微软云VPN网关完全解析：从入门到生产部署的实战指南

一、微软云VPN网关：混合云时代的"加密桥梁"

如果把云计算比作一张庞大的交通网络，那么VPN网关就是连接本地数据中心与云端之间的"加密桥梁"。这座桥梁不靠物理钢索，而是靠一串串加密数据包在公共互联网上搭建起一条专属的"安全通道"。

微软Azure VPN网关的核心定位，就是通过公共互联网在Azure虚拟网络（VNet）和本地位置之间发送加密流量，同时也能在Azure不同区域的虚拟网络之间建立加密通信。它不是一台物理设备，而是由Azure平台托管的虚拟化网络服务——实际由两个或多个特殊虚拟机组成，部署在名为"网关子网"的特定子网中，由Azure全权管理运维。

为什么企业需要这样一座"桥梁"？原因很直接：并非所有业务都能一股脑儿搬上云端。金融行业的核心交易系统、制造企业的工厂控制系统、政府机构的涉密数据——这些敏感资产往往需要留在本地。但与此同时，云端的弹性算力、大数据分析能力、AI服务又充满诱惑。VPN网关就是那个让"本地"与"云端"既能保持独立、又能安全对话的中间人。

从技术层面看，Azure VPN网关采用IPsec/IKE行业标准协议进行加密。通俗地说，IPsec负责把数据包"装进加密信封"，IKE负责"安全地交换信封钥匙"——两者配合，确保数据在公共互联网上传输时不会被偷窥或篡改。

二、网关的两种"性格"：基于路由 vs 基于策略

Azure VPN网关有两种"性格"——基于路由（Route-Based）和基于策略（Policy-Based）。理解这两者的区别，是选对网关的第一步。

基于路由的VPN网关，可以理解为"智能导航员"。它通过路由表或BGP动态路由协议来决定数据包走哪条隧道。如果本地网络有多个子网，或者未来网络拓扑可能变化，基于路由的网关能自动适应——新增一个子网？BGP会广播出去，不需要人工逐条配置。目前绝大多数生产环境都推荐使用基于路由的网关。

基于策略的VPN网关，则像一个"严格的门卫"——它根据预先定义的IP地址和端口组合（即"流量选择器"）来决定哪些流量走VPN隧道。这种模式适合网络拓扑简单、流量规则固定的场景，比如只有一对一的点对点连接。但它的局限性也很明显：每个网关只能建立一个隧道，不支持BGP，且仅能与基本SKU配合使用。

打个比方：基于路由的网关像一条"智能高速公路"——车辆（数据包）上了路之后自己决定走哪个出口；基于策略的网关像一条"固定轨道的火车"——从哪里出发、到哪里停靠，发车前就定死了。创建网关时一旦选定了类型，后续无法更改——所以选型要慎重。

三、SKU选型：性能与成本的平衡艺术

Azure VPN网关提供多个SKU（服务规格），不同SKU在吞吐量、连接数、功能支持上差异显著。选对SKU，既不会让性能成为瓶颈，也不会为用不上的能力多花钱。

以下是主流SKU的核心指标对比：

• Basic（基本型）：吞吐量100Mbps，最大10个S2S隧道。仅适用于开发测试环境，官方明确不建议在生产中使用。

• VpnGw1：吞吐量650Mbps，最大30个S2S隧道。适合中小型企业生产环境、中等流量场景。

• VpnGw2：吞吐量1Gbps，最大30个S2S隧道。适合高带宽需求的应用。

• VpnGw3：吞吐量1.25Gbps（部分资料显示可达10Gbps，取决于具体代际），最大30个S2S隧道。

• VpnGw4：吞吐量5Gbps，最大100个S2S隧道。

• VpnGw5：吞吐量10Gbps，最大100个S2S隧道，适合超大规模企业级部署。

带AZ后缀的SKU（如VpnGw1AZ、VpnGw2AZ）支持可用性区域部署，网关实例会分布在不同物理机房，即使某个可用区发生故障，连接也不会中断。对于关键业务生产环境，强烈推荐选择AZ系列。

选型建议可以这样把握：开发测试用Basic或VpnGw1就够了；中小型生产环境选VpnGw1或VpnGw2；大型企业或高并发场景选VpnGw3及以上；如果有区域冗余需求，务必选带AZ后缀的版本。

