Руководство. Настройка исходящего подключения двойного стека с помощью шлюза NAT и общедоступной подсистемы балансировки нагрузки

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .

• Используйте среду Bash в Azure Cloud Shell. Дополнительные сведения см . в кратком руководстве по Bash в Azure Cloud Shell.

  

• Если вы предпочитаете выполнять справочные команды CLI локально, установите Azure CLI. Если вы работаете в Windows или macOS, Azure CLI можно запустить в контейнере Docker. Дополнительные сведения см. в статье Как запустить Azure CLI в контейнере Docker.

  • Если вы используете локальную установку, выполните вход в Azure CLI с помощью команды az login. Чтобы выполнить аутентификацию, следуйте инструкциям в окне терминала. Сведения о других возможностях, доступных при входе, см. в статье Вход с помощью Azure CLI.

  • Установите расширение Azure CLI при первом использовании, когда появится соответствующий запрос. Дополнительные сведения о расширениях см. в статье Использование расширений с Azure CLI.

  • Выполните команду az version, чтобы узнать установленную версию и зависимые библиотеки. Чтобы обновиться до последней версии, выполните команду az upgrade.

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .

• Для работы с этим руководством требуется Azure CLI версии 2.0.28 или более поздней. Если вы используете Azure Cloud Shell, последняя версия уже установлена.

Войдите на портал Azure с помощью своей учетной записи Azure.

Выполните команду az login для входа в Azure.

az login

Следующая процедура создает виртуальную сеть с подсетью ресурсов, подсетью Бастиона Azure и узлом Бастиона Azure.

1. На портале найдите и выберите "Виртуальные сети".

2. На странице Виртуальные сети выберите команду + Создать.

3. На вкладке Основные сведения подменю Создать виртуальную сеть введите или выберите нижеприведенную информацию:

   Параметр	Значение
   Сведения о проекте
   Отток подписок	Выберите свою подписку.
   Группа ресурсов	Выберите Создать. Введите test-rg в name. Нажмите кнопку ОК.
   Сведения об экземпляре
   Имя.	Введите vnet-1.
   Область/регион	Выберите регион Восточная часть США 2.

   

4. Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".

5. Выберите "Включить бастион" в разделе Бастиона Azure на вкладке "Безопасность".

   Бастион Azure использует браузер для подключения к виртуальным машинам в виртуальной сети через безопасную оболочку (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Дополнительные сведения о Бастионе Azure см. в статье "Бастион Azure"

   Примечание.

   Почасовая цена начинается с момента развертывания Бастиона независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

6. Введите или выберите следующие сведения в Бастионе Azure:

   Параметр	Значение
   Имя узла Бастиона Azure	Введите бастион.
   Общедоступный IP-адрес Бастиона Azure	Выберите " Создать общедоступный IP-адрес". Введите общедоступный IP-адрес в имени. Нажмите кнопку ОК.

   

7. Нажмите кнопку "Рядом ", чтобы перейти на вкладку IP-адресов .

8. В поле адресного пространства в подсетях выберите подсеть по умолчанию .

9. В разделе "Изменить подсеть" введите или выберите следующие сведения:

   Параметр	Значение
   Сведения о подсети
   Шаблон подсети	Оставьте значение по умолчанию по умолчанию.
   Имя.	Введите подсеть-1.
   Начальный адрес	Оставьте значение по умолчанию 10.0.0.0.
   Размер подсети	Оставьте значение по умолчанию /24(256 адресов).

   

10. Выберите Сохранить.

11. Выберите "Проверка и создание " в нижней части экрана и при прохождении проверки нажмите кнопку "Создать".

Создание или изменение группы ресурсов

Группа ресурсов Azure — это логический контейнер, в котором выполняется развертывание ресурсов Azure и управление ими.

