Azure VPN Gateway в 2026: полное руководство по Site-to-Site и Point-to-Site для РФ

Введение: почему сейчас и почему это важно

В 2026 году защищенные гибридные сети стали стандартом для корпоративной ИТ. От филиалов до удаленных сотрудников, от дата-центров до облаков: все должно быть объединено безопасно, предсказуемо и управляемо. Azure VPN Gateway решает ключевую задачу соединения локальной инфраструктуры и Azure, а также обеспечивает безопасный удаленный доступ. Для российских компаний эта тема приобретает дополнительную сложность: санкционные ограничения, разнообразие устройств у пользователей, регуляторные требования и ограниченные платежные инструменты диктуют особый, прагматичный подход.

В этом руководстве мы разберем Azure VPN Gateway для сценариев Site-to-Site и Point-to-Site от А до Я: фундаментальные концепции, продвинутые архитектуры, пошаговая настройка, BGP, NAT, масштабирование, эксплуатация, безопасность и автоматизация. Мы рассмотрим детальные чек-листы для подготовки, конфигурации и запуска, реальные кейсы и типичные ошибки. Наша цель — чтобы вы не просто прочитали, а использовали этот материал как рабочую карту и опору для принятия решений.

Основы: фундаментальные концепции и термины

Что такое Azure VPN Gateway. Это управляемый сервис Azure для построения зашифрованных туннелей между вашим виртуальным сетевым окружением в Azure и внешними сетями. Он поддерживает два основных сценария: Site-to-Site (S2S) для соединения VNet с площадками и другими облаками, и Point-to-Site (P2S) для безопасного доступа конечных устройств. Azure VPN Gateway работает поверх IPsec/IKE для S2S и поддерживает IKEv2, OpenVPN и SSTP для P2S.

Ключевые сущности:

• Virtual Network (VNet) — виртуальная сеть Azure, в которой размещаются ресурсы. В ней обязательно создается специальная подсеть GatewaySubnet для VPN-шлюза.
• VPN Gateway — сам шлюз, разворачиваемый в GatewaySubnet. Доступны разные SKU по производительности и функциям, включая зонированные для высокой доступности.
• Local Network Gateway (LNG) — объект-описание вашей локальной сети и, при необходимости, параметров BGP для S2S.
• Connection — ресурс, описывающий связку VPN Gateway и LNG (или P2S), включая тип шифрования, ключ и настройки BGP/NAT.

Типы топологий:

• Hub-and-Spoke — один или несколько хаб-ВНет с VPN Gateway, Firewall и общими сервисами, к которым подключаются Spoke-сети приложений. Это базовая корпоративная модель.
• Virtual WAN — управляемая облачная fabric-топология для масштабных сетей с десятками и сотнями площадок. Упрощает массовое управление, имеет собственный Secure Virtual Hub.
• VNet-to-VNet — прямые туннели между VNet, если нет центрального хаба.

Аутентификация и шифрование:

• Site-to-Site: IKEv2 с PSK или сертификатами, IPsec ESP с рекомендуемыми наборами шифров AES-GCM и PFS. BGP для динамической маршрутизации.
• Point-to-Site: OpenVPN для кроссплатформенности, IKEv2 для производительности и нативной поддержки в ОС, SSTP как опция совместимости. Аутентификация: сертификаты, Azure AD, RADIUS (включая MFA).

Когда выбирать ExpressRoute. Если требуются гарантированные SLA по производительности и задержкам, доступ к приватным ресурсам Microsoft, или строгие требования к каналам связи. Во многих случаях S2S IPsec дает достаточно пропускной способности, особенно при грамотной сегментации трафика.

