Membuat jaringan virtual dengan koneksi VPN situs-ke-situs menggunakan CLI

  • Artikel

Artikel ini memperlihatkan kepada Anda cara menggunakan Azure CLI untuk membuat koneksi gateway VPN situs-ke-situs dari jaringan lokal Anda ke VNet. Langkah-langkah dalam artikel ini berlaku untuk model penyebaran Resource Manager. Anda juga dapat membuat konfigurasi ini menggunakan alat penerapan atau model penerapan yang berbeda dengan memilih opsi yang berbeda dari daftar berikut:

Site-to-site VPN Gateway cross-premises connection diagram for CLI article.

Koneksi gateway VPN situs-ke-situs digunakan untuk menyambungkan jaringan lokal Anda ke jaringan virtual Azure melalui terowongan VPN IPsec/IKE (IKEv1 atau IKEv2). Jenis koneksi ini memerlukan perangkat VPN yang terletak di tempat yang memiliki alamat IP publik yang menghadap luar yang telah ditetapkan untuknya. Untuk informasi selengkapnya tentang VPN gateway, lihat Tentang VPN gateway.

Sebelum Anda mulai

Pastikan bahwa Anda telah memenuhi kriteria berikut sebelum memulai konfigurasi:

  • Pastikan Anda memiliki perangkat VPN yang kompatibel dan seseorang yang dapat mengonfigurasinya. Untuk informasi selengkapnya tentang perangkat VPN dan konfigurasi perangkat yang kompatibel, lihat Tentang Perangkat VPN.
  • Pastikan bahwa Anda memiliki alamat IPv4 publik yang menghadap ke eksternal untuk perangkat VPN Anda.
  • Jika Anda tidak terbiasa dengan rentang alamat IP yang terletak di konfigurasi jaringan lokal, Anda perlu berkoordinasi dengan seseorang yang dapat memberikan detail tersebut untuk Anda. Saat Anda membuat konfigurasi ini, Anda harus menentukan prefiks rentang alamat IP yang akan dirutekan Azure ke lokasi lokal Anda. Tidak ada subnet dari jaringan lokal Anda yang bisa tumpang tindih dengan subnet jaringan virtual yang ingin Anda sambungkan.
  • Artikel ini memerlukan Azure CLI versi 2.0 atau yang lebih baru. Jika menggunakan Azure Cloud Shell, versi terbaru sudah terinstal.

Contoh nilai

Anda dapat menggunakan nilai-nilai berikut untuk membuat lingkungan pengujian, atau merujuk nilai-nilai ini untuk lebih memahami contoh dalam artikel ini:

#Example values

VnetName                = VNet1 
ResourceGroup           = TestRG1 
Location                = eastus 
AddressSpace            = 10.1.0.0/16 
SubnetName              = Frontend
Subnet                  = 10.1.0.0/24 
GatewaySubnet           = 10.1.255.0/27 
LocalNetworkGatewayName = Site1
LNG Public IP           = <On-premises VPN device IP address>
LocalAddrPrefix1        = 10.0.0.0/24
LocalAddrPrefix2        = 20.0.0.0/24   
GatewayName             = VNet1GW 
PublicIP                = VNet1GWIP 
GatewayType             = Vpn 
ConnectionName          = VNet1toSite2

1. Menyambungkan ke langganan Anda

Jika Anda memilih untuk menjalankan CLI secara lokal, sambungkan ke langganan Anda. Jika Anda menggunakan Azure Cloud Shell di browser, Anda tidak perlu menyambungkan ke langganan Anda. Anda akan tersambung secara otomatis di Azure Cloud Shell. Namun, Anda mungkin ingin memverifikasi bahwa Anda menggunakan langganan yang benar setelah tersambung.

Masuk ke langganan Azure Anda dengan perintah az login dan ikuti petunjuk di layar. Untuk informasi selengkapnya tentang proses masuk, lihat Memulai Azure CLI.

az login

Jika Anda memiliki lebih dari satu langganan Azure, daftarkan langganan untuk akun tersebut.

az account list --all

Tentukan langganan yang ingin Anda gunakan.

az account set --subscription <replace_with_your_subscription_id>

2. Membuat grup sumber daya

Contoh berikut membuat grup sumber daya bernama ‘TestRG1’ di lokasi ‘eastus’. Jika sudah memiliki grup sumber daya di wilayah tempat Anda ingin membuat VNet, Anda dapat menggunakan itu sebagai gantinya.

az group create --name TestRG --location eastus

3. Buat jaringan virtual

Jika Anda belum memiliki jaringan virtual, buatlah menggunakan perintah az network vnet create. Saat membuat jaringan virtual, pastikan ruang alamat yang Anda tentukan tidak tumpang tindih dengan ruang alamat mana pun yang Anda miliki di jaringan lokal Anda.

