Tutorial: Buat jaringan hub dan spoke yang aman
Dalam tutorial ini, Anda membuat topologi jaringan hub dan spoke menggunakan Azure Virtual Network Manager. Anda kemudian menyebarkan gateway jaringan virtual di jaringan virtual hub untuk memungkinkan sumber daya di jaringan virtual spoke berkomunikasi dengan jaringan jarak jauh menggunakan VPN. Selain itu, Anda mengonfigurasi konfigurasi keamanan untuk memblokir lalu lintas jaringan keluar ke internet pada port 80 dan 443. Terakhir, Anda memverifikasi bahwa konfigurasi diterapkan dengan benar dengan melihat jaringan virtual dan pengaturan komputer virtual.
Dalam tutorial ini, Anda akan mempelajari cara:
- Buat beberapa jaringan virtual.
- Menyebarkan gateway jaringan virtual.
- Buat topologi jaringan hub dan spoke.
- Buat konfigurasi keamanan yang memblokir lalu lintas pada port 80 dan 443.
- Pastikan konfigurasi telah diterapkan.
Prasyarat
- Akun Azure dengan langganan aktif. Buat akun secara gratis.
- Sebelum Anda dapat menyelesaikan langkah-langkah dalam tutorial ini, Anda harus terlebih dahulu membuat instans Azure Virtual Network Manager. Instans perlu menyertakan fitur admin Konektivitas dan Keamanan. Tutorial ini menggunakan instans Virtual Network Manager bernama vnm-learn-eastus-001.
Membuat jaringan virtual
Prosedur ini memandikan Anda membuat tiga jaringan virtual yang akan terhubung menggunakan topologi jaringan hub dan spoke.
Masuk ke portal Azure.
Pilih + Buat sumber daya dan cari Jaringan virtual. Kemudian pilih Buat untuk mulai mengonfigurasi jaringan virtual.
Di tab Dasar-dasar, masukkan atau pilih informasi berikut ini:
Pengaturan Nilai Langganan Pilih langganan tempat Anda ingin menyebarkan jaringan virtual ini. Grup sumber daya Pilih atau buat grup sumber daya baru untuk menyimpan jaringan virtual. Mulai cepat ini menggunakan grup sumber daya bernama rg-learn-eastus-001. Nama Masukkan vnet-learn-prod-eastus-001 untuk nama jaringan virtual. Wilayah Pilih wilayah US Timur. Pilih Berikutnya: Alamat IP dan konfigurasikan ruang alamat jaringan berikut:
Pengaturan Nilai Ruang alamat IPv4 Masukkan 10.0.0.0/16 sebagai ruang alamat. Nama subnet Masukkan nama default untuk subnet. Ruang alamat subnet Masukkan ruang alamat subnet 10.0.0.0/24. Pilih Tinjau + buat lalu pilih Buat untuk menyebarkan jaringan virtual.
Ulangi langkah 2-5 untuk membuat dua jaringan virtual lagi ke dalam grup sumber daya yang sama dengan informasi berikut:
Pengaturan Nilai Langganan Pilih langganan yang sama dengan yang Anda pilih di langkah 3. Grup sumber daya Pilih rg-learn-eastus-001. Nama Masukkan vnet-learn-prod-eastus-002 dan vnet-learn-hub-eastus-001 untuk dua jaringan virtual. Wilayah Pilih (US) US Timur Alamat IP vnet-learn-prod-eastus-002 Ruang alamat IPv4: 10.1.0.0/16
Nama subnet: ruang alamat Subnet default
: 10.1.0.0/24Alamat IP vnet-learn-hub-eastus-001 Ruang alamat IPv4: 10.2.0.0/16
Nama subnet: ruang alamat Subnet default
: 10.2.0.0/24
Menyebarkan gateway jaringan virtual
Menyebarkan gateway jaringan virtual ke jaringan virtual hub. Gateway jaringan virtual ini diperlukan spoke untuk pengaturan Gunakan hub sebagai gateway.
