演習 - Azure VPN ゲートウェイを作成する - Training

40 分

パブリックインターネット経由で暗号化されたトンネルを使用して、環境内のクライアントまたはサイトを Azure に接続できるようにする必要があります。このユニットでは、ポイント対サイト VPN ゲートウェイを作成し、ご利用のクライアントコンピューターからそのゲートウェイに接続します。セキュリティを確保するために、ネイティブの Azure 証明書の認証接続を使用します。

次のプロセスを実行します。

RouteBased VPN ゲートウェイを作成します。
認証の目的でルート証明書の公開キーをアップロードします。
ルート証明書からクライアント認定資格証を生成し、その後、認証の目的で仮想ネットワークに接続する各クライアントコンピューターにクライアント認定資格証をインストールします。
クライアントが仮想ネットワークに接続するために必要な情報を含む、VPN クライアント構成ファイルを作成します。

設定

このモジュールを完了するには、ローカルの Windows 10 コンピューターから Azure PowerShell を使用してください。

Azure PowerShell モジュールがインストールされているローカルの Windows 10 コンピューターで、新しい PowerShell セッションを開きます。
PowerShell コマンドレット Connect-AzAccount を実行して Azure にサインインします。
仮想ネットワークの作成に使用する変数を設定します。次の変数をコピーし、PowerShell に貼り付けます。

$VNetName  = "VNetData"
$FESubName = "FrontEnd"
$BESubName = "Backend"
$GWSubName = "GatewaySubnet"
$VNetPrefix1 = "192.168.0.0/16"
$VNetPrefix2 = "10.254.0.0/16"
$FESubPrefix = "192.168.1.0/24"
$BESubPrefix = "10.254.1.0/24"
$GWSubPrefix = "192.168.200.0/26"
$VPNClientAddressPool = "172.16.201.0/24"
$ResourceGroup = "VpnGatewayDemo"
$Location = "East US"
$GWName = "VNetDataGW"
$GWIPName = "VNetDataGWPIP"
$GWIPconfName = "gwipconf"

仮想ネットワークを構成する

次のコマンドを実行して、リソースグループを作成します。
```
New-AzResourceGroup -Name $ResourceGroup -Location $Location
```
次のコマンドを実行して、仮想ネットワークのサブネット構成を作成します。これらの構成の名前は FrontEnd、BackEnd、GatewaySubnet です。これらすべてのサブネットが仮想ネットワークのプレフィックス内に存在します。
```
$fesub = New-AzVirtualNetworkSubnetConfig -Name $FESubName -AddressPrefix $FESubPrefix
$besub = New-AzVirtualNetworkSubnetConfig -Name $BESubName -AddressPrefix $BESubPrefix
$gwsub = New-AzVirtualNetworkSubnetConfig -Name $GWSubName -AddressPrefix $GWSubPrefix
```

次に、次のコマンドを実行して、サブネットの値と静的 DNS サーバーを使用する仮想ネットワークを作成します。

New-AzVirtualNetwork -Name $VNetName -ResourceGroupName $ResourceGroup -Location $Location -AddressPrefix $VNetPrefix1,$VNetPrefix2 -Subnet $fesub, $besub, $gwsub -DnsServer 10.2.1.3

ここで、作成したこのネットワークに対する変数を指定します。

$vnet = Get-AzVirtualNetwork -Name $VNetName -ResourceGroupName $ResourceGroup
$subnet = Get-AzVirtualNetworkSubnetConfig -Name $GWSubName -VirtualNetwork $vnet

次のコマンドを実行して、動的に割り当てられたパブリック IP アドレスを要求します。

$pip = New-AzPublicIpAddress -Name $GWIPName -ResourceGroupName $ResourceGroup -Location $Location -AllocationMethod Dynamic
$ipconf = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName -Subnet $subnet -PublicIpAddress $pip

VPN ゲートウェイを作成する

この VPN ゲートウェイを作成する場合:

GatewayType は Vpn である必要があります
VpnType は RouteBased である必要があります

演習のこの部分は、完了までに最大 45 分かかることがあります。

VPN ゲートウェイを作成するには、次のコマンドを実行し、Enter キーを押します。

New-AzVirtualNetworkGateway -Name $GWName -ResourceGroupName $ResourceGroup `
-Location $Location -IpConfigurations $ipconf -GatewayType Vpn `
-VpnType RouteBased -EnableBgp $false -GatewaySku VpnGw1 -VpnClientProtocol "IKEv2"

コマンド出力が表示されるまで待ちます。

VPN クライアントアドレスプールを追加する

次のコマンドを実行して、VPN クライアントアドレスプールを追加します。

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $ResourceGroup -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway -VpnClientAddressPool $VPNClientAddressPool

コマンド出力が表示されるまで待ちます。

クライアント証明書の生成

Azure でネットワークインフラストラクチャを作成したので、ローカルコンピューターに自己署名入りのクライアント証明書を作成する必要があります。この作成はほとんどのオペレーティングシステムで同じように行うことができますが、ここでは、Azure PowerShell モジュールを備えた PowerShell と Windows 証明書マネージャー ユーティリティを使用して、Windows 10 でクライアント証明書を生成する方法を説明します。

