Mengonfigurasi koneksi autentikasi sertifikat S2S VPN Gateway - Azure portal

Dalam artikel ini, Anda menggunakan portal Azure untuk membuat koneksi gateway VPN dengan autentikasi sertifikat dari situs-ke-situs (S2S) antara jaringan lokal Anda dan jaringan virtual Anda. Langkah-langkah untuk konfigurasi ini menggunakan Managed Identity, Azure Key Vault, dan sertifikat. Untuk informasi selengkapnya tentang autentikasi sertifikat situs-ke-situs, lihat Tentang koneksi VPN situs-ke-situs dengan autentikasi sertifikat. Jika Anda perlu membuat koneksi VPN site-to-site yang menggunakan kunci bersama, lihat Create a S2S VPN connection.

Koneksi VPN situs-ke-situs dengan autentikasi sertifikat

Diagram yang menunjukkan koneksi lintas-premis dari gateway VPN site-to-site.

Prerequisites

  • Anda sudah memiliki jaringan virtual dan gerbang VPN. Jika Anda belum melakukannya, ikuti langkah-langkah untuk Membuat gateway VPN, lalu kembali ke halaman ini untuk mengonfigurasi koneksi otentikasi sertifikat site-to-site Anda.

    Note

    Autentikasi sertifikat site-to-site tidak didukung pada gateway VPN SKU Basic.

  • Pastikan Anda memiliki perangkat VPN yang kompatibel dan seseorang yang dapat mengkonfigurasinya. Untuk informasi lebih lanjut tentang perangkat VPN yang kompatibel dan konfigurasi perangkat, lihat About VPN devices.

  • Verifikasi bahwa Anda memiliki alamat IPv4 publik yang mengarah keluar untuk perangkat VPN Anda.

  • Jika Anda tidak familiar dengan rentang alamat IP yang ada dalam konfigurasi jaringan on-premises Anda, Anda perlu berkoordinasi dengan seseorang yang dapat memberikan detail tersebut untuk Anda. Ketika Anda membuat konfigurasi ini, Anda harus menentukan prefiks rentang alamat IP yang Azure arahkan ke lokasi lokal Anda. Tidak satu pun subnet dari jaringan lokal Anda yang dapat tumpang tindih dengan subnet jaringan virtual yang ingin Anda hubungkan.

Buat Identitas Terkelola

Konfigurasi ini memerlukan identitas terkelola. Untuk informasi lebih lanjut tentang identitas terkelola, lihat Apa itu identitas terkelola untuk sumber daya Azure? Jika Anda sudah memiliki identitas terkelola yang ditetapkan pengguna, Anda dapat menggunakannya untuk latihan ini. Jika tidak, gunakan langkah-langkah berikut untuk membuat identitas yang dikelola.

  1. Di portal Azure, cari dan pilih Identitas Terkelola.
  2. Pilih Buat.
  3. Masukkan informasi yang diperlukan. Saat Anda membuat nama, gunakan sesuatu yang intuitif. Misalnya, s2s-user-managed atau vpngw-managed. Anda memerlukan nama untuk langkah-langkah konfigurasi key vault. Grup Sumber Daya tidak harus sama dengan grup sumber daya yang Anda gunakan untuk gateway VPN Anda.
  4. Pilih Tinjau + kreasikan.
  5. Nilai-nilai tervalidasi. Saat validasi selesai, pilih Create.

Aktifkan VPN Gateway untuk Key Vault dan Managed Identity

Pada bagian ini, Anda mengaktifkan gateway untuk Azure Key Vault dan identitas terkelola yang Anda buat sebelumnya. Untuk informasi lebih lanjut tentang Azure Key Vault, lihat Tentang Azure Key Vault.

  1. Dalam portal, pergilah ke gerbang jaringan virtual Anda (gerbang VPN).
  2. Buka Pengaturan -> Konfigurasi. Pada halaman Konfigurasi, tentukan pengaturan autentikasi berikut:
    • Aktifkan Akses Key Vault: Diaktifkan.
    • Managed Identity: Pilih Managed Identity yang Anda buat sebelumnya.
  3. Simpan pengaturan Anda.

