使用 Azure 证书身份验证配置点到站点 VPN 连接:Azure 门户

本文介绍如何将运行 Windows、Linux 或 macOS 的单个客户端安全地连接到 Azure VNet。 若要从远程位置连接到 VNet,例如从家里或会议室进行远程通信,则可使用点到站点 VPN。 如果只有一些客户端需要连接到 VNet,也可使用 P2S VPN 来代替站点到站点 VPN。 点到站点连接不需要 VPN 设备或面向公众的 IP 地址。 P2S 基于 SSTP(安全套接字隧道协议)或 IKEv2 创建 VPN 连接。 有关点到站点 VPN 的详细信息,请参阅关于点到站点 VPN

从计算机连接到 Azure VNet - 点到站点连接示意图。

有关点到站点 VPN 的详细信息,请参阅关于点到站点 VPN。 若要使用 Azure PowerShell 创建此配置,请参阅使用 Azure PowerShell 配置点到站点 VPN

点到站点本机 Azure 证书身份验证连接使用在此练习中配置的以下项目:

  • RouteBased VPN 网关。
  • 适用于根证书的公钥(.cer 文件),已上传到 Azure。 上传证书以后,该证书将被视为受信任的证书,用于身份验证。
  • 从根证书生成的客户端证书。 安装在要连接到 VNet 的每个客户端计算机上的客户端证书。 此证书用于客户端身份验证。
  • VPN 客户端配置。 使用 VPN 客户端配置文件配置 VPN 客户端。 这些文件包含客户端连接到 VNet 时所需的信息。 这些文件对操作系统自带的现有 VPN 客户端进行配置。 必须使用配置文件中的设置对进行连接的每个客户端进行配置。

先决条件

确保拥有 Azure 订阅。 如果还没有 Azure 订阅,可以注册一个试用帐户

示例值

可使用以下值创建测试环境,或参考这些值以更好地理解本文中的示例:

  • VNet 名称: VNet1
  • 地址空间: 10.1.0.0/16
    对于此示例,我们只使用一个地址空间。 VNet 可以有多个地址空间。
  • 子网名称: FrontEnd
  • 子网地址范围: 10.1.0.0/24
  • 订阅: 如果有多个订阅,请确保使用正确的订阅。
  • 资源组: TestRG1
  • 位置: 中国北部
  • 网关子网: 10.1.255.0/27
  • 虚拟网关名称:VNet1GW
  • 网关类型: VPN
  • VPN 类型: 基于路由
  • 公共 IP 地址名称:VNet1GWpip
  • 连接类型:点到站点
  • 客户端地址池:172.16.201.0/24
    使用此点到站点连接连接到 VNet 的 VPN 客户端接收来自客户端地址池的 IP 地址。

创建 VNet

在本部分,请创建虚拟网络。

备注

使用虚拟网络作为跨界体系结构的一部分时,请务必与本地网络管理员进行协调,以划分一个 IP 地址范围专供此虚拟网络使用。 如果 VPN 连接的两端存在重复的地址范围,则会以意外方式路由流量。 此外,若要将此虚拟网络连接到另一个虚拟网络,地址空间不能与另一虚拟网络重叠。 相应地规划网络配置。

  1. 登录到 Azure 门户

  2. 在“搜索资源、服务和文档(G+/)”中,键入“虚拟网络”。

    屏幕截图显示 Azure 门户的搜索栏。

  3. 从“市场”结果中选择“虚拟网络”。

    屏幕截图显示 Azure 门户的搜索栏结果,同时从“市场”中选择了“虚拟网络”。

  4. 在“虚拟网络”页上选择“创建”。

    屏幕截图显示“虚拟网络”页并选择了“创建”按钮。

  5. 选择“创建”后,会打开“创建虚拟网络”页。

  6. 在“基本信息”选项卡上,配置“项目详细信息”和“实例详细信息”VNet 设置。

    屏幕截图显示“基本信息”选项卡。

    在填写字段时,如果在字段中输入的字符通过了验证,则会出现绿色的对钩标记。 某些值是自动填写的,你可以将其替换为自己的值:

    • 订阅:确认列出的订阅是正确的。 可以使用下拉列表更改订阅。
    • 资源组:选择现有资源组,或单击“新建”以创建新资源组 。 有关资源组的详细信息,请参阅 Azure 资源管理器概述
    • 名称:输入虚拟网络的名称。
    • 区域:选择 VNet 的位置。 该位置确定要部署到此 VNet 的资源将位于哪里。
  7. 在“IP 地址”选项卡上配置值。 以下示例中显示的值用于演示目的。 根据所需的设置调整这些值。

    屏幕截图显示“IP 地址”选项卡。

    • IPv4 地址空间:默认情况下,系统会自动创建一个地址空间。 可以单击该地址空间,将其调整为反映你自己的值。 还可以添加更多的地址空间。
    • 子网:如果你使用默认地址空间,则会自动创建一个默认子网。 如果你更改地址空间,则需要添加一个子网。 选择“+添加子网”,打开“添加子网”窗口 。 配置以下设置,然后选择“添加”来添加值:
      • 子网名称:在本例中,我们已将子网命名为“FrontEnd”。
      • 子网地址范围:此子网的地址范围。
  8. 暂时在“安全”选项卡上保留默认值:

    • 防火墙:已禁用
  9. 选择“审阅 + 创建”,验证虚拟网络设置。

  10. 验证设置后,选择“创建”。

创建 VPN 网关

在此步骤中,为 VNet 创建虚拟网络网关。 创建网关通常需要 45 分钟或更长的时间,具体取决于所选的网关 SKU。

备注

基本网关 SKU 不支持 IKEv2 或 RADIUS 身份验证。 如果计划将 Mac 客户端连接到虚拟网络,请不要使用基本 SKU。

虚拟网络网关使用称作“网关子网”的特定子网。 网关子网是虚拟网络 IP 地址范围的一部分,该范围是在配置虚拟网络时指定的。 网关子网包含虚拟网络网关资源和服务使用的 IP 地址。

创建网关子网时,请指定子网包含的 IP 地址数。 所需的 IP 地址数目取决于要创建的 VPN 网关配置。 有些配置需要具有比其他配置更多的 IP 地址。 我们建议创建使用 /27 或 /28 的网关子网。

如果出现错误,指出地址空间与子网重叠,或者子网不包含在虚拟网络的地址空间中,请检查 VNet 地址范围。 出错的原因可能是为虚拟网络创建的地址范围中没有足够的可用 IP 地址。 例如,如果默认子网包含整个地址范围,则不会有剩余的 IP 地址用于创建更多子网。 可以调整现有地址空间中的子网以释放 IP 地址,或指定额外的地址范围并在其中创建网关子网。

  1. From the Azure portal, in Search resources, services, and docs (G+/) type virtual network gateway. Locate Virtual network gateway in the search results and select it.

    Search field

  2. On the Virtual network gateway page, select + Add. This opens the Create virtual network gateway page.

    virtual network gateways page

  3. On the Basics tab, fill in the values for your virtual network gateway.

    Gateway fields

    Additional gateway fields

    • Subscription: Select the subscription you want to use from the dropdown.
    • Resource Group: This setting is autofilled when you select your virtual network on this page.

    Instance details

    • Name: Name your gateway. Naming your gateway not the same as naming a gateway subnet. It's the name of the gateway object you are creating.
    • Region: Select the region in which you want to create this resource. The region for the gateway must be the same as the virtual network.
    • Gateway type: Select VPN. VPN gateways use the virtual network gateway type VPN.
    • VPN type: Select the VPN type that is specified for your configuration. Most configurations require a Route-based VPN type.
    • SKU: Select the gateway SKU from the dropdown. The SKUs listed in the dropdown depend on the VPN type you select. Make sure to select a SKU that supports the features you want to use. For more information about gateway SKUs, see Gateway SKUs.
    • Generation: For information about VPN Gateway Generation, see Gateway SKUs.
    • Virtual network: From the dropdown, select the virtual network to which you want to add this gateway.
    • Gateway subnet address range: This field only appears if your VNet doesn't have a gateway subnet. If possible, make the range /27 or larger (/26,/25 etc.). We don't recommend creating a range any smaller than /28. If you already have a gateway subnet, you can view GatewaySubnet details by navigating to your virtual network. Click Subnets to view the range. If you want to change the range, you can delete and recreate the GatewaySubnet.

    Public IP address

    This setting specifies the public IP address object that gets associated to the VPN gateway. The public IP address is dynamically assigned to this object when the VPN gateway is created. The only time the Public IP address changes is when the gateway is deleted and re-created. It doesn't change across resizing, resetting, or other internal maintenance/upgrades of your VPN gateway.

    • Public IP address: Leave Create new selected.
    • Public IP address name: In the text box, type a name for your public IP address instance.
    • Assignment: VPN gateway supports only Dynamic.
    • Enable active-active mode: Only select Enable active-active mode if you are creating an active-active gateway configuration. Otherwise, leave this setting Disabled.
    • Leave Configure BGP as Disabled, unless your configuration specifically requires this setting. If you do require this setting, the default ASN is 65515, although this can be changed.
  4. Select Review + create to run validation.

  5. Once validation passes, select Create to deploy the VPN gateway.

A gateway can take up to 45 minutes to fully create and deploy. You can see the deployment status on the Overview page for your gateway. After the gateway is created, you can view the IP address that has been assigned to it by looking at the virtual network in the portal. The gateway appears as a connected device.

生成证书

Azure 使用证书对通过点到站点 VPN 连接连接到 VNet 的客户端进行身份验证。 获得根证书后,即可将公钥信息上传到 Azure。 然后,Azure 就会将该根证书视为通过 P2S 连接到虚拟网络时需要使用的“受信任的”证书。 也可从受信任的根证书生成客户端证书,然后将其安装在每个客户端计算机上。 当客户端发起与 VNet 的连接时,需使用客户端证书对客户端进行身份验证。

生成根证书

获取根证书的 .cer 文件。 你可以使用通过企业解决方案生成的根证书(推荐),或者生成自签名证书。 创建根证书后,将公共证书数据(不是私钥)作为 Base64 编码的 X.509 .cer 文件导出。 稍后,请将此文件上传到 Azure。

  • 企业证书: 如果使用的是企业级解决方案,可以使用现有的证书链。 获取要使用的根证书的 .cer 文件。

  • 自签名根证书: 如果使用的不是企业证书解决方案,请创建自签名根证书。 否则,创建的证书将不兼容 P2S 连接,客户端在尝试连接时会收到连接错误。 可以使用 Azure PowerShell、MakeCert 或 OpenSSL。 以下文章中的步骤介绍了如何生成兼容的自签名根证书:

    • Windows 10 PowerShell 指令:这些指令需要 Windows 10 和 PowerShell 才能生成证书。 从根证书生成的客户端证书可以安装在任何受支持的 P2S 客户端上。
    • MakeCert 指令:使用 MakeCert 的前提是,无法接触用于生成证书的 Windows 10 计算机。 虽然 MakeCert 已弃用,但仍可使用它来生成证书。 从根证书生成的客户端证书可以安装在任何受支持的 P2S 客户端上。
    • Linux 说明

生成客户端证书

在使用点到站点连接连接到 VNet 的每台客户端计算机上,必须安装客户端证书。 请从根证书生成它,然后将它安装在每个客户端计算机上。 如果未安装有效的客户端证书,则当客户端尝试连接到 VNet 时,身份验证会失败。

可以为每个客户端生成唯一证书,也可以对多个客户端使用同一证书。 生成唯一客户端证书的优势是能够吊销单个证书。 否则,如果多个客户端使用相同的客户端证书进行身份验证而你将其撤销,则需为所有使用该证书的客户端生成并安装新证书。

可以通过以下方法生成客户端证书:

  • 企业证书:

    • 如果使用的是企业证书解决方案,请使用通用名称值格式“name@yourdomain.com” 生成客户端证书, 而不要使用“域名\用户名”格式。

    • 请确保客户端证书基于“用户”证书模板,该模板将“客户端身份验证”列为用户列表中的第一项。 检查证书的方式是:双击证书,然后在“详细信息”选项卡中查看“增强型密钥用法” 。

  • 自签名根证书: 按照下述某篇 P2S 证书文章中的步骤操作,使创建的客户端证书兼容 P2S 连接。

    从自签名根证书生成客户端证书时,该证书会自动安装在用于生成该证书的计算机上。 如果想要在另一台客户端计算机上安装客户端证书,请以 .pfx 文件格式导出该证书以及整个证书链。 这样做会创建一个 .pfx 文件,其中包含的根证书信息是客户端进行身份验证所必需的。

    这些文章中的步骤可生成兼容的客户端证书,然后你可以导出和分发该证书。

    • Windows 10 PowerShell 指令:这些指令需要 Windows 10 和 PowerShell 才能生成证书。 生成的证书可以安装在任何受支持的 P2S 客户端上。

    • MakeCert 说明:如果无权访问 Windows 10 计算机来生成证书,请使用 MakeCert。 虽然 MakeCert 已弃用,但仍可使用它来生成证书。 可以将生成的证书安装在任何受支持的 P2S 客户端上。

    • Linux 说明

添加 VPN 客户端地址池

客户端地址池是指定的专用 IP 地址的范围。 通过点到站点 VPN 进行连接的客户端动态接收此范围内的 IP 地址。 使用专用 IP 地址范围时,该范围不得与要通过其进行连接的本地位置重叠,也不得与要连接到其中的 VNet 重叠。 如果配置了多个协议,并且 SSTP 是其中一个协议,则配置的地址池将在配置的协议之间平均分配。

  1. 创建虚拟网关后,请导航到虚拟网关页的“设置”部分。 在“设置”中,选择“点到站点配置” 。 选择“立即配置”,打开配置页。

    “点到站点配置”页。

  2. 在“点到站点”配置页的“地址池”框中,添加要使用的专用 IP 地址范围。 VPN 客户端动态接收指定范围内的 IP 地址。 主动/被动配置的最小子网掩码为 29 位,主动/主动配置的最小子网掩码为 28 位。

  3. 转到下一部分以配置身份验证和隧道类型。

指定隧道类型和身份验证类型

在本部分,你将指定隧道类型和身份验证类型。 如果“点到站点配置”页上未显示隧道类型或身份验证类型,则表示网关使用的是基本 SKU。 基本 SKU 不支持 IKEv2 或 RADIUS 身份验证。 若要使用这些设置,需要使用另一网关 SKU 删除并重新创建网关。

隧道类型

在“点到站点配置”页上,选择“隧道类型” 。 选择隧道类型时请注意以下几点:

  • Android 和 Linux 上的 strongSwan 客户端以及 iOS 和 macOS 上的本机 IKEv2 VPN 客户端只会使用 IKEv2 隧道类型进行连接。
  • Windows 客户端会首先尝试 IKEv2,如果不能连接,则会回退到 SSTP。
  • 可以使用 OpenVPN 客户端连接到 OpenVPN 隧道类型。

身份验证类型

对于“身份验证类型”,请选择“Azure 证书”。

“身份验证类型”的屏幕截图,其中选择了“Azure 证书”。

上传根证书的公钥信息

在本部分中,你会将公共根证书数据上传到 Azure。 上传公共证书数据后,Azure 即可使用该数据对已安装客户端证书(根据受信任的根证书生成)的客户端进行身份验证。

  1. 导航到“虚拟网络网关”->“点到站点配置”页中的“根证书”部分 。 仅当已选择“Azure 证书”作为身份验证类型时,此部分才可见。

  2. 确保在前面的步骤中,已将根证书导出为 Base-64 编码的 X.509 (.CER) 文件。 需要以这种格式导出证书,以便使用文本编辑器打开该证书。 不需要导出私钥。

    显示导出为 Base-64 编码的 X.509 文件的屏幕截图。

  3. 使用记事本之类的文本编辑器打开该证书。 复制证书数据时,请确保将文本复制为一个无回车符或换行符的连续行。 可能需要在文本编辑器中将视图修改为“显示符号/显示所有字符”以查看回车符和换行符。 仅将以下部分复制为一个连续行:

    显示记事本中的根证书信息的屏幕截图。

  4. 在“根证书”部分,最多可以添加 20 个受信任的根证书。

    • 将证书数据粘贴到“公共证书数据”字段中。
    • 将证书命名。

    证书数据字段的屏幕截图。

  5. 选择页面顶部的“保存”,保存所有配置设置。

    P2S 配置的屏幕截图,其中选择了“保存”。

安装已导出的客户端证书

如果想要从另一台客户端计算机(而不是用于生成客户端证书的计算机)创建 P2S 连接,需要安装客户端证书。 安装客户端证书时,需要使用导出客户端证书时创建的密码。

确保已将客户端证书与整个证书链(默认)一起作为 .pfx 导出。 否则,根证书信息就不会出现在客户端计算机上,客户端将无法进行正常的身份验证。

有关安装步骤,请参阅安装客户端证书

配置 VPN 客户端的设置

为了使用 P2S 连接到虚拟网络网关,每台计算机都使用作为操作系统的一部分在本地安装的 VPN 客户端。 例如,在 Windows 计算机上转到 VPN 设置时,可以添加 VPN 连接,而无需安装单独的 VPN 客户端。 使用客户端配置包配置每个 VPN 客户端。 客户端配置包包含特定于创建的 VPN 网关的设置。

有关生成和安装 VPN 客户端配置文件的步骤,请参阅为 Azure 证书身份验证 P2S 配置创建和安装 VPN 客户端配置文件

连接到 Azure

从 Windows VPN 客户端进行连接

备注

在要从其进行连接的 Windows 客户端计算机上,你必须拥有管理员权限。

  1. 若要连接到 VNet,请在客户端计算机上导航到 VPN 设置,找到创建的 VPN 连接。 其名称与虚拟网络的名称相同。 选择“连接” 。 可能会出现与使用证书相关的弹出消息。 选择“继续”,以便使用提升的权限。

  2. 在“连接”状态页上,选择“连接”以启动连接。 如果看到 “选择证书” 屏幕,请确保所显示的客户端证书是要用于连接的证书。 如果不是,请使用下拉箭头选择正确的证书,并选择“确定”。

    从 Windows 计算机连接

  3. 连接已建立。

    从计算机连接到 Azure VNet - 点到站点连接示意图

如果在连接时遇到问题,请检查以下项:

  • 如果你已通过证书导出向导导出客户端证书,请确保已将其导出为 .pfx 文件并选中了“包括证书路径中的所有证书(如果可能)”。 使用此值将其导出时,也会导出根证书信息。 在客户端计算机上安装证书后,还会安装 .pfx 文件中的根证书。 若要验证是否安装了根证书,请打开“管理用户证书” ,然后选择“受信任的根证书颁发机构\证书” 。 验证是否列出了根证书,必须存在根证书才能进行身份验证。

  • 如果使用的是由企业 CA 解决方案颁发的证书,并且无法进行身份验证,请在客户端证书上验证身份验证顺序。 通过双击客户端证书,选择“详细信息”选项卡并选择“增强型密钥用法”来检查身份验证列表顺序。 确保此列表中的第一项是“客户端身份验证”。 如果不是,请基于将“客户端身份验证”作为列表中第一项的用户模板颁发客户端证书。

  • 如需更多的 P2S 故障排除信息,请参阅排查 P2S 连接问题

从 Mac VPN 客户端进行连接

在“网络”对话框中,找到要使用的客户端配置文件,在 VpnSettings.xml 中指定设置,然后选择“连接”。

请查看安装 - macOS 获取详细说明。 如果连接有问题,请验证虚拟网络网关是否未使用基本 SKU。 Mac 客户端不支持基本 SKU。

Mac VPN 客户端连接。

验证连接

这些说明适用于 Windows 客户端。

  1. 如果要验证用户的 VPN 连接是否处于活动状态,请打开提升的命令提示符,并运行 ipconfig/all

  2. 查看结果。 请注意,收到的 IP 地址是在配置中指定的点到站点 VPN 客户端地址池中的地址之一。 结果与以下示例类似:

    PPP adapter VNet1:
       Connection-specific DNS Suffix .:
       Description.....................: VNet1
       Physical Address................:
       DHCP Enabled....................: No
       Autoconfiguration Enabled.......: Yes
       IPv4 Address....................: 172.16.201.3(Preferred)
       Subnet Mask.....................: 255.255.255.255
       Default Gateway.................:
       NetBIOS over Tcpip..............: Enabled
    

连接到虚拟机

这些说明适用于 Windows 客户端。

可以连接到已部署到 VNet 的 VM,方法是创建到 VM 的远程桌面连接。 若要通过初始验证来确认能否连接到 VM,最好的方式是使用其专用 IP 地址而不是计算机名称进行连接。 这种方式是测试能否进行连接,而不是测试名称解析是否已正确配置。

  1. 定位专用 IP 地址。 查找 VM 的专用 IP 地址时,可以通过 Azure 门户或 PowerShell 查看 VM 的属性。

    • Azure 门户 - 在 Azure 门户中定位虚拟机。 查看 VM 的属性。 专用 IP 地址已列出。

    • PowerShell - 通过此示例查看资源组中的 VM 和专用 IP 地址的列表。 在使用此示例之前不需对其进行修改。

      $VMs = Get-AzVM
      $Nics = Get-AzNetworkInterface | Where VirtualMachine -ne $null
      
      foreach($Nic in $Nics)
      {
      $VM = $VMs | Where-Object -Property Id -eq $Nic.VirtualMachine.Id
      $Prv = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAddress
      $Alloc = $Nic.IpConfigurations | Select-Object -ExpandProperty PrivateIpAllocationMethod
      Write-Output "$($VM.Name): $Prv,$Alloc"
      }
      
