创建、更改或删除虚拟网络对等互连

使用具有所需权限的 Azure 帐户登录 Azure 门户，以使用对等互连。

如果在本地运行 PowerShell，请使用 Azure PowerShell 模块 1.0.0 或更高版本。 运行 Get-Module -ListAvailable Az.Network 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure PowerShell 模块。 运行 Connect-AzAccount -Environment AzureChinaCloud 以使用具有所需权限的帐户登录 Azure，以处理 VNet 对等互连。

如果在本地运行 Azure CLI，请使用 Azure CLI 2.0.31 或更高版本。 运行 az --version 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。 运行 az login 以使用具有所需权限的帐户登录 Azure，以处理 VNet 对等互连。

必须将连接到 Azure 所用的帐户分配给网络参与者角色或分配有“权限”中所列的适当操作的自定义角色。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 在“虚拟网络”中，选择要为其创建对等互连的网络。

3. 在“设置”中选择“对等互连”。

4. 选择“+ 添加”。

5. 为以下设置输入或选择值，然后选择“添加”。

   设置	说明
   此虚拟网络
   对等互连链接名称	来自本地虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   允许“vnet-1”访问“vnet-2”	默认情况下，将选中此选项。 - 若要通过默认的 VirtualNetwork 流在两个虚拟网络之间启用通信，请选择“允许‘vnet-1’访问‘vnet-2’(默认设置)”。 这样，连接到任一虚拟网络的资源就可以通过 Azure 专用网络相互通信。 选择此设置时，网络安全组的 VirtualNetwork 服务标记包含虚拟网络和对等互连的虚拟网络。 若要详细了解服务标记，请参阅 Azure 服务标记。
   允许“vnet-1”接收来自“vnet-2”的转发流量	默认未选择此选项。 - 若要允许来自对等互连虚拟网络的转发流量，请选择“允许‘vnet-1’接收来自‘vnet-2’的转发流量”。 如果你希望允许非源自 vnet-2 的流量进入 vnet-1，可以选择此设置。 例如，如果 vnet-2 的 NVA 接收来自 vnet-2 外部的流量，而这些流量将转发到 vnet-1，则你可以选择此设置，以允许该流量从 vnet-2 进入 vnet-1。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。 了解用户定义的路由。 注意：如果不选择“允许‘vnet-1’接收来自‘vnet-2’的转发流量”设置，则只会更改 VirtualNetwork 服务标记的定义。这样不会完全阻止流量在对等连接上流动，如此设置说明中所述。
   允许“vnet-1”中的网关将流量转发到“vnet-2”	默认未选择此选项。 -如果你希望 vnet-2 接收来自 vnet-1 网关/路由服务器的流量，请选择“允许‘vnet-1’中的网关将流量转发到‘vnet-2’”。 vnet-1 必须包含网关才能启用此选项。
   允许“vnet-1”使用“vnet-2”远程网关	默认未选择此选项。 - 如果你希望 vnet-1 使用 vnet-2 的网关或路由服务器，请选择“允许‘vnet-1’使用‘vnet-2’远程网关”。 vnet-1 只能从一个对等连接使用远程网关或路由服务器。 vnet-2 必须具有网关或路由服务器才能选择此选项。 例如，要与之对等互连的虚拟网络有一个 VPN 网关，可实现与本地网络的通信。 选中此设置可允许来自此虚拟网络的流量流经对等互连虚拟网络中的 VPN 网关。 如果你希望此虚拟网络使用远程路由服务器来交换路由，请参阅 Azure 路由服务器。 注意：如果已经在虚拟网络中配置了网关，则不能使用远程网关。要了解有关使用网关进行传输的详细信息，请参阅在虚拟网络对等互连中配置 VPN 网关以进行传输。
   远程虚拟网络
   对等互连链接名称	来自远程虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   虚拟网络部署模型	选择要对等互连的虚拟网络是通过哪种部署模型来进行部署的。
   我知道我的资源 ID	如果对要进行对等互连的虚拟网络拥有读取访问权限，请保留取消选中此复选框。 如果对要与之对等互连的虚拟网络或订阅没有读取访问权限，请选中此复选框。
