Pont–hely kapcsolat konfigurálása virtuális hálózathoz RADIUS-hitelesítéssel: PowerShell

Cikk
01/29/2024

Ez a cikk bemutatja, hogyan hozhat létre radius-hitelesítést használó pont–hely (P2S) kapcsolattal rendelkező virtuális hálózatot. Ez a konfiguráció csak a Resource Manager-alapú üzemi modellhez érhető el. Ezt a konfigurációt a PowerShell vagy az Azure Portal használatával hozhatja létre.

A pont–hely VPN-átjáró lehetővé teszi, hogy biztonságos kapcsolatot hozzon létre a virtuális hálózattal egy egyéni ügyfélszámítógépről. A P2S VPN-kapcsolatok akkor hasznosak, ha távoli helyről szeretne csatlakozni a virtuális hálózathoz, például ha otthonról vagy konferenciáról távmunkát folytat. A P2S VPN hasznos megoldás a helyek közötti VPN helyett, ha csak néhány ügyfélnek kell csatlakoznia egy virtuális hálózathoz.

A pont–hely VPN-kapcsolat indítása a Windows- és Mac-eszközökről történik. Ez a cikk segít olyan P2S-konfiguráció konfigurálásában, amely RADIUS-kiszolgálót használ hitelesítéshez. Ha más módszerrel szeretne hitelesítést végezni, tekintse meg az alábbi cikkeket:

A P2S-kapcsolatokhoz nincs szükség VPN-eszközre vagy nyilvános IP-címre. A P2S SSTP (Secure Socket Tunneling Protocol), OpenVPN vagy IKEv2 protokollon keresztül hozza létre a VPN-kapcsolatot.

Az SSTP egy TLS-alapú VPN-alagút, amely csak Windows-ügyfélplatformokon támogatott. Képes áthatolni a tűzfalakon, így a Windows-eszközöket bárhonnan csatlakoztathatja az Azure-hoz. A kiszolgálóoldalon csak a TLS 1.2-es verzióját támogatjuk. A jobb teljesítmény, a méretezhetőség és a biztonság érdekében fontolja meg inkább az OpenVPN protokoll használatát.
OpenVPN® Protocol, SSL/TLS-alapú VPN-protokoll. A TLS VPN-megoldás képes behatolni a tűzfalakba, mivel a legtöbb tűzfal kimenő 443-as TCP-portot nyit meg, amelyet a TLS használ. Az OpenVPN használható Android, iOS (11.0-s és újabb verziók), Windows, Linux és Mac rendszerű eszközökről (macOS 10.13-s vagy újabb verziók).
IKEv2 VPN, egy szabványalapú IPsec VPN-megoldás. Az IKEv2 VPN használható Windows, Linux és Mac eszközökről való csatlakozáshoz (macOS 10.11-s és újabb verziók).

Ehhez a konfigurációhoz a kapcsolatoknak a következőkre van szükségük:

Útvonalalapú VPN-átjáró.
A felhasználóhitelesítést kezelő RADIUS-kiszolgáló. A RADIUS-kiszolgáló üzembe helyezhető a helyszínen vagy az Azure-beli virtuális hálózaton. Két RADIUS-kiszolgálót is konfigurálhat a magas rendelkezésre állás érdekében.
A VPN-ügyfélprofil konfigurációs csomagja. A VPN-ügyfélprofil konfigurációs csomagja egy ön által létrehozott csomag. Megadja a VPN-ügyfél P2S-kapcsolaton keresztüli csatlakozásához szükséges beállításokat.

Tudnivalók a P2S VPN-ek Active Directory (AD) tartományhitelesítéséről

Az AD-tartományhitelesítés lehetővé teszi, hogy a felhasználók szervezeti tartomány hitelesítő adataikkal jelentkezzenek be az Azure-ba. Olyan RADIUS-kiszolgálóra van szükség, amely integrálható az AD-kiszolgálóval. A szervezetek kihasználhatják meglévő RADIUS-üzemelő példányukat is.

A RADIUS-kiszolgáló a helyszínen vagy az Azure-beli virtuális hálózaton is található. A hitelesítés során a VPN-átjáró áthaladóként működik, és a RADIUS-kiszolgáló és a csatlakozó eszköz között oda-vissza továbbítja a hitelesítési üzeneteket. Fontos, hogy a VPN-átjáró elérje a RADIUS-kiszolgálót. Ha a RADIUS-kiszolgáló a helyszínen található, akkor VPN-helyek közötti kapcsolatra van szükség az Azure-ból a helyszíni helyre.

