VNet-till-VNet-anslutning mellan Azure Stack Hub-instanser med Fortinet FortiGate NVA
I den här artikeln ansluter du ett virtuellt nätverk i en Azure Stack Hub till ett virtuellt nätverk i en annan Azure Stack Hub med hjälp av Fortinet FortiGate NVA, en virtuell nätverksinstallation.
Den här artikeln beskriver den aktuella Azure Stack Hub-begränsningen, som gör att klientorganisationer bara kan konfigurera en VPN-anslutning i två miljöer. Användarna får lära sig hur de konfigurerar en anpassad gateway på en virtuell Linux-dator som tillåter flera VPN-anslutningar i olika Azure Stack Hub. Proceduren i den här artikeln distribuerar två virtuella nätverk med en FortiGate NVA i varje virtuellt nätverk: en distribution per Azure Stack Hub-miljö. Den beskriver också de ändringar som krävs för att konfigurera en IPSec VPN mellan de två virtuella nätverken. Stegen i den här artikeln bör upprepas för varje virtuellt nätverk i varje Azure Stack Hub.
Förutsättningar
Åtkomst till ett Azure Stack Hub-integrerat system med tillgänglig kapacitet för att distribuera nödvändiga beräknings-, nätverks- och resurskrav som krävs för den här lösningen.
Anteckning
De här anvisningarna fungerar inte med ett Azure Stack Development Kit (ASDK) på grund av nätverksbegränsningarna i ASDK. Mer information finns i krav och överväganden för ASDK.
En lösning för virtuell nätverksinstallation (NVA) har laddats ned och publicerats på Azure Stack Hub Marketplace. En NVA styr flödet av nätverkstrafik från ett perimeternätverk till andra nätverk eller undernät. Den här proceduren använder Lösningen Fortinet FortiGate Next-Generation Firewall Single VM.
Minst två tillgängliga FortiGate-licensfiler för att aktivera FortiGate NVA. Information om hur du hämtar dessa licenser finns i artikeln Fortinet-dokumentbiblioteket om registrering och nedladdning av din licens.
Den här proceduren använder distributionen Single FortiGate-VM. Du hittar steg för hur du ansluter FortiGate NVA till det virtuella Azure Stack Hub-nätverket i ditt lokala nätverk.
Mer information om hur du distribuerar FortiGate-lösningen i en aktiv-passiv (HA)-konfiguration finns i artikeln Fortinet-dokumentbibliotek ha för FortiGate-VM i Azure.
Distributionsparametrar
I följande tabell sammanfattas de parametrar som används i dessa distributioner som referens:
Distribution ett: Forti1
FortiGate-instansnamn | Forti1 |
---|---|
BYOL-licens/-version | 6.0.3 |
Administratörsanvändarnamn för FortiGate | fortiadmin |
Namnet på resursgruppen | forti1-rg1 |
Virtuellt nätverksnamn | forti1vnet1 |
VNET-adressutrymme | 172.16.0.0/16* |
Namn på offentligt VNET-undernät | forti1-PublicFacingSubnet |
Offentligt VNET-adressprefix | 172.16.0.0/24* |
Inuti VNET-undernätsnamn | forti1-InsideSubnet |
Inuti VNET-undernätsprefix | 172.16.1.0/24* |
VM-storlek för FortiGate NVA | Standard F2s_v2 |
Namn på offentlig IP-adress | forti1-publicip1 |
Offentlig IP-adresstyp | Statisk |
Distribution två: Forti2
FortiGate-instansnamn | Forti2 |
---|---|
BYOL-licens/-version | 6.0.3 |
Administratörsanvändarnamn för FortiGate | fortiadmin |
Namnet på resursgruppen | forti2-rg1 |
Virtuellt nätverksnamn | forti2vnet1 |
VNET-adressutrymme | 172.17.0.0/16* |
Namn på offentligt VNET-undernät | forti2-PublicFacingSubnet |
Offentligt VNET-adressprefix | 172.17.0.0/24* |
Inuti VNET-undernätsnamn | Forti2-InsideSubnet |
Inuti VNET-undernätsprefix | 172.17.1.0/24* |
VM-storlek för FortiGate NVA | Standard F2s_v2 |
Namn på offentlig IP-adress | Forti2-publicip1 |
Offentlig IP-adresstyp | Statisk |
Anteckning
* Välj en annan uppsättning adressutrymmen och undernätsprefix om ovanstående överlappar på något sätt med den lokala nätverksmiljön, inklusive VIP-poolen för azure stack-hubben. Se också till att adressintervallen inte överlappar varandra.**
Distribuera FortiGate NGFW Marketplace-objekt
Upprepa de här stegen för båda Azure Stack Hub-miljöerna.