   资源 ID	选中“我知道我的资源 ID”复选框时，将显示此字段。 输入的虚拟网络资源 ID 必须与此虚拟网络位于同一 Azure 区域，或受支持的不同 Azure 区域。 完整资源 ID 类似于 /subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name>。 可以通过查看虚拟网络的属性，获取虚拟网络的资源 ID。 若要了解如何查看虚拟网络的属性，请参阅管理虚拟网络。 如果订阅与不同的 Microsoft Entra 租户（而不是要对等互连的虚拟网络的订阅）相关联，则必须分配用户权限。 将每个租户中的用户添加为相反租户中的来宾用户。
   订阅	选择要进行对等互连的虚拟网络的订阅。 将列出一个或多个订阅，具体取决于帐户可以通过读取方式访问多少个订阅。 如果选中“我知道我的资源 ID”复选框，则此设置不可用。
   虚拟网络	选择要进行对等互连的虚拟网络。 可以选择通过任一 Azure 部署模型创建的虚拟网络。 如果要选择不同区域中的虚拟网络，必须选择受支持区域中的虚拟网络。 必须能够通过读取方式访问虚拟网络，该虚拟网络才会显示在列表中。 如果列出了某个虚拟网络，但显示为灰色，则可能是因为该虚拟网络的地址空间与此虚拟网络的地址空间重叠。 如果虚拟网络地址空间重叠，则它们无法进行对等互连。 如果选中“我知道我的资源 ID”复选框，则此设置不可用。
   允许“vnet-2”访问“vnet-1”	默认情况下，将选中此选项。 - 如果你希望通过默认的 VirtualNetwork 流在两个虚拟网络之间启用通信，请选择“允许‘vnet-2’访问‘vnet-1’”。 启用虚拟网络之间的通信允许连接到任一虚拟网络的资源通过 Azure 专用网络相互通信。 在此设置设置为选中时，网络安全组的VirtualNetwork服务标记会包含该虚拟网络和已对等互连的虚拟网络。 若要详细了解服务标记，请参阅 Azure 服务标记。
   允许“vnet-2”接收来自“vnet-1”的转发流量	默认未选择此选项。 -若要允许来自对等互连虚拟网络的转发流量，请选择“允许‘vnet-2’接收来自‘vnet-1’的转发流量”。 如果你希望允许非源自 vnet-1 的流量进入 vnet-2，可以选择此设置。 例如，如果 vnet-1 的 NVA 接收来自 vnet-1 外部的流量，而这些流量将转发到 vnet-2，则你可以选择此设置，以允许该流量从 vnet-1 进入 vnet-2。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。 了解用户定义的路由。 注意：如果不选择“允许‘vnet-1’接收来自‘vnet-2’的转发流量”设置，则只会更改 VirtualNetwork 服务标记的定义。这样不会完全阻止流量在对等连接上流动，如此设置说明中所述。
   允许“vnet-2”中的网关将流量转发到“vnet-1”	默认未选择此选项。 -如果你希望 vnet-1 接收来自 vnet-2 网关/路由服务器的流量，请选择“允许‘vnet-2’中的网关将流量转发到‘vnet-1’”。 vnet-2 必须包含网关才能启用此选项。
   允许“vnet-2”使用“vnet-1”远程网关	默认未选择此选项。 - 如果你希望 vnet-2 使用 vnet-1 的网关或路由服务器，请选择“允许‘vnet-2’使用‘vnet-1’远程网关”。 vnet-2 只能从一个对等连接使用远程网关或路由服务器。 vnet-1 必须具有网关或路由服务器才能选择此选项。 例如，要与之对等互连的虚拟网络有一个 VPN 网关，可实现与本地网络的通信。 选中此设置可允许来自此虚拟网络的流量流经对等互连虚拟网络中的 VPN 网关。 如果你希望此虚拟网络使用远程路由服务器来交换路由，请参阅 Azure 路由服务器。 此方案要求实现用户定义的路由来将虚拟网络网关指定为下一个跃点类型。 了解用户定义的路由。 只能将 VPN 网关指定为用户定义的路由中的下一跃点类型，不能将 ExpressRoute 网关指定为用户定义的路由中的下一跃点类型。 注意：如果已经在虚拟网络中配置了网关，则不能使用远程网关。要了解有关使用网关进行传输的详细信息，请参阅在虚拟网络对等互连中配置 VPN 网关以进行传输。

   

   注意

   如果使用虚拟网络网关将本地流量通过可传递的方式发送到对等互连虚拟网络，则必须将本地 VPN 设备的对等互连虚拟网络 IP 范围设置为“关注”流量。 你可能需要将所有 Azure 虚拟网络的 CIDR 地址添加到本地 VPN 设备上的站点到站点 IPSec VPN 隧道配置。 CIDR 地址包括“中心”、分支和点到站点 IP 地址池等资源。 否则，本地资源将无法与对等互连 VNet 中的资源进行通信。 关注流量将通过阶段 2 安全关联进行通信。 安全关联为每个指定的子网创建专用 VPN 隧道。 本地和 Azure VPN 网关层必须支持相同数量的站点到站点 VPN 隧道和 Azure VNet 子网。 否则，本地资源将无法与对等互连 VNet 中的资源进行通信。 有关为每个指定 Azure VNet 子网创建阶段 2 安全关联的说明，请参阅本地 VPN 文档。