计费方面，VPN网关按预配时间计费（不足1小时按1小时计），同时跨区域虚拟网络之间的出站流量也会单独计费。以中国区为例，VpnGw1AZ约1.34元/小时，VpnGw3AZ约8.78元/小时。

四、三种连接模式：各有所长的"通行方式"

Azure VPN网关支持三种主要的连接模式，分别对应不同的使用场景。

站点到站点（S2S）连接：这是最经典的"企业级"连接方式。通过IPsec/IKE VPN隧道，将整个本地网络与Azure虚拟网络打通。配置时需要指定预共享密钥或证书认证，本地需有一台兼容的VPN设备（如Cisco ASA、Palo Alto等），且该设备必须拥有公网IP地址。S2S适合企业分支机构与Azure云的持久连接，一旦建立，整个本地网络的所有设备都能访问云端资源。

点到站点（P2S）连接：这是"个人"的连接方式。允许单个客户端（Windows、macOS、Linux设备）通过OpenVPN、IKEv2或SSTP协议安全接入Azure VNet。不需要企业级网络设备，适合远程办公、移动办公场景——员工在咖啡馆打开电脑，就能像在公司内网一样访问云上资源。P2S支持Azure AD认证，可以用企业账户直接登录，替代传统的证书方式。

VNet对VNet连接：这是"云与云"的连接方式。在两个Azure虚拟网络之间建立IPsec/IKE VPN隧道。适用于跨区域部署的多层应用架构——比如前端在华东、数据库在华北，通过VPN隧道实现安全通信。

这三种模式可以组合使用。例如，一个企业可以同时配置S2S连接总部与云端，再为出差员工配置P2S连接，实现"总部+移动"的全覆盖接入。

五、高可用性：不让单点故障掐断"桥梁"

VPN网关如果宕机了，本地与云端之间的"桥梁"就断了——业务可能直接瘫痪。因此，高可用性设计是生产环境部署的重中之重。

Azure VPN网关默认采用主动-备用（Active-Standby）配置。两个网关实例一主一备，主实例处理所有流量，备用实例待命。主实例发生计划内维护时，连接会在几秒内切换到备用实例；如果是计划外中断，切换需要1到3分钟。这种模式的好处是简单，但切换期间会有短暂的服务中断，P2S客户端甚至需要重新连接。

对于关键业务，推荐启用主动-主动（Active-Active）模式。两个网关实例同时处理流量，各自建立独立的IPsec隧道。如果一个实例或一条隧道出问题，流量自动切换到另一条，切换过程对用户几乎无感知。官方数据显示，主动-主动模式配合可用性区域部署，可达到99.95%的SLA可用性。

要实现主动-主动，本地VPN设备必须支持同时终止两个IPsec隧道。配置时，Azure VPN网关会分配两个公共IP地址（每个实例各一个），本地设备需要分别与这两个IP建立隧道。

此外，还有一种常见的高可用架构：ExpressRoute + VPN网关共存。ExpressRoute是Azure的专线连接服务，走的是运营商私有网络，不经过公共互联网，延迟低、稳定性高。但专线也可能出故障——这时VPN网关作为备份通道，通过公共互联网临时接管流量。两者共存，相当于给混合云连接上了"双保险"。

六、配置实战：从零搭建S2S连接

理解原理之后，来看看实际操作。以下是在Azure门户中创建站点到站点VPN连接的核心步骤：

第一步：创建虚拟网络与网关子网。在Azure门户中创建虚拟网络（VNet），并添加一个名为"GatewaySubnet"的子网，地址空间建议为/27或更大（如10.0.2.0/27）。注意：网关子网不能部署其他资源，且子网CIDR范围变更需要重建网关。

第二步：部署VPN网关。在虚拟网络页面选择"创建网关"，网关类型选"VPN"，VPN类型选"基于路由"（生产环境推荐），SKU根据需求选择，并指定一个公共IP地址。网关部署通常需要30-45分钟。

第三步：创建本地网络网关。这是用来代表本地网络的"虚拟化身"——需要填写本地VPN设备的公网IP地址，以及本地网络的地址空间前缀（如192.168.1.0/24）。注意：本地网络的任何子网都不能与Azure虚拟网络的子网地址重叠。

第四步：创建VPN连接。在网关的"连接"页面添加新连接，选择连接类型为"站点到站点"，指定本地网络网关，并配置共享密钥（预共享密钥）。共享密钥需要与本地VPN设备上的配置保持一致。

