Azure站点到站点***隧道（非专线）(上)

朱雀 2021-05-03 03:11 481阅读 0赞

如果您企业自己的数据中心机房想和Azure上打通，通常有2种方式，一种是利用互联网构建站点到站点的\*\*\*隧道，另一种是专线（Expre\*\*\*oute）。二则的区别在于\*\*\*隧道只能和vNet打通，而专线除了可以和vNet打通外还可以和Azure上的Paas层（例如：Azure存储（大量的上传数据））打通。

我在自己的电脑上准备了2台虚拟机，一台是Windows Server 2012 R2（工作组计算机），作为站点到站点\*\*\*隧道的本地网关服务器，当然这台服务器有2张网卡，一张是WAN口直接连接公网固定IP地址出口；一张是LAN口，直接和另一台虚拟机Windows Server 2008 R2（可以是工作组也可以是域服务器）组成的封闭局域网络，模拟公司内网。

此次的架构如下：

![clip\_image001][clip_image001_clip_image001]

之前我们文章给大家介绍了点到站点的\*\*\*隧道，这次介绍站点到站点的\*\*\*隧道，两者可以并存。

还是之前的文章的Azure环境，做Azure站点到站点的\*\*\*先决条件要有虚拟网络（我之前建好的Servers-vNet）和该虚拟网络的网关子网（GatewaySubnet）

![clip\_image002][clip_image002_clip_image002]

还要有虚拟网关（之前创建好的VirtualGateway-Servers-vNet）,但需要注意的是\*\*\*类型，因为我的本地网关是Windows Server 2012 R2的，因此查询兼容性列表，用这个系统来搭建本地网关是只能选择“基于路由的”\*\*\*类型的。还有一种是“基于策略的”\*\*\*类型。

静态路由 = 基于策略的

动态路由 = 基于路由的

什么是基于策略的（静态路由）网关？

基于策略的 \*\*\* 会根据本地网络和 Azure VNet 之间的地址前缀的各种组合，加密数据包并引导其通过 IPsec 隧道。通常会在 \*\*\* 配置中将策略（或流量选择器）定义为访问列表。（简言之：静态路由都是手动写入进去的，他是静态的，如果有变化就需要管理员手动再次更改）

什么是基于路由的（动态路由）网关？

基于路由的 \*\*\* 使用 IP 转发或路由表中的“路由”将数据包引导到相应的隧道接口中。然后，隧道接口会加密或解密出入隧道的数据包。 基于路由的 \*\*\* 的策略或流量选择器配置为任意到任意（或通配符）。（简言之：动态路由是基于协议的，有协议来维护这个路由条目，如果路由条目发生变化，那么动态路由协议会自动生成新的路由条目）

能否将基于策略的 \*\*\* 网关更新为基于路由的？

不可以。Azure Vnet 网关类型不能从基于策略更改为基于路由，反之亦然。必须先删除该网关，然后再重新创建，此过程需时约 60 分钟。不会保留网关的 IP 地址，也不会保留预共享密钥 (PSK)。

![clip\_image003][clip_image003_clip_image003]

接下来需要新建本地网关，本地网关是指在Azure上指定您云下数据中心的\*\*\*设备网关信息便于对接。

![clip\_image004][clip_image004_clip_image004]

创建一个本地网关

![clip\_image005][clip_image005_clip_image005]

设置名称，指定我本地的Windows Server 2012 R2的公网IP地址（IP 地址不能位于 NAT 后面，并且必须可让 Azure 访问），以及我本地内部局域网的地址空间（指的是此本地网络所代表的网络的地址范围。可以添加多个地址空间范围。请确保此处所指定的范围没有与要连接到的其他网络的范围相重叠。Azure 会将指定的地址范围路由到本地 \*\*\* 设备 IP 地址。）

![clip\_image006][clip_image006_clip_image006]

创建好本地网关后就是配置本地网关的连接了，点击“添加”

![clip\_image007][clip_image007_clip_image007]

定义一个名称，选择虚拟网络网关，定义一个复杂的共享秘钥，确定

![clip\_image008][clip_image008_clip_image008]

