Konfigurace sítě VPN typu site-to-site pro použití se službou Azure Files

Připojení VPN typu site-to-site (S2S) můžete použít k připojení sdílených složek Azure z místní sítě bez odesílání dat přes otevřený internet. Vpn typu S2S můžete nastavit pomocí služby Azure VPN Gateway, což je prostředek Azure nabízející služby VPN. Službu VPN Gateway nasadíte ve skupině prostředků společně s účty úložiště nebo jinými prostředky Azure.

Než budete pokračovat v tomto článku, důrazně doporučujeme přečíst si přehled sítí Azure Files, abyste si mohli přečíst kompletní diskuzi o možnostech sítí dostupných pro Azure Files.

Tento článek podrobně popisuje postup konfigurace sítě VPN typu site-to-site pro připojení sdílených složek Azure přímo místně. Pokud chcete směrovat synchronizační provoz pro Synchronizace souborů Azure přes S2S VPN, přečtěte si informace o konfiguraci Synchronizace souborů Azure nastavení proxy serveru a brány firewall.

Platí pro

Typ sdílené složky	SMB	NFS
Sdílené složky úrovně Standard (GPv2), LRS/ZRS
Sdílené složky úrovně Standard (GPv2), GRS/GZRS
Sdílené složky úrovně Premium (FileStorage), LRS/ZRS

Požadavky

• Sdílená složka Azure, kterou chcete připojit místně. Sdílené složky Azure se nasazují v účtech úložiště, což jsou konstrukce správy, které představují sdílený fond úložiště, ve kterém můžete nasadit více sdílených složek, a také další prostředky úložiště, jako jsou objekty blob nebo fronty. Další informace o nasazení sdílených složek Azure a účtů úložiště najdete v tématu Vytvoření sdílené složky Azure.

• Síťové zařízení nebo server v místním datovém centru, které je kompatibilní se službou Azure VPN Gateway. Služba Azure Files je nezávislá na zvoleném místním síťovém zařízení, ale Azure VPN Gateway udržuje seznam otestovaných zařízení. Různá síťová zařízení nabízejí různé funkce, charakteristiky výkonu a funkce správy, proto je zvažte při výběru síťového zařízení.

Pokud nemáte stávající síťové zařízení, Windows Server obsahuje integrovanou roli serveru, směrování a vzdálený přístup (RRAS), kterou je možné použít jako místní síťové zařízení. Další informace o konfiguraci směrování a vzdáleného přístupu ve Windows Serveru najdete v tématu Brána RAS.

Přidání virtuální sítě do účtu úložiště

Pokud chcete do účtu úložiště přidat novou nebo existující virtuální síť, postupujte takto.

Azure Portal

1. Přihlaste se k webu Azure Portal a přejděte k účtu úložiště obsahujícímu sdílenou složku Azure, kterou chcete připojit místně.

2. V nabídce služby v části Zabezpečení a sítě vyberte Sítě. Pokud jste do účtu úložiště při vytváření nezadali virtuální síť, mělo by výsledné podokno obsahovat přepínač Povoleno ze všech sítí vybraných v části Veřejný přístup k síti.

3. Pokud chcete přidat virtuální síť, vyberte přepínač Povoleno z vybraných virtuálních sítí a IP adres . V podnadpisu Virtuální sítě vyberte buď + Přidat existující virtuální síť, nebo + Přidat novou virtuální síť. Vytvoření nové virtuální sítě způsobí vytvoření nového prostředku Azure. Nový nebo existující prostředek virtuální sítě musí být ve stejné oblasti jako účet úložiště, ale nemusí být ve stejné skupině prostředků nebo předplatném. Mějte ale na paměti, že skupina prostředků, oblast a předplatné, do kterého nasadíte virtuální síť, musí odpovídat tomu, kam bránu virtuální sítě nasadíte v dalším kroku.

   

   Pokud přidáte existující virtuální síť, musíte nejprve vytvořit podsíť brány ve virtuální síti. Zobrazí se výzva k výběru jedné nebo více podsítí této virtuální sítě. Pokud vytvoříte novou virtuální síť, v rámci procesu vytváření vytvoříte podsíť. Později můžete přidat další podsítě prostřednictvím výsledného prostředku Azure pro virtuální síť.

   Pokud jste dříve nepovolili přístup k virtuální síti, Microsoft.Storage bude potřeba přidat koncový bod služby do podsítě virtuální sítě. Dokončení může trvat až 15 minut, ale ve většině případů se dokončí mnohem rychleji. Dokud se tato operace nedokončí, nebudete mít přístup ke sdíleným složkám Azure v rámci tohoto účtu úložiště, včetně připojení VPN. Koncový bod služby směruje provoz z virtuální sítě přes optimální cestu ke službě Azure Storage. S každým požadavkem se odesílají také identity podsítě a virtuální sítě.

