在 Windows 上配置点到站点 (P2S) VPN 以与 Azure 文件存储一起使用

若要使用 Azure 门户设置点到站点 VPN，则需要知道资源组名称、虚拟网络名称、网关子网名称和存储帐户名称。

运行此脚本以收集必要的信息。 请将 <resource-group>、<vnet-name>、<subnet-name> 和 <storage-account-name> 替换为适合你的环境的值。

$resourceGroupName  = '<resource-group-name>'
$virtualNetworkName = '<vnet-name>'
$subnetName         = '<subnet-name>'
$storageAccountName = '<storage-account-name>'

$virtualNetworkParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $virtualNetworkName
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnetId = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object {$_.Name -eq 'StorageAccountSubnet'} |
    Select-Object -ExpandProperty Id

$storageAccountParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$privateEndpoint = Get-AzPrivateEndpoint |
    Where-Object {
        $subnets = $_ |
            Select-Object -ExpandProperty Subnet |
            Where-Object {$_.Id -eq $subnetId}

        $connections = $_ |
            Select-Object -ExpandProperty PrivateLinkServiceConnections |
            Where-Object {$_.PrivateLinkServiceId -eq $storageAccount.Id}
        
        $null -ne $subnets -and $null -ne $connections
    } |
    Select-Object -First 1

若要使用 Azure 门户部署虚拟网络网关，请按照以下说明操作。

1. 登录 Azure 门户。

2. 在“搜索资源、服务和文档”中，输入“虚拟网络网关”。 在商城搜索结果中找到“虚拟网络网关”，并选中它。

3. 选择“+创建”以创建新的虚拟网络网关。

4. 在“基本信息”选项卡上，填写“项目详细信息”和“实例详细信息”的值 。

   

   • 订阅：从下拉列表中选择要使用的订阅。
   • 资源组：在此页上选择虚拟网络后，此设置将自动进行填充。
   • 名称：为网关命名。 为网关命名与为网关子网命名不同。 它是要创建的网关对象的名称。
   • 区域：选择要在其中创建此资源的区域。 网关的区域必须与虚拟网络相同。
   • 网关类型：选择“VPN”。 VPN 网关使用虚拟网络网关类型“VPN” 。
   • SKU：从下拉列表中选择支持你想要使用的功能的网关 SKU。 请参阅网关 SKU。 请勿使用基本 SKU，因为它不支持 IKEv2 身份验证。
   • 代系：选择想要使用的代系。 建议使用第 2 代 SKU。 有关详细信息，请参阅网关 SKU。
   • 虚拟网络：从下拉列表中，选择要将此网关添加到其中的虚拟网络。 如果找不到要为其创建网关的虚拟网络，请确保选择了正确的订阅和区域。
   • “子网”：此字段应灰显，并列出创建的网关子网的名称及其 IP 地址范围。 如果看到“网关子网地址范围”字段，则表示尚未配置网关子网（请参阅 先决条件。）

5. 请指定已分配给该虚拟网络网关的“公共 IP 地址”。 创建虚拟网络网关后，公共 IP 地址会被分配给此对象。 仅当删除并重新创建网关时，主公共 IP 地址才会发生更改。 该地址不会因为网关大小调整、重置或其他内部维护/升级而更改。

   

   • 公共 IP 地址：让“新建” 保持选中状态。
   • 公共 IP 地址名称：在文本框中，键入公共 IP 地址实例的名称。
   • 公共 IP 地址 SKU：将自动选择设置。
   • 分配：分配通常是自动选择的，可以是动态的，也可以是静态的。
   • 启用主动-主动模式：选择“已禁用”。 仅当创建主动-主动网关配置时，才启用此设置。
   • 配置 BGP：除非你的配置特别需要此设置，否则请选择“已禁用”。 如果确实需要此设置，则默认 ASN 为 65515，但可以更改此值。

