Membuat VNet dengan koneksi VPN Situs-ke-Situs menggunakan PowerShell

  • Artikel
  • 13 menit untuk membaca

Artikel ini menunjukkan cara menggunakan PowerShell untuk membuat koneksi VPN gateway Situs-ke-Situs dari jaringan lokal Anda ke VNet. Langkah-langkah dalam artikel ini berlaku untuk model penerapan Resource Manager. Anda juga dapat membuat konfigurasi ini menggunakan alat penerapan atau model penerapan yang berbeda dengan memilih opsi yang berbeda dari daftar berikut:

Koneksi gateway VPN Situs ke Situs digunakan untuk menghubungkan jaringan lokal Anda ke jaringan virtual Azure melalui terowongan VPN IPsec/IKE (IKEv1 atau IKEv2). Jenis koneksi ini memerlukan perangkat VPN yang terletak di tempat yang memiliki alamat IP publik yang menghadap luar yang telah ditetapkan untuknya. Untuk informasi selengkapnya tentang gateway VPN, lihat Tentang gateway VPN.

Site-to-Site VPN Gateway cross-premises connection diagram

Sebelum Anda mulai

Pastikan Anda telah memenuhi kriteria berikut sebelum memulai konfigurasi Anda:

  • Pastikan Anda memiliki perangkat VPN yang kompatibel dan seseorang yang dapat mengonfigurasinya. Untuk informasi selengkapnya tentang perangkat VPN dan konfigurasi perangkat yang kompatibel, lihat Tentang Perangkat VPN.
  • Pastikan bahwa Anda memiliki alamat IPv4 publik yang menghadap ke eksternal untuk perangkat VPN Anda.
  • Jika Anda tidak terbiasa dengan rentang alamat IP yang terletak di konfigurasi jaringan lokal, Anda perlu berkoordinasi dengan seseorang yang dapat memberikan detail tersebut untuk Anda. Saat Anda membuat konfigurasi ini, Anda harus menentukan prefiks rentang alamat IP yang akan dirutekan Azure ke lokasi lokal Anda. Tidak ada subnet dari jaringan lokal Anda yang bisa tumpang tindih dengan subnet jaringan virtual yang ingin Anda sambungkan.

Azure PowerShell

Artikel ini menggunakan cmdlet PowerShell. Untuk menjalankan cmdlet, Anda dapat menggunakan Azure Cloud Shell. Azure Cloud Shell adalah shell interaktif gratis yang dapat Anda gunakan untuk menjalankan langkah-langkah dalam artikel ini. Shell ini memiliki alat Azure umum yang telah dipasang sebelumnya dan dikonfigurasi untuk digunakan dengan akun Anda.

Untuk membuka Cloud Shell, cukup pilih Coba dari sudut kanan atas blok kode. Anda juga dapat meluncurkan Cloud Shell di tab browser terpisah dengan membuka https://shell.azure.com/powershell. Pilih Salin untuk menyalin blok kode, tempelkan ke Cloud Shell, dan tekan masukkan untuk menjalankannya.

Anda juga dapat menginstal dan menjalankan cmdlet Azure PowerShell secara lokal di komputer Anda. Cmdlet PowerShell sering diperbarui. Jika Anda belum menginstal versi terbaru, nilai yang ditentukan dalam instruksi mungkin gagal. Untuk menemukan versi Azure PowerShell yang terinstal di komputer Anda, gunakan Get-Module -ListAvailable Az cmdlet. Untuk menginstal atau memperbarui, lihat Menginstal modul Azure PowerShell.

Contoh nilai

Contoh pada artikel ini menggunakan nilai berikut. Anda dapat menggunakan nilai-nilai ini untuk membuat lingkungan pengujian, atau merujuknya agar lebih memahami contoh dalam artikel ini.

#Example values

VnetName                = VNet1
ResourceGroup           = TestRG1
Location                = East US 
AddressSpace            = 10.1.0.0/16 
SubnetName              = Frontend 
Subnet                  = 10.1.0.0/24 
GatewaySubnet           = 10.1.255.0/27
LocalNetworkGatewayName = Site1
LNG Public IP           = <On-premises VPN device IP address> 
Local Address Prefixes  = 10.101.0.0/24, 10.101.1.0/24
Gateway Name            = VNet1GW
PublicIP                = VNet1GWPIP
Gateway IP Config       = gwipconfig1 
VPNType                 = RouteBased 
GatewayType             = Vpn 
ConnectionName          = VNet1toSite1

1. Buat jaringan virtual dan subnet gateway

Jika Anda belum memiliki jaringan virtual, buatlah satu. Saat membuat jaringan virtual, pastikan bahwa ruang alamat yang Anda tentukan tidak tumpang tindih dengan ruang alamat mana pun yang Anda miliki di jaringan lokal.

