자습서: 허브-스포크 네트워크에서 NAT 게이트웨이 사용

허브-스포크 네트워크는 고가용성 다중 위치 네트워크 인프라의 구성 요소 중 하나입니다. 일반적으로 허브-스포크 네트워크 배포는 중앙 허브를 통해 모든 스포크 간 트래픽과 아웃바운드 인터넷 트래픽을 라우팅하기 위해 이루어집니다. 보안 검사 및 패킷 검사를 위해 NVA(네트워크 가상 어플라이언스)를 사용하여 네트워크를 통과하는 모든 트래픽을 검사하는 것이 목적입니다.

인터넷으로 나가는 아웃바운드 트래픽의 경우 네트워크 가상 어플라이언스에는 일반적으로 공용 IP 주소가 할당된 네트워크 인터페이스가 하나 있습니다. 아웃바운드 트래픽을 검사한 후 NVA는 퍼블릭 인터페이스와 인터넷으로 트래픽을 전달합니다. Azure NAT Gateway를 사용하면 NVA에 할당된 공용 IP 주소가 필요 없습니다. NAT 게이트웨이를 NVA의 퍼블릭 서브넷과 연결하면 퍼블릭 인터페이스의 라우팅이 NAT 게이트웨이를 통해 모든 아웃바운드 인터넷 트래픽을 라우팅하도록 변경됩니다. 공용 IP 주소를 제거하면 보안이 강화되고 여러 공용 IP 주소 및/또는 공용 IP 접두사를 사용하여 아웃바운드 SNAT(Source Network Address Translation)를 스케일링할 수 있습니다.

중요

이 문서의 NVA는 데모용으로만 사용되며 Ubuntu 가상 머신으로 시뮬레이션됩니다. 솔루션에는 고가용성 NVA 배포를 위한 부하 분산 장치가 포함되어 있지 않습니다. 이 문서의 Ubuntu 가상 머신을 원하는 NVA로 바꾸세요. 라우팅 및 구성 지침은 선택한 NVA 공급업체에 문의하세요. 고가용성 NVA 인프라에는 부하 분산 장치 및 가용성 영역이 권장됩니다.

이 자습서에서는 다음 작업 방법을 알아봅니다.

• NAT 게이트웨이 만들기
• 허브-스포크 가상 네트워크 만들기
• 시뮬레이션된 NVA(네트워크 가상 어플라이언스) 만들기
• 허브를 통해 스포크의 모든 트래픽 적용
• 허브의 모든 인터넷 트래픽을 적용하고 NAT 게이트웨이를 스포크 아웃
• NAT 게이트웨이 및 스포크 간 라우팅 테스트

필수 구성 요소

포털

• 활성 구독이 있는 Azure 계정입니다. 무료로 계정을 만듭니다.

Powershell

• 활성 구독이 있는 Azure 계정입니다. 무료로 계정을 만들 수 있습니다.

Azure Cloud Shell

Azure는 브라우저를 통해 사용할 수 있는 대화형 셸 환경인 Azure Cloud Shell을 호스트합니다. Cloud Shell에서 Bash 또는 PowerShell을 사용하여 Azure 서비스를 사용할 수 있습니다. Cloud Shell 미리 설치된 명령을 사용하여 로컬 환경에 아무것도 설치하지 않고도 이 문서의 코드를 실행할 수 있습니다.

Azure Cloud Shell을 시작하려면 다음을 수행합니다.

옵션	예제/링크
코드 또는 명령 블록의 오른쪽 상단에서 시도를 선택합니다. 시도를 선택해도 코드 또는 명령이 Cloud Shell에 자동으로 복사되지 않습니다.
https://shell.azure.com으로 이동하거나 Cloud Shell 시작 단추를 선택하여 브라우저에서 Cloud Shell을 엽니다.
Azure Portal의 오른쪽 위에 있는 메뉴 모음에서 Cloud Shell 단추를 선택합니다.

Azure Cloud Shell을 사용하려면:

1. Cloud Shell을 시작합니다.

2. 코드 블록(또는 명령 블록)에서 복사 단추를 선택하여 코드 또는 명령을 복사합니다.

3. Windows 및 Linux에서 Ctrl+Shift+V 선택하거나 macOS에서 Cmd+Shift+V 선택하여 코드 또는 명령을 Cloud Shell 세션에 붙여넣습니다.

4. Enter를 선택하여 코드 또는 명령을 실행합니다.

PowerShell을 로컬로 설치하고 사용하도록 선택하는 경우, 이 문서에는 Azure PowerShell 모듈 버전 1.0.0 이상이 필요합니다. 설치되어 있는 버전을 확인하려면 Get-Module -ListAvailable Az을 실행합니다. 업그레이드해야 하는 경우 Azure PowerShell 모듈 설치를 참조하세요. 또한 PowerShell을 로컬로 실행하는 경우 Connect-AzAccount를 실행하여 Azure와 연결해야 합니다.

리소스 그룹 만들기

이 빠른 시작의 모든 리소스를 포함할 리소스 그룹을 만듭니다.

포털

1. Azure Portal에 로그인합니다.

2. 포털 맨 위에 있는 검색 상자에 리소스 그룹을 입력합니다. 검색 결과에서 리소스 그룹을 선택합니다.

3. + 만들기를 선택합니다.

4. 리소스 그룹 만들기의 기본 사항 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   구독	구독 선택
   리소스 그룹	test-rg
   지역	미국 서부

5. 검토 + 만들기를 선택합니다.

6. 만들기를 선택합니다.

Powershell

New-AzResourceGroup을 사용하여 리소스 그룹을 만듭니다. Azure 리소스 그룹은 Azure 리소스가 배포 및 관리되는 논리적 컨테이너입니다.

다음 예제에서는 westus 위치에 test-rg라는 리소스 그룹을 만듭니다.

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

NAT Gateway 만들기

모든 아웃바운드 인터넷 트래픽은 NAT Gateway를 인터넷으로 트래버스합니다. 다음 예제를 사용하여 허브-스포크 네트워크를 위한 NAT Gateway를 만듭니다.

포털

1. Azure Portal에 로그인합니다.

2. Azure Portal 상단의 검색 상자에 공용 IP 주소를 입력합니다. 검색 결과에서 공용 IP 주소를 선택합니다.

3. 만들기를 선택합니다.

4. 공용 IP 주소 만들기에 다음 정보를 입력합니다.

   설정	값
   구독	구독을 선택합니다.
   리소스 그룹	리소스 그룹을 선택합니다. 이 예제에서는 test-rg를 사용합니다.
   지역	지역을 선택합니다. 이 예제에서는 미국 서부를 사용합니다.
   이름	public-ip-nat를 입력합니다.
   IP 버전	IPv4를 선택합니다.
   SKU	표준을 선택합니다.
   가용성 영역	영역 중복을 선택합니다.
   계층	지역을 선택합니다.

5. 검토 + 만들기를 선택한 다음, 만들기를 선택합니다.

6. Azure Portal 상단의 검색 상자에 NAT Gateway를 입력합니다. 검색 결과에서 NAT 게이트웨이를 선택합니다.

7. 만들기를 선택합니다.