6. 选择“查看 + 创建” ，运行验证。 验证通过后，选择“创建”以部署虚拟网络网关。 部署可能需要 45 分钟才能完成。

7. 部署完成后，选择“转到资源”。

8. 在左窗格中，选择“设置 > 点到站点配置” ，然后选择“立即配置” 。 现在应该能看见点到站点配置页面。

   

   • “地址池”：添加要使用的专用 IP 地址范围。 VPN 客户端动态接收指定范围内的 IP 地址。 主动/被动配置的最小子网掩码为 29 位，主动/主动配置的最小子网掩码为 28 位。
   • “隧道类型”：指定要使用的隧道类型。 通过本机 Windows VPN 客户端连接的计算机将首先尝试 IKEv2。 如果连接不成功，则会退回到 SSTP（如果在下拉列表中同时选择了 IKEv2 和 SSTP）。 如果选择了 OpenVPN 隧道类型，则可以使用 OpenVPN 客户端或 Azure VPN 客户端进行连接。
   • “身份验证类型”：指定要使用的身份验证类型（在本例中，选择 Azure 证书）。
   • “根证书名称”：根证书（.cer 文件）的文件名。
   • “公共证书数据”：使用记事本打开根证书，将公共证书数据复制/粘贴到此文本字段中。 如果使用本文中的 PowerShell 脚本生成自签名根证书，那么数据将位于 C:\vpn-temp中。 请确保只粘贴-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----之间的文本。 切勿包含任何其他空格或字符。

   注意

   如果此页上未显示“隧道类型”或“身份验证类型”，则表示网关使用的是基本 SKU。 基本 SKU 不支持 IKEv2 身份验证。 若要使用 IKEv2，则需要使用另一网关 SKU 删除并重新创建网关。

9. 选择页面顶部的“保存” ，以保存所有配置设置并将根证书公钥信息上传至 Azure。

将以下脚本中的 <desired-vpn-name> 和 <desired-region> 替换为正确的变量值。

部署此资源时，此 PowerShell 脚本将阻止部署完成。 这是正常情况。

$vpnName             = '<desired-vpn-name>' 
$publicIpAddressName = "$vpnName-PublicIP"
$region              = '<desired-region>'

$publicIpParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $publicIpAddressName
    Location          = $region
    Sku               = 'Basic'
    AllocationMethod  = 'Dynamic'
}
$publicIpAddress = New-AzPublicIpAddress @publicIPParams

$gatewayIpParams = @{
    Name = 'vnetGatewayConfig'
    SubnetId = $subnetId
    PublicIpAddressId = $publicIPAddress.Id
}
$gatewayIpConfig = New-AzVirtualNetworkGatewayIpConfig @gatewayIpParams

$vpnClientRootCertParams = @{
    Name           = 'P2SRootCert'
    PublicCertData = $rootCertificate
}
$azRootCertificate = New-AzVpnClientRootCertificate @vpnClientRootCertParams

$virtualNetGatewayParams = @{
    ResourceGroupName         = $resourceGroupName
    Name                      = $vpnName
    Location                  = $region
    GatewaySku                = 'VpnGw2'
    IpConfigurations          = $gatewayIpConfig
    GatewayType               = 'Vpn'
    VpnType                   = 'RouteBased'
    IpConfigurations          = $gatewayIpConfig
    VpnClientAddressPool      = '172.16.201.0/24'
    VpnClientProtocol         = 'IkeV2'
    VpnClientRootCertificates = $azRootCertificate
}
$vpn = New-AzVirtualNetworkGateway @virtualNetGatewayParams

安装客户端证书

在客户端计算机上进行以下步骤，以安装虚拟网络网关要求的身份验证用客户端证书。

1. 导出客户端证书后，找到并复制 .pfx 文件，将其复制到客户端计算机。
2. 在客户端计算机上，双击 .pfx 文件以进行安装。 将“存储位置”保留为“当前用户”，并选择“下一步” 。
3. 在“要导入的文件”页上，不要进行任何更改。 选择“下一步”。
4. 在“私钥保护”页上，输入证书的密码，或验证安全主体是否正确，并选择“下一步” 。
5. 在“证书存储”页上，保留默认位置，并选择“下一步” 。
6. 选择“完成”。 在证书安装的“安全警告”上，选择“是” 。 你可以放心地对此安全警告选择“是”，因为你生成了证书。
7. 现已成功导入证书。

