Configurar uma VPN ponto a site (P2S) no Windows para uso com os Arquivos do Azure

Para configurar uma VPN ponto a site usando o portal do Azure, você precisará saber o nome do grupo de recursos, o nome da rede virtual, o nome da sub-rede do gateway e o nome da conta de armazenamento.

Execute este script para coletar as informações necessárias. Substitua <resource-group>, <vnet-name>, <subnet-name>e <storage-account-name> pelos valores apropriados para o seu ambiente.

$resourceGroupName  = '<resource-group-name>'
$virtualNetworkName = '<vnet-name>'
$subnetName         = '<subnet-name>'
$storageAccountName = '<storage-account-name>'

$virtualNetworkParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $virtualNetworkName
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnetId = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object {$_.Name -eq 'StorageAccountSubnet'} |
    Select-Object -ExpandProperty Id

$storageAccountParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$privateEndpoint = Get-AzPrivateEndpoint |
    Where-Object {
        $subnets = $_ |
            Select-Object -ExpandProperty Subnet |
            Where-Object {$_.Id -eq $subnetId}

        $connections = $_ |
            Select-Object -ExpandProperty PrivateLinkServiceConnections |
            Where-Object {$_.PrivateLinkServiceId -eq $storageAccount.Id}
        
        $null -ne $subnets -and $null -ne $connections
    } |
    Select-Object -First 1

Para implantar um gateway de rede virtual usando o portal do Azure, siga estas instruções.

1. Inicie sessão no portal do Azure.

2. Em Pesquisar recursos, serviços e documentos, digite gateways de rede virtual. Localize Gateways de rede virtual nos resultados de pesquisa do Marketplace e selecione-o.

3. Selecione + Criar para criar um novo gateway de rede virtual.

4. Na guia Noções básicas, preencha os valores para Detalhes do projeto e Detalhes da instância.

   

   • Assinatura: selecione a assinatura que deseja usar na lista suspensa.
   • Grupo de recursos: essa configuração é preenchida automaticamente quando você seleciona sua rede virtual nesta página.
   • Nome: dê um nome ao gateway. Nomear seu gateway não é o mesmo que nomear uma sub-rede de gateway. É o nome do objeto de gateway que você está criando.
   • Região: selecione a região na qual você deseja criar este recurso. A região do gateway deve ser a mesma da rede virtual.
   • Tipo de gateway: selecione VPN. Os gateways de VPN utilizam o tipo de gateway de rede virtual VPN.
   • SKU: Selecione a SKU do gateway que suporta os recursos que você deseja usar na lista suspensa. Consulte SKUs de gateway. Não use o SKU básico porque ele não suporta autenticação IKEv2.
   • Geração: Selecione a geração que deseja usar. Recomendamos o uso de um SKU Generation2. Para obter mais informações, veja SKUs de gateway.
   • Rede virtual: na lista suspensa, selecione a rede virtual à qual você deseja adicionar esse gateway. Se não conseguir ver a rede virtual para a qual pretende criar um gateway, certifique-se de que selecionou a subscrição e a região corretas.
   • Sub-rede: este campo deve estar acinzentado e listar o nome da sub-rede do gateway que você criou, juntamente com seu intervalo de endereços IP. Se, em vez disso, vir um campo Intervalo de endereços de sub-rede do gateway com uma caixa de texto, ainda não configurou uma sub-rede do gateway (consulte Pré-requisitos.)

5. Especifique os valores para o endereço IP público que fica associado ao gateway de rede virtual. O endereço IP público é atribuído a este objeto quando o gateway de rede virtual é criado. A única vez que o endereço IP público primário é alterado é quando o gateway é excluído e recriado. Ele não muda em redimensionamento, redefinição ou outras manutenções/atualizações internas.

   

   • Endereço IP público: Deixe Criar novo selecionado.
   • Nome do endereço IP público: na caixa de texto, digite um nome para sua instância de endereço IP público.
   • SKU de endereço IP público: a configuração é selecionada automaticamente.
   • Atribuição: A atribuição é normalmente selecionada automaticamente e pode ser Dinâmica ou Estática.
   • Ativar modo ativo-ativo: Selecione Desativado. Habilite essa configuração somente se estiver criando uma configuração de gateway ativo-ativo.
   • Configurar BGP: Selecione Desativado, a menos que sua configuração exija especificamente essa configuração. Se você precisar dessa configuração, o ASN padrão será 65515, embora esse valor possa ser alterado.

