Windows'ta bir noktadan siteye (P2S) VPN'i Azure Dosyalar ile kullanmak üzere yapılandırma

Azure portalını kullanarak noktadan siteye VPN ayarlamak için kaynak grubu adınızı, sanal ağ adınızı, ağ geçidi alt ağ adınızı ve depolama hesabı adınızı bilmeniz gerekir.

Gerekli bilgileri toplamak için bu betiği çalıştırın. , <vnet-name>, <subnet-name>ve <storage-account-name> değerlerini ortamınız için uygun değerlerle değiştirin<resource-group>.

$resourceGroupName  = '<resource-group-name>'
$virtualNetworkName = '<vnet-name>'
$subnetName         = '<subnet-name>'
$storageAccountName = '<storage-account-name>'

$virtualNetworkParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $virtualNetworkName
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnetId = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object {$_.Name -eq 'StorageAccountSubnet'} |
    Select-Object -ExpandProperty Id

$storageAccountParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$privateEndpoint = Get-AzPrivateEndpoint |
    Where-Object {
        $subnets = $_ |
            Select-Object -ExpandProperty Subnet |
            Where-Object {$_.Id -eq $subnetId}

        $connections = $_ |
            Select-Object -ExpandProperty PrivateLinkServiceConnections |
            Where-Object {$_.PrivateLinkServiceId -eq $storageAccount.Id}
        
        $null -ne $subnets -and $null -ne $connections
    } |
    Select-Object -First 1

Azure portalını kullanarak bir sanal ağ geçidi dağıtmak için şu yönergeleri izleyin.

1. Azure Portal’ında oturum açın.

2. Kaynakları, hizmetleri ve belgeleri ara bölümüne sanal ağ geçitleri yazın. Market arama sonuçlarında Sanal ağ geçitlerini bulun ve seçin.

3. Yeni bir sanal ağ geçidi oluşturmak için + Oluştur'u seçin.

4. Temel Bilgiler sekmesinde Proje ayrıntıları ve Örnek ayrıntıları değerlerini doldurun.

   

   • Abonelik: Açılan listeden kullanmak istediğiniz aboneliği seçin.
   • Kaynak Grubu: Bu sayfada sanal ağınızı seçtiğinizde bu ayar otomatik olarak doldurulur.
   • Ad: Ağ geçidinizi adlandırın. Ağ geçidinizi adlandırmak, ağ geçidi alt akını adlandırmakla aynı değildir. Oluşturduğunuz ağ geçidi nesnesinin adıdır.
   • Bölge: Bu kaynağı oluşturmak istediğiniz bölgeyi seçin. Ağ geçidinin bölgesi sanal ağ ile aynı olmalıdır.
   • Ağ geçidi türü: VPN’i seçin. VPN ağ geçitleri, VPN sanal ağ geçidi türünü kullanır.
   • SKU: Açılan listeden kullanmak istediğiniz özellikleri destekleyen ağ geçidi SKU'sunu seçin. Bkz. Ağ geçidi SKU'ları. IKEv2 kimlik doğrulamasını desteklemediğinden Temel SKU'yu kullanmayın.
   • Oluşturma: Kullanmak istediğiniz nesli seçin. 2. Nesil SKU kullanmanızı öneririz. Daha fazla bilgi için bkz. Ağ geçidi SKU'ları.
   • Sanal ağ: Açılan listeden, bu ağ geçidini eklemek istediğiniz sanal ağı seçin. Ağ geçidi oluşturmak istediğiniz sanal ağı göremiyorsanız doğru aboneliği ve bölgeyi seçtiğinizden emin olun.
   • Alt ağ: Bu alan gri gösterilmeli ve oluşturduğunuz ağ geçidi alt ağdaki adın yanı sıra IP adresi aralığı listelenmelidir. Bunun yerine metin kutusu içeren bir Ağ Geçidi alt ağ adres aralığı alanı görüyorsanız, henüz bir ağ geçidi alt ağı yapılandırmadınız demektir (bkz . Önkoşullar.)

