Egyidejű ExpressRoute- és helyek közötti kapcsolatok konfigurálása a PowerShell használatával
Ez a cikk segítséget nyújt az egyidejű ExpressRoute- és helyek közötti VPN-kapcsolatok konfigurálásához. A helyek közötti VPN és az ExpressRoute konfigurálásának lehetősége több előnnyel jár. A helyek közötti VPN-t konfigurálhatja biztonságos feladatátvételi útvonalként az ExpressRoute-hoz, vagy használhat helyek közötti VPN-eket az ExpressRoute-on keresztül nem csatlakoztatott helyekhez való csatlakozáshoz. A cikkben mindkét forgatókönyv lépéseit ismertetjük. Ez a cikk a Resource Manager-alapú üzemi modell vonatkozik.
Az egyidejű helyek közötti VPN- és ExpressRoute-kapcsolatok konfigurálása több előnnyel jár:
- Konfigurálhat helyek közötti VPN-t biztonságos feladatátvételi útvonalként az ExpressRoute számára.
- Azt is megteheti, hogy helyek közötti VPN-t használ olyan helyekhez való csatlakozáshoz, amelyek nem az ExpressRoute-on keresztül kapcsolódnak.
Ebben a cikkben ismertetjük mindkét forgatókönyv konfigurálásának lépéseit. Ez a cikk a Resource Manager-alapú üzemi modellre vonatkozik, és a PowerShellt használja. Ezeket a forgatókönyveket a Azure Portal is konfigurálhatja, bár a dokumentáció még nem érhető el. Először bármelyik átjárót konfigurálhatja. Új átjáró- vagy átjárókapcsolat hozzáadásakor általában nincs állásidő.
Megjegyzés
Ha helyek közötti VPN-t szeretne létrehozni egy ExpressRoute-kapcsolatcsoport között, tekintse meg ezt a cikket.
Korlátok és korlátozások
- Kizárólag az útvonalalapú VPN-átjáró támogatott. Útvonalalapú VPN-átjárót kell használnia. Útvonalalapú VPN-átjárót is használhat olyan VPN-kapcsolattal, amely a szabályzatalapú forgalomválasztókhoz van konfigurálva, a Csatlakozás leírtak szerint több házirendalapú VPN-eszközre.
- Az ExpressRoute-VPN Gateway párhuzamos konfigurációk nem támogatottak az alapszintű termékváltozatban.
- Ha az ExpressRoute és a VPN közötti tranzit útválasztást szeretné használni, az Azure VPN Gateway ASN-jének 65515-ösnek kell lennie. Az Azure VPN Gateway támogatja a BGP útválasztási protokollt. Ahhoz, hogy az ExpressRoute és az Azure VPN működjön együtt, az Azure VPN-átjáró autonóm rendszerszámát az alapértelmezett 65515 értéken kell tartania. Ha korábban a 65515-östől eltérő ASN-t választott, és a beállítást 65515-ösre módosította, a beállítás érvénybe léptetéséhez alaphelyzetbe kell állítania a VPN-átjárót.
- Az átjáróalhálózatnak /27-nek vagy rövidebb előtagnak (például /26, /25) kell lennie, vagy hibaüzenet jelenik meg az ExpressRoute virtuális hálózati átjáró hozzáadásakor.
- A kettős veremű virtuális hálózatokon való egyidejű használat nem támogatott. Ha ExpressRoute IPv6-támogatást és kétvermet tartalmazó ExpressRoute-átjárót használ, az VPN Gateway párhuzamos használata nem lehetséges.
Konfigurációs tervek
Helyek közötti VPN konfigurálása feladatátvételi útvonalként az ExpressRoute számára
Konfigurálhat egy helyek közötti VPN-kapcsolatot tartalékként az ExpressRoute számára. Ez a kapcsolat csak az Azure privát társviszony-létesítési útvonalhoz társított virtuális hálózatokra vonatkozik. Az Azure Microsoft társviszony-létesítésekhez nem létezik VPN-alapú feladatátvételi megoldás. Minden esetben az ExpressRoute-kapcsolatcsoport az elsődleges kapcsolat. Az adatok csak akkor lesznek a helyek közötti VPN-útvonalon továbbítva, ha az ExpressRoute-kapcsolatcsoport meghibásodik. Az aszimmetrikus útválasztás elkerüléséhez a helyi hálózati konfigurációnak szintén az ExpressRoute-kapcsolatcsoportot kell előnyben részesítenie a helyek közötti VPN helyett. Az ExpressRoute elérési útjának előnyben részesítéséhez beállíthat magasabb helyi prioritást az ExpressRoute által fogadott útvonalakhoz.