6. Selecione Rever + criar para executar a validação. Quando a validação for aprovada, selecione Criar para implantar o gateway de rede virtual. A implantação pode levar até 45 minutos para ser concluída.

7. Quando a implantação estiver concluída, selecione Ir para recurso.

8. No menu de serviço, em Configurações, selecione Configuração ponto a site e, em seguida, selecione Configurar agora. Você deve ver a página de configuração ponto a site.

   

   • Pool de endereços: adicione o intervalo de endereços IP privados que você deseja usar. Os clientes VPN recebem dinamicamente um endereço IP do intervalo que especificou. A máscara de sub-rede mínima é de 29 bits para configuração ativa/passiva e 28 bits para configuração ativa/ativa.
   • Tipo de túnel: especifique o tipo de túnel que você deseja usar. Os computadores que se conectam através do cliente VPN nativo do Windows experimentarão o IKEv2 primeiro. Se isso não se conectar, eles voltarão para SSTP (se você selecionar IKEv2 e SSTP na lista suspensa). Se você selecionar o tipo de túnel OpenVPN, poderá se conectar usando um Cliente OpenVPN ou o Cliente VPN do Azure.
   • Tipo de autenticação: especifique o tipo de autenticação que você deseja usar (nesse caso, escolha Certificado do Azure).
   • Nome do certificado raiz: o nome do arquivo do certificado raiz (arquivo .cer).
   • Dados do certificado público: abra o certificado raiz com o Bloco de Notas e copie/cole os dados do certificado público neste campo de texto. Se você usou o script PowerShell neste artigo para gerar um certificado raiz autoassinado, ele estará localizado em C:\vpn-temp. Certifique-se de colar apenas o texto que está entre -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. Não inclua espaços ou caracteres adicionais.

   Nota

   Se você não vir o tipo de túnel ou o tipo de autenticação, seu gateway está usando a SKU básica. O Basic SKU não suporta autenticação IKEv2. Se você quiser usar o IKEv2, precisará excluir e recriar o gateway usando uma SKU de gateway diferente.

9. Selecione Salvar na parte superior da página para salvar todas as definições de configuração e carregar as informações de chave pública do certificado raiz no Azure.

Substitua <desired-vpn-name> e <desired-region> no script a seguir com os valores adequados para essas variáveis.

Enquanto esse recurso estiver sendo implantado, esse script do PowerShell impedirá que a implantação seja concluída. Isto é esperado.

$vpnName             = '<desired-vpn-name>' 
$publicIpAddressName = "$vpnName-PublicIP"
$region              = '<desired-region>'

$publicIpParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $publicIpAddressName
    Location          = $region
    Sku               = 'Basic'
    AllocationMethod  = 'Dynamic'
}
$publicIpAddress = New-AzPublicIpAddress @publicIPParams

$gatewayIpParams = @{
    Name = 'vnetGatewayConfig'
    SubnetId = $subnetId
    PublicIpAddressId = $publicIPAddress.Id
}
$gatewayIpConfig = New-AzVirtualNetworkGatewayIpConfig @gatewayIpParams

$vpnClientRootCertParams = @{
    Name           = 'P2SRootCert'
    PublicCertData = $rootCertificate
}
$azRootCertificate = New-AzVpnClientRootCertificate @vpnClientRootCertParams

$virtualNetGatewayParams = @{
    ResourceGroupName         = $resourceGroupName
    Name                      = $vpnName
    Location                  = $region
    GatewaySku                = 'VpnGw2'
    IpConfigurations          = $gatewayIpConfig
    GatewayType               = 'Vpn'
    VpnType                   = 'RouteBased'
    IpConfigurations          = $gatewayIpConfig
    VpnClientAddressPool      = '172.16.201.0/24'
    VpnClientProtocol         = 'IkeV2'
    VpnClientRootCertificates = $azRootCertificate
}
$vpn = New-AzVirtualNetworkGateway @virtualNetGatewayParams

Instalar o certificado de cliente

Para instalar o certificado de cliente necessário para autenticação no gateway de rede virtual, siga estas etapas no computador cliente.