  2. 验证你是否已使用点到站点 VPN 连接连接到 VNet。

  3. 打开 远程桌面连接,方法是:在任务栏的搜索框中键入“RDP”或“远程桌面连接”,并选择“远程桌面连接”。 也可在 PowerShell 中使用“mstsc”命令打开远程桌面连接。

  4. 在远程桌面连接中,输入 VM 的专用 IP 地址。 可以通过单击“显示选项”来调整其他设置,并进行连接。

排查连接问题

如果无法通过 VPN 连接连接到虚拟机,请查看以下项目:

  • 验证 VPN 连接是否成功。

  • 验证是否已连接到 VM 的专用 IP 地址。

  • 如果可以使用专用 IP 地址连接到 VM,但不能使用计算机名称进行连接,则请验证是否已正确配置 DNS。 若要详细了解如何对 VM 进行名称解析,请参阅针对 VM 的名称解析

  • 若要详细了解 RDP 连接,请参阅排查远程桌面连接到 VM 的问题

  • 验证是否在为 VNet 指定 DNS 服务器 IP 地址之后,才生成 VPN 客户端配置包。 如果更新了 DNS 服务器 IP 地址,请生成并安装新的 VPN 客户端配置包。

  • 使用“ipconfig”检查分配给以太网适配器的 IPv4 地址,该适配器所在的计算机正是你要从其进行连接的计算机。 如果该 IP 地址位于要连接到的 VNet 的地址范围内,或者位于 VPNClientAddressPool 的地址范围内,则称为地址空间重叠。 当地址空间以这种方式重叠时,网络流量不会抵达 Azure,而是呆在本地网络中。

添加或删除受信任的根证书

可以在 Azure 中添加和删除受信任的根证书。 删除根证书时,如果客户端的证书是从该根生成的,则客户端不能进行身份验证,因此无法进行连接。 如果希望客户端进行身份验证和连接,则需安装新客户端证书,该证书是从委托(上传)给 Azure 的根证书生成的。

最多可以将 20 个受信任的根证书 .cer 文件添加到 Azure。 有关说明,请参阅上传受信任的根证书部分。

若要删除受信任的根证书,请执行以下操作:

  1. 导航到虚拟网络网关的“点到站点配置”页。
  2. 在页面的“根证书”部分,找到要删除的证书。
  3. 选择证书旁边的省略号图标,然后选择“删除”。

吊销客户端证书

可以吊销客户端证书。 证书吊销列表用于选择性地拒绝基于单个客户端证书的点到站点连接。 这不同于删除受信任的根证书。 如果从 Azure 中删除受信任的根证书 .cer,它会吊销由吊销的根证书生成/签名的所有客户端证书的访问权限。 如果吊销客户端证书而非根证书,则可继续使用从根证书生成的其他证书进行身份验证。

常见的做法是使用根证书管理团队或组织级别的访问权限,并使用吊销的客户端证书针对单个用户进行精细的访问控制。

可以通过将指纹添加到吊销列表来吊销客户端证书。

  1. 检索客户端证书指纹。 有关详细信息,请参阅如何检索证书的指纹
  2. 将信息复制到一个文本编辑器,删除所有空格,使之成为一个连续的字符串。
  3. 导航到虚拟网关的“点到站点配置”页。 此页面正是用来上传受信任的根证书的页面。
  4. 在“吊销的证书”部分,输入证书的友好名称(不必是证书 CN)。
  5. 将指纹字符串复制并粘贴到“指纹”字段。
  6. 指纹将进行验证,并会自动添加到吊销列表。 屏幕上会显示一条消息,指出列表正在进行更新。
  7. 更新完成后,不再可以使用证书来连接。 客户端在尝试使用此证书进行连接时,会收到一条消息,指出证书不再有效。

点到站点常见问题解答

有关常见问题解答,请参阅常见问题解答

后续步骤

连接完成后,即可将虚拟机添加到虚拟网络。 有关详细信息,请参阅虚拟机。 若要详细了解网络和虚拟机,请参阅 Azure 和 Linux VM 网络概述

有关 P2S 故障排除信息,请参阅排查 Azure 点到站点连接问题