教程：使用虚拟网络对等互连连接虚拟网络

• 具有活动订阅的 Azure 帐户。 你可以免费创建一个帐户。

• 具有活动订阅的 Azure 帐户。 你可以免费创建一个帐户。

Azure Cloud Shell

Azure 托管 Azure Cloud Shell（一个可通过浏览器使用的交互式 shell 环境）。 可以将 Bash 或 PowerShell 与 Cloud Shell 配合使用来使用 Azure 服务。 可以使用 Cloud Shell 预安装的命令来运行本文中的代码，而不必在本地环境中安装任何内容。

若要启动 Azure Cloud Shell，请执行以下操作：

选项	示例/链接
选择代码或命令块右上角的“试用”。 选择“试用”不会自动将代码或命令复制到 Cloud Shell。
转到 https://shell.azure.com 或选择“启动 Cloud Shell”按钮，在浏览器中打开 Cloud Shell。
选择 Azure 门户右上角菜单栏上的 Cloud Shell 按钮。

若要使用 Azure Cloud Shell，请执行以下操作：

1. 启动 Cloud Shell。

2. 选择代码块（或命令块）上的“复制”按钮以复制代码或命令。

3. 在 Windows 和 Linux 上选择 CtrlShift+V，或在 macOS 上选择 CmdShift+V 将代码或命令粘贴到 Cloud Shell 会话中++。

4. 选择“Enter”运行代码或命令。

如果选择在本地安装和使用 PowerShell，则本文需要 Azure PowerShell 模块 1.0.0 或更高版本。 运行 Get-Module -ListAvailable Az 查找已安装的版本。 如果需要升级，请参阅安装 Azure PowerShell 模块。 如果在本地运行 PowerShell，则还需运行 Connect-AzAccount 以创建与 Azure 的连接。

如果没有 Azure 帐户，请在开始前创建一个免费帐户。

• 在 Azure Cloud Shell 中使用 Bash 环境。 有关详细信息，请参阅 Azure Cloud Shell 入门。

  

• 如果要在本地运行 CLI 引用命令，请安装 Azure CLI。 如果在 Windows 或 macOS 上运行，请考虑在 Docker 容器中运行 Azure CLI。 有关详细信息，请参阅如何在 Docker 容器中运行 Azure CLI。

  • 如果使用的是本地安装，请使用 az login 命令登录到 Azure CLI。 要完成身份验证过程，请遵循终端中显示的步骤。 有关其他登录选项，请参阅 使用 Azure CLI 向 Azure 进行身份验证。

  • 如果系统发出提示，则在首次使用时安装 Azure CLI 扩展。 有关扩展的详细信息，请参阅 使用和管理 Azure CLI 中的扩展。

  • 运行 az version 以查找所安装的版本和依赖库。 要升级到最新版本，请运行 az upgrade。

• 本文需要 Azure CLI 2.0.28 或更高版本。 如果使用 Azure Cloud Shell，则最新版本已安装。

创建虚拟网络和 Azure Bastion 主机

以下过程可创建包含资源子网、Azure Bastion 子网和 Bastion 主机的虚拟网络：

1. 在门户中，搜索并选择“虚拟网络”。

2. 在“虚拟网络”页面上，选择“+ 创建”。

3. 在“创建虚拟网络”的“基本信息”选项卡上，输入或选择以下信息：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择“新建”。 输入 “test-rg” 作为名称。 选择“确定”。
   实例详细信息
   名称	输入 vnet-1。
   区域	选择“美国东部 2”。

   

4. 选择“下一步”，转到“安全性”选项卡。

5. 在 “Azure Bastion” 部分，选择“启用 Azure Bastion”。

   通过使用其专用 IP 地址，Bastion 可使用浏览器通过安全外壳 (SSH) 或远程桌面协议 (RDP) 连接虚拟网络中的 VM（通过使用其专用 IP 地址）。 虚拟机不需要公共 IP 地址、客户端软件或特殊配置。 有关详细信息，请参阅什么是 Azure Bastion？。

   注意

   从部署 Bastion 的时刻开始按小时计费，与出站数据的使用情况无关。 有关详细信息，请参阅定价和 SKU。 如果要将 Bastion 部署为教程或测试的一部分，建议在使用完此资源后将其删除。