Buat gerbang jaringan lokal

Gerbang jaringan lokal adalah objek spesifik yang mewakili lokasi lokal Anda (situs) untuk keperluan pengaturan rute. Anda memberi nama pada situs yang dapat dirujuk oleh Azure, dan kemudian tentukan alamat IP dari perangkat VPN di lokasi yang terhubung langsung dengan sistem tersebut. Anda juga menentukan prefiks alamat IP yang dirutekan melalui gateway VPN ke perangkat VPN. Prefiks alamat yang Anda tentukan adalah prefiks yang terletak di jaringan lokal Anda. Jika jaringan lokal Anda berubah atau Anda perlu mengubah alamat IP publik untuk perangkat VPN, Anda dapat dengan mudah memperbarui nilainya nanti.

Note

Objek gerbang jaringan lokal diterapkan di Azure, bukan di lokasi lokal Anda.

Buatlah gerbang jaringan lokal dengan menggunakan nilai-nilai berikut:

  • Nama: Site1
  • Grup Sumber Daya: TestRG1
  • Lokasi: US Timur

Pertimbangan konfigurasi:

  • VPN Gateway hanya mendukung satu alamat IPv4 untuk setiap FQDN. Jika nama domain diselesaikan menjadi beberapa alamat IP, Gateway VPN menggunakan alamat IP pertama yang dikembalikan oleh server DNS. Untuk menghilangkan ketidakpastian, kami merekomendasikan agar FQDN Anda selalu terhubung dengan satu alamat IPv4. IPv6 tidak didukung.
  • VPN Gateway memelihara cache DNS yang diperbarui setiap 5 menit. Gateway mencoba menyelesaikan FQDN hanya untuk terowongan yang terputus. Mengatur ulang gateway juga memicu resolusi FQDN (Fully Qualified Domain Name).
  • Meskipun VPN Gateway mendukung beberapa koneksi ke gateway jaringan lokal yang berbeda dengan FQDN yang berbeda, semua FQDN harus dipecahkan menjadi alamat IP yang berbeda.

  1. Di portal, buka Gerbang jaringan lokal dan buka halaman Buat gerbang jaringan lokal.

  2. Pada tab Dasar, tentukan nilai untuk gateway jaringan lokal Anda.

    Tangkapan layar yang menunjukkan pembuatan gateway jaringan lokal dengan alamat IP.

    • Subscription: Pastikan bahwa langganan yang benar ditampilkan.
    • Resource group: Pilih grup sumber daya yang ingin Anda gunakan. Anda dapat membuat grup sumber daya baru atau memilih yang sudah Anda buat.
    • Wilayah: Pilih wilayah untuk objek ini. Anda mungkin ingin memilih lokasi yang sama dengan tempat jaringan virtual Anda berada, tetapi Anda tidak diharuskan untuk melakukannya.
    • Name: Tentukan nama untuk objek gerbang jaringan lokal Anda.
    • Endpoint: Pilih jenis endpoint untuk perangkat VPN di tempat sebagai alamat IP atau FQDN (Fully Qualified Domain Name).
      • Alamat IP: Jika Anda memiliki alamat IP publik statis yang dialokasikan dari penyedia layanan internet (ISP) Anda untuk perangkat VPN Anda, pilih opsi alamat IP. Isi alamat IP sesuai dengan contoh yang ditunjukkan. Alamat ini adalah alamat IP publik dari perangkat VPN yang ingin Anda hubungkan dengan Azure VPN Gateway. Jika Anda tidak memiliki alamat IP saat ini, Anda dapat menggunakan nilai yang ditunjukkan pada contoh. Nanti, Anda harus kembali dan mengganti alamat IP sementara Anda dengan alamat IP publik dari perangkat VPN Anda. Jika tidak, Azure tidak dapat terhubung.
      • FQDN: Jika Anda memiliki alamat IP publik dinamis yang dapat berubah setelah jangka waktu tertentu, sering kali ditentukan oleh ISP Anda, Anda dapat menggunakan nama DNS tetap dengan layanan DNS Dinamis untuk menunjuk ke alamat IP publik saat ini dari perangkat VPN Anda. Gateway VPN Azure Anda menyelesaikan FQDN untuk menentukan alamat IP publik yang akan dihubungkan.
    • Ruang alamat: Ruang alamat mengacu pada rentang alamat untuk jaringan yang diwakili oleh jaringan lokal ini. Anda dapat menambahkan beberapa rentang ruang alamat. Pastikan bahwa rentang yang Anda tentukan di sini tidak tumpang tindih dengan rentang jaringan lain yang ingin Anda hubungkan. Azure merutekan rentang alamat yang Anda tentukan ke alamat IP perangkat VPN di lokasi. Gunakan nilai Anda sendiri di sini jika Anda ingin terhubung ke situs lokal Anda, bukan nilai yang ditunjukkan dalam contoh.