4. V horní části stránky vyberte Uložit.

Azure PowerShell

1. Přihlaste se do Azure.

   Connect-AzAccount
   

2. Pokud chcete přidat novou virtuální síť a podsíť brány, spusťte následující skript. Pokud máte existující virtuální síť, kterou chcete použít, přeskočte tento krok a pokračujte krokem 3. Nezapomeňte nahradit <your-subscription-id>, <resource-group>a <storage-account-name> vlastními hodnotami. V případě potřeby zadejte vlastní hodnoty pro $location a $vnetName. Parametr -AddressPrefix definuje bloky IP adres pro virtuální síť a podsíť, proto je nahraďte příslušnými hodnotami.

   # Select subscription  
   $subscriptionId = "<your-subscription-id>"
   Select-AzSubscription -SubscriptionId $subscriptionId
   
   # Define parameters
   $storageAccount = "<storage-account-name>"
   $resourceGroup = "<resource-group>"
   $location = "East US" # Change to desired Azure region
   $vnetName = "myVNet"
   # Virtual network gateway can only be created in subnet with name 'GatewaySubnet'.
   $subnetName = "GatewaySubnet"
   $vnetAddressPrefix = "10.0.0.0/16" # Update this address as per your requirements
   $subnetAddressPrefix = "10.0.0.0/24" # Update this address as per your requirements
   
   # Set current storage account
   Set-AzCurrentStorageAccount -ResourceGroupName $resourceGroup -Name $storageAccount
   
   # Define subnet configuration  
   $subnetConfig = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix $subnetAddressPrefix
   
   # Create a virtual network  
   New-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroup -Location $location -AddressPrefix $vnetAddressPrefix -Subnet $subnetConfig  
   

3. Pokud jste v předchozím kroku vytvořili novou virtuální síť a podsíť, přeskočte tento krok. Pokud máte existující virtuální síť, kterou chcete použít, musíte před nasazením brány vytvořit podsíť brány ve virtuální síti.

   Pokud chcete přidat podsíť brány do existující virtuální sítě, spusťte následující skript. Nezapomeňte nahradit <your-subscription-id>, <resource-group>a <virtual-network-name> vlastními hodnotami. Parametr $subnetAddressPrefix definuje blok IP adresy pro podsíť, proto nahraďte IP adresu podle vašich požadavků.

   # Select subscription  
   $subscriptionId = "<your-subscription-id>"
   Select-AzSubscription -SubscriptionId $subscriptionId
   
   # Define parameters
   $storageAccount = "<storage-account-name>"
   $resourceGroup = "<resource-group>"
   $vnetName = "<virtual-network-name>"
   # Virtual network gateway can only be created in subnet with name 'GatewaySubnet'.
   $subnetName = "GatewaySubnet"
   $subnetAddressPrefix = "10.0.0.0/24" # Update this address as per your requirements
   
   # Set current storage account
   Set-AzCurrentStorageAccount -ResourceGroupName $resourceGroup -Name $storageAccount
   
   # Get the virtual network
   $vnet = Get-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroup
   
   # Add the gateway subnet
   Add-AzVirtualNetworkSubnetConfig -Name $subnetName -VirtualNetwork $vnet -AddressPrefix $subnetAddressPrefix
   
   # Apply the configuration to the virtual network
   Set-AzVirtualNetwork -VirtualNetwork $vnet
   

4. Pokud chcete povolit provoz jenom z konkrétních virtuálních sítí, použijte Update-AzStorageAccountNetworkRuleSet příkaz a nastavte -DefaultAction parametr na Odepřít.

   Update-AzStorageAccountNetworkRuleSet -ResourceGroupName $resourceGroup -Name $storageAccount -DefaultAction Deny
   

5. Microsoft.Storage Povolte koncový bod služby ve virtuální síti a podsíti. Dokončení může trvat až 15 minut, ale ve většině případů se dokončí mnohem rychleji. Dokud se tato operace nedokončí, nebudete mít přístup ke sdíleným složkám Azure v rámci tohoto účtu úložiště, včetně připojení VPN. Koncový bod služby směruje provoz z virtuální sítě přes optimální cestu ke službě Azure Storage. S každým požadavkem se odesílají také identity podsítě a virtuální sítě.

