RADIUS kimlik doğrulamasını kullanarak sanal ağa noktadan siteye bağlantı yapılandırma: PowerShell

Makale
01/29/2024

Bu makalede, RADIUS kimlik doğrulaması kullanan noktadan siteye (P2S) bağlantıyla sanal ağ oluşturma işlemleri gösterilmektedir. Bu yapılandırma yalnızca Resource Manager dağıtım modeli için kullanılabilir. Bu yapılandırmayı PowerShell'i veya Azure portalını kullanarak oluşturabilirsiniz.

Noktadan siteye VPN ağ geçidi, tek bir istemci bilgisayardan sanal ağınıza güvenli bir bağlantı oluşturmanıza olanak tanır. P2S VPN bağlantıları, VNet'inize evden veya konferans gibi uzak bir konumdan bağlanmak istediğinizde kullanışlıdır. P2S VPN, bir sanal ağa bağlanması gereken yalnızca birkaç istemciniz olduğunda siteden siteye VPN yerine kullanmak için kullanışlı bir çözümdür.

Windows ve Mac cihazlardan bir P2S VPN bağlantısı başlatılır. Bu makale, kimlik doğrulaması için RADIUS sunucusu kullanan bir P2S yapılandırması yapılandırmanıza yardımcı olur. Farklı bir yöntem kullanarak kimlik doğrulaması yapmak istiyorsanız aşağıdaki makalelere bakın:

P2S bağlantıları için VPN cihazı veya genel kullanıma yönelik IP adresi gerekmez. P2S, VPN bağlantısını SSTP (Güvenli Yuva Tünel Protokolü), OpenVPN veya IKEv2 üzerinden oluşturur.

SSTP, yalnızca Windows istemci platformlarında desteklenen TLS tabanlı bir VPN tünelidir. Güvenlik duvarlarına nüfuz edebilir ve bu da Windows cihazlarını Azure'a her yerden bağlamayı iyi bir seçenek haline getirir. Sunucu tarafında, yalnızca TLS sürüm 1.2'yi destekliyoruz. Gelişmiş performans, ölçeklenebilirlik ve güvenlik için bunun yerine OpenVPN protokollerini kullanmayı göz önünde bulundurun.
OpenVPN® Protokolü, SSL/TLS tabanlı bir VPN protokolü. Çoğu güvenlik duvarı, TLS'nin kullandığı 443 numaralı GIDEN TCP bağlantı noktasını açtığından TLS VPN çözümü güvenlik duvarlarına nüfuz edebilir. OpenVPN, Android, iOS (sürüm 11.0 ve üzeri), Windows, Linux ve Mac cihazlarından (macOS sürüm 10.13 ve üzeri) bağlanmak için kullanılabilir.
IKEv2 VPN, standart tabanlı bir IPsec VPN çözümüdür. IKEv2 VPN, Windows, Linux ve Mac cihazlarından (macOS sürüm 10.11 ve üzeri) bağlanmak için kullanılabilir.

Bu yapılandırma için bağlantılar aşağıdakileri gerektirir:

RouteBased VPN ağ geçidi.
Kullanıcı kimlik doğrulamasını işlemek için bir RADIUS sunucusu. RADIUS sunucusu şirket içinde veya Azure sanal asında dağıtılabilir. Yüksek kullanılabilirlik için iki RADIUS sunucusu da yapılandırabilirsiniz.
VPN istemci profili yapılandırma paketi. VPN istemci profili yapılandırma paketi, oluşturduğunuz bir pakettir. Bir VPN istemcisinin P2S üzerinden bağlanması için gereken ayarları sağlar.

P2S VPN'leri için Active Directory (AD) Etki Alanı Kimlik Doğrulaması hakkında

AD Etki Alanı kimlik doğrulaması, kullanıcıların kuruluş etki alanı kimlik bilgilerini kullanarak Azure'da oturum açmasına olanak tanır. AD sunucusuyla tümleşen bir RADIUS sunucusu gerektirir. Kuruluşlar ayrıca mevcut RADIUS dağıtımlarından da yararlanabilir.