Az Active Directoryn kívül a RADIUS-kiszolgáló más külső identitásrendszerekkel is integrálható. Ez számos hitelesítési lehetőséget nyit meg a P2S VPN-ekhez, beleértve az MFA-beállításokat is. Tekintse meg a RADIUS-kiszolgáló szállítójának dokumentációját az integrálható identitásrendszerek listájának lekéréséhez.

Fontos

A helyszíni RADIUS-kiszolgálóhoz csak helyek közötti VPN-kapcsolat használható. ExpressRoute-kapcsolat nem használható.

Mielőtt hozzálát

Győződjön meg arról, hogy rendelkezik Azure-előfizetéssel. Ha még nincs Azure-előfizetése, aktiválhatja MSDN-előfizetői előnyeit, vagy regisztrálhat egy ingyenes fiókot.

Az Azure PowerShell használata

Ez a cikk PowerShell-parancsmagokat használ. A parancsmagok futtatásához használhatja az Azure Cloud Shellt. A Cloud Shell egy ingyenes interaktív rendszerhéj, amellyel a cikkben ismertetett lépéseket futtathatja. A fiókjával való használat érdekében a gyakran használt Azure-eszközök már előre telepítve és konfigurálva vannak rajta.

A Cloud Shell megnyitásához válassza a Kódblokk jobb felső sarkában található Open CloudShell lehetőséget. A Cloud Shellt egy külön böngészőlapon is megnyithatja.https://shell.azure.com/powershell A Másolás gombra kattintva másolja a kódblokkokat, illessze be őket a Cloud Shellbe, majd az Enter billentyűt választva futtassa őket.

Az Azure PowerShell-parancsmagokat helyileg is telepítheti és futtathatja a számítógépen. A PowerShell-parancsmagok gyakran frissülnek. Ha még nem telepítette a legújabb verziót, az utasításokban megadott értékek meghiúsulhatnak. A számítógépre telepített Azure PowerShell-verziók megkereséséhez használja a Get-Module -ListAvailable Az parancsmagot. A telepítésről vagy frissítésről az Azure PowerShell-modul telepítése című témakörben olvashat.

Példaértékek

A példaértékek használatával létrehozhat egy tesztkörnyezetet, vagy a segítségükkel értelmezheti a cikkben szereplő példákat. Megteheti, hogy lépésről lépésre végighalad az eljáráson, és módosítás nélkül ezeket az értékeket használja, de módosíthatja is őket, hogy megfeleljenek a saját környezetének.

Név: VNet1
Címtér: 10.1.0.0/16 és 10.254.0.0/16
Ez a példa egynél több címtartományt használ annak szemléltetésére, hogy ez a konfiguráció több címtartománnyal is működik. Ehhez a konfigurációhoz azonban nincs szükség több címtérre.
Alhálózat neve: FrontEnd
- Alhálózati címtartomány: 10.1.0.0/24
Alhálózat neve: BackEnd
- Alhálózati címtartomány: 10.254.1.0/24
Alhálózat neve: GatewaySubnet
Ennek az alhálózatnak kötelező a GatewaySubnet nevet adni, ellenkező esetben nem működik a VPN-átjáró.
- GatewaySubnet címtartománya: 10.1.255.0/27
VPN-ügyfelek címkészlete: 172.16.201.0/24
Azok a VPN-ügyfelek, amelyek ezzel a P2S-kapcsolattal csatlakoznak a virtuális hálózathoz, IP-címet kapnak a VPN-ügyfélcímkészletből.
Előfizetés: Ha több előfizetése van, ellenőrizze, hogy a megfelelőt használja-e.
Erőforráscsoport: TestRG1
- Autorisez les plages d’adresses IP de toutes les régions Gov US (Virginie, Texas, Arizona et Iowa) afin de garantir la prise en charge des URL requises pour Azure Active Directory, la sauvegarde, la réplication et le stockage.
DNS-kiszolgáló: annak a DNS-kiszolgálónak az IP-címe , amelyet a virtuális hálózat névfeloldásához szeretne használni. (nem kötelező)
Átjáró neve: Vnet1GW
Nyilvános IP-név: VNet1GWPIP
VPN típusa: RouteBased

Deklarálja a használni kívánt változókat. Használja a következő példát, és szükség szerint cserélje le az értékeket a sajátjaira. Ha a gyakorlat során bármikor bezárja a PowerShell-/Cloud Shell-munkamenetet, csak másolja és illessze be újra az értékeket a változók újraklarálásához.

