- Implementering av krypterade tunnlar för att ansluta lokala nätverk till Microsofts moln.
- Olika anslutningsarkitekturer beroende på om det är för enskilda användare eller företagets huvudkontor.
- Användning av verktyg med öppen källkod och hanterade tjänster för att optimera säkerhet och kontroll.
- Integrering av avancerad autentisering med Active Directory och digitala certifikat.
Om du någonsin känt dig lite exponerad när du surfar på webben eller behöver ditt team komma åt Office-filer utan att någon tjuvlyssnar, är att installera ett VPN den ultimata lösningen. I grund och botten pratar vi om att skapa en krypterad tunnel som skyddar dina data och låter dig ansluta till ett privat nätverk som om du vore fysiskt ansluten till webbplatsens router, även om du befinner dig tusentals kilometer bort.
I Microsoft Azure-ekosystemet har vi turen att ha flera vägar att uppnå detta. Från det enklaste, hanterade alternativet, vilket sparar dig huvudbry, till mycket mer praktiska konfigurationer med Linux och öppen källkodsprogramvara för de som vill... full kontroll över dina paketOavsett om du vill arbeta säkert på distans eller helt enkelt skydda din digitala identitet, här är all teknisk support du behöver för att uppnå det.
Hanterade alternativ: Azure VPN Gateway
För de som inte vill bli alltför upptagna med kommandokonsolen erbjuder Azure VPN-gatewayMed det här verktyget kan du upprätta två typer av anslutningar: Site-to-Site (S2S), som länkar samman två hela nätverk, och Point-to-Site (P2S), som ansluter en enskild dator till molnet. För att konfigurera en S2S-anslutning måste vi först skapa en Virtuellt nätverk (VNet) med ett konsekvent IPv4-adressutrymme, vilket säkerställer att det inte finns några överlappningar med det lokala nätverket.
En kritisk punkt är skapandet av GatewaySubnätDetta är inte vilket subnät som helst; det är utrymmet där gatewayen kommer att finnas och måste namnges exakt som sådan. En storlek på /27 eller högre för att säkerställa att det finns tillräckligt med IP-adresser tillgängliga för gateway-instanserna, särskilt om vi aktiverar aktivt-aktivt-läge för hög tillgänglighet.
När gatewayen är driftsatt, vilket kan ta cirka 45 minuter innan den är i drift, behöver vi konfigurera Lokal nätverksgatewayDetta objekt representerar vår fysiska plats i Azure; här definierar vi den offentliga IP-adressen för vår lokala router och de nätverksprefix vi vill dirigera. För att slutföra processen skapar vi VPN-anslutning definierar en delad nyckel (PSK) som måste vara identisk i båda ändar för att handskakningen ska lyckas.
Virtuellt WAN: Microsofts globala nätverk
Allt eftersom infrastrukturen växer kan den konventionella gatewayen komma till korta, och det är där detta kommer in i bilden. Virtuellt WANDen här tjänsten förenklar storskalig anslutning genom att skapa en "hubb" eller ett anslutningscenter. Istället för att hantera varje tunnel separat möjliggör Virtual WAN centraliserad hantering av användarnas VPN-anslutningar, vilket gör det enklare för klienter att ansluta. OpenVPN eller IKEv2.
Användarkonfigurationen i Virtual WAN är mycket flexibel. Vi kan välja mellan autentisering med hjälp av certifikat från Azure, Radius, eller till och med integration med Microsoft Entra ID. Det mest praktiska är att systemet genererar en konfigurations-ZIP-fil som användaren helt enkelt laddar ner och installerar på sin dator, vilket eliminerar behovet av att Konfigurera och konfigurera ett VPN på Windows 11 manuellt i varje nätverksparameter på klienten.
För att trafiken ska kunna flyta behöver vi länka våra virtuella nätverk till den virtuella WAN-hubben. Här kan vi experimentera med routingtabeller och avgöra om trafiken sprids automatiskt eller om vi föredrar att definiera statiska rutter. Det är en idealisk lösning för företag som behöver ett robust globalt nätverk med en optimerad prestanda.
