创建虚拟网络对等互连 - 资源管理器、不同订阅和 Microsoft Entra 租户

本教程介绍如何在通过 Resource Manager 创建的虚拟网络间创建虚拟网络对等互连。 虚拟网络存在于可能属于不同 Microsoft Entra 租户的不同订阅中。 在两个虚拟网络之间建立对等互连可让不同虚拟网络中的资源以相同的带宽和延迟彼此通信,就像这些资源位于同一个虚拟网络中一样。 了解有关虚拟网络对等互连的详细信息。

根据虚拟网络是位于相同还是不同的订阅中,创建虚拟网络对等互连的步骤会有所不同。 使用经典部署模型创建的对等网络的步骤会有所不同。 有关部署模型的详细信息,请参阅 Azure 部署模型

选择下表中的方案,了解如何采用其他方案创建虚拟网络对等互连:

Azure 部署模型 Azure 订阅
均为资源管理器模型 相同
一个为资源管理器模型,一个为经典模型 相同
一个为资源管理器模型,一个为经典模型 不同

不能在通过经典部署模型部署的两个虚拟网络之间创建虚拟网络对等互连。 如需连接两个通过经典部署模型创建的虚拟网络,可使用 Azure VPN 网关来连接它们。

本教程将在同一区域中的虚拟网络之间建立对等互连。 还可以将不同受支持的区域中的虚拟网络对等互连。 建议在对等互连虚拟网络之前让自己熟悉对等互连的要求和约束

先决条件

  • 具有两个有效订阅的 Azure 帐户。 创建试用帐户

  • 在两个订阅中都具有权限的 Azure 帐户,或者在每个订阅中都具有创建虚拟网络对等互连的权限的帐户。 有关权限列表,请参阅虚拟网络对等互连权限

    • 若要分离管理属于每个租户的网络的职责,请将每个租户中的用户添加为对方租户中的来宾,并为其分配虚拟网络的网络参与者角色。 如果虚拟网络位于不同的订阅和 Active Directory 租户中,则此过程适用。

    • 若要在不打算单独管理属于每个租户的网络时建立网络对等互连,请将租户 A 中的用户添加为对方租户中的来宾。 然后,为其分配网络参与者角色,以启动和连接每个订阅的网络对等互连。 有了这些权限,用户就可以从每个订阅建立网络对等互连。

    • 有关来宾用户的详细信息,请参阅在 Azure 门户中添加 Microsoft Entra B2B 协作用户

    • 每位用户都必须接受来自对立的 Microsoft Entra 租户的宾客用户邀请。

  • 登录到 Azure 门户

以下步骤说明如何将不同订阅和 Microsoft Entra 租户中的虚拟网络对等互连。

可以使用在两个订阅中具有权限的同一帐户,也可以对每个订阅使用单独的帐户来设置对等互连。 在两个订阅中都具有权限的帐户可以完成所有步骤,而无需注销和登录到门户并分配权限。

本文中的步骤使用以下资源和帐户示例:

用户帐户 资源组 订阅 虚拟网络
user-1 test-rg subscription-1 vnet-1
user-2 test-rg-2 subscription-2 vnet-2

创建虚拟网络 - vnet-1

注意

如果使用单个帐户来完成这些步骤,则无需执行注销门户和向虚拟网络分配其他用户权限的步骤。

下面的过程创建虚拟网络及资源子网。

  1. 在门户中,搜索并选择“虚拟网络”。

  2. 在“虚拟网络”页面上,选择“+ 创建”。

  3. 创建虚拟网络基本信息选项卡上输入或选择以下信息:

    设置
    项目详细信息
    订阅 选择订阅。
    资源组 选择“新建”。
    在“名称”中输入“test-rg”。
    选择“确定”。
    实例详细信息
    名称 输入“vnet-1”。
    区域 选择“美国东部 2”。

    Screenshot of Basics tab of Create virtual network in the Azure portal.

  4. 选择“下一步”,转到“安全性”选项卡。

  5. 选择下一步,转到IP 地址选项卡。

  6. 在“子网”的地址空间框中,选择“默认”子网。

  7. 编辑子网中,输入或选择以下信息:

    设置
    子网详细信息
    子网模板 保留默认值“默认”。
    名称 输入“subnet-1”。
    开始地址 保留默认值“10.0.0.0”。
    子网大小 保留默认值“/24 (256 个地址)”。

    Screenshot of default subnet rename and configuration.

  8. 选择“保存”。

  9. 选择屏幕底部的“查看 + 创建”,然后在验证通过时选择“创建”。

为 user-2 分配权限

另一个订阅中要与之对等互连的用户帐户必须添加到之前创建的网络中。 如果两个订阅都使用单个帐户,则可以跳过此部分。

  1. 保持以 user-1 身份登录到门户。

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-1”。

  4. 选择“访问控制 (IAM)”。

  5. 选择“添加”->“添加角色分配”。

  6. 在“角色”选项卡中的“添加角色分配”中,选择“网络参与者”。

  7. 选择“下一步”。

  8. 在“成员”选项卡上,选择“+ 选择成员”。

  9. 在搜索框中的“选择成员”中,输入 user-2

  10. 选择“选择” 。

  11. 选择“查看 + 分配”。

  12. 选择“查看 + 分配”。

获取 vnet-1 的资源 ID

  1. 保持以 user-1 身份登录到门户。

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-1”。

  4. 在“设置”中,选择“属性” 。

  5. 复制“资源 ID”字段中的信息,并保存以供后续步骤使用。 资源 ID 类似于以下示例:/subscriptions/<Subscription Id>/resourceGroups/test-rg/providers/Microsoft.Network/virtualNetworks/vnet-1

