Tutorial: Verwenden eines NAT-Gateways mit einem Hub-and-Spoke-Netzwerk
Ein Hub-and-Spoke-Netzwerk ist einer der Bausteine einer hochverfügbaren Netzwerkinfrastruktur mit mehreren Standorten. Die gängigste Bereitstellung eines Hub-and-Spoke-Netzwerks erfolgt mit der Absicht, den gesamten Datenverkehr zwischen Spokes und den ausgehenden Internetdatenverkehr über den zentralen Hub zu routen. Der Zweck besteht darin, den gesamten Datenverkehr bezüglich sicherheitsrelevanter Überprüfungen und Paketüberprüfungen zu untersuchen, der das Netzwerk mit einem virtuellen Netzwerkgerät (Network Virtual Appliance, NVA) durchläuft.
Für ausgehenden Datenverkehr in das Internet verfügt das virtuelle Netzwerkgerät in der Regel über eine Netzwerkschnittstelle mit einer zugewiesenen öffentlichen IP-Adresse. Nach der Überprüfung des ausgehenden Datenverkehrs leitet das virtuelle Netzwerkgerät den Datenverkehr aus der öffentlichen Schnittstelle an das Internet weiter. Das Azure NAT Gateway macht die öffentliche IP-Adresse, die der NVA zugewiesen ist, überflüssig. Durch das Zuordnen eines NAT-Gateways zum öffentlichen Subnetz des virtuellen Netzwerkgeräts wird das Routing für die öffentliche Schnittstelle so geändert, dass der gesamte ausgehende Internetdatenverkehr über das NAT-Gateway weitergeleitet wird. Die Beseitigung der Notwendigkeit einer öffentlichen IP-Adresse erhöht die Sicherheit und ermöglicht die Skalierung der ausgehenden Quellnetzwerkadressenübersetzung (SNAT) mit mehreren öffentlichen IP-Adressen und oder öffentlichen IP-Präfixen.
Wichtig
Das in diesem Artikel verwendete virtuelle Netzwerkgerät dient nur zu Demonstrationszwecken und wird mit einer Ubuntu-VM simuliert. Die Lösung enthält keinen Lastenausgleich für die Hochverfügbarkeit der Bereitstellung des virtuellen Netzwerkgeräts. Ersetzen Sie die Ubuntu-VM in diesem Artikel durch ein virtuelles Netzwerkgerät Ihrer Wahl. Wenden Sie sich an den Anbieter des ausgewählten virtuellen Netzwerkgeräts, um Routing- und Konfigurationsanweisungen zu erhalten. Ein Lastenausgleich und Verfügbarkeitszonen werden für eine hochverfügbare NVA-Infrastruktur empfohlen.
In diesem Tutorial lernen Sie, wie die folgenden Aufgaben ausgeführt werden:
- Erstellen eines NAT-Gateways.
- Erstellen eines virtuellen Hub-and-Spoke-Netzwerks.
- Erstellen eines simulierten virtuellen Netzwerkgeräts (Network Virtual Appliance, NVA).
- Erzwingen des gesamten Datenverkehrs von den Spokes über den Hub.
- Erzwingen des gesamten Internetdatenverkehrs im Hub und in den Spokes aus dem NAT-Gateway.
- Testen des NAT-Gateways und des Routings zwischen den Spokes.
Voraussetzungen
- Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.
Erstellen eines NAT-Gateways
Der gesamte ausgehende Internetdatenverkehr durchläuft das NAT-Gateway in das Internet. Verwenden Sie das folgende Beispiel, um ein NAT-Gateway für das Hub-and-Spoke-Netzwerk zu erstellen.
Melden Sie sich beim Azure-Portal an.
Geben Sie am oberen Rand des Portals den Suchbegriff NAT-Gateway in das Suchfeld ein. Wählen Sie in den Suchergebnissen NAT-Gateways aus.
Wählen Sie + Erstellen aus.
Geben Sie unter Gateway für die Netzwerkadressübersetzung (NAT) erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie Neu erstellen.
Geben Sie test-rg für Name ein.
Wählen Sie OK aus.Instanzendetails Name des NAT-Gateways Geben Sie nat-gateway ein. Region Wählen Sie USA, Osten 2 aus. Verfügbarkeitszone Wählen Sie eine Zone oder Keine Zone aus. TCP-Leerlauftimeout (Minuten) Übernehmen Sie den Standardwert 4. Wählen Sie Weiter: Ausgehende IP-Adresse aus.
Wählen Sie unter Ausgehende IP-Adresse unter Öffentliche IP-Adressen die Option Neue öffentliche IP-Adresse erstellen aus.
Geben Sie public-ip-nat für Name ein.
Klicken Sie auf OK.
Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Erstellen eines virtuellen Hub-Netzwerks
Das virtuelle Hubnetzwerk ist das zentrale Netzwerk der Lösung. Das Hubnetzwerk enthält das virtuelle Netzwerkgerät (NVA) sowie ein öffentliches und privates Subnetz. Das NAT-Gateway wird während der Erstellung des virtuellen Netzwerks dem öffentlichen Subnetz zugewiesen. Im folgenden Beispiel wird ein Azure Bastion-Host konfiguriert. Der Bastionhost wird verwendet, um eine sichere Verbindung mit der NVA-VM und den Test-VMs herzustellen, die weiter unten in diesem Artikel in den Spokes bereitgestellt werden.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie + Erstellen aus.