1. Depois que o certificado do cliente for exportado, localize e copie o arquivo .pfx para o computador cliente.
2. No computador cliente, faça duplo clique no ficheiro .pfx para o instalar. Deixe o Local da Loja como Usuário Atual e selecione Avançar.
3. Na página Ficheiro a importar, não efetue nenhuma alteração. Selecione Seguinte.
4. Na página Proteção de chave privada, insira a senha do certificado ou verifique se a entidade de segurança está correta e selecione Avançar.
5. Na página Armazenamento de Certificados, deixe o local padrão e selecione Avançar.
6. Selecione Concluir. No Aviso de Segurança para a instalação do certificado, selecione Sim. Pode selecionar confortavelmente 'Sim' para este aviso de segurança porque gerou o certificado.
7. O certificado foi agora importado com êxito.

Instalar o cliente VPN

Esta seção ajuda você a configurar o cliente VPN nativo que faz parte do seu sistema operacional Windows para se conectar à sua rede virtual (IKEv2 e SSTP). Esta configuração não requer software cliente adicional.

Exibir arquivos de configuração

No computador cliente, navegue até C:\vpn-temp a pasta vpnclientconfiguration e abra-a para exibir as seguintes subpastas:

• WindowsAmd64 e WindowsX86, que contêm os pacotes do instalador do Windows de 64 bits e 32 bits, respectivamente. O pacote de instalação do WindowsAmd64 é para todos os clientes Windows de 64 bits suportados, não apenas Amd.
• Genérico, que contém informações gerais usadas para criar sua própria configuração de cliente VPN. A pasta Generic é fornecida se IKEv2 ou SSTP+IKEv2 foi configurado no gateway. Se apenas o SSTP estiver configurado, a pasta Generic não estará presente.

Configurar perfil de cliente VPN

Você pode usar o mesmo pacote de configuração do cliente VPN em cada computador cliente Windows, desde que a versão corresponda à arquitetura do cliente.

1. Selecione os ficheiros de configuração do cliente VPN que correspondem à arquitetura do computador Windows. Para uma arquitetura de processador de 64 bits, escolha o VpnClientSetupAmd64 pacote do instalador. Para uma arquitetura de processador de 32 bits, escolha o pacote do VpnClientSetupX86 instalador.

2. Faça duplo clique no pacote para instalá-lo. Se vir um pop-up SmartScreen, selecione Mais informações e, em seguida , Executar mesmo assim.

3. Conecte-se à sua VPN. Vá para Configurações de VPN e localize a conexão VPN que você criou. É o mesmo nome da sua rede virtual. Selecione Ligar. Pode aparecer uma mensagem pop-up. Selecione Continuar para usar privilégios elevados.

4. Na página Estado da ligação, selecione Ligar para iniciar a ligação. Se vir um ecrã Selecionar Certificado, verifique se o certificado de cliente apresentado é aquele que pretende utilizar para se ligar. Se não estiver, use a seta suspensa para selecionar o certificado correto e, em seguida, selecione OK.

O script PowerShell a seguir instalará o certificado de cliente necessário para autenticação no gateway de rede virtual e, em seguida, baixará e instalará o pacote VPN. Lembre-se de substituir <computer1> e <computer2> com os computadores desejados. Você pode executar esse script em quantas máquinas desejar adicionando mais sessões do PowerShell à $sessions matriz. Sua conta de usuário deve ser um administrador em cada uma dessas máquinas. Se uma dessas máquinas for a máquina local a partir da qual você está executando o script, você deverá executá-lo a partir de uma sessão elevada do PowerShell.

$sessions = [System.Management.Automation.Runspaces.PSSession[]]@()
$sessions += New-PSSession -ComputerName '<computer1>'
$sessions += New-PSSession -ComputerName '<computer2>'

foreach ($session in $sessions) {
    Invoke-Command -Session $session -ArgumentList $vpnTemp -ScriptBlock { 
        $vpnTemp = $args[0]
        if (-Not (Test-Path -Path $vpnTemp -PathType Container)) {
            New-Item -ItemType Directory -Force -Path 'C:\vpn-temp' | Out-Null
        }
    }

    $copyItemParams = @{
        Path        = @(
            $exportedclientcertpath,
            $exportedrootcertpath,
            "$vpnTemp\vpnclientconfiguration.zip"
        )
        Destination = $vpnTemp
        ToSession   = $session
    }
    Copy-Item @copyItemParams

