<!-- AI_TASK_START: AI标题翻译 -->
[解决方案] Azure VPN 网关上基本 SKU 公共 IP 地址的迁移到标准 SKU
<!-- AI_TASK_END: AI标题翻译 -->
<!-- AI_TASK_START: AI竞争分析 -->
# Azure VPN Gateway SKU 迁移方案分析
## 解决方案概述
Azure VPN Gateway 的 Basic SKU 公共 IP 地址将于 2025 年 9 月退休，为确保无缝连接并最小化服务中断，必须迁移至 Standard SKU。该方案针对 IT 专业人士，提供三种迁移策略的比较分析，核心目标是处理 IP 地址迁移的复杂性。**关键术语**：Basic SKU（即将退休）、Standard SKU（新标准）、VPN Gateway。
适用于场景包括现有 Azure 环境中的 VPN 配置升级，针对企业网络连接需求。该方案基于 Azure 的网络服务原理，利用虚拟网络和公共 IP 管理，避免连接中断。
## 实施步骤
以下按原文所述的三种迁移方法分步说明，每步包括技术细节和逻辑衔接。
1. **使用 Microsoft 的迁移工具（推荐方法）**
1. **检查工具可用性**：通过 Azure 服务公告或 VPN Gateway 文档确认工具发布日期，确保兼容性（针对 Active-Passive 网关的 VpnGw1-5 SKU）。逻辑：先验证以避免失败。
2. **迁移准备**：
- 验证网关子网：确保为 /27 或更大；否则工具将失败。
- 测试：在非生产环境中评估工具。
- 规划：安排维护窗口并通知相关方。
3. **启动迁移**：使用 Azure 门户执行 Microsoft 提供的工具。逻辑：直接操作以保持 IP 地址不变。
4. **监控迁移**：通过 Azure 门户监控网关状态。
5. **迁移后验证**：确认 VPN 连接正常。
2. **在现有虚拟网络中删除并重新创建 VPN Gateway**
1. **收集当前配置信息**：使用 Azure CLI 命令（如 `az network vnet-gateway show`）获取连接类型、IPsec/IKE 策略、BGP 配置等。逻辑：备份以便后续重建。
2. **删除现有 VPN Gateway**：通过 Azure 门户、CLI 或 PowerShell 删除。
3. **升级公共 IP 地址**：将分离的公共 IP 升级至 Standard SKU，参考 Microsoft Learn 文档。注意：IP 地址可能变化。
4. **创建新 VPN Gateway**：选择现有虚拟网络、网关子网（建议扩展至 /27），并配置 Standard SKU。逻辑：重建以匹配原配置。
5. **重新配置连接**：基于收集的信息重建 VPN 连接、路由等。
6. **测试验证**：确认流量正常。
3. **在新虚拟网络中逐步设置 Standard SKU VPN Gateway**
1. **创建新虚拟网络和 VPN Gateway**：部署新网关，分配 Standard SKU 公共 IP，并确保网关子网为 /27 或更大。逻辑：隔离新环境以最小化风险。
2. **配置新连接**：基于新网关的公共 IP 配置 IPsec/IKE 和 BGP。
3. **调整路由**：修改本地 VPN 设备和 Azure 路由（如 UDR），逐步切换流量。在 hub-and-spoke 架构中，建立对等连接。
4. **切换并监控流量**：逐步转移流量，监控连接稳定性。
5. **停止并删除旧网关**：确认新网关稳定后删除旧资源。
## 方案客户价值
- **最小化停机时间**：使用迁移工具可将停机限制在 10 分钟内，实现机制是通过自动化工具保持 IP 地址不变，与传统手动迁移相比显著减少中断。
- **简化配置**：第一方法无需更新本地配置，相比手动重建减少错误风险，与竞品（如其他云提供商的迁移工具）差异在于 Azure 的工具更直观。
- **灵活性和可回滚**：第三方法允许逐步迁移，便于回滚，业务价值在于降低风险，但需权衡额外成本。
## 涉及的相关产品
- **Azure VPN Gateway**：核心产品，用于管理 VPN 连接，在方案中处理 Basic 到 Standard SKU 的迁移。
- **Standard SKU 公共 IP 地址**：提供更稳定的 IP 资源，支持区域冗余，在迁移中作为新配置基础。
- **Azure 虚拟网络**：承载网关子网，确保网络拓扑兼容性。
## 技术评估
- **先进性**：方案利用 Azure 的自动化工具和 SDK 提升迁移效率，领先于传统手动方法，但依赖工具发布时间（Active-Passive：2025 年 4-5 月）。
- **可行性**：第一方法适用性高（网关子网 /27 或更大），第二方法灵活但需接受停机，第三方法复杂但适合高可用场景。限制包括：工具未发布时的依赖性、IP 地址可能变化导致的配置调整。