Глубокое погружение: архитектура, BGP, NAT, производительность и устойчивость

Маршрутизация с BGP. Протокол BGP делает гибридную сеть самонастраиваемой и отказоустойчивой. Azure VPN Gateway поддерживает динамический обмен маршрутами. Azure использует собственный ASN по умолчанию (например, 65515) и APIPA-адреса для пиров BGP 169.254.x.x/30. С BGP вы получаете: автоматическое объявление VNet-префиксов на площадки, быстрое восстановление при отказах, возможность анонса агрегированных префиксов и построение Active-Active схем с несколькими туннелями. Лучшие практики: не объявляйте избыточно детальные префиксы, используйте агрегирование; для управления трафиком применяйте MED/AS Path/Local Pref (там, где поддерживается на пограничном оборудовании); избегайте транзитных маршрутов через Azure, если это не запланировано явно политикой.

Azure VPN NAT. Важнейшая функция для работы с пересекающимися адресными планами или интеграции наследованных сетей. NAT-правила на Azure VPN Gateway позволяют трансформировать исходящие и входящие префиксы для конкретных соединений. Это спасение в проектах с M&A или при подключении партнеров. Планируйте NAT на стадии дизайна: фиксируйте соответствия в архитектурной документации, избегайте каскадных NAT без крайней необходимости, тестируйте симметрию и корректность возвратного трафика.

Производительность. На практике пропускная способность зависит от SKU шлюза, набора шифров, MTU, маршрутизации, удаленной стороны и профиля трафика. Для IKEv2/IPsec с AES-GCM реальные значения на средних SKU обычно измеряются сотнями Мбит/с, на старших — ближе к гигабиту и выше при параллельных потоках. Планируйте с запасом: распределяйте трафик между несколькими туннелями или хабами, используйте сплит-трафик, уменьшайте chatter протоколов в туннеле, включайте аппаратное ускорение шифрования на стороне CPE. Тестируйте iperf3 в UDP и TCP режимах, измеряйте Goodput, а не только Throughput.

Устойчивость. Выбирайте зонированные SKU (AZ) для повышенной доступности; включайте режим Active-Active в шлюзе и стройте зеркальные туннели на площадке с ECMP или приоритезацией. Используйте BGP для быстрого сходимости. Храните GatewaySubnet без NSG блокировок, следите за размером GatewaySubnet (не менее /27 для будущего роста). Готовьте план ротации ключей/сертификатов и переезда на новый шлюз без простоя через параллельный запуск и пошаговое переключение.

MTU, фрагментация и TCP MSS. IPsec и OpenVPN добавляют накладные заголовки, что уменьшает эффективный MTU. Практическое правило: для IPsec закладывайте MTU 1400 на интерфейсах с последующим MSS clamping 1350–1360 для TCP, чтобы минимизировать фрагментацию. Для OpenVPN over UDP тоже целесообразно MSS clamping. Тестируйте PMTUD и контролируйте ICMP-трафик, чтобы не ломать определение пути.

Безопасность. Минимум — IKEv2, AES-GCM-256, SHA2, PFS (DH группа 14 или эллиптические 19/20), отказ от SHA1 и DH2. Переходите на ECDSA-сертификаты, где это возможно. Для P2S — многофакторная аутентификация через Azure AD или RADIUS, условный доступ, posture assessment через MDM. Ограничивайте доступ по сегментам через NSG/Firewall, используйте Private DNS и Private Endpoints. Включайте диагностические логи шлюза в Log Analytics с оповещениями.

Практика 1: Дизайн и выбор топологии для российской компании

Шаг 1. Определите бизнес-требования

• Роли: какие сегменты должны общаться с облаком (SAP, 1С, BI, Dev/Test, SOC, SCADA)
• Трафик: оцените дневные пики, критические окна, нагрузку бэкапов, требуемые задержки
• Доступ: постоянные площадки S2S, удаленный доступ P2S, B2B-партнеры
• Комплаенс: персональные данные, критическая инфраструктура, экспортное шифрование
• Операционная модель: кто управляет политиками, как происходит онбординг новых площадок и пользователей

Шаг 2. Выберите архитектурный паттерн

• Hub-and-Spoke на VPN Gateway — если у вас до 10–30 площадок, требуются предсказуемые политики, высокая степень контроля и интеграция с Azure Firewall/Application Gateway. Преимущество: прозрачность и гибкость.
• Virtual WAN — если площадок 30+ или планируется быстрый рост, нужен унифицированный контроль и автоматизация site-onboarding. Преимущество: упрощенное масштабирование, SD-WAN интеграции, централизованный Secure Hub.
• Комбинированный подход — единичные критичные площадки — в выделенные хабы, массовые — через vWAN.

