Tutorial: Creación de una conexión VPN de sitio a sitio en Azure Portal

En este tutorial, usará Azure Portal para crear una conexión de puerta de enlace VPN de sitio a sitio (S2S) entre la red local y una red virtual. También puede crear esta configuración mediante Azure PowerShell o la CLI de Azure.

En este tutorial ha:

• Cree una red virtual.
• Cree una puerta de enlace de VPN.
• Cree una puerta de enlace de red local.
• Creación de una conexión VPN.
• Compruebe la conexión.
• Conexión a una máquina virtual.

Requisitos previos

• Necesita una cuenta de Azure con una suscripción activa. Si no tiene una cuenta, ahora puede crear una de forma gratuita.

• Si no está familiarizado con los intervalos de direcciones IP ubicados en la red local, necesita trabajar con alguien que pueda proporcionarle estos detalles. Al crear esta configuración, debe especificar los prefijos del intervalo de direcciones IP al que Azure enruta la ubicación local. Ninguna de las subredes de la red local puede superponerse con las subredes de la red virtual a la que desea conectarse.

• Dispositivos VPN.

  • Asegúrese de tener un dispositivo VPN compatible y alguien que pueda configurarlo. Para más información acerca de los dispositivos VPN compatibles y su configuración, consulte Acerca de los dispositivos VPN.
  • Compruebe que tiene una dirección IPv4 pública externa para el dispositivo VPN.
  • Compruebe que el dispositivo VPN admite puertas de enlace en modo activo-activo. En este artículo, se crea una puerta de enlace de VPN en modo activo-activo, que se recomienda para la conectividad de alta disponibilidad. El modo activo-activo especifica que ambas instancias de máquina virtual de puerta de enlace están activas y usa dos direcciones IP públicas, una para cada instancia de máquina virtual de puerta de enlace. Configure el dispositivo VPN para conectarse a la dirección IP de cada instancia de máquina virtual de puerta de enlace. Si el dispositivo VPN no admite este modo, no habilite este modo para la puerta de enlace. Para más información, consulte Diseño de conectividad de alta disponibilidad para conexiones locales y de red virtual a red virtual y Acerca de las puertas de enlace de VPN de modo activo-activo.

Creación de una red virtual

En esta sección, creará una red virtual con los siguientes valores:

• Grupo de recursos: TestRG1
• Nombre: VNet1
• Región: (EE. UU.) Este de EE. UU.
• Espacio de direcciones IPv4: 10.1.0.0/16
• Nombre de subred: FrontEnd
• Espacio de direcciones de subred:

Nota:

Cuando use una red virtual como parte de una arquitectura entre entornos, asegúrese de coordinarse con el administrador de la red local para delimitar un intervalo de direcciones IP que pueda usar específicamente para esta red virtual. Si existe un intervalo de direcciones duplicado en ambos lados de la conexión VPN, el tráfico se enrutará de forma inesperada. Además, si quiere conectar esta red virtual a otra, el espacio de direcciones no puede superponerse con la otra red virtual. Planee la configuración de red en consecuencia.

1. Inicie sesión en Azure Portal.

2. En Buscar recursos, servicios y documentos (G+/) en la parte superior de la página del portal, escriba red virtual. Seleccione Red virtual en los resultados de búsqueda de Marketplace para abrir la página Red virtual.

3. En la página Red virtual, seleccione Crear para abrir la página Crear red virtual.

4. En la pestaña Aspectos básicos, configure las opciones de la red virtual en Detalles del proyecto y Detalles de la instancia. Verá una marca de verificación verde cuando se validen los valores que escriba. Puede ajustar los valores que se muestran en el ejemplo según la configuración que necesite.

   

   • Suscripción: compruebe que la suscripción que aparece en la lista es la correcta. Puede cambiar las suscripciones mediante el cuadro desplegable.
   • Grupo de recursos: Seleccione uno existente o seleccione Crear nuevo para crear uno. Para más información sobre los grupos de recursos, consulte Información general de Azure Resource Manager.
   • Name: escriba el nombre de la red virtual.
   • Región: Seleccione la ubicación de la red virtual. La ubicación determina dónde van a residir los recursos que implemente en esta red virtual.

5. Seleccione Siguiente o Seguridad para ir a la pestaña Seguridad. Para este ejercicio, mantenga los valores predeterminados para todos los servicios de esta página.