Создайте группу ресурсов с помощью команды az group create.

az group create \
    --name test-rg \
    --location eastus2

Создание сети и подсетей

Создайте виртуальную сеть с помощью командлета az network vnet create.

az network vnet create \
    --resource-group test-rg \
    --location eastus2 \
    --name vnet-1 \
    --address-prefixes '10.0.0.0/16'

Используйте az network vnet subnet create для создания подсети IPv4 для виртуальной сети и подсети Бастиона Azure.

az network vnet subnet create \
    --name subnet-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --address-prefixes '10.0.0.0/24'

az network vnet subnet create \
    --name AzureBastionSubnet \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --address-prefixes '10.0.1.0/26'

Создание узла-бастиона

Чтобы создать общедоступный IP-адрес узла-бастиона, выполните команду az network public-ip create.

az network public-ip create \
    --resource-group test-rg \
    --name public-ip \
    --sku standard \
    --zone 1 2 3

Воспользуйтесь командой az network bastion create, чтобы создать узел бастиона.

az network bastion create \
    --resource-group test-rg \
    --name bastion \
    --public-ip-address public-ip \
    --vnet-name vnet-1 \
    --location eastus2 \
    --sku basic

1. В поле поиска в верхней части портала введите сетевой шлюз NAT. В результатах поиска выберите NAT-шлюзы.

2. Выберите + Создать.

3. В разделе Создание шлюза NAT на вкладке Основные сведения введите или выберите следующие значения:

   Параметр	Значение
   Сведения о проекте
   Отток подписок	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об экземпляре
   Имя шлюза NAT	Введите nat-gateway.
   Область/регион	Выберите регион Восточная часть США 2.
   Availability zone	Выберите зону или зону без зоны.
   Время ожидания простоя TCP (минуты)	Сохраните значение по умолчанию 4.

4. Выберите Далее: Исходящий IP-адрес внизу страницы.

5. В общедоступных IP-адресах выберите "Создать новый общедоступный IP-адрес".

6. Введите public-ip-nat в name. Нажмите ОК.

7. Выберите Далее: Подсеть.

8. В виртуальной сети выберите виртуальную сеть-1.

9. В списке подсетей выберите поле для подсети-1.

10. Выберите Review + create (Просмотреть и создать).

11. Нажмите кнопку создания.

Используйте az network public-ip create , чтобы создать общедоступный IPv4-адрес для шлюза NAT.

az network public-ip create \
    --resource-group test-rg \
    --name public-ip-nat \
    --sku standard \
    --zone 1 2 3

Используйте az network nat gateway create для создания шлюза NAT.

az network nat gateway create \
    --resource-group test-rg \
    --name nat-gateway \
    --public-ip-addresses public-ip-nat \
    --idle-timeout 4

Используйте az network vnet subnet update , чтобы связать шлюз NAT с подсетью-1.

az network vnet subnet update \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --name subnet-1 \
    --nat-gateway nat-gateway

1. В поле поиска в верхней части портала введите виртуальные сети. В результатах поиска выберите Виртуальные сети.

2. Выберите виртуальную сеть-1.

3. В разделе "Параметры" выберите адресное пространство.

4. В поле с дополнительным диапазоном адресов введите 2404:f800:8000:122::/63.

5. Выберите Сохранить.

6. В разделе Параметры выберите Подсети.

7. Выберите подсеть-1 в списке подсетей.

8. Установите флажок Добавить диапазон IPv6-адресов.

9. Введите 2404:f800:8000:122::/64 в адресном пространстве IPv6.

10. Выберите Сохранить.

Используйте az network vnet update , чтобы добавить адресное пространство IPv6 в виртуальную сеть.

az network vnet update \
    --address-prefixes 10.0.0.0/16 2404:f800:8000:122::/63 \
    --name vnet-1 \
    --resource-group test-rg

Используйте az network vnet subnet update , чтобы добавить подсеть IPv6 в виртуальную сеть.

az network vnet subnet update \
    --address-prefixes 10.0.0.0/24 2404:f800:8000:122::/64 \
    --name subnet-1 \
    --vnet-name vnet-1 \
    --resource-group test-rg

Следующая процедура создает тестовую виртуальную машину с именем vm-1 в виртуальной сети.

1. На портале найдите и выберите "Виртуальные машины".

2. На виртуальных машинах нажмите кнопку +Создать, а затем виртуальную машину Azure.