Шаг 3. Адресный план и BGP

• Распланируйте VNet и Spoke-сети с учетом будущих зон роста
• Заложите уникальные префиксы для каждого филиала; если пересечения неизбежны — планируйте NAT на уровне Azure VPN Gateway
• Определите ASN для площадки; избегайте конфликта с ASN Azure по умолчанию; для крупных компаний имеет смысл использовать частные ASN из диапазона 64512–65534
• Агрегируйте анонсы: например, 10.40.0.0/16 вместо десятков /24

Шаг 4. Устойчивость и производительность

• Выберите зонированные SKU с учетом пиков и роста
• Планируйте Active-Active VPN Gateway
• На площадке — два независимых выхода в интернет с разными провайдерами
• Для P2S — распределение по регионам и резервные профили

Шаг 5. Безопасность по умолчанию

• Исключить устаревшие наборы шифров и протоколы
• Включить журналы диагностики и алерты на падение туннелей
• Развести зоны доверия по NSG и Firewall, запретить east-west трафик между Spoke без явной необходимости
• Формализовать процессы ключевого и сертификатного менеджмента

Практика 2: Пошаговая настройка Site-to-Site IPsec IKEv2 с BGP и NAT

Предварительные условия

• Azure подписка с разрешением на создание публичных IP
• Спроектированный VNet и подсеть GatewaySubnet (не менее /27)
• Белый статический публичный IP на стороне CPE или виртуального маршрутизатора
• Маршрутизатор или брандмауэр, поддерживающий IKEv2 и BGP: Cisco, Juniper, FortiGate, Check Point, Mikrotik, VyOS/strongSwan

Шаг 1. Создайте VNet и GatewaySubnet

• В Azure Portal или через автоматизацию создайте VNet, к примеру 10.100.0.0/16
• Создайте подсеть GatewaySubnet, например 10.100.255.0/27, без NSG и UDR

Шаг 2. Разверните VPN Gateway

• Создайте Public IP адрес
• Создайте VPN Gateway типа VPN, Route-based, выбранный SKU (например, VpnGw2AZ для среднего профиля)
• Опция Active-Active — включить, если планируете два туннеля на площадке

Шаг 3. Опишите локальную сеть: Local Network Gateway

• Укажите публичный IP вашей площадки
• Укажите адресные префиксы филиала, если используете статическую маршрутизацию
• Для BGP включите BGP, задайте ASN площадки и BGP-peer адрес (APIPA, например 169.254.21.2)

Шаг 4. Создайте подключение S2S

• Соедините ваш VPN Gateway и Local Network Gateway ресурсом Connection
• Тип IKE: IKEv2, шифры AES256-GCM, SHA2-256, PFS, DH15/19
• Задайте общий ключ (PSK) или сертификаты
• Для BGP — включите Enable BGP
• При необходимости создайте NAT-правила: Ingress и Egress, сопоставив префиксы

Шаг 5. Настройте CPE

Общие рекомендации: используйте те же шифры и таймеры, активируйте DPD, установите MTU 1400 и MSS clamp 1350, создайте loopback для BGP peer, анонсируйте агрегированные маршруты.

