创建、更改或删除虚拟网络对等互连

使用具有所需权限的 Azure 帐户登录 Azure 门户，以使用对等互连。

如果在本地运行 PowerShell，请使用 Azure PowerShell 模块 1.0.0 或更高版本。 运行 Get-Module -ListAvailable Az.Network 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure PowerShell 模块。 运行 Connect-AzAccount -Environment AzureChinaCloud 以使用具有所需权限的帐户登录 Azure，以处理 VNet 对等互连。

如果在本地运行 Azure CLI，请使用 Azure CLI 2.0.31 或更高版本。 运行 az --version 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。 运行 az login 以使用具有所需权限的帐户登录 Azure，以处理 VNet 对等互连。

必须将连接到 Azure 所用的帐户分配给网络参与者角色或分配有“权限”中所列的适当操作的自定义角色。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 在“虚拟网络”中，选择要为其创建对等互连的网络。

3. 在“设置”中选择“对等互连”。

4. 选择“+ 添加”。

5. 为以下设置输入或选择值，然后选择“添加”。

   设置	说明
   远程虚拟网络摘要
   对等互连链接名称	来自本地虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   虚拟网络部署模型	选择要对等互连的虚拟网络是通过哪种部署模型来进行部署的。
   我知道我的资源 ID	如果对要进行对等互连的虚拟网络拥有读取访问权限，请保留取消选中此复选框。 如果对要与之对等互连的虚拟网络或订阅没有读取访问权限，请选中此复选框。
   资源 ID	选中“我知道我的资源 ID”复选框时，将显示此字段。 输入的虚拟网络资源 ID 必须与此虚拟网络位于同一 Azure 区域，或受支持的不同 Azure 区域。 完整资源 ID 类似于 /subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name>。 可以通过查看虚拟网络的属性，获取虚拟网络的资源 ID。 若要了解如何查看虚拟网络的属性，请参阅管理虚拟网络。 如果订阅与不同的 Microsoft Entra 租户（而不是要对等互连的虚拟网络的订阅）相关联，则必须分配用户权限。 将每个租户中的用户添加为相反租户中的来宾用户。
   订阅	选择要进行对等互连的虚拟网络的订阅。 将列出一个或多个订阅，具体取决于帐户可以通过读取方式访问多少个订阅。
   虚拟网络	选择远程虚拟网络。
   远程虚拟网络对等互连设置
   允许对等互连虚拟网络访问“vnet-1”	默认情况下，将选中此选项。 - 选择此选项可允许从对等互连虚拟网络到“vnet-1”的流量。 此设置允许中心辐射型网络拓扑中的中心和辐射之间的通信，并允许对等互连虚拟网络中的 VM 与“vnet-1”中的 VM 通信。 选择此设置时，网络安全组的 VirtualNetwork 服务标记包含虚拟网络和对等互连的虚拟网络。 若要详细了解服务标记，请参阅 Azure 服务标记。
   允许对等互连虚拟网络接收来自“vnet-1”的转发流量	默认情况下未选择此选项。 - 启用此选项将允许对等虚拟网络接收来自对等互连到“vnet-1”的虚拟网络的流量。 例如，如果 vnet-2 的 NVA 接收来自 vnet-2 外部的流量，而这些流量将转发到 vnet-1，则你可以选择此设置，以允许该流量从 vnet-2 进入 vnet-1。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。
   允许对等互连虚拟网络中的网关或路由服务器将流量转发到“vnet-1”	默认未选择此选项。 - 启用此设置将允许“vnet-1”接收来自对等互连虚拟网络的网关或路由服务器的流量。 若要启用此选项，对等互连的虚拟网络必须包含网关或路由服务器。
   启用对等互连虚拟网络以使用“vnet-1”远程网关或路由服务器	默认情况下未选中此选项。 - 仅当“vnet-1”具有远程网关或路由服务器且“vnet-1”启用了“允许 'vnet-1' 中的网关将流量转发到对等互连虚拟网络”时，才能启用此选项。 此选项只能在一个对等互连虚拟网络的对等互连中启用。 如果你希望此虚拟网络使用远程路由服务器来交换路由，请参阅 Azure 路由服务器。 注意：如果已在虚拟网络中配置了网关，则无法使用远程网关。若要了解有关使用网关进行传输的详细信息，请参阅配置 VPN 网关以在虚拟网络对等互连中传输。
   本地虚拟网络摘要
   对等互连链接名称	来自远程虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   本地虚拟网络对等互连设置
   允许“vnet-1”访问对等互连的虚拟网络	默认情况下，将选中此选项。 - 选择此选项可允许从“vnet-1”到对等互连虚拟网络的流量。 此设置允许中心辐射型网络拓扑中的中心和辐射之间的通信，并允许“vnet-1”中的 VM 与对等互连虚拟网络中的 VM 通信。
   允许“vnet-1”接收来自对等互连虚拟网络的转发流量	默认情况下未选择此选项。 - 启用此选项将允许“vnet-1”接收来自与对等虚拟网络对等互连的虚拟网络的流量。 例如，如果 vnet-2 的 NVA 接收来自 vnet-2 外部的流量，而这些流量将转发到 vnet-1，则你可以选择此设置，以允许该流量从 vnet-2 进入 vnet-1。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。
   允许“vnet-1”中的网关或路由服务器将流量转发到对等互连的虚拟网络	默认未选择此选项。 - 启用此设置将允许对等互连的虚拟网络接收来自“vnet-1”的网关或路由服务器的流量。 若要启用此选项，“vnet-1”必须包含网关或路由服务器。
   启用“vnet-1”以使用对等互连虚拟网络的远程网关或路由服务器	默认情况下未选择此选项。 - 仅当对等互连虚拟网络具有远程网关或路由服务器且对等互连虚拟网络启用了“允许对等互连虚拟网络中的网关将流量转发到 'vnet-1'”时，才能启用此选项。 此选项只能在“vnet-1”的一个对等互连中启用。