5. Sanal ağ geçidiyle ilişkilendirilen Genel IP adresinin değerlerini belirtin. Sanal ağ geçidi oluşturulduğunda genel IP adresi bu nesneye atanır. Birincil genel IP adresinin değiştiği tek zaman, ağ geçidinin silinip yeniden oluşturulmasıdır. Yeniden boyutlandırma, sıfırlama veya diğer iç bakım/yükseltme işlemlerinde değişmez.

   

   • Genel IP adresi: Yeni oluştur'u seçili bırakın.
   • Genel IP adresi adı: Metin kutusuna genel IP adresi örneğinin adını yazın.
   • Genel IP adresi SKU'su: Ayar otomatik olarak seçilir.
   • Atama: Atama genellikle otomatik olarak seçilir ve Dinamik veya Statik olabilir.
   • Etkin-etkin modu etkinleştir: Devre Dışı'nı seçin. Bu ayarı yalnızca etkin-etkin ağ geçidi yapılandırması oluşturuyorsanız etkinleştirin.
   • BGP'yi yapılandırma: Yapılandırmanız bu ayarı özellikle gerektirmediği sürece Devre Dışı'yı seçin. Bu ayarı zorunlu kılarsanız, varsayılan ASN 65515'tir, ancak bu değer değiştirilebilir.

6. Doğrulamayı çalıştırmak için Gözden geçir + oluştur'u seçin. Doğrulama başarılı olduktan sonra Oluştur'u seçerek sanal ağ geçidini dağıtın. Dağıtımın tamamlanması 45 dakika kadar sürebilir.

7. Dağıtım tamamlandığında Kaynağa git'i seçin.

8. Hizmet menüsünde, Ayarlar'ın altında Noktadan siteye yapılandırma'yı ve ardından Şimdi yapılandır'ı seçin. Noktadan siteye yapılandırma sayfasını görmeniz gerekir.

   

   • Adres havuzu: Kullanmak istediğiniz özel IP adresi aralığını ekleyin. VPN istemcileri, belirttiğiniz aralıktan dinamik olarak bir IP adresi alır. En düşük alt ağ maskesi etkin/pasif için 29 bit ve etkin/etkin yapılandırma için 28 bittir.
   • Tünel türü: Kullanmak istediğiniz tünel türünü belirtin. Yerel Windows VPN istemcisi aracılığıyla bağlanan bilgisayarlar önce IKEv2'yi dener. Bu bağlanmazsa, SSTP'ye geri döner (açılan listeden hem IKEv2 hem de SSTP'yi seçerseniz). OpenVPN tünel türünü seçerseniz, OpenVPN İstemcisi veya Azure VPN İstemcisi kullanarak bağlanabilirsiniz.
   • Kimlik doğrulama türü: Kullanmak istediğiniz kimlik doğrulama türünü belirtin (bu durumda Azure sertifikası'nı seçin).
   • Kök sertifika adı: Kök sertifikanın dosya adı (.cer dosyası).
   • Genel sertifika verileri: Not Defteri ile kök sertifikayı açın ve genel sertifika verilerini bu metin alanına kopyalayıp yapıştırın. Otomatik olarak imzalanan bir kök sertifika oluşturmak için bu makaledeki PowerShell betiğini kullandıysanız, içinde C:\vpn-tempbulunur. Yalnızca -----BEGIN CERTIFICATE----- ile -----END CERTIFICATE arasında bulunan metni yapıştırdığınızdan emin olun-----. Ek boşluk veya karakter eklemeyin.

   Not

   Tünel türünü veya kimlik doğrulama türünü görmüyorsanız ağ geçidiniz Temel SKU kullanıyordur. Temel SKU, IKEv2 kimlik doğrulamasını desteklemez. IKEv2 kullanmak istiyorsanız, farklı bir ağ geçidi SKU'su kullanarak ağ geçidini silmeniz ve yeniden oluşturmanız gerekir.

