Azure VPN P2S（OpenVPN）5000用户IP地址池及网关配置咨询

当前配置的核心问题 #

• 现有P2S地址池172.16.201.0/24仅提供256个可用IP，远不足以支撑5000个并发连接
• GatewaySubnet10.1.255.0/27（32个IP）规格过小，无法适配支持5000连接的高规格VPN网关

具体配置调整 #

1. 调整GatewaySubnet #

要部署支持5000连接的VPN网关，需先扩大GatewaySubnet的规模：

• 先删除现有VPN网关（修改子网必须先移除网关）
• 将GatewaySubnet修改为至少/26（64个IP），例如10.1.255.0/26
• 注意：GatewaySubnet不能与VNet内其他子网重叠，且必须保留默认名称GatewaySubnet

2. 配置P2S地址池 #

需选择一个不与VNet地址空间（10.0.0.0/16、10.1.0.0/16）重叠的大子网：

• 推荐使用172.16.200.0/21：该子网包含8个连续的/24段，总共有8192个IP，可用IP数为8190，完全满足5000个连接需求
• 也可选择其他非重叠的大段子网，例如192.168.0.0/21

3. 选择合适的网关SKU #

必须选用支持5000 P2S并发连接的SKU：

• 推荐VpnGw3（最大支持5000连接）或VpnGw3AZ（带AZ冗余的版本）
• 低规格SKU（如VpnGw1/VpnGw2）分别仅支持1000/2500连接，无法满足需求

4. 其他必要设置 #

• 保持隧道类型为OpenVPN（当前已配置）
• 确保P2S地址池与VNet地址空间无重叠，避免路由冲突
• 若管理大量客户端，建议启用Azure AD认证，简化客户端身份验证流程
• 要求客户端使用最新版本的OpenVPN客户端，保证兼容性和稳定性

操作步骤总结 #

1. 删除现有VPN网关
2. 修改GatewaySubnet为10.1.255.0/26或更大
3. 创建新VPN网关，选择SKU为VpnGw3/VpnGw3AZ，隧道类型设为OpenVPN
4. 配置P2S地址池为172.16.200.0/21（或其他符合要求的大子网）
5. 重新生成并分发OpenVPN客户端配置文件

内容的提问来源于stack exchange，提问作者Fuma Kimishima