6. 在 “Azure Bastion” 中，输入或选择以下信息：

   设置	值
   Azure Bastion 主机名	输入“Bastion”。
   Azure Bastion 公共 IP 地址	选择“创建公共 IP 地址”。 在“名称”中输入 public-ip-bastion。 选择“确定”。

   

7. 选择“下一步”，以转到“IP 地址”选项卡。

8. 在“子网”的地址空间框中，选择“默认”子网。

9. 在“编辑子网”中，输入或选择以下信息：

   设置	值
   子网用途	保留默认值“默认”。
   名称	输入 “subnet-1”。
   IPv4
   IPv4 地址范围	保留默认值 “10.0.0.0/16”。
   起始地址	保留默认值“10.0.0.0”。
   大小	保留默认值“/24 (256 个地址)”。

   

10. 选择“保存”。

11. 在窗口底部选择“查看 + 创建”。 验证通过后，选择“创建”。

重复上述步骤，以使用以下值创建第二个虚拟网络：

在创建虚拟网络之前，必须为虚拟网络和本文中创建的所有其他资源创建资源组。 使用 New-AzResourceGroup 创建资源组。 以下示例在 eastus 位置创建名为“test-rg”的资源组。

$resourceGroup = @{
    Name = "test-rg"
    Location = "EastUS2"
}
New-AzResourceGroup @resourceGroup

使用 New-AzVirtualNetwork 创建虚拟网络。 以下示例使用地址前缀“10.0.0.0/16”创建一个名为 “vnet-1” 的虚拟网络。

$vnet1 = @{
    ResourceGroupName = "test-rg"
    Location = "EastUS2"
    Name = "vnet-1"
    AddressPrefix = "10.0.0.0/16"
}
$virtualNetwork1 = New-AzVirtualNetwork @vnet1

使用 Add-AzVirtualNetworkSubnetConfig 创建子网配置。 以下示例创建地址前缀为 10.0.0.0/24 的子网配置：

$subConfig = @{
    Name = "subnet-1"
    AddressPrefix = "10.0.0.0/24"
    VirtualNetwork = $virtualNetwork1
}
$subnetConfig1 = Add-AzVirtualNetworkSubnetConfig @subConfig

使用 Add-AzVirtualNetworkSubnetConfig 创建 Azure Bastion 的子网配置。 以下示例创建地址前缀为 10.0.1.0/24 的子网配置：

$subBConfig = @{
    Name = "AzureBastionSubnet"
    AddressPrefix = "10.0.1.0/24"
    VirtualNetwork = $virtualNetwork1
}
$subnetConfig2 = Add-AzVirtualNetworkSubnetConfig @subBConfig

使用 Set-AzVirtualNetwork 将子网配置写入虚拟网络，从而创建子网：

$virtualNetwork1 | Set-AzVirtualNetwork

创建 Azure Bastion

使用 New-AzPublicIpAddress 为 Azure Bastion 主机创建公共 IP 地址。 以下示例在 vnet-1 虚拟网络中创建名为 public-ip-bastion 的公共 IP 地址。

$publicIpParams = @{
    ResourceGroupName = "test-rg"
    Name = "public-ip-bastion"
    Location = "EastUS2"
    AllocationMethod = "Static"
    Sku = "Standard"
}
New-AzPublicIpAddress @publicIpParams

使用 New-AzBastion 创建 Azure Bastion 主机。 以下示例在 vnet-1 虚拟网络的 AzureBastionSubnet 子网中创建名为 Bastion 的 Azure Bastion 主机。 Azure Bastion 用于安全连接 Azure 虚拟机，而无需将其公开到公共 Internet。

$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-1"
    PublicIpAddressName = "public-ip-bastion"
    PublicIpAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
}
New-AzBastion @bastionParams -AsJob

创建第二个虚拟网络

使用 New-AzVirtualNetwork 创建第二个虚拟网络。 以下示例使用地址前缀“10.1.0.0/16”创建一个名为“vnet-2”的虚拟网络。

$vnet2 = @{
    ResourceGroupName = "test-rg"
    Location = "EastUS2"
    Name = "vnet-2"
    AddressPrefix = "10.1.0.0/16"
}
$virtualNetwork2 = New-AzVirtualNetwork @vnet2

