Ligar o Azure Stack Hub ao Azure com a VPN

Este artigo descreve como criar uma VPN site-to-site para ligar uma rede virtual no Azure Stack Hub a uma rede virtual em Azure.

Antes de começar

Para completar a configuração da ligação, certifique-se de que tem os seguintes itens antes de começar:

  • Uma implementação integrada de sistemas Azure Stack Hub (multi-nó) que está diretamente ligada à internet. O seu alcance de endereço IP público externo deve ser consultado diretamente a partir da internet pública.
  • Uma subscrição válida da Azure. Se não tiver uma subscrição do Azure, pode criar uma conta Azure gratuita aqui.

Diagrama de ligação VPN

A seguinte figura mostra como deve ser a configuração da ligação quando terminar:

Configuração de ligação VPN site-to-site

Valores de exemplo de configuração de rede

A tabela de exemplos de configuração da rede mostra os valores que são usados por exemplo neste artigo. Pode utilizar estes valores, ou pode referir-se a eles para entender melhor os exemplos deste artigo:

Valor Azure Stack Hub Azure
Nome da rede virtual Azs-VNet AzureVNet
Espaço de endereços de rede virtual 10.1.0.0/16 10.100.0.0/16
Nome da sub-rede FrontEnd FrontEnd
Intervalo de endereços da sub-rede 10.1.0.0/24 10.100.0.0/24
Sub-rede de gateway 10.1.1.0/24 10.100.1.0/24

Criar os recursos de rede no Azure

Primeiro, criar os recursos de rede para o Azure. As seguintes instruções mostram como criar os recursos utilizando o portal Azure.

Criar a rede virtual e a sub-rede da máquina virtual (VM)

  1. Inscreva-se no portal Azure utilizando a sua conta Azure.
  2. No portal do utilizador, selecione + Criar um recurso.
  3. Vá ao Marketplacee, em seguida, selecione Networking.
  4. Selecione Rede virtual.
  5. Utilize as informações da tabela de configuração da rede para identificar os valores de NomeAzure, espaço address,nome da sub-redee intervalo de endereços sub-rede.
  6. Para o Grupo de Recursos,crie um novo grupo de recursos ou, se já tiver um, selecione Utilização existente.
  7. Selecione a localização do seu VNet. Se estiver a utilizar os valores de exemplo, selecione East US ou utilize outro local.
  8. Selecione Afixar ao dashboard.
  9. Selecione Criar.

Criar a sub-rede de gateway

  1. Abra o recurso de rede virtual que criou(AzureVNet)a partir do painel de instrumentos.

  2. Na secção Definições, selecione Subnetas.

  3. Selecione a sub-rede Gateway para adicionar uma sub-rede gateway à rede virtual.

  4. O nome da sub-rede está predefinido como GatewaySubnet.

    Importante

    As sub-redes de gateway são especiais e têm de ter este nome específico para funcionarem corretamente.

  5. No campo de intervalo de endereço, verifique se o endereço é 10.100.1.0/24.

  6. Selecione OK para criar a sub-rede gateway.

Criar o gateway de rede virtual

  1. No portal do Azure, selecione + Criar um recurso.
  2. Vá ao Marketplacee, em seguida, selecione Networking.
  3. A partir da lista de recursos de rede, selecione Virtual network gateway.
  4. No campo Nome, escreva Azure-GW.
  5. Para escolher uma rede virtual, selecione rede Virtual. Em seguida, selecione AzureVnet da lista.
  6. Selecione Endereço IP público. Quando a secção de endereços IP públicos abrir, selecione Criar novo.
  7. No campo Nome, escreva Azure-GW-PiPe, em seguida, selecione OK.
  8. Certifique-se de que a Subscrição e a Localização estão corretas. Pode fixar o recurso no painel de instrumentos. Selecione Criar.

Criar o recurso de gateway de rede local

  1. No portal do Azure, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Networking.

  3. A partir da lista de recursos, selecione Local network gateway.

  4. No campo Nome, escreva Azs-GW.

  5. No campo de endereços IP, digite o endereço IP público para o seu Gateway de rede virtual Azure Stack Hub que está listado anteriormente na tabela de configuração da rede.

  6. No campo Address Space, a partir do Azure Stack Hub, digite o espaço de endereço 10.1.0.0/24 e 10.1.1.0/24 para a AzureVNet.