6. Seleccione Direcciones IP para ir a la pestaña Direcciones IP. Configure los valores en la pestaña Direcciones IP.

   • Espacio de direcciones IPv4: de manera predeterminada, se crea automáticamente un espacio de direcciones. Puede seleccionar el espacio de direcciones y modificarlo para que refleje sus valores. También puede agregar un espacio de direcciones diferente y quitar el valor predeterminado que se creó automáticamente. Por ejemplo, puede especificar la dirección inicial como 10.1.0.0 y especificar el tamaño del espacio de direcciones como /16. A continuación, seleccione Agregar para agregar ese espacio de direcciones.

   • + Agregar subred: Si usa el espacio de direcciones predeterminado, se crea automáticamente una subred predeterminada. Si cambia el espacio de direcciones, agregue una nueva subred dentro de ese espacio de direcciones. Seleccione + Agregar una subred para abrir la ventana Agregar subred. Configure las siguientes opciones y, a continuación, seleccione Agregar al final de la página para agregar los valores.

     • Nombre de subred: Un ejemplo es FrontEnd.
     • Rango de direcciones de subred: intervalo de direcciones para esta subred. Algunos ejemplos de ello son 10.1.0.0 y /24.

7. Revise la página Direcciones IP y quite los espacios de direcciones o subredes que no necesite.

8. Seleccione Revisar y crear para validar la configuración de la red virtual.

9. Después de validar la configuración, seleccione Crear para crear la red virtual.

Después de crear la red virtual, también puede configurar Azure DDoS Protection. Azure DDoS Protection se puede habilitar fácilmente en cualquier red virtual nueva o existente y no requiere cambios en las aplicaciones ni los recursos. Para obtener más información sobre Azure DDoS Protection, consulte ¿Qué es Azure DDoS Protection?

Creación de una subred de puerta de enlace

La puerta de enlace de red virtual requiere una subred específica denominada GatewaySubnet. La subred de puerta de enlace forma parte del intervalo de direcciones IP de la red virtual y contiene las direcciones IP que usan los servicios y los recursos de la puerta de enlace de red virtual.

Al crear la subred de puerta de enlace, especifique el número de direcciones IP que contiene la subred. El número de direcciones IP que se necesitan depende de la configuración de puerta de enlace de VPN que se desea crear. Algunas configuraciones requieren más direcciones IP que otras. Es mejor especificar /27 o superior (/26, /25, etc.) para la subred de puerta de enlace.

1. En la página de la red virtual, en el panel izquierdo, seleccione Subredes para abrir la página de Subredes.
2. En la parte superior de la página Subred de puerta de enlace, para abrir el panel de Agregar subred.
3. El nombre se escribe automáticamente como GatewaySubnet. Ajuste el valor del intervalo de direcciones IP, si es necesario. Por ejemplo, 10.1.255.0/27.
4. No ajuste los demás valores de la página. Seleccione Guardar en la parte inferior de la página para guardar la subred.

Importante

No se admiten grupos de seguridad de red (NSG) en la subred de puerta de enlace. La asociación de grupos de seguridad de red a esta subred podría causar que la puerta de enlace de la red virtual (puertas de enlace de ExpressRoute y VPN) dejase de funcionar como cabría esperar. Para más información acerca de los grupos de seguridad de red, consulte ¿Qué es un grupo de seguridad de red?

Creación de una puerta de enlace de VPN

En este paso, se crea una puerta de enlace de red virtual (puerta de enlace de VPN). La creación de una puerta de enlace suele tardar 45 minutos o más, según la SKU de la puerta de enlace seleccionada.

Creación de una puerta de enlace de VPN

Cree una puerta de enlace de red virtual (puerta de enlace de VPN) con los siguientes valores:

• Name: VNet1GW
• Tipo de puerta de enlace: VPN
• SKU: VpnGw2AZ
• Generación: Generación 2
• Red virtual: VNet1
• Intervalo de direcciones de subred de puerta de enlace: 10.1.255.0/27
• Dirección IP pública: Crear nuevo
• Nombre de dirección IP pública: VNet1GWpip1
• SKU de dirección IP pública: Estándar
• Asignación de: estática
• Segundo nombre de dirección IP pública: VNet1GWpip2
• Habilitación del modo activo-activo: Habilitado
• Configurar BGP: deshabilitado

1. En Buscar recursos, servicios y documentos (G+/), escriba puerta de enlace de red virtual. Busque Puerta de enlace de red virtual en los resultados de búsqueda de Marketplace y selecciónelo para abrir la página Crear puerta de enlace de red virtual.