8. NAT(Network Address Translation) 게이트웨이 만들기의 기본 사항 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg 또는 리소스 그룹을 선택합니다.
   인스턴스 세부 정보
   NAT Gateway 이름	nat-gateway를 입력합니다.
   지역	지역을 선택합니다. 이 예제에서는 미국 서부를 사용합니다.
   SKU	표준을 선택합니다.
   TCP 유휴 시간 제한(분)	4(기본값)를 그대로 둡니다.

9. 다음을 선택합니다.

10. 아웃바운드 IP 탭에서 + 공용 IP 주소 또는 접두사 추가를 선택합니다.

11. 공용 IP 주소 또는 접두사 추가에서 공용 IP 주소를 선택합니다. 이전에 만든 공용 IP 주소인 public-ip-nat를 선택합니다.

12. 다음을 선택합니다.

13. 네트워킹 탭의 가상 네트워크에서vnet-1을 선택합니다.

14. 모든 서브넷으로 기본 설정 확인란을 선택 취소된 상태로 둡니다.

15. 특정 서브넷 선택에서 서브넷-1을 선택합니다.

16. 검토 + 생성를 선택한 다음, 생성를 선택합니다.

Powershell

New-AzPublicIpAddress를 사용하여 NAT 게이트웨이에 대한 영역 중복 IPv4 공용 IP 주소를 만듭니다.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'Standard'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

New-AzNatGateway를 사용하여 NAT 게이트웨이 리소스를 만듭니다.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'Standard'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
    Zone = 1 
}
$natGateway = New-AzNatGateway @nat

허브 가상 네트워크 만들기

허브 가상 네트워크는 솔루션의 중앙 네트워크입니다. 허브 네트워크에는 NVA 어플라이언스와 퍼블릭 및 프라이빗 서브넷이 포함되어 있습니다. NAT 게이트웨이는 가상 네트워크를 만드는 동안 공용 서브넷에 할당됩니다. Azure Bastion 호스트는 다음 예제를 진행하는 동안 구성됩니다. 베스천 호스트는 문서 뒷부분에서 스포크에 배포하는 NVA 가상 머신 및 테스트 가상 머신에 안전하게 연결하는 데 사용됩니다.

포털

1. Azure Portal에 로그인합니다.

2. Azure Portal 상단의 검색 창에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

3. 만들기를 선택합니다.

4. 가상 네트워크 만들기의 기본 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg 또는 리소스 그룹을 선택합니다.
   인스턴스 세부 정보
   이름	vnet-1을 입력합니다.
   지역	지역을 선택합니다. 이 예제에서는 미국 서부를 사용합니다.

5. IP 주소 탭을 선택하거나 다음: 보안, 다음: IP 주소를 선택합니다.

6. 서브넷에서 기본 서브넷을 선택합니다.

7. 서브넷 편집의 다음 정보를 입력하거나 선택합니다.

   설정	값
   서브넷 목적	기본값을 그대로 둡니다.
   이름	subnet-1을 입력합니다.

8. 나머지 설정은 기본값으로 두고 저장을 선택합니다.

9. 서브넷 추가를 선택합니다.

10. 서브넷 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    서브넷 목적	Azure Bastion을 선택합니다.

11. 나머지 설정은 기본값으로 두고 추가를 선택합니다.

12. 검토 + 생성를 선택한 다음, 생성를 선택합니다.

Powershell

New-AzVirtualNetworkSubnetConfig를 사용하여 서브넷을 만듭니다.

$subnetPrivateParams = @{
    Name = "subnet-private"
    AddressPrefix = "10.0.0.0/24"
}
$privateSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetPrivateParams

$subnetBastionParams = @{
    Name = "AzureBastionSubnet"
    AddressPrefix = "10.0.1.0/26"
}
$bastionSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetBastionParams

$subnetPublicParams = @{
    Name = "subnet-public"
    AddressPrefix = "10.0.253.0/28"
    NatGateway = (Get-AzNatGateway -ResourceGroupName "test-rg" -Name "nat-gateway")
}
$publicSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetPublicParams

New-AzVirtualNetwork를 사용하여 가상 네트워크를 만듭니다.

$vNetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
    AddressPrefix = "10.0.0.0/16"
    Location = "westus"
    Subnet = $privateSubnetConfig, $bastionSubnetConfig, $publicSubnetConfig
}
$vNet = New-AzVirtualNetwork @vNetParams

Azure Bastion 호스트 만들기

Azure Bastion은 VM에서 공용 IP 주소를 요구하지 않고 TLS를 통해 가상 머신에 대한 보안 RDP 및 SSH 연결을 제공합니다.

포털

1. Azure Portal 위쪽의 검색 상자에 Bastion을 입력합니다. 검색 결과에서 Bastions 를 선택합니다.

2. 만들기를 선택합니다.

3. Bastion 만들기의 기본 사항 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg 또는 리소스 그룹을 선택합니다.
   인스턴스 세부 정보
   이름	bastion을 입력합니다.
   지역	지역을 선택합니다. 이 예제에서는 미국 서부를 사용합니다.
   계층	개발자를 선택합니다.
   가상 네트워크	vnet-1을 선택합니다.
   서브넷	AzureBastionSubnet을 선택합니다.

4. 검토 + 생성를 선택한 다음, 생성를 선택합니다.

Powershell

New-AzPublicIpAddress를 사용하여 Azure Bastion 호스트에 대한 공용 IP 주소를 만듭니다.

$publicIpParams = @{
    ResourceGroupName = "test-rg"
    Name = "public-ip-bastion"
    Sku = "Standard"
    AllocationMethod = "Static"
    Location = "westus"
    Zone = 1,2,3
}
New-AzPublicIpAddress @publicIpParams

New-AzBastion을 사용하여 Azure Bastion 호스트를 만듭니다.

$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

시뮬레이션된 NVA 가상 머신 만들기

시뮬레이션된 NVA는 스포크와 허브 간의 모든 트래픽과 인터넷으로 나가는 아웃바운드 트래픽을 라우팅하는 가상 어플라이언스로 작동합니다. Ubuntu 가상 머신은 시뮬레이션된 NVA에 사용됩니다. 다음 예제를 사용하여 시뮬레이션된 NVA를 만들고 네트워크 인터페이스를 구성합니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. + 만들기를 선택한 다음, Azure 가상 머신을 선택합니다.

3. 가상 머신 만들기의 기본 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   가상 머신 이름	vm-nva를 입력합니다.
   지역	(미국) 미국 서부를 선택합니다.
   가용성 옵션	인프라 중복이 필요하지 않습니다를 선택합니다.
   보안 유형	표준을 선택합니다.
   이미지	Ubuntu Server 24.04 LTS - x64 Gen2를 선택합니다.
   VM 아키텍처	x64(기본값)를 그대로 둡니다.
   크기	크기를 선택합니다.
   관리자 계정
   인증 유형	SSH 공개 키를 선택합니다.
   사용자 이름	사용자 이름을 입력합니다.
   SSH 공개 키 원본	새 키 쌍 생성을 선택합니다.
   SSH 키 유형	RSA SSH 형식(기본값)을 그대로 둡니다.
   키 쌍 이름	ssh-key를 입력합니다.
   인바운드 포트 규칙
   퍼블릭 인바운드 포트	없음을 선택합니다.

4. 다음: 디스크를 선택하고 다음: 네트워킹을 선택합니다.