Пример базовых параметров IKE/IPsec

• IKE SA: AES256, SHA256, DH Group 14/19, lifetime 28800
• IPsec SA: AES256-GCM, PFS Group 14/19, lifetime 3600
• DPD: 10s, 3 retries

Пример для strongSwan/VyOS (концептуально)

• Создайте peer с адресом Azure Public IP, IKEv2 only
• Настройте идентификаторы по IP, примените PSK
• Опишите трафик-селекторы 0.0.0.0/0 если BGP, либо конкретные сети при статике
• Запустите BGP с ASN площадки, соседом — Azure APIPA 169.254.x.x, source — loopback, aнонсируйте нужные префиксы

Пример для FortiGate (концептуально)

• Phase1: IKEv2, aes256, sha256, dh14 или ecp256, DPD on-demand
• Phase2: aes256gcm, pfs group 14/19
• BGP: neighbor 169.254.x.x remote-as 65515, network summary 10.40.0.0/16

Шаг 6. Проверка и диагностика

• Проверьте состояние соединения в Azure Portal
• На CPE убедитесь в установке SA и обмене маршрутами BGP
• Проверьте трассировку из Azure VM в филиал и наоборот
• Мониторьте логи: IKE/IPsec, BGP, события отказов, метрики туннеля

Шаг 7. Политики безопасности и сегментация

• На NSG и Azure Firewall разрешите только необходимые порты и направления
• Для доступа из филиала в Spoke — используйте UDR через Hub Firewall
• Для B2B создавайте отдельные соединения и изолированные NAT-правила

Чек-лист запуска S2S

• Адресный план согласован, пересечений нет или есть оформленные NAT-правила
• SKU и режим Active-Active выбраны под SLA
• Шифрование — только современные наборы, PSK достаточно длинный, ротация запланирована
• MTU/MSS настроены, PMTUD работает
• Логи и алерты подключены в Log Analytics
• Документация по маршрутам и политикам актуальна

Практика 3: Пошаговая настройка Point-to-Site для удаленного доступа

Когда P2S уместен

P2S дополняет S2S, когда есть команды разработчиков, админов, подрядчиков, которым нужен безопасный доступ в ограниченные сегменты, а также при аварийном доступе. В 2026 году правильная P2S-архитектура включает MFA, posture checks, сплит-туннелинг и строгий аудит.

Шаг 1. Подготовьте VPN Gateway для P2S

• Включите P2S в существующем шлюзе или разверните отдельный для разграничения нагрузки
• Задайте пул адресов для клиентов, например 172.16.201.0/24
• Выберите протоколы: OpenVPN и IKEv2; SSTP используйте только для совместимости

Шаг 2. Аутентификация

• Azure AD: бесшовная интеграция с Conditional Access и MFA. Удобно для Windows/macOS/iOS/Android через OpenVPN-клиент
• RADIUS: для интеграции с существующим IAM, в том числе с OTP/MFA
• Сертификаты: быстрый старт и офлайн сценарии, но требуют дисциплины PKI

Шаг 3. Клиентские профили

• Сгенерируйте профиль P2S на шлюзе
• Разверните через MDM/Intune, JAMF, GPO или вручную
• Настройте сплит-туннелинг: маршрутите только нужные префиксы в туннель

Шаг 4. DNS и доступ к ресурсам

• Укажите DNS-серверы Azure Private DNS или гибридный резолвер
• Настройте записи в Private DNS Zones, чтобы имена внутренних сервисов резолвились одинаково для S2S и P2S

Шаг 5. Безопасность

• Обязательно MFA и условный доступ: запрет небезопасных устройств, контроль географии
• Для администраторов — Just Enough Access, отдельные профили
• Логи подключений в SIEM, ограничение времени сессий

Шаг 6. UX и поддержка

• Единая инструкция для пользователей с скриншотами
• Тест на всех целевых ОС
• Мониторинг подключений, автоматическое обновление профилей

Чек-лист запуска P2S

• Выбран протокол OpenVPN и/или IKEv2, протестирована производительность
• МFA и условный доступ настроены
• Пул адресов не конфликтует со S2S и Azure VNet
• Сплит-туннелинг и маршруты определены
• DNS резолвинг консистентен
• Оповещения и аудит включены

Практика 4: Эксплуатация, безопасность и автоматизация в продакшне

Эксплуатация и SRE-подход

• Определите SLO: доступность шлюза, время восстановления туннеля, целевой Throughput
• Постройте метрики: количество активных туннелей, BGP-соседства, неуспешные аутентификации P2S
• Внедрите алертинг: падение туннеля, деградация пропускной способности, всплески RTT

