IKEv2 VPN между Microsoft Azure и DrayTek Vigor Router

В этой статье рассказывается, как настроить туннель IPsec между Microsoft Azure Server и Vigor Router в режиме динамической маршрутизации. Топология сети проиллюстрирована ниже.

Установка сервера Microsoft Azure

1. Создайте виртуальные сети, щелкнув « Virtual Networks» в разделе « All services >> NETWORKING» , или выполните поиск в виртуальных сетях.

2. Нажмите « Add », чтобы создать виртуальные сети, затем введите необходимые настройки:

1. Введите Name
2. Введите Address Space , например 10.0.0.0/16
3. Выберите «Создать» для Source Group
4. Выберите Location рядом с вашим роутером
5. Оставьте настройки Subnet по умолчанию (тогда Azure создаст подсеть автоматически)
6. Нажмите " Create".

3. Создайте шлюзы виртуальной сети, щелкнув Шлюзы Virtual network gateways в разделе All services >> NETWORKING . На этом этапе Azure выделит общедоступный IP-адрес для службы VPN.

4. Нажмите « Add», чтобы создать шлюз виртуальной сети, затем введите необходимые настройки:

1. Введите Name
2. Выберите "VPN" в качестве Gateway type
3. Выберите "На основе маршрута" для VPN type.
4. Выберите "VpnGw1" для SKU.
5. Выберите VNet1 для Virtual Network (VNet1 - это виртуальная сеть, которую мы создали на шаге 1)
6. Выберите «Создать новый» для Public IP и введите любой IP-адрес. (Не уверен, почему Azure запрашивает ввод IP-адреса)
7. Нажмите " Create".

5. Azure может занять некоторое время, чтобы настроить общедоступный IP-адрес для сетевого шлюза VPN. После его завершения мы увидим публичный IP-адрес на той же странице.

6. Создайте Local Network Gateway в Azure. На этом этапе нам нужно ввести IP-адрес Vigor Router в Интернете и его локальную сеть, и Vigor Router должен подключаться к Интернету напрямую, а не за устройством NAT. Нажмите Add , чтобы создать шлюз локальной сети, затем введите необходимые настройки:

1. Введите Name
2. Введите IP-адрес WAN маршрутизатора Vigor в IP Address
3. Введите сеть LAN Vigor Router в Address space , в этом примере это 192.168.8.0/24.
4. Нажмите «Использовать существующую» для Resource group и выберите «Виртуальная сеть».
5. Нажмите " Create".

7. Подождите несколько минут, и мы увидим профиль шлюза локальной сети, созданный на той же странице. Щелкните Connections , чтобы настроить VPN-подключение между Azure и Vigor Router.

8. Создайте VPN-соединение в Azure и введите необходимые настройки:

1. Введите Name 
2. Тип подключения фиксируется на Site-to-Site (IPsec).
3. Выберите Virtual Gateway в качестве общедоступного IP-адреса Azure VPN, созданного на шаге 3.
4. Выберите Local Network Gateway, который является общедоступным IP-адресом удаленного VPN-маршрутизатора и сетью, которую мы создали на шаге 5.
5. Введите Shared Key (PSK)
6. Выберите виртуальную сеть для Resource Group
7. Нажмите ОК.

Мы закончили настройку VPN в Azure. Далее мы настроим профиль VPN на Vigor Router.

1. Перейдите в раздел VPN и Remote Access >> LAN to LAN , щелкните индекс, чтобы изменить профиль следующим образом:

1. Установите флажок Enable this VPN profile
2. Выберите глобальную сеть, IP-адрес которой настроен на шлюзе локальной сети Azure для Dial-Out Through
3. Выберите «Dial-Out» для Call Direction
4. Отметьте  Always On
5. В поле настройки Dial-Out выберите IPsec Tunnel и выберите IKEv2.
6. Введите общедоступный IP-адрес шлюза виртуальной сети Azure в поле IP-адрес Server IP/Host Name
7. Введите IKE Pre-Shared Key в соответствии с настройками в Azure Connections.
8. Выберите «AES с аутентификацией» для IPsec Security Method.
9. Нажмите кнопку « Advanced » , чтобы настроить параметры предложения и срока службы ключа.

2. В дополнительных настройках IKE,

1. Выберите «AES 256_SHA1_G2» для IKE phase1 proposal  (VPN-сервер Azure поддерживает только группу Diffie-Hellman G2)
2. Измените IKE phase2 key lifetime на «27000 секунд» (сервер Azure VPN поддерживает P27000 секунд только для времени жизни ключа фазы 2)
3. Нажмите ОК.

3. В поле TCP/IP Network Setting ,

1. Введите виртуальную сеть Azure «10.0.0.0» и «255.255.0.0/16» для Remote Network и Mask.
2. Введите «192.168.8.0» и 255.255.255.0/24 для Local Network и Mask.
3. Нажмите ОК, чтобы сохранить настройки.

После этого VPN-соединение от Vigor Router до Azure будет установлено. Мы можем проверить статус подключения VPN через VPN and Remote Access >> Connection Management. . Мы можем попытаться проверить связь с виртуальной машиной в виртуальной сети Azure, чтобы проверить подключение к VPN.