5. 네트워킹 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   네트워크 인터페이스
   가상 네트워크	vnet-hub를 선택합니다.
   서브넷	subnet-public(10.0.253.0/28)을 선택합니다.
   공용 IP	없음을 선택합니다.
   NIC 네트워크 보안 그룹	고급을 선택합니다.
   네트워크 보안 그룹 구성	새로 만들기를 선택합니다. 이름에 nsg-nva를 입력합니다. 확인을 선택합니다.

6. 나머지 옵션은 기본값으로 두고 검토 + 만들기를 선택합니다.

7. 만들기를 선택합니다.

8. 새 키 쌍 생성 대화 상자가 나타납니다. 프라이빗 키 다운로드 및 리소스 만들기를 선택합니다.

프라이빗 키가 로컬 머신에 다운로드됩니다. 프라이빗 키는 Azure Bastion을 사용하여 가상 머신에 연결하기 위해 이후 단계에서 필요합니다. 프라이빗 키 파일의 이름은 키 쌍 이름 필드에 입력한 이름입니다. 이 예제에서 프라이빗 키 파일의 이름은 ssh-key입니다.

Powershell

New-AzNetworkSecurityGroup을 사용하여 네트워크 보안 그룹을 만듭니다.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-nva"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

New-AzNetworkInterface를 사용하여 네트워크 인터페이스를 만듭니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-hub").Subnets[1].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-nva").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Get-Credential을 사용하여 VM의 사용자 이름과 암호를 설정하고 이를 $cred 변수에 저장합니다.

$cred = Get-Credential

참고

VM에는 사용자 이름이 필요합니다. 암호는 선택 사항이며 설정하더라도 사용되지는 않습니다. Linux VM에는 SSH 키 구성을 사용하는 것이 좋습니다.

New-AzVMConfig를 사용하여 VM을 정의합니다.

$vmConfigParams = @{
    VMName = "vm-nva"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Set-AzVMOperatingSystem 또는 Set-AzVMSourceImage를 사용하여 나머지 VM 구성을 만듭니다. 다음 예제에서는 Ubuntu Server 가상 머신을 만듭니다.

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-nva"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Add-AzVMNetworkInterface를 사용하여 이전에 만든 NIC를 VM에 연결합니다.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

New-AzVM을 사용하여 VM을 만듭니다. 이 명령은 가상 머신에 로그인하기 위한 SSH 키를 생성합니다. 프라이빗 키의 위치를 기록해 둡니다. 프라이빗 키는 Azure Bastion을 사용하여 가상 머신에 연결하기 위해 이후 단계에서 필요합니다.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "ssh-key"
    }
New-AzVM @vmParams -GenerateSshKey

가상 머신 네트워크 인터페이스 구성

가상 머신의 기본 네트워크 인터페이스 IP 구성은 기본적으로 동적으로 설정됩니다. 다음 예제를 사용하여 기본 네트워크 인터페이스 IP 구성을 고정 IP로 변경하고 NVA의 프라이빗 인터페이스에 대한 보조 네트워크 인터페이스를 추가합니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. vm-nva를 선택합니다.

3. 개요에서 가상 머신이 실행 중인 경우 중지를 선택합니다.

4. 네트워킹을 확장한 다음, 네트워크 설정을 선택합니다.

5. 네트워크 설정에서 네트워크 인터페이스 옆에 있는 네트워크 인터페이스 이름을 선택합니다. 인터페이스 이름은 가상 머신 이름과 난수 및 문자입니다. 이 예제의 인터페이스 이름은 vm-nva271입니다.

6. 네트워크 인터페이스 속성의 설정에서 IP 구성을 선택합니다.

7. IP 전달 사용 옆의 확인란을 선택합니다.

8. 적용을 선택합니다.

9. 적용 작업이 완료되면 ipconfig1을 선택합니다.

10. ipconfig1의 개인 IP 주소 설정에서 고정을 선택합니다.

11. 개인 IP 주소에 10.0.253.10을 입력합니다.

12. 저장을 선택합니다.

13. 저장 작업이 완료되면 vm-nva의 네트워킹 구성으로 돌아갑니다.

14. vm-nva의 네트워크 설정에서 네트워크 인터페이스 연결을 선택합니다.

15. 네트워크 인터페이스 만들기 및 연결을 선택합니다.

16. 네트워크 인터페이스 만들기에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    프로젝트 세부 정보
    리소스 그룹	test-rg를 선택합니다.
    네트워크 인터페이스
    이름	nic-private을 입력합니다.
    서브넷	subnet-private(10.0.0.0/24)을 선택합니다.
    NIC 네트워크 보안 그룹	고급을 선택합니다.
    네트워크 보안 그룹 구성	nsg-nva를 선택합니다.
    개인 IP 주소 할당	고정을 선택합니다.
    개인 IP 주소	10.0.0.10을 입력합니다.

17. 만들기를 선택합니다.

18. 가상 머신을 시작합니다.

Powershell

Set-AzNetworkInterface를 사용하여 기본 네트워크 인터페이스에서 IP를 전달하도록 설정합니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams
$nic.EnableIPForwarding = $true
Set-AzNetworkInterface -NetworkInterface $nic

Set-AzNetworkInterfaceIpConfig를 사용하여 퍼블릭 인터페이스에 대한 가상 머신의 개인 IP 주소를 고정적으로 설정합니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams
$nic.IpConfigurations[0].PrivateIpAllocationMethod = "Static"
$nic.IpConfigurations[0].PrivateIpAddress = "10.0.253.10"
Set-AzNetworkInterface -NetworkInterface $nic

Update-AzVM을 사용하여 nic-public 인터페이스를 기본 인터페이스로 지정합니다.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
$vm = Get-AzVM @vmParams

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams

$vm.NetworkProfile.NetworkInterfaces | ForEach-Object {
    $_.Primary = $false
}
$vm.NetworkProfile.NetworkInterfaces | Where-Object { $_.Id -eq $nic.Id } | ForEach-Object {
    $_.Primary = $true
}

$updateParams = @{
    ResourceGroupName = "test-rg"
    VM = $vm
}
Update-AzVM @updateParams

New-AzNetworkInterface를 사용하여 보조 네트워크 인터페이스를 만듭니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-private"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-hub").Subnets[0].Id
    PrivateIpAddress = "10.0.0.10"
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Stop-AzVM을 사용하여 가상 머신을 종료하고 할당을 해제합니다.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
    Force = $true
}
Stop-AzVM @vmParams

Add-AzVMNetworkInterface를 사용하여 보조 네트워크 인터페이스를 가상 머신에 연결합니다.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
$vm = Get-AzVM @vmParams

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-private"
}
$nic = Get-AzNetworkInterface @nicParams

$vm = Add-AzVMNetworkInterface -VM $vm -Id $nic.Id

$updateParams = @{
    ResourceGroupName = "test-rg"
    VM = $vm
}
Update-AzVM @updateParams

Start-AzVM을 사용하여 가상 머신을 시작합니다.

$startVmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
Start-AzVM @startVmParams

가상 머신 소프트웨어 구성

시뮬레이션된 NVA의 라우팅은 Ubuntu 가상 머신에서 IP 테이블 및 내부 NAT를 사용합니다. Azure Bastion을 사용하여 NVA 가상 머신에 연결하여 IP 테이블 및 라우팅 구성을 지정합니다.

1. Azure portal에서 가상 머신을 검색하여 선택합니다.

2. 가상 머신 페이지에서 vm-nva를 선택합니다.

3. VM의 개요 페이지에서 연결을 선택한 다음, Bastion을 통해 연결을 선택합니다.

4. Bastion 연결 화면에서 인증 유형을 로컬 파일의 SSH 프라이빗 키로 변경합니다.

5. 가상 머신을 만들 때 사용한 사용자 이름을 입력합니다. 이 예제에서는 사용자 이름이 azureuser이지만, 이를 각자 만들었던 사용자 이름으로 대체합니다.

6. 로컬 파일에서 폴더 아이콘을 선택하고 VM 작성 시 생성된 프라이빗 키 파일을 찾습니다. 프라이빗 키 파일은 일반적으로 id_rsa, id_rsa.pem, ssh-key.pem과 같은 이름으로 지정됩니다.

7. 연결을 선택합니다.

8. 가상 머신의 프롬프트에 다음 정보를 입력하여 IP 전달을 사용하도록 설정합니다.

   sudo nano /etc/sysctl.conf
   

9. Nano 편집기에서 # 줄의 net.ipv4.ip_forward=1을 제거합니다.

   # Uncomment the next line to enable packet forwarding for IPv4
   net.ipv4.ip_forward=1
   

   Ctrl + O를 눌러 파일을 저장합니다.

   Ctrl + X를 눌러 편집기를 종료합니다.

10. 다음 정보를 입력하여 가상 머신에서 내부 NAT를 사용하도록 설정합니다.

    sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
    sudo apt-get update
    sudo apt install iptables-persistent
    

    예를 두 번 선택합니다.

    sudo su
    iptables-save > /etc/iptables/rules.v4
    exit
    

11. Nano를 사용하여 다음 정보로 구성을 편집합니다.

    sudo nano /etc/rc.local
    

    구성 파일에 다음 줄을 추가합니다.

    /sbin/iptables-restore < /etc/iptables/rules.v4
    

    Ctrl + O를 눌러 파일을 저장합니다.

    Ctrl + X를 눌러 편집기를 종료합니다.

12. 다음과 같이 가상 머신을 다시 부팅합니다.

    sudo reboot
    

허브 네트워크 경로 테이블 만들기

경로 테이블은 Azure의 기본 라우팅을 덮어쓰는 데 사용됩니다. 시뮬레이션된 NVA를 통해 허브 프라이빗 서브넷 내의 모든 트래픽을 적용하는 경로 테이블을 만듭니다.

포털

1. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

2. + 만들기를 선택합니다.

3. 경로 테이블 만들기에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   지역	미국 서부을 선택합니다.
   이름	route-table-nat-hub를 입력합니다.
   게이트웨이 경로 전파	예(기본값)를 그대로 둡니다.

4. 검토 + 만들기를 선택합니다.

5. 만들기를 선택합니다.

6. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

7. route-table-nat-hub를 선택합니다.

8. 설정을 확장한 다음 경로를 선택합니다.

9. 경로에서 + 추가를 선택합니다.

10. 경로 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    경로 이름	default-via-nat-hub를 입력합니다.
    대상 형식	IP 주소를 선택합니다.
    대상 IP 주소/CIDR 범위	0.0.0.0/0을 입력합니다.
    다음 홉 유형	가상 어플라이언스를 선택합니다.
    다음 홉 주소	10.0.0.10을 입력합니다. 이전 단계에서 NVA의 프라이빗 인터페이스에 추가한 IP 주소입니다..

11. 추가를 선택합니다.

12. 설정에서 서브넷을 선택합니다.

13. + 연결을 선택합니다.

14. 서브넷 연결에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    가상 네트워크	vnet-hub(test-rg)를 선택합니다.
    서브넷	subnet-private을 선택합니다.

15. 확인을 선택합니다.

Powershell

New-AzRouteTable을 사용하여 경로 테이블을 만듭니다.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-hub"
    Location = "westus"
}
New-AzRouteTable @routeTableParams

Add-AzRouteConfig를 사용하여 경로 테이블에 경로를 만듭니다.

$routeConfigParams = @{
    Name = "default-via-nat-hub"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-hub"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeConfigParams | Set-AzRouteTable

Set-AzVirtualNetworkSubnetConfig를 사용하여 경로 테이블을 서브넷과 연결합니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

스포크 1 가상 네트워크 만들기

다른 지역에 허브-스포크 네트워크의 첫 번째 스포크에 대한 또 다른 가상 네트워크를 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

2. + 만들기를 선택합니다.

3. 가상 네트워크 만들기의 기본 사항 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   이름	vnet-spoke-1을 입력합니다.
   지역	(미국) 미국 중남부를 선택합니다.

4. 다음을 선택하여 보안 탭으로 이동합니다.

5. 다음을 선택하여 IP 주소 탭으로 이동합니다.

6. IPv4 주소 공간의 IP 주소 탭에서 주소 공간 삭제를 선택하여 자동으로 채워진 주소 공간을 삭제합니다.

7. IPv4 주소 공간 추가를 선택합니다.

8. IPv4 주소 공간에 10.1.0.0을 입력합니다. 마스크 선택에서 기본값인 /16(65,536개 주소)을 그대로 둡니다.

9. 서브넷 추가를 선택합니다.

10. 서브넷 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    서브넷 목적	기본값(기본값)을 그대로 둡니다.
    이름	subnet-private을 입력합니다.
    IPv4
    IPv4 주소 범위	10.1.0.0/16(기본값)을 그대로 둡니다.
    시작 주소	10.1.0.0(기본값)을 그대로 둡니다.
    크기	/24(256개 주소)(기본값)를 그대로 둡니다.

11. 추가를 선택합니다.

12. 검토 + 만들기를 선택합니다.

13. 만들기를 선택합니다.

Powershell

New-AzVirtualNetwork를 사용하여 가상 네트워크를 만듭니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
    AddressPrefix = "10.1.0.0/16"
    Location = "southcentralus"
}
New-AzVirtualNetwork @vnetParams

Add-AzVirtualNetworkSubnetConfig를 사용하여 서브넷을 만듭니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
    AddressPrefix = "10.1.0.0/24"
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork -VirtualNetwork $vnet

허브와 스포크 1 간에 피어링 만들기

가상 네트워크 피어링은 허브를 스포크 1에 연결하고 스포크 1을 허브에 연결하는 데 사용됩니다. 다음 예제를 사용하여 허브와 스포크 1 간에 양방향 네트워크 피어링을 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

2. vnet-hub를 선택합니다.

3. 설정을 확장한 다음 피어링을 선택합니다.

4. +추가를 선택합니다.

5. 피어링 추가에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   원격 가상 네트워크 요약
   피어링 링크 이름	vnet-spoke-1-to-vnet-hub를 입력합니다.
   가상 네트워크 배포 모델	리소스 관리자(기본값)를 그대로 둡니다.
   구독	구독을 선택합니다.
   가상 네트워크	vnet-spoke-1(test-rg)을 선택합니다.
   원격 가상 네트워크 피어링 설정
   'vnet-spoke-1'이 'vnet-hub'에 액세스하도록 허용	선택한 상태(기본값)를 그대로 둡니다.
   'vnet-spoke-1'이 'vnet-hub'에서 전달된 트래픽을 수신하도록 허용	확인란을 선택합니다.
   'vnet-spoke-1'의 게이트웨이 또는 경로 서버가 'vnet-hub-1'로 트래픽을 전달하도록 허용	선택 안 함(기본값)을 그대로 둡니다.
   'vnet-spoke-1'을 사용하도록 설정하여 'vnet-hub'의 원격 게이트웨이 또는 경로 서버 사용	선택 안 함(기본값)을 그대로 둡니다.
   로컬 가상 네트워크 요약
   피어링 링크 이름	vnet-hub-to-vnet-spoke-1을 입력합니다.
   로컬 가상 네트워크 피어링 설정
   'vnet-hub'가 'vnet-spoke-1'에 액세스하도록 허용	선택한 상태(기본값)를 그대로 둡니다.
   'vnet-hub'가 'vnet-spoke-1'에서 전달된 트래픽을 수신하도록 허용	확인란을 선택합니다.
   'vnet-hub'의 게이트웨이 또는 경로 서버가 'vnet-spoke-1'로 트래픽을 전달하도록 허용	선택 안 함(기본값)을 그대로 둡니다.
   'vnet-spoke-1'의 원격 게이트웨이 또는 경로 서버를 사용하려면 'vnet-hub'를 사용하도록 설정합니다.	선택 안 함(기본값)을 그대로 둡니다.

6. 추가를 선택합니다.

7. 새로 고침을 선택하고 피어링 상태가 연결됨인지 확인합니다.

Powershell

Add-AzVirtualNetworkPeering을 사용하여 허브에서 스포크 채널로의 피어링을 만듭니다.

# Create peering from hub to spoke one
$hubVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$hubVnet = Get-AzVirtualNetwork @hubVnetParams

$spokeVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$spokeVnet = Get-AzVirtualNetwork @spokeVnetParams

$hubToSpokeParams = @{
    Name = "vnet-hub-to-vnet-spoke-1"
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @hubToSpokeParams

# Create peering from spoke one to hub
$spokeToHubParams = @{
    Name = "vnet-spoke-1-to-vnet-hub"
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @spokeToHubParams

스포크 1 네트워크 경로 테이블 만들기

허브 가상 네트워크의 시뮬레이션된 NVA를 통해 모든 스포크 간 트래픽과 인터넷 송신 트래픽을 강제로 적용하는 경로 테이블을 만듭니다.

포털

1. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

2. + 만들기를 선택합니다.

3. 경로 테이블 만들기에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   지역	미국 중남부를 선택합니다.
   이름	route-table-nat-spoke-1을 입력합니다.
   게이트웨이 경로 전파	예(기본값)를 그대로 둡니다.

4. 검토 + 만들기를 선택합니다.

5. 만들기를 선택합니다.

6. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

7. route-table-nat-spoke-1을 선택합니다.

8. 설정을 확장한 다음, 경로를 선택합니다.

9. 경로에서 + 추가를 선택합니다.

10. 경로 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    경로 이름	default-via-nat-spoke-1을 입력합니다.
    대상 형식	IP 주소를 선택합니다.
    대상 IP 주소/CIDR 범위	0.0.0.0/0을 입력합니다.
    다음 홉 유형	가상 어플라이언스를 선택합니다.
    다음 홉 주소	10.0.0.10을 입력합니다. 이전 단계에서 NVA의 프라이빗 인터페이스에 추가한 IP 주소입니다..

11. 추가를 선택합니다.

12. 설정에서 서브넷을 선택합니다.

13. + 연결을 선택합니다.

14. 서브넷 연결에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    가상 네트워크	vnet-spoke-1(test-rg)을 선택합니다.
    서브넷	subnet-private을 선택합니다.

15. 확인을 선택합니다.

Powershell

New-AzRouteTable을 사용하여 경로 테이블을 만듭니다.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-1"
    Location = "southcentralus"
}
New-AzRouteTable @routeTableParams

Add-AzRouteConfig를 사용하여 경로 테이블에 경로를 만듭니다.

$routeConfigParams = @{
    Name = "default-via-nat-spoke-1"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-1"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeConfigParams | Set-AzRouteTable

Set-AzVirtualNetworkSubnetConfig를 사용하여 경로 테이블을 서브넷과 연결합니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

스포크 1 테스트 가상 머신 만들기

Windows Server 2022 가상 머신은 NAT 게이트웨이를 통해 아웃바운드 인터넷 트래픽을 테스트하고 허브-스포크 네트워크의 스포크 간 트래픽을 테스트하는 데 사용됩니다. 다음 예제를 사용하여 Windows Server 2022 가상 머신을 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. + 만들기를 선택한 다음, Azure 가상 머신을 선택합니다.

3. 가상 머신 만들기의 기본 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   가상 머신 이름	vm-spoke-1을 입력합니다.
   지역	(미국) 미국 중남부를 선택합니다.
   가용성 옵션	인프라 중복이 필요하지 않습니다를 선택합니다.
   보안 유형	표준을 선택합니다.
   이미지	Windows Server 2022 Datacenter - x64 Gen2를 선택합니다.
   VM 아키텍처	x64(기본값)를 그대로 둡니다.
   크기	크기를 선택합니다.
   관리자 계정
   인증 유형	암호를 선택합니다.
   사용자 이름	사용자 이름을 입력합니다.
   암호	암호를 입력합니다.
   암호 확인	암호를 다시 입력합니다.
   인바운드 포트 규칙
   퍼블릭 인바운드 포트	없음을 선택합니다.

4. 다음: 디스크를 선택하고 다음: 네트워킹을 선택합니다.

5. 네트워킹 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   네트워크 인터페이스
   가상 네트워크	vnet-spoke-1을 선택합니다.
   서브넷	subnet-private(10.1.0.0/24)을 선택합니다.
   공용 IP	없음을 선택합니다.
   NIC 네트워크 보안 그룹	고급을 선택합니다.
   네트워크 보안 그룹 구성	새로 만들기를 선택합니다. nsg-spoke-1을 입력합니다.
   인바운드 규칙	+ 인바운드 규칙 추가를 선택합니다. 서비스에서 HTTP를 선택합니다. 추가를 선택합니다. 확인을 선택합니다.

6. 확인을 선택합니다.

7. 나머지 옵션은 기본값으로 두고 검토 + 만들기를 선택합니다.

8. 만들기를 선택합니다.

Powershell

New-AzNetworkSecurityGroup을 사용하여 네트워크 보안 그룹을 만듭니다.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-1"
    Location = "southcentralus"
}
New-AzNetworkSecurityGroup @nsgParams

New-AzNetworkSecurityRuleConfig를 사용하여 HTTP를 위한 인바운드 NSG 규칙을 만듭니다.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-1"
}
$nsg = Get-AzNetworkSecurityGroup @nsgParams

$ruleParams = @{
    Name = "allow-http"
    Priority = 1000
    Direction = "Inbound"
    Access = "Allow"
    Protocol = "Tcp"
    SourceAddressPrefix = "*"
    SourcePortRange = "*"
    DestinationAddressPrefix = "*"
    DestinationPortRange = "80"
}
$nsg | Add-AzNetworkSecurityRuleConfig @ruleParams

Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

New-AzNetworkInterface를 사용하여 네트워크 인터페이스를 만듭니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke-1").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-1").Id
    Location = "southcentralus"
}
New-AzNetworkInterface @nicParams

Get-Credential을 사용하여 VM의 사용자 이름과 암호를 설정하고 이를 $cred 변수에 저장합니다.

$cred = Get-Credential

New-AzVMConfig를 사용하여 VM을 정의합니다.

$vmConfigParams = @{
    VMName = "vm-spoke-1"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Set-AzVMOperatingSystem 또는 Set-AzVMSourceImage를 사용하여 나머지 VM 구성을 만듭니다. 다음 명령은 Windows Server 가상 머신을 만듭니다.

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke-1"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Windows

$imageParams = @{
    VM = $vmConfig
    PublisherName = "MicrosoftWindowsServer"
    Offer = "WindowsServer"
    Skus = "2022-Datacenter"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Add-AzVMNetworkInterface를 사용하여 이전에 만든 NIC를 VM에 연결합니다.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

New-AzVM을 사용하여 VM을 만듭니다.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "southcentralus"
    }
New-AzVM @vmParams

다음 단계로 넘어가기 전에 가상 머신 배포가 완료될 때까지 기다립니다.

스포크 1 테스트 가상 머신에 IIS 설치

IIS는 NAT Gateway를 통해 아웃바운드 인터넷 트래픽을 테스트하고 허브-스포크 네트워크의 스포크 간 트래픽을 테스트하기 위해 Windows Server 2022 가상 머신에 설치됩니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. vm-spoke-1을 선택합니다.

3. 작업을 확장한 다음, 명령 실행을 선택합니다.

4. RunPowerShellScript를 선택합니다.

5. 명령 실행 스크립트에 다음 스크립트를 입력합니다.

   # Install IIS server role
   Install-WindowsFeature -name Web-Server -IncludeManagementTools
   
   # Remove default htm file
   Remove-Item  C:\inetpub\wwwroot\iisstart.htm
   
   # Add a new htm file that displays server name
   Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)
   

6. 실행을 선택합니다.

7. 스크립트가 완료될 때까지 기다렸다가 다음 단계로 진행합니다. 스크립트가 완료되는 데 몇 분 정도 걸릴 수 있습니다.

8. 스크립트가 완료되면 출력에 다음이 표시됩니다.

   Success Restart Needed Exit Code      Feature Result                               
   ------- -------------- ---------      --------------                               
   True    No             Success        {Common HTTP Features, Default Document, D...
   

Powershell

Set-AzVMExtension을 사용하여 가상 머신에 IIS를 설치합니다.

$vmExtensionParams = @{
    ResourceGroupName = "test-rg"
    VMName = "vm-spoke-1"
    Name = "CustomScriptExtension"
    Publisher = "Microsoft.Compute"
    Type = "CustomScriptExtension"
    TypeHandlerVersion = "1.10"
    Settings = @{
        "commandToExecute" = "powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path 'C:\inetpub\wwwroot\default.htm' -Value vm-spoke-1"
    }
}
Set-AzVMExtension @vmExtensionParams

두 번째 스포크 가상 네트워크 만들기

허브-스포크 네트워크의 두 번째 스포크에 대한 두 번째 가상 네트워크를 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

2. + 만들기를 선택합니다.

3. 가상 네트워크 만들기의 기본 사항 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   이름	vnet-spoke-2를 입력합니다.
   지역	(미국) 미국 서부 2를 선택합니다.

4. 다음을 선택하여 보안 탭으로 이동합니다.

5. 다음을 선택하여 IP 주소 탭으로 이동합니다.

6. IPv4 주소 공간의 IP 주소 탭에서 주소 공간 삭제를 선택하여 자동으로 채워진 주소 공간을 삭제합니다.

7. IPv4 주소 공간 추가를 선택합니다.

8. IPv4 주소 공간에 10.2.0.0을 입력합니다. 마스크 선택에서 기본값인 /16(65,536개 주소)을 그대로 둡니다.

9. 서브넷 추가를 선택합니다.

10. 서브넷 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    서브넷 목적	기본값(기본값)을 그대로 둡니다.
    이름	subnet-private을 입력합니다.
    IPv4
    IPv4 주소 범위	10.2.0.0/16(기본값)을 그대로 둡니다.
    시작 주소	10.2.0.0(기본값)을 그대로 둡니다.
    크기	/24(256개 주소)(기본값)를 그대로 둡니다.

11. 추가를 선택합니다.

12. 검토 + 만들기를 선택합니다.

13. 만들기를 선택합니다.

Powershell

New-AzVirtualNetwork를 사용하여 가상 네트워크를 만듭니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
    AddressPrefix = "10.2.0.0/16"
    Location = "westus2"
}
New-AzVirtualNetwork @vnetParams

Add-AzVirtualNetworkSubnetConfig를 사용하여 서브넷을 만듭니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
    AddressPrefix = "10.2.0.0/24"
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork -VirtualNetwork $vnet

허브와 스포크 2 간에 피어링 만들기

허브와 스포크 2 간에 양방향 가상 네트워크 피어를 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

2. vnet-hub를 선택합니다.

3. 설정에서 피어링을 선택합니다.

4. +추가를 선택합니다.

5. 포털 맨 위에 있는 검색 상자에 가상 네트워크를 입력합니다. 검색 결과에서 가상 네트워크를 선택합니다.

6. vnet-hub를 선택합니다.

7. 설정에서 피어링을 선택합니다.

8. +추가를 선택합니다.

9. 피어링 추가에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   원격 가상 네트워크 요약
   피어링 링크 이름	vnet-spoke-2-to-vnet-hub를 입력합니다.
   가상 네트워크 배포 모델	리소스 관리자(기본값)를 그대로 둡니다.
   구독	구독을 선택합니다.
   가상 네트워크	vnet-spoke-2(test-rg)를 선택합니다.
   원격 가상 네트워크 피어링 설정
   'vnet-spoke-2'이 'vnet-hub'에 액세스하도록 허용	선택한 상태(기본값)를 그대로 둡니다.
   'vnet-spoke-2'이 'vnet-hub'에서 전달된 트래픽을 수신하도록 허용	확인란을 선택합니다.
   'vnet-spoke-2'의 게이트웨이 또는 경로 서버가 'vnet-hub'로 트래픽을 전달하도록 허용	선택 안 함(기본값)을 그대로 둡니다.
   'vnet-spoke-2'를 사용하도록 설정하여 'vnet-hub'의 원격 게이트웨이 또는 경로 서버를 사용합니다.	선택 안 함(기본값)을 그대로 둡니다.
   로컬 가상 네트워크 요약
   피어링 링크 이름	vnet-hub-to-vnet-spoke-2를 입력합니다.
   로컬 가상 네트워크 피어링 설정
   'vnet-hub'가 'vnet-spoke-2'에 액세스하도록 허용	선택한 상태(기본값)를 그대로 둡니다.
   'vnet-hub'가 'vnet-spoke-2'에서 전달된 트래픽을 수신하도록 허용	확인란을 선택합니다.
   'vnet-hub'의 게이트웨이 또는 경로 서버가 'vnet-spoke-2'로 트래픽을 전달하도록 허용	선택 안 함(기본값)을 그대로 둡니다.
   'vnet-spoke-2'의 원격 게이트웨이 또는 경로 서버를 사용하려면 'vnet-hub'를 사용하도록 설정합니다.	선택 안 함(기본값)을 그대로 둡니다.

10. 추가를 선택합니다.

11. 새로 고침을 선택하고 피어링 상태가 연결됨인지 확인합니다.

Powershell

Add-AzVirtualNetworkPeering을 사용하여 허브에서 스포크 2로의 피어링을 만듭니다.

# Create peering from hub to spoke two
$hubVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$hubVnet = Get-AzVirtualNetwork @hubVnetParams

$spokeVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$spokeVnet = Get-AzVirtualNetwork @spokeVnetParams

$hubToSpokeParams = @{
    Name = "vnet-hub-to-vnet-spoke-2"
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @hubToSpokeParams

# Create peering from spoke two to hub
$spokeToHubParams = @{
    Name = "vnet-spoke-2-to-vnet-hub"
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @spokeToHubParams

스포크 2 네트워크 경로 테이블 만들기

허브 가상 네트워크의 시뮬레이션된 NVA를 통해 모든 아웃바운드 인터넷과 스포크 간 트래픽을 강제로 적용하는 경로 테이블을 만듭니다.

포털

1. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

2. + 만들기를 선택합니다.

3. 경로 테이블 만들기에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   지역	미국 서부 2를 선택합니다.
   이름	route-table-nat-spoke-2를 입력합니다.
   게이트웨이 경로 전파	예(기본값)를 그대로 둡니다.

4. 검토 + 만들기를 선택합니다.

5. 만들기를 선택합니다.

6. 포털 상단의 검색 창에 경로 테이블을 입력합니다. 검색 결과에서 경로 테이블을 선택합니다.

7. route-table-nat-spoke-2를 선택합니다.

8. 설정에서 경로를 선택합니다.

9. 경로에서 + 추가를 선택합니다.

10. 경로 추가에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    경로 이름	default-via-nat-spoke-2를 입력합니다.
    대상 형식	IP 주소를 선택합니다.
    대상 IP 주소/CIDR 범위	0.0.0.0/0을 입력합니다.
    다음 홉 유형	가상 어플라이언스를 선택합니다.
    다음 홉 주소	10.0.0.10을 입력합니다. 이전 단계에서 NVA의 프라이빗 인터페이스에 추가한 IP 주소입니다..

11. 추가를 선택합니다.

12. 설정에서 서브넷을 선택합니다.

13. + 연결을 선택합니다.

14. 서브넷 연결에서 다음 정보를 입력하거나 선택합니다.

    설정	값
    가상 네트워크	vnet-spoke-2(test-rg)를 선택합니다.
    서브넷	subnet-private을 선택합니다.

15. 확인을 선택합니다.

Powershell

New-AzRouteTable을 사용하여 경로 테이블을 만듭니다.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-2"
    Location = "westus2"
}
New-AzRouteTable @routeTableParams

Add-AzRouteConfig를 사용하여 경로 테이블에 경로를 만듭니다.

$routeParams = @{
    Name = "default-via-nat-spoke-2"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-2"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeParams | Set-AzRouteTable

Set-AzVirtualNetworkSubnetConfig를 사용하여 경로 테이블을 서브넷과 연결합니다.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

스포크 2 테스트 가상 머신 만들기

스포크 2에서 테스트 가상 머신에 사용할 Windows Server 2022 가상 머신을 만듭니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. + 만들기를 선택한 다음, Azure 가상 머신을 선택합니다.

3. 가상 머신 만들기의 기본 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   프로젝트 세부 정보
   구독	구독을 선택합니다.
   리소스 그룹	test-rg를 선택합니다.
   인스턴스 세부 정보
   가상 머신 이름	vm-spoke-2를 입력합니다.
   지역	(미국) 미국 서부 2를 선택합니다.
   가용성 옵션	인프라 중복이 필요하지 않습니다를 선택합니다.
   보안 유형	표준을 선택합니다.
   이미지	Windows Server 2022 Datacenter - x64 Gen2를 선택합니다.
   VM 아키텍처	x64(기본값)를 그대로 둡니다.
   크기	크기를 선택합니다.
   관리자 계정
   인증 유형	암호를 선택합니다.
   사용자 이름	사용자 이름을 입력합니다.
   암호	암호를 입력합니다.
   암호 확인	암호를 다시 입력합니다.
   인바운드 포트 규칙
   퍼블릭 인바운드 포트	없음을 선택합니다.

4. 다음: 디스크를 선택하고 다음: 네트워킹을 선택합니다.

5. 네트워킹 탭에서 다음 정보를 입력하거나 선택합니다.

   설정	값
   네트워크 인터페이스
   가상 네트워크	vnet-spoke-2를 선택합니다.
   서브넷	subnet-private(10.2.0.0/24)을 선택합니다.
   공용 IP	없음을 선택합니다.
   NIC 네트워크 보안 그룹	고급을 선택합니다.
   네트워크 보안 그룹 구성	새로 만들기를 선택합니다. nsg-spoke-2를 입력합니다.
   인바운드 규칙	+ 인바운드 규칙 추가를 선택합니다. 서비스에서 HTTP를 선택합니다. 추가를 선택합니다. 확인을 선택합니다.

6. 나머지 옵션은 기본값으로 두고 검토 + 만들기를 선택합니다.

7. 만들기를 선택합니다.

Powershell

New-AzNetworkSecurityGroup을 사용하여 네트워크 보안 그룹을 만듭니다.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-2"
    Location = "westus2"
}
New-AzNetworkSecurityGroup @nsgParams

New-AzNetworkSecurityRuleConfig를 사용하여 HTTP를 위한 인바운드 NSG 규칙을 만듭니다.

$ruleParams = @{
    Name = "allow-http"
    Priority = 1000
    Direction = "Inbound"
    Access = "Allow"
    Protocol = "Tcp"
    SourceAddressPrefix = "*"
    SourcePortRange = "*"
    DestinationAddressPrefix = "*"
    DestinationPortRange = "80"
}
$nsg = Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-2"

$nsg | Add-AzNetworkSecurityRuleConfig @ruleParams

Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

New-AzNetworkInterface를 사용하여 네트워크 인터페이스를 만듭니다.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-2"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke-2").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-2").Id
    Location = "westus2"
}
New-AzNetworkInterface @nicParams

Get-Credential을 사용하여 VM의 사용자 이름과 암호를 설정하고 이를 $cred 변수에 저장합니다.

$cred = Get-Credential

New-AzVMConfig를 사용하여 VM을 정의합니다.

$vmConfigParams = @{
    VMName = "vm-spoke-2"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Set-AzVMOperatingSystem 또는 Set-AzVMSourceImage를 사용하여 나머지 VM 구성을 만듭니다. 다음 명령은 Windows Server 가상 머신을 만듭니다.

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke-2"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Windows

$imageParams = @{
    VM = $vmConfig
    PublisherName = "MicrosoftWindowsServer"
    Offer = "WindowsServer"
    Skus = "2022-Datacenter"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Add-AzVMNetworkInterface를 사용하여 이전에 만든 NIC를 VM에 연결합니다.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-2"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

New-AzVM을 사용하여 VM을 만듭니다.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus2"
    }
New-AzVM @vmParams

다음 단계를 계속하기 전에 가상 머신이 배포를 완료할 때까지 기다리세요.

스포크 2 테스트 가상 머신에 IIS 설치

IIS는 NAT Gateway를 통해 아웃바운드 인터넷 트래픽을 테스트하고 허브-스포크 네트워크의 스포크 간 트래픽을 테스트하기 위해 Windows Server 2022 가상 머신에 설치됩니다.

포털

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. vm-spoke-2를 선택합니다.

3. 작업에서 명령 실행을 선택합니다.

4. RunPowerShellScript를 선택합니다.

5. 명령 실행 스크립트에 다음 스크립트를 입력합니다.

   # Install IIS server role
   Install-WindowsFeature -name Web-Server -IncludeManagementTools
   
   # Remove default htm file
   Remove-Item  C:\inetpub\wwwroot\iisstart.htm
   
   # Add a new htm file that displays server name
   Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)
   

6. 실행을 선택합니다.

7. 스크립트가 완료될 때까지 기다렸다가 다음 단계로 진행합니다. 스크립트가 완료되는 데 몇 분 정도 걸릴 수 있습니다.

8. 스크립트가 완료되면 출력*에 다음이 표시됩니다.

   Success Restart Needed Exit Code      Feature Result                               
   ------- -------------- ---------      --------------                               
   True    No             Success        {Common HTTP Features, Default Document, D...
   

Powershell

Set-AzVMExtension을 사용하여 가상 머신에 IIS를 설치합니다.

$vmExtensionParams = @{
    ResourceGroupName = "test-rg"
    VMName = "vm-spoke-2"
    Name = "CustomScriptExtension"
    Publisher = "Microsoft.Compute"
    Type = "CustomScriptExtension"
    TypeHandlerVersion = "1.10"
    Settings = @{
        "commandToExecute" = "powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path 'C:\inetpub\wwwroot\default.htm' -Value vm-spoke-2"
    }
}
Set-AzVMExtension @vmExtensionParams

NAT Gateway 테스트

이전 단계에서 만든 Windows Server 2022 가상 머신에 연결하여 아웃바운드 인터넷 트래픽이 NAT Gateway를 벗어나고 있는지 확인합니다.

NAT Gateway 공용 IP 주소 가져오기

문서의 뒷부분에 있는 단계를 확인하려면 NAT Gateway 공용 IP 주소를 가져옵니다.

1. https://portal.azure.com에서 Azure Portal에 로그인합니다.

2. 포털 맨 위에 있는 검색 상자에 공용 IP를 입력합니다. 검색 결과에서 공용 IP 주소를 선택합니다.

3. public-ip-nat를 선택합니다.

4. IP 주소의 값을 기록해 둡니다. 이 문서에 사용된 예시는 203.0.113.25입니다.

스포크 1에서 NAT Gateway 테스트

Windows Server 2022 가상 머신에서 Microsoft Edge를 사용해 https://whatsmyip.com에 연결하여 NAT Gateway의 기능을 확인합니다.

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. vm-spoke-1을 선택합니다.

3. 개요에서 연결을 선택한 다음 Bastion을 통해 연결합니다.

4. 가상 머신을 만들 때 입력한 사용자 이름 및 암호를 입력합니다.

5. 연결을 선택합니다.

6. 데스크톱 로드가 완료되면 Microsoft Edge를 엽니다.

7. 주소 표시줄에 https://whatsmyip.com을 입력합니다.

8. 표시된 아웃바운드 IP 주소가 이전에 가져온 NAT Gateway의 IP와 동일한지 확인합니다.

   

9. 베스천 연결이 vm-spoke-1로 열린 상태로 둡니다.

스포크 2에서 NAT Gateway 테스트

Windows Server 2022 가상 머신에서 Microsoft Edge를 사용해 https://whatsmyip.com에 연결하여 NAT Gateway의 기능을 확인합니다.

1. 포털 맨 위에 있는 검색 상자에 가상 머신을 입력합니다. 검색 결과에서 가상 머신을 선택합니다.

2. vm-spoke-2를 선택합니다.

3. 개요에서 연결을 선택한 다음 Bastion을 통해 연결합니다.

4. 가상 머신을 만들 때 입력한 사용자 이름 및 암호를 입력합니다.

5. 연결을 선택합니다.

6. 데스크톱 로드가 완료되면 Microsoft Edge를 엽니다.

7. 주소 표시줄에 https://whatsmyip.com을 입력합니다.

8. 표시된 아웃바운드 IP 주소가 이전에 가져온 NAT Gateway의 IP와 동일한지 확인합니다.

   

9. 베스천 연결이 vm-spoke-2로 열린 상태로 둡니다.

스포크 간 라우팅 테스트

스포크 1에서 스포크 2로의 트래픽과 스포크 2에서 스포크 1로의 트래픽은 허브 가상 네트워크에서 시뮬레이션된 NVA를 통해 라우팅됩니다. 다음 예제를 사용하여 허브-스포크 네트워크의 스포크 간 라우팅을 확인합니다.

스포크 1에서 스포크 2로의 라우팅 테스트

Microsoft Edge를 사용하여 이전 단계에서 설치한 vm-spoke-2의 웹 서버에 연결합니다.

1. vm-spoke-1로 열려 있는 베스천 연결로 돌아갑니다.

2. Microsoft Edge가 열려 있지 않으면 지금 엽니다.

3. 주소 표시줄에 10.2.0.4를 입력합니다.

4. IIS 페이지가 vm-spoke-2에서 표시되는지 확인합니다.

   

5. vm-spoke-1에 대한 베스천 연결을 닫습니다.

스포크 2에서 스포크 1로의 라우팅 테스트

Microsoft Edge를 사용하여 이전 단계에서 설치한 vm-spoke-1의 웹 서버에 연결합니다.

1. vm-spoke-2로 열려 있는 베스천 연결로 돌아갑니다.

2. Microsoft Edge가 열려 있지 않으면 지금 엽니다.

3. 주소 표시줄에 10.1.0.4를 입력합니다.

4. IIS 페이지가 vm-spoke-1에서 표시되는지 확인합니다.

   

5. vm-spoke-1에 대한 베스천 연결을 닫습니다.

포털

만든 리소스 사용을 마치면 리소스 그룹과 해당 리소스를 모두 삭제할 수 있습니다.

1. Azure Portal에서 리소스 그룹을 검색하고 선택합니다.

2. 리소스 그룹 페이지에서 test-rg 리소스 그룹을 선택합니다.

3. test-rg 페이지에서 리소스 그룹 삭제를 선택합니다.

4. 삭제 확인을 위한 리소스 그룹 이름 입력에 test-rg를 입력한 다음 삭제를 선택합니다.

Powershell

Remove-AzResourceGroup을 사용하여 리소스 그룹을 삭제합니다.

$rgParams = @{
    Name = "test-rg"
    Force = $true
}
Remove-AzResourceGroup @rgParams

다음 단계

다음 문서로 이동하여 고가용성 네트워크 가상 어플라이언스에 Azure Gateway Load Balancer를 사용하는 방법을 알아봅니다.

게이트웨이 부하 분산 장치