Планирование гибридной ИТ-инфраструктуры с использованием инфраструктурных служб Windows Azure (часть 4)

Опубликовано: 8 Марта, 2023

на информационный бюллетень WindowsNetworking.com, посвященный обновлению статей в режиме реального времени

Введение

В части 3 этой серии, посвященной созданию гибридной ИТ-инфраструктуры, мы начали процесс создания виртуальной сети Azure. Напоминаем, что вы создаете виртуальные сети Azure, когда хотите, чтобы виртуальные машины из разных облачных служб взаимодействовали друг с другом. Как только эти виртуальные машины будут помещены в одну и ту же виртуальную сеть Azure, IP-адреса будут автоматически назначены им системой DHCP Azure. Помните, что эти IP-адреса, доставляемые DHCP, останутся на хостах, которым они предоставлены, до тех пор, пока вы не освободите виртуальную машину, отключив ее на портале Windows Azure.

Другими словами, если вы выключите виртуальную машину, используя опцию «выключить компьютер» в операционной системе, она не будет освобождена и не потеряет свой IP-адрес. Но если вы отключите виртуальную машину на портале Windows Azure, который фактически находится фактической операционной системы, тогда машина будет переведена в состояние освобождения и может потерять свой IP-адрес. Вам может быть интересно, выключите ли вы когда-нибудь виртуальную машину на портале Azure? Преимущество освобождения виртуальной машины заключается в том, что с вас не будет взиматься плата за ее выключение.

Если вы хотите узнать больше об освобожденном состоянии виртуальных машин в Windows Azure, см. статью Кита Майера по этому вопросу.

Понимание облачных сервисов

Что-то, что я не освещал в предыдущих частях этой серии и что важно для вас понять, — это концепция «облачной службы» в Windows Azure. Причина, по которой вам необходимо это понимать, заключается в том, что концепция облачной службы для виртуальных машин Windows Azure немного отличается от того, как этот термин используется в компонентах PaaS Windows Azure. Когда вы создаете виртуальную машину, она автоматически помещает виртуальную машину в облачную службу с тем же именем, что и у виртуальной машины, как показано на рисунке ниже.

фигура 1

Виртуальные машины, размещенные в одном облачном сервисе, смогут взаимодействовать друг с другом автоматически. Это означает, что если вы будете использовать веб-роль в Windows Azure и хотите, чтобы все машины в веб-роли взаимодействовали друг с другом, вам пришлось бы поместить их в одну и ту же облачную службу, и тогда они смогут общаться друг с другом. Вам не нужно размещать их в виртуальной сети Azure. Однако важно понимать, что они не смогут напрямую взаимодействовать с виртуальными машинами, которые находятся в других облачных службах. Чтобы позволить им общаться напрямую, они должны находиться в одной и той же облачной службе.

На рисунке ниже вы можете видеть, что при создании новой виртуальной машины вы выбираете, на какую облачную службу вы хотите поместить виртуальную машину. Это позволит всем виртуальным машинам в одной облачной службе взаимодействовать друг с другом. Кроме того, если виртуальная машина, в честь которой названа облачная служба, находится в виртуальной сети Azure, все машины в этой облачной службе будут помещены в одну и ту же виртуальную сеть Azure.

фигура 2

Если вы находите это запутанным, это так. К сожалению, большая часть терминологии, которая попала в компонент Azure Infrastructure Service, была перенесена из компонентов PaaS Windows Azure. То, что имело смысл для компонентов PaaS, к сожалению, иногда теряется при переводе применительно к предложениям Azure Infrastructure Services. С учетом сказанного, пожалуйста, дайте мне знать, если у вас есть вопросы по этому поводу, и я постараюсь ответить или попрошу Тома написать сообщение по этому вопросу в блоге Building Clouds, который он просматривает на TechNet.

Определение адресного пространства

Теперь, когда вы понимаете, как работают облачные службы в Azure Infrastructure Services, давайте вернемся и продолжим наш пошаговый процесс с того места, где мы остановились в прошлый раз. Мы создавали виртуальную сеть Azure и подошли к моменту, когда нам нужно было определить адресное пространство, которое будут использовать VPN-клиенты удаленного доступа при подключении к виртуальной сети Azure.

Это адреса, которые VPN-клиентам будет назначать Windows Azure при подключении к виртуальной сети Azure. Это позволяет ограничить количество VPN-подключений, которым разрешено подключаться к виртуальной сети Azure. Поскольку только администраторы должны подключаться к виртуальной сети Azure через VPN-подключение, вы, вероятно, захотите ограничить количество разрешенных подключений к виртуальной сети Azure в целях безопасности.

На рисунке ниже показан интерфейс для назначения IP-адреса. Вы можете выбрать один из обычных диапазонов частных адресов:

10.0.0.0
172.16.0.0
192.168.0.0

После выбора адресного пространства вам необходимо выбрать сетевую маску, которую вы хотите использовать для определения количества IP-адресов в адресном пространстве, как показано на рисунке ниже.

Рисунок 3

В этом примере видно, что я выбрал адресное пространство с маской /28. После того, как вы сделаете выбор, он будет выглядеть примерно так, как вы видите на рисунке ниже.

Рисунок 4

Назначение подсети шлюза

После выбора IP-адресов следующим шагом будет назначение VPN-клиентам, поэтому щелкните стрелку в правом нижнем углу страницы, чтобы перейти к следующему шагу. Здесь вам будет предложено добавить подсеть шлюза, как показано на рисунке ниже. Подсеть шлюза необходима, поскольку VPN-шлюзу, который будут создавать службы инфраструктуры Azure, нужен IP-адрес, поэтому он будет получать IP-адреса из пула, который вы назначаете подсети шлюза.