使用 Add-AzVirtualNetworkSubnetConfig 创建子网配置。 以下示例创建地址前缀为 10.1.0.0/24 的子网配置：

$subConfig = @{
    Name = "subnet-1"
    AddressPrefix = "10.1.0.0/24"
    VirtualNetwork = $virtualNetwork2
}
$subnetConfig = Add-AzVirtualNetworkSubnetConfig @subConfig

使用 Set-AzVirtualNetwork 将子网配置写入虚拟网络，从而创建子网：

$virtualNetwork2 | Set-AzVirtualNetwork

在创建虚拟网络之前，必须为虚拟网络和本文中创建的所有其他资源创建资源组。 使用 az group create 创建资源组。 以下示例在 eastus 位置创建名为“test-rg”的资源组。

az group create \
    --name test-rg \
    --location eastus2

使用 az network vnet create 创建虚拟网络。 以下示例使用地址前缀“10.0.0.0/16”创建一个名为 “vnet-1” 的虚拟网络。

az network vnet create \
    --name vnet-1 \
    --resource-group test-rg \
    --address-prefixes 10.0.0.0/16 \
    --subnet-name subnet-1 \
    --subnet-prefix 10.0.0.0/24

使用 az network vnet subnet create 创建 Bastion 子网。

# Create a bastion subnet.
az network vnet subnet create \
    --vnet-name vnet-1 \
    --resource-group test-rg \
    --name AzureBastionSubnet \
    --address-prefix 10.0.1.0/24

创建 Azure Bastion

使用 az network public-ip create 为 Azure Bastion 主机创建公共 IP 地址。 以下示例在 vnet-1 虚拟网络中创建名为 public-ip-bastion 的公共 IP 地址。

az network public-ip create \
    --resource-group test-rg \
    --name public-ip-bastion \
    --location eastus2 \
    --allocation-method Static \
    --sku Standard

使用 az network bastion create 创建 Azure Bastion 主机。 以下示例在 vnet-1 虚拟网络的 AzureBastionSubnet 子网中创建名为 Bastion 的 Azure Bastion 主机。 Azure Bastion 用于安全连接 Azure 虚拟机，而无需将其公开到公共 Internet。

az network bastion create \
    --resource-group test-rg \
    --name bastion \
    --vnet-name vnet-1 \
    --public-ip-address public-ip-bastion \
    --location eastus2 \
    --no-wait

创建第二个虚拟网络

使用 az network vnet create 创建第二个虚拟网络。 以下示例使用地址前缀“10.1.0.0/16”创建一个名为“vnet-2”的虚拟网络。

az network vnet create \
    --name vnet-2 \
    --resource-group test-rg \
    --address-prefixes 10.1.0.0/16 \
    --subnet-name subnet-1 \
    --subnet-prefix 10.1.0.0/24

创建虚拟网络对等

使用以下步骤在 vnet1 和 vnet2 之间创建双向网络对等互连。

1. 在门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择 “vnet-1”。

3. 在“设置”中选择“对等互连”。

4. 选择“+ 添加”。

5. 在“添加对等互连”中，输入或选择以下信息：

   设置	值
   远程虚拟网络摘要
   对等互连链接名称	输入“vnet-2-to-vnet-1”。
   虚拟网络部署模型	保留默认值“资源管理器”。
   订阅	选择订阅。
   虚拟网络	选择“vnet-2”。
   远程虚拟网络对等互连设置
   允许“vnet-2”访问“vnet-1”	保留默认值“已选择”。
   允许“vnet-2”接收来自“vnet-1”的转发流量	选中复选框。
   允许“vnet-2”中的网关或路由服务器将流量转发到“vnet-1”	保留默认值“已清除”。
   启用“vnet-2”以使用“vnet-1”远程网关或路由服务器	保留默认值“已清除”。
   本地虚拟网络对等互连摘要
   对等互连链接名称	输入“vnet-1-to-vnet-2”。
   本地虚拟网络对等互连设置
   允许“vnet-1”访问“vnet-2”	保留默认值“已选择”。
   允许“vnet-1”接收来自“vnet-2”的转发流量	选中复选框。
   允许“vnet-1”中的网关或路由服务器将流量转发到“vnet-2”	保留默认值“已清除”。
   启用“vnet-1”以使用“vnet-2”的远程网关或路由服务器	保留默认值“已清除”。

   