Pilih + Buat sumber daya dan cari Gateway jaringan virtual. Kemudian pilih Buat untuk mulai mengonfigurasi gateway jaringan virtual.
Pada tab Dasar, masukkan atau pilih pengaturan berikut:
Pengaturan Nilai Langganan Pilih langganan tempat Anda ingin menyebarkan jaringan virtual ini. Nama Masukkan gw-learn-hub-eastus-001 untuk nama gateway jaringan virtual. SKU Pilih VpnGW1 untuk SKU. Generation Pilih Generasi1 untuk generasi. Jaringan virtual Pilih vnet-learn-hub-eastus-001 untuk VNet. Alamat IP Publik Nama alamat IP publik Masukkan nama gwpip-learn-hub-eastus-001 untuk IP publik. ALAMAT IP PUBLIK KEDUA Nama alamat IP publik Masukkan nama gwpip-learn-hub-eastus-002 untuk IP publik. Pilih Tinjau + buat lalu pilih Buat setelah validasi lulus. Penyebaran gateway jaringan virtual dapat memakan waktu sekitar 30 menit. Anda dapat melanjutkan ke bagian berikutnya sambil menunggu penyebaran ini selesai. Namun, Anda mungkin menemukan gw-learn-hub-eastus-001 tidak menampilkan bahwa ia memiliki gateway karena waktu dan sinkronisasi di seluruh portal Azure.
Membuat grup jaringan
Catatan
Panduan cara ini mengasumsikan Anda membuat instans pengelola jaringan menggunakan panduan mulai cepat. Grup jaringan dalam tutorial ini disebut ng-learn-prod-eastus-001.
Telusuri ke grup sumber daya rg-learn-eastus-001 , dan pilih instans manajer jaringan vnm-learn-eastus-001 .
Di bawah Pengaturan, pilih Grup jaringan. Kemudian, pilih + Buat.
Pada panel Buat grup jaringan, lalu pilih Buat:
Pengaturan Nilai Nama Masukkan ng-learn-prod-eastus-001. Keterangan (Opsional) Berikan deskripsi tentang grup jaringan ini. Jenis anggota Pilih Jaringan virtual dari menu dropdown. dan pilih Buat.
Konfirmasikan bahwa grup jaringan baru sekarang tercantum di panel Grup jaringan.
Menentukan keanggotaan grup dinamis dengan kebijakan Azure
Dari daftar grup jaringan, pilih ng-learn-prod-eastus-001. Di bawah Buat kebijakan untuk menambahkan anggota secara dinamis, pilih Buat kebijakan Azure.
Pada halaman Buat Azure Policy , pilih atau masukkan informasi berikut ini:
Pengaturan Nilai Nama Azure Policy Masukkan azpol-learn-prod-eastus-001 di kotak teks. Cakupan Pilih Pilih Cakupan dan pilih langganan Anda saat ini. Kriteria Parameter Pilih Nama dari menu drop-down. Operator Pilih Berisi dari menu drop-down. Kondisi Masukkan -prod untuk kondisi dalam kotak teks. Pilih Pratinjau sumber daya untuk melihat halaman Jaringan virtual efektif dan pilih Tutup. Halaman ini memperlihatkan jaringan virtual yang akan ditambahkan ke grup jaringan berdasarkan kondisi yang ditentukan dalam Azure Policy.
Pilih Simpan untuk menyebarkan keanggotaan grup. Diperlukan waktu hingga satu menit agar kebijakan diterapkan dan ditambahkan ke grup jaringan Anda.
Pada halaman Grup Jaringan di bawah Pengaturan, pilih Anggota Grup untuk melihat keanggotaan grup berdasarkan kondisi yang ditentukan dalam Azure Policy. Sumber terdaftar sebagai azpol-learn-prod-eastus-001.