  7. Verifique se a sua Subscrição,Grupo de Recursose Localização estão corretas e, em seguida, selecione Criar.

Criar a ligação

  1. No portal do utilizador, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Networking.

  3. A partir da lista de recursos, selecione Connection.

  4. Na secção Definições Básicas, para o tipo de Ligação,escolha Site-to-site (IPSec).

  5. Selecione a Subscrição,Grupo de Recursose Localizaçãoe, em seguida, selecione OK.

  6. Na secção Definições, selecione Virtual network gatewaye, em seguida, selecione Azure-GW.

  7. Selecione o gateway de rede locale, em seguida, selecione Azs-GW.

  8. Em nome de conexão,tipo Azure-Azs.

  9. Na tecla Partilhada (PSK),tipo 12345,selecione OK.

    Nota

    Se utilizar um valor diferente para a chave partilhada, lembre-se que deve corresponder ao valor da chave partilhada que cria na outra extremidade da ligação.

  10. Reveja a secção Resumo e, em seguida, selecione OK.

Criar uma política ipsec personalizada

Uma política IPSec personalizada é necessária para que o Azure corresponda ao Azure Stack Hub.

  1. Criar uma política personalizada:

    $IPSecPolicy = New-AzIpsecPolicy -IkeEncryption AES256 -IkeIntegrity SHA384 -DhGroup ECP384  `
    -IpsecEncryption GCMAES256 -IpsecIntegrity GCMAES256 -PfsGroup ECP384 -SALifeTimeSeconds 27000 `
    -SADataSizeKilobytes 102400000
    
  2. Aplicar a política à ligação:

    $Connection = Get-AzVirtualNetworkGatewayConnection -Name myTunnel -ResourceGroupName myRG
    Set-AzVirtualNetworkGatewayConnection -IpsecPolicies $IPSecPolicy -VirtualNetworkGatewayConnection $Connection
    

Criar uma VM

Agora crie um VM em Azure e coloque-o na sua sub-rede VM na sua rede virtual.

  1. No portal do Azure, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Compute.

  3. Na lista de imagens VM, selecione a imagem Windows Server 2016 Datacenter Eval.

  4. Na secção Básico, para Nome,escreva AzureVM.

  5. Digite um nome de utilizador válido e senha. Use esta conta para iniciar scontabilidade no VM depois de ser criada.

  6. Forneça uma Subscrição,Grupo de Recursose Localização,e, em seguida, selecione OK.

  7. Na secção Tamanho, selecione um tamanho VM para este caso e, em seguida, selecione Select.

  8. Na secção Definições, pode utilizar as definições predefinicionares. Antes de selecionar OK,confirme que:

    • A rede virtual AzureVnet está selecionada.
    • A sub-rede está definida para 10.100.0.0/24.

    Selecione OK.

  9. Reveja as definições na secção Resumo e, em seguida, selecione OK.

Criar os recursos de rede no Azure Stack Hub

Em seguida, crie os recursos de rede no Azure Stack Hub.

Inscreva-se como utilizador

Um administrador de serviço pode iniciar saúde como utilizador para testar os planos, ofertas e subscrições que os seus utilizadores possam utilizar. Se ainda não tiver uma, crie uma conta de utilizador antes de iniciar sessão.

Criar a rede virtual e uma sub-rede VM

  1. Utilize uma conta de utilizador para iniciar scontabilidade no portal do utilizador.

  2. No portal do utilizador, selecione + Criar um recurso.

    Criar uma nova rede virtual

  3. Vá ao Marketplacee, em seguida, selecione Networking.

  4. Selecione Rede virtual.

  5. Para nome, espaço de endereço,nome da sub-redee intervalo de endereços sub-rede,utilize os valores da tabela de configuração de rede.

  6. Na Subscrição,aparece a subscrição que criou anteriormente.

  7. Para o Grupo de Recursos,pode criar um grupo de recursos ou se já tiver um, selecione Utilizar a existência.

  8. Verifique a localização predefinida.

  9. Selecione Afixar ao dashboard.

  10. Selecione Criar.

Criar a sub-rede de gateway

  1. No painel de instrumentos, abra o Azs-VNet recurso de rede virtual que criou.

  2. Na secção Definições, selecione Subnetas.

  3. Para adicionar uma sub-rede de gateway à rede virtual, selecione Gateway Subnet.

    Adicionar sub-rede gateway

  4. Por predefinição, o nome da sub-rede é definido para GatewaySubnet. Para que as sub-redes gateway funcionem corretamente, devem utilizar o nome GatewaySubnet.

