敗時,保護您內部部署項目與 Azure 的網路

連線。 這些需要不同的閘道 SKU 並利用標準公用 IP 位址,而非基本公用

IP 位址。

手把手使用Azure CLI準備 Azure 和內部部署Virtual Network步驟:

https://docs.microsoft.com/zh-tw/learn/modules/connect-on-premises-network-with-vpn-gateway/3-exercise-prepare-azure-and-on-premises-vnets-using-azure-cli-commands

手把手使用Azure CLI建立Azure和On-Premiess的VPN

https://docs.microsoft.com/zh-tw/learn/modules/connect-on-premises-network-with-vpn-gateway/4-exercise-create-a-site-to-site-vpn-gateway-using-azure-cli-commands

Day21教學講義:

https://docs.microsoft.com/zh-tw/learn/modules/connect-on-premises-network-with-vpn-gateway/


上一篇
Day20影片教學:Azure小如何使用Traffic Manager分散全球網路流量
下一篇
Day22影片教學:Azure小白如何建立Azure Resource Manager範本進行大量佈署
系列文
企業如何用好用滿Azure影片教學30
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言