  6. user-1 身份注销门户。

创建虚拟网络 - vnet-2

在本节中,你以 user-2 的身份登录,并为到 vnet-1 的对等互连创建一个虚拟网络。

重复上述部分中的步骤,以使用以下值创建第二个虚拟网络:

设置
订阅 subscription-2
资源组 test-rg-2
名称 vnet-2
地址空间 10.1.0.0/16
子网名称 subnet-1
子网地址范围 10.1.0.0/24

为 user-1 分配权限

另一个订阅中要与之对等互连的用户帐户必须添加到之前创建的网络中。 如果两个订阅都使用单个帐户,则可以跳过此部分。

  1. 保持以 user-2 身份登录到门户。

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-2”。

  4. 选择“访问控制 (IAM)”。

  5. 选择“添加”->“添加角色分配”。

  6. 在“角色”选项卡中的“添加角色分配”中,选择“网络参与者”。

  7. 选择“下一步”。

  8. 在“成员”选项卡上,选择“+ 选择成员”。

  9. 在搜索框中的“选择成员”中,输入 user-1

  10. 选择“选择” 。

  11. 选择“查看 + 分配”。

  12. 选择“查看 + 分配”。

获取 vnet-2 的资源 ID

需要 vnet-2 的资源 ID 才能设置从 vnet-1vnet-2 的对等互连连接。 使用以下步骤获取 vnet-2 的资源 ID。

  1. 保持以 user-2 身份登录到门户。

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-2”。

  4. 在“设置”中,选择“属性” 。

  5. 复制“资源 ID”字段中的信息,并保存以供后续步骤使用。 资源 ID 类似于以下示例:/subscriptions/<Subscription Id>/resourceGroups/test-rg-2/providers/Microsoft.Network/virtualNetworks/vnet-2

  6. user-2 身份注销门户。

创建对等互连连接 - vnet-1 到 vnet-2

你需要前面步骤中 vnet-2资源 ID 来设置对等互连连接。

  1. user-1 身份登录到 Azure 门户。 如果对两个订阅使用一个帐户,请在门户中更改为 subscription-1

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-1”。

  4. 选择“对等互连”。

  5. 选择“+ 添加”。

  6. 在“添加对等方”中,输入或选择以下信息:

    设置
    此虚拟网络
    对等互连链接名称 输入 vnet-1-to-vnet-2
    允许访问远程虚拟网络 保留默认值“已选择”。
    允许流向远程虚拟网络的流量 选中复选框。
    允许从远程虚拟网络转发的流量(允许网关传输) 保留默认值“已清除”。
    使用远程虚拟网络网关或路由服务器 保留默认值“已清除”。
    远程虚拟网络
    对等互连链接名称 留空。
    虚拟网络部署模型 选择“资源管理器”。
    选中“我知道我的资源 ID”框。
    资源 ID 输入或粘贴 vnet-2资源 ID
  7. 在下拉框中,选择与 vnet-2user-2 对应的目录

  8. 选择“身份验证”。

    Screenshot of peering from vnet-1 to vnet-2.

  9. 选择添加

  10. user-1 身份注销门户。

对等互连连接显示在“对等互连”中,状态为“已启动”。 若要完成对等互连,必须在 vnet-2 中设置相应的连接。

创建对等互连连接 - vnet-2 到 vnet-1

你需要前面步骤中 vnet-1资源 ID 来设置对等互连连接。

  1. user-2 身份登录到 Azure 门户。 如果对两个订阅使用一个帐户,请在门户中更改为 subscription-2

  2. 在门户顶部的搜索框中,输入“虚拟网络”。 在搜索结果中,选择“虚拟网络”。

  3. 选择“vnet-2”。

  4. 选择“对等互连”。

  5. 选择“+ 添加”。

  6. 在“添加对等方”中,输入或选择以下信息:

    设置
    此虚拟网络
    对等互连链接名称 输入 vnet-2-to-vnet-1
    允许访问远程虚拟网络 保留默认值“已选择”。
    允许流向远程虚拟网络的流量 选中复选框。
    允许从远程虚拟网络转发的流量(允许网关传输) 保留默认值“已清除”。
    使用远程虚拟网络网关或路由服务器 保留默认值“已清除”。
    远程虚拟网络
    对等互连链接名称 留空。
    虚拟网络部署模型 选择“资源管理器”。
    选中“我知道我的资源 ID”框。
    资源 ID 输入或粘贴 vnet-1资源 ID
  7. 在下拉框中,选择与 vnet-1user-1 对应的目录

  8. 选择“身份验证”。

    Screenshot of peering from vnet-2 to vnet-1.

  9. 选择添加

对等互连中两个虚拟网络的“对等互连状态”列都显示为“已连接”后,即表示已成功建立对等互连。 在任一虚拟网络中创建的任何 Azure 资源现在都可通过其 IP 地址相互通信。 如果为虚拟网络使用 subnet-1 的 Azure 名称解析,则虚拟网络中的资源无法跨虚拟网络解析名称。 若要跨对等互连中的虚拟网络解析名称,必须创建自己的 DNS 服务器或使用 Azure DNS。

有关使用自己的 DNS 进行名称解析的详细信息,请参阅使用自己的 DNS 服务器进行名称解析

有关 Azure DNS 的详细信息,请参阅 What is Azure DNS?(什么是 Azure DNS?)

后续步骤