Catatan

Agar VNet ini dapat tersambung ke lokasi lokal, Anda perlu berkoordinasi dengan administrator jaringan lokal Anda untuk membuat rentang alamat IP yang dapat Anda gunakan secara khusus untuk jaringan virtual ini. Jika terdapat duplikasi rentang alamat di kedua sisi koneksi VPN, lalu lintas tidak menjalankan perutean seperti yang Anda harapkan. Selain itu, jika Anda ingin menyambungkan VNet ini ke VNet lain, ruang alamat tidak boleh tumpang tindih dengan VNet lainnya. Oleh karena itu, berhati-hatilah ketika merencanakan konfigurasi jaringan Anda.

Tentang subnet gateway

Gateway jaringan virtual menggunakan subnet tertentu yang disebut subnet gateway. Subnet gateway adalah bagian dari rentang alamat IP jaringan virtual yang Anda tentukan saat mengonfigurasi jaringan virtual Anda. Subnet gateway berisi alamat IP yang digunakan oleh sumber daya dan layanan gateway jaringan virtual. Subnet harus diberi nama 'GatewaySubnet' agar Azure dapat menyebarkan sumber daya gateway. Anda tidak dapat menentukan subnet lain untuk menyebarkan sumber daya gateway. Jika Anda tidak memiliki subnet bernama 'GatewaySubnet' saat Anda membuat gateway VPN, maka akan gagal.

Saat Anda membuat subnet gateway, Anda menentukan jumlah alamat IP yang ditampung subnet. Jumlah alamat IP yang diperlukan tergantung pada konfigurasi gateway VPN yang ingin Anda buat. Beberapa konfigurasi memerlukan lebih banyak alamat IP daripada yang lain. Kami menyarankan Anda membuat subnet gateway yang menggunakan /27 atau /28.

Jika Anda melihat kesalahan yang menetapkan bahwa ruang alamat tumpang tindih dengan subnet, atau bahwa subnet tidak terdapat dalam ruang alamat untuk jaringan virtual Anda, periksa rentang alamat VNet Anda. Anda mungkin tidak memiliki cukup alamat IP yang tersedia dalam rentang alamat yang Anda buat untuk jaringan virtual Anda. Contohnya, jika subnet default Anda mencakup seluruh rentang alamat, tidak ada alamat IP yang tersisa untuk membuat subnet tambahan. Anda dapat menyesuaikan subnet Anda dalam ruang alamat yang ada untuk mengosongkan alamat IP, atau menentukan rentang alamat tambahan dan membuat subnet gateway di sana.

Penting

Saat bekerja dengan subnet gateway, hindari mengaitkan grup keamanan jaringan (NSG) ke subnet gateway. Mengaitkan grup keamanan jaringan ke subnet ini dapat menyebabkan gateway jaringan virtual Anda (gateway VPN dan Rute Ekspres) berhenti berfungsi seperti yang diharapkan. Untuk informasi selengkapnya tentang grup keamanan jaringan, lihat Apa itu grup keamanan jaringan?.

Buat jaringan virtual dan subnet gateway

Contoh ini membuat jaringan virtual dan subnet gateway. Jika Anda sudah memiliki jaringan virtual yang perlu Anda tambahkan subnet gateway, lihatlah Untuk menambahkan subnet gateway ke jaringan virtual yang telah Anda buat.

Membuat grup sumber daya:

New-AzResourceGroup -Name TestRG1 -Location 'East US'

Buatlah jaringan virtual Anda.

  1. Tetapkan variabel.

    $subnet1 = New-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.1.255.0/27
$subnet2 = New-AzVirtualNetworkSubnetConfig -Name 'Frontend' -AddressPrefix 10.1.0.0/24

  2. Buatlah VNet.

    New-AzVirtualNetwork -Name VNet1 -ResourceGroupName TestRG1 `
-Location 'East US' -AddressPrefix 10.1.0.0/16 -Subnet $subnet1, $subnet2

Untuk menambahkan subnet gateway ke jaringan virtual yang telah Anda buat

Gunakan langkah-langkah pada bagian ini jika Anda sudah memiliki jaringan virtual, namun perlu menambahkan subnet gateway.

