Buat VNet dengan koneksi VPN situs-ke-situs menggunakan PowerShell

  • Artikel

Artikel ini memperlihatkan kepada Anda cara menggunakan PowerShell untuk membuat koneksi gateway VPN situs-ke-situs dari jaringan lokal Anda ke VNet. Langkah-langkah dalam artikel ini berlaku untuk model penyebaran Resource Manager. Anda juga dapat membuat konfigurasi ini menggunakan alat penerapan atau model penerapan yang berbeda dengan memilih opsi yang berbeda dari daftar berikut:

Koneksi gateway VPN situs-ke-situs digunakan untuk menyambungkan jaringan lokal Anda ke jaringan virtual Azure melalui terowongan VPN IPsec/IKE (IKEv1 atau IKEv2). Jenis koneksi ini memerlukan perangkat VPN yang terletak di tempat yang memiliki alamat IP publik yang menghadap luar yang telah ditetapkan untuknya. Untuk informasi selengkapnya tentang VPN gateway, lihat Tentang VPN gateway.

Diagram koneksi lintas lokasi VPN Gateway situs-ke-situs.

Sebelum Anda mulai

Pastikan Anda telah memenuhi kriteria berikut sebelum memulai konfigurasi Anda:

  • Pastikan Anda memiliki perangkat VPN yang kompatibel dan seseorang yang dapat mengonfigurasinya. Untuk informasi selengkapnya tentang perangkat VPN dan konfigurasi perangkat yang kompatibel, lihat Tentang Perangkat VPN.
  • Pastikan bahwa Anda memiliki alamat IPv4 publik yang menghadap ke eksternal untuk perangkat VPN Anda.
  • Jika Anda tidak terbiasa dengan rentang alamat IP yang terletak di konfigurasi jaringan lokal, Anda perlu berkoordinasi dengan seseorang yang dapat memberikan detail tersebut untuk Anda. Saat Anda membuat konfigurasi ini, Anda harus menentukan prefiks rentang alamat IP yang akan dirutekan Azure ke lokasi lokal Anda. Tidak ada subnet dari jaringan lokal Anda yang bisa tumpang tindih dengan subnet jaringan virtual yang ingin Anda sambungkan.

Azure PowerShell

Artikel ini menggunakan cmdlet PowerShell. Untuk menjalankan cmdlet, Anda dapat menggunakan Azure Cloud Shell. Cloud Shell adalah shell interaktif gratis yang dapat Anda gunakan untuk menjalankan langkah-langkah dalam artikel ini. Shell ini memiliki alat Azure umum yang telah dipasang sebelumnya dan dikonfigurasi untuk digunakan dengan akun Anda.

Untuk membuka Cloud Shell, cukup pilih Buka Cloudshell dari sudut kanan atas blok kode. Anda juga dapat membuka Cloud Shell di tab browser terpisah dengan membuka https://shell.azure.com/powershell. Pilih Salin untuk menyalin blok kode, tempelkan kode ke Cloud Shell, dan pilih tombol Enter untuk menjalankannya.

Anda juga dapat menginstal dan menjalankan cmdlet Azure PowerShell secara lokal di komputer Anda. Cmdlet PowerShell sering diperbarui. Jika Anda belum menginstal versi terbaru, nilai yang ditentukan dalam instruksi mungkin gagal. Untuk menemukan versi Azure PowerShell yang terinstal di komputer Anda, gunakan Get-Module -ListAvailable Az cmdlet. Untuk menginstal atau memperbarui, lihat Menginstal modul Azure PowerShell.

Contoh nilai

Contoh pada artikel ini menggunakan nilai berikut. Anda dapat menggunakan nilai-nilai ini untuk membuat lingkungan pengujian, atau merujuknya agar lebih memahami contoh dalam artikel ini.

#Example values

VnetName                = VNet1
ResourceGroup           = TestRG1
Location                = East US 
AddressSpace            = 10.1.0.0/16 
SubnetName              = Frontend 
Subnet                  = 10.1.0.0/24 
GatewaySubnet           = 10.1.255.0/27
LocalNetworkGatewayName = Site1
LNG Public IP           = <On-premises VPN device IP address> 
Local Address Prefixes  = 10.0.0.0/24, 20.0.0.0/24
Gateway Name            = VNet1GW
PublicIP                = VNet1GWPIP
Gateway IP Config       = gwipconfig1 
VPNType                 = RouteBased 
GatewayType             = Vpn 
ConnectionName          = VNet1toSite1

1. Buat jaringan virtual dan subnet gateway

Jika Anda belum memiliki jaringan virtual, buatlah satu. Saat membuat jaringan virtual, pastikan ruang alamat yang Anda tentukan tidak tumpang tindih dengan ruang alamat mana pun yang Anda miliki di jaringan lokal Anda.