RADIUS sunucusu şirket içinde veya Azure sanal ağınızda bulunabilir. Kimlik doğrulaması sırasında VPN ağ geçidi geçiş görevi görür ve RADIUS sunucusu ile bağlanan cihaz arasında kimlik doğrulama iletilerini ileri geri ile iletir. VPN ağ geçidinin RADIUS sunucusuna ulaşabilmesi önemlidir. RADIUS sunucusu şirket içinde bulunuyorsa, Azure'dan şirket içi siteye vpn sitesi bağlantısı gerekir.

Bir RADIUS sunucusu, Active Directory dışında diğer dış kimlik sistemleriyle de tümleştirebilir. Bu, MFA seçenekleri dahil olmak üzere P2S VPN'leri için birçok kimlik doğrulama seçeneği açar. Tümleştirmiş olduğu kimlik sistemlerinin listesini almak için RADIUS sunucusu satıcı belgelerinize bakın.

Önemli

Şirket içi RADIUS sunucusuna bağlanmak için yalnızca siteden siteye VPN bağlantısı kullanılabilir. ExpressRoute bağlantısı kullanılamaz.

Başlamadan önce

Azure aboneliğiniz olduğunu doğrulayın. Henüz Azure aboneliğiniz yoksa MSDN abonelik avantajlarınızı etkinleştirebilir veya ücretsiz bir hesap için kaydolabilirsiniz.

Azure PowerShell ile çalışma

Bu makalede PowerShell cmdlet'leri kullanılır. Cmdlet'leri çalıştırmak için Azure Cloud Shell'i kullanabilirsiniz. Cloud Shell, bu makaledeki adımları çalıştırmak için kullanabileceğiniz ücretsiz bir etkileşimli kabukdur. Yaygın Azure araçları, kabuğa önceden yüklenmiştir ve kabuk, hesabınızla birlikte kullanılacak şekilde yapılandırılmıştır.

Cloud Shell'i açmak için bir kod bloğunun sağ üst köşesinden CloudShell'i Aç'ı seçmeniz gerekir. Cloud Shell'i adresine giderek https://shell.azure.com/powershellayrı bir tarayıcı sekmesinde de açabilirsiniz. Kod bloklarını kopyalamak için Kopyala'yı seçin, bunları Cloud Shell'e yapıştırın ve çalıştırmak için Enter tuşunu seçin.

Ayrıca Azure PowerShell cmdlet'lerini bilgisayarınıza yerel olarak yükleyebilir ve çalıştırabilirsiniz. PowerShell cmdlet'leri sık sık güncelleştirilir. En son sürümü yüklemediyseniz, yönergelerde belirtilen değerler başarısız olabilir. Bilgisayarınızda yüklü Azure PowerShell sürümlerini bulmak için cmdlet'ini Get-Module -ListAvailable Az kullanın. Yüklemek veya güncelleştirmek için bkz . Azure PowerShell modülünü yükleme.

Örnek değerler

Örnek değerleri kullanarak bir test ortamı oluşturabilir veya bu makaledeki örnekleri daha iyi anlamak için bu değerlere bakabilirsiniz. İzlenecek yol olarak adımları kullanıp değerleri değiştirmeden uygulayabilir veya ortamınızı yansıtacak şekilde değiştirebilirsiniz.

