Latihan - Membuat gateway Azure VPN

40 menit

Anda ingin memastikan bahwa Anda dapat menyambungkan klien atau situs dalam lingkungan Anda ke Azure menggunakan terowongan terenkripsi di internet publik. Di unit ini, Anda akan membuat gateway VPN titik-ke-situs, lalu menyambungkan ke gateway tersebut dari komputer klien Anda. Anda akan menggunakan koneksi autentikasi sertifikat Azure asli untuk keamanan.

Anda akan melakukan proses berikut:

Membuat gateway VPN RouteBased.
Mengunggah kunci publik untuk sertifikat akar untuk tujuan autentikasi.
Membuat sertifikat klien dari sertifikat akar, lalu memasang sertifikat klien pada setiap komputer klien yang akan terhubung ke jaringan virtual untuk tujuan autentikasi.
Membuat file konfigurasi klien VPN yang berisi informasi yang diperlukan bagi klien untuk tersambung ke jaringan virtual.

Penyiapan

Untuk menyelesaikan modul ini, gunakan Azure PowerShell dari komputer Windows 10 lokal Anda.

Buka sesi PowerShell baru di komputer Windows 10 lokal tempat Anda menginstal modul Azure PowerShell.
Masuk ke Azure dengan menjalankan cmdlet Connect-AzAccount PowerShell.
Siapkan variabel yang akan Anda gunakan untuk membuat jaringan virtual. Salin dan tempelkan variabel berikut ke PowerShell.

$VNetName  = "VNetData"
$FESubName = "FrontEnd"
$BESubName = "Backend"
$GWSubName = "GatewaySubnet"
$VNetPrefix1 = "192.168.0.0/16"
$VNetPrefix2 = "10.254.0.0/16"
$FESubPrefix = "192.168.1.0/24"
$BESubPrefix = "10.254.1.0/24"
$GWSubPrefix = "192.168.200.0/26"
$VPNClientAddressPool = "172.16.201.0/24"
$ResourceGroup = "VpnGatewayDemo"
$Location = "East US"
$GWName = "VNetDataGW"
$GWIPName = "VNetDataGWPIP"
$GWIPconfName = "gwipconf"

Mengonfigurasikan jaringan virtual

Jalankan perintah berikut untuk membuat grup sumber daya.

New-AzResourceGroup -Name $ResourceGroup -Location $Location

Jalankan perintah berikut untuk membuat konfigurasi subnet untuk jaringan virtual. Konfigurasi ini memiliki nama FrontEnd, BackEnd, dan GatewaySubnet. Semua subnet ini ada dalam prefiks jaringan virtual.

$fesub = New-AzVirtualNetworkSubnetConfig -Name $FESubName -AddressPrefix $FESubPrefix
$besub = New-AzVirtualNetworkSubnetConfig -Name $BESubName -AddressPrefix $BESubPrefix
$gwsub = New-AzVirtualNetworkSubnetConfig -Name $GWSubName -AddressPrefix $GWSubPrefix

Selanjutnya, jalankan perintah berikut untuk membuat jaringan virtual menggunakan nilai subnet dan server DNS statis.

New-AzVirtualNetwork -Name $VNetName -ResourceGroupName $ResourceGroup -Location $Location -AddressPrefix $VNetPrefix1,$VNetPrefix2 -Subnet $fesub, $besub, $gwsub -DnsServer 10.2.1.3

Sekarang tentukan variabel untuk jaringan ini yang telah Anda buat.

$vnet = Get-AzVirtualNetwork -Name $VNetName -ResourceGroupName $ResourceGroup
$subnet = Get-AzVirtualNetworkSubnetConfig -Name $GWSubName -VirtualNetwork $vnet

Jalankan perintah berikut untuk meminta alamat IP publik yang ditetapkan secara dinamis.

$pip = New-AzPublicIpAddress -Name $GWIPName -ResourceGroupName $ResourceGroup -Location $Location -AllocationMethod Dynamic
$ipconf = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName -Subnet $subnet -PublicIpAddress $pip

Buat gateway VPN

Saat membuat gateway VPN ini:

GatewayType harus Vpn
VpnType harus RouteBased

Bagian latihan ini dapat memakan waktu hingga 45 menit untuk diselesaikan.

Untuk membuat gateway VPN, jalankan perintah berikut ini, dan tekan Enter.

New-AzVirtualNetworkGateway -Name $GWName -ResourceGroupName $ResourceGroup `
-Location $Location -IpConfigurations $ipconf -GatewayType Vpn `
-VpnType RouteBased -EnableBgp $false -GatewaySku VpnGw1 -VpnClientProtocol "IKEv2"

Tunggu hingga output perintah muncul.

Menambahkan kumpulan alamat klien VPN

Jalankan perintah berikut untuk menambahkan kumpulan alamat klien VPN.

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $ResourceGroup -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway -VpnClientAddressPool $VPNClientAddressPool

Tunggu hingga output perintah muncul.

Membuat sertifikat klien

Dengan infrastruktur jaringan yang dibuat di Azure, kita perlu membuat sertifikat klien yang ditandatangani sendiri di komputer lokal kita. Pembuatan ini dapat dilakukan sama pada sebagian besar sistem operasi, tetapi kami akan membahas cara membuat sertifikat klien Anda di Windows 10 menggunakan PowerShell dengan modul Azure PowerShell dan utilitas Windows Certificate Manager .

Langkah pertama adalah membuat sertifikat akar yang ditandatangani sendiri. Jalankan perintah berikut.