- **优势**：减少服务中断，提升网络可靠性；适用于各种规模的企业。
- **可能限制**：网关子网大小限制、额外成本（如第三方法），以及迁移工具的预览状态可能影响大规模部署。
## 其他信息
### 迁移方法比较表
| **迁移方法** | **停机时间** | **IP 地址变化** | **可回滚** | **配置复杂度** |
|-------------------------------|-------------------|-----------------|------------|---------------|
| **使用 Microsoft 迁移工具** | 短（最多 10 分钟）| 无 | 可能 | 低 |
| **在现有虚拟网络删除并重建** | 长 | 条件 | 不可能 | 中 |
| **逐步迁移到新虚拟网络** | 极短 | 是（新地址） | 可能 | 高 |
### 结论
选择方法应基于停机容忍度、网络复杂性和资源可用性。所有方法需在 2025 年 9 月前完成迁移，注意网关 SKU 可能自动更新为区域冗余类型。
<!-- AI_TASK_END: AI竞争分析 -->
<!-- AI_TASK_START: AI全文翻译 -->
# 将 Azure VPN Gateway 上的 Basic SKU 公共 IP 迁移到 Standard SKU
**原始链接:** [https://techcommunity.microsoft.com/blog/azurenetworkingblog/migrating-basic-sku-public-ips-on-azure-vpn-gateway-to-standard-sku/4423107](https://techcommunity.microsoft.com/blog/azurenetworkingblog/migrating-basic-sku-public-ips-on-azure-vpn-gateway-to-standard-sku/4423107)
**发布时间:** 2025-06-13
**厂商:** AZURE
**类型:** TECH-BLOG
---
Azure Networking Blog
# 将 Azure VPN Gateway 上的 Basic SKU 公共 IP 迁移到 Standard SKU
2025 年 6 月 16 日
## 高效迁移 Basic SKU (Basic SKU) 公共 IP 地址至关重要，可确保无缝连接并最小化服务中断。本文博客提供可用迁移策略的比较分析，为 IT 专业人员提供可操作指导，帮助他们自信且精确地处理 IP 地址迁移的复杂性。
## 背景
与 Azure VPN Gateway (Azure VPN Gateway) 关联的 Basic SKU 公共 IP 地址计划于 2025 年 9 月停用。因此，迁移到 Standard SKU (Standard SKU) 是必需的。本文比较三种潜在迁移方法，提供详细步骤、优势、缺点和注意事项。
## 1\. 使用 Microsoft 的迁移工具（推荐）
使用 Microsoft 的迁移工具时，网关的 IP 地址不会改变。不需要更新本地侧的配置信息，可继续使用当前配置。
迁移工具目前在预览阶段，仅适用于主动-被动 (Active-Passive) VPN 网关的 VpnGw1-5 SKU。更详细的信息，请参考 Microsoft Learn 文档：[关于将 Basic SKU 公共 IP 地址迁移到 Standard SKU](<https://learn.microsoft.com/azure/vpn-gateway/basic-public-ip-migrate-about>)
步骤：
1. **检查迁移工具的可用性：** 通过 Azure 服务公告或 VPN Gateway 文档确认与您的 VPN 网关配置兼容的迁移工具发布日期。
* [Azure VPN Gateway 的最新动态](<https://learn.microsoft.com/azure/vpn-gateway/whats-new>)
* [将 Basic SKU 公共 IP 地址迁移到 Standard SKU | VPN Gateway FAQ](<https://learn.microsoft.com/azure/vpn-gateway/vpn-gateway-vpn-faq#migrating-a-basic-sku-public-ip-address-to-standard-sku>)
2. **迁移准备：**
* **验证网关子网：** 确保网关子网为 /27 或更大。如果为 /28 或更小，迁移工具将失败。
* **测试：** 建议先在非生产环境中评估迁移工具。
* **迁移规划：** 安排维护窗口并通知利益相关者。