  3. Pada tab Advanced, Anda dapat mengonfigurasi pengaturan BGP jika perlu.

  4. Setelah Anda menentukan nilai-nilai, pilih Tinjau + buat di bagian bawah halaman untuk memvalidasi halaman tersebut.

  5. Pilih Create untuk membuat objek gerbang jaringan lokal.

Note

Saat VPN Gateway dikonfigurasi dalam mode aktif-aktif (seperti yang ditunjukkan dalam diagram jaringan di awal artikel ini), ulangi proses untuk membuat Gateway Jaringan Lokal kedua. Ini diperlukan untuk membuat terowongan IPsec kedua ke perangkat VPN lokal menggunakan alamat IP publik kedua.

Certificates

Arsitektur otentikasi sertifikat antar-situs bergantung pada sertifikat masuk dan keluar.

Note

Sertifikat inbound dan outbound tidak perlu dihasilkan dari sertifikat akar yang sama.

Sertifikat keluar

  • Sertifikat outbound digunakan untuk memverifikasi koneksi yang berasal dari Azure ke situs lokal Anda.
  • Sertifikat disimpan di Azure Key Vault. Anda menetapkan pengidentifikasi jalur sertifikat keluar ketika Anda mengkonfigurasi koneksi situs-ke-situs Anda.
  • Anda dapat membuat sertifikat menggunakan otoritas sertifikat pilihan Anda, atau Anda dapat membuat sertifikat root yang ditandatangani sendiri.

Saat Anda membuat sertifikat keluar, sertifikat tersebut harus mematuhi pedoman berikut:

  • Panjang kunci minimum 2048 bit.
  • Harus memiliki kunci pribadi.
  • Harus memiliki otentikasi server dan klien.
  • Harus memiliki nama subjek.

Sertifikat masuk

  • Sertifikat masuk digunakan saat melakukan koneksi dari lokasi lokal Anda ke Azure.
  • Nilai nama subjek digunakan saat Anda mengonfigurasi koneksi site-to-site Anda.
  • Kunci publik rantai sertifikat ditentukan ketika Anda mengonfigurasi koneksi antar-situs Anda.

Membuat sertifikat

Gunakan PowerShell secara lokal di komputer Anda untuk membuat sertifikat. Langkah-langkah berikut menunjukkan cara untuk membuat sertifikat root yang ditandatangani sendiri dan sertifikat cabang (masuk dan keluar). Saat menggunakan contoh berikut, jangan tutup jendela PowerShell selama proses pembuatan sertifikat root CA yang ditandatangani mandiri hingga sertifikat akhir.

Buat sertifikat root yang ditandatangani sendiri

Gunakan cmdlet New-SelfSignedCertificate untuk membuat sertifikat akar yang ditandatangani sendiri. Untuk informasi lebih lanjut tentang parameter, lihat New-SelfSignedCertificate.

  1. Dari komputer yang menjalankan Windows 10 atau yang lebih baru, atau Server Windows 2016, buka konsol Windows PowerShell dengan hak akses tingkat tinggi.

  2. Buat sertifikat root yang ditandatangani sendiri. Contoh berikut membuat sertifikat akar yang ditandatangani sendiri bernama 'AzRootCA1', yang secara otomatis diinstal di Certificates-Current User\Personal\Certificates. Setelah sertifikat dibuat, Anda dapat melihatnya dengan membuka certmgr.msc, atau Manage User Certificates.

    Lakukan modifikasi yang diperlukan sebelum menggunakan contoh ini. Parameter 'NotAfter' bersifat opsional. Secara default, tanpa parameter ini, sertifikat akan kedaluwarsa dalam satu tahun.