Catatan

Agar VNet ini dapat tersambung ke lokasi lokal, Anda perlu berkoordinasi dengan administrator jaringan lokal Anda untuk membuat rentang alamat IP yang dapat Anda gunakan secara khusus untuk jaringan virtual ini. Jika terdapat duplikasi rentang alamat di kedua sisi koneksi VPN, lalu lintas tidak menjalankan perutean seperti yang Anda harapkan. Selain itu, jika Anda ingin menghubungkan VNet ini ke VNet yang lain, ruang alamat tidak boleh tumpang tindih dengan VNet lainnya. Oleh karena itu, berhati-hatilah ketika merencanakan konfigurasi jaringan Anda.

Contoh berikut membuat jaringan virtual bernama 'VNet1' dan subnet, 'Subnet1'.

az network vnet create --name VNet1 --resource-group TestRG1 --address-prefix 10.1.0.0/16 --location eastus --subnet-name Subnet1 --subnet-prefix 10.1.0.0/24

4. Buat subnet gateway

Gateway jaringan virtual menggunakan subnet tertentu yang disebut subnet gateway. Subnet gateway adalah bagian dari rentang alamat IP jaringan virtual yang Anda tentukan saat mengonfigurasi jaringan virtual Anda. Hal ini berisi alamat IP yang digunakan sumber daya dan layanan gateway jaringan virtual. Subnet harus diberi nama 'GatewaySubnet' agar Azure dapat menyebarkan sumber daya gateway. Anda tidak dapat menentukan subnet lain untuk menyebarkan sumber daya gateway. Jika Anda tidak memiliki subnet bernama 'GatewaySubnet' saat Anda membuat gateway VPN, maka akan gagal.

Saat Anda membuat subnet gateway, Anda menentukan jumlah alamat IP yang ditampung subnet. Jumlah alamat IP yang diperlukan tergantung pada konfigurasi gateway VPN yang ingin Anda buat. Beberapa konfigurasi memerlukan lebih banyak alamat IP daripada yang lain. Kami menyarankan Anda membuat subnet gateway yang menggunakan /27 atau /28.

Jika Anda melihat kesalahan yang menetapkan bahwa ruang alamat tumpang tindih dengan subnet, atau bahwa subnet tidak terdapat dalam ruang alamat untuk jaringan virtual Anda, periksa rentang alamat VNet Anda. Anda mungkin tidak memiliki cukup alamat IP yang tersedia dalam rentang alamat yang Anda buat untuk jaringan virtual Anda. Contohnya, jika subnet default Anda mencakup seluruh rentang alamat, tidak ada alamat IP yang tersisa untuk membuat subnet tambahan. Anda dapat menyesuaikan subnet Anda dalam ruang alamat yang ada untuk mengosongkan alamat IP, atau menentukan rentang alamat tambahan dan membuat subnet gateway di sana.

Gunakan perintah az network vnet subnet create untuk membuat subnet gateway.

az network vnet subnet create --address-prefix 10.1.255.0/27 --name GatewaySubnet --resource-group TestRG1 --vnet-name VNet1

Penting

Saat Anda bekerja dengan subnet gateway, hindari mengaitkan grup keamanan jaringan (NSG) ke subnet gateway. Mengaitkan grup keamanan jaringan ke subnet ini dapat menyebabkan gateway jaringan virtual Anda (gateway VPN dan ExpressRoute) berhenti berfungsi seperti yang diharapkan. Untuk informasi selengkapnya tentang grup keamanan jaringan, lihat Apa itu grup keamanan jaringan?.