3. На вкладке Основные сведения страницы Создание виртуальной машины введите или выберите следующие значения параметров:

   Параметр	Значение
   Сведения о проекте
   Отток подписок	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об экземпляре
   Virtual machine name	Введите vm-1.
   Область/регион	Выберите регион Восточная часть США 2.
   Параметры доступности	Выберите Избыточность инфраструктуры не требуется.
   Тип безопасности	Выберите Стандартное.
   Изображения	Выберите Ubuntu Server 22.04 LTS — x64-го поколения 2-го поколения.
   Архитектура виртуальной машины	Оставьте значение по умолчанию x64.
   Размер	Выберите размер.
   Учетная запись администратора
   Тип аутентификации	выберите Пароль.
   Username	Введите azureuser.
   Пароль	Введите пароль.
   Подтверждение пароля	Повторно введите пароль.
   Правила входящего порта
   Общедоступные входящие порты	Выберите Отсутствует.

4. Выберите вкладку "Сеть" в верхней части страницы.

5. На вкладке Сеть введите или выберите следующие значения параметров:

   Параметр	Значение
   Сетевой интерфейс
   Виртуальная сеть	Выберите виртуальную сеть-1.
   Подсеть	Выберите подсеть-1 (10.0.0.0/24).
   Общедоступный IP-адрес	Выберите Отсутствует.
   Группа безопасности сети сетевого адаптера	Выберите Дополнительно.
   Настройка группы безопасности сети	Выберите Создать. Введите nsg-1 для имени. Оставьте остальные значения по умолчанию и нажмите кнопку "ОК".

6. Оставьте остальные параметры по умолчанию и нажмите кнопку "Просмотр и создание".

7. Проверьте параметры и выберите Создать.

Дождитесь завершения развертывания виртуальной машины, прежде чем продолжить выполнение следующих действий.

Добавление IPv6 в виртуальную машину

Поддержка IPv6, виртуальная машина должна иметь конфигурацию сети IPv6, добавленную в сетевой интерфейс. Используйте следующий пример, чтобы добавить конфигурацию сети IPv6 в виртуальную машину.

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-1.

3. В разделе "Параметры" выберите "Сеть".

4. Выберите имя сетевого интерфейса в поле "Сетевой интерфейс". Имя сетевого интерфейса — это имя виртуальной машины, а также случайное число. В этом примере это vm-1202.

5. В свойствах сетевого интерфейса выберите Конфигурации IP в разделе Параметры.

6. Выберите Добавить.

7. Введите или выберите следующие сведения в разделе "Добавить IP-конфигурацию".

   Параметр	Значение
   Имя.	Введите ipconfig-ipv6.
   Версия протокола IP-адресов	Выберите IPv6.

8. Оставьте остальные значения по умолчанию и щелкните Добавить.

Создание NSG

Используйте az network nsg create для создания группы безопасности сети для виртуальной машины.

az network nsg create \
    --name nsg-1 \
    --resource-group test-rg

Используйте az network nsg rule create , чтобы создать правило для подключения RDP к виртуальной машине.

az network nsg rule create \
    --resource-group test-rg \
    --nsg-name nsg-1 \
    --name ssh-rule \
    --protocol '*' \
    --direction inbound \
    --source-address-prefix '*' \
    --source-port-range '*' \
    --destination-address-prefix '*' \
    --destination-port-range 22 \
    --access allow \
    --priority 200

Создание сетевого интерфейса

Используйте az network nic create , чтобы создать сетевой интерфейс для виртуальной машины.

az network nic create \
    --name nic-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --private-ip-address-version IPv4 

Добавление IPv6 в сетевой интерфейс

Поддержка IPv6, виртуальная машина должна иметь конфигурацию сети IPv6, добавленную в сетевой интерфейс. IPv6 не может быть основной IP-конфигурацией для сетевого интерфейса виртуальной машины. Дополнительные сведения см. в разделе "Обзор IPv6".

Используйте az network nic ip-config create , чтобы добавить конфигурацию IPv6 в сетевой интерфейс.

az network nic ip-config create \
    --name ipconfig-ipv6 \
    --nic-name nic-1 \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --private-ip-address-version IPv6

Создание виртуальной машины

Для создания виртуальной машины используйте az vm create.

az vm create \
    --resource-group test-rg \
    --name vm-1 \
    --image Ubuntu2204 \
    --admin-username azureuser \
    --authentication-type password \
    --nics nic-1    

1. В поле поиска в верхней части портала введите Подсистема балансировки нагрузки. В результатах поиска выберите Подсистема балансировки нагрузки.