Geben Sie unter Virtuelles Netzwerk erstellen auf der Registerkarte Grundlagen die folgenden Informationen an, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name Geben Sie vnet-hub ein. Region Wählen Sie USA, Osten 2 aus. Wählen Sie Weiter aus, um zur Registerkarte Sicherheit zu gelangen.
Wählen Sie auf der Registerkarte Sicherheit im Abschnitt Azure Bastion die Option Azure Bastion aktivieren aus.
Azure Bastion verwendet Ihren Browser, um mithilfe ihrer privaten IP-Adressen eine Verbindung mit VMs in Ihrem virtuellen Netzwerk über Secure Shell (SSH) oder das Remotedesktopprotokoll (RDP) herzustellen. Die VMs benötigen keine öffentlichen IP-Adressen, keine Clientsoftware und keine spezielle Konfiguration. Weitere Informationen zu Azure Bastion finden Sie unter Azure Bastion.
Hinweis
Die Stundenpreise gelten ab dem Zeitpunkt der Bereitstellung von Bastion, unabhängig von der Nutzung ausgehender Daten. Weitere Informationen dazu finden Sie unter Preise und SKUs. Wenn Sie Bastion als Teil eines Tutorials oder Tests bereitstellen, empfehlen wir Ihnen, diese Ressource zu löschen, nachdem Sie diese verwendet haben.
Geben Sie in Azure Bastion die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Azure Bastion-Hostname Geben Sie bastion ein. Öffentliche Azure Bastion-IP-Adresse Wählen Sie Öffentliche IP-Adresse erstellen aus.
Geben Sie public-ip-bastion als Namen ein.
Wählen Sie OK aus.Wählen Sie Weiter aus, um zur Registerkarte IP-Adressen zu gelangen.
Wählen Sie im Feld für den Adressraum unter Subnetze das Standardsubnetz aus.
Geben Sie unter Subnetz bearbeiten die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Subnetzzweck Übernehmen Sie den Standardwert Default. Name Geben Sie subnet-private ein. IPv4 IPv4-Adressbereich Übernehmen Sie den Standardwert 10.0.0.0/16. Startadresse Übernehmen Sie den Standardwert 10.0.0.0. Size Übernehmen Sie den Standardwert /24 (256 Adressen). Wählen Sie Speichern.
Wählen Sie + Subnetz hinzufügen aus.
Geben Sie unter Subnetz hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Subnetzzweck Übernehmen Sie den Standardwert Default. Name Geben Sie subnet-public ein. IPv4 IPv4-Adressbereich Übernehmen Sie den Standardwert 10.0.0.0/16. Startadresse Geben Sie 10.0.253.0 ein. Size Wählen Sie /28 (16 Adressen) aus. Security NAT Gateway Wählen Sie nat-gateway aus. Klicken Sie auf Hinzufügen.
Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Es dauert einige Minuten, bis der Bastionhost bereitgestellt wird. Wenn das virtuelle Netzwerk im Rahmen der Bereitstellung erstellt wird, können Sie mit den nächsten Schritten fortfahren.
Erstellen der NVA-VM
Das simulierte virtuelle Netzwerkgerät fungiert als virtuelles Gerät, um den gesamten Datenverkehr zwischen den Spokes und dem Hub und ausgehenden Datenverkehr in das Internet weiterzuleiten. Eine Ubuntu-VM wird für das simulierte virtuelle Netzwerkgerät verwendet. Verwenden Sie das folgende Beispiel, um das simulierte virtuelle Netzwerkgerät zu erstellen und die Netzwerkschnittstellen zu konfigurieren.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie + Erstellen und dann Virtueller Azure-Computer aus.
Geben Sie unter Virtuellen Computer erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name des virtuellen Computers Geben Sie vm-nva ein. Region Wählen Sie (USA) USA, Osten 2 aus. Verfügbarkeitsoptionen Wählen Sie die Option Keine Infrastrukturredundanz erforderlich aus. Sicherheitstyp Wählen Sie Standard aus. Image Wählen Sie Ubuntu Server 24.04 LTS – x64 Gen2 aus. VM-Architektur Übernehmen Sie den Standardwert x64. Size Wählen Sie eine Größe aus. Administratorkonto Authentifizierungsart Wählen Sie Kennwort aus. Username Geben Sie einen Benutzernamen ein. Kennwort Geben Sie ein Kennwort ein. Kennwort bestätigen Geben Sie das Kennwort erneut ein. Regeln für eingehende Ports Öffentliche Eingangsports Wählen Sie Keine. Wählen Sie Weiter: Datenträger und dann Weiter: Netzwerk aus.
Geben Sie auf der Registerkarte Netzwerk die folgenden Informationen ein, bzw. wählen Sie sie aus:
Einstellung Wert Netzwerkschnittstelle Virtuelles Netzwerk Wählen Sie vnet-hub aus. Subnet Wählen Sie subnet-public (10.0.253.0/28) aus. Öffentliche IP-Adresse Wählen Sie Keine aus. NIC-Netzwerksicherheitsgruppe Wählen Sie Erweitertaus. Konfigurieren von Netzwerksicherheitsgruppen Wählen Sie Neu erstellen.
Geben Sie nsg-nva für Name ein.
