教程：使用 NAT 网关和公共负载均衡器配置双栈出站连接

• 具有活动订阅的 Azure 帐户。 创建试用帐户。

• 如需在本地运行 CLI 参考命令，请安装 Azure CLI。 如果在 Windows 或 macOS 上运行，请考虑在 Docker 容器中运行 Azure CLI。 有关详细信息，请参阅如何在 Docker 容器中运行 Azure CLI。

  • 如果使用的是本地安装，请使用 az login 命令登录到 Azure CLI。 若要完成身份验证过程，请遵循终端中显示的步骤。 有关其他登录选项，请参阅使用 Azure CLI 登录。

  • 出现提示时，请在首次使用时安装 Azure CLI 扩展。 有关扩展详细信息，请参阅使用 Azure CLI 的扩展。

  • 运行 az version 以查找安装的版本和依赖库。 若要升级到最新版本，请运行 az upgrade。

• 具有活动订阅的 Azure 帐户。 创建试用帐户。

• 本教程需要 Azure CLI 版本 2.0.28 或更高版本。

使用 Azure 帐户登录到 Azure 门户。

使用 az login 登录到 Azure。

az login

以下过程创建包含资源子网、Azure Bastion 子网和 Azure Bastion 主机的虚拟网络。

1. 在门户中，搜索并选择“虚拟网络”。

2. 在“虚拟网络”页面上，选择“+ 创建”。

3. 在创建虚拟网络的基本信息选项卡上输入或选择以下信息：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择“新建”。 在“名称”中输入“test-rg”。 选择“确定”。
   实例详细信息
   名称	输入“vnet-1”。
   区域	选择“(亚太)中国东部 2”。

   

4. 选择“下一步: IP 地址”转到“IP 地址”选项卡。

5. 在“IP 地址”选项卡的“IPv4 地址空间”下，选择垃圾箱删除图标以删除任何已出现的地址空间，然后输入“10.0.0.0/16”。

6. 选择“+ 添加子网”。

7. 在“添加子网”中输入或选择以下信息：

   设置	值
   子网名称	输入“subnet-1”。
   子网地址范围	输入 10.0.0.0/24。

   

8. 选择 添加 。

9. 选择“下一步: 安全性”转到“安全性”选项卡。

10. 在“安全性”选项卡上的“BastionHost”旁，选择“启用”。

    Azure Bastion 使用浏览器通过安全外壳 (SSH) 或远程桌面协议 (RDP)，通过使用其专用 IP 地址连接虚拟网络中的虚拟机。 虚拟机不需要公共 IP 地址、客户端软件或特殊配置。 有关 Azure Bastion 的详细信息，请参阅 Azure Bastion

    注意

    每小时定价从部署 Bastion 的时刻开始计算，无论出站数据的使用情况如何。 有关详细信息，请参阅定价和 SKU。 如果要将 Bastion 部署为教程或测试的一部分，建议在使用完此资源后将其删除。

11. 输入或选择以下信息：

    设置	值
    Bastion 名称	输入“堡垒”。
    AzureBastionSubnet 地址空间	输入“10.0.1.0/26”。
    公共 IP 地址	选择“新建”。 在“名称”中输入“public-ip”。 选择“确定”。

    

12. 选择屏幕底部的“查看 + 创建”，然后在验证通过时选择“创建”。

创建资源组

Azure 资源组是在其中部署和管理 Azure 资源的逻辑容器。

使用 az group create 创建资源组。

az group create \
    --name test-rg \
    --location chinanorth3

创建网络和子网

使用 az network vnet create 创建虚拟网络。

az network vnet create \
    --resource-group test-rg \
    --location chinanorth3 \
    --name vnet-1 \
    --address-prefixes '10.0.0.0/16'

使用 az network vnet subnet create 创建虚拟网络的 IPv4 子网和 Azure Bastion 子网。

az network vnet subnet create \
    --name subnet-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --address-prefixes '10.0.0.0/24'

az network vnet subnet create \
    --name AzureBastionSubnet \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --address-prefixes '10.0.1.0/26'

创建堡垒主机

使用 az network public-ip create 为堡垒主机创建公共 IP。

az network public-ip create \
    --resource-group test-rg \
    --name public-ip \
    --sku standard \
    --zone 1 2 3

使用 az network bastion create 创建堡垒主机。

az network bastion create \
    --resource-group test-rg \
    --name bastion \
    --public-ip-address public-ip \
    --vnet-name vnet-1 \
    --location chinanorth3
    --sku basic