Catatan

Agar VNet ini dapat tersambung ke lokasi lokal, Anda perlu berkoordinasi dengan administrator jaringan lokal Anda untuk membuat rentang alamat IP yang dapat Anda gunakan secara khusus untuk jaringan virtual ini. Jika rentang alamat duplikat ada di kedua sisi koneksi VPN, lalu lintas tidak merutekan seperti yang Anda harapkan. Selain itu, jika Anda ingin menghubungkan VNet ini ke VNet yang lain, ruang alamat tidak boleh tumpang tindih dengan VNet lainnya. Oleh karena itu, berhati-hatilah ketika merencanakan konfigurasi jaringan Anda.

Tentang subnet gateway

Gateway jaringan virtual menggunakan subnet tertentu yang disebut subnet gateway. Subnet gateway adalah bagian dari rentang alamat IP jaringan virtual yang Anda tentukan saat mengonfigurasi jaringan virtual Anda. Hal ini berisi alamat IP yang digunakan sumber daya dan layanan gateway jaringan virtual. Subnet harus diberi nama 'GatewaySubnet' agar Azure dapat menyebarkan sumber daya gateway. Anda tidak dapat menentukan subnet lain untuk menyebarkan sumber daya gateway. Jika Anda tidak memiliki subnet bernama 'GatewaySubnet' saat Anda membuat gateway VPN, maka akan gagal.

Saat Anda membuat subnet gateway, Anda menentukan jumlah alamat IP yang ditampung subnet. Jumlah alamat IP yang diperlukan tergantung pada konfigurasi gateway VPN yang ingin Anda buat. Beberapa konfigurasi memerlukan lebih banyak alamat IP daripada yang lain. Kami menyarankan Anda membuat subnet gateway yang menggunakan /27 atau /28.

Jika Anda melihat kesalahan yang menetapkan bahwa ruang alamat tumpang tindih dengan subnet, atau bahwa subnet tidak terdapat dalam ruang alamat untuk jaringan virtual Anda, periksa rentang alamat VNet Anda. Anda mungkin tidak memiliki cukup alamat IP yang tersedia dalam rentang alamat yang Anda buat untuk jaringan virtual Anda. Contohnya, jika subnet default Anda mencakup seluruh rentang alamat, tidak ada alamat IP yang tersisa untuk membuat subnet tambahan. Anda dapat menyesuaikan subnet Anda dalam ruang alamat yang ada untuk mengosongkan alamat IP, atau menentukan rentang alamat tambahan dan membuat subnet gateway di sana.

Penting

Grup keamanan jaringan (NSG) pada subnet gateway tidak didukung. Mengaitkan grup keamanan jaringan ke subnet ini dapat menyebabkan gateway jaringan virtual Anda (gateway VPN dan ExpressRoute) berhenti berfungsi seperti yang diharapkan. Untuk informasi selengkapnya tentang grup keamanan jaringan, lihat Apa itu grup keamanan jaringan?.

Buat jaringan virtual dan subnet gateway

Contoh ini membuat jaringan virtual dan subnet gateway. Jika Anda sudah memiliki jaringan virtual yang perlu Anda tambahkan subnet gateway, lihatlah Untuk menambahkan subnet gateway ke jaringan virtual yang telah Anda buat.

Membuat grup sumber daya:

New-AzResourceGroup -Name TestRG1 -Location 'East US'

Buatlah jaringan virtual Anda.

  1. Aturlah variabel.

    $subnet1 = New-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.1.255.0/27
$subnet2 = New-AzVirtualNetworkSubnetConfig -Name 'Frontend' -AddressPrefix 10.1.0.0/24

  2. Buatlah VNet.

    New-AzVirtualNetwork -Name VNet1 -ResourceGroupName TestRG1 `
-Location 'East US' -AddressPrefix 10.1.0.0/16 -Subnet $subnet1, $subnet2

Untuk menambahkan subnet gateway ke jaringan virtual yang telah Anda buat

Gunakan langkah-langkah pada bagian ini jika Anda sudah memiliki jaringan virtual, namun perlu menambahkan subnet gateway.