5. Buat gateway jaringan lokal

Gateway jaringan lokal biasanya merujuk ke lokasi lokal Anda. Anda memberi nama situs di mana Azure dapat merujuknya, lalu tentukan alamat IP perangkat VPN lokal tempat Anda akan membuat koneksi. Anda juga menentukan prefiks alamat IP yang akan dirutekan melalui VPN gateway ke perangkat VPN. Prefiks alamat yang Anda tentukan adalah prefiks yang terletak di jaringan lokal Anda. Jika jaringan lokal Anda berubah, Anda dapat dengan mudah memperbarui prefiksnya.

Gunakan nilai berikut:

  • --gateway-ip-address adalah alamat IP perangkat VPN lokal Anda.
  • --local-address-prefixes adalah ruang alamat lokal Anda.

Gunakan perintah az network local-gateway create untuk menambahkan gateway jaringan lokal dengan beberapa prefiks alamat:

az network local-gateway create --gateway-ip-address 23.99.221.164 --name Site2 --resource-group TestRG1 --local-address-prefixes 10.0.0.0/24 20.0.0.0/24

6. Minta alamat IP publik

Gateway VPN harus memiliki alamat IP publik. Pertama-tama, minta sumber daya alamat IP, lalu merujuknya saat membuat gateway jaringan virtual Anda. Alamat IP secara dinamis ditetapkan ke sumber daya saat VPN gateway dibuat. Satu-satunya waktu perubahan alamat IP publik adalah ketika gateway dihapus dan dibuat ulang. Ini tidak berubah di seluruh pengubahan ukuran, pengaturan ulang, atau pemeliharaan/peningkatan internal lainnya dari gateway VPN Anda.

Gunakan perintah az network public-ip create untuk meminta alamat IP publik.

az network public-ip create --name VNet1GWIP --resource-group TestRG1 --allocation-method Static --sku Standard

7. Buat VPN gateway

Membuat VPN gateway jaringan virtual. Membuat gateway seringkali bisa memakan waktu 45 menit atau lebih, bergantung pada SKU gateway yang dipilih.

Gunakan nilai berikut:

  • --gateway-type untuk konfigurasi situs-ke-situs adalah Vpn. Jenis gateway selalu spesifik untuk konfigurasi yang Anda terapkan. Untuk informasi selengkapnya, lihat Jenis gateway.
  • Jenis --vpn adalah RouteBased (disebut sebagai Gateway Dinamis dalam beberapa dokumentasi).
  • Pilih SKU Gateway yang ingin Anda gunakan. Ada batasan konfigurasi untuk SKU tertentu. Untuk informasi selengkapnya, lihat SKU Gateway.

Buat gateway VPN menggunakan perintah az network vnet-gateway create. Jika Anda menjalankan perintah ini menggunakan parameter '--no-wait', Anda tidak akan melihat umpan balik atau output apa pun. Parameter ini mengizinkan gateway tersebut dibuat di latar belakang. Diperlukan waktu 45 menit atau lebih untuk membuat gateway.

az network vnet-gateway create --name VNet1GW --public-ip-address VNet1GWIP --resource-group TestRG1 --vnet VNet1 --gateway-type Vpn --vpn-type RouteBased --sku VpnGw1 --no-wait 

8. Konfigurasi perangkat VPN Anda

Koneksi Situs-ke-Situs pada jaringan lokal memerlukan perangkat VPN. Dalam langkah ini, Anda mengonfigurasi perangkat VPN Anda. Saat mengonfigurasi perangkat VPN, Anda memerlukan hal-hal berikut ini:

  • Kunci bersama. Ini adalah kunci bersama yang sama dengan yang Anda tentukan saat membuat koneksi VPN situs ke situs. Dalam contoh kami, kami menggunakan kunci bersama dasar. Kami menyarankan Anda membuat kunci yang lebih kompleks untuk digunakan.

  • Alamat IP publik gateway jaringan virtual Anda. Anda bisa menampilkan alamat IP publik dengan menggunakan portal Microsoft Azure, PowerShell, atau CLI. Untuk menemukan alamat IP publik gateway jaringan virtual Anda, gunakan perintah az network public-ip list. Agar mudah dibaca, output diformat untuk menampilkan daftar IP publik dalam format tabel.

    az network public-ip list --resource-group TestRG1 --output table

Untuk mengunduh skrip konfigurasi perangkat VPN:

Tergantung pada perangkat VPN yang dimiliki, Anda mungkin dapat mengunduh skrip konfigurasi perangkat VPN. Untuk mengetahui informasi selengkapnya, lihat Mengunduh skrip konfigurasi perangkat VPN.