1. 在门户顶部的搜索框中，输入“NAT 网关”。 在搜索结果中选择“NAT 网关”。

2. 选择“+ 新建”。

3. 在“创建网络地址转换(NAT)网关”的“基本信息”选项卡中，输入或选择以下值：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择“test-rg”。
   实例详细信息
   NAT 网关名称	输入 nat-gateway。
   区域	选择“中国北部 3”。
   可用性区域	选择一个区域或选择“无区域”。
   TCP 空闲超时(分钟)	保留默认值“4”。

4. 选择“下一步: 出站 IP”。

5. 在“公共 IP 地址”中，选择“创建新的公共 IP 地址”。

6. 在“名称”中输入 public-ip-nat。 选择“确定”。

7. 选择“下一步: 子网”。

8. 对于“虚拟网络”，请选择 vnet-1。

9. 在子网列表中，选择“subnet-1”对应的框。

10. 选择“查看 + 创建”。

11. 选择“创建”。

使用 az network public-ip create 为 NAT 网关创建公共 IPv4 地址。

az network public-ip create \
    --resource-group test-rg \
    --name public-ip-nat \
    --sku standard \
    --zone 1 2 3

使用 az network nat gateway create 创建 NAT 网关。

az network nat gateway create \
    --resource-group test-rg \
    --name nat-gateway \
    --public-ip-addresses public-ip-nat \
    --idle-timeout 4

使用 az network vnet subnet update 将 NAT 网关与“subnet-1”相关联。

az network vnet subnet update \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --name subnet-1 \
    --nat-gateway nat-gateway

1. 在门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择“vnet-1”。

3. 在“设置”中，选择“地址空间”。

4. 在显示“添加其他地址范围”的框中，输入“2404:f800:8000:122::/63”。

5. 选择“保存”。

6. 在“设置”中选择“子网”。

7. 在子网列表中选择 subnet-1 。

8. 选择“添加 IPv6 地址空间”旁边的框。

9. 在“IPv6 地址空间”中，输入“2404:f800:8000:122::/64”。

10. 选择“保存”。

使用 az network vnet update 将 IPv6 地址空间添加到虚拟网络。

az network vnet update \
    --address-prefixes 10.0.0.0/16 2404:f800:8000:122::/63 \
    --name vnet-1 \
    --resource-group test-rg

使用 az network vnet subnet update 将 IPv6 子网添加到虚拟网络。

az network vnet subnet update \
    --address-prefixes 10.0.0.0/24 2404:f800:8000:122::/64 \
    --name subnet-1 \
    --vnet-name vnet-1 \
    --resource-group test-rg

以下过程会在虚拟网络中创建一个名为 vm-1 的测试虚拟机 (VM)。

1. 在门户中，搜索并选择“虚拟机”。

2. 在“虚拟机”中，依次选择“+ 创建”、“Azure 虚拟机”。

3. 在“创建虚拟机”的“基本信息”选项卡上，输入或选择以下信息：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择“test-rg”。
   实例详细信息
   虚拟机名称	输入“vm-1”。
   区域	选择“中国北部 3”。
   可用性选项	选择“无需基础结构冗余”。
   安全类型	选择“标准”。
   映像	选择“Ubuntu Server 22.04 LTS - Gen2”。
   大小	选择一个大小。
   管理员帐户
   身份验证类型	选择密码。
   用户名	输入“azureuser”。
   Password	输入密码。
   确认密码	重新输入密码。
   入站端口规则
   公共入站端口	选择“无”。

4. 选择页面顶部的“网络”选项卡。

5. 在“网络”选项卡中，输入或选择以下信息：

   设置	值
   网络接口
   虚拟网络	选择“vnet-1”。
   子网	选择“subnet-1 (10.0.0.0/24)”。
   公共 IP	选择无。
   NIC 网络安全组	选择“高级”。
   配置网络安全组	选择“新建”。 在“名称”中输入“nsg-1”。 将其余字段保留默认设置，然后选择“确定”。

