Acerca de los dispositivos VPN y los parámetros de IPsec/IKE para conexiones de VPN Gateway de sitio a sitio

Para configurar una conexión VPN entre locales de sitio a sitio (S2S) mediante una puerta de enlace de VPN se requiere un dispositivo VPN. Las conexiones de sitio a sitio pueden usarse para crear una solución híbrida o siempre que desee conexiones seguras entre su red local y la red virtual. Este artículo incluye la lista de dispositivos VPN validados y una lista de parámetros IPsec/IKE para las puertas de enlace de VPN.

Elementos que hay que tener en cuenta para consultar las tablas:

• Ha habido un cambio terminológico en las puertas de enlace de VPN de Azure. Solo han cambiado los nombres. No hay cambio de funcionalidad.
  • Enrutamiento estático = PolicyBased
  • Enrutamiento dinámico = RouteBased
• Las especificaciones de VPN Gateway HighPerformance y VPN Gateway RouteBased son las mismas, a menos que se indique lo contrario. Por ejemplo, los dispositivos VPN validados que son compatibles con las puertas de enlace de VPN RouteBased también son compatibles con las puertas de enlace de VPN HighPerformance.

Dispositivos VPN validados y guías de configuración de dispositivos

En colaboración con proveedores de dispositivos, hemos validado un conjunto de dispositivos VPN estándar. Todos los dispositivos de las familias de dispositivos en la lista siguiente deben trabajar con puertas de enlace de VPN. Estos son los algoritmos recomendados para la configuración del dispositivo.

Con el fin de configurar el dispositivo VPN, consulte los vínculos correspondientes a la familia de dispositivos apropiada. Los vínculos a las instrucciones de configuración se proporcionan de forma óptima y los valores predeterminados enumerados en la guía de configuración no necesitan contener los mejores algoritmos criptográficos. Para obtener soporte para los dispositivos VPN, póngase en contacto con el fabricante.

Descarga de los scripts de configuración de dispositivos VPN desde Azure

Para determinados dispositivos, puede descargar los scripts de configuración directamente desde Azure. Para más información y las instrucciones de descarga, consulte Descarga de scripts de configuración de dispositivos VPN para conexiones VPN S2S.

Dispositivos VPN no validados

Si el dispositivo no aparece en la tabla de dispositivos VPN validados, es posible que todavía funcione con una conexión de sitio a sitio. Póngase en contacto con el fabricante del dispositivo para obtener instrucciones de soporte técnico y configuración.

Editar los ejemplos de configuración de dispositivos

Después de descargar el ejemplo de configuración del dispositivo VPN proporcionado, deberá reemplazar algunos de los valores para reflejar la configuración de su entorno.

Para editar una muestra:

1. Abra el ejemplo con el Bloc de notas.
2. Busque y reemplace todas las cadenas de <texto> por los valores que pertenezcan al entorno. Asegúrese de incluir < y >. Cuando se especifica un nombre, el nombre que seleccione debe ser único. Si un comando no funciona, consulte la documentación del fabricante del dispositivo.

Parámetros de IPsec/IKE predeterminados

Las tablas siguientes contienen las combinaciones de algoritmos y parámetros que usan las puertas de enlace de VPN de Azure en la configuración predeterminada (Directivas predeterminadas). Para puertas de enlace de VPN basadas en enrutamiento creadas mediante el modelo de implementación de Azure Resource Management, puede especificar una directiva personalizada en cada conexión individual. Consulte Configuración de la directiva IPsec/IKE para obtener instrucciones detalladas.

En las tablas siguientes:

• SA = Asociación de seguridad
• La fase 1 de IKE también se denomina "Modo principal"
• La fase 2 de IKE también se denomina "Modo rápido"

Parámetros de la fase 1 de IKE (Modo principal)

Parámetros de la fase 2 de IKE (modo rápido)

Fijación de MSS TCP de Azure VPN Gateway

La fijación de MSS se realiza bidireccionalmente en Azure VPN Gateway. En la tabla siguiente se muestra el tamaño del paquete en diferentes escenarios.

Ofertas de asociación de seguridad de IPsec (SA de modo rápido de IKE) de VPN del tipo routebased

En la tabla siguiente se enumeran las ofertas de SA de IPsec (modo rápido de IKE). Las ofertas se enumeran en el orden de preferencia en el que se presentan o se aceptan.

Puerta de enlace de Azure como iniciador

Puerta de enlace de Azure como respondedor

• Puede especificar el cifrado IPsec ESP NULL con puertas de enlace de VPN RouteBased y HighPerformance. El cifrado basado en null no proporciona protección de datos en tránsito, solo se debe usar al máximo rendimiento y es necesaria la mínima latencia. Los clientes pueden elegir usarlo en escenarios de comunicación entre redes virtuales o cuando se aplique el cifrado en otra parte de la solución.
• Para la conectividad entre locales mediante Internet, use la configuración predeterminada de la puerta de enlace VPN de Azure con los algoritmos de cifrado y hash de las tablas anteriores para garantizar la seguridad de su comunicación crítica.

Problemas conocidos de compatibilidad de dispositivos

16 de febrero de 2017

Dispositivos de Palo Alto Networks con una versión anterior a la 7.1.4 para VPN basada en rutas de Azure: si usa dispositivos VPN de Palo Alto Networks con una versión de PAN-OS anterior a la 7.1.4 y experimenta problemas de conectividad a las puertas de enlace de VPN basadas en rutas de Azure, realice los siguientes pasos:

1. Compruebe la versión de firmware del dispositivo de Palo Alto Networks. Si su versión de PAN-OS es anterior a la 7.1.4, actualice a esta versión.
2. En el dispositivo de Palo Alto Networks, cambie la duración de la fase 2 SA (o SA de modo rápido) a 28 800 segundos (8 horas) al conectarse a la puerta de enlace de VPN de Azure.
3. Si sigue experimentando problemas de conectividad, presente una solicitud de soporte técnico desde Azure Portal.