Рисунок 5

Завершение настройки

Теперь вы готовы завершить настройку виртуальной сети! Щелкните галочку в правом нижнем углу страницы, чтобы завершить настройку виртуальной сети Azure.

Рисунок 6

Когда это будет сделано, вы получите радостную новость!

Рисунок 7

Щелкнув узел Сеть на левой панели консоли, вы увидите на правой панели список созданных вами виртуальных сетей.

Рисунок 8

Щелкните имя созданной вами виртуальной сети Azure, и вы попадете на страницу приветствия. Эта страница очень полезна, и вы должны найти время, чтобы прочитать ее. Есть ссылки на документацию по виртуальным сетям Azure, а также на форум по виртуальным машинам Azure и виртуальным сетям. Обратите внимание, что на этом раннем этапе служб инфраструктуры Azure соглашения об именовании не очень «жесткие» в том смысле, что вы обнаружите, что одно и то же понятие упоминается по-разному. Например, форум называется Виртуальные машины Azure и виртуальные сети. Это потому, что так называлась служба до того, как она была изменена на Azure Infrastructure Services.

Рисунок 9

Создание шлюза

Когда вы нажмете ссылку DASHBOARD, вы увидите, что шлюз не был создан. Причина этого в том, что вы должны создать шлюз самостоятельно. Если вы посмотрите внизу страницы, вы увидите кнопку СОЗДАТЬ ШЛЮЗ. Щелкните это. Вас спросят, хотите ли вы создать шлюз. Нажмите ДА. По какой-то причине создание шлюза может занять очень много времени, так что наберитесь терпения и идите обедать. К тому времени, когда вы вернетесь, шлюз должен быть создан.

Рисунок 10

Рисунок 11

Рисунок 12

Тонкая настройка конфигурации

На рисунке ниже вы можете видеть, что в это время нет входящих и исходящих данных, но вы получаете информацию о том, какой общедоступный IP-адрес прослушивает VPN-шлюз. Вы также увидите, что вам нужно загрузить сертификат. Причина, по которой вам нужен сертификат, заключается в том, что вам потребуется создать подключение SSTP к шлюзу VPN в службах инфраструктуры Azure. Позже мы увидим, куда вы загрузите этот сертификат.

Рисунок 13

Щелкните ссылку НАСТРОЙКА в верхней части страницы консоли. Обратите внимание, что в нем говорится, что виртуальная сеть Azure используется. Когда сеть используется, вы можете только добавлять новые подсети и изменять настройки DNS-сервера для сети. Если сеть не используется (это означает, что в сети нет виртуальных машин), вы можете изменить IP-адреса, используемые этой виртуальной сетью Azure.

Вы помните наше обсуждение DNS-серверов в части 3 этой серии? По умолчанию службы инфраструктуры Azure настраивают собственную службу DNS, чтобы виртуальные машины в одной виртуальной сети Azure могли разрешать имена друг друга. Если это все, что вам нужно, то все в порядке.

Если вам нужно, чтобы виртуальные машины могли разрешать имена хостов в Интернете, или если вы хотите, чтобы они разрешали внутренние сетевые имена в вашей корпоративной сети, вам потребуется настроить здесь DNS-сервер. В этом примере мы не создаем VPN типа «сеть-сеть» (не волнуйтесь, мы вернемся к этому позже в этой серии статей), поэтому нам не нужно разрешение внутренних сетевых имен, но когда вы создаете гибридной ИТ-инфраструктуры, вам потребуется настроить виртуальную сеть Azure, которая подключается к вашей корпоративной сети, для использования локальных DNS-серверов.

Рисунок 14

Корневой сертификат

Теперь мы подошли к моменту, когда можем загрузить корневой сертификат в службы инфраструктуры Azure. Щелкните ссылку СЕРТИФИКАТЫ в верхней части страницы, как показано на рисунке ниже. Щелкните ссылку ЗАГРУЗИТЬ КОРНЕВОЙ СЕРТИФИКАТ.

Рисунок 15

Появится интерфейс загрузки сертификата. Щелкните ссылку ОБЗОР, а затем выберите свой сертификат. Затем нажмите на галочку, чтобы загрузить сертификат.

Рисунок 16

После загрузки сертификата вы увидите имя сертификата, а статус будет отображаться как Создан.

Рисунок 17

VPN-клиент

Щелкните ссылку DASHBOARD, и теперь вы увидите общедоступный IP-адрес шлюза, а в правой части страницы есть две ссылки. Один раз для 64-битного VPN-клиента и один для 32-битного VPN-клиента. Когда вы нажмете на ссылку, вы можете увидеть предупреждение от браузера, в котором говорится, что файл не является часто загружаемым файлом и может нанести вред вашему компьютеру. Не беспокойтесь об этом, просто скачайте его.

После загрузки файла для VPN-клиента запустите исполняемый файл. После завершения установки вы увидите новый значок VPN-подключения, которое подключит ваш компьютер к виртуальной сети Azure. Дважды щелкните его и запустите, как любой другой VPN-коннектоид.

Рисунок 18

Резюме

В этой части 4 нашей серии статей о гибридной ИТ-инфраструктуре мы обсудили, как завершить настройку VPN типа "точка-сайт" и как подключиться к виртуальной сети Azure через это VPN-подключение типа "точка-сайт". В следующей части этой серии вы узнаете, как создать VPN-шлюз site-to-site, а также как создать виртуальную машину и поместить ее в виртуальную сеть Azure. Тогда увидимся! – Деб.