创建、更改或删除虚拟网络对等互连

了解如何创建、更改或删除虚拟网络对等互连。 虚拟网络对等互连可以通过 Azure 主干网络连接同一区域或不同区域的虚拟网络(也称为全局 VNet 对等互连)。 对等互连后,这些虚拟网络仍将作为单独的资源进行管理。 如果不熟悉虚拟网络对等互连,可以通过阅读虚拟网络对等互连概述或完成虚拟网络对等互连教程来了解其详细信息。

先决条件

如果没有具备有效订阅的 Azure 帐户,请创建一个试用帐户。 在开始学习本文的余下内容之前,请完成以下任务之一:

  • 门户用户:使用具有所需权限的 Azure 帐户登录 Azure 门户,以处理对等互连。

  • PowerShell 用户:在计算机本地运行 PowerShell。

    如果在本地运行 PowerShell,请使用 Azure PowerShell 模块 1.0.0 或更高版本。 运行 Get-Module -ListAvailable Az.Network 查找已安装的版本。 如果需要进行安装或升级,请参阅安装 Azure PowerShell 模块。 运行 Connect-AzAccount -Environment AzureChinaCloud 以使用具有所需权限的帐户登录 Azure,以处理 VNet 对等互连。

  • Azure CLI 用户:在计算机本地运行 Azure CLI。

    如果在本地运行 Azure CLI,请使用 Azure CLI 2.0.31 或更高版本。 运行 az --version 查找已安装的版本。 如果需要进行安装或升级,请参阅安装 Azure CLI。 运行 az login 以使用具有所需权限的帐户登录 Azure,以处理 VNet 对等互连。

必须将登录或连接到 Azure 所用的帐户分配给网络参与者角色或分配有“权限”中所列适当操作的自定义角色

创建对等互连

创建对等互连之前,请熟悉要求和约束以及所需权限

  1. 在 Azure 门户顶部的搜索框中,输入“虚拟网络”。 当“虚拟网络”出现在搜索结果中时,请将其选中。 不要选择“虚拟网络(经典)”,因为无法从通过经典部署模型部署的虚拟网络创建对等互连。

    搜索虚拟网络的屏幕截图。

  2. 从列表中选择要为其创建对等的虚拟网络。

    从“虚拟网络”页选择 VNetA 的屏幕截图。

  3. 选择“设置”下的“对等互连”,然后选择“+ 添加”。

    VNetA 的“对等互连”页的屏幕截图。

  4. 为以下设置输入或选择值,然后选择“添加”。

    设置 说明
    此虚拟网络
    对等互连链接名称 此虚拟网络上的对等互连的名称。 名称在虚拟网络中必须唯一。
    到远程虚拟网络的流量 - 如果要通过默认的 VirtualNetwork 流来启用两个虚拟网络之间的通信,请选择“允许(默认)”。 启用虚拟网络之间的通信允许连接到任一虚拟网络的资源通过 Azure 专用网络相互通信。 此设置设置为“允许”时,网络安全组的 VirtualNetwork 服务标记中包含虚拟网络和对等互连的虚拟网络。 若要详细了解服务标记,请参阅 Azure 服务标记
    - 如果不希望流量默认流向对等互连的虚拟网络,请选择“阻止到远程虚拟网络的所有流量”。 如果在两个虚拟网络之间有对等互连,但偶尔想要禁用两者之间的默认流量流动,则可以选择此设置。 你会发现,启用/禁用比删除并重新创建对等互连更加方便。 选择此设置后,默认情况下,流量不会在对等互连的虚拟网络之间流动;但是,如果通过网络安全组规则(包括相应的 IP 地址或应用程序安全组)显式允许流量流动,则流量可能仍会流动。