$VNetName  = "VNet1"
$FESubName = "FrontEnd"
$BESubName = "Backend"
$GWSubName = "GatewaySubnet"
$VNetPrefix1 = "10.1.0.0/16"
$VNetPrefix2 = "10.254.0.0/16"
$FESubPrefix = "10.1.0.0/24"
$BESubPrefix = "10.254.1.0/24"
$GWSubPrefix = "10.1.255.0/27"
$VPNClientAddressPool = "172.16.201.0/24"
$RG = "TestRG1"
$Location = "East US"
$GWName = "VNet1GW"
$GWIPName = "VNet1GWPIP"
$GWIPconfName = "gwipconf1"

2. Az erőforráscsoport, a virtuális hálózat és a nyilvános IP-cím létrehozása

Az alábbi lépések létrehoznak egy erőforráscsoportot és egy virtuális hálózatot az erőforráscsoportban három alhálózattal. Az értékek helyettesítésekor fontos, hogy az átjáró alhálózatát mindig kifejezetten a GatewaySubnetnek nevezze el. Ha más nevet ad neki, az átjáró létrehozása meghiúsul;

Hozzon létre egy erőforráscsoportot.

New-AzResourceGroup -Name "TestRG1" -Location "East US"

Hozza létre a virtuális hálózat alhálózatainak konfigurációit, névként a következő értékeket adja meg: FrontEnd, BackEnd, illetve GatewaySubnet. Ezek az előtagok a deklarált virtuális hálózati címtér részei kell, hogy legyenek.

$fesub = New-AzVirtualNetworkSubnetConfig -Name "FrontEnd" -AddressPrefix "10.1.0.0/24"  
$besub = New-AzVirtualNetworkSubnetConfig -Name "Backend" -AddressPrefix "10.254.1.0/24"  
$gwsub = New-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -AddressPrefix "10.1.255.0/27"

Hozza létre a virtuális hálózatot.

Ebben a példában a -DnsServer paramétert nem kötelező megadni. Az érték megadása nem hoz létre új DNS-kiszolgálót. A megadott DNS-kiszolgáló IP-címének olyan DNS-kiszolgálónak kell lennie, amely képes feloldani a virtuális hálózatról csatlakozó erőforrások nevét. Ebben a példában egy privát IP-címet használtunk, de valószínű, hogy ez nem a DNS-kiszolgáló IP-címe. Ügyeljen arra, hogy a saját értékeit használja. A megadott értéket a virtuális hálózaton üzembe helyező erőforrások használják, nem a P2S-kapcsolat.
```
New-AzVirtualNetwork -Name "VNet1" -ResourceGroupName "TestRG1" -Location "East US" -AddressPrefix "10.1.0.0/16","10.254.0.0/16" -Subnet $fesub, $besub, $gwsub -DnsServer 10.2.1.3
```
Egy VPN Gateway-nek rendelkeznie kell nyilvános IP-címmel. Először az IP-cím típusú erőforrást kell kérnie, majd hivatkoznia kell arra, amikor létrehozza a virtuális hálózati átjárót. Az IP-címet a rendszer dinamikusan rendeli hozzá az erőforráshoz a VPN Gateway létrehozásakor. A VPN Gateway jelenleg csak a Dinamikus nyilvános IP-cím lefoglalását támogatja. Statikus nyilvános IP-cím hozzárendelése nem kérhető. Ez azonban nem jelenti azt, hogy az IP-cím megváltozik, miután hozzárendelték a VPN-átjáróhoz. A nyilvános IP-cím kizárólag abban az esetben változik, ha az átjárót törli, majd újra létrehozza. Nem módosul átméretezés, alaphelyzetbe állítás, illetve a VPN Gateway belső karbantartása/frissítése során.

Adja meg a dinamikusan hozzárendelt nyilvános IP-cím kéréséhez szükséges változókat.
```
$vnet = Get-AzVirtualNetwork -Name "VNet1" -ResourceGroupName "TestRG1"  
$subnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet 
$pip = New-AzPublicIpAddress -Name "VNet1GWPIP" -ResourceGroupName "TestRG1" -Location "East US" -AllocationMethod Dynamic 
$ipconf = New-AzVirtualNetworkGatewayIpConfig -Name "gwipconf1" -Subnet $subnet -PublicIpAddress $pip
```

3. A RADIUS-kiszolgáló beállítása

A virtuális hálózati átjáró létrehozása és konfigurálása előtt a RADIUS-kiszolgálót megfelelően kell konfigurálni a hitelesítéshez.