6. 选择 添加 。

将虚拟网络对等互连

使用 Add-AzVirtualNetworkPeering 创建对等互连。 以下示例将 vnet-1 对等互连到 vnet-2。

$peerConfig1 = @{
    Name = "vnet-1-to-vnet-2"
    VirtualNetwork = $virtualNetwork1
    RemoteVirtualNetworkId = $virtualNetwork2.Id
}
Add-AzVirtualNetworkPeering @peerConfig1

在上一个命令执行后返回的输出中，会看到 PeeringState 已 启动。 对等互连将保持“Initiated”状态，直到创建从 vnet-2 到 vnet-1 的对等互连。 创建从 vnet-2 到 vnet-1 的对等互连。

$peerConfig2 = @{
    Name = "vnet-2-to-vnet-1"
    VirtualNetwork = $virtualNetwork2
    RemoteVirtualNetworkId = $virtualNetwork1.Id
}
Add-AzVirtualNetworkPeering @peerConfig2

在上一个命令执行后返回的输出中，可以看到 PeeringState 为 Connected。 Azure 还将从 vnet-1 到 vnet-2 的对等互连的对等互连状态更改为“Connected”。 使用 Get-AzVirtualNetworkPeering 确认从 vnet-1 到 vnet-2 的对等互连的对等互连状态是否已更改为“Connected”。

$peeringState = @{
    ResourceGroupName = "test-rg"
    VirtualNetworkName = "vnet-1"
}
Get-AzVirtualNetworkPeering @peeringState | Select PeeringState

在两个虚拟网络中的对等互连的“peeringState”为“Connected”之前，一个虚拟网络中的资源无法与另一个虚拟网络中的资源通信。

将虚拟网络对等互连

对等互连是在虚拟网络 ID 之间建立的。 使用 az network vnet show 获取每个虚拟网络的 ID，并将这些 ID 存储在各自的变量中。

# Get the id for vnet-1.
vNet1Id=$(az network vnet show \
  --resource-group test-rg \
  --name vnet-1 \
  --query id --out tsv)

# Get the id for vnet-2.
vNet2Id=$(az network vnet show \
  --resource-group test-rg \
  --name vnet-2 \
  --query id \
  --out tsv)

使用 az network vnet peering create 创建从 vnet-1 到 vnet-2 的对等互连。 如果未指定 --allow-vnet-access 参数，将建立对等互连，但没有通信可以通过它进行。

az network vnet peering create \
  --name vnet-1-to-vnet-2 \
  --resource-group test-rg \
  --vnet-name vnet-1 \
  --remote-vnet $vNet2Id \
  --allow-vnet-access

在上一个命令执行后返回的输出中，会看到 PeeringState 已 启动。 对等互连将保持“Initiated”状态，直到创建从 vnet-2 到 vnet-1 的对等互连。 创建从 vnet-2 到 vnet-1 的对等互连。

az network vnet peering create \
  --name vnet-2-to-vnet-1 \
  --resource-group test-rg \
  --vnet-name vnet-2 \
  --remote-vnet $vNet1Id \
  --allow-vnet-access

在上一个命令执行后返回的输出中，可以看到 peeringState 为 Connected。 Azure 还将从 vnet-1 到 vnet-2 的对等互连的对等互连状态更改为“Connected”。 使用 az network vnet peering show 确认从 vnet-1 到 vnet-2 的对等互连的对等互连的对等互连状态是否已更改为“Connected”。

az network vnet peering show \
  --name vnet-1-to-vnet-2 \
  --resource-group test-rg \
  --vnet-name vnet-1 \
  --query peeringState

在两个虚拟网络中的对等互连的“peeringState”为“Connected”之前，一个虚拟网络中的资源无法与另一个虚拟网络中的资源通信。

创建测试虚拟机

以下过程会在虚拟网络中创建一个名为 vm-1 的测试虚拟机 (VM)。

1. 在门户中，搜索并选择“虚拟机”。

2. 在“虚拟机”中，依次选择“+ 创建”和“Azure 虚拟机”。

3. 在“创建虚拟机”的“基本信息”选项卡上，输入或选择以下信息：

   设置	值
   项目详细信息
   订阅	选择订阅。
   资源组	选择 “test-rg”。
   实例详细信息
   虚拟机名称	输入 “vm-1”。
   区域	选择“美国东部 2”。
   可用性选项	选择“无需基础结构冗余”。
   安全类型	保留默认值“标准”。
   图像	选择“Ubuntu Server 22.04 LTS - x64 Gen2”。
   VM 体系结构	保留默认值 “x64”。
   大小	选择一个大小。
   管理员帐户
   身份验证类型	选择“密码”。
   用户名	输入“azureuser”。
   密码	输入密码。
   确认密码	重新输入密码。
   入站端口规则
   公共入站端口	选择“无”。