第五步：验证连接。在Azure门户中查看连接状态是否为"已连接"，也可以通过ping或traceroute从本地测试到Azure虚拟机的连通性。

也可以用Azure CLI或PowerShell自动化部署。以CLI为例，核心命令是 az network vnet-gateway create，指定网关类型、VPN类型、SKU等参数。

如果连接建立失败，常见的排查思路包括：重置Azure VPN网关和本地VPN设备隧道、验证共享密钥是否一致、检查本地VPN设备是否已验证、确认网关子网上没有冲突的路由表或网络安全组规则。

七、典型应用场景与实战价值

Azure VPN网关不是"纸上谈兵"的技术，它在实际业务中有广泛的应用场景。

混合云架构：这是最核心的场景。企业将核心交易系统保留在本地数据中心，将大数据分析、AI推理、Web前端等弹性负载部署在Azure上，通过VPN网关实现两者之间的安全数据交换。

企业分支机构互联：跨国企业、连锁零售、制造业工厂——各地分支机构通过S2S VPN接入总部的Azure网络，实现全球数据同步与统一管理。

远程办公与移动接入：P2S VPN让员工在任何地点都能安全访问云端企业资源，无需部署复杂的VPN客户端基础设施。

多云互联：Azure VPN网关也可以与其他云平台（如AWS、GCP）的VPN网关建立连接，实现跨云数据流通。

灾备与高可用：作为ExpressRoute专线的备份通道，或在不同Azure区域之间建立VNet对VNet连接，实现跨区域容灾。

Azure VPN网关的核心价值在于：它让"本地"与"云端"不再是两个孤立的世界，而是通过一条加密的"数据通道"融为一体。企业既保留了本地资产的控制权，又享受了云端的弹性与创新——这正是混合云时代的典型范式。

在混合云与多云架构日益普及的今天，Azure VPN网关已成为企业IT基础设施中不可或缺的一环。理解它的工作原理、选型逻辑和部署方法，是每一位云架构师和运维工程师的必修课。

上海汪远信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台。公司现有全职员工500人，行业经验超过10年，八大云平台全年综合销量突破20亿人民币，累计服务超100万合作客户，累计助力企业部署云服务器近1亿台。作为微软云头部一级代理商，上海汪远信息在微软云领域提供专业的技术支持与成本优化服务，通过微软云可享受9折优惠或返点10%。公司团队架构完善、服务体系标准化，具备承接大、中、小型企业规模化上云项目的完整能力，是企业在多云时代值得信赖的合作伙伴。

常见问题解答

问：Azure VPN网关和ExpressRoute有什么区别？
答：VPN网关通过公共互联网建立加密隧道，成本低、部署快，适合中低带宽场景；ExpressRoute走运营商私有网络专线，不经过互联网，延迟更低、稳定性更高，但成本也更高。两者可以共存——ExpressRoute做主通道，VPN网关做备份。

问：基于路由和基于策略的VPN网关，到底该怎么选？
答：绝大多数场景选基于路由。它支持BGP动态路由、多站点连接，灵活性强。基于策略的网关只适合非常简单的点对点固定拓扑，且功能受限（仅支持基本SKU、单隧道）。

问：VPN网关部署后，能更改SKU吗？
答：可以。在Azure门户中可以对现有VPN网关进行SKU调整（升级或降级），但部分旧版SKU（如标准SKU、高性能SKU）将于2026年3月31日弃用，建议尽早迁移到AZ系列SKU。

问：P2S连接支持哪些客户端操作系统？
答：P2S支持Windows、macOS、Linux设备。协议方面支持OpenVPN、IKEv2和SSTP，其中IKEv2对移动设备支持较好，OpenVPN穿透防火墙能力强。

问：VPN网关的带宽是所有隧道共享的吗？
答：是的。同一个VPN网关的所有VPN隧道共享该SKU对应的总带宽。例如VpnGw1的总带宽是650Mbps，所有S2S和P2S连接加起来不能超过这个上限。

问：S2S连接配置中，本地网络地址空间和Azure VNet地址空间可以重叠吗？
答：不可以。如果两端存在重复的地址范围，路由会混乱，数据包可能被错误转发。规划网络时必须确保本地子网与Azure虚拟网络子网不重叠。