Lihat tautan berikut untuk mengetahui informasi konfigurasi tambahan:

9. Buat koneksi VPN

Buat koneksi VPN situs-ke-situs antara gateway jaringan virtual Anda dan perangkat VPN lokal Anda. Berikan perhatian khusus pada nilai kunci bersama, yang harus cocok dengan nilai kunci bersama yang dikonfigurasi untuk perangkat VPN Anda.

Buat koneksi menggunakan perintah az network vpn-connection create.

az network vpn-connection create --name VNet1toSite2 --resource-group TestRG1 --vnet-gateway1 VNet1GW -l eastus --shared-key abc123 --local-gateway2 Site2

Setelah beberapa saat, koneksi akan dibuat.

10. Verifikasi koneksi VPN

Anda dapat memverifikasi bahwa koneksi Anda berhasil dengan menggunakan perintah az network vpn-connection show. Dalam contoh, '--name' mengacu pada nama koneksi yang ingin Anda uji. Ketika koneksi sedang dalam proses dibuat, status koneksinya menunjukkan 'Menyambungkan'. Setelah koneksi dibuat, status berubah menjadi 'Tersambung'. Ubah contoh berikut dengan nilai untuk lingkungan Anda.

az network vpn-connection show --name <connection-name> --resource-group <resource-group-name>

Jika Anda ingin menggunakan metode lain untuk memverifikasi koneksi Anda, lihat Memverifikasi koneksi VPN Gateway.

Untuk menyambungkan ke komputer virtual

Anda dapat terhubung ke VM yang disebarkan ke jaringan virtual Anda dengan membuat Koneksi desktop jarak jauh ke VM Anda. Cara terbaik untuk memverifikasi bahwa Anda dapat terhubung ke VM Anda terlebih dahulu adalah dengan menggunakan alamat IP pribadinya, bukan nama komputernya. Dengan demikian, Anda sedang menguji untuk melihat apakah Anda dapat tersambung, bukan apakah resolusi nama dikonfigurasi dengan benar.

  1. Temukan alamat IP pribadi. Anda dapat menemukan alamat IP privat VM dengan melihat properti untuk VM di portal Azure atau dengan menggunakan PowerShell.

    • portal Azure: Temukan VM Anda di portal Azure. Lihat properti untuk VM. Alamat IP pribadi dicantumkan.

    • PowerShell: Gunakan contoh untuk melihat daftar VM dan alamat IP privat dari grup sumber daya Anda. Anda tidak perlu mengubah contoh ini sebelum menggunakannya.

      $VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null

foreach ($Nic in $Nics) {
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}

  2. Verifikasi bahwa Anda tersambung ke jaringan virtual Anda.

  3. Buka Koneksi desktop jarak jauh dengan memasukkan Koneksi ion RDP atau Desktop Jauh di kotak pencarian pada taskbar. Lalu pilih Koneksi ion Desktop Jauh. Anda juga dapat membuka Koneksi ion Desktop Jauh dengan menggunakan mstsc perintah di PowerShell.

  4. Di Remote Desktop Connection, masukkan alamat IP privat dari VM itu. Anda dapat memilih Perlihatkan Opsi untuk menyesuaikan pengaturan lain lalu menyambungkan.

Jika Anda mengalami masalah saat menyambungkan ke VM melalui koneksi VPN Anda, periksa poin-poin berikut:

  • Pastikan sambungan VPN Anda aktif.
  • Verifikasi bahwa Anda menyambungkan ke alamat IP private untuk VM itu.
  • Jika Anda bisa tersambung ke VM dengan menggunakan alamat IP privat tetapi bukan nama komputer, verifikasi bahwa Anda telah mengonfigurasi DNS dengan benar. Untuk informasi selengkapnya tentang cara kerja resolusi nama untuk VM, lihat Resolusi nama untuk VM.

Untuk informasi selengkapnya tentang sambungan RDP, lihat Memecahkan masalah sambungan Desktop Jauh ke VM.

Tugas umum

Bagian ini berisi perintah umum yang berguna saat bekerja dengan konfigurasi Situs-ke-Situs. Untuk daftar lengkap perintah jaringan CLI, lihat Azure CLI - Jaringan.