安装 VPN 客户端

本部分能帮助你配置本机 VPN 客户端（客户端为 Windows 操作系统的一部分）以连接到虚拟网络（IKEv2 和 SSTP）。 此配置不需要其他客户端软件。

查看配置文件

在客户端计算机上，导航到 C:\vpn-temp 并打开 vpnclientconfiguration 文件夹以查看以下子文件夹：

• WindowsAmd64 和 WindowsX86：分别包含 Windows 64 位和 32 位安装程序包。 WindowsAmd64 安装程序包适用于所有受支持的 64 位 Windows 客户端，而不仅仅是 Amd。
• Generic：包含用于创建自己的 VPN 客户端配置的常规信息。 如果网关上配置了 IKEv2 或 SSTP+IKEv2，会提供 Generic 文件夹。 如果仅配置了 SSTP，则不会提供 Generic 文件夹。

配置 VPN 客户端配置文件

只要版本与 Windows 客户端的体系结构匹配，就可以在每台客户端计算机上使用相同的 VPN 客户端配置包。

1. 根据 Windows 计算机的体系结构选择 VPN 客户端配置文件。 对于 64 位处理器体系结构，请选择 VpnClientSetupAmd64 安装程序包。 对于 32 位处理器体系结构，请选择 VpnClientSetupX86 安装程序包。

2. 双击所需的包进行安装。 如果看到弹出 SmartScreen，选择“详细信息”，然后选择“仍要运行” 。

3. 连接到 VPN。 前往“VPN 设置”，找到创建的 VPN 连接。 其名称与虚拟网络的名称相同。 选择“连接” 。 可能会出现弹出消息。 选择“继续”，以便使用提升的权限。

4. 在“连接”状态页上，选择“连接”以启动连接。 如果看到“选择证书”屏幕，请确保所显示的客户端证书是要用于连接的证书。 如果不是，请使用下拉箭头选择正确的证书，并选择“确定”。

以下 PowerShell 脚本将安装虚拟网络网关身份验证所需的客户端证书，然后下载并安装 VPN 包。 请记得将 <computer1> 和 <computer2> 替换为所需的计算机。 通过将更多的 PowerShell 会话添加到 $sessions 数组，可以在所需的任意数量的计算机上运行此脚本。 用户帐户必须是每台计算机上的管理员。 如果其中一台计算机是正在运行脚本的本地计算机，则必须从提升权限的 PowerShell 会话运行该脚本。

$sessions = [System.Management.Automation.Runspaces.PSSession[]]@()
$sessions += New-PSSession -ComputerName '<computer1>'
$sessions += New-PSSession -ComputerName '<computer2>'

foreach ($session in $sessions) {
    Invoke-Command -Session $session -ArgumentList $vpnTemp -ScriptBlock { 
        $vpnTemp = $args[0]
        if (-Not (Test-Path -Path $vpnTemp -PathType Container)) {
            New-Item -ItemType Directory -Force -Path 'C:\vpn-temp' | Out-Null
        }
    }

    $copyItemParams = @{
        Path        = @(
            $exportedclientcertpath,
            $exportedrootcertpath,
            "$vpnTemp\vpnclientconfiguration.zip"
        )
        Destination = $vpnTemp
        ToSession   = $session
    }
    Copy-Item @copyItemParams

    $invokeCmdParams = @{
        Session = $session
        ArgumentList = @($mypwd, $vpnTemp, $virtualNetworkName)
    }
    Invoke-Command @invokeCmdParams -ScriptBlock { 
        $mypwd              = $args[0] 
        $vpnTemp            = $args[1]
        $virtualNetworkName = $args[2]
        