  1. Aturlah variabel.

    $vnet = Get-AzVirtualNetwork -ResourceGroupName TestRG1 -Name VNet1

  2. Membuat subnet gateway.

    Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.1.255.0/27 -VirtualNetwork $vnet

  3. Atur konfigurasi.

    Set-AzVirtualNetwork -VirtualNetwork $vnet

2. Buat gateway jaringan lokal

Gateway jaringan lokal (LNG) biasanya mengacu pada lokasi lokal Anda. Ini tidak sama dengan gateway jaringan virtual. Anda memberi nama situs di mana Azure dapat merujuknya, lalu tentukan alamat IP perangkat VPN lokal tempat Anda akan membuat koneksi. Anda juga menentukan prefiks alamat IP yang akan dirutekan melalui VPN gateway ke perangkat VPN. Prefiks alamat yang Anda tentukan adalah prefiks yang terletak di jaringan lokal Anda. Jika jaringan lokal Anda berubah, Anda dapat dengan mudah memperbarui prefiksnya.

Pilih salah satu contoh berikut. Nilai yang digunakan dalam contoh adalah:

  • GatewayIPAddress adalah alamat IP perangkat VPN lokal Anda.
  • AddressPrefix adalah ruang alamat lokal Anda.

Contoh awalan alamat tunggal

New-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1 `
-Location 'East US' -GatewayIpAddress '23.99.221.164' -AddressPrefix '10.0.0.0/24'

Contoh awalan beberapa alamat

New-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1 `
-Location 'East US' -GatewayIpAddress '23.99.221.164' -AddressPrefix @('20.0.0.0/24','10.0.0.0/24')

3. Minta alamat IP publik

Gateway VPN harus memiliki alamat IP publik. Pertama-tama, minta sumber daya alamat IP, lalu merujuknya saat membuat gateway jaringan virtual Anda. Alamat IP secara dinamis ditetapkan ke sumber daya saat VPN gateway dibuat. Satu-satunya waktu perubahan alamat IP publik adalah ketika gateway dihapus dan dibuat ulang. Ini tidak berubah di seluruh pengubahan ukuran, pengaturan ulang, atau pemeliharaan/peningkatan internal lainnya dari gateway VPN Anda.

Minta alamat IP publik untuk gateway VPN jaringan virtual Anda.

$gwpip= New-AzPublicIpAddress -Name VNet1GWPIP -ResourceGroupName TestRG1 -Location 'East US' -AllocationMethod Static -Sku Standard

4. Buat konfigurasi pengalamatan IP gateway

Konfigurasi gateway menentukan subnet ('GatewaySubnet') dan alamat IP publik yang akan digunakan. Gunakan contoh berikut untuk membuat konfigurasi gateway Anda:

$vnet = Get-AzVirtualNetwork -Name VNet1 -ResourceGroupName TestRG1
$subnet = Get-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -VirtualNetwork $vnet
$gwipconfig = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 -SubnetId $subnet.Id -PublicIpAddressId $gwpip.Id

5. Buat gateway VPN

Membuat VPN gateway jaringan virtual. Membuat gateway seringkali bisa memakan waktu 45 menit atau lebih, bergantung pada SKU gateway yang dipilih. Nilai berikut digunakan dalam contoh:

  • -GatewayType untuk konfigurasi situs-ke-situs adalah Vpn. Jenis gateway selalu spesifik untuk konfigurasi yang Anda terapkan. Misalnya, konfigurasi gateway lain mungkin memerlukan -GatewayType ExpressRoute.
  • -VpnType dapat menjadi RouteBased (disebut sebagai Gateway Dinamis dalam beberapa dokumentasi), atau PolicyBased (disebut sebagai Gateway Statis dalam beberapa dokumentasi). Untuk informasi selengkapnya tentang jenis VPN Gateway, lihat Tentang VPN Gateway.
  • Pilih SKU Gateway yang ingin Anda gunakan. Ada batasan konfigurasi untuk SKU tertentu. Untuk informasi selengkapnya, lihat SKU Gateway. Jika Anda mendapatkan kesalahan saat membuat VPN gateway terkait -GatewaySku, pastikan Anda telah menginstal PowerShell cmdlet versi terbaru.
New-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1 `
-Location 'East US' -IpConfigurations $gwipconfig -GatewayType Vpn `
-VpnType RouteBased -GatewaySku VpnGw2

6. Konfigurasikan perangkat VPN Anda

Koneksi Situs-ke-Situs pada jaringan lokal memerlukan perangkat VPN. Dalam langkah ini, Anda mengonfigurasi perangkat VPN Anda. Saat mengonfigurasi perangkat VPN Anda, Anda memerlukan item berikut:

  • Kunci bersama. Ini adalah kunci bersama yang sama dengan yang Anda tentukan saat membuat koneksi VPN situs ke situs. Dalam contoh kami, kami menggunakan kunci bersama dasar. Kami menyarankan Anda membuat kunci yang lebih kompleks untuk digunakan.