6. 将其余设置保留为默认值，然后选择“查看 + 创建”。

7. 检查设置，然后选择“创建”。

等待虚拟机完成部署，然后再继续执行后续步骤。

将 IPv6 添加到虚拟机

为了支持 IPv6，虚拟机必须将 IPv6 网络配置添加到网络接口。 使用以下示例可将 IPv6 网络配置添加到虚拟机。

1. 在门户顶部的搜索框中，输入“虚拟机”。 在搜索结果中，选择“虚拟机”。

2. 选择 vm-1。

3. 在“设置”中，选择“网络”。

4. 选择“网络接口:”字段中的网络接口名称。 该网络接口名称是虚拟机名称加上一个随机数。 在此示例中，它是 vm-1202。

5. 在网络接口属性的“设置”中，选择“IP 配置” 。

6. 选择“+ 添加”。

7. 在“添加 IP 配置”中，输入或选择以下信息：

   设置	值
   名称	输入 ipconfig-ipv6。
   IP 版本	选择“IPv6”。

8. 将其余设置保留为默认值，然后选择“添加”。

创建 NSG

使用 az network nsg create 为虚拟机创建网络安全组。

az network nsg create \
    --name nsg-1 \
    --resource-group test-rg

使用 az network nsg rule create 创建规则以用于与虚拟机建立 RDP 连接。

az network nsg rule create \
    --resource-group test-rg \
    --nsg-name nsg-1 \
    --name ssh-rule \
    --protocol '*' \
    --direction inbound \
    --source-address-prefix '*' \
    --source-port-range '*' \
    --destination-address-prefix '*' \
    --destination-port-range 22 \
    --access allow \
    --priority 200

创建网络接口

使用 az network nic create 为虚拟机创建网络接口。

az network nic create \
    --name nic-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --private-ip-address-version IPv4 

将 IPv6 添加到网络接口

为了支持 IPv6，虚拟机必须将 IPv6 网络配置添加到网络接口。 IPv6 不能是虚拟机网络接口的主 IP 配置。 有关详细信息，请参阅 IPv6 概述。

使用 az network nic ip-config create 将 IPv6 配置添加到网络接口。

az network nic ip-config create \
    --name ipconfig-ipv6 \
    --nic-name nic-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --private-ip-address-version IPv6

创建虚拟机

使用 az vm create 创建虚拟机。

az vm create \
    --resource-group test-rg \
    --name vm-1 \
    --image Ubuntu2204 \
    --admin-username azureuser \
    --authentication-type password \
    --nics nic-1    

1. 在门户顶部的搜索框中，输入“负载均衡器”。 在搜索结果中选择“负载均衡器”。

2. 选择“+ 新建”。

3. 在“创建负载均衡器”的“基本信息”选项卡中，输入或选择以下信息：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择“test-rg”。
   实例详细信息
   名称	输入 load-balancer。
   区域	选择“中国北部 3”。
   SKU	保留默认值“标准”。
   类型	选择“公共”。

4. 选择“下一步: 前端 IP 配置”。

5. 选择“+ 添加前端 IP 配置”。

6. 在“添加前端 IP 配置”中，输入或选择以下信息：

   设置	值
   名称	输入 frontend-ipv6。
   IP 版本	选择“IPv6”。
   IP 类型	选择“IP 地址”。
   公共 IP 地址	选择“新建”。 在“名称”中输入 public-ip-ipv6。 选择“确定”。

7. 选择 添加 。

8. 选择“下一步: 后端池”。

9. 选择“+ 添加后端池”。

10. 在“添加后端池”中，输入或选择以下信息：

    设置	值
    名称	输入 backend-pool。
    虚拟网络	选择 vnet-1 (test-rg)。
    后端池配置	保留默认值“NIC”。

11. 选择“保存”。

12. 选择“下一步: 入站规则”，然后选择“下一步: 出站规则”。

13. 选择“添加出站规则”。

14. 在“添加出站规则”中，输入或选择以下信息：

    设置	值
    名称	输入 outbound-rule。
    IP 版本	选择“IPv6”。
    前端 IP 地址	选择 frontend-ipv6。
    协议	保留默认值“全部”。
    空闲超时（分钟）	保留默认值“4”。
    TCP 重置	保留默认值“启用”。
    后端池	选择“backend-pool”。
    端口分配
    端口分配	选择“手动选择出站端口数”。
    出站端口
    选择依据	选择“每个实例的端口数”。
    每个实例的端口数	输入“20000”。

15. 选择 添加 。

16. 选择“查看 + 创建” 。

17. 选择“创建”。

等待负载均衡器完成部署，然后再继续执行后续步骤。

将虚拟机添加到负载均衡器

1. 在门户顶部的搜索框中，输入“负载均衡器”。 在搜索结果中选择“负载均衡器”。

2. 选择“load-balancer”。

3. 在“设置”中，选择“后端池”。

4. 选择“backend-pool”。

5. 在“虚拟网络”中选择“vnet-1 (test-rg)”。

6. 在“IP 配置”中，选择“+ 添加”。

7. 选中与“ipconfig-ipv6”的“IP 配置”对应的 vm-1 的复选框。 不要选择“ipconfig1”。

8. 选择 添加 。

9. 选择“保存”。

使用 az network public-ip create 为负载均衡器的前端 IP 地址创建公共 IPv6 地址。

az network public-ip create \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --sku standard \
    --version IPv6 \
    --zone 1 2 3