9. Tüm yapılandırma ayarlarını kaydetmek ve kök sertifika ortak anahtarı bilgilerini Azure'a yüklemek için sayfanın üst kısmındaki Kaydet'i seçin.

aşağıdaki betikteki ve <desired-region> değerlerini bu değişkenler için uygun değerlerle değiştirin<desired-vpn-name>.

Bu kaynak dağıtılırken, bu PowerShell betiği dağıtımın tamamlanmasını engeller. Bu beklenen bir durumdur.

$vpnName             = '<desired-vpn-name>' 
$publicIpAddressName = "$vpnName-PublicIP"
$region              = '<desired-region>'

$publicIpParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $publicIpAddressName
    Location          = $region
    Sku               = 'Basic'
    AllocationMethod  = 'Dynamic'
}
$publicIpAddress = New-AzPublicIpAddress @publicIPParams

$gatewayIpParams = @{
    Name = 'vnetGatewayConfig'
    SubnetId = $subnetId
    PublicIpAddressId = $publicIPAddress.Id
}
$gatewayIpConfig = New-AzVirtualNetworkGatewayIpConfig @gatewayIpParams

$vpnClientRootCertParams = @{
    Name           = 'P2SRootCert'
    PublicCertData = $rootCertificate
}
$azRootCertificate = New-AzVpnClientRootCertificate @vpnClientRootCertParams

$virtualNetGatewayParams = @{
    ResourceGroupName         = $resourceGroupName
    Name                      = $vpnName
    Location                  = $region
    GatewaySku                = 'VpnGw2'
    IpConfigurations          = $gatewayIpConfig
    GatewayType               = 'Vpn'
    VpnType                   = 'RouteBased'
    IpConfigurations          = $gatewayIpConfig
    VpnClientAddressPool      = '172.16.201.0/24'
    VpnClientProtocol         = 'IkeV2'
    VpnClientRootCertificates = $azRootCertificate
}
$vpn = New-AzVirtualNetworkGateway @virtualNetGatewayParams

İstemci sertifikasını yükleme

Sanal ağ geçidinde kimlik doğrulaması için gereken istemci sertifikasını yüklemek için istemci bilgisayarda bu adımları izleyin.

1. İstemci sertifikası dışarı aktarıldıktan sonra .pfx dosyasını bulun ve istemci bilgisayara kopyalayın.
2. İstemci bilgisayarda .pfx dosyasına çift tıklayarak yükleme işlemini gerçekleştirin. Mağaza Konumu'nı Geçerli Kullanıcı olarak bırakın ve İleri'yi seçin.
3. İçeri aktarılacak Dosya sayfasında herhangi bir değişiklik yapmayın. İleri'yi seçin.
4. Özel anahtar koruması sayfasında sertifikanın parolasını girin veya güvenlik sorumlusunun doğru olduğundan emin olun ve İleri'yi seçin.
5. Sertifika Deposu sayfasında varsayılan konumu bırakın ve İleri'yi seçin.
6. Bitir'i seçin. Sertifika yüklemesinin Güvenlik Uyarısı'nda Evet'i seçin. Sertifikayı oluşturduğunuz için bu güvenlik uyarısı için rahatça 'Evet' seçeneğini belirleyebilirsiniz.
7. Sertifika başarıyla içeri aktarılır.

VPN istemcisini yükleme

Bu bölüm, Windows işletim sisteminizin parçası olan yerel VPN istemcisini sanal ağınıza (IKEv2 ve SSTP) bağlanacak şekilde yapılandırmanıza yardımcı olur. Bu yapılandırma ek istemci yazılımı gerektirmez.