Wählen Sie OK aus.Behalten Sie für die restlichen Optionen die Standardeinstellungen bei, und wählen Sie dann Überprüfen und erstellen aus.
Klicken Sie auf Erstellen.
Konfigurieren von VM-Netzwerkschnittstellen
Die IP-Konfiguration der primären Netzwerkschnittstelle der VM ist standardmäßig auf „dynamisch“ festgelegt. Verwenden Sie das folgende Beispiel, um die IP-Konfiguration der primären Netzwerkschnittstelle in „statisch“ zu ändern und eine sekundäre Netzwerkschnittstelle für die private Schnittstelle des virtuellen Netzwerkgeräts hinzuzufügen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-nva aus.
Wählen Sie unter Übersicht die Option Beenden aus, wenn die VM ausgeführt wird.
Erweitern Sie Netzwerk, und wählen Sie dann Netzwerkeinstellungen aus.
Wählen Sie unter Netzwerkeinstellungen den Namen der Netzwerkschnittstelle neben Netzwerkschnittstelle: aus. Der Schnittstellenname besteht aus dem Namen der VM sowie zufälligen Ziffern und Buchstaben. In diesem Beispiel lautet der Schnittstellenname vm-nva271.
Wählen Sie in den Einstellungen der Netzwerkschnittstelle unter Einstellungen die Option IP-Konfigurationen aus.
Aktivieren Sie das Kontrollkästchen IP-Weiterleitung aktivieren.
Wählen Sie Übernehmen.
Wenn die Anwendungsaktion abgeschlossen ist, wählen Sie ipconfig1 aus.
Wählen Sie in den Einstellungen für private IP-Adressen in ipconfig1 die Option Statisch aus.
Geben Sie unter Private IP-Adresse die Adresse 10.0.253.10 ein.
Wählen Sie Speichern aus.
Kehren Sie nach Abschluss der Speicheraktion zur Netzwerkkonfiguration für vm-nva zurück.
Wählen Sie in den Netzwerkeinstellungen von vm-nva die Option Netzwerkschnittstelle anfügen aus.
Wählen Sie die Option Netzwerkschnittstelle erstellen und anfügen aus.
Geben Sie unter Virtuelles Netzwerk erstellen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Resource group Wählen Sie test-rg aus. Netzwerkschnittstelle Name Geben Sie nic-private ein. Subnet Wählen Sie subnet-private (10.0.0.0/24) aus. NIC-Netzwerksicherheitsgruppe Wählen Sie Erweitertaus. Konfigurieren von Netzwerksicherheitsgruppen Wählen Sie nsg-nva aus. Zuweisung der privaten IP-Adresse Wählen Sie Statisch aus. Private IP-Adresse Geben Sie 10.0.0.10 ein. Klicken Sie auf Erstellen.
Konfigurieren der VM-Software
Das Routing für das simulierte virtuelle Netzwerkgerät (NVA) verwendet IP-Tabellen und interne NAT auf der Ubuntu-VM. Stellen Sie mit Azure Bastion eine Verbindung mit der NVA-VM her, um IP-Tabellen und die Routingkonfiguration zu konfigurieren.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-nva aus.
Starten Sie vm-nva.
Wenn der Startvorgang der VM abgeschlossen wurde, fahren Sie mit den nächsten Schritten fort.
Wählen Sie im Abschnitt Übersicht die Option Verbinden und dann Über Bastion verbinden aus.
Geben Sie die Werte für Benutzername und Kennwort ein, die Sie beim Erstellen der VM verwendet haben.
Wählen Sie Verbinden.
Geben Sie an der Eingabeaufforderung der VM die folgenden Informationen ein, um IP-Weiterleitung zu aktivieren:
sudo vim /etc/sysctl.confEntfernen Sie im Vim-Editor den
#aus der Zeilenet.ipv4.ip_forward=1:Drücken Sie die EINFÜGETASTE.
# Uncomment the next line to enable packet forwarding for IPv4 net.ipv4.ip_forward=1Drücken Sie die ESC-Taste.
Geben Sie
:wqein, und drücken Sie die EINGABETASTE.Geben Sie die folgenden Informationen ein, um interne NAT auf der VM zu aktivieren:
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE sudo apt-get update sudo apt install iptables-persistentWählen Sie zwei Mal Ja aus.
sudo su iptables-save > /etc/iptables/rules.v4 exitVerwenden Sie Vim, um die Konfiguration mit den folgenden Informationen zu bearbeiten:
sudo vim /etc/rc.localDrücken Sie die EINFÜGETASTE.
Fügen Sie der Konfigurationsdatei die folgende Zeile hinzu:
/sbin/iptables-restore < /etc/iptables/rules.v4Drücken Sie die ESC-Taste.
Geben Sie
:wqein, und drücken Sie die EINGABETASTE.Starten Sie die VM neu:
sudo reboot
Erstellen einer Hubnetzwerk-Routingtabelle
Routingtabellen werden verwendet, um das Standardrouting von Azure zu überschreiben. Erstellen Sie eine Routingtabelle, um den gesamten Datenverkehr innerhalb des privaten Hubsubnetzes über das simulierte virtuelle Netzwerkgerät zu erzwingen.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie + Erstellen aus.