    注意:选择“阻止到远程虚拟网络的所有流量”设置仅更改 VirtualNetwork 服务标记的定义。此设置不会完全阻止跨对等连接的流量流,如此设置的说明中所述。
    从远程虚拟网络转接的流量 如果希望远程虚拟网络中通过网络虚拟设备转发的(不是从该虚拟网络发起的)流量通过对等互连流动到此远程虚拟网络,则选择“允许(默认)”。 例如,假设有名为 Spoke1、Spoke2 和 Hub 的三个虚拟网络。 每个辐射虚拟网络与中心虚拟网络之间存在一个对等互连,但各个辐射虚拟网络之间不存在对等互连。 一个网络虚拟设备部署在中心虚拟网络中,用户定义的路由应用于通过该网络虚拟设备在各个子网之间路由流量的每个辐射虚拟网络。 如果没有为每个辐射虚拟网络与中心虚拟网络之间的对等互连选择此设置,则流量不会在各个辐射虚拟网络之间流动,因为中心不会在各个虚拟网络之间转发流量。 虽然启用此功能可允许通过对等互连转发流量,但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。 了解用户定义的路由

    注意:如果流量通过 Azure VPN 网关在虚拟网络之间转发,则无需选择此设置。
    虚拟网络网关 选择“使用此虚拟网络的网关”:
    如果在此虚拟网络中部署了虚拟网络网关,并且希望允许来自对等互连的虚拟网络的流量流经该网关。 例如,此虚拟网络可以通过虚拟网关附加到本地网络。 网关可以是 ExpressRoute 或 VPN 网关。 选中此设置将允许来自对等互连虚拟网络的流量通过部署在此虚拟网络中的网关流动到本地网络。

    如果选择“使用此虚拟网络的网关”,则对等互连的虚拟网络不能配置网关。 在设置从其他虚拟网络到此虚拟网络的对等互连时,对等互连的虚拟网络必须选择“使用远程虚拟网络的网关”。 如果保留此设置为“无(默认)”,则来自对等互连虚拟网络的流量仍可流动到此虚拟网络,但无法流经部署在此虚拟网络中的虚拟网络网关。 如果在虚拟网络(资源管理器)和虚拟网络(经典)之间进行对等互连,则网关必须位于虚拟网络(资源管理器)中。

    除了将流量转发到本地网络之外,VPN 网关还可以在与该网关所在的虚拟网络对等互连的虚拟网络之间转发网络流量,各个虚拟网络不需要都彼此对等互连。 如果希望在中心(请参阅为允许转发的流量描述的中心和辐射示例)虚拟网络中使用 VPN 网关在未彼此对等互连的辐射虚拟网络之间路由流量,则使用 VPN 网关转发流量非常有用。 若要了解有关允许使用网关进行传输的详细信息,请参阅配置 VPN 网关以在虚拟网络对等互连中传输。 此方案要求实现用户定义的路由来将虚拟网络网关指定为下一跃点类型。 了解用户定义的路由。 只能将 VPN 网关指定为用户定义的路由中的下一跃点类型,不能将 ExpressRoute 网关指定为用户定义的路由中的下一跃点类型。

    选择“使用远程虚拟网络网关”:
    如果你希望允许来自此虚拟网络的流量流经附加到与之对等互连的虚拟网络的虚拟网络网关。 例如,要与之对等互连的虚拟网络有一个 VPN 网关,可实现与本地网络的通信。 选中此设置可允许来自此虚拟网络的流量流经对等互连虚拟网络中的 VPN 网关。

    如果选择此设置,对等互连的虚拟网络必须部署一个虚拟网络网关,并且必须选择“使用此虚拟网络的网关”设置。 如果保留此设置为“无(默认)”,则来自此虚拟网络的流量仍可流动到对等互连的虚拟网络,但无法流经附加到对等互连虚拟网络中的虚拟网络网关。 此虚拟网络只有一个对等互连可以启用此设置。

    注意:如果已经在虚拟网络中配置了网关,则不能使用远程网关。要了解有关使用网关进行传输的详细信息,请参阅在虚拟网络对等互连中配置 VPN 网关以进行传输
    远程虚拟网络
    对等互连链接名称 远程虚拟网络上的对等互连的名称。 名称在虚拟网络中必须唯一。
    虚拟网络部署模型 选择要对等互连的虚拟网络是通过哪种部署模型来进行部署的。
    我知道我的资源 ID 如果对要进行对等互连的虚拟网络拥有读取访问权限,请保留取消选中此复选框。 如果对要与之对等互连的虚拟网络或订阅没有读取访问权限,则选中此复选框。 在选中此复选框时显示的“资源 ID”框中输入要与之对等互连的虚拟网络的完整资源 ID。 输入的虚拟网络资源 ID 必须与此虚拟网络位于同一 Azure 区域,或受支持的不同 Azure 区域。 完整资源 ID 类似于 /subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name>。 可以通过查看虚拟网络的属性,获取虚拟网络的资源 ID。 若要了解如何查看虚拟网络的属性,请参阅管理虚拟网络。 如果订阅关联的 Azure Active Directory 租户和你要进行对等互连的虚拟网络的订阅不同,则首先将每个租户中的一名用户添加为对方租户中的来宾用户
    资源 ID 选中“我知道我的资源 ID”复选框时,将显示此字段。 输入的虚拟网络资源 ID 必须与此虚拟网络位于同一 Azure 区域,或受支持的不同 Azure 区域。 完整资源 ID 类似于 /subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name>。 可以通过查看虚拟网络的属性,获取虚拟网络的资源 ID。 若要了解如何查看虚拟网络的属性,请参阅管理虚拟网络。 如果订阅关联的 Azure Active Directory 租户和你要进行对等互连的虚拟网络的订阅不同,则首先将每个租户中的一名用户添加为对方租户中的来宾用户
    订阅 选择要进行对等互连的虚拟网络的订阅。 将列出一个或多个订阅,具体取决于帐户可以通过读取方式访问多少个订阅。 如果选中“我知道我的资源 ID”复选框,则此设置不可用。
    虚拟网络 选择要进行对等互连的虚拟网络。 可以选择通过任一 Azure 部署模型创建的虚拟网络。 如果要选择不同区域中的虚拟网络,必须选择受支持区域中的虚拟网络。 必须能够通过读取方式访问虚拟网络,该虚拟网络才会显示在列表中。 如果列出了某个虚拟网络,但显示为灰色,则可能是因为该虚拟网络的地址空间与此虚拟网络的地址空间重叠。 如果虚拟网络地址空间重叠,则它们无法进行对等互连。 如果选中“我知道我的资源 ID”复选框,则此设置不可用。
    到远程虚拟网络的流量 - 如果要通过默认的 VirtualNetwork 流来启用两个虚拟网络之间的通信,请选择“允许(默认)”。 启用虚拟网络之间的通信允许连接到任一虚拟网络的资源通过 Azure 专用网络相互通信。 此设置设置为“允许”时,网络安全组的 VirtualNetwork 服务标记中包含虚拟网络和对等互连的虚拟网络。 若要详细了解服务标记,请参阅 Azure 服务标记
    - 如果不希望流量默认流向对等互连的虚拟网络,请选择“阻止到远程虚拟网络的所有流量”。 如果在两个虚拟网络之间有对等互连,但偶尔想要禁用两者之间的默认流量流动,则可以选择此设置。 你会发现,启用/禁用比删除并重新创建对等互连更加方便。 选择此设置后,默认情况下,流量不会在对等互连的虚拟网络之间流动;但是,如果通过网络安全组规则(包括相应的 IP 地址或应用程序安全组)显式允许流量流动,则流量可能仍会流动。

    注意:选择“阻止到远程虚拟网络的所有流量”设置仅更改 VirtualNetwork 服务标记的定义。此设置不会完全阻止跨对等连接的流量流,如此设置的说明中所述。
    从远程虚拟网络转接的流量 如果希望远程虚拟网络中通过网络虚拟设备转发的(不是从该虚拟网络发起的)流量通过对等互连流动到此远程虚拟网络,则选择“允许(默认)”。 例如,假设有名为 Spoke1、Spoke2 和 Hub 的三个虚拟网络。 每个辐射虚拟网络与中心虚拟网络之间存在一个对等互连,但各个辐射虚拟网络之间不存在对等互连。 一个网络虚拟设备部署在中心虚拟网络中,用户定义的路由应用于通过该网络虚拟设备在各个子网之间路由流量的每个辐射虚拟网络。 如果没有为每个辐射虚拟网络与中心虚拟网络之间的对等互连选择此设置,则流量不会在各个辐射虚拟网络之间流动,因为中心不会在各个虚拟网络之间转发流量。 虽然启用此功能可允许通过对等互连转发流量,但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。 了解用户定义的路由