  5. No intervalo Address, verifique se o endereço é 10.1.1.0/24.

  6. Selecione OK para criar a sub-rede gateway.

Criar o gateway de rede virtual

  1. No portal Azure Stack Hub, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Networking.

  3. A partir da lista de recursos de rede, selecione Virtual network gateway.

  4. Em Nome, tipo Azs-GW.

  5. Selecione o item de rede Virtual para escolher uma rede virtual. Selecione Azs-VNet da lista.

  6. Selecione o item do menu de endereço IP público. Quando a secção de endereços IP públicos abrir, selecione Criar novo.

  7. Em nome, escreva Azs-GW-PiP,e, em seguida, selecione OK.

  8. Por predefinição, a route-based é selecionada para o tipo VPN. Mantenha o tipo VPN baseado na Rota.

  9. Certifique-se de que a Subscrição e a Localização estão corretas. Pode fixar o recurso no painel de instrumentos. Selecione Criar.

Criar o gateway de rede local

O conceito de uma porta de entrada de rede local em Azure Stack Hub é diferente de uma implementação Azure.

Numa implementação do Azure, um gateway de rede local representa um dispositivo físico no local (na localização do utilizador) que se conecta a um gateway de rede virtual em Azure. No entanto, no Azure Stack Hub ambas as extremidades da ligação são gateways de rede virtuais.

Uma descrição mais genérica é que o recurso de gateway de rede local indica sempre o gateway remoto na outra extremidade da ligação.

Criar o recurso de gateway de rede local

  1. Inscreva-se no portal Azure Stack Hub.

  2. No portal do utilizador, selecione + Criar um recurso.

  3. Vá ao Marketplacee, em seguida, selecione Networking.

  4. A partir da lista de recursos, selecione o gateway de rede local.

  5. No campo Nome, escreva Azure-GW.

  6. No campo de endereços IP, digite o endereço IP público para o gateway de rede virtual em Azure Azure-GW-PiP. Este endereço aparece mais cedo na tabela de configuração da rede.

  7. No campo Address Space, para o espaço de endereço do Azure VNET que criou, tipo 10.100.0.0/24 e 10.100.1.0/24.

  8. Verifique se a sua Subscrição,Grupo de Recursose valores de localização estão corretos e, em seguida, selecione Criar.

Criar a ligação

  1. No portal do utilizador, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Networking.

  3. A partir da lista de recursos, selecione Connection.

  4. Na secção Definições Básicas, para o tipo de Ligação,selecione Site-to-site (IPSec).

  5. Selecione a Subscrição,Grupo de Recursose Localizaçãoe, em seguida, selecione OK.

  6. Na secção Definições, selecione Virtual network gatewaye, em seguida, selecione Azs-GW.

  7. Selecione o gateway de rede locale, em seguida, selecione Azure-GW.

  8. Em Nome de Conexão, tipo Azs-Azure.

  9. Na tecla Partilhada (PSK),tipo 12345,e depois selecione OK.

  10. Na secção Resumo, selecione OK.

Criar uma VM

Para verificar a ligação VPN, crie dois VMs: um em Azure e outro no Azure Stack Hub. Depois de criar estes VMs, pode usá-los para enviar e receber dados através do túnel VPN.

  1. No portal do Azure, selecione + Criar um recurso.

  2. Vá ao Marketplacee, em seguida, selecione Compute.

  3. Na lista de imagens VM, selecione a imagem Windows Server 2016 Datacenter Eval.

  4. Na secção Básico, em Nome,tipo Azs-VM.

  5. Digite um nome de utilizador válido e senha. Use esta conta para iniciar scontabilidade no VM depois de ser criada.

  6. Forneça uma Subscrição,Grupo de Recursose Localização,e, em seguida, selecione OK.

  7. Na secção Tamanho, para este caso, selecione um tamanho VM e, em seguida, selecione Select.

  8. Na secção Definições, aceite os predefinidos. Certifique-se de que a rede virtual Azs-VNet está selecionada. Verifique se a sub-rede está definida para 10.1.0.0/24. Em seguida, selecione OK.