    $params = @{
    Type = 'Custom'
    Subject = 'CN=AzRootCA1'
    KeySpec = 'Signature'
    KeyExportPolicy = 'Exportable'
    KeyUsage = 'CertSign'
    KeyUsageProperty = 'Sign'
    KeyLength = 2048
    HashAlgorithm = 'sha256'
    NotAfter = (Get-Date).AddMonths(120)
    CertStoreLocation = 'Cert:\CurrentUser\My'
    TextExtension = @('2.5.29.19={critical}{text}ca=1&pathlength=4')
}
$cert = New-SelfSignedCertificate @params

  3. Untuk menghasilkan sertifikat turunan, biarkan konsol PowerShell tetap terbuka dan lanjutkan ke langkah berikutnya.

Hasilkan sertifikat cabang

Contoh-contoh ini menggunakan cmdlet New-SelfSignedCertificate untuk menghasilkan sertifikat daun keluar dan masuk. Sertifikat secara otomatis diinstal di 'Certificates - Current User\Personal\Certificates' di komputer Anda.

Sertifikat keluar


   $params = @{
       Type = 'Custom'
       Subject = 'CN=az-outbound-cert1'
       KeySpec = 'Signature'
       KeyExportPolicy = 'Exportable'
       KeyLength = 2048
       HashAlgorithm = 'sha256'
       NotAfter = (Get-Date).AddMonths(120)
       CertStoreLocation = 'Cert:\CurrentUser\My'
       Signer = $cert
       TextExtension = @(
        '2.5.29.37={text}1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.1')
   }
   New-SelfSignedCertificate @params

Sertifikat masuk


   $params = @{
       Type = 'Custom'
       Subject = 'CN=on-prem-s2s-1'
       KeySpec = 'Signature'
       KeyExportPolicy = 'Exportable'
       KeyLength = 2048
       HashAlgorithm = 'sha256'
       NotAfter = (Get-Date).AddMonths(120)
       CertStoreLocation = 'Cert:\CurrentUser\My'
       Signer = $cert
       TextExtension = @(
        '2.5.29.37={text}1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.1')
   }
   New-SelfSignedCertificate @params

Sertifikat keluar - ekspor data kunci privat

Ekspor informasi sertifikat keluar (dengan kunci privat) ke dalam file .pfx atau .pem. Anda mengunggah informasi sertifikat ini dengan aman ke Azure Key Vault pada langkah-langkah berikutnya. Untuk mengekspor ke .pfx menggunakan Windows, ikuti langkah-langkah berikut ini:

  1. Untuk mendapatkan file sertifikat .cer, buka Kelola sertifikat pengguna.

  2. Temukan sertifikat keluar, yang umumnya berada di Certificates - Current User\Personal\Certificates, lalu klik kanan. Pilih Semua Tugas ->Ekspor. Ini membuka Panduan Ekspor Sertifikat.

  3. Di wizard, pilih Next.

  4. Pilih Yes, eksport kunci privat, lalu pilih Next.

  5. Pada halaman Format File Ekspor, pilih Personal Information Exchange - PKCS #12 (PFX). Pilih item berikut:

    • Sertakan semua sertifikat dalam jalur sertifikasi jika memungkinkan.
    • Ekspor semua properti diperluas
    • Aktifkan privasi sertifikat

  6. Pilih Selanjutnya. Pada halaman Keamanan, pilih Kata Sandi dan metode enkripsi. Kemudian, pilih Berikutnya.

  7. Tentukan nama file dan telusuri lokasi yang ingin Anda ekspor.

  8. Pilih Selesai untuk mengekspor sertifikat.

  9. Anda melihat konfirmasi yang mengatakan Ekspor berhasil.

Sertifikat masuk - ekspor data kunci publik

Ekspor data kunci publik untuk sertifikat masuk. Informasi dalam file digunakan untuk bidang rantai sertifikat inbound ketika Anda mengkonfigurasi koneksi site-to-site Anda. File yang diekspor harus dalam format .cer. Jangan enkripsi nilai sertifikat.