Geben Sie in Routingtabelle erstellen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Region Wählen Sie USA, Osten 2 aus. Name Geben Sie route-table-nat-hub ein. Gatewayrouten verteilen Übernehmen Sie den Standardwert Ja. Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie route-table-nat-hub aus.
Erweitern Sie Einstellungen, und wählen Sie dann Routenaus.
Wählen Sie unter Routen die Option + Hinzufügen aus.
Geben Sie unter Route hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Routenname Geben Sie default-via-nat-hub ein. Zieltyp Wählen Sie IP-Adressen aus. Ziel-IP-Adressen/CIDR-Bereiche Geben Sie 0.0.0.0/0 ein. Typ des nächsten Hops Wählen Sie Virtuelles Gerät aus. Adresse des nächsten Hops Geben Sie 10.0.0.10 ein.
Dies ist die IP-Adresse, die Sie der privaten Schnittstelle des virtuellen Netzwerkgeräts in den vorherigen Schritten hinzugefügt haben.Wählen Sie Hinzufügen.
Wählen Sie unter Einstellungen die Option Subnetze aus.
Wählen Sie + Zuordnen aus.
Geben Sie unter Subnetz zuordnen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Virtuelles Netzwerk Wählen Sie vnet-hub (test-rg) aus. Subnet Wählen Sie subnet-private aus. Klicken Sie auf OK.
Erstellen eines virtuellen Spoke 1-Netzwerks
Erstellen Sie ein weiteres virtuelles Netzwerk in einer anderen Region für den ersten Spoke des Hub-and-Spoke-Netzwerks.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie + Erstellen aus.
Geben Sie unter Virtuelles Netzwerk erstellen auf der Registerkarte Grundlagen die folgenden Informationen an, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name Geben Sie vnet-spoke-1 ein. Region Wählen Sie USA, Süden-Mitte aus. Wählen Sie Weiter aus, um zur Registerkarte Sicherheit zu gelangen.
Wählen Sie Weiter aus, um zur Registerkarte IP-Adressen zu gelangen.
Wählen Sie auf der Registerkarte IP-Adressen im IPv4-Adressraum die Option Adressraum löschen aus, um den automatisch mit Daten aufgefüllten Adressraum zu löschen.
Wählen Sie IPv4-Adressraum hinzufügen aus.
Geben Sie unter IPv4-Adressraum den Adressraum 10.1.0.0 ein. Übernehmen Sie bei der Maskenauswahl den Standardwert /16 (65.536 Adressen).
Wählen Sie + Subnetz hinzufügen aus.
Geben Sie unter Subnetz hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Subnetzzweck Übernehmen Sie den Standardwert Default. Name Geben Sie subnet-private ein. IPv4 IPv4-Adressbereich Übernehmen Sie den Standardwert 10.1.0.0/16. Startadresse Übernehmen Sie den Standardwert: 10.1.0.0. Size Übernehmen Sie den Standardwert /24 (256 Adressen). Klicken Sie auf Hinzufügen.
Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Erstellen von Peering zwischen Hub und Spoke 1
Peering virtueller Netzwerke wird verwendet, um den Hub mit Spoke 1 und Spoke 1 mit dem Hub zu verbinden. Verwenden Sie das folgende Beispiel, um bidirektionales Netzwerkpeering zwischen dem Hub und Spoke 1 zu erstellen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie vnet-hub aus.
Wählen Sie unter Einstellungen die Option Peerings aus.
Klicken Sie auf + Hinzufügen.
Geben Sie unter Peering hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Zusammenfassung zu virtuellen Remotenetzwerken Name des Peeringlinks Geben Sie vnet-spoke-1-to-vnet-hub ein. Bereitstellungsmodell für das virtuelle Netzwerk Übernehmen Sie den Standardwert Ressourcen-Manager. Subscription Wählen Sie Ihr Abonnement aus. Virtuelles Netzwerk Wählen Sie vnet-spoke-1 (test-rg) aus. Einstellungen für das Peering virtueller Remotenetzwerke Zulassen des Zugriffs von „vnet-spoke-1“ auf „vnet-hub“ Übernehmen Sie die Standardeinstellung Ausgewählt. Zulassen des Empfangs des von „vnet-hub“ weitergeleiteten Datenverkehrs durch „vnet-spoke-1“ Aktivieren Sie das Kontrollkästchen. Gateway oder Routenserver in „vnet-spoke-1“ erlauben, Datenverkehr an „vnet-hub“ weiterzuleiten Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Zulassen, dass „vnet-spoke-1“ den Remote-Gateway oder Routenserver von „vnet-hub“ verwendet Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Lokales virtuelles Netzwerk: Zusammenfassung Name des Peeringlinks Geben Sie vnet-hub-to-vnet-spoke-1 ein. Einstellungen für das Peering lokaler virtueller Netzwerke Zulassen des Zugriffs von „vnet-hub“ auf „vnet-spoke-1“ Übernehmen Sie die Standardeinstellung Ausgewählt. Zulassen des Empfangs des von „vnet-spoke-1“ weitergeleiteten Datenverkehrs durch „vnet-hub“ Aktivieren Sie das Kontrollkästchen. Gateway oder Routenserver in „vnet-hub“ erlauben, Datenverkehr an „vnet-spoke-1“ weiterzuleiten Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Zulassen, dass „vnet-hub“ den Remote-Gateway oder Routenserver von „vnet-spoke-1“ verwendet Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Klicken Sie auf Hinzufügen.