Yapılandırma dosyalarını görüntüleme

İstemci bilgisayarda, aşağıdaki alt klasörleri görüntülemek için C:\vpn-temp vpnclientconfiguration klasörüne gidin ve klasörünü açın:

• Sırasıyla Windows 64 bit ve 32 bit yükleyici paketlerini içeren WindowsAmd64 ve WindowsX86. WindowsAmd64 yükleyici paketi yalnızca Amd için değil desteklenen tüm 64 bit Windows istemcileri içindir.
• Genel, kendi VPN istemci yapılandırmanızı oluşturmak için kullanılan genel bilgileri içerir. Genel klasörü, ağ geçidinde IKEv2 veya SSTP+IKEv2 yapılandırılmışsa sağlanır. Yalnızca SSTP yapılandırıldıysa Genel klasörü mevcut değildir.

VPN istemci profilini yapılandırma

Sürüm, istemcinin mimarisiyle eşleşdiği sürece, her Windows istemci bilgisayarında aynı VPN istemcisi yapılandırma paketini kullanabilirsiniz.

1. Windows bilgisayarın mimarisine karşılık gelen VPN istemcisi yapılandırma dosyalarını seçin. 64 bit işlemci mimarisi için yükleyici paketini seçin VpnClientSetupAmd64 . 32 bit işlemci mimarisi için yükleyici paketini seçin VpnClientSetupX86 .

2. Yüklemek için pakete çift tıklayın. SmartScreen açılır penceresi görürseniz Daha fazla bilgi'yi ve ardından Yine de çalıştır'ı seçin.

3. VPN'inize bağlanın. VPN Ayarları'na gidin ve oluşturduğunuz VPN bağlantısını bulun. Sanal ağınızla aynı addır. Bağlan'ı seçin. Bir açılır ileti görüntülenebilir. Yükseltilmiş ayrıcalıkları kullanmak için Devam'ı seçin.

4. Bağlantıyı başlatmak için Bağlantı durumu sayfasında Bağlan'ı seçin. Bir Sertifika Seç ekranı çıkarsa, gösterilen istemci sertifikasının bağlanmak için kullanmak istediğiniz sertifika olduğunu doğrulayın. Değilse, doğru sertifikayı seçmek için açılan oku kullanın ve ardından Tamam'ı seçin.

Aşağıdaki PowerShell betiği, sanal ağ geçidinde kimlik doğrulaması için gereken istemci sertifikasını yükler ve ardından VPN paketini indirip yükler. ve <computer2> değerini istenen bilgisayarlarla değiştirmeyi <computer1> unutmayın. Diziye daha fazla PowerShell oturumu ekleyerek bu betiği istediğiniz sayıda makinede $sessions çalıştırabilirsiniz. Kullanıcı hesabınızın bu makinelerin her birinde yönetici olması gerekir. Bu makinelerden biri betiği çalıştırdığınız yerel makineyse, betiği yükseltilmiş bir PowerShell oturumundan çalıştırmanız gerekir.

$sessions = [System.Management.Automation.Runspaces.PSSession[]]@()
$sessions += New-PSSession -ComputerName '<computer1>'
$sessions += New-PSSession -ComputerName '<computer2>'

foreach ($session in $sessions) {
    Invoke-Command -Session $session -ArgumentList $vpnTemp -ScriptBlock { 
        $vpnTemp = $args[0]
        if (-Not (Test-Path -Path $vpnTemp -PathType Container)) {
            New-Item -ItemType Directory -Force -Path 'C:\vpn-temp' | Out-Null
        }
    }

    $copyItemParams = @{
        Path        = @(
            $exportedclientcertpath,
            $exportedrootcertpath,
            "$vpnTemp\vpnclientconfiguration.zip"
        )
        Destination = $vpnTemp
        ToSession   = $session
    }
    Copy-Item @copyItemParams

    $invokeCmdParams = @{
        Session = $session
        ArgumentList = @($mypwd, $vpnTemp, $virtualNetworkName)
    }
    Invoke-Command @invokeCmdParams -ScriptBlock { 
        $mypwd              = $args[0] 
        $vpnTemp            = $args[1]
        $virtualNetworkName = $args[2]
        
        $pfxCertParams = @{
            Exportable        = $true
            Password          = $mypwd
            CertStoreLocation = 'Cert:\LocalMachine\My'
            FilePath          = "$vpnTemp\P2SClientCert.pfx" 
        }
        Import-PfxCertificate @pfxCertParams | Out-Null
        
