针对虚拟网络对等互连配置 VPN 网关传输

项目
07/12/2024

本文介绍如何针对虚拟网络对等互连配置网关传输。虚拟网络对等互连可以无缝地连接两个 Azure 虚拟网络，为了连接目的将两个虚拟网络合并成一个。网关传输是一个对等互连属性，它允许一个虚拟网络使用对等互连的虚拟网络中的 VPN 网关进行跨界连接或 VNet 到 VNet 连接。

下图说明了在虚拟网络对等互连中使用网关传输的工作原理。在图中，对等互连的虚拟网络通过网关传输来使用 Hub-RM 中的 Azure VPN 网关。在 VPN 网关上提供的连接（包括 S2S 连接、P2S 连接和 VNet 到 VNet 连接）适用于所有三种虚拟网络。

传输选项可用于除基本 SKU 以外的所有 VPN 网关 SKU。

在中心辐射型网络体系结构中，辐射虚拟网络可以通过网关传输共享中心的 VPN 网关，不必在每个辐射虚拟网络中部署 VPN 网关。通往网关连接的虚拟网络或本地网络的路由会通过网关传输传播到对等互连的虚拟网络的路由表。

可以禁用源自 VPN 网关的自动路由传播。使用“禁用 BGP 路由传播”选项创建一个路由表，将路由表关联到子网，防止将路由分发到这些子网。有关详细信息，请参阅虚拟网络路由表。

注意

如果更改网络拓扑并且具有 VPN 客户端，必须再次下载和安装 Windows 客户端的 VPN 客户端包，以使更改应用于客户端。

先决条件

本文需要以下 VNet 和权限。

虚拟网络

VNet	配置步骤	虚拟网络网关
Hub-RM	资源管理器	是
Spoke-RM	资源管理器	否

权限

用于创建虚拟网络对等互连的帐户必须具有所需的角色或权限。在以下示例中，若要将两个名为 Hub-RM 和 Spoke-Classic 的虚拟网络进行对等互连，帐户必须具有适用于每个虚拟网络的以下角色或权限：

VNet	部署模型	角色	权限
Hub-RM	资源管理器	网络参与者	Microsoft.Network/virtualNetworks/virtualNetworkPeerings/write
Spoke-RM	资源管理器	网络参与者	Microsoft.Network/virtualNetworks/peer

详细了解内置角色以及将特定的权限分配到自定义角色（仅限资源管理器）。

添加对等互连并启用传输

在 Azure 门户中，创建或更新从 Hub-RM 进行对等互连的虚拟网络。转到“Hub-RM”虚拟网络。选择“对等互连”，然后选择“+ 添加”，以便打开“添加对等互连”。
在“添加对等互连”页面上，配置“远程虚拟网络摘要”的值。
- 对等互连链接名称：为链接命名。示例：SpokeRMToHubRM
- 虚拟网络部署模型：资源管理器
- 我知道我的资源 ID：保留为空。只有在对要进行对等互连的虚拟网络或订阅没有读取访问权限时，才需要选中此框。
- 订阅：选择订阅。
- 虚拟网络：Spoke-RM
在“添加对等互连”页上，配置“远程虚拟网络对等互连设置”的值。
- 允许“Spoke-RM”访问“Hub-RM”：保留默认值为已选择。
- 允许“Spoke-RM”接收来自“Hub-RM”的转发流量：选择该复选框。
- 允许对等虚拟网络中的网关或路由服务器将流量转发到“Hub-RM”：保留默认值为取消选择。
- 启用“SpokeRM”以使用“Hub-RM”远程网关或路由服务器：选择该复选框。
在“添加对等互连”页面上，配置“本地虚拟网络摘要”的值。
- 对等互连链接名称：为链接命名。示例：HubRMToSpokeRM
在“添加对等互连”页上，配置“本地虚拟网络对等互连设置”的值。
- 允许“Hub-RM”访问对等互连的虚拟网络：保留默认值为已选择。
- 允许“Hub-RM”接收来自对等互连虚拟网络的转发流量：选择该复选框。
- 允许“Hub-RM”中的网关或路由服务器将流量转发到对等互连虚拟网络：选择该复选框。
- 启用“Hub-RM”以使用对等互连虚拟网络的远程网关或路由服务器：保留默认值为取消选择。
选择“添加”以创建对等互连。
验证两个虚拟网络上的对等互连状态是否为“已连接”。

修改用于传输的现有对等互连

如果已有现有的对等互连，可修改对等互连来进行传输。

转到虚拟网络。选择“对等互连”，然后选择要修改的对等互连。例如，在 Spoke-RM VNet 上，选择 SpokeRMtoHubRM 对等互连。
更新 VNet 对等互连。

启用“Spoke-RM”以使用“Hub-RM”远程网关或路由服务器：选择该复选框。
保存对等互连设置。

PowerShell 示例

也可使用 PowerShell 来创建或更新对等互连。将变量替换为虚拟网络和资源组的名称。

$SpokeRG = "SpokeRG1"
$SpokeRM = "Spoke-RM"
$HubRG   = "HubRG1"
$HubRM   = "Hub-RM"

$spokermvnet = Get-AzVirtualNetwork -Name $SpokeRM -ResourceGroup $SpokeRG
$hubrmvnet   = Get-AzVirtualNetwork -Name $HubRM -ResourceGroup $HubRG

Add-AzVirtualNetworkPeering `
  -Name SpokeRMtoHubRM `
  -VirtualNetwork $spokermvnet `
  -RemoteVirtualNetworkId $hubrmvnet.Id `
  -UseRemoteGateways

Add-AzVirtualNetworkPeering `
  -Name HubRMToSpokeRM `
  -VirtualNetwork $hubrmvnet `
  -RemoteVirtualNetworkId $spokermvnet.Id `
  -AllowGatewayTransit

后续步骤

在为生产用途创建虚拟网络对等互连之前，请详细了解虚拟网络对等互连约束和行为和虚拟网络对等互连设置。
使用相同的部署模型创建虚拟网络对等互连。
使用不同的部署模型创建虚拟网络对等互连。

通过