  1. Untuk mendapatkan file sertifikat .cer, buka Kelola sertifikat pengguna.
  2. Temukan sertifikat, yang biasanya berada di Certificates - Current User\Personal\Certificates, lalu klik kanan. Pilih Semua Tugas ->Ekspor. Ini membuka Panduan Ekspor Sertifikat.
  3. Di wizard, pilih Next.
  4. Pilih Tidak, jangan ekspor kunci pribadi. Kemudian pilih Berikutnya.
  5. Pilih Base-64 encoded X.509 (.CER), lalu pilih Berikutnya.
  6. Tentukan nama file dan telusuri lokasi yang ingin Anda ekspor.
  7. Pilih Selesai untuk mengekspor sertifikat.
  8. Anda melihat konfirmasi yang mengatakan Ekspor berhasil.
  9. File .cer ini akan digunakan nanti, ketika Anda mengkonfigurasi koneksi Anda.

Sertifikat root - ekspor data kunci publik

Ekspor data kunci publik untuk root certificate. File yang diekspor harus dalam format .cer. Jangan enkripsi nilai sertifikat.

  1. Untuk mendapatkan file sertifikat .cer, buka Kelola sertifikat pengguna.
  2. Temukan sertifikat, yang biasanya berada di Certificates - Current User\Personal\Certificates, lalu klik kanan. Pilih Semua Tugas ->Ekspor. Ini membuka Panduan Ekspor Sertifikat.
  3. Di wizard, pilih Next.
  4. Pilih Tidak, jangan ekspor kunci pribadi. Kemudian pilih Berikutnya.
  5. Pilih Base-64 encoded X.509 (.CER), lalu pilih Berikutnya.
  6. Tentukan nama file dan telusuri lokasi yang ingin Anda ekspor.
  7. Pilih Selesai untuk mengekspor sertifikat.
  8. Anda melihat konfirmasi yang mengatakan Ekspor berhasil.
  9. File .cer ini akan digunakan nanti, ketika Anda mengkonfigurasi koneksi Anda.

Buat brankas kunci

Konfigurasi ini memerlukan Azure Key Vault. Langkah-langkah berikut membuat sebuah lemari kunci. Anda menambahkan sertifikat dan Identitas Terkelola Anda ke lemari kunci Anda nanti. Untuk langkah-langkah yang lebih lengkap, lihat Quickstart - Membuat key vault menggunakan portal Azure.

  1. Di portal Azure, cari Key Vaults. Di halaman Key vaults, pilih +Create.
  2. Pada halaman Buat kunci penyimpanan, isi informasi yang diperlukan. Kelompok sumber daya tidak harus sama dengan kelompok sumber daya yang Anda gunakan untuk gerbang VPN Anda.
  3. Pada tab Konfigurasi akses, untuk Model izin, pilih Kontrol berbasis peran Azure (disarankan).
  4. Jangan isi kolom lainnya.
  5. Pilih Tinjau + buat, lalu Buat brankas kunci.

Tambahkan file sertifikat keluar ke brankas kunci Anda

Langkah-langkah berikut membantu Anda mengunggah informasi sertifikat keluar ke Azure Key Vault.

  1. Pergi ke penyimpanan kunci Anda. Pada panel kiri, buka halaman Sertifikat.
  2. Pada halaman Sertifikat, pilih +Buat/Impor.
  3. Untuk Metode Pembuatan Sertifikat, pilih Impor dari menu dropdown.
  4. Masukkan nama sertifikat yang intuitif. Ini tidak perlu menjadi CN sertifikat atau nama file sertifikat.
  5. Unggah berkas sertifikat keluar Anda. File sertifikat harus dalam salah satu format berikut:
    • .pfx
    • .pfm
  6. Masukkan kata sandi yang digunakan untuk melindungi informasi sertifikat.
  7. Pilih Create untuk mengunggah file sertifikat.

Memberikan akses identitas terkelola yang ditetapkan pengguna ke Key Vault menggunakan peran RBAC bawaan

  1. Buka Key Vault dan pilih Kontrol akses (IAM).
  2. Pilih Tambahkan, lalu pilih Tambahkan penetapan peran.
  3. Di Cari menurut nama peran, masukkan Pengguna Rahasia Key Vault, pilih peran bawaan, lalu pilih Berikutnya.
  4. Pada tab Anggota , untuk Tetapkan akses ke, pilih Identitas terkelola.
  5. Pilih + Pilih anggota. Di Pilih identitasterkelola, atur Identitas terkelola ke Identitas terkelola yang ditetapkan pengguna, lalu pilih identitas terkelola yang ditetapkan pengguna yang Anda buat sebelumnya.
  6. Pilih Berikutnya, tinjau pengaturan, lalu pilih Tinjau + tetapkan untuk menerapkan penetapan peran.
  7. Ulangi langkah-langkah sebelumnya untuk menetapkan peran Pengguna Sertifikat Key Vault ke identitas terkelola yang ditetapkan pengguna yang sama. Ini diperlukan; jika tidak, identitas terkelola tidak dapat mengakses sertifikat keluar yang disimpan di Key Vault.