接下来就是配置\*\*\*设备了，也就是配置我们本地的Windows Server 2012 R2了。

首先配置公网IP网卡

出了TCP/IP，其他全部取消勾选

![clip\_image009][clip_image009_clip_image009]

禁用TCP/IP上的NetBIOS

![clip\_image010][clip_image010_clip_image010]

2张网卡，一张连接公网IP，一张是内部局域网私有IP。

![clip\_image011][clip_image011_clip_image011]

接下来就开始安装角色

![clip\_image012][clip_image012_clip_image012]

默认下一步，在这里勾选“DirectAccess和\*\*\*”和“路由”

![clip\_image013][clip_image013_clip_image013]

默认，下一步

![clip\_image014][clip_image014_clip_image014]

下一步直至安装完成，然后在开始菜单所有程序中打开“路由和远程访问”

![clip\_image015][clip_image015_clip_image015]

鼠标右键“配置并启用路由和远程访问”

![clip\_image016][clip_image016_clip_image016]

选择“两个专用网络之间的安全连接”

![clip\_image017][clip_image017_clip_image017]

选择“是”，下一步

![clip\_image018][clip_image018_clip_image018]

下一步

![clip\_image019][clip_image019_clip_image019]

完成

![clip\_image020][clip_image020_clip_image020]

关闭后自动弹出请求拨号接口向导，下一步

![clip\_image021][clip_image021_clip_image021]

定义一个接口名称Azure S2S

![clip\_image022][clip_image022_clip_image022]

下一步

![clip\_image023][clip_image023_clip_image023]

选择IKEv2

![clip\_image024][clip_image024_clip_image024]

填写Azure上虚拟网关的IP地址

![clip\_image025][clip_image025_clip_image025]

![clip\_image026][clip_image026_clip_image026]

下一步

![clip\_image027][clip_image027_clip_image027]

添加一个静态路由，这个路由指定的是Azure上我的虚拟网络Servers-vNet的地址范围

![clip\_image028][clip_image028_clip_image028]

![clip\_image029][clip_image029_clip_image029]

下一步

![clip\_image030][clip_image030_clip_image030]

没有用户名密码什么的，直接下一步，完成

![clip\_image031][clip_image031_clip_image031]

在“网络接口”-选择刚才定义的Azure S2S属性

![clip\_image032][clip_image032_clip_image032]

在安全选项卡中，选择“使用预共享的秘钥进行身份验证”

![clip\_image033][clip_image033_clip_image033]

接下来右键Azure S2S选择“连接”

![clip\_image034][clip_image034_clip_image034]

开始连接了

![clip\_image035][clip_image035_clip_image035]

连接成功

![clip\_image036][clip_image036_clip_image036]

当然还需要添加一条静态路由，这条路由的目标是Azure上我的虚拟网络Servers-vNet地址

![clip\_image037][clip_image037_clip_image037]

在Azure上本地网络网关进去是可以看到入站和出站的当前数据的

![clip\_image038][clip_image038_clip_image038]

![clip\_image039][clip_image039_clip_image039]

下面测试一下，我在Azure上的WEB01服务器上ping本地的Windows Server 2008 R2服务器IP（192.168.40.2）

![clip\_image040][clip_image040_clip_image040]

再到本地Windows Server 2008 R2上去ping azure上的web01内网IP（10.0.2.4）

![clip\_image041][clip_image041_clip_image041]

访问下Azure上的WEB01网站（通过内部IP访问）看看

![clip\_image042][clip_image042_clip_image042]