Wählen Sie Aktualisieren aus, und überprüfen Sie, ob der Peeringstatus den Zustand Verbunden aufweist.
Erstellen einer Routingtabelle für das Spoke 1-Netzwerk
Erstellen Sie eine Routingtabelle, damit der gesamte Datenverkehr zwischen Spokes und der ausgehende Internetdatenverkehr über das simulierte virtuelle Netzwerkgerät im virtuellen Hubnetzwerk erzwungen wird.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie + Erstellen aus.
Geben Sie in Routingtabelle erstellen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Region Wählen Sie USA, Süden-Mitte aus. Name Geben Sie route-table-nat-spoke-1 ein. Gatewayrouten verteilen Übernehmen Sie den Standardwert Ja. Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie route-table-nat-spoke-1 aus.
Wählen Sie unter Einstellungen die Option Routen aus.
Wählen Sie unter Routen die Option + Hinzufügen aus.
Geben Sie unter Route hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Routenname Geben Sie default-via-nat-spoke-1 ein. Zieltyp Wählen Sie IP-Adressen aus. Ziel-IP-Adressen/CIDR-Bereiche Geben Sie 0.0.0.0/0 ein. Typ des nächsten Hops Wählen Sie Virtuelles Gerät aus. Adresse des nächsten Hops Geben Sie 10.0.0.10 ein.
Dies ist die IP-Adresse, die Sie der privaten Schnittstelle des virtuellen Netzwerkgeräts in den vorherigen Schritten hinzugefügt haben.Wählen Sie Hinzufügen.
Wählen Sie unter Einstellungen die Option Subnetze aus.
Wählen Sie + Zuordnen aus.
Geben Sie unter Subnetz zuordnen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Virtuelles Netzwerk Wählen Sie vnet-spoke-1 (test-rg) aus. Subnet Wählen Sie subnet-private aus. Klicken Sie auf OK.
Erstellen einer Spoke 1-Test-VM
Eine Windows Server 2022-VM wird verwendet, um den ausgehenden Internetdatenverkehr über das NAT-Gateway und den Datenverkehr zwischen Spokes im Hub-and-Spoke-Netzwerk zu testen. Verwenden Sie das folgende Beispiel, um eine Windows Server 2022-VM zu erstellen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie + Erstellen und dann Virtueller Azure-Computer aus.
Geben Sie unter Virtuellen Computer erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name des virtuellen Computers Geben Sie vm-spoke-1 ein. Region Wählen Sie USA, Süden-Mitte aus. Verfügbarkeitsoptionen Wählen Sie die Option Keine Infrastrukturredundanz erforderlich aus. Sicherheitstyp Wählen Sie Standard aus. Image Wählen Sie Windows Server 2022 Datacenter – x64 Gen2 aus. VM-Architektur Übernehmen Sie den Standardwert x64. Size Wählen Sie eine Größe aus. Administratorkonto Authentifizierungsart Wählen Sie Kennwort aus. Username Geben Sie einen Benutzernamen ein. Kennwort Geben Sie ein Kennwort ein. Kennwort bestätigen Geben Sie das Kennwort erneut ein. Regeln für eingehende Ports Öffentliche Eingangsports Wählen Sie Keine. Wählen Sie Weiter: Datenträger und dann Weiter: Netzwerk aus.
Geben Sie auf der Registerkarte Netzwerk die folgenden Informationen ein, bzw. wählen Sie sie aus:
Einstellung Wert Netzwerkschnittstelle Virtuelles Netzwerk Wählen Sie vnet-spoke-1 aus. Subnet Wählen Sie subnet-private (10.1.0.0/24) aus. Öffentliche IP-Adresse Wählen Sie Keine aus. NIC-Netzwerksicherheitsgruppe Wählen Sie Erweitertaus. Konfigurieren von Netzwerksicherheitsgruppen Wählen Sie Neu erstellen.
Geben Sie nsg-spoke-1 ein.Eingangsregeln Wählen Sie + Eingangsregel hinzufügen aus.
Wählen Sie unter Dienst die Option HTTP aus.
Wählen Sie Hinzufügen aus.
Wählen Sie OK aus.Klicken Sie auf OK.
Behalten Sie für die restlichen Optionen die Standardeinstellungen bei, und wählen Sie dann Überprüfen und erstellen aus.
Klicken Sie auf Erstellen.
Warten Sie, bis der virtuelle Computer die Bereitstellung fertiggestellt hat, bevor Sie mit den nächsten Schritten fortfahren.
Installieren von IIS auf einem virtuellen Spoke 1-Testcomputer
IIS wird auf dem virtuellen Windows Server 2022-Computer installiert, um den ausgehenden Internetdatenverkehr über das NAT-Gateway und den Datenverkehr zwischen Spokes im Hub-and-Spoke-Netzwerk zu testen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-spoke-1 aus.
Erweitern Sie Vorgänge, und wählen Sie dann Befehl ausführen aus.
Wählen Sie RunPowerShellScript aus.
Geben Sie das folgende Skript unter Skriptausführungsskript ein:
# Install IIS server role Install-WindowsFeature -name Web-Server -IncludeManagementTools # Remove default htm file Remove-Item C:\inetpub\wwwroot\iisstart.htm # Add a new htm file that displays server name Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)Klicken Sie auf Run (Ausführen).