Ad: VNet1
Adres alanı: 10.1.0.0/16 ve 10.254.0.0/16
Bu örnekte, bu yapılandırmanın birden çok adres alanıyla çalıştığını göstermek için birden fazla adres alanı kullanıyoruz. Ancak, bu yapılandırma için birden çok adres alanı gerekli değildir.
Alt ağ adı: FrontEnd
- Alt ağ adres aralığı: 10.1.0.0/24
Alt ağ adı: BackEnd
- Alt ağ adres aralığı: 10.254.1.0/24
Alt ağ adı: GatewaySubnet
VPN ağ geçidinin çalışması için Alt Ağ adı olarak GatewaySubnet'in kullanılması zorunludur.
- GatewaySubnet adres aralığı: 10.1.255.0/27
VPN istemcisi adres havuzu: 172.16.201.0/24
Bu P2S bağlantısını kullanarak sanal ağa bağlanan VPN istemcileri, VPN istemci adres havuzundan bir IP adresi alır.
Abonelik: Birden fazla aboneliğiniz varsa doğru aboneliği kullandığınızı doğrulayın.
Kaynak Grubu: TestRG1
Konum: Doğu ABD
DNS Sunucusu: Sanal ağınız için ad çözümlemesi için kullanmak istediğiniz DNS sunucusunun IP adresi . (isteğe bağlı)
Ağ Geçidi Adı: Vnet1GW
Ortak IP adı: VNet1GWPIP
VpnType: RouteBased

Kullanmak istediğiniz değişkenleri bildirin. Aşağıdaki örneği kullanın ve gerektiğinde, değerleri kendi değerlerinizle değiştirin. Alıştırma sırasında herhangi bir noktada PowerShell/Cloud Shell oturumunuzu kapatırsanız, değişkenleri yeniden eklemek için değerleri kopyalayıp yeniden yapıştırmanız yeter.

$VNetName  = "VNet1"
$FESubName = "FrontEnd"
$BESubName = "Backend"
$GWSubName = "GatewaySubnet"
$VNetPrefix1 = "10.1.0.0/16"
$VNetPrefix2 = "10.254.0.0/16"
$FESubPrefix = "10.1.0.0/24"
$BESubPrefix = "10.254.1.0/24"
$GWSubPrefix = "10.1.255.0/27"
$VPNClientAddressPool = "172.16.201.0/24"
$RG = "TestRG1"
$Location = "East US"
$GWName = "VNet1GW"
$GWIPName = "VNet1GWPIP"
$GWIPconfName = "gwipconf1"

2. Kaynak grubunu, sanal ağı ve Genel IP adresini oluşturun

Aşağıdaki adımlar, kaynak grubunda üç alt ağa sahip bir kaynak grubu ve sanal ağ oluşturur. Değerleri değiştirdiğinizde, ağ geçidi alt ağınızı her zaman özellikle 'GatewaySubnet' olarak adlandırmanız önemlidir. Başka bir ad verirseniz ağ geçidi oluşturma işlemi başarısız olur;

Kaynak grubu oluşturun.

New-AzResourceGroup -Name "TestRG1" -Location "East US"

Sanal ağ için alt ağ yapılandırmalarını oluşturup FrontEnd, BackEnd ve GatewaySubnet olarak adlandırın. Bu ön ekler bildirdiğiniz sanal adres alanının parçası olmalıdır.

$fesub = New-AzVirtualNetworkSubnetConfig -Name "FrontEnd" -AddressPrefix "10.1.0.0/24"  
$besub = New-AzVirtualNetworkSubnetConfig -Name "Backend" -AddressPrefix "10.254.1.0/24"  
$gwsub = New-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -AddressPrefix "10.1.255.0/27"

Sanal ağı oluşturun.

Bu örnekte, -DnsServer sunucu parametresi isteğe bağlıdır. Değer belirtmek yeni bir DNS sunucusu oluşturmaz. Belirttiğiniz DNS sunucusu IP adresi, sanal ağınızdan bağlandığınız kaynakların adlarını çözümleyebilen bir DNS sunucusu olmalıdır. Bu örnekte, özel bir IP adresi kullandık, ancak bunun DNS sunucunuzun IP adresi olma olasılığı yüksektir. Kendi değerlerinizi kullandığınızdan emin olun. Belirttiğiniz değer, P2S bağlantısı tarafından değil, sanal ağa dağıttığınız kaynaklar tarafından kullanılır.
```
New-AzVirtualNetwork -Name "VNet1" -ResourceGroupName "TestRG1" -Location "East US" -AddressPrefix "10.1.0.0/16","10.254.0.0/16" -Subnet $fesub, $besub, $gwsub -DnsServer 10.2.1.3
```
Bir VPN ağ geçidinin genel bir IP adresi olmalıdır. İlk olarak IP adresi kaynağını istemeniz, sonra sanal ağ geçidinizi oluştururken bu kaynağa başvurmanız gerekir. VPN ağ geçidi oluşturulurken, IP adresi kaynağa dinamik olarak atanır. VPN Gateway hizmeti şu anda yalnızca Dinamik Genel IP adresi ayırmayı desteklemektedir. Statik Genel IP adresi ataması isteyemezsiniz. Ancak bu, IP adresinin VPN ağ geçidinize atandıktan sonra değiştiği anlamına gelmez. Genel IP adresi, yalnızca ağ geçidi silinip yeniden oluşturulduğunda değişir. VPN ağ geçidiniz üzerinde gerçekleştirilen yeniden boyutlandırma, sıfırlama veya diğer iç bakım/yükseltme işlemleri sırasında değişmez.

Dinamik olarak atanmış bir Genel IP adresi istemek için değişkenleri belirtin.
```
$vnet = Get-AzVirtualNetwork -Name "VNet1" -ResourceGroupName "TestRG1"  
$subnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet 
$pip = New-AzPublicIpAddress -Name "VNet1GWPIP" -ResourceGroupName "TestRG1" -Location "East US" -AllocationMethod Dynamic 
$ipconf = New-AzVirtualNetworkGatewayIpConfig -Name "gwipconf1" -Subnet $subnet -PublicIpAddress $pip
```

3. RADIUS sunucunuzu ayarlama

Sanal ağ geçidini oluşturup yapılandırmadan önce RADIUS sunucunuzun kimlik doğrulaması için doğru şekilde yapılandırılması gerekir.

Dağıtılan bir RADIUS sunucunuz yoksa bir tane dağıtın. Dağıtım adımları için RADIUS satıcınız tarafından sağlanan kurulum kılavuzuna bakın.
VPN ağ geçidini RADIUS üzerinde RADIUS istemcisi olarak yapılandırın. Bu RADIUS istemcisini eklerken, oluşturduğunuz sanal ağ GatewaySubnet'i belirtin.
RADIUS sunucusu ayarlandıktan sonra RADIUS sunucusunun IP adresini ve RADIUS istemcilerinin RADIUS sunucusuyla konuşmak için kullanması gereken paylaşılan gizli diziyi alın. RADIUS sunucusu Azure VNet'teyse RADIUS sunucusu VM'sinin CA IP'sini kullanın.

Ağ İlkesi Sunucusu (NPS) makalesi, AD etki alanı kimlik doğrulaması için Bir Windows RADIUS sunucusu (NPS) yapılandırma hakkında rehberlik sağlar.

4. VPN ağ geçidini oluşturma

Sanal ağınız için VPN ağ geçidini yapılandırın ve oluşturun.

-GatewayType 'Vpn' ve -VpnType 'RouteBased' olmalıdır.
Vpn ağ geçidinin tamamlanması, seçtiğiniz ağ geçidi SKU'sunun durumuna bağlı olarak 45 dakika veya daha uzun sürebilir.