        $pfxCertParams = @{
            Exportable        = $true
            Password          = $mypwd
            CertStoreLocation = 'Cert:\LocalMachine\My'
            FilePath          = "$vpnTemp\P2SClientCert.pfx" 
        }
        Import-PfxCertificate @pfxCertParams | Out-Null
        
        $importCertParams = @{
            FilePath          = "$vpnTemp\P2SRootCert.cer"
            CertStoreLocation = "Cert:\LocalMachine\Root"
        }
        Import-Certificate @importCertParams | Out-Null

        $vpnGenericParams = @{
            Path            = "$vpnTemp\vpnclientconfiguration.zip"
            DestinationPath = "$vpnTemp\vpnclientconfiguration"
        }
        Expand-Archive @vpnGenericParams

        $vpnGeneric = "$vpnTemp\vpnclientconfiguration\Generic"

        $vpnProfile = ([xml](Get-Content -Path "$vpnGeneric\VpnSettings.xml")).VpnProfile

        $vpnConnectionParams = @{
            Name                 = $virtualNetworkName
            ServerAddress        = $vpnProfile.VpnServer
            TunnelType           = 'Ikev2'
            EncryptionLevel      = 'Required'
            AuthenticationMethod = 'MachineCertificate'
            SplitTunneling       = $true
            AllUserConnection    = $true
        }
        Add-VpnConnection @vpnConnectionParams

        $vpnConnRoute1Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.Routes
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute1Params

        $vpnConnRoute2Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.VpnClientAddressPool
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute2Params

        rasdial $virtualNetworkName
    }
}

Remove-Item -Path $vpnTemp -Recurse

若要使用存储帐户密钥装载文件共享，请打开 Windows 命令提示符并运行以下命令。 将�<YourStorageAccountName>、<FileShareName>和 <YourStorageAccountKey> 替换为你自己的值。 如果 Z: 已在使用中，请将其替换为可用的驱动器号。 在 Azure 门户中导航到存储帐户并选择“安全 + 网络”>“访问密钥”找到你的存储帐户密钥。

net use Z: \\<YourStorageAccountName>.file.core.chinacloudapi.cn\<FileShareName> /user:localhost\<YourStorageAccountName> <YourStorageAccountKey>

以下 PowerShell 脚本将装载共享、列出共享的根目录（证明共享已装载），然后卸载该共享。

$myShareToMount = '<file-share>'

$storageAccountKeyParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccountKeys = Get-AzStorageAccountKey @storageAccountKeyParams

$convertToSecureStringParams = @{
    String = $storageAccountKeys[0].Value
    AsPlainText = $true
    Force = $true
}
$storageAccountKey = ConvertTo-SecureString @convertToSecureStringParams

$getAzNetworkInterfaceParams = @{
    ResourceId = $privateEndpoint.NetworkInterfaces[0].Id
}
$nic = Get-AzNetworkInterface @getAzNetworkInterfaceParams

$storageAccountPrivateIP = $nic.IpConfigurations[0].PrivateIpAddress

$invokeCmdParams = @{
    Session = $sessions
    ArgumentList = @(
        $storageAccountName,
        $storageAccountKey,
        $storageAccountPrivateIP,
        $myShareToMount
    )
}
Invoke-Command @invokeCmdParams -ScriptBlock {
    $storageAccountName      = $args[0]
    $storageAccountKey       = $args[1]
    $storageAccountPrivateIP = $args[2]
    $myShareToMount          = $args[3]

    $credential = [System.Management.Automation.PSCredential]::new(
        "AZURE\$storageAccountName", 
        $storageAccountKey
    )

    $psDriveParams = @{
        Name       = 'Z'
        PSProvider = 'FileSystem'
        Root       = "\\$storageAccountPrivateIP\$myShareToMount"
        Credential = $credential
        Persist    = $true
    }
    New-PSDrive @psDriveParams | Out-Null

    Get-ChildItem -Path Z:\
    Remove-PSDrive -Name Z
}