Warten Sie, bis das Skript abgeschlossen ist, bevor Sie mit dem nächsten Schritt fortfahren. Es kann einige Minuten dauern, bis das Skript abgeschlossen ist.
Nach Abschluss des Skripts enthält die Ausgabe Folgendes:
Success Restart Needed Exit Code Feature Result ------- -------------- --------- -------------- True No Success {Common HTTP Features, Default Document, D...
Erstellen des zweiten virtuellen Spokenetzwerks
Erstellen Sie das zweite virtuelle Netzwerk für den zweiten Spoke des Hub-and-Spoke-Netzwerks.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie + Erstellen aus.
Geben Sie unter Virtuelles Netzwerk erstellen auf der Registerkarte Grundlagen die folgenden Informationen an, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name Geben Sie vnet-spoke-2 ein. Region Wählen Sie USA, Westen 2 aus. Wählen Sie Weiter aus, um zur Registerkarte Sicherheit zu gelangen.
Wählen Sie Weiter aus, um zur Registerkarte IP-Adressen zu gelangen.
Wählen Sie auf der Registerkarte IP-Adressen im IPv4-Adressraum die Option Adressraum löschen aus, um den automatisch mit Daten aufgefüllten Adressraum zu löschen.
Wählen Sie IPv4-Adressraum hinzufügen aus.
Geben Sie unter IPv4-Adressraum den Adressraum 10.2.0.0 ein. Übernehmen Sie bei der Maskenauswahl den Standardwert /16 (65.536 Adressen).
Wählen Sie + Subnetz hinzufügen aus.
Geben Sie unter Subnetz hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Subnetzzweck Übernehmen Sie den Standardwert Default. Name Geben Sie subnet-private ein. IPv4 IPv4-Adressbereich Übernehmen Sie den Standardwert 10.2.0.0/16. Startadresse Übernehmen Sie den Standardwert 10.2.0.0. Size Übernehmen Sie den Standardwert /24 (256 Adressen). Klicken Sie auf Hinzufügen.
Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Erstellen von Peering zwischen Hub und Spoke 2
Erstellen Sie bidirektionales virtuelles Netzwerkpeering zwischen Hub und Spoke 2.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie vnet-hub aus.
Wählen Sie unter Einstellungen die Option Peerings aus.
Klicken Sie auf + Hinzufügen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.
Wählen Sie vnet-hub aus.
Wählen Sie unter Einstellungen die Option Peerings aus.
Klicken Sie auf + Hinzufügen.
Geben Sie unter Peering hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Zusammenfassung zu virtuellen Remotenetzwerken Name des Peeringlinks Geben Sie vnet-spoke-2-to-vnet-hub ein. Bereitstellungsmodell für das virtuelle Netzwerk Übernehmen Sie den Standardwert Ressourcen-Manager. Subscription Wählen Sie Ihr Abonnement aus. Virtuelles Netzwerk Wählen Sie vnet-spoke-2 (test-rg) aus. Einstellungen für das Peering virtueller Remotenetzwerke Zugriff von „vnet-spoke-2“ auf „vnet-hub“ zulassen Übernehmen Sie die Standardeinstellung Ausgewählt. Zulassen, dass „vnet-spoke-2“ weitergeleiteten Datenverkehr von „vnet-hub“ empfängt Aktivieren Sie das Kontrollkästchen. Gateway oder Routenserver in „vnet-spoke-2“ erlauben, Datenverkehr an „vnet-hub“ weiterzuleiten Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Zulassen, dass „vnet-spoke-2“ den Remote-Gateway oder Routenserver von „vnet-hub“ verwendet Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Lokales virtuelles Netzwerk: Zusammenfassung Name des Peeringlinks Geben Sie vnet-hub-to-vnet-spoke-2 ein. Einstellungen für das Peering lokaler virtueller Netzwerke Zulassen des Zugriffs von „vnet-hub“ auf „vnet-spoke-2“ Übernehmen Sie die Standardeinstellung Ausgewählt. Zulassen des Empfangs des von „vnet-spoke-2“ weitergeleiteten Datenverkehrs durch „vnet-hub“ Aktivieren Sie das Kontrollkästchen. Gateway oder Routenserver in „vnet-hub“ erlauben, Datenverkehr an „vnet-spoke-2“ weiterzuleiten Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Zulassen, dass „vnet-hub“ den Remote-Gateway oder Routenserver von „vnet-spoke-2“ verwendet Übernehmen Sie die Standardeinstellung Nicht ausgewählt. Klicken Sie auf Hinzufügen.
Wählen Sie Aktualisieren aus, und überprüfen Sie, ob der Peeringstatus den Zustand Verbunden aufweist.
Erstellen einer Routingtabelle für das Spoke 2-Netzwerk
Erstellen Sie eine Routingtabelle, damit der gesamte ausgehende Internetdatenverkehr und der Datenverkehr zwischen Spokes über das simulierte virtuelle Netzwerkgerät im virtuellen Hubnetzwerk erzwungen wird.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie + Erstellen aus.
Geben Sie in Routingtabelle erstellen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Region Wählen Sie USA, Westen 2 aus. Name Geben Sie route-table-nat-spoke-2 ein. Gatewayrouten verteilen Übernehmen Sie den Standardwert Ja. Klicken Sie auf Überprüfen + erstellen.