$cert = New-SelfSignedCertificate -Type Custom -KeySpec Signature `
-Subject "CN=P2SRootCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" -KeyUsageProperty Sign -KeyUsage CertSign

Selanjutnya, buat sertifikat klien yang ditandatangani oleh sertifikat akar baru Anda.

New-SelfSignedCertificate -Type Custom -DnsName P2SChildCert -KeySpec Signature `
-Subject "CN=P2SChildCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" `
-Signer $cert -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")

Mengekspor kunci publik sertifikat

Dengan sertifikat kita yang dihasilkan, kita perlu mengekspor kunci publik sertifikat akar kita.

Jalankan certmgr dari PowerShell untuk membuka Manajer Sertifikat.
Buka Sertifikat>Pribadi.
Klik kanan sertifikat P2SRootCert dalam daftar, dan pilih Semua tugas>Ekspor.
Di Wizard Ekspor Sertifikat, pilih Berikutnya.
Pastikan bahwa Tidak, jangan ekspor kunci privat dipilih, lalu pilih Berikutnya.
Pada halaman Ekspor Format File, pastikan bahwa Base-64 encoded X.509 (.CER) dipilih, lalu pilih Berikutnya.
Di halaman File untuk Diekspor, di Nama file, navigasi ke lokasi yang akan Anda ingat, dan simpan file sebagai P2SRootCert.cer, lalu pilih Berikutnya.
Pada halaman Menyelesaikan Wizard Ekspor Sertifikat, pilih Selesai.
Pada kotak pesan Wizard Ekspor Sertifikat, pilih OK.

Mengunggah informasi kunci publik sertifikat akar

Di jendela PowerShell, jalankan perintah berikut ini untuk mendeklarasikan variabel untuk nama sertifikat.
```
$P2SRootCertName = "P2SRootCert.cer"
```

Ganti placeholder <cert-path> dengan lokasi ekspor sertifikat akar Anda, dan jalankan perintah berikut.

$filePathForCert = "<cert-path>\P2SRootCert.cer"
$cert = new-object System.Security.Cryptography.X509Certificates.X509Certificate2($filePathForCert)
$CertBase64 = [system.convert]::ToBase64String($cert.RawData)
$p2srootcert = New-AzVpnClientRootCertificate -Name $P2SRootCertName -PublicCertData $CertBase64

Dengan set nama grup, unggah sertifikat ke Azure dengan perintah berikut.
```
Add-AzVpnClientRootCertificate -VpnClientRootCertificateName $P2SRootCertName -VirtualNetworkGatewayname $GWName -ResourceGroupName $ResourceGroup -PublicCertData $CertBase64
```
Azure sekarang akan mengenali sertifikat ini sebagai sertifikat akar tepercaya untuk jaringan virtual kita.

Mengonfigurasi klien VPN asli

Jalankan perintah berikut untuk membuat file konfigurasi klien VPN dalam format .ZIP.

$profile = New-AzVpnClientConfiguration -ResourceGroupName $ResourceGroup -Name $GWName -AuthenticationMethod "EapTls"
$profile.VPNProfileSASUrl

Salin URL yang dikembalikan dalam output dari perintah ini, dan tempelkan ke browser Anda. Browser Anda akan mulai mengunduh file .ZIP. Ekstrak konten arsip dan letakkan di lokasi yang sesuai.

Beberapa browser awalnya akan mencoba memblokir pengunduhan file ZIP ini sebagai pengunduhan berbahaya. Anda harus mengambil alih ini di browser Anda untuk dapat mengekstrak konten arsip.
Di folder yang diekstrak, navigasikan ke folder WindowsAmd64 (untuk komputer Windows 64-bit) atau folder WindowsX86 (untuk komputer 32-bit).

Jika Anda ingin mengonfigurasi VPN pada komputer non-Windows, Anda dapat menggunakan sertifikat dan file pengaturan dari folder Generik.
Klik ganda file VpnClientSetup{architecture}.exe, dengan {architecture} mencerminkan arsitektur Anda.
Di layar PC Anda yang dilindungi Windows, pilih Info selengkapnya, lalu pilih Tetap jalankan.
Dalam kotak dialog Kontrol Akun Pengguna, pilih Ya.
Dalam kotak dialog VNetData, pilih Ya.

Hubungkan ke Azure

Tekan tombol Windows, masuk ke Pengaturan, dan tekan kbd>Enter.
Di jendela Pengaturan, pilih Jaringan dan Internet.
Di panel sebelah kiri, pilih VPN.
Di panel kanan, pilih VNetData, lalu pilih Sambungkan.
Di jendela VNetData, pilih Sambungkan.
Di jendela VNetData berikutnya, pilih Lanjutkan.
Dalam kotak pesan Kontrol Akun Pengguna, pilih Ya.

Jika langkah-langkah ini tidak berhasil, Anda mungkin perlu memulai ulang komputer Anda.

Verifikasi koneksi Anda

Di prompt perintah Windows baru, jalankan IPCONFIG /ALL.
Salin alamat IP di PPP adapter VNetData, atau tulis.
Konfirmasi bahwa alamat IP berada di kisaran VPNClientAddressPool 172.16.201.0/24.
Anda berhasil membuat koneksi ke gateway Azure VPN.

Anda baru saja menyiapkan gateway VPN yang memungkinkan Anda membuat koneksi klien terenkripsi ke jaringan virtual di Azure. Pendekatan ini sangat cocok untuk komputer klien dan koneksi situs-ke-situs yang lebih kecil.

Lanjutkan