使用 az network lb create 创建负载均衡器。

az network lb create \
    --name load-balancer \
    --resource-group test-rg \
    --backend-pool-name backend-pool \
    --frontend-ip-name frontend-ipv6 \
    --location chinanorth3 \
    --public-ip-address public-ip-ipv6 \
    --sku standard

使用 az network lb outbound-rule create 为负载均衡器的后端池创建出站规则。 该出站规则为负载均衡器后端池中的虚拟机启用出站连接。

az network lb outbound-rule create \
    --address-pool backend-pool \
    --frontend-ip-configs frontend-ipv6 \
    --lb-name load-balancer \
    --name outbound-rule \
    --protocol All \
    --resource-group test-rg \
    --outbound-ports 20000 \
    --enable-tcp-reset true

将虚拟机添加到负载均衡器

使用 az network nic ip-config address-pool add 将虚拟机的网络接口添加到负载均衡器的后端池。

az network nic ip-config address-pool add \
    --address-pool backend-pool \
    --ip-config-name ipconfig-ipv6 \
    --nic-name nic-1 \
    --resource-group test-rg \
    --lb-name load-balancer

1. 在门户顶部的搜索框中，输入“公共 IP 地址”。 在搜索结果中，选择“公共 IP 地址”。

2. 选择“public-ip-nat”。

3. 记下“IP 地址”中的地址。 在此示例中，它是 20.230.191.5。

4. 返回到“公共 IP 地址”。

5. 选择“public-ip-ipv6”。

6. 记下“IP 地址”中的地址。 在此示例中，它是 2603:1030:c02:8::14。

使用 az network public-ip show 获取 IPv4 和 IPv6 公共 IP 地址。

IPv4

az network public-ip show \
    --resource-group test-rg \
    --name public-ip-nat \
    --query ipAddress \
    --output tsv

azureuser@Azure:~$ az network public-ip show \
    --resource-group test-rg \
    --name public-ip-nat \
    --query ipAddress \
    --output tsv
40.90.217.214

IPv6

az network public-ip show \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --query ipAddress \
    --output tsv

azureuser@Azure:~$ az network public-ip show \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --query ipAddress \
    --output tsv
2603:1030:c04:3::4d

1. 登录到 Azure 门户。

2. 在门户顶部的搜索框中，输入“虚拟机”。 在搜索结果中，选择“虚拟机”。

3. 选择 vm-1。

4. 在“vm-1”的“概述”中选择“连接”，然后选择“Bastion”。 选择“使用 Bastion”

5. 输入在创建虚拟机时指定的用户名和密码。

6. 选择“连接”。

7. 在命令行中，输入以下命令以验证 IPv4 地址。

   curl -4 icanhazip.com
   

   azureuser@vm-1:~$ curl -4 icanhazip.com
   20.230.191.5
   

8. 在命令行中，输入以下命令以验证 IPv4 地址。

   curl -6 icanhazip.com
   

   azureuser@vm-1:~$ curl -6 icanhazip.com
   2603:1030:c02:8::14
   

9. 关闭与“vm-1”的 Bastion 连接。

1. 登录到 Azure 门户。

2. 在门户顶部的搜索框中，输入“虚拟机”。 在搜索结果中，选择“虚拟机”。

3. 选择 vm-1。

4. 在“vm-1”的“概述”中选择“连接”，然后选择“Bastion”。 选择“使用 Bastion”

5. 输入在创建虚拟机时指定的用户名和密码。

6. 选择“连接”。

7. 在命令行中，输入以下命令以验证 IPv4 地址。

   curl -4 icanhazip.com
   

   azureuser@vm-1:~$ curl -4 icanhazip.com
   40.90.217.214
   

8. 在命令行中，输入以下命令以验证 IPv4 地址。

   curl -6 icanhazip.com
   

   azureuser@vm-1:~$ curl -6 icanhazip.com
   2603:1030:c04:3::4d
   

9. 关闭与“vm-1”的 Bastion 连接。

1. 在 Azure 门户中，搜索并选择“资源组”。

2. 在“资源组”页上，选择“test-rg”资源组。

3. 在“test-rg”页上，选择“删除资源组”。

4. 在“输入资源组名称以确认删除”中输入“test-rg”，然后选择“删除”。

使用 az group delete 删除资源组及其包含的资源。

az group delete \
    --name test-rg