  1. Tetapkan variabel.

    $vnet = Get-AzVirtualNetwork -ResourceGroupName TestRG1 -Name VNet1

  2. Buat subnet gateway.

    Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.1.255.0/27 -VirtualNetwork $vnet

  3. Atur konfigurasi.

    Set-AzVirtualNetwork -VirtualNetwork $vnet

2. Membuat gateway jaringan lokal

Gateway jaringan lokal (LNG) biasanya mengacu pada lokasi lokal Anda. Hal ini tidak sama dengan gateway jaringan virtual. Anda memberi nama situs di mana Azure dapat merujuknya, lalu tentukan alamat IP perangkat VPN lokal tempat Anda akan membuat koneksi. Anda juga menentukan prefiks alamat IP yang akan dirutekan melalui gateway VPN ke perangkat VPN. Prefiks alamat yang Anda tentukan adalah prefiks yang terletak di jaringan lokal Anda. Jika jaringan lokal Anda berubah, Anda dapat dengan mudah memperbarui prefiksnya.

Gunakan nilai-nilai berikut:

  • GatewayIPAddress adalah alamat IP perangkat VPN lokal Anda.
  • AddressPrefix adalah ruang alamat lokal Anda.

Untuk menambahkan gateway jaringan lokal dengan prefiks alamat tunggal:

New-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1 `
-Location 'East US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.101.0.0/24'

Untuk menambahkan gateway jaringan lokal dengan beberapa prefiks alamat:

New-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1 `
-Location 'East US' -GatewayIpAddress '23.99.221.164' -AddressPrefix @('10.101.0.0/24','10.101.1.0/24')

Untuk mengubah prefiks alamat IP untuk gateway jaringan lokal Anda:

Terkadang prefiks gateway jaringan lokal Anda berubah. Langkah-langkah yang Anda ambil untuk mengubah prefiks alamat IP Anda bergantung pada apakah Anda telah membuat koneksi VPN gateway. Lihat bagianMengubah prefiks alamat IP untuk gateway jaringan lokal di artikel ini.

3. Meminta alamat IP publik

Gateway VPN harus memiliki Alamat IP publik. Anda terlebih dahulu meminta sumber daya alamat IP, lalu merujuknya saat membuat gateway jaringan virtual Anda. Alamat IP secara dinamis ditetapkan ke sumber daya saat gateway VPN dibuat.

VPN Gateway saat ini hanya mendukung alokasi Alamat IP publik Dinamis. Anda tidak dapat meminta penetapan Alamat IP publik Statis. Namun, ini tidak berarti alamat IP akan berubah setelah ditetapkan ke VPN gateway Anda. Alamat IP Publik berubah hanya pada saat gateway dihapus dan dibuat ulang. Alamat tersebut tidak berubah karena perubahan ukuran, pengaturan ulang, atau pemeliharaan/peningkatan internal lainnya pada gateway VPN Anda.

Minta alamat IP Publik yang akan ditetapkan ke VPN gateway jaringan virtual Anda.

$gwpip= New-AzPublicIpAddress -Name VNet1GWPIP -ResourceGroupName TestRG1 -Location 'East US' -AllocationMethod Dynamic

4. Membuat konfigurasi pengalamatan IP gateway

Konfigurasi gateway menentukan subnet ('GatewaySubnet') dan alamat IP publik yang akan digunakan. Gunakan contoh berikut untuk membuat konfigurasi gateway Anda:

$vnet = Get-AzVirtualNetwork -Name VNet1 -ResourceGroupName TestRG1
$subnet = Get-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -VirtualNetwork $vnet
$gwipconfig = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 -SubnetId $subnet.Id -PublicIpAddressId $gwpip.Id

5. Membuat VPN gateway

Membuat VPN gateway jaringan virtual.

Gunakan nilai-nilai berikut:

  • -GatewayType untuk konfigurasi Situs-ke-Situs adalah Vpn. Jenis gateway selalu spesifik untuk konfigurasi yang Anda terapkan. Misalnya, konfigurasi gateway yang lainnya mungkin memerlukan -GatewayType ExpressRoute.
  • -VpnType dapat menjadi RouteBased (disebut sebagai Gateway Dinamis dalam beberapa dokumentasi), atau PolicyBased (disebut sebagai Gateway Statis dalam beberapa dokumentasi). Untuk informasi selengkapnya tentang jenis VPN Gateway, lihat Tentang VPN Gateway.
  • Pilih SKU Gateway yang ingin Anda gunakan. Ada batasan konfigurasi untuk SKU tertentu. Untuk informasi selengkapnya, lihat Gateway SKU. Jika Anda mendapatkan kesalahan saat membuat VPN gateway terkait -GatewaySku, pastikan Anda telah menginstal PowerShell cmdlet versi terbaru.
New-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1 `
-Location 'East US' -IpConfigurations $gwipconfig -GatewayType Vpn `
-VpnType RouteBased -GatewaySku VpnGw1

Membuat gateway seringkali bisa memakan waktu 45 menit atau lebih, bergantung pada SKU gateway yang dipilih.