Buat konfigurasi konektivitas hub dan spoke
Pilih Konfigurasi di bawah Pengaturan, lalu pilih + Buat.
Pilih Konfigurasi konektivitas dari menu drop-down untuk mulai membuat konfigurasi konektivitas.
Pada halaman Dasar, masukkan informasi berikut, dan pilih Berikutnya: Topologi >.
Pengaturan Nilai Nama Masukkan cc-learn-prod-eastus-001. Deskripsi (Opsional) Berikan deskripsi tentang konfigurasi konektivitas ini. Pada tab Topologi , pilih Hub dan Spoke. Ini mengungkapkan pengaturan lain.
Pilih Pilih hub di bawah Pengaturan hub . Kemudian, pilih vnet-learn-hub-eastus-001 untuk berfungsi sebagai hub jaringan Anda dan pilih Pilih.
Catatan
Bergantung pada waktu penyebaran, Anda mungkin tidak melihat jaringan virtual hub target yang memiliki gateway di bawah Memiliki gateway. Hal ini disebabkan oleh penyebaran gateway jaringan virtual. Dibutuhkan waktu hingga 30 menit untuk disebarkan, dan mungkin tidak langsung ditampilkan dalam berbagai tampilan portal Azure.
Di bawah Grup jaringan spoke, pilih + tambahkan. Kemudian, pilih ng-learn-prod-eastus-001 untuk grup jaringan dan pilih Pilih.
Setelah Anda menambahkan grup jaringan, pilih opsi berikut. Kemudian pilih add untuk membuat konfigurasi konektivitas.
Pengaturan Nilai Konektivitas Langsung Pilih kotak centang untuk Mengaktifkan konektivitas dalam grup jaringan. Pengaturan ini memungkinkan jaringan virtual spoke dalam grup jaringan di wilayah yang sama untuk berkomunikasi satu sama lain secara langsung. Jala Global Biarkan opsi Aktifkan konektivitas jala di seluruh wilayah tidak dicentang. Pengaturan ini tidak diperlukan karena kedua spoke berada di wilayah yang sama Hub sebagai gateway Pilih kotak centang untuk Hub sebagai gateway. Pilih Berikutnya: Tinjau + buat > lalu buat konfigurasi konektivitas.
Terapkan konfigurasi konektivitas
Pastikan gateway jaringan virtual telah berhasil digunakan sebelum menyebarkan konfigurasi konektivitas. Jika Anda menyebarkan konfigurasi hub dan spoke dengan Gunakan hub sebagai gateway yang diaktifkan dan tidak ada gateway, penyebaran gagal. Untuk informasi selengkapnya, lihat menggunakan hub sebagai gateway.
Pilih Penyebaran di bawah Pengaturan, lalu pilih Sebarkan konfigurasi.
Pilih pengaturan berikut:
Pengaturan Nilai Konfigurasi Pilih Sertakan konfigurasi konektivitas dalam status tujuan Anda . Konfigurasi konektivitas Pilih cc-learn-prod-eastus-001. Wilayah target Pilih US Timur sebagai wilayah penyebaran. Pilih Berikutnya lalu pilih Sebarkan untuk menyelesaikan penyebaran.
Penyebaran ditampilkan dalam daftar untuk wilayah yang dipilih. Penyebaran konfigurasi dapat memakan waktu beberapa menit untuk diselesaikan.
Membuat konfigurasi admin keamanan
Pilih Konfigurasi di bawah Pengaturan lagi, lalu pilih + Buat, dan pilih KeamananAdmin dari menu untuk mulai membuat konfigurasi SecurityAdmin.
Masukkan nama sac-learn-prod-eastus-001 untuk konfigurasi, lalu pilih Berikutnya: Kumpulan aturan.
Masukkan nama rc-learn-prod-eastus-001 untuk kumpulan aturan dan pilih ng-learn-prod-eastus-001 untuk grup jaringan target. Lalu pilih + Tambahkan.