   Get-AzVirtualNetwork -ResourceGroupName $resourceGroup -Name $vnetName | Set-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix $subnetAddressPrefix -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork
   

6. Přidejte pravidlo sítě pro virtuální síť a podsíť.

   $subnet = Get-AzVirtualNetwork -ResourceGroupName $resourceGroup -Name $vnetName | Get-AzVirtualNetworkSubnetConfig -Name $subnetName
   Add-AzStorageAccountNetworkRule -ResourceGroupName $resourceGroup -Name $storageAccount -VirtualNetworkResourceId $subnet.Id
   

Azure CLI

1. Přihlaste se do Azure.

   az login
   

2. Pokud chcete přidat novou virtuální síť a podsíť brány, spusťte následující skript. Pokud máte existující virtuální síť, kterou chcete použít, přeskočte tento krok a pokračujte krokem 3. Nezapomeňte nahradit <your-subscription-id>, <storage-account-name>a <resource-group> vlastními hodnotami. Nahraďte <virtual-network-name> názvem nové virtuální sítě, kterou chcete vytvořit. --subnet-prefixes Parametry --address-prefix definují bloky IP adres pro virtuální síť a podsíť, proto je nahraďte příslušnými hodnotami. Virtuální síť se vytvoří ve stejné oblasti jako skupina prostředků.

   # Set your subscription  
   az account set --subscription "<your-subscription-id>"  
   
   # Define parameters
   storageAccount="<storage-account-name>"
   resourceGroup="<resource-group>"
   vnetName="<virtual-network-name>"
   # Virtual network gateway can only be created in subnet with name 'GatewaySubnet'.
   subnetName="GatewaySubnet"
   vnetAddressPrefix="10.0.0.0/16" # Update this address per your requirements
   subnetAddressPrefix="10.0.0.0/24" # Update this address per your requirements
   
   # Create a virtual network and subnet
   az network vnet create \
     --resource-group $resourceGroup \
     --name $vnetName \
     --address-prefix $vnetAddressPrefix \
     --subnet-name $subnetName \
     --subnet-prefixes $subnetAddressPrefix  
   

3. Pokud jste v předchozím kroku vytvořili novou virtuální síť a podsíť, přeskočte tento krok. Pokud máte existující virtuální síť, kterou chcete použít, musíte před nasazením brány vytvořit podsíť brány ve virtuální síti.

   Pokud chcete přidat podsíť brány do existující virtuální sítě, spusťte následující skript. Nezapomeňte nahradit <your-subscription-id>, <resource-group>a <virtual-network-name> vlastními hodnotami. Parametr --address-prefixes definuje blok IP adres pro podsíť, proto podle potřeby nahraďte blok IP adres.

   # Set your subscription  
   az account set --subscription "<your-subscription-id>"
   
   # Define parameters
   storageAccount="<storage-account-name>"
   resourceGroup="<resource-group>"
   vnetName="<virtual-network-name>"
   # Virtual network gateway can only be created in subnet with name 'GatewaySubnet'.
   subnetName="GatewaySubnet"
   subnetAddressPrefix="10.0.0.0/24" # Update this address per your requirements
   
   # Create the gateway subnet
   az network vnet subnet create \
     --resource-group $resourceGroup \
     --vnet-name $vnetName \
     --name $subnetName \
     --address-prefixes $subnetAddressPrefix
   

4. Pokud chcete povolit provoz jenom z konkrétních virtuálních sítí, použijte az storage account update příkaz a nastavte --default-action parametr na Odepřít.

   az storage account update --resource-group $resourceGroup --name $storageAccount --default-action Deny
   

5. Microsoft.Storage Povolte koncový bod služby ve virtuální síti a podsíti. Dokončení může trvat až 15 minut, ale ve většině případů se dokončí mnohem rychleji. Dokud se tato operace nedokončí, nebudete mít přístup ke sdíleným složkám Azure v rámci tohoto účtu úložiště, včetně připojení VPN. Koncový bod služby směruje provoz z virtuální sítě přes optimální cestu ke službě Azure Storage. S každým požadavkem se odesílají také identity podsítě a virtuální sítě.

   az network vnet subnet update --resource-group $resourceGroup --vnet-name $vnetName --name $subnetName --service-endpoints "Microsoft.Storage.Global"
   

6. Přidejte pravidlo sítě pro virtuální síť a podsíť.

   subnetid=$(az network vnet subnet show --resource-group $resourceGroup --vnet-name $vnetName --name $subnetName --query id --output tsv)
   az storage account network-rule add --resource-group $resourceGroup --account-name $storageAccount --subnet $subnetid
   

Nasazení brány virtuální sítě

Pokud chcete nasadit bránu virtuální sítě, postupujte takto.

