AWS与Azure连通性配置：如何搭建站点到站点VPN连接

前提准备 #

• 两端私有网段校验：提前确认AWS VPC CIDR与Azure VNet CIDR无地址重叠，否则会出现路由冲突导致通信失败
• 公网资源准备：AWS侧分配1个弹性公网IP(EIP)，Azure侧分配1个标准SKU静态公共IP地址
• 访问策略预配置：两端防火墙/安全组提前放行VPN协议流量（UDP 500、UDP 4500，ESP协议号50），同时允许两端VM所在子网的互访流量

步骤1：AWS端VPN资源配置 #

• 进入AWS VPC控制台，创建客户网关：IP地址填写Azure侧提前准备的静态公网IP，路由类型选「静态」，BGP ASN保留默认值即可
• 创建虚拟专用网关(VGW)，绑定到部署VM的AWS VPC上，同时开启VPC路由表的路由传播功能，允许VGW的路由自动注入到VPC路由表
• 创建站点到站点VPN连接：关联已创建的VGW和客户网关，路由选项选静态，添加静态路由目标为Azure VNet CIDR，隧道协议选择IKEv2，自定义或自动生成预共享密钥(PSK)，妥善保存PSK后续Azure配置需要使用
• VPN创建完成后下载通用类型的配置文件，记录两条VPN隧道的公网IP和IKE/IPsec参数

步骤2：Azure端VPN资源配置 #

• 进入Azure虚拟网络控制台，为部署VM的Azure VNet创建网关子网，子网掩码建议至少为/27
• 创建VPN网关：SKU选VpnGw1（测试场景性能足够），网关类型选「VPN」，VPN类型选「基于路由」，公共IP绑定提前准备的静态公网IP，等待网关部署完成（通常耗时20~30分钟）
• 创建本地网络网关：IP地址填写AWS侧第一条VPN隧道的公网IP，地址空间填写AWS VPC CIDR
• 创建站点连接：连接类型选「站点到站点(IPsec)」，关联已创建的VPN网关和本地网络网关，共享密钥填写AWS侧生成的PSK，IKE协议选IKEv2与AWS侧配置对齐
• （可选）配置冗余隧道：重复本地网络网关、站点连接的创建流程，填写AWS侧第二条VPN隧道的公网IP和对应PSK，实现隧道高可用

步骤3：连通性验证 #

• 确认VPN状态：AWS侧VPN连接状态为UP、Azure侧站点连接状态为「已连接」
• 校验路由规则：AWS VPC路由表需存在指向Azure VNet CIDR、下一跳为VGW的路由；Azure VNet路由表需存在指向AWS VPC CIDR、下一跳为VPN网关的路由
• 端到端测试：登录两端VM，使用ping、traceroute（Linux）或tracert（Windows）测试跨云连通性，如不通优先排查VM所属安全组/网络安全组(NSG)的出入站规则

常见问题排查 #

• VPN连接无法建立：优先校验两端PSK是否一致、IKE/IPsec加密/完整性算法/生命周期参数是否匹配、公网IP填写是否正确
• 连接已建立但VM无法通信：依次检查路由规则是否生效、安全组/NSG是否放行对应网段流量、VM操作系统内部防火墙是否拦截请求

内容的提问来源于stack exchange，提问作者One Developer