Ha nincs üzembe helyezve RADIUS-kiszolgáló, telepítsen egyet. Az üzembe helyezés lépéseit a RADIUS-szállító által biztosított telepítési útmutatóban találja.
Konfigurálja a VPN-átjárót RADIUS-ügyfélként a RADIUS-on. A RADIUS-ügyfél hozzáadásakor adja meg a létrehozott virtuális hálózatot, a GatewaySubnetet.
A RADIUS-kiszolgáló beállítása után kérje le a RADIUS-kiszolgáló IP-címét és a RADIUS-ügyfelek által a RADIUS-kiszolgálóval való beszélgetéshez használt megosztott titkos kulcsot. Ha a RADIUS-kiszolgáló az Azure-beli virtuális hálózaton található, használja a RADIUS-kiszolgáló virtuális gépének CA-IP-címét.

A Hálózati házirend-kiszolgáló (NPS) című cikk útmutatást nyújt a Windows RADIUS-kiszolgáló (NPS) AD-tartományhitelesítéshez való konfigurálásához.

4. A VPN-átjáró létrehozása

Konfigurálja és hozza létre a VPN-átjárót a virtuális hálózathoz.

A -GatewayType értéke "Vpn", a -VpnType pedig "RouteBased".
A VPN-átjárók végrehajtása a kiválasztott átjáró termékváltozatától függően akár 45 percet is igénybe vehet.

New-AzVirtualNetworkGateway -Name $GWName -ResourceGroupName $RG `
-Location $Location -IpConfigurations $ipconf -GatewayType Vpn `
-VpnType RouteBased -EnableBgp $false -GatewaySku VpnGw1

5. Adja hozzá a RADIUS-kiszolgálót és az ügyfélcímkészletet

A -RadiusServer megadható név vagy IP-cím alapján. Ha megadja a nevet, és a kiszolgáló a helyszínen található, akkor előfordulhat, hogy a VPN-átjáró nem tudja feloldani a nevet. Ha ez a helyzet, akkor jobb, ha megadja a kiszolgáló IP-címét.
A -RadiusSecretnek meg kell egyeznie a RADIUS-kiszolgálón konfiguráltval.
A -VpnClientAddressPool az a tartomány, amelyből a csatlakozó VPN-ügyfelek IP-címet kapnak. Olyan magánhálózati IP-címtartományt használjon, amely nem fedi át a kapcsolatot a helyszíni hellyel, vagy azzal a virtuális hálózattal, amelyhez csatlakozni szeretne. Győződjön meg arról, hogy elég nagy címkészlet van konfigurálva.

Hozzon létre egy biztonságos sztringet a RADIUS-titkos kódhoz.

$Secure_Secret=Read-Host -AsSecureString -Prompt "RadiusSecret"

A rendszer kéri a RADIUS-titkos kód megadását. A beírt karakterek nem jelennek meg, helyette a "*" karakter jelenik meg.
```
RadiusSecret:***
```

Adja hozzá a VPN-ügyfélcímkészletet és a RADIUS-kiszolgáló adatait.

SSTP-konfigurációk esetén:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "SSTP" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

OpenVPN-konfigurációk® esetén:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway -VpnClientRootCertificates @()
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "OpenVPN" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

IKEv2-konfigurációk esetén:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "IKEv2" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

SSTP + IKEv2 esetén:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol @( "SSTP", "IkeV2" ) `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

Két RADIUS-kiszolgáló megadásához használja az alábbi szintaxist. Szükség szerint módosítsa a -VpnClientProtocol értéket.

$radiusServer1 = New-AzRadiusServer -RadiusServerAddress 10.1.0.15 -RadiusServerSecret $radiuspd -RadiusServerScore 30
$radiusServer2 = New-AzRadiusServer -RadiusServerAddress 10.1.0.16 -RadiusServerSecret $radiuspd -RadiusServerScore 1

$radiusServers = @( $radiusServer1, $radiusServer2 )

Set-AzVirtualNetworkGateway -VirtualNetworkGateway $actual -VpnClientAddressPool 201.169.0.0/16 -VpnClientProtocol "IkeV2" -RadiusServerList $radiusServers

6. A VPN-ügyfél konfigurálása és csatlakozás

A VPN-ügyfélprofil konfigurációs csomagjai tartalmazzák azokat a beállításokat, amelyek segítenek a VPN-ügyfélprofilok konfigurálásában az Azure-beli virtuális hálózattal való kapcsolathoz.

VPN-ügyfélkonfigurációs csomag létrehozásához és VPN-ügyfél konfigurálásához tekintse meg az alábbi cikkek egyikét:

A VPN-ügyfél konfigurálása után csatlakozzon az Azure-hoz.

A kapcsolat ellenőrzése

Annak ellenőrzéséhez, hogy a VPN-kapcsolat aktív-e, nyisson meg egy rendszergazda jogú parancssort, és futtassa az ipconfig/all parancsot.