  • Alamat IP publik gateway jaringan virtual Anda. Anda bisa menampilkan alamat IP publik dengan menggunakan portal Microsoft Azure, PowerShell, atau CLI. Untuk menemukan alamat IP publik gateway jaringan virtual Anda menggunakan PowerShell, gunakan contoh berikut. Pada contoh ini, VNet1GWPIP adalah nama sumber alamat IP publik yang Anda buat di langkah sebelumnya.

    Get-AzPublicIpAddress -Name VNet1GWPIP -ResourceGroupName TestRG1

Untuk mengunduh skrip konfigurasi perangkat VPN:

Tergantung pada perangkat VPN yang dimiliki, Anda mungkin dapat mengunduh skrip konfigurasi perangkat VPN. Untuk mengetahui informasi selengkapnya, lihat Mengunduh skrip konfigurasi perangkat VPN.

Lihat tautan berikut untuk mengetahui informasi konfigurasi tambahan:

7. Buat koneksi VPN

Selanjutnya, buat koneksi VPN situs-ke-situs antara gateway jaringan virtual Anda dan perangkat VPN Anda. Pastikan untuk mengganti nilai dengan nilai Anda sendiri. Kunci bersama harus persis seperti nilai yang Anda gunakan untuk konfigurasi perangkat VPN Anda. Perhatikan bahwa '-Koneksi ionType' untuk situs-ke-situs adalah IPsec.

  1. Aturlah variabel.

    $gateway1 = Get-AzVirtualNetworkGateway -Name VNet1GW -ResourceGroupName TestRG1
$local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Buat koneksi.

    New-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName TestRG1 `
-Location 'East US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
-ConnectionType IPsec -SharedKey 'abc123'

Setelah beberapa saat, koneksi akan dibuat.

8. Verifikasi koneksi VPN

Ada beberapa cara yang berbeda untuk memverifikasi koneksi VPN Anda.

Anda dapat memverifikasi bahwa koneksi Anda berhasil dengan menggunakan cmdlet 'Get-AzVirtualNetworkGatewayConnection', dengan atau tanpa '-Debug'.

  1. Gunakan contoh cmdlet berikut, yang mengonfigurasi nilai agar sesuai dengan milik Anda. Jika diminta, pilih 'A' untuk menjalankan 'Semua'. Dalam contoh, '-Name' merujuk pada nama koneksi yang ingin Anda uji.

    Get-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName TestRG1

  2. Setelah cmdlet selesai, lihat nilainya. Pada contoh di bawah, status konektivitas ditampilkan sebagai 'Tersambung' dan Anda dapat melihat byte masuk dan keluar.

    "connectionStatus": "Connected",
"ingressBytesTransferred": 33509044,
"egressBytesTransferred": 4142431

Untuk menyambungkan ke komputer virtual

Anda dapat terhubung ke VM yang disebarkan ke jaringan virtual Anda dengan membuat Koneksi desktop jarak jauh ke VM Anda. Cara terbaik untuk memverifikasi bahwa Anda dapat terhubung ke VM Anda terlebih dahulu adalah dengan menggunakan alamat IP pribadinya, bukan nama komputernya. Dengan demikian, Anda sedang menguji untuk melihat apakah Anda dapat tersambung, bukan apakah resolusi nama dikonfigurasi dengan benar.

  1. Temukan alamat IP pribadi. Anda dapat menemukan alamat IP privat VM dengan melihat properti untuk VM di portal Azure atau dengan menggunakan PowerShell.

    • portal Azure: Temukan VM Anda di portal Azure. Lihat properti untuk VM. Alamat IP pribadi dicantumkan.

    • PowerShell: Gunakan contoh untuk melihat daftar VM dan alamat IP privat dari grup sumber daya Anda. Anda tidak perlu mengubah contoh ini sebelum menggunakannya.