2. En la pestaña Aspectos básicos, rellene los valores de Detalles del proyecto y Detalles de la instancia.

   

   • Subscripción: Seleccione la suscripción que quiere usar en la lista desplegable.

   • Grupo de recursos: este valor se rellena automáticamente al seleccionar la red virtual en esta página.

   • Nombre: este es el nombre del objeto de puerta de enlace que va a crear. Esto es diferente de la subred de puerta de enlace en la que se implementarán los recursos de puerta de enlace.

   • Región: Seleccione la región en la que quiere crear este recurso. La región de la puerta de enlace debe ser la misma que la red virtual.

   • Tipo de puerta de enlace: Seleccione VPN. Las puertas de enlace VPN usan el tipo de puerta de enlace de red virtual VPN.

   • SKU: En la lista desplegable, seleccione el SKU de puerta de enlace que admita las características que desea usar.

     • Se recomienda seleccionar una SKU que termine en AZ siempre que sea posible. Los SKU de AZ admiten zonas de disponibilidad.
     • La SKU básica no está disponible en el portal. Para configurar una puerta de enlace de SKU básica, debe usar PowerShell o la CLI.

   • Generación: seleccione Generation2en la lista desplegable.

   • Red virtual: En la lista desplegable, seleccione la red virtual a la que quiere agregar esta puerta de enlace. Si no puede ver la red virtual que quiere usar, asegúrese de seleccionar la suscripción y la región correctas en la configuración anterior.

   • Intervalo de direcciones de subred de puerta de enlace o subred: La subred de puerta de enlace es necesaria para crear una puerta de enlace de VPN.

     Actualmente, este campo puede mostrar diferentes opciones de configuración, según el espacio de direcciones de la red virtual y si ya ha creado una subred denominada GatewaySubnet para la red virtual.

     Si no tiene una subred de puerta de enlace y no ve la opción de crear una en esta página, vuelva a la red virtual y cree la subred de puerta de enlace. A continuación, vuelva a esta página y configure la puerta de enlace de VPN.

3. Especifique los valores de Dirección IP pública. Esta configuración especifica los objetos de dirección IP pública que se asociarán a la puerta de enlace de VPN. Una dirección IP pública se asigna a cada objeto de dirección IP pública cuando se crea la puerta de enlace de VPN. La única vez que cambia la dirección IP pública asignada es cuando se elimina y se vuelve a crear la puerta de enlace. Las direcciones IP no cambian en el cambio de tamaño, el restablecimiento u otras actualizaciones o mantenimiento internos de la puerta de enlace de VPN.

   

   • Tipo de dirección IP pública: si aparece esta opción, seleccione Estándar.

   • Dirección IP pública: Mantenga la opción Crear nueva seleccionada.

   • Nombre de la dirección IP pública: En el cuadro de texto, escriba un nombre para la dirección IP pública.

   • SKU de dirección IP pública: la configuración se selecciona automáticamente en SKU estándar.

   • Asignación: la asignación suele seleccionarse automáticamente y debe ser Estática.

   • Zona de disponibilidad: esta configuración está disponible para las SKU de puerta de enlace de AZ en regiones que admiten zonas de disponibilidad. Seleccione Redundancia de zona, a menos que sepa que desea especificar una zona.

   • Habilitar el modo activo-activo: se recomienda seleccionar Habilitado para aprovechar las ventajas de una puerta de enlace del modo activo-activo. Si tiene previsto usar esta puerta de enlace para una conexión de sitio a sitio, tenga en cuenta lo siguiente:

     • Compruebe el diseño activo-activo que desea usar. Las conexiones con el dispositivo VPN local deben configurarse específicamente para aprovechar el modo activo-activo.
     • Algunos dispositivos VPN no admiten el modo activo-activo. Si no está seguro, consulte con el proveedor del dispositivo VPN. Si usa un dispositivo VPN que no admite el modo activo-activo, puede seleccionar Deshabilitado para esta configuración.

   • Segunda dirección IP pública: Seleccione Crear nuevo. Solo está disponible si seleccionó Habilitado para la opción Habilitar modo activo-activo.

   • Nombre de la dirección IP pública: En el cuadro de texto, escriba un nombre para la dirección IP pública.