Безопасность на практике

• Регулярная ротация PSK и сертификатов
• Своевременные обновления CPE и клиентов
• Разделение админских ролей, Just-in-Time доступ
• Сегментация трафика, принцип наименьших привилегий

Логирование и наблюдаемость

• Включите Diagnostic Settings шлюза в Log Analytics
• Собирайте события IKE/IPsec, P2S ConnEstablished/ConnFailed, BGP Events
• Делайте корреляцию с Firewall и NSG Flow Logs

Автоматизация: IaC и скрипты

• Terraform: описывайте VNet, GatewaySubnet, VPN Gateway, Local Network Gateway, Connection, NAT-правила, Diagnostic Settings
• Bicep/ARM: нативные шаблоны для Azure-платформы
• Azure CLI/PowerShell: скрипты для ротации ключей, изменения MTU/MSS на VM Scale Sets, массового онбординга

Непрерывное тестирование

• Синтетические проверки туннелей по расписанию
• iperf3 прогоны в непиковые окна
• Проверка соответствия наборам шифров политике безопасности

Практика 5: Многохабовая архитектура, Virtual WAN и B2B сегментация

Два и более хабов

Региональная многозонная устойчивость достигается развертыванием хабов в разных регионах Azure с симметричными политиками. Azure Firewall Premium и инспекция TLS на границе в каждом хабе; маршрутизация через UDR и BGP-приоритеты для гео-аффинности пользователей и сервисов.

Virtual WAN

• Подходит для десятков и сотен сайтов
• Автоматическое масштабирование, упрощенный онбординг через партнеров SD-WAN
• Secure Virtual Hub и централизованные политики

B2B

• Выделенные подключения для каждого партнера
• NAT для устранения конфликтов адресов
• Договорной набор шифров и SLA на туннель

Дорожная карта миграции

• Старт с одного хаба, расширение до двух регионов
• Перенос части площадок в vWAN при росте
• Унификация политик и автоматизация через IaC

Практика 6: Производительность и тонкая настройка — от MTU до шифров

MTU/MSS и фрагментация

• MTU 1400, MSS clamp 1350–1360 для TCP
• Контроль ICMP Fragmentation Needed
• Тесты tracepath, ping с флагом DF и увеличением размера

Наборы шифров и CPU

• AES-GCM быстрее, чем AES-CBC с HMAC
• ECDH 19/20 обычно быстрее классических DH
• Аппаратное ускорение на CPE уменьшает нагрузку при пике

Параллелизм

• Несколько туннелей под разные префиксы или как ECMP
• Разделение потоков данных и бэкапов
• Tuning окон TCP на серверах бэкапа/репликации

Контроль маршрутов

• Фильтрация лишних анонсов
• MED/LocalPref для выбора основного пути
• Stop propagation в критичных сегментах

Практика 7: Миграции, апгрейды и непрерывность

Миграция с Policy-based к Route-based

• Поднимите параллельный Route-based туннель
• Перенесите трафик по сегментам
• Выведите legacy из эксплуатации

Апгрейд SKU и замена шлюза

• Создайте новый шлюз рядом
• Переключайте соединения по одному
• Удалите старый после стабилизации

Обновление ключей и сертификатов

• Ротация PSK по графику, минимум раз в 90–180 дней
• Короткоживущие сертификаты и автоматизация выпуска
• План обратного отката

Учебные тревоги и DR-проверки

• Имитируйте падение одного из туннелей
• Оцените сходимость BGP и деградацию SLA
• Актуализируйте план действий

Типичные ошибки: что не делать и почему

• Игнорирование BGP и попытка держать сеть на статике: рост сложности и уязвимость при авариях
• Слишком узкие GatewaySubnet или NSG на GatewaySubnet: неожиданные отказы
• Старые шифры и протоколы: риск компрометации и несовместимость
• Отсутствие MTU/MSS настройки: скрытая деградация TCP
• Совмещение P2S и критичных S2S на одном шлюзе без учета пиков: взаимное влияние
• Отсутствие журналов и алертов: долгие простои, сложная диагностика
• Непродуманный NAT и каскады трансляций: асимметрия и труднорешаемые баги
• Хаотичная адресация и отсутствие агрегирования: взрыв маршрутов