6. Mengonfigurasi perangkat VPN Anda

Koneksi Situs ke Situs ke jaringan lokal memerlukan perangkat VPN. Dalam langkah ini, Anda mengonfigurasi perangkat VPN Anda. Saat mengonfigurasi perangkat VPN Anda, Anda memerlukan item berikut:

  • Kunci bersama. Ini adalah kunci bersama yang sama dengan yang Anda tentukan saat membuat koneksi VPN Situs-ke-Situs. Dalam contoh kami, kami menggunakan kunci bersama dasar. Kami menyarankan Anda membuat kunci yang lebih kompleks untuk digunakan.

  • Alamat IP Publik gateway jaringan virtual Anda. Anda bisa menampilkan alamat IP publik dengan menggunakan portal Microsoft Azure, PowerShell, atau CLI. Untuk menemukan alamat IP Publik gateway jaringan virtual Anda menggunakan PowerShell, gunakan contoh berikut ini. Pada contoh ini, VNet1GWPIP adalah nama sumber alamat IP publik yang Anda buat di langkah sebelumnya.

    Get-AzPublicIpAddress -Name VNet1GWPIP -ResourceGroupName TestRG1

Untuk mengunduh skrip konfigurasi perangkat VPN:

Tergantung pada perangkat VPN yang dimiliki, Anda mungkin dapat mengunduh skrip konfigurasi perangkat VPN. Untuk mengetahui informasi selengkapnya, lihat Mengunduh skrip konfigurasi perangkat VPN.

Lihat tautan berikut untuk mengetahui informasi konfigurasi tambahan:

7. Membuat koneksi VPN

Selanjutnya, buat koneksi VPN Situs-ke-Situs antara gateway jaringan virtual dan perangkat VPN Anda. Pastikan untuk mengganti nilai dengan nilai Anda sendiri. Kunci bersama harus persis seperti nilai yang Anda gunakan untuk konfigurasi perangkat VPN Anda. Perhatikan kalau '-ConnectionType' untuk Situs-ke-Situs adalah IPsec.

  1. Tetapkan variabel.

    $gateway1 = Get-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1
$local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Buat koneksi.

    New-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName TestRG1 `
-Location 'East US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
-ConnectionType IPsec -SharedKey 'abc123'

Setelah beberapa saat, koneksi akan dibuat.

8. Memverifikasi koneksi VPN

Ada beberapa cara yang berbeda untuk memverifikasi koneksi VPN Anda.

Anda dapat memverifikasi bahwa koneksi Anda berhasil dengan menggunakan cmdlet 'Get-AzVirtualNetworkGatewayConnection', dengan atau tanpa '-Debug'.

  1. Gunakan contoh cmdlet berikut, yang mengonfigurasi nilai agar sesuai dengan milik Anda. Jika diminta, pilih 'A' untuk menjalankan 'Semua'. Dalam contoh, '-Name' merujuk pada nama koneksi yang ingin Anda uji.

    Get-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName TestRG1

  2. Setelah cmdlet selesai, lihat nilainya. Pada contoh di bawah, status konektivitas ditampilkan sebagai 'Tersambung' dan Anda dapat melihat byte masuk dan keluar.

    "connectionStatus": "Connected",
"ingressBytesTransferred": 33509044,
"egressBytesTransferred": 4142431

Menyambungkan ke komputer virtual

Anda dapat menyambungkan ke VM yang disebarkan ke VNet Anda dengan membuat Koneksi Desktop Jarak Jauh ke VM Anda. Cara terbaik untuk memverifikasi bahwa Anda dapat terhubung ke VM Anda terlebih dahulu adalah dengan menggunakan alamat IP pribadinya, bukan nama komputernya. Dengan demikian, Anda sedang menguji untuk melihat apakah Anda dapat tersambung, bukan apakah resolusi nama dikonfigurasi dengan benar.