        $importCertParams = @{
            FilePath          = "$vpnTemp\P2SRootCert.cer"
            CertStoreLocation = "Cert:\LocalMachine\Root"
        }
        Import-Certificate @importCertParams | Out-Null

        $vpnGenericParams = @{
            Path            = "$vpnTemp\vpnclientconfiguration.zip"
            DestinationPath = "$vpnTemp\vpnclientconfiguration"
        }
        Expand-Archive @vpnGenericParams

        $vpnGeneric = "$vpnTemp\vpnclientconfiguration\Generic"

        $vpnProfile = ([xml](Get-Content -Path "$vpnGeneric\VpnSettings.xml")).VpnProfile

        $vpnConnectionParams = @{
            Name                 = $virtualNetworkName
            ServerAddress        = $vpnProfile.VpnServer
            TunnelType           = 'Ikev2'
            EncryptionLevel      = 'Required'
            AuthenticationMethod = 'MachineCertificate'
            SplitTunneling       = $true
            AllUserConnection    = $true
        }
        Add-VpnConnection @vpnConnectionParams

        $vpnConnRoute1Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.Routes
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute1Params

        $vpnConnRoute2Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.VpnClientAddressPool
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute2Params

        rasdial $virtualNetworkName
    }
}

Remove-Item -Path $vpnTemp -Recurse

Depolama hesabı anahtarınızı kullanarak dosya paylaşımını bağlamak için bir Windows komut istemi açın ve aşağıdaki komutu çalıştırın. <YourStorageAccountName>, <FileShareName> ve <YourStorageAccountKey> değerleini kendi değerlerinizle değiştirin. Z ise: zaten kullanımdaysa bunu kullanılabilir bir sürücü harfiyle değiştirin. Depolama hesabına gidip Güvenlik + ağ>Erişim anahtarları'nı seçerek Depolama hesabı anahtarınızı Azure portalında bulabilirsiniz.

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName> /user:localhost\<YourStorageAccountName> <YourStorageAccountKey>

Aşağıdaki PowerShell betiği paylaşımı bağlar, paylaşımın gerçekten bağlandığını kanıtlamak için paylaşımın kök dizinini listeler ve ardından paylaşımı çıkarın.

$myShareToMount = '<file-share>'

$storageAccountKeyParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccountKeys = Get-AzStorageAccountKey @storageAccountKeyParams

$convertToSecureStringParams = @{
    String = $storageAccountKeys[0].Value
    AsPlainText = $true
    Force = $true
}
$storageAccountKey = ConvertTo-SecureString @convertToSecureStringParams

$getAzNetworkInterfaceParams = @{
    ResourceId = $privateEndpoint.NetworkInterfaces[0].Id
}
$nic = Get-AzNetworkInterface @getAzNetworkInterfaceParams

$storageAccountPrivateIP = $nic.IpConfigurations[0].PrivateIpAddress

$invokeCmdParams = @{
    Session = $sessions
    ArgumentList = @(
        $storageAccountName,
        $storageAccountKey,
        $storageAccountPrivateIP,
        $myShareToMount
    )
}
Invoke-Command @invokeCmdParams -ScriptBlock {
    $storageAccountName      = $args[0]
    $storageAccountKey       = $args[1]
    $storageAccountPrivateIP = $args[2]
    $myShareToMount          = $args[3]

    $credential = [System.Management.Automation.PSCredential]::new(
        "AZURE\$storageAccountName", 
        $storageAccountKey
    )

    $psDriveParams = @{
        Name       = 'Z'
        PSProvider = 'FileSystem'
        Root       = "\\$storageAccountPrivateIP\$myShareToMount"
        Credential = $credential
        Persist    = $true
    }
    New-PSDrive @psDriveParams | Out-Null

    Get-ChildItem -Path Z:\
    Remove-PSDrive -Name Z
}