  9. Na secção Resumo, reveja as definições e, em seguida, selecione OK.

Testar a ligação

Após a ligação site-to-site ser estabelecida, deve verificar se pode obter dados fluindo em ambas as direções. A forma mais fácil de testar a ligação é fazendo um teste de ping:

  • Inscreva-se no VM que criou no Azure Stack Hub e ping o VM em Azure.
  • Inscreva-se no VM que criou em Azure e ping o VM no Azure Stack Hub.

Nota

Para se certificar de que está a enviar tráfego através da ligação site-to-site, faça o sinal do endereço IP direto (DIP) do VM na sub-rede remota, e não no VIP.

Inscreva-se no VM do utilizador no Azure Stack Hub

  1. Inscreva-se no portal Azure Stack Hub.

  2. Na barra de navegação à esquerda, selecione Máquinas Virtuais.

  3. Na lista de VMs, encontre a Azs-VM que criou anteriormente e, em seguida, selecione-a.

  4. Na secção para o VM, selecione Ligação, e, em seguida, abra o ficheiro Azs-VM.rdp.

    Botão Ligar

  5. Inscreva-se na conta que configura quando criou o VM.

  6. Abra uma Windows PowerShell pronta elevada.

  7. Escreva ipconfig /all.

  8. Na saída, encontre o Endereço IPv4e guarde o endereço para posterior utilização. Esta é a morada que você ping de Azure. No ambiente de exemplo, o endereço é 10.1.0.4, mas no seu ambiente pode ser diferente. Deve estar dentro da sub-rede 10.1.0.0/24 que criou anteriormente.

  9. Para criar uma regra de firewall que permita ao VM responder a pings, executar o seguinte comando PowerShell:

    New-NetFirewallRule `
     -DisplayName "Allow ICMPv4-In" `
     -Protocol ICMPv4
    

Inscreva-se no inquilino VM em Azure

  1. Inicie sessão no portal do Azure.

  2. Na barra de navegação à esquerda, selecione Máquinas Virtuais.

  3. Na lista de VMs, encontre o Azure-VM que criou anteriormente e, em seguida, selecione-o.

  4. Na secção para o VM, selecione Ligação.

  5. Inscreva-se na conta que configura quando criou o VM.

  6. Abra uma janela de Windows PowerShell elevada.

  7. Escreva ipconfig /all.

  8. Deve ver um endereço IPv4 que se encontra dentro de 10.100.0.0/24. No ambiente de exemplo, o endereço é 10.100.0.4, mas o seu endereço pode ser diferente.

  9. Para criar uma regra de firewall que permita ao VM responder a pings, executar o seguinte comando PowerShell:

    New-NetFirewallRule `
     -DisplayName "Allow ICMPv4-In" `
     -Protocol ICMPv4
    
  10. Do VM em Azure, ping o VM em Azure Stack Hub, através do túnel. Para isso, você ping o DIP que gravou no Azs-VM. No ambiente de exemplo, este é 10.1.0.4, mas certifique-se de pingar o endereço que notou no seu laboratório. Deve ver um resultado que se pareça com a seguinte captura de ecrã:

    Ping de sucesso

  11. Uma resposta do VM remoto indica um teste bem sucedido. Pode fechar a janela VM.

Também deve fazer testes de transferência de dados mais rigorosos (por exemplo, copiar ficheiros de tamanho diferente em ambas as direções).

Ver estatísticas de transferência de dados através da ligação de gateway

Se pretender saber quantos dados passam através da sua ligação site-to-site, esta informação está disponível na secção Ligação. Este teste também é outra forma de verificar o ping que acabou de enviar realmente passou pela ligação VPN.

  1. Enquanto se inscreva no VM do utilizador no Azure Stack Hub, utilize a sua conta de utilizador para iniciar scontabilidade no portal do utilizador.

  2. Vá a Todos os recursose, em seguida, selecione a ligação Azs-Azure. As ligações aparecem.

  3. Na secção Ligação, aparecem as estatísticas de Data in e Data out. Na captura do ecrã seguinte, os grandes números são atribuídos a transferência adicional de ficheiros. Devia ver alguns valores não zero.

    Dados dentro e fora

Passos seguintes