3. **启动迁移：** 使用 Azure 门户执行 Microsoft 提供的迁移工具。
4. **监控迁移：** 在迁移过程中，通过 Azure 门户监控网关状态。
5. **迁移后验证：** 确认迁移完成后 VPN 连接正常工作。
### 优势：
* 中断时间估计不超过 10 分钟。
* 迁移步骤简单明了。
### 注意事项：
* 工具的发布日期因配置而异（主动-被动：2025 年 4-5 月，主动-主动：2025 年 7-8 月）。
* 网关子网大小限制（需 /27 或更大）。
### 注意事项：
* 定期检查工具的发布日期。
* 如果必要，在迁移前验证并调整网关子网大小。
## 2\. 在现有虚拟网络中删除并重新创建 VPN Gateway
不使用 Microsoft 工具的手动迁移是另一种选项，但会造成中断并可能更改网关的 IP 地址。此选项适用于网关子网小于 /27 或迁移工具不可用时。
### 步骤：
1. **收集当前 VPN Gateway 配置信息：**
* 连接类型（如站点到站点、VNet 到 VNet 等）。
* 连接细节（如本地 VPN 设备的 IP 地址、共享密钥、Azure VNet 的网关 IP 地址等）。
* IPsec/IKE 策略（如提议、哈希算法、SA 生存期等）。
* BGP 配置（如 ASN、对等 IP 地址，如果使用）。
* 路由配置（如自定义路由、路由表等）。
* VPN Gateway SKU（记录以供参考）。
* 公共 IP 地址的资源 ID（在删除时确认）。
使用以下 Azure CLI 命令获取 VPN Gateway 配置。
* `az network vnet-gateway show --resource-group <your-resource-group-name> --name <your-vpn-gateway-name>`
2. **删除现有 VPN Gateway：** 使用 Azure 门户、Azure CLI 或 PowerShell 删除现有 VPN Gateway。
3. **将公共 IP 地址升级到 Standard SKU：** 使用 Azure 门户、Azure CLI 或 PowerShell 升级未关联的公共 IP。请参考 Microsoft Learn 文档：[在 Azure 中将 Basic 公共 IP 地址升级到 Standard SKU](<https://learn.microsoft.com/azure/virtual-network/ip-services/public-ip-basic-upgrade-guidance#upgrade-disassociated-public-ips-using-portal-powershell-or-azure-cli>)
* 请注意，如果原始公共 IP 为动态或创建新公共 IP，IP 地址可能发生变化。
* 另参考 [Azure 公共 IP 现在默认支持可用区冗余](<https://azure.microsoft.com/en-us/blog/azure-public-ips-are-now-zone-redundant-by-default/>)
4. **创建新的 VPN Gateway (Standard SKU)：** 使用 Azure 门户、Azure CLI 或 PowerShell 创建新的 VPN Gateway，确保：
* 虚拟网络：选择现有虚拟网络。
* 网关子网：选择现有网关子网。如果网关子网小于 /27，建议扩展以避免未来限制。
* 公共 IP 地址：选择在步骤 3 中升级或创建的 Standard SKU 公共 IP 地址。
* VPN 类型：根据现有配置选择基于策略或基于路由的类型。
* SKU：选择 Standard SKU（如 VpnGw1、VpnGw2）。如果需要可用区冗余，选择相应 SKU（如 VpnGw1AZ、VpnGw2AZ）。
* 其他设置（如路由选项、主动/主动配置等）应符合现有配置。
5. **重新配置连接：** 根据收集的配置信息，为新的 VPN Gateway 重新建立 VPN 连接（如站点到站点、VNet 到 VNet 等）。重置 IPsec/IKE 策略、共享密钥、BGP 对等等。
6. **重新配置路由：** 如必要，调整自定义路由和路由表以指向新的 VPN Gateway。
7. **测试并验证连接：** 确认所有连接正确建立且流量正常流动。
### 优势：
* 可以立即开始迁移：无需等待迁移工具。
* 在现有虚拟网络中完成：无需创建新虚拟网络。
### 注意事项：
* 会发生中断：VPN Gateway 删除和重新创建期间，所有 VPN 连接都会中断。中断时长取决于 VPN Gateway 的创建时间和连接重新配置时间。
* 需要手动输入配置信息：必须手动收集现有 VPN Gateway 配置并输入到新网关，可能导致输入错误。