      $VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null

foreach ($Nic in $Nics) {
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}

  2. Verifikasi bahwa Anda tersambung ke jaringan virtual Anda.

  3. Buka Koneksi desktop jarak jauh dengan memasukkan Koneksi ion RDP atau Desktop Jauh di kotak pencarian pada taskbar. Lalu pilih Koneksi ion Desktop Jauh. Anda juga dapat membuka Koneksi ion Desktop Jauh dengan menggunakan mstsc perintah di PowerShell.

  4. Di Remote Desktop Connection, masukkan alamat IP privat dari VM itu. Anda dapat memilih Perlihatkan Opsi untuk menyesuaikan pengaturan lain lalu menyambungkan.

Jika Anda mengalami masalah saat menyambungkan ke VM melalui koneksi VPN Anda, periksa poin-poin berikut:

  • Pastikan sambungan VPN Anda aktif.
  • Verifikasi bahwa Anda menyambungkan ke alamat IP private untuk VM itu.
  • Jika Anda bisa tersambung ke VM dengan menggunakan alamat IP privat tetapi bukan nama komputer, verifikasi bahwa Anda telah mengonfigurasi DNS dengan benar. Untuk informasi selengkapnya tentang cara kerja resolusi nama untuk VM, lihat Resolusi nama untuk VM.

Untuk informasi selengkapnya tentang sambungan RDP, lihat Memecahkan masalah sambungan Desktop Jauh ke VM.

Untuk mengubah awalan alamat IP untuk gateway jaringan lokal

Jika prefiks alamat IP yang ingin Anda rutekan ke lokasi lokal Anda berubah, Anda dapat mengubah gateway jaringan lokal. Saat menggunakan contoh ini, ubah nilai yang cocok dengan lingkungan Anda.

Untuk menambahkan prefiks alamat tambahan:

  1. Atur variabel untuk LocalNetworkGateway.

    $local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Ubah awalannya. Nilai yang Anda tentukan menimpa nilai sebelumnya.

    Set-AzLocalNetworkGateway -LocalNetworkGateway $local `
-AddressPrefix @('10.101.0.0/24','10.101.1.0/24','10.101.2.0/24')

Untuk menghapus prefiks alamat:

Tinggalkan awalan yang tidak Lagi Anda butuhkan. Dalam contoh ini, kita tidak lagi memerlukan awalan 10.101.2.0/24 (dari contoh sebelumnya), jadi kita akan memperbarui gateway jaringan lokal dan mengecualikan awalan tersebut.

  1. Atur variabel untuk LocalNetworkGateway.

    $local = Get-AzLocalNetworkGateway -Name Site1 -ResourceGroupName TestRG1

  2. Atur gateway dengan awalan yang diperbarui.

    Set-AzLocalNetworkGateway -LocalNetworkGateway $local `
-AddressPrefix @('10.101.0.0/24','10.101.1.0/24')

Untuk mengubah alamat IP gateway untuk gateway jaringan lokal

Jika perangkat VPN yang ingin Anda sambungkan telah mengubah alamat IP publiknya, Anda perlu memodifikasi gateway jaringan lokal untuk mencerminkan perubahan tersebut. Saat mengubah nilai ini, Anda juga dapat mengubah awalan alamat secara bersamaan. Pastikan untuk menggunakan nama gateway lokal Anda yang sudah ada untuk menimpa pengaturan saat ini. Jika menggunakan nama yang berbeda, Anda membuat gateway lokal baru, alih-alih menimpa gateway lokal yang sudah ada.

New-AzLocalNetworkGateway -Name Site1 `
-Location "East US" -AddressPrefix @('10.101.0.0/24','10.101.1.0/24') `
-GatewayIpAddress "5.4.3.2" -ResourceGroupName TestRG1

Untuk menghapus koneksi gateway

Jika Anda tidak mengetahui nama koneksi Anda, Anda dapat menemukannya dengan menggunakan cmdlet 'Get-AzVirtualNetworkGatewayConnection'.

Remove-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 `
-ResourceGroupName TestRG1

Langkah berikutnya

  • Setelah koneksi selesai, Anda dapat menambahkan komputer virtual ke jaringan virtual Anda. Untuk informasi selengkapnya, lihat Mesin Virtual.
  • Untuk informasi tentang BGP, lihat Ringkasan BGP dan Cara mengonfigurasi BGP.
  • Untuk informasi tentang membuat koneksi VPN situs-ke-situs menggunakan templat Azure Resource Manager, lihat Membuat Koneksi VPN situs-ke-situs.
  • Untuk informasi tentang membuat koneksi VPN vnet-ke-vnet menggunakan templat Azure Resource Manager, lihat Menyebarkan replikasi geo HBase.