Инструменты и ресурсы: что использовать ежедневно

Проектирование и IaC

• Terraform для декларативной конфигурации шлюзов, подключений, NAT, диагностик
• Bicep для нативных шаблонов Azure
• Azure CLI и PowerShell для скриптов управления

Наблюдаемость и тестирование

• Log Analytics и оповещения
• Network Watcher для диагностики маршрутов и подключений
• iperf3 для пропускной способности
• Wireshark/tcpdump для анализа MTU и MSS

Идентичности и безопасность

• Azure AD/Entra для P2S и условного доступа
• RADIUS с MFA
• PKI: выпуск и ротация сертификатов

POC и пилоты без бюрократии

Для быстрых пилотов и POC, когда нужно проверить гипотезы по доступу в Azure из распределенной среды, практичным вариантом может быть персональный VPN-сервер, развернутый на внешней площадке. Здесь уместна рекомендация рассмотреть сервис vpn.how как вариант быстрого старта: вы получаете персональный, не shared VPN-сервер с выделенным IP, поддержкой WireGuard, OpenVPN, IKEv2, L2TP, SSTP — выбираете протокол под задачу. Доступны площадки в Москве, Санкт-Петербурге, Амстердаме, Франкфурте, Лондоне, Нью-Йорке, Сан-Хосе, Чикаго, Сингапуре, Сиднее, Мадриде, Хельсинки, Стокгольме, Варшаве, Копенгагене, Ставангере. Принимаются карты РФ, включая удобные варианты типа Tinkoff и Ozon, а также СБП и криптовалюты USDT/BTC. Тарифы стартуют от 490 рублей за день и от 2490 рублей в месяц с скидками на длительные периоды, сервер автозапускается за 5 минут после оплаты, без логов. В корпоративном контексте это удобно для оперативного стенда и безопасного доступа подрядчиков во время коротких спринтов; а для продакшн-окружений и регуляторных требований лучше рассматривать полноценную корпоративную реализацию на собственной инфраструктуре или сертифицированный ГОСТ-VPN.

Кейсы и результаты: что работает на практике

Кейс 1. Производственная компания, 12 филиалов

Исходные данные: пересекающиеся адресные планы в трех приобретенных филиалах, смешанный парк CPE, жесткий дедлайн по консолидации в 3 месяца. Решение: Hub-and-Spoke в регионе Западной Европы, зонированный VpnGw3AZ, BGP, NAT на Azure VPN Gateway для устранения конфликтов, единый Azure Firewall. Результаты: консолидация завершена за 9 недель; 100 процентов площадок в BGP; средняя задержка до ключевых сервисов 35–55 мс; снижение инцидентов L3/L4 на 60 процентов; время восстановления туннеля при плановых работах — до 20–30 секунд.

Кейс 2. Розничная сеть и удаленные кассы

Исходные данные: сотни малых точек, нестабильный интернет, дешевые роутеры. Решение: Virtual WAN с автоматизированным онбордингом, P2S для выездных IT-команд, OpenVPN в качестве fallback, жесткий сплит-туннелинг, централизованный мониторинг. Результаты: снижение времени ввода новой точки до 2 часов; устойчивость к падениям провайдера благодаря двойным туннелям; экономия 18 процентов расходов за счет отказа от дорогих выделенных каналов.

Кейс 3. Разработка и DevSecOps

Исходные данные: 300 разработчиков, необходимость доступа к приватным репозиториям и CI/CD, требования к MFA и device compliance. Решение: отдельный P2S-шлюз с Azure AD аутентификацией и Conditional Access, профили через Intune, сегментация по группам, аудит в SIEM. Результаты: нулевой доверенный периметр в действии; сокращение инцидентов доступа на 40 процентов; улучшение времени онбординга новых сотрудников с 2 дней до 4 часов.

