Executando um servidor VPN de cliente IPsec no Azure

Question

Atualmente estou explorando minhas opções para executar um servidor VPN cliente no Azure. Examinei a funcionalidade de VPN ponto-a-ponto e parece ser mais um método para os administradores discarem, em vez de uma solução VPN de cliente completa.

Uma das opções restantes é executar um servidor VPN cliente em uma VM do Azure. Muitas das opções VPN do cliente fazem uso do IPsec de uma forma ou de outra, que usa protocolos IP diferentes de TCP / UDP para operação (ESP / AH). Tanto quanto eu posso dizer, o Azure não permite tráfego diferente de TCP / UDP para suas máquinas virtuais. As ACLs baseadas em pontos finais permitem apenas que você selecione TCP ou UDP. Acabei de investigar os Network Security Groups (NSGs) na esperança de que eles possam oferecer uma solução, mas eles também oferecem apenas 'TCP', 'UDP' ou '*' como uma opção de protocolo dentro de ACLs. Isso me leva a acreditar que não é possível executar um servidor IPsec no Azure. Isso está correto, ou existem opções disponíveis que eu não encontrei? Obviamente, existem opções que requerem apenas TCP / UDP (Microsoft SSTP vem à mente), mas especificamente sobre a questão do IPsec?

Como uma pergunta secundária, que outras soluções as pessoas estabeleceram quando se trata de fornecer uma VPN cliente para recursos hospedados no Azure?

    

Answer 1

Você está correto, apenas as conexões TCP e UDP são permitidas nas máquinas virtuais do Azure; eles também são severamente limitados, como em "você só pode abrir portas únicas e não intervalos de portas inteiros", o que efetivamente impede o uso de protocolos dinâmicos.

Você pode contornar a última limitação usando um IP público em nível de instância , que permite todo tráfego em todas portas para uma VM (mas certifique-se de ligar o seu firewall!); no entanto, isso ainda só permitir tráfego TCP e UDP .

A única opção suportada (no momento) para conexões de cliente VPN é usar o serviço de cliente VPN integrado do Azure, que funciona bem, contanto que você possa obter um certificado de cliente para cada um de seus clientes.

Além disso, como você disse, outra opção poderia ser usar o tunelamento HTTPS para o seu servidor VPN em vez do IPSec; VPNs HTTPS (incluindo o SSTP do Windows) são executadas na porta TCP 443, portanto, elas poderiam funcionar nas VMs do Azure; no entanto, se você quiser executar um servidor VPN em uma VM do Azure, poderá se deparar com todos os tipos de problemas de rede, pois as VMs do Azure realmente não funcionam bem quando você tenta fazer algo não explicitamente suportado, especialmente