2. Выберите + Создать.

3. На вкладке "Основные сведения" для создания подсистемы балансировки нагрузки введите или выберите следующие сведения:

   Параметр	Значение
   Сведения о проекте
   Отток подписок	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об экземпляре
   Имя.	Введите подсистему балансировки нагрузки.
   Область/регион	Выберите регион Восточная часть США 2.
   Номер SKU	Оставьте значение по умолчанию Стандартный.
   Тип	Щелкните Общедоступный.
   Уровень	Оставьте значение по умолчанию Региональный.

4. Нажмите кнопку "Далее" — интерфейсная IP-конфигурация.

5. Выберите + Добавить интерфейсную IP-конфигурацию.

6. Введите или выберите следующие сведения в конфигурации внешнего IP-адреса:

   Параметр	Значение
   Имя.	Введите frontend-ipv6.
   Версия протокола IP-адресов	Выберите IPv6.
   Тип IP-адреса	Выберите IP-адрес.
   Общедоступный IP-адрес	Выберите Создать. В поле "Имя" введите public-ip-ipv6. Нажмите кнопку ОК.

7. Выберите Добавить.

8. Нажмите кнопку "Далее" — серверные пулы.

9. Щелкните + Добавить внутренний пул.

10. Введите или выберите следующие сведения в серверном пуле:

    Параметр	Значение
    Имя.	Введите серверный пул.
    Виртуальная сеть	Выберите vnet-1 (test-rg).
    Конфигурация серверного пула	Оставьте значение по умолчанию NIC.

11. Выберите Сохранить.

12. Нажмите кнопку "Далее" — правила для входящего трафика, а затем — правила для исходящего трафика.

13. Выберите " Добавить правило исходящего трафика".

14. Введите или выберите следующие сведения в правиле добавления исходящего трафика:

    Параметр	Значение
    Имя.	Введите правило исходящего трафика.
    Версия IP-адреса	Выберите IPv6.
    Интерфейсный IP-адрес	Выберите frontend-ipv6.
    Протокол	Оставьте значение по умолчанию Все.
    Время ожидания простоя (в минутах)	Сохраните значение по умолчанию 4.
    Сброс TCP	Оставьте значение по умолчанию Включено.
    Внутренний пул	Выберите серверный пул.
    Выделение портов
    Выделение портов	Выберите Выбрать число исходящих портов вручную.
    Исходящие порты
    Выбор по	Выберите Число портов для каждого экземпляра.
    Количество портов для каждого экземпляра	Введите 20000.

15. Выберите Добавить.

16. Выберите Review + create (Просмотреть и создать).

17. Нажмите кнопку создания.

Дождитесь завершения развертывания подсистемы балансировки нагрузки, прежде чем перейти к следующим шагам.

Добавление виртуальной машины в подсистему балансировки нагрузки

1. В поле поиска в верхней части портала введите Подсистема балансировки нагрузки. В результатах поиска выберите Подсистема балансировки нагрузки.

2. Выберите подсистему балансировки нагрузки.

3. В разделе "Параметры" выберите серверные пулы.

4. Выберите серверный пул.

5. В виртуальной сети выберите vnet-1 (test-rg).

6. В конфигурациях IP-адресов выберите +Добавить.

7. Установите флажок для vm-1, соответствующий IP-конфигурации ipconfig-ipv6. Не выбирайте ipconfig1.

8. Выберите Добавить.

9. Выберите Сохранить.