FAQ: сложные вопросы и четкие ответы

Можно ли совместить один шлюз для S2S и P2S

Да, но учитывайте влияние пиковой P2S-нагрузки на общий пул ресурсов. Для крупных организаций чаще всего целесообразны отдельные шлюзы или как минимум отдельные политики QoS и мониторинг.

Нужен ли BGP при двух туннелях на площадку

Рекомендуется. Без BGP вы получите сложную статическую схему с худшим временем восстановления и повышенным риском асимметрии маршрутов.

Как поступать с пересечением адресных пространств

Используйте NAT на Azure VPN Gateway или переадресацию филиалов по плану миграции. Предпочтительнее агрегировать и стандартизировать, NAT — как инструмент совместимости и мягкой миграции.

Как выбрать протокол для P2S

OpenVPN — универсальность и кроссплатформенность; IKEv2 — производительность и нативность в большинстве ОС; SSTP — как fallback. Во всех случаях добавляйте MFA и условный доступ.

Как обеспечить высокую доступность

Зонированные SKU, Active-Active шлюз, два провайдера на площадке, BGP, параллельные туннели, мониторинг и автоматическое оповещение.

Как измерять производительность правильно

Параллельные iperf3 потоки, учет MTU/MSS, тесты в разное время суток, анализ Goodput и задержек по p95/p99, журналирование событий деградации.

Безопасно ли использовать PSK

Да при достаточной длине и регулярной ротации. Однако для крупного периметра предпочтительнее сертификаты с автоматизацией и коротким сроком жизни.

Что с IPv6

Планируйте dual-stack там, где это оправдано бизнесом и поддерживается оборудованием и политиками. Начинайте с инвентаризации и PoC, избегайте частичного внедрения без четкого дизайна DNS и безопасности.

Когда стоит рассмотреть ExpressRoute

Требования к предсказуемой задержке и гарантированной полосе, интеграция с приватными сервисами Microsoft, строгое соответствие SLA. В иных случаях IPsec часто выигрывает простотой, гибкостью и стоимостью.

Можно ли динамически менять политику маршрутизации

Да, через BGP-параметры на CPE, фильтрацию анонсов и приоритезацию. Желательно — под контролем IaC и с тестами в стенде.

Инструменты и ресурсы: короткие шаблоны и подсказки

Шаблон проектирования адресного плана

• VNet Hub: 10.100.0.0/16
• Spoke App1: 10.101.0.0/20; App2: 10.102.0.0/20
• GatewaySubnet: 10.100.255.0/27
• P2S Pool: 172.16.201.0/24
• Резерв под NAT: 100.64.0.0/16

Чек-лист безопасности шифров

• IKEv2: AES256, SHA256, DH 14/19
• IPsec: AES256-GCM, PFS 14/19
• Сертификаты: ECDSA p256/p384
• Исключить: SHA1, DH2

Минимальный план мониторинга

• Алерт на падение туннеля
• Алерт на рост RTT выше порога
• Алерт на всплески отказов аутентификации P2S
• Дашборд по активным туннелям, BGP соседствам

Заключение: что делать дальше

Azure VPN Gateway в 2026 — зрелый и предсказуемый инструмент корпоративной сетевой фабрики. Он позволяет строить масштабируемую и защищенную гибридную сеть как для филиалов, так и для удаленных пользователей. Ключ к успеху — дисциплина архитектуры и эксплуатации: BGP для гибкости, NAT как инструмент совместимости, строгая безопасность по умолчанию, автоматизация через IaC и наблюдаемость. Начните с четкого дизайна Hub-and-Spoke или Virtual WAN, соберите PoC, зафиксируйте SLO, разверните логи и алерты, затем переходите к поэтапной миграции площадок. Не забывайте о UX удаленных пользователей, MFA, posture и сегментации доступа. И главное — оформляйте решения в документации, автоматизируйте рутину и регулярно проводите учения по отказоустойчивости. Тогда ваша сеть станет надежной платформой для бизнеса, а не источником сюрпризов.