6. 几秒钟后，选择“刷新”按钮，对等连接状态将从“正在更新”更改为“已连接”。

   

有关在不同订阅和部署模型中的虚拟网络之间实现对等互连的分步说明，请参阅后续步骤。

使用 Add-AzVirtualNetworkPeering 创建虚拟网络对等互连。

## Place the virtual network vnet-1 configuration into a variable. ##
$net-1 = @{
        Name = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
$vnet-1 = Get-AzVirtualNetwork @net-1

## Place the virtual network vnet-2 configuration into a variable. ##
$net-2 = @{
        Name = 'vnet-2'
        ResourceGroupName = 'test-rg-2'
}
$vnet-2 = Get-AzVirtualNetwork @net-2

## Create peering from vnet-1 to vnet-2. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        VirtualNetwork = $vnet-1
        RemoteVirtualNetworkId = $vnet-2.Id
}
Add-AzVirtualNetworkPeering @peer1

## Create peering from vnet-2 to vnet-1. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        VirtualNetwork = $vnet-2
        RemoteVirtualNetworkId = $vnet-1.Id
}
Add-AzVirtualNetworkPeering @peer2

1. 使用 az network vnet peering create 创建虚拟网络对等互连。

## Create peering from vnet-1 to vnet-2. ##
az network vnet peering create \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --remote-vnet vnet-2 \
    --resource-group test-rg \
    --allow-vnet-access \
    --allow-forwarded-traffic

## Create peering from vnet-2 to vnet-1. ##
az network vnet peering create \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2 \
    --remote-vnet vnet-1 \
    --resource-group test-rg-2 \
    --allow-vnet-access \
    --allow-forwarded-traffic

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”下选择“对等互连”，然后选择要查看或更改设置的对等互连。

   

4. 更改相应的设置。 针对每个设置的相关选项，请参阅“创建对等互连”部分的第 4 步。 然后选择“保存”，以完成配置更改。

   

使用 Get-AzVirtualNetworkPeering 列出虚拟网络的对等互连及其设置。

$peer = @{
        VirtualNetworkName = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
Get-AzVirtualNetworkPeering @peer

使用 Set-AzVirtualNetworkPeering 更改对等互连设置。

## Place the virtual network peering configuration into a variable. ##
$peer = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
$peering = Get-AzVirtualNetworkPeering @peer

# Allow traffic forwarded from remote virtual network. ##
$peering.AllowForwardedTraffic = $True

## Update the peering with changes made. ##
Set-AzVirtualNetworkPeering -VirtualNetworkPeering $peering

使用 az network vnet peering list 列出虚拟网络的对等互连。

az network vnet peering list \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --out table

使用 az network vnet peering show 显示特定对等互连的设置。

az network vnet peering show \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

使用 az network vnet peering update 更改对等互连设置。

## Block traffic forwarded from remote virtual network. ##
az network vnet peering update \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --set allowForwardedTraffic=false

删除两个虚拟网络之间的对等互连后，流量便不能再在这两个虚拟网络之间流动。 如果希望虚拟网络偶尔进行通信，而非始终通信，与其删除对等互连，不如取消选中“允许流向远程虚拟网络的流量”设置，以禁止流动到远程虚拟网络的流量”。 你会发现，禁用和启用网络访问比删除并重新创建对等互连更加容易。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”中选择“对等互连”。

   

4. 在要删除的对等互连的右侧，选择“...”，然后选择“删除”。

   

5. 选择“是”以确认要删除对等互连和对应的对等机。

   

   注意

   从虚拟网络中删除虚拟网络对等互连时，也会删除远程虚拟网络中的对等互连。

使用 Remove-AzVirtualNetworkPeering 删除虚拟网络对等互连

## Delete vnet-1 to vnet-2 peering. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
Remove-AzVirtualNetworkPeering @peer1

## Delete vnet-2 to vnet-1 peering. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        ResourceGroupName = 'test-rg-2'
}
Remove-AzVirtualNetworkPeering @peer2

使用 az network vnet peering delete 删除虚拟网络对等互连。

## Delete vnet-1 to vnet-2 peering. ##
az network vnet peering delete \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

## Delete vnet-2 to vnet-1 peering. ##
az network vnet peering delete \
    --resource-group test-rg-2 \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2