Masukkan dan pilih pengaturan berikut, lalu pilih Tambah:
Pengaturan Nilai Nama Masukkan DENY_INTERNET Deskripsi Masukkan Aturan ini memblokir lalu lintas ke internet di HTTP dan HTTPS Prioritas Masukkan 1 Perbuatan Pilih Tolak Arah Pilih Keluar Protokol Pilih TCP Sumber Jenis sumber Pilih IP Alamat IP sumber Masukkan * Tujuan Tipe tujuan Pilih alamat IP Alamat IP tujuan Masukkan * Port tujuan Masukkan 80, 443 Pilih Tambahkan untuk menambahkan kumpulan aturan ke konfigurasi.
Pilih Tinjau + buat dan Buat untuk membuat konfigurasi admin keamanan.
Terapkan konfigurasi admin keamanan
Pilih Penyebaran di bawah Pengaturan, lalu pilih Sebarkan konfigurasi.
Di bawah Konfigurasi, Pilih Sertakan admin keamanan dalam status tujuan Anda dan konfigurasi sac-learn-prod-eastus-001 yang Anda buat di bagian terakhir. Lalu pilih US Timur sebagai wilayah target dan pilih Berikutnya.
Pilih Berikutnya lalu Sebarkan. Anda sekarang akan melihat penyebaran muncul dalam daftar pada wilayah yang dipilih. Penyebaran konfigurasi dapat memakan waktu beberapa menit untuk diselesaikan.
Verifikasi penyebaran konfigurasi
Verifikasi dari jaringan virtual
Buka jaringan virtual vnet-learn-prod-eastus-001 dan pilih Pengelola Jaringan di bawah Pengaturan. Tab Konfigurasi konektivitas mencantumkan konfigurasi konektivitas cc-learn-prod-eastus-001 yang diterapkan di jaringan virtual
Pilih tab Konfigurasi admin keamanan dan perluas Keluar untuk mencantumkan aturan admin keamanan yang diterapkan ke jaringan virtual ini.
Pilih Peering di bawah Pengaturan untuk mencantumkan peering jaringan virtual yang dibuat oleh Virtual Network Manager. Namanya dimulai dengan ANM_.
Verifikasi dari VM
Sebarkan komputer virtual pengujian ke vnet-learn-prod-eastus-001.
Buka VM pengujian yang dibuat di vnet-learn-prod-eastus-001 dan pilih Jaringan di bawah Pengaturan. Pilih Aturan port keluar dan verifikasi aturan DENY_INTERNET diterapkan.
Pilih nama antarmuka jaringan dan pilih Rute efektif di bawah Bantuan untuk memverifikasi rute untuk peering jaringan virtual. Rute
10.2.0.0/16
dengan JenisVNet peering
Hop Berikutnya adalah rute ke jaringan virtual hub.
Membersihkan sumber daya
Jika Anda tidak lagi memerlukan Azure Virtual Network Manager, Anda perlu memastikan semua hal berikut ini benar sebelum Anda dapat menghapus sumber daya:
- Tidak ada penyebaran konfigurasi ke wilayah mana pun.
- Semua konfigurasi telah dihapus.
- Semua grup jaringan telah dihapus.
Gunakan daftar periksa hapus komponen untuk memastikan tidak ada sumber daya turunan yang masih tersedia sebelum menghapus grup sumber daya.
Langkah berikutnya
Pelajari cara memblokir lalu lintas jaringan dengan Konfigurasi admin keamanan.
Saran dan Komentar
https://aka.ms/ContentUserFeedback.
Segera hadir: Sepanjang tahun 2024 kami akan menghentikan penggunaan GitHub Issues sebagai mekanisme umpan balik untuk konten dan menggantinya dengan sistem umpan balik baru. Untuk mengetahui informasi selengkapnya, lihat:Kirim dan lihat umpan balik untuk