    $invokeCmdParams = @{
        Session = $session
        ArgumentList = @($mypwd, $vpnTemp, $virtualNetworkName)
    }
    Invoke-Command @invokeCmdParams -ScriptBlock { 
        $mypwd              = $args[0] 
        $vpnTemp            = $args[1]
        $virtualNetworkName = $args[2]
        
        $pfxCertParams = @{
            Exportable        = $true
            Password          = $mypwd
            CertStoreLocation = 'Cert:\LocalMachine\My'
            FilePath          = "$vpnTemp\P2SClientCert.pfx" 
        }
        Import-PfxCertificate @pfxCertParams | Out-Null
        
        $importCertParams = @{
            FilePath          = "$vpnTemp\P2SRootCert.cer"
            CertStoreLocation = "Cert:\LocalMachine\Root"
        }
        Import-Certificate @importCertParams | Out-Null

        $vpnGenericParams = @{
            Path            = "$vpnTemp\vpnclientconfiguration.zip"
            DestinationPath = "$vpnTemp\vpnclientconfiguration"
        }
        Expand-Archive @vpnGenericParams

        $vpnGeneric = "$vpnTemp\vpnclientconfiguration\Generic"

        $vpnProfile = ([xml](Get-Content -Path "$vpnGeneric\VpnSettings.xml")).VpnProfile

        $vpnConnectionParams = @{
            Name                 = $virtualNetworkName
            ServerAddress        = $vpnProfile.VpnServer
            TunnelType           = 'Ikev2'
            EncryptionLevel      = 'Required'
            AuthenticationMethod = 'MachineCertificate'
            SplitTunneling       = $true
            AllUserConnection    = $true
        }
        Add-VpnConnection @vpnConnectionParams

        $vpnConnRoute1Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.Routes
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute1Params

        $vpnConnRoute2Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.VpnClientAddressPool
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute2Params

        rasdial $virtualNetworkName
    }
}

Remove-Item -Path $vpnTemp -Recurse

Para montar o compartilhamento de arquivos usando a chave da conta de armazenamento, abra um prompt de comando do Windows e execute o seguinte comando. Substitua <YourStorageAccountName>, <FileShareName> e <YourStorageAccountKey> pelos seus próprios valores. Se Z: a ser utilizado, substitua por uma letra de unidade disponível. Você pode encontrar sua chave de conta de armazenamento no portal do Azure navegando até a conta de armazenamento e selecionando Segurança + chaves de acesso de rede>.

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName> /user:localhost\<YourStorageAccountName> <YourStorageAccountKey>

O script PowerShell a seguir montará o compartilhamento, listará o diretório raiz do compartilhamento para provar que o compartilhamento está realmente montado e, em seguida, desmontará o compartilhamento.

$myShareToMount = '<file-share>'

$storageAccountKeyParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccountKeys = Get-AzStorageAccountKey @storageAccountKeyParams

$convertToSecureStringParams = @{
    String = $storageAccountKeys[0].Value
    AsPlainText = $true
    Force = $true
}
$storageAccountKey = ConvertTo-SecureString @convertToSecureStringParams

$getAzNetworkInterfaceParams = @{
    ResourceId = $privateEndpoint.NetworkInterfaces[0].Id
}
$nic = Get-AzNetworkInterface @getAzNetworkInterfaceParams

$storageAccountPrivateIP = $nic.IpConfigurations[0].PrivateIpAddress

$invokeCmdParams = @{
    Session = $sessions
    ArgumentList = @(
        $storageAccountName,
        $storageAccountKey,
        $storageAccountPrivateIP,
        $myShareToMount
    )
}
Invoke-Command @invokeCmdParams -ScriptBlock {
    $storageAccountName      = $args[0]
    $storageAccountKey       = $args[1]
    $storageAccountPrivateIP = $args[2]
    $myShareToMount          = $args[3]

    $credential = [System.Management.Automation.PSCredential]::new(
        "AZURE\$storageAccountName", 
        $storageAccountKey
    )

    $psDriveParams = @{
        Name       = 'Z'
        PSProvider = 'FileSystem'
        Root       = "\\$storageAccountPrivateIP\$myShareToMount"
        Credential = $credential
        Persist    = $true
    }
    New-PSDrive @psDriveParams | Out-Null

    Get-ChildItem -Path Z:\
    Remove-PSDrive -Name Z
}