Klicken Sie auf Erstellen.
Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.
Wählen Sie route-table-nat-spoke-2 aus.
Wählen Sie unter Einstellungen die Option Routen aus.
Wählen Sie unter Routen die Option + Hinzufügen aus.
Geben Sie unter Route hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Routenname Geben Sie default-via-nat-spoke-2 ein. Zieltyp Wählen Sie IP-Adressen aus. Ziel-IP-Adressen/CIDR-Bereiche Geben Sie 0.0.0.0/0 ein. Typ des nächsten Hops Wählen Sie Virtuelles Gerät aus. Adresse des nächsten Hops Geben Sie 10.0.0.10 ein.
Dies ist die IP-Adresse, die Sie der privaten Schnittstelle des virtuellen Netzwerkgeräts in den vorherigen Schritten hinzugefügt haben.Wählen Sie Hinzufügen.
Wählen Sie unter Einstellungen die Option Subnetze aus.
Wählen Sie + Zuordnen aus.
Geben Sie unter Subnetz zuordnen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Virtuelles Netzwerk Wählen Sie vnet-spoke-2 (test-rg) aus. Subnet Wählen Sie subnet-private aus. Klicken Sie auf OK.
Erstellen einer Spoke 2-Test-VM
Erstellen Sie eine Windows Server 2022-VM für die Test-VM in Spoke 2.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie + Erstellen und dann Virtueller Azure-Computer aus.
Geben Sie unter Virtuellen Computer erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus:
Einstellung Wert Projektdetails Subscription Wählen Sie Ihr Abonnement aus. Resource group Wählen Sie test-rg aus. Instanzendetails Name des virtuellen Computers Geben Sie vm-spoke-2 ein. Region Wählen Sie USA, Westen 2 aus. Verfügbarkeitsoptionen Wählen Sie die Option Keine Infrastrukturredundanz erforderlich aus. Sicherheitstyp Wählen Sie Standard aus. Image Wählen Sie Windows Server 2022 Datacenter – x64 Gen2 aus. VM-Architektur Übernehmen Sie den Standardwert x64. Size Wählen Sie eine Größe aus. Administratorkonto Authentifizierungsart Wählen Sie Kennwort aus. Username Geben Sie einen Benutzernamen ein. Kennwort Geben Sie ein Kennwort ein. Kennwort bestätigen Geben Sie das Kennwort erneut ein. Regeln für eingehende Ports Öffentliche Eingangsports Wählen Sie Keine. Wählen Sie Weiter: Datenträger und dann Weiter: Netzwerk aus.
Geben Sie auf der Registerkarte Netzwerk die folgenden Informationen ein, bzw. wählen Sie sie aus:
Einstellung Wert Netzwerkschnittstelle Virtuelles Netzwerk Wählen Sie vnet-spoke-2 aus. Subnet Wählen Sie subnet-private (10.2.0.0/24) aus. Öffentliche IP-Adresse Wählen Sie Keine aus. NIC-Netzwerksicherheitsgruppe Wählen Sie Erweitertaus. Konfigurieren von Netzwerksicherheitsgruppen Wählen Sie Neu erstellen.
Geben Sie nsg-spoke-2 ein.Eingangsregeln Wählen Sie + Eingangsregel hinzufügen aus.
Wählen Sie unter Dienst die Option HTTP aus.
Wählen Sie Hinzufügen aus.
Wählen Sie OK aus.Behalten Sie für die restlichen Optionen die Standardeinstellungen bei, und wählen Sie dann Überprüfen und erstellen aus.
Klicken Sie auf Erstellen.
Warten Sie, bis die Bereitstellung des virtuellen Computers abgeschlossen ist, bevor Sie mit den nächsten Schritten fortfahren.
Installieren von IIS auf einem virtuellen Spoke 2-Testcomputer
IIS wird auf dem virtuellen Windows Server 2022-Computer installiert, um den ausgehenden Internetdatenverkehr über das NAT-Gateway und den Datenverkehr zwischen Spokes im Hub-and-Spoke-Netzwerk zu testen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-spoke-2 aus.
Wählen Sie unter Vorgänge die Option Skriptausführung aus.
Wählen Sie RunPowerShellScript aus.
Geben Sie das folgende Skript unter Skriptausführungsskript ein:
# Install IIS server role Install-WindowsFeature -name Web-Server -IncludeManagementTools # Remove default htm file Remove-Item C:\inetpub\wwwroot\iisstart.htm # Add a new htm file that displays server name Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)Klicken Sie auf Run (Ausführen).
Warten Sie, bis das Skript abgeschlossen ist, bevor Sie mit dem nächsten Schritt fortfahren. Es kann einige Minuten dauern, bis das Skript abgeschlossen ist.
Nach Abschluss des Skripts zeigt die Ausgabe* Folgendes an:
Success Restart Needed Exit Code Feature Result ------- -------------- --------- -------------- True No Success {Common HTTP Features, Default Document, D...
Testen des NAT-Gateways
Stellen Sie eine Verbindung mit den virtuellen Windows Server 2022-Computern her, die Sie in den vorherigen Schritten erstellt haben, um zu überprüfen, ob der ausgehende Internetdatenverkehr das NAT-Gateway verlässt.