[clip_image001_clip_image001]: /images/20210502/a3a51ec7d1b24dd6abc66729b77f4818.png
[clip_image002_clip_image002]: /images/20210502/0c848ee70e4549daa04b3359a1cde105.png
[clip_image003_clip_image003]: /images/20210502/2f8ce880754745e3a6ee5aa685e865ee.png
[clip_image004_clip_image004]: /images/20210502/cb4d968b45f74d9f9c9b8256a8bf593d.png
[clip_image005_clip_image005]: /images/20210502/837394ceefdc4463907a5afb4d2f2591.png
[clip_image006_clip_image006]: /images/20210502/4b46cf584981462e9bf7e0f97a00e836.png
[clip_image007_clip_image007]: /images/20210502/2e6d7bd7aa9f4de09136d27f77dfaad2.png
[clip_image008_clip_image008]: /images/20210502/c4d04f3cccb741b89c854767632a8f21.png
[clip_image009_clip_image009]: /images/20210502/e04ec39fc4514f689e46518fd3387987.png
[clip_image010_clip_image010]: /images/20210502/6ad3b4c00ba04a08927a331e20d59bbd.png
[clip_image011_clip_image011]: /images/20210502/360e648b9ef94eb783005390803551af.png
[clip_image012_clip_image012]: /images/20210502/ff8b829138474ac2809ffd3673ca1485.png
[clip_image013_clip_image013]: /images/20210502/2cf6a8646a784a5491a653fcdb27fb8c.png
[clip_image014_clip_image014]: /images/20210502/b81ca88f20534fa98fc19481ff9d1aca.png
[clip_image015_clip_image015]: /images/20210502/7c3d5f47d4294a99b31c3073b7913137.png
[clip_image016_clip_image016]: /images/20210502/4d54629f75374836a9dcd0a161571c24.png
[clip_image017_clip_image017]: /images/20210502/7958bb350a134b1b961870034f18c903.png
[clip_image018_clip_image018]: /images/20210502/65ed53fbb0364b24840f39dcd0511ad5.png
[clip_image019_clip_image019]: /images/20210502/fb587c648a3c4d2386d92196e054fbb0.png
[clip_image020_clip_image020]: /images/20210502/62ea826bffc74a4484530317ff87a3cc.png
[clip_image021_clip_image021]: /images/20210502/f7b9845aa93a4af99fcf19192ca34e7b.png
[clip_image022_clip_image022]: /images/20210502/e480536153e540d09790a3e7321f8447.png
[clip_image023_clip_image023]: /images/20210502/e5881a71446b4f568108f693edfe4989.png
[clip_image024_clip_image024]: /images/20210502/922ab17318dc41e684fcd1f72e7f135f.png
[clip_image025_clip_image025]: /images/20210502/2b83c7b71a554489b6007f06511a4f41.png
[clip_image026_clip_image026]: /images/20210502/eb797636b1d8499585f03b859b222277.png
[clip_image027_clip_image027]: /images/20210502/3436eeaaa16d4c62a8c74f91991e77dc.png
[clip_image028_clip_image028]: /images/20210502/c97a5c81dc71423b90ff0867574c5d9e.png
[clip_image029_clip_image029]: /images/20210502/3bdfedfee5e4484d807937950d6cfc35.png
[clip_image030_clip_image030]: /images/20210502/04db3cfe52f943a8a3f6dc5f929fbcbf.png
[clip_image031_clip_image031]: /images/20210502/62492f4975c547798f8f732e92bb7641.png
[clip_image032_clip_image032]: /images/20210502/64a661e38f4e457382bef2db895b82ca.png
[clip_image033_clip_image033]: /images/20210502/1dcd3a312ff5437cbf249430d63f8188.png
[clip_image034_clip_image034]: /images/20210502/bf9ace6dff8d405c817efe1181d1c8f7.png
[clip_image035_clip_image035]: /images/20210502/bc07eb147e4342c79ad2809b31ed8585.png
[clip_image036_clip_image036]: /images/20210502/97f76a6d5084441c8a8ff29c78c573d4.png
[clip_image037_clip_image037]: /images/20210502/9e15f89ee96c49058700e68032b63646.png
[clip_image038_clip_image038]: /images/20210502/48f59f231b244981b3dff65597294743.png
[clip_image039_clip_image039]: /images/20210502/2002f799c7284733887d134fef41c86b.png
[clip_image040_clip_image040]: /images/20210502/f93dae69ed08427e9b304c02358d7d82.png
[clip_image041_clip_image041]: /images/20210502/245f082652fa4ae59cb11f2fe459630f.png
[clip_image042_clip_image042]: /images/20210502/74946fe7e2f348aead2f6f9fb5227dce.png