Note

Perubahan penetapan peran RBAC tidak segera diterapkan ke Key Vault. Sebelum melanjutkan ke langkah berikutnya, verifikasi di bawah Penetapan peran bahwa peran bawaan Pengguna Rahasia Key Vault dan Pengguna Sertifikat Key Vault ada.

Konfigurasikan perangkat VPN Anda

Koneksi situs-ke-situs ke jaringan lokal memerlukan perangkat VPN. Pada langkah ini, konfigurasikan perangkat VPN Anda. Saat Anda mengonfigurasi perangkat VPN Anda, Anda memerlukan nilai-nilai berikut:

  • Certificate: Anda memerlukan data sertifikat yang digunakan untuk autentikasi. Sertifikat ini juga akan digunakan sebagai sertifikat masuk saat membuat koneksi VPN.
  • Nilai alamat IP publik untuk gateway jaringan virtual Anda: Untuk menemukan alamat IP publik untuk instance VPN gateway VM Anda menggunakan portal Azure, pergilah ke gateway jaringan virtual Anda dan lihat di bawah Pengaturan ->Properti. Jika Anda memiliki gateway mode aktif-aktif (disarankan), pastikan untuk menyiapkan terowongan ke setiap instance VM. Kedua terowongan adalah bagian dari sambungan yang sama. Gerbang VPN mode aktif-aktif memiliki dua alamat IP publik, satu untuk setiap instance VM gerbang.

Tergantung pada perangkat VPN yang Anda miliki, Anda mungkin dapat mengunduh skrip konfigurasi perangkat VPN. Untuk informasi lebih lanjut, lihat Unduh skrip konfigurasi perangkat VPN.

Untuk informasi konfigurasi lebih lanjut, lihat tautan berikut ini:

Buat koneksi site-to-site

Di bagian ini, Anda membuat koneksi VPN dari situs ke situs antara gateway jaringan virtual Anda dan perangkat VPN lokal Anda.

Mengumpulkan nilai konfigurasi

Sebelum melanjutkan, kumpulkan informasi berikut untuk nilai konfigurasi yang diperlukan.

  • Jalur Sertifikat Outbound: Ini adalah jalur ke sertifikat outbound. Sertifikat keluar adalah sertifikat yang digunakan saat menghubungkan dari Azure ke lokasi lokal Anda. Informasi ini berasal dari sertifikat yang sama yang Anda unggah ke Azure Key Vault.

    1. Buka Key Vaults dan pilih brankas kunci Anda. Di panel kiri, perluas Objek dan pilih Sertifikat.
    2. Temukan dan pilih sertifikat Anda untuk membuka halaman sertifikat.
    3. Pilih baris untuk versi sertifikat Anda.
    4. Salin jalur di samping Pengidentifikasi Sertifikat. Jalur ini spesifik untuk sertifikat tersebut.

    Contoh: https://s2s-vault1.vault.azure.net/certificates/az-outbound-cert1/<certificate-value>

  • Nama subjek sertifikat masuk: Ini adalah CN untuk sertifikat masuk. Untuk menemukan nilai ini:

    1. Jika Anda membuat sertifikat pada komputer Windows Anda, Anda dapat menemukannya menggunakan Manajemen Sertifikat.
    2. Buka tab Detail . Gulir dan pilih Subjek. Anda melihat nilai-nilai di panel bawah.
    3. Jangan sertakan CN= dalam nilai.

  • Inbound Certificate Chain: Informasi sertifikat ini hanya digunakan untuk memverifikasi sertifikat masuk yang datang dan tidak mengandung kunci pribadi. Anda harus selalu memiliki setidaknya dua sertifikat di bagian sertifikat masuk dari portal.