Abrufen der öffentlichen IP-Adresse des NAT-Gateways
Rufen Sie die öffentliche IP-Adresse des NAT-Gateways ab, um die Schritte weiter unten in diesem Artikel zu überprüfen.
Geben Sie am oberen Rand des Portals den Suchbegriff Öffentliche IP-Adresse in das Suchfeld ein. Wählen Sie in den Suchergebnissen Öffentliche IP-Adressen aus.
Wählen Sie public-ip-nat aus.
Notieren Sie sich den Wert unter IP-Adresse. Das in diesem Artikel verwendete Beispiel lautet 52.153.224.79.
Testen des NAT-Gateways von Spoke 1
Verwenden Sie Microsoft Edge auf der Windows Server 2022-VM, um eine Verbindung mit https://whatsmyip.com herzustellen, um die Funktionalität des NAT-Gateways zu überprüfen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-spoke-1 aus.
Wählen Sie in Übersicht die Option Verbinden und dann Über Bastion verbinden aus.
Geben Sie die Werte für Benutzername und Kennwort ein, die Sie beim Erstellen der VM verwendet haben.
Wählen Sie Verbinden.
Öffnen Sie Microsoft Edge, nachdem der Ladevorgang des Desktops abgeschlossen wurde.
Geben Sie in der Adressleiste https://whatsmyip.com ein.
Überprüfen Sie, ob die angezeigte ausgehende IP-Adresse mit der IP-Adresse des NAT-Gateways übereinstimmt, die Sie zuvor abgerufen haben.
Lassen Sie die Bastionverbindung für vm-spoke-1 geöffnet.
Testen des NAT-Gateways von Spoke 2
Verwenden Sie Microsoft Edge auf der Windows Server 2022-VM, um eine Verbindung mit https://whatsmyip.com herzustellen, um die Funktionalität des NAT-Gateways zu überprüfen.
Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtueller Computer ein. Wählen Sie in den Suchergebnissen Virtuelle Computer aus.
Wählen Sie vm-spoke-2 aus.
Wählen Sie in Übersicht die Option Verbinden und dann Über Bastion verbinden aus.
Geben Sie die Werte für Benutzername und Kennwort ein, die Sie beim Erstellen der VM verwendet haben.
Wählen Sie Verbinden.
Öffnen Sie Microsoft Edge, nachdem der Ladevorgang des Desktops abgeschlossen wurde.
Geben Sie in der Adressleiste https://whatsmyip.com ein.
Überprüfen Sie, ob die angezeigte ausgehende IP-Adresse mit der IP-Adresse des NAT-Gateways übereinstimmt, die Sie zuvor abgerufen haben.
Lassen Sie die Bastionverbindung für vm-spoke-2 geöffnet.
Testen des Routings zwischen den Spokes
Datenverkehr von Spoke 1 zu Spoke 2 und von Spoke 2 zu Spoke 1 wird durch das simulierte virtuelle Netzwerkgerät im virtuellen Hubnetzwerk geleitet. Verwenden Sie die folgenden Beispiele, um das Routing zwischen Spokes des Hubs und dem Spokenetzwerk zu überprüfen.
Testen des Routings von Spoke 1 zu Spoke 2
Verwenden Sie Microsoft Edge, um eine Verbindung mit dem Webserver auf vm-spoke-2 herzustellen, den Sie in den vorherigen Schritten installiert haben.
Kehren Sie zur geöffneten Bastionverbindung mit vm-spoke-1 zurück.
Öffnen Sie Microsoft Edge, wenn dies noch nicht geschehen ist.
Geben Sie in der Adressleiste 10.2.0.4 ein.
Vergewissern Sie sich, dass die IIS-Seite von vm-spoke-2 angezeigt wird.
Schließen Sie die Bastion-Verbindung mit vm-spoke-1.
Testen des Routings von Spoke 2 zu Spoke 1
Verwenden Sie Microsoft Edge, um eine Verbindung mit dem Webserver auf vm-spoke-1 herzustellen, den Sie in den vorherigen Schritten installiert haben.
Kehren Sie zur geöffneten Bastionverbindung mit vm-spoke-2 zurück.
Öffnen Sie Microsoft Edge, wenn dies noch nicht geschehen ist.
Geben Sie in der Adressleiste 10.1.0.4 ein.
Vergewissern Sie sich, dass die IIS-Seite von vm-spoke-1 angezeigt wird.
Schließen Sie die Bastion-Verbindung mit vm-spoke-1.
Wenn Sie mit der Verwendung der von Ihnen erstellten Ressourcen fertig sind, können Sie die Ressourcengruppe und alle zugehörigen Ressourcen löschen.
Suchen Sie im Azure-Portal nach Ressourcengruppen, und wählen Sie die entsprechende Option aus.
Wählen Sie auf der Seite Ressourcengruppen die Ressourcengruppe test-rg aus.
Wählen Sie auf der Seite test-rg die Option Ressourcengruppe löschen aus.
Geben Sie test-rg unter Ressourcengruppennamen eingeben, um die Löschung zu bestätigen und wählen Sie dann Löschen aus.
Nächste Schritte
Fahren Sie mit dem nächsten Artikel fort, um zu erfahren, wie Sie eine Azure Gateway Load Balancer-Instanz für hochverfügbare virtuelle Netzwerkgeräte verwenden: