为用户 VPN 配置 Azure Active Directory 身份验证Configure Azure Active Directory authentication for User VPN

本文介绍如何为虚拟 WAN 中的用户 VPN 配置 Azure AD 身份验证,以通过 OpenVPN VPN 连接与 Azure 中的资源建立连接。This article shows you how to configure Azure AD authentication for User VPN in Virtual WAN to connect to your resources in Azure over an OpenVPN VPN connection. Azure Active Directory 身份验证仅适用于使用 OpenVPN 协议的网关以及运行 Windows 的客户端。Azure Active Directory authentication is only available for gateways using OpenVPN protocol and clients running Windows.

此类连接要求在客户端计算机上配置一个客户端。This type of connection requires a client to be configured on the client computer. 有关虚拟 WAN 的详细信息,请参阅虚拟 WAN 概述For more information about Virtual WAN, see the Virtual WAN Overview.

在本文中,学习如何:In this article, you learn how to:

  • 创建虚拟 WANCreate a Virtual WAN
  • 创建虚拟中心Create a Virtual Hub
  • 创建用户 VPN 配置Create a User VPN configuration
  • 下载虚拟 WAN 用户 VPN 配置文件Download a Virtual WAN User VPN profile
  • 将用户 VPN 配置应用于虚拟中心Apply User VPN configuration to a Virtual Hub
  • 将 VNet 连接到虚拟中心Connect a VNet to a Virtual Hub
  • 下载并应用用户 VPN 客户端配置Download and apply the User VPN client configuration
  • 查看虚拟 WANView your Virtual WAN

虚拟 WAN 示意图

开始之前Before you begin

在开始配置之前,请验证你是否符合以下条件:Verify that you have met the following criteria before beginning your configuration:

  • 你拥有一个要连接到的虚拟网络。You have a virtual network that you want to connect to. 确认本地网络的任何子网都不会与要连接到的虚拟网络重叠。Verify that none of the subnets of your on-premises networks overlap with the virtual networks that you want to connect to. 要在 Azure 门户中创建虚拟网络,请参阅快速入门To create a virtual network in the Azure portal, see the Quickstart.

  • 虚拟网络不包含任何虚拟网络网关。Your virtual network does not have any virtual network gateways. 如果虚拟网络包含网关(VPN 或 ExpressRoute),则必须删除所有网关。If your virtual network has a gateway (either VPN or ExpressRoute), you must remove all gateways. 此配置要求将虚拟网络改为连接到虚拟 WAN 中心网关。This configuration requires that virtual networks are connected instead, to the Virtual WAN hub gateway.

  • 获取中心区域的 IP 地址范围。Obtain an IP address range for your hub region. 该中心是虚拟 WAN 创建和使用的虚拟网络。The hub is a virtual network that is created and used by Virtual WAN. 为中心指定的地址范围不能与要连接到的任何现有虚拟网络重叠。The address range that you specify for the hub cannot overlap with any of your existing virtual networks that you connect to. 此外,它也不能与本地连接到的地址范围重叠。It also cannot overlap with your address ranges that you connect to on premises. 如果不熟悉本地网络配置中的 IP 地址范围,则咨询能够提供此类详细信息的人员。If you are unfamiliar with the IP address ranges located in your on-premises network configuration, coordinate with someone who can provide those details for you.

  • 如果没有 Azure 订阅,请创建一个试用帐户If you don't have an Azure subscription, create a trial account.

创建虚拟 WANCreate a Virtual WAN

从浏览器导航到 Azure 门户并使用 Azure 帐户登录。From a browser, navigate to the Azure portal and sign in with your Azure account.

  1. 导航到“虚拟 WAN”页。Navigate to the Virtual WAN page. 在门户中,单击“+创建资源”。In the portal, click +Create a resource. 在搜索框中键入“虚拟 WAN”,然后选择 Enter。Type Virtual WAN into the search box and select Enter.

  2. 从结果中选择“虚拟 WAN”。Select Virtual WAN from the results. 在“虚拟 WAN”页上,单击“创建”以打开“创建 WAN”页。On the Virtual WAN page, click Create to open the Create WAN page.

  3. 在“创建 WAN”页的“基本信息”选项卡上,填写以下字段 :On the Create WAN page, on the Basics tab, fill in the following fields:

    虚拟 WAN

    • 订阅 - 选择要使用的订阅。Subscription - Select the subscription that you want to use.
    • 资源组 - 新建资源组或使用现有的资源组。Resource group - Create new or use existing.
    • 资源组位置 - 从下拉列表中选择资源位置。Resource group location - Choose a resource location from the dropdown. WAN 是一个全局资源,不会驻留在某个特定区域。A WAN is a global resource and does not live in a particular region. 但是,必须选择一个区域才能更轻松地管理和查找所创建的 WAN 资源。However, you must select a region in order to more easily manage and locate the WAN resource that you create.
    • 名称 - 键入要用于称呼 WAN 的名称。Name - Type the Name that you want to call your WAN.
    • 类型: 标准。Type: Standard. 如果创建基本 WAN,则只能创建基本中心。If you create a Basic WAN, you can create only a Basic hub. 基本中心仅支持 VPN 站点到站点连接。Basic hubs are capable of VPN site-to-site connectivity only.
  4. 填写完字段后,单击“审阅 + 创建”。After you finish filling out the fields, select Review +Create.

  5. 验证通过后,选择“创建”以创建虚拟 WAN。After validation passes, select Create to create the virtual WAN.

创建空虚拟中心Create an empty Virtual hub

  1. 在虚拟 WAN 下选择“中心”,然后单击“+新建中心”。Under your Virtual WAN, select Hubs and click +New Hub.

    屏幕截图显示了中心配置对话框,其中已选择“新建中心”。

  2. 在“创建虚拟中心”页上,请填写以下字段。On the create virtual hub page, fill in the following fields.

    区域 - 选择要在其中部署虚拟中心的区域。Region - Select the region that you want to deploy the virtual hub in.

    名称 - 输入要用于称呼虚拟中心的名称。Name - Enter the name that you want to call your virtual hub.

    中心专用地址空间 - 用 CIDR 表示法来表示的中心地址范围。Hub private address space - The hub's address range in CIDR notation.

    屏幕截图显示了可以在其中输入值的“新建虚拟中心”窗格。

  3. 单击“查看 + 创建”。Click Review + create.

  4. 在“验证已通过”页上,单击“创建”。 On the validation passed page, click create.

新建用户 VPN 配置Create a new User VPN configuration

用户 VPN 配置定义连接远程客户端的参数。A User VPN configuration defines the parameters for connecting remote clients.

  1. 在虚拟 WAN 下,选择“用户 VPN 配置”。Under your virtual WAN, select User VPN configurations.

    屏幕截图显示了已选择“用户 VPN 配置”菜单项。

  2. 单击“+创建用户 VPN 配置”。click +Create user VPN config.

    屏幕截图显示了“创建用户 VPN 配置”链接。

  3. 输入信息,然后单击“创建”。Enter the information and click Create.

    • 配置名称 - 输入要用来调用用户 VPN 配置的名称。Configuration name - Enter the name you want to call your User VPN Configuration.
    • 隧道类型 - 选择“OpenVPN”。Tunnel type - Select OpenVPN.
    • 身份验证方法 - 选择“Azure Active Directory”。Authentication method - Select Azure Active Directory.
    • 受众 - 键入在 Azure AD 租户中注册的 Azure VPN 企业应用程序的应用程序 ID。Audience - Type in the Application ID of the Azure VPN Enterprise Application registered in your Azure AD tenant.
    • 颁发者 - https://sts.chinacloudapi.cn/<your Directory ID>/Issuer - https://sts.chinacloudapi.cn/<your Directory ID>/
    • AAD 租户 - https://login.chinacloudapi.cn/<your Directory ID>AAD Tenant - https://login.chinacloudapi.cn/<your Directory ID>

    屏幕截图显示了可在其中输入值的“新建用户 VPN 配置”窗格。

编辑中心分配Edit hub assignment

  1. 导航到虚拟 WAN 下的“中心”边栏选项卡。 Navigate to the Hubs blade under the virtual WAN.

  2. 选择要将 VPN 服务器配置关联到的中心,然后单击省略号图标 (...)。Select the hub that you want to associate the vpn server configuration to and click the ellipsis (...).

    屏幕截图显示从菜单选择了“编辑虚拟中心”。

  3. 单击“编辑虚拟中心”。Click Edit virtual hub.

  4. 选中“包括点到站点网关”复选框,然后选择所需的网关缩放单元。Check the Include point-to-site gateway check box and pick the Gateway scale unit that you want.

    屏幕截图显示“编辑虚拟中心”对话框,可在该对话框中选择网关缩放单元。

  5. 输入用于为 VPN 客户端分配 IP 地址的“地址池” 。Enter the Address pool from which the VPN clients will be assigned IP addresses.

  6. 单击“确认” 。Click Confirm.

  7. 完成此操作最多需要 30 分钟。The operation will can take up to 30 minutes to complete.

下载用户 VPN 配置文件Download User VPN profile

使用 VPN 配置文件来配置客户端。Use the VPN profile to configure your clients.

  1. 在虚拟 WAN 的页面上,单击“用户 VPN 配置”。On the page for your Virtual WAN, click User VPN configurations.
  2. 在页面顶部,单击“下载用户 VPN 配置”。At the top of the page, click Download user VPN config.
  3. 完成创建文件后,可以单击相应的链接下载该文件。Once the file has finished creating, you can click the link to download it.
  4. 使用此配置文件配置 VPN 客户端。Use the profile file to configure the VPN clients.

配置用户 VPN 客户端Configure user VPN clients

若要进行连接,需要下载 Azure VPN 客户端,并在要连接到 VNet 的每台计算机上导入在前面步骤中下载的 VPN 客户端配置文件。To connect, you need to download the Azure VPN Client and import the VPN client profile that was downloaded in the previous steps on every computer that wants to connect to the VNet.

备注

仅 OpenVPN® 协议连接支持 Azure AD 身份验证。Azure AD authentication is supported only for OpenVPN® protocol connections.

下载 Azure VPN 客户端To download the Azure VPN client

使用此链接下载 Azure VPN 客户端。Use this link to download the Azure VPN Client.

导入客户端配置文件To import a client profile

  1. 在页面上,选择“导入”。 On the page, select Import.

    屏幕截图显示从加号菜单选择了“导入”。

  2. 浏览到 XML 配置文件并将其选中。Browse to the profile xml file and select it. 选择该文件后,选择“打开”。 With the file selected, select Open.

    屏幕截图显示了“打开”对话框,你可在其中选择文件。

  3. 指定配置文件的名称,并选择“保存”。 Specify the name of the profile and select Save.

    屏幕截图显示已添加“连接名称”并且已选择“保存”按钮。

  4. 选择“连接”以连接到 VPN。 Select Connect to connect to the VPN.

    屏幕截图显示了刚刚创建的连接的“连接”按钮。

  5. 连接后,图标将变为绿色并指示“已连接”。 Once connected, the icon will turn green and say Connected.

    屏幕截图显示了处于“已连接”状态的连接以及用于断开连接的选项。

删除客户端配置文件To delete a client profile

  1. 选择要删除的客户端配置文件旁边的省略号图标 (...)。Select the ellipsis (...) next to the client profile that you want to delete. 然后选择“删除” 。Then, select Remove.

    屏幕截图显示从菜单选择了“删除”。

  2. 选择“删除”以删除配置文件。 Select Remove to delete.

    屏幕截图显示了一个确认对话框,其中包含“删除”或“取消”选项。

诊断连接问题Diagnose connection issues

  1. 若要诊断连接问题,可以使用“诊断”工具。 To diagnose connection issues, you can use the Diagnose tool. 选择要诊断的 VPN 连接旁边的省略号图标 (...) 以显示菜单。Select the ellipsis (...) next to the VPN connection that you want to diagnose to reveal the menu. 然后选择“诊断”。 Then select Diagnose.

    屏幕截图显示从菜单选择了“诊断”。

  2. 在“连接属性”页上,选择“运行诊断”。 On the Connection Properties page, select Run Diagnosis.

    屏幕截图显示连接的“运行诊断”按钮。

  3. 使用凭据登录。Sign in with your credentials.

    屏幕截图显示此操作的“登录”对话框。

  4. 查看诊断结果。View the diagnosis results.

    屏幕截图显示诊断结果。

查看虚拟 WANView your virtual WAN

  1. 导航到虚拟 WAN。Navigate to the virtual WAN.
  2. 在“概述”页上,地图中的每个点表示一个中心。On the Overview page, each point on the map represents a hub.
  3. 在“中心和连接”部分,可以查看中心状态、站点、区域、VPN 连接状态和传入与传出字节数。In the Hubs and connections section, you can view hub status, site, region, VPN connection status, and bytes in and out.

清理资源Clean up resources

不再需要这些资源时,可以使用 Remove-AzResourceGroup 删除资源组及其包含的所有资源。When you no longer need these resources, you can use Remove-AzResourceGroup to remove the resource group and all of the resources it contains. 将“myResourceGroup”替换为资源组的名称,并运行以下 PowerShell 命令:Replace "myResourceGroup" with the name of your resource group and run the following PowerShell command:

Remove-AzResourceGroup -Name myResourceGroup -Force

后续步骤Next steps

若要详细了解虚拟 WAN,请参阅虚拟 WAN 概述页。To learn more about Virtual WAN, see the Virtual WAN Overview page.