    注意:如果流量通过 Azure VPN 网关在虚拟网络之间转发,则无需选择此设置。
    虚拟网络网关 选择“使用此虚拟网络的网关”:
    如果在此虚拟网络中部署了虚拟网络网关,并且希望允许来自对等互连的虚拟网络的流量流经该网关。 例如,此虚拟网络可以通过虚拟网关附加到本地网络。 网关可以是 ExpressRoute 或 VPN 网关。 选中此设置将允许来自对等互连虚拟网络的流量通过部署在此虚拟网络中的网关流动到本地网络。

    如果选择“使用此虚拟网络的网关”,则对等互连的虚拟网络不能配置网关。 在设置从其他虚拟网络到此虚拟网络的对等互连时,对等互连的虚拟网络必须选择“使用远程虚拟网络的网关”。 如果保留此设置为“无(默认)”,则来自对等互连虚拟网络的流量仍可流动到此虚拟网络,但无法流经部署在此虚拟网络中的虚拟网络网关。 如果在虚拟网络(资源管理器)和虚拟网络(经典)之间进行对等互连,则网关必须位于虚拟网络(资源管理器)中。

    除了将流量转发到本地网络之外,VPN 网关还可以在与该网关所在的虚拟网络对等互连的虚拟网络之间转发网络流量,各个虚拟网络不需要都彼此对等互连。 如果希望在中心(请参阅为允许转发的流量描述的中心和辐射示例)虚拟网络中使用 VPN 网关在未彼此对等互连的辐射虚拟网络之间路由流量,则使用 VPN 网关转发流量非常有用。 若要了解有关允许使用网关进行传输的详细信息,请参阅配置 VPN 网关以在虚拟网络对等互连中传输。 此方案要求实现用户定义的路由来将虚拟网络网关指定为下一跃点类型。 了解用户定义的路由。 只能将 VPN 网关指定为用户定义的路由中的下一跃点类型,不能将 ExpressRoute 网关指定为用户定义的路由中的下一跃点类型。

    选择“使用远程虚拟网络网关”:
    如果你希望允许来自此虚拟网络的流量流经附加到与之对等互连的虚拟网络的虚拟网络网关。 例如,要与之对等互连的虚拟网络有一个 VPN 网关,可实现与本地网络的通信。 选中此设置可允许来自此虚拟网络的流量流经对等互连虚拟网络中的 VPN 网关。

    如果选择此设置,对等互连的虚拟网络必须部署一个虚拟网络网关,并且必须选择“使用此虚拟网络的网关”设置。 如果保留此设置为“无(默认)”,则来自此虚拟网络的流量仍可流动到对等互连的虚拟网络,但无法流经附加到对等互连虚拟网络中的虚拟网络网关。 此虚拟网络只有一个对等互连可以启用此设置。

    注意:如果已经在虚拟网络中配置了网关,则不能使用远程网关。要了解有关使用网关进行传输的详细信息,请参阅在虚拟网络对等互连中配置 VPN 网关以进行传输

    “对等互连配置”页的屏幕截图。

    注意

    如果使用虚拟网络网关将本地流量通过可传递的方式发送到对等互连 VNet,则必须将本地 VPN 设备的对等互连 VNet IP 范围设置为“关注”流量。 可能需要将所有 Azure VNet 的 CIDR 地址添加到本地 VPN 设备上的站点到站点 IPSec VPN 隧道配置。 CIDR 地址包括中心、分支和点到站点 IP 地址池等资源。 否则,本地资源将无法与对等互连 VNet 中的资源进行通信。 中间流量通过阶段 2 安全关联进行通信。 安全关联为每个指定的子网创建专用 VPN 隧道。 本地和 Azure VPN 网关层必须支持相同数量的站点到站点 VPN 隧道和 Azure VNet 子网。 否则,本地资源将无法与对等互连 VNet 中的资源进行通信。 有关为每个指定 Azure VNet 子网创建阶段 2 安全关联的说明,请参阅本地 VPN 文档。