Используйте az network public-ip create , чтобы создать общедоступный IPv6-адрес для внешнего IP-адреса подсистемы балансировки нагрузки.

az network public-ip create \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --sku standard \
    --version IPv6 \
    --zone 1 2 3

Используйте az network lb create для создания подсистемы балансировки нагрузки.

az network lb create \
    --name load-balancer \
    --resource-group test-rg \
    --backend-pool-name backend-pool \
    --frontend-ip-name frontend-ipv6 \
    --location eastus2 \
    --public-ip-address public-ip-ipv6 \
    --sku standard

Используйте az network lb outbound-rule create , чтобы создать правило исходящего трафика для внутреннего пула подсистемы балансировки нагрузки. Правило исходящего трафика обеспечивает исходящее подключение для виртуальных машин в серверном пуле подсистемы балансировки нагрузки.

az network lb outbound-rule create \
    --address-pool backend-pool \
    --frontend-ip-configs frontend-ipv6 \
    --lb-name load-balancer \
    --name outbound-rule \
    --protocol All \
    --resource-group test-rg \
    --outbound-ports 20000 \
    --enable-tcp-reset true

Добавление виртуальной машины в подсистему балансировки нагрузки

Используйте az network nic ip-config address-pool, чтобы добавить сетевой интерфейс виртуальной машины в внутренний пул подсистемы балансировки нагрузки.

az network nic ip-config address-pool add \
    --address-pool backend-pool \
    --ip-config-name ipconfig-ipv6 \
    --nic-name nic-1 \
    --resource-group test-rg \
    --lb-name load-balancer

1. В поле поиска в верхней части портала введите Общедоступные IP-адреса. В результатах поиска выберите элемент Общедоступный IP-адрес.

2. Выберите public-ip-nat.

3. Запишите адрес в IP-адресе. В этом примере это 203.0.113.5.

4. Вернитесь в раздел Общедоступные IP-адреса.

5. Выберите public-ip-ipv6.

6. Запишите адрес в IP-адресе. В этом примере это 2001:DB8::14.

Используйте az network public-ip show для получения общедоступных IP-адресов IPv4 и IPv6.

IPv4

az network public-ip show \
    --resource-group test-rg \
    --name public-ip-nat \
    --query ipAddress \
    --output tsv

azureuser@Azure:~$ az network public-ip show \
    --resource-group test-rg \
    --name public-ip-nat \
    --query ipAddress \
    --output tsv
203.0.113.5

IPv6

az network public-ip show \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --query ipAddress \
    --output tsv

azureuser@Azure:~$ az network public-ip show \
    --resource-group test-rg \
    --name public-ip-ipv6 \
    --query ipAddress \
    --output tsv
2001:DB8::14

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

3. Выберите vm-1.

4. В обзоре vm-1 выберите "Подключиться" и "Бастион". Выбор "Использовать бастион"

5. Введите имя пользователя и пароль, созданные при создании виртуальной машины.

6. Нажмите Подключиться.

7. В командной строке введите следующую команду, чтобы проверить IPv4-адрес.

   curl -4 icanhazip.com
   

   azureuser@vm-1:~$ curl -4 icanhazip.com
   203.0.113.5
   

8. В командной строке введите следующую команду, чтобы проверить IPv4-адрес.

   curl -6 icanhazip.com
   

   azureuser@vm-1:~$ curl -6 icanhazip.com
   2001:DB8::14
   

9. Закройте подключение бастиона к vm-1.

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

3. Выберите vm-1.

4. В обзоре vm-1 выберите "Подключиться" и "Бастион". Выбор "Использовать бастион"

5. Введите имя пользователя и пароль, созданные при создании виртуальной машины.

6. Нажмите Подключиться.

7. В командной строке введите следующую команду, чтобы проверить IPv4-адрес.

   curl -4 icanhazip.com
   

   azureuser@vm-1:~$ curl -4 icanhazip.com
   203.0.113.5
   

8. В командной строке введите следующую команду, чтобы проверить IPv4-адрес.

   curl -6 icanhazip.com
   

   azureuser@vm-1:~$ curl -6 icanhazip.com
   2001:DB8::14
   

9. Закройте подключение бастиона к vm-1.

1. Войдите на портал Azure; найдите в поиске и выберите Группы ресурсов.

2. На странице групп ресурсов выберите группу ресурсов test-rg.

3. На странице test-rg выберите "Удалить группу ресурсов".

4. Введите test-rg в поле "Введите имя группы ресурсов", чтобы подтвердить удаление и нажмите кнопку "Удалить".

Используйте az group delete , чтобы удалить группу ресурсов и содержащиеся в ней ресурсы.

az group delete \
    --name test-rg