Untuk menampilkan gateway jaringan lokal

Untuk menampilkan daftar gateway jaringan lokal, gunakan perintah daftar gateway lokal jaringan az.

az network local-gateway list --resource-group TestRG1

Untuk memodifikasi prefiks alamat IP gateway lokal - tidak ada koneksi gateway

Jika Anda tidak memiliki koneksi gateway dan ingin menambahkan atau menghapus awalan alamat IP, gunakan perintah yang sama dengan yang Anda gunakan untuk membuat gateway jaringan lokal, buat gateway lokal jaringan az. Anda juga dapat menggunakan perintah ini untuk memperbarui alamat IP gateway untuk perangkat VPN. Untuk menimpa setelan saat ini, gunakan nama gateway jaringan lokal Anda yang sudah ada. Jika menggunakan nama yang berbeda, Anda membuat gateway lokal baru, alih-alih menimpa gateway lokal yang sudah ada.

Setiap kali Anda membuat perubahan, seluruh daftar awalan harus ditentukan, bukan hanya awalan yang ingin Anda ubah. Tentukan hanya awalan yang ingin Anda simpan. Dalam hal ini, 10.0.0.0/24 dan 20.0.0.0/24

az network local-gateway create --gateway-ip-address 23.99.221.164 --name Site2 -g TestRG1 --local-address-prefixes 10.0.0.0/24 20.0.0.0/24

Untuk mengubah prefiks alamat IP gateway jaringan lokal - koneksi gateway yang sudah ada

Jika Anda memiliki koneksi gateway dan ingin menambahkan atau menghapus awalan alamat IP, Anda bisa memperbarui awalan menggunakan pembaruan gateway lokal jaringan az. Langkah ini menyebabkan beberapa waktu henti untuk koneksi VPN Anda. Saat memodifikasi awalan alamat IP, Anda tidak perlu menghapus gateway VPN.

Setiap kali Anda membuat perubahan, seluruh daftar awalan harus ditentukan, bukan hanya awalan yang ingin Anda ubah. Dalam contoh ini, 10.0.0.0/24 dan 20.0.0.0/24 sudah ada. Kami menambahkan awalan 30.0.0.0/24 dan 40.0.0.0/24 dan menentukan semua 4 awalan saat memperbarui.

az network local-gateway update --local-address-prefixes 10.0.0.0/24 20.0.0.0/24 30.0.0.0/24 40.0.0.0/24 --name VNet1toSite2 -g TestRG1

Untuk mengubah gateway jaringan lokal 'gatewayIpAddress'

Jika perangkat VPN yang ingin Anda sambungkan telah mengubah alamat IP publiknya, Anda perlu memodifikasi gateway jaringan lokal untuk mencerminkan perubahan tersebut. Alamat IP gateway dapat diubah tanpa menghapus koneksi gateway VPN yang sudah ada (jika Anda memilikinya). Untuk mengubah alamat IP gateway, ganti nilai 'Site2' dan 'TestRG1' dengan alamat Anda sendiri menggunakan perintahpembaruan gateway lokal jaringan az.

az network local-gateway update --gateway-ip-address 23.99.222.170 --name Site2 --resource-group TestRG1

Verifikasi bahwa alamat IP sudah benar dalam output:

"gatewayIpAddress": "23.99.222.170",

Untuk memverifikasi nilai kunci bersama

Pastikan bahwa nilai kunci bersama adalah nilai yang sama dengan yang Anda gunakan untuk konfigurasi perangkat VPN Anda. Jika tidak, jalankan koneksi lagi menggunakan nilai dari perangkat, atau perbarui perangkat dengan nilai dari pengembalian. Nilai ini harus cocok. Untuk melihat kunci bersama, gunakan jaringan az vpn-connection-list.

az network vpn-connection shared-key show --connection-name VNet1toSite2 --resource-group TestRG1

Menampilkan alamat IP publik gateway

Untuk menemukan alamat IP publik gateway jaringan virtual Anda, gunakan perintah az network public-ip list. Agar mudah dibaca, keluaran diformat untuk menampilkan daftar IP publik dalam format tabel.

az network public-ip list --resource-group TestRG1 --output table

Langkah berikutnya