4. 选择页面顶部的“网络”选项卡。

5. 在“网络”选项卡中，输入或选择以下信息：

   设置	值
   网络接口
   虚拟网络	选择 “vnet-1”。
   子网	选择 “subnet-1 (10.0.0.0/24)”。
   公共 IP	选择“无”。
   NIC 网络安全组	选择“高级”。
   配置网络安全组	选择“新建”。 在“名称”中输入 “nsg-1”。 将其余字段保留默认设置，然后选择“确定”。

6. 将其余设置保留为默认值，然后选择“查看 + 创建”。

7. 检查设置，然后选择“创建”。

重复上述步骤，使用以下值在另一个虚拟网络中创建第二个虚拟机：

创建第一个虚拟机

使用 New-AzVM 创建虚拟机。 以下示例在 vnet-1 虚拟网络中创建名为 vm-1 的虚拟机。 出现提示时，输入虚拟机的用户名和密码。

# Create a credential object
$cred = Get-Credential

# Define the virtual machine parameters
$vmParams = @{
    ResourceGroupName = "test-rg"
    Location = "EastUS2"
    Name = "vm-1"
    ImageName = "Canonical:ubuntu-24_04-lts:server-gen1:latest"
    Size = "Standard_DS1_v2"
    Credential = $cred
    VirtualNetworkName = "vnet-1"
    SubnetName = "subnet-1"
    PublicIpAddressName = $null  # No public IP address
}

# Create the virtual machine
New-AzVM @vmParams

创建第二个虚拟机

# Create a credential object
$cred = Get-Credential

# Define the virtual machine parameters
$vmParams = @{
    ResourceGroupName = "test-rg"
    Location = "EastUS2"
    Name = "vm-2"
    ImageName = "Canonical:ubuntu-24_04-lts:server-gen1:latest"
    Size = "Standard_DS1_v2"
    Credential = $cred
    VirtualNetworkName = "vnet-2"
    SubnetName = "subnet-1"
    PublicIpAddressName = $null  # No public IP address
}

# Create the virtual machine
New-AzVM @vmParams

创建第一个虚拟机

使用 az vm create 创建虚拟机。 以下示例在 vnet-1 虚拟网络中创建名为 vm-1 的虚拟机。 如果默认密钥位置中尚不存在 SSH 密钥，该命令会创建它们。 该 --no-wait 选项在后台创建虚拟机，以便可以继续执行下一步。

az vm create \
    --resource-group test-rg \
    --name vm-1 \
    --image Ubuntu2204 \
    --vnet-name vnet-1 \
    --subnet subnet-1 \
    --admin-username azureuser \
    --authentication-type password \
    --no-wait

创建第二个虚拟机

在 vnet-2 虚拟网络中创建虚拟机。

az vm create \
    --resource-group test-rg \
    --name vm-2 \
    --image Ubuntu2204 \
    --vnet-name vnet-2 \
    --subnet subnet-1 \
    --admin-username azureuser \
    --authentication-type password

创建虚拟机需要几分钟时间。

使用完创建的资源之后，可以删除资源组及其所有资源。

1. 在 Azure 门户中，搜索并选择“资源组”。

2. 在“资源组”页上，选择 “test-rg” 资源组。

3. 在“test-rg”页上，选择“删除资源组”。

4. 在“输入资源组名称以确认删除”中输入 “test-rg”，然后选择“删除”。

如果不再需要资源组及其包含的所有资源，请使用 Remove-AzResourcegroup 将其删除。

$rgParams = @{
    Name = "test-rg"
}
Remove-AzResourceGroup @rgParams -Force

如果不再需要资源组及其包含的所有资源，可以使用 az group delete 将其删除。

az group delete \
    --name test-rg \
    --yes \
    --no-wait