Megjegyzés
Ha engedélyezve van az ExpressRoute Microsoft társviszony-létesítés, az Azure VPN-átjáró nyilvános IP-címét is megkaphatja az ExpressRoute-kapcsolaton. Ha biztonsági másolatként szeretné beállítani a helyek közötti VPN-kapcsolatot, konfigurálnia kell a helyszíni hálózatot úgy, hogy a VPN-kapcsolat az internetre legyen irányítva.
Megjegyzés
Bár a rendszer az ExpressRoute-kapcsolatcsoportot részesíti előnyben a helyek közötti VPN helyett, ha az útvonalak megegyeznek, az Azure a leghosszabb előtag-megfeleltetéssel választja ki a célcsomag útvonalát.

Helyek közötti VPN konfigurálása az ExpressRoute használatával nem csatlakozó helyekhez
A hálózatát konfigurálhatja úgy is, hogy egyes helyek közvetlenül az Azure-hoz kapcsolódnak helyek közötti VPN-en keresztül, míg más helyek az ExpressRoute használatával kapcsolódnak.

A használni kívánt lépések kiválasztása
Két különböző eljáráscsoport közül választhat. A konfigurálás választott módja attól függ, hogy rendelkezik-e meglévő virtuális hálózattal, amelyhez csatlakozni szeretne, vagy egy új virtuális hálózatot szeretne létrehozni.
Nem rendelkezem VNettel, és létre kell hoznom egyet.
Ha még nem rendelkezik virtuális hálózattal, ez az eljárás lépésről lépésre végigvezeti az új virtuális hálózat létrehozásának folyamatán a Resource Manager-alapú üzemi modellnek megfelelően, valamint az új ExpressRoute- és helyek közötti VPN-kapcsolatok létrehozásának folyamatán. Virtuális hálózat konfigurálásához kövesse az Új virtuális hálózat és egyidejű kapcsolatok létrehozása szakaszban foglalt lépéseket.
Már rendelkezem egy Resource Manager-alapú üzemi modell szerinti VNettel.
Előfordulhat, hogy már rendelkezik üzemelő virtuális hálózattal egy létező helyek közötti VPN- vagy ExpressRoute-kapcsolattal. Ebben az esetben, ha az átjáró alhálózatának előtagja /28 vagy hosszabb (/29, /30 stb.), akkor törölnie kell a meglévő átjárót. Az Egyidejű kapcsolatok konfigurálása meglévő VNet számára szakasz végigvezeti az átjáró törlésének, majd az új ExpressRoute- és helyek között VPN-kapcsolatok létrehozásának folyamatán.
Ha törli és újra létrehozza az átjárót, akkor a létesítmények közötti kapcsolatoknál állásidő fog jelentkezni. Azonban, ha megfelelően vannak konfigurálva, a virtuális gépek és a szolgáltatások továbbra is képesek lesznek kommunikálni a terheléselosztón keresztül az átjáró konfigurálása közben.
Előkészületek
A cikkben szereplő lépések és példák Azure PowerShell Az modulokat használnak. Ha helyileg szeretné telepíteni az Az modulokat a számítógépre, olvassa el az Azure PowerShell telepítése című témakört. Az új Az modulról további információt az Új Azure PowerShell Az modul bemutatása című témakörben talál. A PowerShell-parancsmagok gyakran frissülnek. Ha nem a legújabb verziót futtatja, az utasításokban megadott értékek sikertelenek lehetnek. A PowerShell telepített verzióinak megkereséséhez használja a Get-Module -ListAvailable Az parancsmagot.
Az Azure Cloud Shell használatával a legtöbb PowerShell-parancsmagot és CLI-parancsot futtathatja ahelyett, hogy helyileg telepítené Azure PowerShell vagy cli-t. Az Azure Cloud Shell egy ingyenes interaktív rendszerhéj, amely előre telepített általános Azure-eszközöket tartalmaz, és a fiókjával való használatra van konfigurálva. Ha a cikkben szereplő kódot az Azure Cloud Shell-ban szeretné futtatni, nyisson meg egy Cloud Shell-munkamenetet, másolja a kódot egy kódblokk Másolás gombjára, és illessze be a Cloud Shell-munkamenetbe a Ctrl+Shift+V billentyűkombinációval Windows és Linux rendszeren, illetve a Cmd+Shift+V billentyűkombinációval macOS rendszeren. A beillesztett szöveg nem lesz automatikusan végrehajtva, a kód futtatásához nyomja le az Enter billentyűt .