   • SKU de dirección IP pública: la configuración se selecciona automáticamente en SKU estándar.

   • Zona de disponibilidad: seleccione Redundancia de zona, a menos que sepa que desea especificar una zona.

   • Configurar BGP: Seleccionar deshabilitado a menos que la configuración requiera específicamente esta configuración. Si necesita este valor de configuración, el valor predeterminado del ASN es 65515, aunque esto se puede cambiar.

   • Habilitar el acceso a Key Vault: seleccione Deshabilitado a menos que la configuración requiera específicamente esta configuración.

4. Seleccione Revisar y crear para ejecutar la validación.

5. Una vez superada la validación, seleccione Crear para implementar VPN Gateway.

Una puerta de enlace puede tardar 45 minutos aproximadamente en crearse e implementarse completamente. Puede ver el estado de implementación en la página Información general de la puerta de enlace.

Importante

No se admiten grupos de seguridad de red (NSG) en la subred de puerta de enlace. La asociación de grupos de seguridad de red a esta subred podría causar que la puerta de enlace de la red virtual (puertas de enlace de ExpressRoute y VPN) dejase de funcionar como cabría esperar. Para más información acerca de los grupos de seguridad de red, consulte ¿Qué es un grupo de seguridad de red?

Ver dirección IP pública

Para ver la dirección IP asociada a cada instancia de máquina virtual de puerta de enlace de red virtual, vaya a la puerta de enlace de red virtual en el portal.

1. Vaya a la página Propiedades de la puerta de enlace de red virtual (no a la página Información general). Es posible que tenga que expandir Configuración para ver la página Propiedades de la lista.
2. Si la puerta de enlace está en modo activo-pasivo, solo verá una dirección IP. Si la puerta de enlace está en modo activo-activo, verá dos direcciones IP públicas enumeradas, una para cada instancia de máquina virtual de puerta de enlace. Al crear una conexión de sitio a sitio, debe especificar cada dirección IP al configurar el dispositivo VPN porque ambas máquinas virtuales de puerta de enlace están activas.
3. Para ver más información sobre el objeto de dirección IP, haga clic en el vínculo dirección IP asociada.

Creación de una puerta de enlace de red local

La puerta de enlace de red local es un objeto específico implementado en Azure que representa la ubicación local (el sitio) con fines de enrutamiento. Asigne al sitio un nombre al que Azure pueda hacer referencia y, luego, especifique la dirección IP del dispositivo VPN local con la que crea una conexión. Especifique también los prefijos de dirección IP que se enrutan a través de la puerta de enlace VPN al dispositivo VPN. Los prefijos de dirección que especifique son los prefijos que se encuentran en la red local. Si la red local cambia o necesita cambiar la dirección IP pública del dispositivo VPN, puede actualizar fácilmente los valores más adelante. Cree una puerta de enlace de red local independiente para cada dispositivo VPN al que quiera conectarse. Algunos diseños de conectividad de alta disponibilidad especifican varios dispositivos VPN locales.

Cree una puerta de enlace de red local con los siguientes valores:

• Nombre: Site1
• Grupos de recursos: TestRG1
• Ubicación: Este de EE. UU.

Consideraciones de configuración:

• VPN Gateway solo admite una dirección IPv4 para cada FQDN. Si el nombre de dominio se resuelve en varias direcciones IP, VPN Gateway usará la primera dirección IP que devuelvan los servidores DNS. Para eliminar la incertidumbre, se recomienda que el nombre de dominio completo siempre se resuelva en una sola dirección IPv4. No se admite IPv6.
• VPN Gateway mantiene una caché DNS que se actualiza cada 5 minutos. La puerta de enlace intenta resolver los nombres de dominio completos solo para los túneles desconectados. Al restablecer la puerta de enlace también se desencadena la resolución del nombre de dominio completo.
• Aunque VPN Gateway admite varias conexiones a diferentes puertas de enlace de red local con distintos FQDN, todos los FQDN deben resolverse en diferentes direcciones IP.