  5. 几秒钟后,选择“刷新”按钮,对等连接状态将从“正在更新”更改为“已连接”。

    对等互连页上的虚拟网络对等互连状态的屏幕截图。

有关在不同订阅和部署模型中的虚拟网络之间实现对等互连的分步说明,请参阅后续步骤

查看或更改对等互连设置

更改对等互连之前,请熟悉要求和约束以及所需权限

  1. 选择要查看或更改其对等互连设置的虚拟网络。

    订阅中虚拟网络列表的屏幕截图。

  2. 在“设置”下选择“对等互连”,然后选择要查看或更改其设置的对等互连。

    选择要从虚拟网络中更改设置的对等互连的屏幕截图。

  3. 更改相应的设置。 针对每个设置的相关选项,请参阅“创建对等互连”部分的第 4 步。 然后选择“保存”,以完成配置更改。

    更改虚拟网络对等互连设置的屏幕截图。

删除对等互连

删除对等互连之前,请熟悉要求和约束以及所需权限

删除两个虚拟网络之间的对等互连后,流量便不能再在这两个虚拟网络之间流动。 如果希望虚拟网络偶尔进行通信,而非始终通信,与其删除对等互连,不如将“到远程虚拟网络的流量”设置设为“阻止到远程虚拟网络的所有流量”。 你会发现,禁用和启用网络访问比删除并重新创建对等互连更加容易。

  1. 从列表中选择要为其删除对等的虚拟网络。

    在订阅中选择虚拟网络的屏幕截图。

  2. 在“设置”下,选择“对等互连”

    选择要从虚拟网络中删除的对等互连的屏幕截图。

  3. 在要删除的对等互连的右侧,选择“...”,然后选择“删除”。

    从虚拟网络中删除对等互连的屏幕截图。

  4. 选择“是”以确认要删除对等互连和对应的对等机。

    确认删除对等互连的屏幕截图。

    注意

    从虚拟网络中删除虚拟网络对等互连时,也会删除远程虚拟网络中的对等互连。

要求和约束

  • 可在相同区域或不同区域中的虚拟网络之间建立对等互连。 不同区域中的对等互连虚拟网络也称为“全局 VNet 对等互连”。

  • 创建全局对等互连时,对等虚拟网络可以存在于任何 Azure 中国云区域中 。 不能跨云进行对等互连。 例如,Azure 公有云中的 VNet 不能与 Azure 中国云中的 VNet 对等互连。

  • 一个虚拟网络中的资源无法与全局对等互连虚拟网络中基本内部负载均衡器的前端 IP 地址通信。 对基本负载均衡器的支持仅存在于同一区域内。 VNet 对等互连和全局 VNet 对等互连都支持标准负载均衡器。 使用基本负载均衡器的某些服务无法通过全局虚拟网络对等互连正常工作。 有关详细信息,请参阅与全局 VNet 对等互连和负载均衡器相关的约束

  • 可以使用远程网关或允许全局对等虚拟网络和本地对等虚拟网络中的网关传输。

  • 虚拟网络可以位于相同或不同的订阅中。 对位于不同订阅中的虚拟网络执行对等设置时,两个订阅可以关联到同一 Azure Active Directory 租户。 如果还没有 AD 租户,可以创建一个

  • 进行对等互连的虚拟网络的 IP 地址空间不得重叠。

  • 可以对等互连两个通过 Resource Manager 部署的虚拟网络,或对等互连一个通过 Resource Manager 部署的虚拟网络与一个通过经典部署模型部署的虚拟网络。 不能对等互连两个通过经典部署模型创建的虚拟网络。 如果不熟悉 Azure 部署模型,请阅读了解 Azure 部署模型一文。 可以使用 VPN 网关来连接两个通过经典部署模型创建的虚拟网络。

  • 对等互连两个通过 Resource Manager 创建的虚拟网络时,必须为对等互连中的每个虚拟网络都配置对等互连。 将看到以下类型的对等互连状态之一:

    • 已启动:创建第一个对等互连时,状态为“已启动”。
    • 已连接:创建第二个对等互连时,两个对等互连的对等互连状态变为“已连接”。 直到两个虚拟网络对等互连的对等互连状态均为“已连接”时,对等互连才成功建立。
  • 将一个通过 Resource Manager 创建的虚拟网络与一个通过经典部署模型创建的虚拟网络对等互连时,只需为通过 Resource Manager 部署的虚拟网络配置对等互连。 无法为虚拟网络(经典)配置对等互连,或在两个通过经典部署模型部署的虚拟网络之间配置对等互连。 创建从 Resource Manager 虚拟网络到经典虚拟网络的对等互连时,对等互连状态先为“正在更新”,随后很快更改为“已连接”。

  • 对等互连是在两个虚拟网络之间建立的。 对等互连本身不是可传递的。 如果在以下虚拟网络之间创建对等互连:

    • VirtualNetwork1 和 VirtualNetwork2

    • VirtualNetwork2 和 VirtualNetwork3

      不会通过 VirtualNetwork2 在 VirtualNetwork1 和 VirtualNetwork3 之间形成连接。 如果希望 VirtualNetwork1 和 VirtualNetwork3 直接通信,则必须在 VirtualNetwork1 和 VirtualNetwork3 之间创建显式对等互连,或者通过中心网络中的 NVA 来通信。

  • 无法使用默认 Azure 名称解析来解析已对等互连的虚拟网络中的名称。 若要解析其他虚拟网络中的名称,必须使用 Azure 专用 DNS,或使用自定义 DNS 服务器。 若要了解如何设置自己的 DNS 服务器,请参阅使用自己的 DNS 服务器进行名称解析

  • 同一区域中对等互连虚拟网络中的资源可以互相之间以相同的延迟进行通信,就如同资源是位于同一个虚拟网络中一样。 网络吞吐量取决于可供虚拟机使用的与其大小成比例的带宽。 对等互连的带宽没有任何其他限制。 每种虚拟机大小都有其自己的最大网络带宽。 若要深入了解不同虚拟机大小的最大网络带宽,请参阅 Azure 中虚拟机的大小

  • 一个虚拟网络可以对等互连到另一个虚拟网络,也可以通过 Azure 虚拟网关连接到另一个虚拟网络。 当虚拟网络同时通过对等互连和网关连接时,虚拟网络的流量会根据对等互连配置流动,而不是通过网关流动。

  • 在成功配置虚拟网络对等互连之后,必须重新下载点到站点 VPN 客户端,以确保将新路由下载到客户端。

  • 对于利用虚拟网络对等互连的入口和出口流量,有少许收费。 有关详细信息,请参阅定价页

权限

必须向以下角色分配用于进行虚拟网络对等互连的帐户:

如果未将帐户分配给上述角色之一,则必须将其分配给分配有下表中的必要操作的自定义角色

操作 名称
Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write 创建从虚拟网络 A 到虚拟网络 B 的对等互连时必需。虚拟网络 A 必须是虚拟网络(资源管理器)
Microsoft.Network/virtualNetworks/peer/action 创建从虚拟网络 B(资源管理器)到虚拟网络 A 的对等互连时必需
Microsoft.ClassicNetwork/virtualNetworks/peer/action 创建从虚拟网络 B(经典)到虚拟网络 A 的对等互连时必需
Microsoft.Network/virtualNetworks/virtualNetworkPeerings/read 读取虚拟网络对等互连
Microsoft.Network/virtualNetworks/virtualNetworkPeerings/delete 删除虚拟网络对等互连

后续步骤

  • 可在通过相同或不同订阅中的相同或不同部署模型创建的虚拟网络之间创建虚拟网络对等互连。 完成适用于以下方案之一的教程:

    Azure 部署模型 订阅
    都是资源管理器模型 相同
    不同
    一个是资源管理器模型,一个是经典模型 相同
    不同
  • 使用 PowerShellAzure CLI 示例脚本或使用 Azure 资源管理器模板创建虚拟网络对等互连

  • 为虚拟网络创建和分配 Azure Policy 定义