Tekintse meg az eredményeket. Figyelje meg, hogy a kapott IP-cím a konfigurációban megadott P2S VPN-ügyfélcímkészlet egyik címe. Az eredmények az alábbi példához hasonlóak:

PPP adapter VNet1:
   Connection-specific DNS Suffix .:
   Description.....................: VNet1
   Physical Address................:
   DHCP Enabled....................: No
   Autoconfiguration Enabled.......: Yes
   IPv4 Address....................: 172.16.201.3(Preferred)
   Subnet Mask.....................: 255.255.255.255
   Default Gateway.................:
   NetBIOS over Tcpip..............: Enabled

A P2S-kapcsolatok hibaelhárításához tekintse meg az Azure pont–hely kapcsolatok hibaelhárítását.

Csatlakozás virtuális géphez

A virtuális hálózaton üzembe helyezett virtuális gépekhez távoli asztali Csatlakozás létrehozásával csatlakozhat a virtuális géphez. A legjobb mód arra, hogy először ellenőrizze, hogy tud-e csatlakozni a virtuális géphez, ha egy magánhálózati IP-címet használ a számítógép neve helyett. Így teszteli, hogy tud-e csatlakozni, nem pedig azt, hogy a névfeloldás megfelelően van-e konfigurálva.

Keresse meg a magánhálózati IP-címet. A virtuális gép magánhálózati IP-címét az Azure Portalon vagy a PowerShell használatával tekintheti meg.
- Azure Portal: Keresse meg a virtuális gépet az Azure Portalon. Tekintse meg a virtuális gép tulajdonságait. A magánhálózati IP-cím a listában szerepel.
- PowerShell: A példában megtekintheti az erőforráscsoportok virtuális gépeinek és magánhálózati IP-címeinek listáját. Ezt a példát nem kell használat előtt módosítania.
```
$VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null

foreach ($Nic in $Nics) {
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}
```
Ellenőrizze, hogy csatlakozik-e a virtuális hálózathoz.
Nyissa meg a Távoli asztal Csatlakozás ion parancsot az RDP vagy a Távoli asztal Csatlakozás ion megadásával a tálcán lévő keresőmezőbe. Ezután válassza a Távoli asztal Csatlakozás ion lehetőséget. A Távoli asztal Csatlakozás amstsc PowerShellben található paranccsal is megnyithatja.
A Távoli asztal Csatlakozás ionban adja meg a virtuális gép magánhálózati IP-címét. A Megjelenítési beállítások lehetőséget választva módosíthatja a többi beállítást, majd csatlakozhat.

Ha nem tud csatlakozni egy virtuális géphez a VPN-kapcsolaton keresztül, ellenőrizze az alábbi pontokat:

Ellenőrizze, hogy a VPN-kapcsolat sikeresen létrejött-e.
Ellenőrizze, hogy csatlakozik-e a virtuális gép magánhálózati IP-címéhez.
Ha a magánhálózati IP-címmel tud csatlakozni a virtuális géphez, de nem a számítógép nevével, ellenőrizze, hogy megfelelően konfigurálta-e a DNS-t. A virtuális gépek névfeloldásáról további információt a virtuális gépek névfeloldása című témakörben talál.

Az RDP-kapcsolatokkal kapcsolatos további információkért lásd a virtuális gép távoli asztali kapcsolatainak hibaelhárításával foglalkozó cikket.

Ellenőrizze, hogy létrejött-e a VPN-ügyfél konfigurációs csomagja azután, hogy a DNS-kiszolgáló IP-címei meg lettek adva a virtuális hálózathoz. Ha frissítette a DNS-kiszolgáló IP-címeit, hozzon létre és telepítsen egy új VPN-ügyfélkonfigurációs csomagot.
Az "ipconfig" használatával ellenőrizze az Ethernet-adapterhez rendelt IPv4-címet azon a számítógépen, amelyhez csatlakozik. Ha az IP-cím a VPNClientAddressPool virtuális hálózat címtartományán belül vagy a VPNClientAddressPool címtartományában található, akkor ezt átfedésben lévő címtérnek nevezzük. Ilyen átfedés esetén a hálózati forgalom nem éri el az Azure-t, és a helyi hálózaton marad.

GYIK

A gyakori kérdésekről a gyakori kérdések pont–hely – RADIUS-hitelesítés szakaszában olvashat.

Következő lépések

Miután a kapcsolat létrejött, hozzáadhat virtuális gépeket a virtuális hálózataihoz. További információkért lásd: Virtuális gépek. A hálózatok és virtuális gépek ismertetését lásd az Azure- és Linux-alapú virtuálisgép-hálózatok áttekintésében.