Azure Portal

1. Do vyhledávacího pole v horní části webu Azure Portal vyhledejte a vyberte brány virtuální sítě. Měla by se zobrazit stránka brány virtuální sítě. V horní části stránky vyberte + Vytvořit.

2. Na kartě Základy vyplňte hodnoty podrobností projektu a podrobnosti instance. Brána virtuální sítě musí být ve stejném předplatném, oblasti Azure a skupině prostředků jako virtuální síť.

   

   • Předplatné: V rozevíracím seznamu vyberte předplatné, které chcete použít.
   • Skupina prostředků: Toto nastavení se automaticky vyplňuje, když vyberete virtuální síť na této stránce.
   • Název: Pojmenujte bránu virtuální sítě. Pojmenování brány není stejné jako pojmenování podsítě brány. Jedná se o název objektu brány virtuální sítě, který vytváříte.
   • Oblast: Vyberte oblast, ve které chcete tento prostředek vytvořit. Oblast brány virtuální sítě musí být stejná jako virtuální síť.
   • Typ brány: Vyberte VPN. Brány VPN používají bránu virtuální sítě typu VPN.
   • Skladová položka: V rozevíracím seznamu vyberte skladovou položku brány, která podporuje funkce, které chcete použít. Skladová položka řídí počet povolených tunelů Site-to-Site a požadovaný výkon sítě VPN. Viz skladové položky brány. Pokud chcete použít ověřování IKEv2 (síť VPN založená na směrování), nepoužívejte skladovou položku Basic.
   • Generování: Vyberte generaci, kterou chcete použít. Doporučujeme použít skladovou položku Generation2. Další informace najdete v části Skladové jednotky (SKU) brány.
   • Virtuální síť: V rozevíracím seznamu vyberte virtuální síť, kterou jste přidali do svého účtu úložiště v předchozím kroku.
   • Podsíť: Toto pole by mělo být neaktivní a uveďte název podsítě brány, kterou jste vytvořili, spolu s rozsahem IP adres. Pokud se místo toho zobrazí pole rozsahu adres podsítě brány s textovým polem, ještě jste ve virtuální síti nenakonfigurovali podsíť brány.

3. Zadejte hodnoty pro veřejnou IP adresu , která se přidružuje k bráně virtuální sítě. Při vytvoření brány virtuální sítě se k tomuto objektu přiřadí veřejná IP adresa. Jedinou dobou, kdy se primární veřejná IP adresa změní, je odstranění a opětovné vytvoření brány. Nemění se v rámci změny velikosti, resetování ani jiné interní údržby nebo upgradů.

   

   • Veřejná IP adresa: IP adresa brány virtuální sítě, která bude vystavena internetu. Pravděpodobně budete muset vytvořit novou IP adresu, ale můžete také použít stávající nepoužívané IP adresy. Pokud vyberete Vytvořit nový, vytvoří se nový prostředek IP adresy Azure ve stejné skupině prostředků jako brána virtuální sítě a název veřejné IP adresy bude název nově vytvořené IP adresy. Pokud vyberete Možnost Použít existující, musíte vybrat stávající nepoužívané IP adresy.
   • Název veřejné IP adresy: Do textového pole zadejte název vaší instance veřejné IP adresy.
   • Skladová položka veřejné IP adresy: Nastavení je automaticky vybráno.
   • Přiřazení: Přiřazení je obvykle automaticky vybráno a může být dynamické nebo statické.
   • Povolit režim aktivní-aktivní: Vyberte Zakázáno. Toto nastavení povolte jenom v případě, že vytváříte konfiguraci brány aktivní-aktivní. Další informace o režimu aktivní-aktivní najdete v tématu Vysoce dostupné připojení mezi místními sítěmi a připojení typu VNet-to-VNet.
   • Konfigurace protokolu BGP: Vyberte Zakázáno, pokud konfigurace výslovně nevyžaduje protokol Border Gateway Protocol. Pokud toto nastavení vyžadujete, výchozí hodnota ASN je 65515, i když tuto hodnotu můžete změnit. Další informace o tomto nastavení najdete v tématu O protokolu BGP se službou Azure VPN Gateway.

4. Pokud chcete spustit ověření, vyberte Zkontrolovat a vytvořit . Jakmile ověření projde, vyberte Vytvořit a nasaďte bránu virtuální sítě. Dokončení nasazení může trvat až 45 minut.

Azure PowerShell

1. Nejprve požádejte o veřejnou IP adresu. Pokud máte existující nepoužitou IP adresu, kterou chcete použít, můžete tento krok přeskočit. Nahraďte <resource-group> názvem vaší skupiny prostředků a zadejte stejnou oblast Azure, kterou jste použili pro virtuální síť.

   $gwpip = New-AzPublicIpAddress -Name "mypublicip" -ResourceGroupName "<resource-group>" -Location "East US" -AllocationMethod Static -Sku Standard
   

2. Dále vytvořte konfiguraci IP adresy brány definováním podsítě a veřejné IP adresy, kterou chcete použít. Veřejná IP adresa brány VPN se zveřejní na internetu. Nahraďte <virtual-network-name> a <resource-group> nahraďte vlastními hodnotami.

   $vnet = Get-AzVirtualNetwork -Name <virtual-network-name> -ResourceGroupName <resource-group>
   $subnet = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet
   $gwipconfig = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig -SubnetId $subnet.Id -PublicIpAddressId $gwpip.Id
   

3. Spuštěním následujícího skriptu vytvořte bránu VPN.

   Nahraďte <resource-group> stejnou skupinu prostředků jako virtuální síť. Zadejte skladovou položku brány, která podporuje funkce, které chcete použít. Skladová položka brány řídí počet povolených tunelů typu Site-to-Site a požadovaný výkon sítě VPN. Doporučujeme použít skladovou položku 2. generace. Pokud chcete použít ověřování IKEv2 (síť VPN založená na směrování), nepoužívejte skladovou položku Basic.

   New-AzVirtualNetworkGateway -Name MyVnetGateway -ResourceGroupName <resource-group> -Location "East US" -IpConfigurations $gwipconfig -GatewayType "Vpn" -VpnType RouteBased -GatewaySku VpnGw2 -VpnGatewayGeneration Generation2
   

   Můžete také zahrnout další funkce, jako je protokol BGP (Border Gateway Protocol) a aktivní-aktivní. Viz dokumentace k rutině New-AzVirtualNetworkGateway . Pokud potřebujete protokol BGP, výchozí hodnota ASN je 65515, i když tuto hodnotu můžete změnit.

4. Vytvoření brány může trvat 45 minut nebo déle v závislosti na zadané skladové po straně brány. Bránu VPN můžete zobrazit pomocí rutiny Get-AzVirtualNetworkGateway .

   Get-AzVirtualNetworkGateway -Name MyVnetGateway -ResourceGroup <resource-group>
   

Azure CLI

1. Nejprve požádejte o veřejnou IP adresu. Pokud máte existující nepoužitou IP adresu, kterou chcete použít, můžete tento krok přeskočit. Položku <resource-group> nahraďte názvem vaší skupiny prostředků.

   az network public-ip create -n mypublicip -g <resource-group>
   

2. Spuštěním následujícího skriptu vytvořte bránu VPN. Vytvoření brány může trvat 45 minut nebo déle v závislosti na vámi zadané skladové po straně brány.

   Nahraďte <resource-group> stejnou skupinu prostředků jako virtuální síť. Zadejte skladovou položku brány, která podporuje funkce, které chcete použít. Skladová položka brány řídí počet povolených tunelů typu Site-to-Site a požadovaný výkon sítě VPN. Doporučujeme použít skladovou položku 2. generace. Pokud chcete použít ověřování IKEv2 (síť VPN založená na směrování), nepoužívejte skladovou položku Basic.

   az network vnet-gateway create -n MyVnetGateway -l eastus --public-ip-address mypublicip -g <resource-group> --vnet <virtual-network-name> --gateway-type Vpn --sku VpnGw2 --vpn-gateway-generation Generation2 --no-wait
   

   Tento --no-wait parametr umožňuje, aby se brána vytvořila na pozadí. Neznamená to, že se brána VPN vytvoří okamžitě.

3. Bránu VPN můžete zobrazit pomocí následujícího příkazu. Pokud brána VPN není plně nasazená, zobrazí se chybová zpráva.

   az network vnet-gateway show -n MyVnetGateway -g <resource-group>
   

Vytvoření brány místní sítě pro místní bránu

Brána místní sítě je prostředek Azure, který představuje vaše místní síťové zařízení. Nasadí se společně s vaším účtem úložiště, virtuální sítí a bránou virtuální sítě, ale nemusí být ve stejné skupině prostředků nebo předplatném jako účet úložiště. Pokud chcete vytvořit bránu místní sítě, postupujte takto.

Azure Portal

1. Do vyhledávacího pole v horní části webu Azure Portal vyhledejte a vyberte brány místní sítě. Měla by se zobrazit stránka Brány místní sítě. V horní části stránky vyberte + Vytvořit.

2. Na kartě Základy vyplňte hodnoty podrobností projektu a podrobnosti instance.

   

   • Předplatné: Požadované předplatné Azure. Nemusí se shodovat s předplatným používaným pro bránu virtuální sítě ani účet úložiště.
   • Skupina prostředků: Požadovaná skupina prostředků. Nemusí se shodovat se skupinou prostředků používanou pro bránu virtuální sítě ani účet úložiště.
   • Oblast: V oblasti Azure by se měl vytvořit prostředek brány místní sítě. To by se mělo shodovat s oblastí, kterou jste vybrali pro bránu virtuální sítě, a účet úložiště.
   • Název: Název prostředku Azure pro bránu místní sítě. Tento název může být libovolný název, který je pro vaši správu užitečný.
   • Koncový bod: Ponechte vybranou IP adresu .
   • IP adresa: Veřejná IP adresa místní brány.
   • Adresní prostor: Rozsah adres nebo rozsahy pro síť představuje tato brána místní sítě. Příklad: 192.168.0.0/16. Pokud přidáte více rozsahů adresního prostoru, ujistěte se, že se zadané rozsahy nepřekrývají s rozsahy jiných sítí, ke kterým se chcete připojit. Pokud plánujete použít tuto bránu místní sítě v připojení s povoleným protokolem BGP, je minimální předpona, kterou musíte deklarovat, je hostitelská adresa IP adresy partnerského uzlu protokolu BGP na vašem zařízení VPN.

3. Pokud vaše organizace vyžaduje protokol BGP, vyberte kartu Upřesnit a nakonfigurujte nastavení protokolu BGP. Další informace najdete v tématu O protokolu BGP se službou Azure VPN Gateway.

4. Pokud chcete spustit ověření, vyberte Zkontrolovat a vytvořit . Jakmile ověření projde, vyberte Vytvořit a vytvořte bránu místní sítě.

Azure PowerShell

Spuštěním následujícího příkazu vytvořte novou bránu místní sítě. Nahraďte <resource-group> vlastní hodnotou.

Parametr -AddressPrefix určuje rozsah adres nebo rozsahy pro síť, kterou tato brána místní sítě představuje. Pokud přidáte více rozsahů adresního prostoru, ujistěte se, že se zadané rozsahy nepřekrývají s rozsahy jiných sítí, ke kterým se chcete připojit.

New-AzLocalNetworkGateway -Name MyLocalGateway -Location "East US" -AddressPrefix @('10.101.0.0/24','10.101.1.0/24') -GatewayIpAddress "5.4.3.2" -ResourceGroupName <resource-group>

Azure CLI

Spuštěním následujícího příkazu vytvořte novou bránu místní sítě. Nahraďte <resource-group> vlastní hodnotou.

Parametr --local-address-prefixes určuje rozsah adres nebo rozsahy pro síť, kterou tato brána místní sítě představuje. Pokud přidáte více rozsahů adresního prostoru, ujistěte se, že se zadané rozsahy nepřekrývají s rozsahy jiných sítí, ke kterým se chcete připojit.

az network local-gateway create --gateway-ip-address 5.4.3.2 --name MyLocalGateway -g <resource-group> --local-address-prefixes 10.101.0.0/24 10.101.1.0/24

Konfigurace místního síťového zařízení

Konkrétní postup konfigurace místního síťového zařízení závisí na síťovém zařízení, které vaše organizace vybrala.

Při konfiguraci síťového zařízení budete potřebovat následující položky:

• Sdílený klíč. Jedná se o stejný sdílený klíč, který zadáte při vytváření připojení VPN typu site-to-site. V našich příkladech používáme základní sdílený klíč, například "abc123". Doporučujeme vygenerovat složitější klíč, který bude vyhovovat požadavkům vaší organizace na zabezpečení.

• Veřejná IP adresa brány virtuální sítě. Pokud chcete najít veřejnou IP adresu brány virtuální sítě pomocí PowerShellu, spusťte následující příkaz. V tomto příkladu je název prostředku veřejné IP adresy, mypublicip který jste vytvořili v předchozím kroku.

  Get-AzPublicIpAddress -Name mypublicip -ResourceGroupName <resource-group>
  

V závislosti na zařízení VPN, které máte, si možná budete moct stáhnout konfigurační skript zařízení VPN. Další informace najdete v článku Stažení konfiguračních skriptů zařízení VPN.

Další informace o konfiguraci najdete na následujících odkazech:

• Informace o kompatibilních zařízeních VPN najdete v tématu o zařízeních VPN.

• Před konfigurací zařízení VPN zkontrolujte případné známé problémy s kompatibilitou zařízení.

• Odkazy na nastavení konfigurace zařízení najdete v tématu Ověřená zařízení VPN. Poskytujeme odkazy na konfiguraci zařízení na základě maximálního úsilí, ale vždy je nejlepší zkontrolovat u výrobce zařízení nejnovější informace o konfiguraci.

  V seznamu jsou uvedené verze, které jsme otestovali. Pokud verze operačního systému pro vaše zařízení VPN není v seznamu, může být stále kompatibilní. Obraťte se na výrobce zařízení.

• Základní informace o konfiguraci zařízení VPN najdete v tématu Přehled konfigurací partnerských zařízení VPN.

• Informace o úpravách ukázek konfigurace zařízení najdete v tématu popisujícím úpravy ukázek.

• Kryptografické požadavky najdete v tématu O kryptografických požadavcích a branách Azure VPN.

• Informace oparametrch Mezi tyto informace patří verze protokolu IKE, skupina Diffie-Hellman (DH), metoda ověřování, šifrovací a hashovací algoritmy, životnost přidružení zabezpečení (SA), perfektní předávání tajemství (PFS) a detekce mrtvých partnerských uzlů (DPD).

• Postup konfigurace zásad IPsec/IKE najdete v tématu Konfigurace vlastních zásad připojení IPsec/IKE pro S2S VPN a VNet-to-VNet.

• Pokud chcete připojit více zařízení VPN založených na zásadách, přečtěte si téma Připojení brány VPN k několika místním zařízením VPN založeným na zásadách.

Vytvoření připojení typu site-to-site

K dokončení nasazení sítě VPN S2S musíte vytvořit připojení mezi místním síťovým zařízením (reprezentovaným prostředkem brány místní sítě) a bránou virtuální sítě Azure. Postup je následující:

Azure Portal

1. Přejděte k bráně virtuální sítě, kterou jste vytvořili. V obsahu brány virtuální sítě vyberte Nastavení > připojení a pak vyberte + Přidat.

2. Na kartě Základy vyplňte hodnoty podrobností projektu a podrobnosti instance.

   

   • Předplatné: Požadované předplatné Azure.
   • Skupina prostředků: Požadovaná skupina prostředků.
   • Typ připojení: Protože se jedná o připojení S2S, vyberte z rozevíracího seznamu možnost Site-to-Site (IPsec ).
   • Název: Název připojení. Brána virtuální sítě může hostovat více připojení, proto zvolte název, který je užitečný pro vaši správu a který bude toto konkrétní připojení rozlišovat.
   • Oblast: Oblast, kterou jste vybrali pro bránu virtuální sítě a účet úložiště.

3. Na kartě Nastavení zadejte následující informace.

   

   • Brána virtuální sítě: Vyberte bránu virtuální sítě, kterou jste vytvořili.
   • Brána místní sítě: Vyberte bránu místní sítě, kterou jste vytvořili.
   • Sdílený klíč (PSK):: Kombinace písmen a čísel používaných k vytvoření šifrování připojení. Stejný sdílený klíč musí být použit ve virtuální síti i v branách místní sítě. Pokud vaše zařízení brány ho neposkytuje, můžete si ho tady vytvořit a poskytnout ho vašemu zařízení.
   • Protokol IKE: V závislosti na zařízení VPN vyberte IKEv1 pro síť VPN založenou na zásadách nebo IKEv2 pro síť VPN založenou na směrování. Další informace o dvou typech bran VPN najdete v tématu o branách VPN založených na zásadách a bránách VPN založených na směrování.
   • Použití privátní IP adresy Azure: Kontrola této možnosti umožňuje použít privátní IP adresy Azure k navázání připojení VPN IPsec. Aby tato možnost fungovala, musí být na bráně VPN nastavená podpora privátních IP adres. Podporuje se jenom u skladových položek služby AZ Gateway.
   • Povolit protokol BGP: Pokud vaše organizace toto nastavení výslovně nevyžaduje, nechte nezaškrtnuté.
   • Povolit vlastní adresy protokolu BGP: Nechte nezaškrtnuté, pokud vaše organizace toto nastavení výslovně nevyžaduje.
   • FastPath: FastPath je navržený tak, aby zlepšil výkon cesty k datům mezi vaší místní sítí a vaší virtuální sítí. Další informace.
   • Zásady IPsec / IKE: Zásady IPsec / IKE, které budou pro připojení vyjednávány. Ponechte vybranou možnost Výchozí , pokud vaše organizace nevyžaduje vlastní zásady. Další informace.
   • Použití selektoru provozu na základě zásad: Pokud potřebujete nakonfigurovat bránu Azure VPN Gateway pro připojení k místní bráně VPN založené na zásadách, ponechte ji zakázanou. Pokud toto pole povolíte, musíte zajistit, aby vaše zařízení VPN měl definované odpovídající selektory provozu se všemi kombinacemi předpon místní sítě (brány místní sítě) do a z předpon virtuální sítě Azure místo předpon typu any-to-any. Pokud jsou například předpony místní sítě 10.1.0.0/16 a 10.2.0.0/16 a předpony virtuální sítě jsou 192.168.0.0/16 a 172.16.0.0/16, budete muset zadat následující selektory provozu:
     • 10.1.0.0/16 <====> 192.168.0.0/16
     • 10.1.0.0/16 <====> 172.16.0.0/16
     • 10.2.0.0/16 <====> 192.168.0.0/16
     • 10.2.0.0/16 <====> 172.16.0.0/16
   • Časový limit DPD v sekundách: Časový limit detekce mrtvých partnerských uzlů připojení v sekundách Doporučená a výchozí hodnota této vlastnosti je 45 sekund.
   • Režim připojení: Režim připojení se používá k rozhodnutí, která brána může zahájit připojení. Pokud je tato hodnota nastavená na:
     • Výchozí nastavení: Připojení může iniciovat Azure i místní brána VPN.
     • ResponderOnly: Azure VPN Gateway nikdy nespouštět připojení. Místní brána VPN musí zahájit připojení.
     • IniciátorOnly: Azure VPN Gateway zahájí připojení a odmítne všechny pokusy o připojení z místní brány VPN.