Anpassade implementeringar med Linux och StrongSwan
Om du föredrar att inte förlita dig helt på hanterade tjänster kan du konfigurera din egen VPN-server med hjälp av en virtuell Linux-maskin med starkSvanDet här alternativet är särskilt användbart om du vill undvika kostnaderna för en virtuell gateway eller om du behöver exakt kontroll över krypteringen. Hemligheten här ligger i att konfigurera servern som en intern router Genom användning av iptables.
För att detta ska fungera är det viktigt att aktivera IP-vidarebefordran i Linuxkärnan. I strongSwan-konfigurationen definierar vi parametrarna för ikev2 och krypteringsalgoritmer (som AES256). En viktig teknisk detalj är användningen av UDR-tabeller (användardefinierade rutter) i Azure; utan dem skulle de virtuella maskinerna i nätverket inte veta hur de ska reagera på trafik som kommer från VPN:et, eftersom trafiken skulle vara fast på VPN-servern.
För enskilda användare låter strongSwan dig skapa kontakter Värd-till-plats genom att generera vår egen PKI. Vi skapade en certifikatutfärdare (CA), signerade ett certifikat för servern och ett annat för klienten. När certifikatet hade importerats till certifikatarkivet Betrodda certifieringsenheter På Windows upprättas anslutningen transparent och extremt säkert.
Framåt med SoftEther VPN och Active Directory
En annan pärla inom öppen källkod är SoftEther VPNDenna programvara är otroligt mångsidig och stöder protokoll som SSTP, L2TP/IPsec och OpenVPN, allt i en och samma instans. En av dess största fördelar är dess förmåga att integrera med en server. RADIUS länkad till Active Directoryså att anställda kan använda sina vanliga företagsuppgifter för att logga in på VPN:et.
För att implementera detta distribueras SoftEther VM i ett DMZ-subnät och konfigureras. SäkerNATSecureNAT är i huvudsak en kombination av DHCP, DNS och virtuell NAT som tilldelar IP-adresser till klienter utan att ytterligare undernät behöver skapas i Azure. För autentisering installeras rollen. Nätverkspolicyserver (NPS) på en Windows Server-domänkontrollant, konfigurera SoftEther-servern som en auktoriserad RADIUS-klient.
När det gäller säkerhet kan vi inte lämna maskinen exponerad för väder och vind. Det är viktigt att tillämpa härdning: ändra SSH-porten, installera fail2ban att blockera brute-force-attacker och tvinga fram användningen av TLS 1.2 Genom att inaktivera föråldrade versioner som SSL 3.0 har vi en professionell gateway som står emot externa attacker.
Specialiserade anslutningar: Azure Files och Storage
Ibland behöver vi inte att hela nätverket är anslutet, utan helt enkelt komma åt delade mappar. Azurfiler utan att data överförs över det offentliga internet. Tricket med detta är att skapa en Privat slutpunkt (privat slutpunkt). Detta tilldelar en privat IP-adress från VNet till lagringskontot, vilket gör att trafik automatiskt dirigeras via VPN-tunneln.
Utmaningen här är namnmatchning. Om klienten försöker ansluta till storageaccount.file.core.windows.netDen publika DNS-tjänsten ger dig den publika IP-adressen och kringgår VPN-tjänsten. Lösningen är att implementera en Azure DNS privat lösning eller en virtuell maskin som agerar som en DNS-vidarebefordrare. På så sätt matchas namnet till Slutpunktens privata IP-adress och nätverksenheten är monterad osynligt och säkert.
Passionerad författare om bytesvärlden och tekniken i allmänhet. Jag älskar att dela med mig av min kunskap genom att skriva, och det är vad jag kommer att göra i den här bloggen, visa dig alla de mest intressanta sakerna om prylar, mjukvara, hårdvara, tekniska trender och mer. Mitt mål är att hjälpa dig att navigera i den digitala världen på ett enkelt och underhållande sätt.