Néhány módszer a Cloud Shell indításához:
Új virtuális hálózat és egyidejű kapcsolatok létrehozása
Az eljárás a VNetek, valamint az egyidejűleg jelenlévő helyek közötti és ExpressRoute-kapcsolatok létrehozásának módját ismerteti. Az ehhez a konfigurációhoz használt parancsmagok eltérőek lehetnek az Ön által már ismertektől. Ügyeljen arra, hogy az ebben az útmutatóban meghatározott parancsmagokat használja.
Jelentkezzen be, és válassza ki az előfizetését.
Ha az Azure Cloud Shell használja, a Kipróbálás gombra kattintva automatikusan bejelentkezik az Azure-fiókjába. A helyi bejelentkezéshez nyissa meg a PowerShell-konzolt emelt szintű jogosultságokkal, és futtassa a parancsmagot a csatlakozáshoz.
Connect-AzAccountHa több előfizetéssel rendelkezik, kérje le az Azure-előfizetések listáját.
Get-AzSubscriptionVálassza ki a használni kívánt előfizetést.
Select-AzSubscription -SubscriptionName "Name of subscription"Változók beállítása.
$location = "Central US" $resgrp = New-AzResourceGroup -Name "ErVpnCoex" -Location $location $VNetASN = 65515Hozzon létre egy virtuális hálózatot az átjáró-alhálózattal együtt. A virtuális hálózatok létrehozásával kapcsolatos további információkért lásd a virtuális hálózatok létrehozásával foglalkozó témakört. Az alhálózatok létrehozásával kapcsolatos további információkért lásd az alhálózatok létrehozásával foglalkozó témakört.
Fontos
Az átjáró-alhálózat /27 vagy egy rövidebb előtag kell legyen (például /26 vagy /25).
Hozzon létre egy új VNetet.
$vnet = New-AzVirtualNetwork -Name "CoexVnet" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AddressPrefix "10.200.0.0/16"Adjon hozzá alhálózatokat.
Add-AzVirtualNetworkSubnetConfig -Name "App" -VirtualNetwork $vnet -AddressPrefix "10.200.1.0/24" Add-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet -AddressPrefix "10.200.255.0/24"Mentse a VNet konfigurációját.
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnetEzután hozza létre a helyek közötti VPN-átjárót. A VPN-átjáró konfigurálásával kapcsolatos további információkért lásd: VNet létrehozása helyek közötti kapcsolattal. A GatewaySku csak VpnGw1, VpnGw2, VpnGw3, Standard és Nagy teljesítményű VPN-átjárók esetén támogatott. Az alapszintű termékváltozat nem támogatja az ExpressRoute-VPN-átjárók egyszerre konfigurált beállításait. A VpnType paramétert RouteBased értékre kell állítania.
$gwSubnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet $gwIP = New-AzPublicIpAddress -Name "VPNGatewayIP" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AllocationMethod Dynamic $gwConfig = New-AzVirtualNetworkGatewayIpConfig -Name "VPNGatewayIpConfig" -SubnetId $gwSubnet.Id -PublicIpAddressId $gwIP.Id New-AzVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "Vpn" -VpnType "RouteBased" -GatewaySku "VpnGw1"Az Azure-os VPN-átjáró támogatja a BGP útválasztási protokollt. A virtuális hálózat ASN (AS-szám) értékét úgy határozhatja meg, hogy az alábbi parancshoz hozzáadja az -Asn kapcsolót. Ha ezt a paramétert nem határozza meg, az alapértelmezés szerinti AS-szám a 65515 lesz.
$azureVpn = New-AzVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "Vpn" -VpnType "RouteBased" -GatewaySku "VpnGw1" -Asn $VNetASNMegjegyzés
Az egyidejű átjárók esetében az alapértelmezett 65515 ASN-t kell használnia. Tekintse meg a korlátokat és a korlátozásokat.
A következőkben megtalálhatja a BGP-társviszony-létesítés IP-címét és AS-számát, amelyeket az Azure használ a VPN-átjáróhoz: $azureVpn.BgpSettings.BgpPeeringAddress és $azureVpn.BgpSettings.Asn. További információk: A BGP konfigurálása az Azure-alapú VPN-átjáróhoz.
Hozzon létre egy helyi VPN-átjáró entitást. Ez a parancs nem konfigurálja a helyszíni VPN-átjárót. Ehelyett a helyi átjáró beállításai, például a nyilvános IP-cím és a helyszíni címtér megadására szolgál, hogy az Azure VPN-átjáró kapcsolódhasson hozzá.