### 注意事项：
* 如果中断是可以接受的，请考虑此方法。
* 删除前记录当前配置细节。
* IP 地址可能根据情况发生变化。
* 所有 VPN 隧道需要重新建立。
* 如果有防火墙，必须将新公共 IP 添加到白名单。
## 3\. 在新虚拟网络中设置 Standard SKU VPN Gateway 并逐步迁移
一种方法是在单独的虚拟网络中设置 Standard SKU VPN Gateway，并逐步过渡到它。这样可以在保持当前 VPN Gateway 运行的同时建立新环境，从而最小化中断。详细规划和测试是防止路由切换错误和连接配置问题的关键。
### 步骤：
1. **创建新虚拟网络和 VPN Gateway：**
* 创建新虚拟网络以部署带有 Standard SKU 公共 IP 地址的新的 VPN Gateway。
* 在新虚拟网络中创建网关子网（推荐 /27 或更大）。
* 分配 Standard SKU 公共 IP 地址并创建新的 VPN Gateway (Standard SKU)。选择必要 SKU（如 VPNGW1-5），并如果需要可用区冗余（如 VPNGW1AZ-5）。
2. **配置新 VPN Gateway 与本地 VPN 设备的连接：**
* 根据新 VPN Gateway 的公共 IP 地址和本地 VPN 设备信息配置 IPsec/IKE 连接（如站点到站点 VPN）。如果必要，配置 BGP。
3. **调整路由：**
* 调整路由，使本地网络到 Azure 的流量通过新的 VPN Gateway。这涉及更改本地 VPN 设备设置并更新网络设备的路由策略。
* 如果必要，调整 Azure 侧路由（如用户定义路由：UDR 等）。在中心辐射 (hub-and-spoke) 架构中，建立辐条虚拟网络与新虚拟网络之间的对等互连。此外，确保“启用 'Spoke-xxx’ 使用 'Hub-yyy' 的远程网关或路由服务器”选项配置正确。
4. **切换并监控流量：**
* 逐步将流量切换到新的 VPN Gateway。
* 在切换期间监控 VPN 连接的稳定性和性能。
5. **停止并删除旧 VPN Gateway：**
* 一旦确认所有流量通过新的 VPN Gateway，停止并删除与 Basic SKU 公共 IP 地址关联的旧 VPN Gateway。
* 删除与旧 VPN Gateway 关联的 Basic SKU 公共 IP 地址。
### 优势：
* 最小化中断：保持现有 VPN 连接运行的同时构建新环境，大大减少服务中断时间。
* 易于回滚：如果出现问题，可以轻松返回到旧环境。
* 灵活配置：在新虚拟网络中考虑更灵活的网络配置。
### 注意事项：
* 额外成本：临时部署新的 VPN Gateway 会产生额外费用。
* 配置复杂性：管理多个 VPN Gateway 和连接可能使配置复杂化。
* IP 地址变化：新的 VPN Gateway 将分配新公共 IP 地址，需要更改本地 VPN 设备设置。
### 注意事项：
* 详细迁移规划和测试至关重要。
* 必须为新创建的 Standard SKU 公共 IP 地址建立新的 VPN 隧道。
* 如果有防火墙，必须将新公共 IP 添加到白名单。
* 注意路由切换错误。
### 推荐场景：
* 当优先最小化中断时。
* 当涉及网络配置变化时。
* 当需要准备回滚时。
## 迁移方法比较表
**迁移方法** | **中断时长** | **IP 地址变化** | **回滚** | **配置复杂性**
---|---|---|---|---
**使用 Microsoft 的迁移工具** | 较短（不超过 10 分钟） | 无（保持不变） | 可能（直到最终阶段） | 低
**在现有虚拟网络中删除并重新创建** | 较长 | 视情况而定 | 不可能 | 中等
**逐步迁移到新虚拟网络** | 非常短 | 是（新地址） | 可能 | 高
## 结论
如果需要最小化中断，使用 Microsoft 的迁移工具或逐步迁移到新虚拟网络是选项。在现有虚拟网络中删除并重新创建的方法会涉及中断，应仔细评估。
迁移方法的選擇应基于需求、可接受的中断、网络配置复杂性和可用资源。
## 重要注意事项（适用于所有方法）
* Basic SKU 公共 IP 地址计划于 2025 年 9 月停用。必须在截止日期前完成迁移到 Standard SKU。
* 迁移后，VPN Gateway SKU 可能自动更新为可用区冗余 SKU。请参考网关 SKU 合并和迁移的相关信息。
* 要了解更多关于网关 SKU 合并和迁移的信息，请参阅 [关于 VPN Gateway SKU 合并和迁移](<https://learn.microsoft.com/azure/vpn-gateway/gateway-sku-consolidation>)。
更新于 2025 年 6 月 13 日
版本 1.0
<!-- AI_TASK_END: AI全文翻译 -->