New-AzVirtualNetworkGateway -Name $GWName -ResourceGroupName $RG `
-Location $Location -IpConfigurations $ipconf -GatewayType Vpn `
-VpnType RouteBased -EnableBgp $false -GatewaySku VpnGw1

5. RADIUS sunucusunu ve istemci adres havuzunu ekleyin

-RadiusServer ada veya IP adresine göre belirtilebilir. Adı belirtirseniz ve sunucu şirket içinde bulunursa VPN ağ geçidi adı çözümleyemeyebilir. Böyle bir durum söz konusuysa sunucunun IP adresini belirtmek daha iyidir.
-RadiusSecret, RADIUS sunucunuzda yapılandırılanlarla eşleşmelidir.
-VpnClientAddressPool, bağlanan VPN istemcilerinin bir IP adresi aldığı aralıktır. Bağlanabileceğiniz şirket içi konumla veya bağlanmak istediğiniz sanal ağ ile çakışmayan bir özel IP adresi aralığı kullanın. Yapılandırılmış yeterince büyük bir adres havuzuna sahip olduğunuzdan emin olun.

RADIUS gizli dizisi için güvenli bir dize oluşturun.

$Secure_Secret=Read-Host -AsSecureString -Prompt "RadiusSecret"

RADIUS gizli dizisini girmeniz istenir. Girdiğiniz karakterler görüntülenmez ve bunun yerine "*" karakteriyle değiştirilir.
```
RadiusSecret:***
```

VPN istemci adres havuzunu ve RADIUS sunucu bilgilerini ekleyin.

SSTP yapılandırmaları için:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "SSTP" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

OpenVPN® yapılandırmaları için:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway -VpnClientRootCertificates @()
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "OpenVPN" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

IKEv2 yapılandırmaları için:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol "IKEv2" `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

SSTP + IKEv2 için:

$Gateway = Get-AzVirtualNetworkGateway -ResourceGroupName $RG -Name $GWName
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway `
-VpnClientAddressPool "172.16.201.0/24" -VpnClientProtocol @( "SSTP", "IkeV2" ) `
-RadiusServerAddress "10.51.0.15" -RadiusServerSecret $Secure_Secret

İki RADIUS sunucusu belirtmek için aşağıdaki söz dizimini kullanın. -VpnClientProtocol değerini gerektiği gibi değiştirin.

$radiusServer1 = New-AzRadiusServer -RadiusServerAddress 10.1.0.15 -RadiusServerSecret $radiuspd -RadiusServerScore 30
$radiusServer2 = New-AzRadiusServer -RadiusServerAddress 10.1.0.16 -RadiusServerSecret $radiuspd -RadiusServerScore 1

$radiusServers = @( $radiusServer1, $radiusServer2 )

Set-AzVirtualNetworkGateway -VirtualNetworkGateway $actual -VpnClientAddressPool 201.169.0.0/16 -VpnClientProtocol "IkeV2" -RadiusServerList $radiusServers

6. VPN istemcisini yapılandırma ve bağlanma

VPN istemci profili yapılandırma paketleri, Azure VNet bağlantısı için VPN istemci profillerini yapılandırmanıza yardımcı olan ayarları içerir.

VPN istemcisi yapılandırma paketi oluşturmak ve bir VPN istemcisi yapılandırmak için aşağıdaki makalelerden birine bakın:

VPN istemcisini yapılandırdıktan sonra Azure'a bağlanın.

Bağlantınızı doğrulamak için

VPN bağlantınızın etkin olduğunu doğrulamak için, yükseltilmiş bir komut istemi açın ve ipconfig/all komutunu çalıştırın.

Sonuçlara bakın. Aldığınız IP adresinin, yapılandırmanızda belirttiğiniz P2S VPN İstemci Adres Havuzu içindeki adreslerden biri olduğuna dikkat edin. Sonuçları şu örneğe benzer:

PPP adapter VNet1:
   Connection-specific DNS Suffix .:
   Description.....................: VNet1
   Physical Address................:
   DHCP Enabled....................: No
   Autoconfiguration Enabled.......: Yes
   IPv4 Address....................: 172.16.201.3(Preferred)
   Subnet Mask.....................: 255.255.255.255
   Default Gateway.................:
   NetBIOS over Tcpip..............: Enabled

P2S bağlantısı sorunlarını gidermek için bkz . Azure noktadan siteye bağlantı sorunlarını giderme.