4. Pokud chcete spustit ověření, vyberte Zkontrolovat a vytvořit . Jakmile ověření projde, vyberte Vytvořit a vytvořte připojení. Úspěšné připojení můžete ověřit na stránce Připojení brány virtuální sítě.

Azure PowerShell

Spuštěním následujících příkazů vytvořte připojení VPN typu site-to-site mezi bránou virtuální sítě a místním zařízením. Hodnoty na obrázcích nahraďte vlastními hodnotami. Sdílený klíč se musí shodovat s hodnotou, kterou jste použili pro konfiguraci zařízení VPN. Vpn -ConnectionType typu site-to-site je IPsec.

Další možnosti najdete v dokumentaci k rutině New-AzVirtualNetworkGatewayConnection .

1. Nastavte proměnné.

   $gateway1 = Get-AzVirtualNetworkGateway -Name MyVnetGateway -ResourceGroupName <resource-group>
   $local = Get-AzLocalNetworkGateway -Name MyLocalGateway -ResourceGroupName <resource-group>
   

2. Vytvořte připojení VPN.

   New-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName <resource-group> `
   -Location 'East US' -VirtualNetworkGateway1 $gateway1 -LocalNetworkGateway2 $local `
   -ConnectionType IPsec -SharedKey 'abc123'
   

3. Za malou chvíli dojde k vytvoření připojení. Připojení VPN můžete ověřit spuštěním následujícího příkazu. Po zobrazení výzvy vyberte možnost „A“, abyste spustili „vše“.

   Get-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName <resource-group>
   

   Stav připojení by se měl zobrazit jako Připojeno.

Azure CLI

Spuštěním následujících příkazů vytvořte připojení VPN typu site-to-site mezi bránou virtuální sítě a místním zařízením. Hodnoty na obrázcích nahraďte vlastními hodnotami. Sdílený klíč se musí shodovat s hodnotou, kterou jste použili pro konfiguraci zařízení VPN.

Další možnosti najdete v dokumentaci k příkazu az network vnet create .

az network vpn-connection create --name VNet1toSite1 --resource-group <resource-group> --vnet-gateway1 MyVnetGateway -l eastus --shared-key abc123 --local-gateway MyLocalGateway

Za malou chvíli dojde k vytvoření připojení. Připojení VPN můžete ověřit spuštěním následujícího příkazu. Pokud navazování připojení probíhá, zobrazí se stav připojení Connecting (Připojování). Jakmile bude připojení navázáno, stav se změní na Connected (Připojeno).

az network vpn-connection show --name VNet1toSite1 --resource-group <resource-group>

Připojení sdílené složky Azure

Posledním krokem při konfiguraci sítě VPN S2S je ověření, že funguje pro Azure Files. Můžete to udělat připojením místní sdílené složky Azure. Pokyny pro připojení k operačnímu systému najdete tady:

• Windows
• macOS
• Linux (NFS)
• Linux (SMB)

Viz také

• Přehled sítí služby Azure Files
• Konfigurace virtuální privátní sítě typu Point-to-Site (P2S) ve Windows kvůli použití ve službě Azure Files
• Konfigurace virtuální privátní sítě typu Point-to-Site (P2S) v Linuxu kvůli použití ve službě Azure Files