最初の手順は、自己署名入りのルート証明書を作成することです。次のコマンドを実行します。

$cert = New-SelfSignedCertificate -Type Custom -KeySpec Signature `
-Subject "CN=P2SRootCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" -KeyUsageProperty Sign -KeyUsage CertSign

次に、新しいルート証明書によって署名されたクライアント証明書を生成します。

New-SelfSignedCertificate -Type Custom -DnsName P2SChildCert -KeySpec Signature `
-Subject "CN=P2SChildCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" `
-Signer $cert -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")

証明書の公開キーをエクスポートする

証明書を生成したら、ルート証明書の公開キーをエクスポートする必要があります。

PowerShell から certmgr を実行して証明書マネージャーを開きます。
[個人]>[証明書] の順に移動します。
リスト内の [P2SRootCert] 証明書を右クリックし、[すべてのタスク]>[エクスポート] を選択します。
証明書のエクスポートウィザードで、[次へ] を選択します。
[いいえ、秘密キーをエクスポートしません] が選択されていることを確認し、[次へ] を選択します。
[エクスポートファイルの形式] ページで確実に [Base-64 encoded X.509 (.CER)] を選択して、[次へ] を選択します。
[エクスポートするファイル] ページの [ファイル名] で、覚えやすい場所を参照して、P2SRootCert.cer としてファイルを保存してから、[次へ] を選択します。
[認定資格証のエクスポートウィザードの完了] ページで、[完了] を選択します。
[認定資格証のエクスポートウィザード] メッセージボックスで、[OK] を選択します。

ルート証明書の公開キー情報をアップロードする

PowerShell ウィンドウで、次のコマンドを実行して証明書名の変数を宣言します。
```
$P2SRootCertName = "P2SRootCert.cer"
```

<cert-path> プレースホルダーを自分のルート証明書のエクスポート場所に置き換えて、次のコマンドを実行します。

$filePathForCert = "<cert-path>\P2SRootCert.cer"
$cert = new-object System.Security.Cryptography.X509Certificates.X509Certificate2($filePathForCert)
$CertBase64 = [system.convert]::ToBase64String($cert.RawData)
$p2srootcert = New-AzVpnClientRootCertificate -Name $P2SRootCertName -PublicCertData $CertBase64

グループ名を設定したので、次のコマンドを使用して Azure に証明書をアップロードします。
```
Add-AzVpnClientRootCertificate -VpnClientRootCertificateName $P2SRootCertName -VirtualNetworkGatewayname $GWName -ResourceGroupName $ResourceGroup -PublicCertData $CertBase64
```
Azure で、この認定資格証が仮想ネットワークの信頼されたルート証明書としてが認識されるようになります。

ネイティブ VPN クライアントを構成する

次のコマンドを実行して、VPN クライアント構成ファイルを .ZIP 形式で作成します。

$profile = New-AzVpnClientConfiguration -ResourceGroupName $ResourceGroup -Name $GWName -AuthenticationMethod "EapTls"
$profile.VPNProfileSASUrl

このコマンドからの出力で返される URL をコピーして、お使いのブラウザーに貼り付けます。ブラウザーで .ZIP ファイルのダウンロードが開始されます。アーカイブの内容を抽出し、それらを適切な場所に配置します。

ブラウザーの中には、最初に危険なダウンロードとしてこの ZIP ファイルのダウンロードをブロックしようとするものもあります。お使いのブラウザーでアーカイブの内容を抽出できるように、これをオーバーライドする必要があります。
抽出したフォルダー内で、WindowsAmd64 フォルダー (64 ビット Windows コンピューターの場合) または WindowsX86 フォルダー (32 ビットコンピューターの場合) に移動します。

Windows 以外のコンピューターで VPN を構成する場合は、Generic フォルダーから認定資格証と設定ファイルを使用することができます。
VpnClientSetup{architecture}.exe ファイルをダブルクリックします。{architecture} はご自分のアーキテクチャを反映します。
[Windows によって PC が保護されました] 画面で、[詳細情報]、[実行] の順に選択します。
[ユーザーアカウント制御] ダイアログボックスで、[はい] を選択します。
[VNetData] ダイアログボックスで、[はい] を選択します。

Azure に接続する

Windows キーを押し、「設定」と入力して、キーボードの >Enter キーを押します。
[設定] ウィンドウで、[ネットワークとインターネット] を選択します。
左側のウィンドウで、[VPN] を選択します。
右側のウィンドウで、[VNetData]、[接続] の順に選択します。
[VNetData] ウィンドウで、[接続] を選択します。
次の [VNetData] ウィンドウで、[続行] を選択します。
[ユーザーアカウント制御] メッセージボックスで、[はい] を選択します。

これらの手順でうまくいかないときは、場合によっては、コンピューターを再起動する必要があります。

接続を確認する

Windows のコマンドプロンプトで IPCONFIG /ALL を実行します。
PPP アダプター VNetData の下の IP アドレスをコピーするか、メモしておきます。
IP アドレスが 172.16.201.0/24 の VPNClientAddressPool 範囲内にあることを確認します。
Azure VPN ゲートウェイへの接続が正常に行われました。

VPN ゲートウェイを設定したので、Azure 内の仮想ネットワークへの暗号化されたクライアント接続を行うことができます。この方法は、クライアントコンピューターと小規模なサイト間の接続に適しています。

続行

演習 - Azure VPN ゲートウェイを作成する

設定