Ha a helyi VPN-eszköz csak a statikus útválasztást támogatja, a következő módon konfigurálhatja a statikus útvonalakat:
$MyLocalNetworkAddress = @("10.100.0.0/16","10.101.0.0/16","10.102.0.0/16") $localVpn = New-AzLocalNetworkGateway -Name "LocalVPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -GatewayIpAddress *<Public IP>* -AddressPrefix $MyLocalNetworkAddressHa a helyi VPN-eszköz támogatja a BGP-t, és Ön szeretné engedélyezni a dinamikus útválasztást, ismernie kell a helyi VPN-eszköz által használt BGP-társviszony-létesítés IP-címét és AS-számát.
$localVPNPublicIP = "<Public IP>" $localBGPPeeringIP = "<Private IP for the BGP session>" $localBGPASN = "<ASN>" $localAddressPrefix = $localBGPPeeringIP + "/32" $localVpn = New-AzLocalNetworkGateway -Name "LocalVPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -GatewayIpAddress $localVPNPublicIP -AddressPrefix $localAddressPrefix -BgpPeeringAddress $localBGPPeeringIP -Asn $localBGPASNKonfigurálja helyi VPN-eszközét, hogy az új Azure VPN-átjáróhoz csatlakozzon. A VPN-eszköz konfigurálásával kapcsolatos további információkért lásd: VPN-eszköz konfigurálása.
Csatlakoztassa az Azure-on a helyek közötti VPN-átjárót a helyi átjáróhoz.
$azureVpn = Get-AzVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName New-AzVirtualNetworkGatewayConnection -Name "VPNConnection" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -VirtualNetworkGateway1 $azureVpn -LocalNetworkGateway2 $localVpn -ConnectionType IPsec -SharedKey <yourkey>Ha egy meglévő ExpressRoute-kapcsolatcsoporthoz csatlakozik, hagyja ki a 8 & . lépést, és ugorjon a 10. lépésre. ExpressRoute-kapcsolatcsoportok konfigurálása. ExpressRoute-kapcsolatcsoportok konfigurálásával kapcsolatos további információkért lásd: ExpressRoute-kapcsolatcsoport létrehozása.
Azure-beli privát társviszony konfigurálása az ExpressRoute-kapcsolatcsoporton keresztül. Az Azure-beli privát társviszony ExpressRoute-kapcsolatcsoporton keresztüli konfigurálásával kapcsolatos további információkért lásd: társviszony-létesítés konfigurálása
Hozzon létre egy ExpressRoute-átjárót. Az ExpressRoute-átjáró konfigurálásával kapcsolatos további információkért lásd: ExpressRoute-átjáró konfigurálása. A GatewaySKU paraméterben a Standard, HighPerformance vagy UltraPerformance értéket kell megadni.
$gwSubnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet $gwIP = New-AzPublicIpAddress -Name "ERGatewayIP" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AllocationMethod Dynamic $gwConfig = New-AzVirtualNetworkGatewayIpConfig -Name "ERGatewayIpConfig" -SubnetId $gwSubnet.Id -PublicIpAddressId $gwIP.Id $gw = New-AzVirtualNetworkGateway -Name "ERGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "ExpressRoute" -GatewaySku StandardCsatlakoztassa az ExpressRoute-átjárót az ExpressRoute-kapcsolatcsoporthoz. A lépés végrehajtásával létrejön a kapcsolat a helyszíni hálózat és az Azure között az ExpressRoute-on keresztül. A csatolási művelettel kapcsolatos további információkért lásd: VNetek csatolása az ExpressRoute-hoz.
$ckt = Get-AzExpressRouteCircuit -Name "YourCircuit" -ResourceGroupName "YourCircuitResourceGroup" New-AzVirtualNetworkGatewayConnection -Name "ERConnection" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -VirtualNetworkGateway1 $gw -PeerId $ckt.Id -ConnectionType ExpressRoute
Egyidejű kapcsolatok konfigurálása meglévő VNet számára
Ha a virtuális hálózat egyetlen virtuális hálózati átjáróval (például helyek közötti VPN-átjáróval) rendelkezik, és egy másik, eltérő típusú átjárót (például egy ExpressRoute-átjárót) szeretne hozzáadni, ellenőrizze az átjáró-alhálózat méretét. Ha az átjáró-alhálózat /27 vagy nagyobb, kihagyhatja az alábbi lépéseket, és az előző szakaszban ismertetett lépéseket követve hozzáadhat egy helyek közötti VPN-átjárót vagy egy ExpressRoute-átjárót. Ha az átjáró-alhálózat /28 vagy /29, először törölnie kell a virtuális hálózati átjárót, és növelnie kell az átjáró-alhálózat méretét. A jelen szakaszban ismertetett lépések bemutatják, mindez hogyan valósítható meg.