  1. Temukan alamat IP pribadi. Anda dapat menemukan alamat IP pribadi VM dengan melihat properti untuk VM di portal Azure, atau dengan menggunakan PowerShell.

    • Portal Azure - Temukan komputer virtual Anda di portal Azure. Lihat properti untuk VM. Alamat IP pribadi dicantumkan.

    • PowerShell - Gunakan contoh untuk menampilkan daftar VM dan alamat IP pribadi dari grup sumber daya Anda. Anda tidak perlu mengubah contoh ini sebelum menggunakannya.

      $VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where VirtualMachine -ne $null

foreach($Nic in $Nics)
{
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}

  2. Verifikasi bahwa Anda telah terhubung dengan VNet Anda.

  3. Buka Sambungan Desktop Jarak Jauh, dengan mengetikkan "RDP" atau "Sambungan Desktop Jarak Jauh" di kotak pencarian pada taskbar, lalu pilih Sambungan Desktop Jarak Jauh. Anda juga dapat membuka Sambungan Desktop Jarak Jauh menggunakan perintah 'mstsc' di PowerShell.

  4. Di Sambungan Desktop Jarak Jauh, masukkan alamat IP pribadi VM. Anda dapat memilih "Tampilkan Opsi" untuk menyesuaikan pengaturan tambahan, lalu sambungkan.

Memecahkan masalah koneksi

Jika Anda mengalami masalah saat menyambungkan ke mesin virtual melalui koneksi VPN Anda, periksa hal berikut:

  • Pastikan sambungan VPN Anda aktif.

  • Verifikasi bahwa Anda menyambungkan ke alamat IP private untuk VM itu.

  • Jika Anda dapat tersambung ke VM menggunakan alamat IP pribadi, tetapi bukan nama komputer, pastikan Anda telah mengonfigurasi DNS dengan benar. Untuk informasi selengkapnya tentang cara kerja resolusi nama untuk VM, lihat Resolusi Nama untuk VM.

  • Untuk informasi selengkapnya tentang sambungan RDP, lihat Memecahkan masalah sambungan Desktop Jauh ke VM.

Untuk mengubah prefiks alamat IP untuk gateway jaringan lokal Anda

Jika prefiks alamat IP yang ingin Anda rutekan ke lokasi lokal Anda berubah, Anda dapat mengubah gateway jaringan lokal. Saat menggunakan contoh ini, ubah nilai yang cocok dengan lingkungan Anda.

Untuk menambahkan prefiks alamat tambahan:

  1. Atur variabel untuk LocalNetworkGateway.

    $local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Ubah awalannya.

    Set-AzLocalNetworkGateway -LocalNetworkGateway $local `
-AddressPrefix @('10.101.0.0/24','10.101.1.0/24','10.101.2.0/24')

Untuk menghapus prefiks alamat:

Tinggalkan awalan yang tidak Lagi Anda butuhkan. Dalam contoh ini, kita tidak lagi memerlukan awalan 10.101.2.0/24 (dari contoh sebelumnya), jadi kami memperbarui gateway jaringan lokal, tidak termasuk awalan itu.

  1. Atur variabel untuk LocalNetworkGateway.

    $local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Atur gateway dengan awalan yang diperbarui.

    Set-AzLocalNetworkGateway -LocalNetworkGateway $local `
-AddressPrefix @('10.101.0.0/24','10.101.1.0/24')

Untuk mengubah alamat IP gateway untuk gateway jaringan lokal

Jika perangkat VPN yang ingin Anda sambungkan telah mengubah alamat IP publiknya, Anda perlu mengubah gateway lokal untuk mencerminkan perubahan tersebut. Saat mengubah nilai ini, Anda juga dapat mengubah awalan alamat secara bersamaan. Pastikan untuk menggunakan nama gateway lokal Anda yang sudah ada untuk menimpa pengaturan saat ini. Jika menggunakan nama yang berbeda, Anda membuat gateway lokal baru, alih-alih menimpa gateway lokal yang sudah ada.

New-AzLocalNetworkGateway -Name Site1 `
-Location "East US" -AddressPrefix @('10.101.0.0/24','10.101.1.0/24') `
-GatewayIpAddress "5.4.3.2" -ResourceGroupName TestRG1

Untuk menghapus koneksi gateway

Jika Anda tidak mengetahui nama koneksi Anda, Anda dapat menemukannya dengan menggunakan cmdlet 'Get-AzVirtualNetworkGatewayConnection'.

Remove-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 `
-ResourceGroupName TestRG1

Langkah berikutnya