Öppna Azure Stack Hub-användarportalen. Se till att använda autentiseringsuppgifter som har minst deltagarbehörighet till en prenumeration.
Välj Skapa en resurs och sök
FortiGate
efter .Välj FortiGate NGFW och välj Skapa.
Slutför Grundläggande med hjälp av parametrarna från tabellen Distributionsparametrar .
Formuläret ska innehålla följande information:
Välj OK.
Ange information om virtuellt nätverk, undernät och VM-storlek från distributionsparametrarna.
Om du vill använda olika namn och intervall bör du vara noga med att inte använda parametrar som står i konflikt med andra VNET- och FortiGate-resurser i den andra Azure Stack Hub-miljön. Detta gäller särskilt när du anger VNET IP-intervall och undernätsintervall i det virtuella nätverket. Kontrollera att de inte överlappar IP-intervallen för det andra virtuella nätverk som du skapar.
Välj OK.
Konfigurera den offentliga IP-adress som ska användas för FortiGate NVA:
Välj OK och sedan Välj OK.
Välj Skapa.
Distributionen tar cirka 10 minuter. Nu kan du upprepa stegen för att skapa den andra FortiGate NVA- och VNET-distributionen i den andra Azure Stack Hub-miljön.
Konfigurera vägar (UDR) för varje virtuellt nätverk
Utför de här stegen för båda distributionerna, forti1-rg1 och forti2-rg1.
Gå till resursgruppen forti1-rg1 i Azure Stack Hub-portalen.
Välj resursen "forti1-forti1-InsideSubnet-routes-xxxx".
Välj Vägar under Inställningar.
Ta bort vägen till Internet .
Välj Ja.
Välj Lägg till.
Ge vägen namnet
to-forti1
ellerto-forti2
. Använd ditt IP-intervall om du använder ett annat IP-intervall.Skriv:
- forti1:
172.17.0.0/16
- forti2:
172.16.0.0/16
Använd ditt IP-intervall om du använder ett annat IP-intervall.
- forti1:
Välj Virtuell installation som Nästa hopptyp.
- forti1:
172.16.1.4
- forti2:
172.17.0.4
Använd ditt IP-intervall om du använder ett annat IP-intervall.
- forti1:
Välj Spara.
Upprepa stegen för varje InsideSubnet-väg för varje resursgrupp.
Aktivera FortiGate NVA:erna och konfigurera en IPSec VPN-anslutning på varje NVA
Du behöver en giltig licensfil från Fortinet för att aktivera varje FortiGate NVA. NVA:erna fungerar inte förrän du har aktiverat varje NVA. Mer information om hur du hämtar en licensfil och steg för att aktivera NVA finns i artikeln Fortinet-dokumentbibliotek som registrerar och laddar ned din licens.
Två licensfiler måste hämtas – en för varje NVA.
Skapa en IPSec VPN mellan de två NVA:erna
När NVA:erna har aktiverats följer du de här stegen för att skapa en IPSec VPN mellan de två NVA:erna.
Följ stegen nedan för både forti1 NVA och forti2 NVA:
Hämta den tilldelade offentliga IP-adressen genom att gå till översiktssidan för den virtuella fortiX-datorn:
Kopiera den tilldelade IP-adressen, öppna en webbläsare och klistra in adressen i adressfältet. Webbläsaren kan varna dig om att säkerhetscertifikatet inte är betrott. Fortsätt ändå.
Ange det administrativa användarnamnet och lösenordet för FortiGate som du angav under distributionen.
Välj Inbyggdprogramvara försystem>.
Markera rutan som visar den senaste inbyggda programvaran,
FortiOS v6.2.0 build0866
till exempel .Välj Säkerhetskopieringskonfiguration och uppgradering och Fortsätt när du uppmanas till det.
NVA uppdaterar sin inbyggda programvara till den senaste versionen och startar om. Processen tar ungefär fem minuter. Logga in på FortiGate-webbkonsolen igen.
Klicka på GUIDEN VPN>IPSec.
Ange ett namn för VPN, till exempel
conn1
i guiden Skapa VPN.Välj Den här webbplatsen ligger bakom NAT.
Välj Nästa.
Ange fjärr-IP-adressen för den lokala VPN-enhet som du ska ansluta till.
Välj port1 som utgående gränssnitt.
Välj I förväg delad nyckel och ange (och spela in) en i förväg delad nyckel.
Anteckning
Du behöver den här nyckeln för att konfigurera anslutningen på den lokala VPN-enheten, d.v.s. de måste matcha exakt.
Välj Nästa.
Välj port2 för det lokala gränssnittet.
Ange det lokala undernätsintervallet:
- forti1: 172.16.0.0/16
- forti2: 172.17.0.0/16
Använd ditt IP-intervall om du använder ett annat IP-intervall.
Ange lämpliga fjärrundernät som representerar det lokala nätverket, som du ska ansluta till via den lokala VPN-enheten.
- forti1: 172.16.0.0/16
- forti2: 172.17.0.0/16
Använd ditt IP-intervall om du använder ett annat IP-intervall.
Välj Skapa
Välj Nätverksgränssnitt>.
Dubbelklicka på port2.
Välj LAN i rolllistan och DHCP för adresseringsläget.
Välj OK.
Upprepa stegen för den andra NVA:n.
Ta upp alla fas 2-väljare
När ovanstående har slutförts för båda NVA:erna:
På forti2 FortiGate-webbkonsolen väljer du övervakaIPsec Monitor>.
Markera
conn1
ochvälj > allafas 2-väljare.
Testa och verifiera anslutningen
Nu bör du kunna dirigera mellan varje virtuellt nätverk via FortiGate NVA:erna. Verifiera anslutningen genom att skapa en virtuell Azure Stack Hub-dator i varje virtuellt nätverks InsideSubnet. Du kan skapa en virtuell Azure Stack Hub-dator via portalen, Azure CLI eller PowerShell. När du skapar de virtuella datorerna:
De virtuella Azure Stack Hub-datorerna placeras i InsideSubnet för varje virtuellt nätverk.
Du tillämpar inte några NSG:er på den virtuella datorn när den skapas (dvs. ta bort den NSG som läggs till som standard om du skapar den virtuella datorn från portalen.
Se till att brandväggsreglerna för den virtuella datorn tillåter den kommunikation som du ska använda för att testa anslutningen. I testsyfte rekommenderar vi att du inaktiverar brandväggen helt i operativsystemet om det är möjligt.
Nästa steg
Skillnader och överväganden för Azure Stack Hub-nätverk
Erbjuda en nätverkslösning i Azure Stack Hub med Fortinet FortiGate
Feedback
https://aka.ms/ContentUserFeedback.
Kommer snart: Under hela 2024 kommer vi att fasa ut GitHub-problem som feedbackmekanism för innehåll och ersätta det med ett nytt feedbacksystem. Mer information finns i:Skicka och visa feedback för