Sanal makineye bağlanma

SANAL makinenize uzak masaüstü Bağlan oluşturarak sanal ağınıza dağıtılan bir VM'ye bağlanabilirsiniz. Sanal makinenize bağlanabildiğinizi doğrulamanın en iyi yolu, bilgisayar yerine özel IP adresini kullanarak bağlantı kurmaktır. Bu şekilde, ad çözümlemenin düzgün yapılandırılıp yapılandırılmadığını değil bağlanıp bağlanamayacağınızı test edersiniz.

Özel IP adresini bulun. Azure portalında VM'nin özelliklerine bakarak veya PowerShell kullanarak vm'nin özel IP adresini bulabilirsiniz.
- Azure portalı: Azure portalında VM'nizi bulun. VM’nin özelliklerini görüntüleyin. Özel IP adresi listelenir.
- PowerShell: Örneği kullanarak kaynak gruplarınızdaki VM'lerin ve özel IP adreslerinin listesini görüntüleyin. Bu örneği kullanmadan önce değiştirmeniz gerekmez.
```
$VMs = Get-AzVM
$Nics = Get-AzNetworkInterface | Where-Object VirtualMachine -ne $null

foreach ($Nic in $Nics) {
$VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
$Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
$Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
Write-Output "$($VM.Name): $Prv,$Alloc"
}
```
Sanal ağınıza bağlı olduğunuzu doğrulayın.
Görev çubuğundaki arama kutusuna RDP veya Uzak Masaüstü Bağlan ion girerek Uzak Masaüstü Bağlan ion'ı açın. Ardından Uzak Masaüstü Bağlan'ı seçin. PowerShell'de komutunu kullanarak Uzak Masaüstü Bağlan ion'ımstsc da açabilirsiniz.
Uzak Masaüstü Bağlan ion'da VM'nin özel IP adresini girin. Diğer ayarları yapmak ve ardından bağlanmak için Seçenekleri Göster'i seçebilirsiniz.

VPN bağlantınız üzerinden bir VM'ye bağlanırken sorun yaşıyorsanız aşağıdaki noktaları denetleyin:

VPN bağlantınızın başarılı olduğunu doğrulayın.
VM'nin özel IP adresine bağlandığınızı doğrulayın.
Sanal makineye bilgisayar adını değil özel IP adresini kullanarak bağlanabiliyorsanız, DNS'yi doğru yapılandırdığınızdan emin olun. VM'lerde ad çözümlemenin nasıl çalıştığı hakkında daha fazla bilgi için bkz . VM'ler için ad çözümlemesi.

RDP bağlantıları hakkında daha fazla bilgi için bkz. Bir VM ile Uzak Masaüstü bağlantılarında sorun giderme.

Sanal ağ için DNS sunucusu IP adresleri belirtildikten sonra VPN istemci yapılandırma paketinin oluşturulduğunu doğrulayın. DNS sunucusu IP adreslerini güncelleştirdiyseniz, yeni bir VPN istemci yapılandırma paketi oluşturup yükleyin.
Bağlanmakta olduğunuz bilgisayardaki Ethernet bağdaştırıcısına atanan IPv4 adresini denetlemek için 'ipconfig' kullanın. IP adresi, bağlandığınız sanal ağın adres aralığında veya VPNClientAddressPool adres aralığı içindeyse, bu, çakışan adres alanı olarak adlandırılır. Adres alanınız bu şekilde çakıştığında, ağ trafiği Azure’a ulaşmaz ve yerel ağda kalır.

SSS

SSS bilgileri için SSS'nin Noktadan siteye - RADIUS kimlik doğrulaması bölümüne bakın.

Sonraki adımlar

Bağlantınız tamamlandıktan sonra sanal ağlarınıza sanal makineler ekleyebilirsiniz. Daha fazla bilgi için bkz. Sanal Makineler. Ağ ve sanal makineler hakkında daha fazla bilgi edinmek için, bkz. Azure ve Linux VM ağına genel bakış.