Az ehhez a konfigurációhoz használt parancsmagok eltérőek lehetnek az Ön által már ismertektől. Ügyeljen arra, hogy az ebben az útmutatóban meghatározott parancsmagokat használja.
Törölje a meglévő ExpressRoute- vagy helyek közötti VPN-átjárót.
Remove-AzVirtualNetworkGateway -Name <yourgatewayname> -ResourceGroupName <yourresourcegroup>Törölje az átjáró-alhálózatot.
$vnet = Get-AzVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup> Remove-AzVirtualNetworkSubnetConfig -Name GatewaySubnet -VirtualNetwork $vnetAdjon hozzá egy átjáró-alhálózatot, amely legfeljebb /27.
Megjegyzés
Ha már nincs elegendő IP-cím a virtuális hálózaton az átjáró-alhálózat méretének növeléséhez, további IP-címtereket kell hozzáadnia.
$vnet = Get-AzVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup> Add-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet -AddressPrefix "10.200.255.0/24"Mentse a VNet konfigurációját.
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnetEzen a ponton egy átjáró nélküli virtuális hálózattal rendelkezik. Új átjárók létrehozásához és a kapcsolatok beállításához használja az alábbi példákat:
Állítsa be a változókat.
$gwSubnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet $gwIP = New-AzPublicIpAddress -Name "ERGatewayIP" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AllocationMethod Dynamic $gwConfig = New-AzVirtualNetworkGatewayIpConfig -Name "ERGatewayIpConfig" -SubnetId $gwSubnet.Id -PublicIpAddressId $gwIP.IdHozza létre az átjárót.
$gw = New-AzVirtualNetworkGateway -Name <yourgatewayname> -ResourceGroupName <yourresourcegroup> -Location <yourlocation> -IpConfigurations $gwConfig -GatewayType "ExpressRoute" -GatewaySku StandardHozza létre a kapcsolatot.
$ckt = Get-AzExpressRouteCircuit -Name "YourCircuit" -ResourceGroupName "YourCircuitResourceGroup" New-AzVirtualNetworkGatewayConnection -Name "ERConnection" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -VirtualNetworkGateway1 $gw -PeerId $ckt.Id -ConnectionType ExpressRoute
Pont-hely konfiguráció hozzáadása a VPN-átjáróhoz
Az alábbi lépéseket követve pont–hely konfigurációt adhat hozzá a VPN-átjáróhoz egyidejű beállítással. A VPN főtanúsítványának feltöltéséhez vagy helyileg kell telepítenie a PowerShellt a számítógépre, vagy a Azure Portal kell használnia.
Adja hozzá a VPN-ügyfél címterét.
$azureVpn = Get-AzVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName Set-AzVirtualNetworkGateway -VirtualNetworkGateway $azureVpn -VpnClientAddressPool "10.251.251.0/24"Töltse fel a VPN főtanúsítványát az Azure-ba a VPN-átjáróhoz. Ebben a példában feltételezzük, hogy a főtanúsítvány abban a helyi gépen van tárolva, amelyen a következő PowerShell-parancsmagok futnak, és hogy a PowerShellt helyileg futtatja. A tanúsítványt a Azure Portal is feltöltheti.
$p2sCertFullName = "RootErVpnCoexP2S.cer" $p2sCertMatchName = "RootErVpnCoexP2S" $p2sCertToUpload=get-childitem Cert:\CurrentUser\My | Where-Object {$_.Subject -match $p2sCertMatchName} if ($p2sCertToUpload.count -eq 1){write-host "cert found"} else {write-host "cert not found" exit} $p2sCertData = [System.Convert]::ToBase64String($p2sCertToUpload.RawData) Add-AzVpnClientRootCertificate -VpnClientRootCertificateName $p2sCertFullName -VirtualNetworkGatewayname $azureVpn.Name -ResourceGroupName $resgrp.ResourceGroupName -PublicCertData $p2sCertData
A pont-hely VPN-ekkel kapcsolatos további információkért lásd: Pont-hely kapcsolat konfigurálása.
Az ExpressRoute és az Azure VPN közötti tranzit útválasztás engedélyezése
Ha engedélyezni szeretné a kapcsolatot az ExpressRoute-hoz csatlakozó egyik helyi hálózata és egy másik, helyek közötti VPN-kapcsolathoz csatlakozó helyi hálózata között, be kell állítania az Azure Route Servert.
Következő lépések
Az ExpressRoute-ról további információt az ExpressRoute gyakori kérdéseiben talál.