   

   注意

   如果使用虚拟网络网关将本地流量通过可传递的方式发送到对等互连虚拟网络，则必须将本地 VPN 设备的对等互连虚拟网络 IP 范围设置为“关注”流量。 你可能需要将所有 Azure 虚拟网络的 CIDR 地址添加到本地 VPN 设备上的站点到站点 IPSec VPN 隧道配置。 CIDR 地址包括“中心”、分支和点到站点 IP 地址池等资源。 否则，本地资源将无法与对等互连 VNet 中的资源进行通信。 关注流量将通过阶段 2 安全关联进行通信。 安全关联为每个指定的子网创建专用 VPN 隧道。 本地和 Azure VPN 网关层必须支持相同数量的站点到站点 VPN 隧道和 Azure VNet 子网。 否则，本地资源将无法与对等互连 VNet 中的资源进行通信。 有关为每个指定 Azure VNet 子网创建阶段 2 安全关联的说明，请参阅本地 VPN 文档。

6. 几秒钟后，选择“刷新”按钮，对等连接状态将从“正在更新”更改为“已连接”。

   

有关在不同订阅和部署模型中的虚拟网络之间实现对等互连的分步说明，请参阅后续步骤。

使用 Add-AzVirtualNetworkPeering 创建虚拟网络对等互连。

## Place the virtual network vnet-1 configuration into a variable. ##
$net-1 = @{
        Name = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
$vnet-1 = Get-AzVirtualNetwork @net-1

## Place the virtual network vnet-2 configuration into a variable. ##
$net-2 = @{
        Name = 'vnet-2'
        ResourceGroupName = 'test-rg-2'
}
$vnet-2 = Get-AzVirtualNetwork @net-2

## Create peering from vnet-1 to vnet-2. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        VirtualNetwork = $vnet-1
        RemoteVirtualNetworkId = $vnet-2.Id
}
Add-AzVirtualNetworkPeering @peer1

## Create peering from vnet-2 to vnet-1. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        VirtualNetwork = $vnet-2
        RemoteVirtualNetworkId = $vnet-1.Id
}
Add-AzVirtualNetworkPeering @peer2

1. 使用 az network vnet peering create 创建虚拟网络对等互连。

## Create peering from vnet-1 to vnet-2. ##
az network vnet peering create \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --remote-vnet vnet-2 \
    --resource-group test-rg \
    --allow-vnet-access \
    --allow-forwarded-traffic

## Create peering from vnet-2 to vnet-1. ##
az network vnet peering create \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2 \
    --remote-vnet vnet-1 \
    --resource-group test-rg-2 \
    --allow-vnet-access \
    --allow-forwarded-traffic

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”下选择“对等互连”，然后选择要查看或更改设置的对等互连。

   

4. 更改相应的设置。 针对每个设置的相关选项，请参阅“创建对等互连”部分的第 4 步。 然后选择“保存”，以完成配置更改。

   

使用 Get-AzVirtualNetworkPeering 列出虚拟网络的对等互连及其设置。

$peer = @{
        VirtualNetworkName = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
Get-AzVirtualNetworkPeering @peer

使用 Set-AzVirtualNetworkPeering 更改对等互连设置。

## Place the virtual network peering configuration into a variable. ##
$peer = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
$peering = Get-AzVirtualNetworkPeering @peer

# Allow traffic forwarded from remote virtual network. ##
$peering.AllowForwardedTraffic = $True

## Update the peering with changes made. ##
Set-AzVirtualNetworkPeering -VirtualNetworkPeering $peering

使用 az network vnet peering list 列出虚拟网络的对等互连。

az network vnet peering list \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --out table

使用 az network vnet peering show 显示特定对等互连的设置。

az network vnet peering show \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

使用 az network vnet peering update 更改对等互连设置。

## Block traffic forwarded from remote virtual network. ##
az network vnet peering update \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --set allowForwardedTraffic=false

删除两个虚拟网络之间的对等互连后，流量便不能再在这两个虚拟网络之间流动。 如果希望虚拟网络偶尔进行通信，而非始终通信，与其删除对等互连，不如取消选中“允许流向远程虚拟网络的流量”设置，以禁止流动到远程虚拟网络的流量”。 你会发现，禁用和启用网络访问比删除并重新创建对等互连更加容易。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”中选择“对等互连”。

   

4. 选中要删除的对等互连旁边的框，然后选择“删除”。

   

5. 在“删除对等互连”的确认框中输入“删除”，然后选择“删除”。

   

   注意

   从虚拟网络中删除虚拟网络对等互连时，也会删除远程虚拟网络中的对等互连。

6. 在“确认删除”中选择“删除”以确认删除。

   

使用 Remove-AzVirtualNetworkPeering 删除虚拟网络对等互连

## Delete vnet-1 to vnet-2 peering. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
Remove-AzVirtualNetworkPeering @peer1

## Delete vnet-2 to vnet-1 peering. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        ResourceGroupName = 'test-rg-2'
}
Remove-AzVirtualNetworkPeering @peer2

使用 az network vnet peering delete 删除虚拟网络对等互连。

## Delete vnet-1 to vnet-2 peering. ##
az network vnet peering delete \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

## Delete vnet-2 to vnet-1 peering. ##
az network vnet peering delete \
    --resource-group test-rg-2 \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2