1. En el portal, vaya a Puertas de enlace de red local y abra la página Crear puerta de enlace de red local.

2. En la pestaña Aspectos básicos, especifique los valores de la puerta de enlace de red local.

   

   • Suscripción: compruebe que se muestra la suscripción correcta.
   • Grupo de recursos:: seleccione el grupo de recursos que desee utilizar. Puede crear un grupo de recursos nuevo o seleccionar uno ya creado.
   • Región: seleccione la región para este objeto. Es posible que quiera seleccionar la misma ubicación que la de la red virtual, pero no es necesario.
   • Nombre: especifique el nombre del objeto de puerta de enlace de red local.
   • Punto de conexión: seleccione el tipo de punto de conexión para el dispositivo VPN local como dirección IP o FQDN (nombre de dominio completo).
     • Dirección IP: si tuviera asignada una dirección IP pública estática de su proveedor de servicios de Internet (ISP) para el dispositivo VPN, seleccione la opción Dirección IP. Rellene la dirección IP como se muestra en el ejemplo. Esta es la dirección IP pública del dispositivo VPN al que desea que Azure VPN Gateway se conecte. Si no tuviera la dirección IP en este momento, use los valores que se muestran en el ejemplo. Después, deberá volver atrás y reemplazar la dirección IP del marcador de posición por la dirección IP pública del dispositivo VPN. De lo contrario, Azure no se podrá conectar.
     • FQDN: si tiene una dirección IP pública dinámica que pudiera cambiar después de un cierto período de tiempo, que a menudo determina el ISP, use un nombre DNS constante con un servicio DNS dinámico que apunte a la dirección IP pública actual del dispositivo VPN. Azure VPN Gateway resuelve el nombre de dominio completo para determinar la dirección IP pública a la que se va a conectar.
   • Espacio de direcciones: el espacio de direcciones hace referencia a los intervalos de direcciones de la red que representa esta red local. Puede agregar varios intervalos de espacios de direcciones. Asegúrese de que los intervalos que especifique aquí no se superpongan con los de otras redes a las que quiera conectarse. Azure enruta el intervalo de direcciones que especifique a la dirección IP del dispositivo VPN local. Use sus propios valores aquí, y no los mostrados en el ejemplo, si quiere conectarse a su sitio local.

3. En la pestaña Avanzado, es posible configurar los valores de BGP si fuera necesario.

4. Después de especificar los valores, seleccione Revisar y crear en la parte inferior de la página para validar la página.

5. Seleccione Crear para crear el objeto de la puerta de enlace de red local.

Configurar el dispositivo VPN

Las conexiones de sitio a sitio a una red local requieren un dispositivo VPN. En este paso, se configura el dispositivo VPN. Al configurar el dispositivo VPN, necesita los siguientes valores:

• Clave compartida: esta clave compartida es la misma que se especifica al crear la conexión VPN de sitio a sitio. En nuestros ejemplos, se utiliza una clave compartida básica. Se recomienda que genere y utilice una clave más compleja.
• Direcciones IP públicas de las instancias de puerta de enlace de red virtual: obtenga la dirección IP de cada instancia de máquina virtual. Si la puerta de enlace está en modo activo-activo, tendrá una dirección IP para cada instancia de máquina virtual de puerta de enlace. Asegúrese de configurar el dispositivo con ambas direcciones IP, una para cada máquina virtual de puerta de enlace activa. Las puertas de enlace en modo activo-en espera solo tienen una dirección IP.

Nota:

En el caso de las conexiones S2S con una puerta de enlace de VPN en modo activo-activo, asegúrese de que los túneles se establecen en cada instancia de máquina virtual de puerta de enlace. Si establece un túnel en una sola instancia de máquina virtual de puerta de enlace, la conexión dejará de funcionar durante el mantenimiento. Si el dispositivo VPN no admite esta configuración, configure la puerta de enlace para el modo activo-en espera en su lugar.

En función del dispositivo VPN que tenga, es posible que pueda descargar un script de configuración del mismo. Para más información, consulte Descarga de scripts de configuración de dispositivos VPN para conexiones VPN S2S.

Para obtener más información de configuración, consulte los vínculos siguientes:

• Para obtener más información sobre dispositivos VPN compatibles, consulte Dispositivos VPN.
• Antes de configurar el dispositivo VPN, compruebe que no haya problemas conocidos de compatibilidad para el dispositivo VPN que desee usar.
• Para obtener vínculos a los valores de configuración del dispositivo, consulte Dispositivos VPN validados. Los vínculos de la configuración de dispositivos se proporcionan dentro de lo posible. Siempre es mejor ponerse en contacto con el fabricante del dispositivo para obtener la información de configuración más reciente. La lista muestra las versiones que hemos probado. Si su sistema operativo no está en esa lista, sigue siendo posible que la versión sea compatible. Póngase en contacto con el fabricante del dispositivo para comprobar que la versión del sistema operativo para el dispositivo VPN sea compatible.
• Para ver una introducción a la configuración de dispositivos VPN, consulte Información general sobre configuraciones de dispositivos VPN de terceros.
• Para obtener información sobre cómo modificar los ejemplos de configuración de dispositivo, consulte Edición de ejemplos.
• Para conocer los requisitos criptográficos, consulte About cryptographic requirements and Azure VPN gateways (Acerca de los requisitos criptográficos y la puertas de enlace de VPN de Azure).
• Para obtener información acerca de los parámetros de protocolo de seguridad de Internet/intercambio de claves por red, consulte Acerca de los dispositivos VPN y los parámetros de IPsec/IKE para conexiones de puerta de enlace de VPN de sitio a sitio. Este vínculo muestra información acerca de la versión de IKE, grupo Diffie-Hellman, método de autenticación, algoritmos de hash y cifrado, duración de SA, PFS y DPD, además de otra información de parámetros que necesarios para completar la configuración.
• Para conocer los pasos de la configuración de la directiva de protocolo de seguridad de Internet/intercambio de claves por red, consulte Configuración de la directiva de protocolo de seguridad de Internet/intercambio de claves por red para conexiones de red virtual a red virtual o VPN de sitio a sitio.
• Para conectar con dispositivos VPN basados en directivas, consulte Conexión de puertas de enlace Azure VPN Gateway a varios dispositivos VPN locales basados en directivas con PowerShell.

Crear conexiones VPN

Creación de una conexión VPN de sitio a sitio entre la puerta de enlace de la red virtual y el dispositivo VPN local. Si usa una puerta de enlace en modo activo-activo (recomendado), cada instancia de máquina virtual de puerta de enlace tiene una dirección IP asignada independiente. Para configurar correctamente la conectividad de alta disponibilidad, debe establecer un túnel entre cada instancia de máquina virtual y su dispositivo VPN. Ambos túneles forman parte de la misma conexión.

Cree una conexión con los valores siguientes:

• Nombre de la puerta de enlace de red local: Site1
• Nombre de la conexión: VNet1toSite1
• Clave compartida: en este ejemplo, use abc123. Sin embargo, puede usar cualquiera compatible con el hardware VPN. Lo importante es que los valores coincidan en ambos lados de la conexión.

1. En el Portal, vaya a la puerta de enlace de red virtual y ábrala.

2. En la página de la puerta de enlace, seleccione Conexiones.

3. En la parte superior de la página Conexiones, seleccione +Agregar para abrir la página Crear conexión.

   

4. En la página Crear conexión, en la pestaña Aspectos básicos, configure los valores de la conexión:

   • En Detalles del proyecto, seleccione la suscripción y el grupo de recursos donde se encuentren los recursos.

   • En Detalles de la instancia, configure las siguientes opciones:

     • Tipo de conexión: Seleccione Sitio a sitio (IPSec) .
     • Nombre: asigne un nombre a la conexión.
     • Región: Seleccione la región de esta conexión.

5. Seleccione la pestaña Configuración y configure los valores siguientes:

   

   • Puerta de enlace de red virtual: seleccione la puerta de enlace de red virtual de la lista desplegable.
   • Puerta de enlace de red local: seleccione la puerta de enlace de red local de la lista desplegable.
   • Clave compartida: este valor debe coincidir con el que usa para el dispositivo VPN local. Si este campo no aparece en la página del portal o desea actualizar esta clave más adelante, puede hacerlo una vez creado el objeto de conexión. Vaya al objeto de conexión que creó (nombre de ejemplo: VNet1toSite1) y actualice la clave en la página autenticación.
   • Protocolo IKE: seleccione IKEv2.
   • Usar la dirección IP privada de Azure: no seleccionar.
   • Habilitar BGP: no seleccionar.
   • FastPath: no seleccionar.
   • Directiva de IPsec/IKE: seleccione Valor predeterminado.
   • Usar el selector de tráfico basado en directivas: seleccione Deshabilitar.
   • Tiempo de expiración de DPD en segundos: seleccione 45.
   • Modo de conexión: seleccione Predeterminado. Este valor se usa para especificar qué puerta de enlace puede iniciar la conexión. Para obtener más información, consulte Configuración de VPN Gateway: modos de conexión.

6. En Asociaciones de reglas de NAT, deje tanto la opción Entrada como Salida en 0 seleccionadas.

7. Seleccione Revisar y crear para validar la configuración de la conexión.

8. Seleccione Create (Crear) para crear la conexión.

9. Una vez que termine la implementación, podrá ver la conexión en la página Conexiones de la puerta de enlace de red virtual. El estado cambia de Desconocido a Conectando y luego a Correcto.

Configurar más opciones de conexión (opcional)

Puede definir más configuraciones para la conexión, si es necesario. De lo contrario, omita esta sección y deje los valores predeterminados como están. Para más información, consulte Configuración de directivas de conexión de IPsec o IKE personalizadas.

1. Vaya a la puerta de enlace de red virtual y seleccione Conexiones para abrir la página Conexiones.

2. Seleccione el nombre de la conexión que quiere configurar para abrir la página Conexión.

3. En el lado izquierdo de la página Conexión, seleccione Configuración para abrir la página Configuración. Realice los cambios necesarios y, a continuación, seleccione Guardar.

   En las capturas de pantalla siguientes, la configuración está habilitada para que pueda ver las opciones de configuración disponibles en el portal. Seleccione la captura de pantalla para ver la vista expandida. Al configurar las conexiones, defina solo las configuraciones que necesite. De lo contrario, deje la configuración predeterminada como está.

   

   

Comprobación de la conexión VPN

En Azure Portal, puede ver el estado de la conexión de una instancia de VPN Gateway navegando a la conexión. Los pasos siguientes muestran una manera de ir a la conexión y de realizar las comprobaciones necesarias.

1. En el menú de Azure Portal, seleccione Todos los recursos o busque y seleccione Todos los recursos en cualquier página.
2. Seleccione la puerta de enlace de red virtual.
3. En el panel de la puerta de enlace de red virtual, seleccione Conexiones. Puede ver el estado de cada conexión.
4. Seleccione el nombre de la conexión que desee comprobar para abrir Essentials. En el panel Essentials, podrá ver más información acerca de la conexión. El estado es Correcto y Conectado después de realizar una conexión correcta.

Conexión a una máquina virtual

Puede conectarse a una máquina virtual que esté implementada en la red virtual mediante la creación de una conexión de Escritorio remoto a la máquina virtual. La mejor manera de comprobar inicialmente que puede conectarse a la máquina virtual es hacerlo mediante su dirección IP privada, en lugar del nombre de equipo. Con este método prueba si puede conectarse, no si la resolución de nombres está configurada correctamente.

1. Busque la dirección IP privada. Para buscar la dirección IP privada de una máquina virtual, examina las propiedades en Azure Portal o usa PowerShell.

   • Azure Portal: Ubica la máquina virtual en Azure Portal. Vea las propiedades de la máquina virtual. Se enumera la dirección IP privada.

   • PowerShell: Utiliza el ejemplo para ver una lista de las máquinas virtuales y las direcciones IP privadas de los grupos de recursos. No es preciso modificar el ejemplo para usarlo.

     $VMs = Get-AzVM
     $Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null
     
     foreach ($Nic in $Nics) {
     $VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
     $Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
     $Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
     Write-Output "$($VM.Name): $Prv,$Alloc"
     }
     

2. Comprueba que está conectado a la red virtual.

3. Abre Conexión a Escritorio remoto, para lo que debes escribir RDP o Conexión a Escritorio remoto en el cuadro de búsqueda de la barra de tareas. Luego, selecciona Conexión a Escritorio remoto. También puedes abrir Conexión a Escritorio remoto con el comando mstsc de PowerShell.

4. En Conexión a Escritorio remoto, escriba la dirección IP privada de la máquina virtual. Puedes seleccionar Mostrar opciones para ajustar parámetros adicionales y, después, conectarte.

Si tienes problemas para conectarte a una máquina virtual a través de tu conexión VPN, comprueba los siguientes puntos:

• Compruebe que la conexión VPN se ha establecido correctamente.
• Compruebe que se conecta a la dirección IP privada de la máquina virtual.
• Si puedes conectarte a la máquina virtual mediante la dirección IP privada, pero no el nombre del equipo, comprueba que has configurado el DNS correctamente. Para más información acerca de cómo funciona la resolución de nombres para las máquinas virtuales, consulta Resolución de nombres para las máquinas virtuales e instancias de rol.

Para más información acerca de las conexiones RDP, consulte Solución de problemas de conexiones del Escritorio remoto a una máquina virtual de Azure.

Pasos opcionales

Restablecimiento de una puerta de enlace

Restablecer una puerta de enlace de VPN de Azure es útil si se pierde la conectividad VPN entre locales en uno o varios túneles VPN de sitio a sitio. En esta situación, todos tus dispositivos VPN locales funcionan correctamente, pero no pueden establecer túneles IPsec con las puertas de enlace de VPN de Azure. Si necesita restablecer una puerta de enlace activa-activa, puede restablecer ambas instancias mediante el portal. También puede usar PowerShell o la CLI para restablecer cada instancia de puerta de enlace por separado mediante VIP de instancia. Para obtener más información, consulte Restablecer una conexión o una puerta de enlace.

1. En el portal, vaya a la puerta de enlace de red virtual que desea restablecer.
2. En la página Puerta de enlace de red virtual, en el panel izquierdo, desplácese y busque Ayuda:> Restablecer.
3. En la página Restablecer, seleccione Restablecer. Una vez que se emite el comando, se reinicia inmediatamente la instancia activa actual de Azure VPN Gateway. El restablecimiento de la puerta de enlace provocará un vacío en la conectividad VPN y puede limitar el futuro análisis de la causa principal del problema.

Adición de otra conexión

Una puerta de enlace puede tener varias conexiones. Si desea configurar conexiones a varios sitios locales desde la misma puerta de enlace de VPN, los espacios de direcciones no se pueden superponer entre ninguna de las conexiones.

1. Si se conecta mediante una VPN de sitio a sitio y no tiene una puerta de enlace de red local para el sitio al que quiere conectarse, cree otra puerta de enlace de red local y especifique los detalles del sitio. Para obtener más información, consulte Creación de una puerta de enlace de red virtual.
2. Para agregar una conexión, vaya a la puerta de enlace de VPN y, luego, seleccione Conexiones para abrir la página Conexiones.
3. Seleccione + Agregar para agregar la conexión. Ajuste el tipo de conexión para reflejar una conexión entre redes virtuales (si se conecta a otra puerta de enlace de red virtual), o de sitio a sitio.
4. Especifique la clave compartida que quiera usar y, luego, seleccione Aceptar para crear la conexión.

Actualizar una clave compartida de conexión

Puede especificar una clave compartida diferente para la conexión.

1. En el portal, vaya a la conexión.
2. Cambie la clave compartida en la página Autenticación.
3. Guarde los cambios.
4. Actualice el dispositivo VPN con la nueva clave compartida según sea necesario.

Cambio o cambio de tamaño de una SKU de puerta de enlace

Puede cambiar el tamaño de una SKU de puerta de enlace o cambiar la SKU de puerta de enlace. Hay reglas específicas sobre qué opción está disponible, en función de la SKU que use la puerta de enlace actualmente. Para obtener más información, consulte Cambiar el tamaño o cambiar las SKU de puerta de enlace.

Más consideraciones de configuración

Puede personalizar configuraciones de sitio a sitio de varias maneras. Para más información, consulte los siguientes artículos.

• Para más información acerca de BGP, consulte Información general de BGP y Configuración de BGP.
• Para información acerca de la tunelización forzada, consulte la Acerca de la tunelización forzada.
• Para obtener información acerca de las conexiones activo/activo de alta disponibilidad, consulte Conectividad de alta disponibilidad entre locales y de red virtual a red virtual.
• Para información acerca de cómo limitar el tráfico de red a los recursos de una red virtual, vea Seguridad de red.
• Para información acerca de cómo enruta Azure el tráfico entre los recursos locales, de Internet y de Azure, vea Enrutamiento del tráfico de redes virtuales.

Limpieza de recursos

Si no va a seguir usando esta aplicación o si va al siguiente tutorial, elimine estos recursos.

1. Escriba el nombre del grupo de recursos en el cuadro Buscar de la parte superior del portal y selecciónelo en los resultados de la búsqueda.
2. Seleccione Eliminar grupo de recursos.
3. En TYPE THE RESOURCE GROUP NAME (ESCRIBIR EL NOMBRE DEL GRUPO DE RECURSOS), escriba el grupo de recursos y seleccione Delete (Eliminar).

Pasos siguientes

Después de configurar una conexión de sitio a sitio, puede agregar una conexión de punto a sitio a la misma puerta de enlace.

Conexión VPN de punto a sitio