    Jika Anda memiliki CA menengah dalam rantai sertifikat Anda, pertama-tama tambahkan sertifikat akar sebagai sertifikat menengah pertama, kemudian ikuti dengan sertifikat menengah masuk.

    Gunakan langkah-langkah berikut untuk mengekstraksi data sertifikat dalam format yang diperlukan untuk bidang sertifikat masuk.

    1. Untuk mengekstrak data sertifikat, pastikan Anda telah mengekspor sertifikat masuk Anda sebagai file X.509 (.CER) yang dikodekan Base-64 pada langkah sebelumnya. Anda perlu mengekspor sertifikat dalam format ini sehingga Anda dapat membuka sertifikat dengan editor teks.

    2. Temukan dan buka file sertifikat .cer dengan editor teks. Saat menyalin data sertifikat, pastikan Anda menyalin teks tersebut sebagai satu baris berkelanjutan.

    3. Salin data yang tercantum antara -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE----- sebagai satu baris kontinu ke kolom Rantai Sertifikat Masuk saat Anda membuat koneksi.

      Example:

      Cuplikan layar yang menunjukkan informasi sertifikat menengah di Notepad.

Buat koneksi

  1. Pergi ke gateway jaringan virtual yang Anda buat dan pilih Connections.

  2. Di bagian atas halaman Connections, pilih + Tambah untuk membuka halaman Create connection.

  3. Pada halaman Buat koneksi, pada tab Dasar, konfigurasikan nilai untuk koneksi Anda.

    • Di bawah Project details, pilih langganan dan grup sumber daya tempat sumber daya Anda berada.

    • Di bawah Rincian Instansi, konfigurasikan pengaturan berikut:

      • Jenis koneksi: Pilih Situs-ke-situs(IPSec)
      • Name: Beri nama koneksi Anda. Contoh: VNet-to-Site1.
      • Region: Pilih wilayah untuk koneksi ini.

  4. Pilih tab Pengaturan.

    Screenshot yang menunjukkan halaman Pengaturan.

    Konfigurasikan nilai-nilai berikut:

    • Virtual network gateway: Pilih gerbang jaringan virtual dari daftar drop-down.
    • Gateway jaringan lokal: Pilih gateway jaringan lokal dari daftar dropdown.
    • Metode autentikasi: Pilih Sertifikat Key Vault.
    • Jalur Sertifikat Keluar: Jalur ke sertifikat keluar yang terletak di Key Vault. Metode untuk mendapatkan informasi ini terdapat di awal bagian ini.
    • Inbound Certificate Subject Name: CN untuk sertifikat inbound. Metode untuk mendapatkan informasi ini terdapat di awal bagian ini.
    • Inbound Certificate Chain: Data sertifikat yang Anda salin dari berkas .cer. Salin dan tempel informasi sertifikat untuk sertifikat masuk. Metode untuk mendapatkan informasi ini terdapat di awal bagian ini.
    • Protokol IKE: Pilih IKEv2.
    • Use Azure Private IP Address: Jangan pilih.
    • Aktifkan BGP: Hanya aktifkan jika Anda ingin menggunakan BGP.
    • IPsec/IKE policy: Pilih Default.
    • Gunakan pemilih lalu lintas berbasis kebijakan: Pilih Nonaktifkan.
    • Batas waktu DPD dalam detik: Pilih 45.
    • Mode Koneksi: Pilih Default. Pengaturan ini digunakan untuk menentukan gerbang jaringan mana yang dapat memulai koneksi. Untuk informasi lebih lanjut, lihat pengaturan VPN Gateway - mode koneksi.
    • Untuk Asosiasi Aturan NAT, biarkan Ingress dan Egress keduanya sebagai 0 terpilih.

  5. Pilih Review + create untuk memvalidasi pengaturan koneksi Anda, lalu pilih Create untuk membuat koneksi.

  6. Setelah penerapan selesai, Anda dapat melihat koneksi pada halaman Koneksi dari gateway jaringan virtual. Status berubah dari Tidak Diketahui ke Menghubungkan dan kemudian ke Berhasil.

Langkah selanjutnya

Setelah koneksi selesai, Anda dapat mengonfigurasi pengaturan VPN Gateway tambahan. Untuk informasi lebih lanjut, baca artikel berikut:

  • Last updated on