Criar uma ligação de Site a Site com o portal do Azure (clássico)

Este artigo mostra-lhe como utilizar o portal do Azure para criar uma ligação de gateway de VPN de Site para Site a partir da sua rede no local para a VNet. As etapas neste artigo se aplicam ao modelo de implantação clássico (legado) e não se aplicam ao modelo de implantação atual, o Gerenciador de Recursos. Consulte a versão deste artigo do Resource Manager.

Uma ligação de gateway de VPN de Site para Site é utilizada para ligar a sua rede no local a uma rede virtual do Azure através de um túnel VPN IPsec/IKE (IKEv1 ou IKEv2). Este tipo de ligação requer um dispositivo VPN localizado no local que tenha um endereço IP público com acesso exterior atribuído ao mesmo. Para obter mais informações sobre o gateways de VPN, veja About VPN gateway (Acerca do gateway de VPN).

Antes de começar

Antes de iniciar a configuração, verifique se cumpre os seguintes critérios:

• Confirme que pretende trabalhar com o modelo de implementação clássica. Se você quiser trabalhar no modelo de implantação do Gerenciador de Recursos, consulte Criar uma conexão Site a Site (Gerenciador de Recursos). Recomendamos que você use o modelo de implantação do Resource Manager, pois o modelo clássico é legado.
• Certifique-se de que tem um dispositivo VPN compatível e alguém que o possa configurar. Para obter mais informações sobre os dispositivos VPN compatíveis e a configuração do dispositivo, consulte About VPN Devices (Acerca dos Dispositivos VPN).
• Verifique se tem um endereço IP IPv4 público com acesso exterior para o seu dispositivo VPN.
• Se você não estiver familiarizado com os intervalos de endereços IP localizados em sua configuração de rede local, precisará coordenar com alguém que possa fornecer esses detalhes para você. Ao criar esta configuração, tem de especificar prefixos de intervalo de endereços IP que o Azure irá encaminhar para a sua localização no local. Nenhuma das sub-redes da rede local pode sobrepor as sub-redes de rede virtual a que pretende ligar.
• O PowerShell é necessário para especificar a chave compartilhada e criar a conexão do gateway VPN. Ao trabalhar com o modelo de implantação clássico, você não pode usar o Azure Cloud Shell. Em vez disso, você deve instalar a versão mais recente dos cmdlets do PowerShell do Azure Service Management (SM) localmente em seu computador. Esses cmdlets são diferentes dos cmdlets AzureRM ou Az. Para instalar os cmdlets SM, consulte Instalar cmdlets do Service Management. Para obter mais informações sobre o Azure PowerShell em geral, consulte a documentação do Azure PowerShell.

Valores de configuração de exemplo para este exercício

Os exemplos neste artigo utilizam os seguintes valores. Pode utilizar estes valores para criar um ambiente de teste ou consultá-los para compreender melhor os exemplos neste artigo. Normalmente, ao trabalhar com valores de endereço IP para espaço de endereço, você deseja coordenar com o administrador da rede para evitar espaços de endereço sobrepostos, o que pode afetar o roteamento. Nesse caso, substitua os valores de endereço IP pelos seus próprios se quiser criar uma conexão de trabalho.

• Grupo de Recursos: TestRG1
• Nome da VNet: TestVNet1
• Espaço de endereço: 10.11.0.0/16
• Nome da sub-rede: FrontEnd
• Intervalo de endereços da sub-rede: 10.11.0.0/24
• GatewaySubnet: 10.11.255.0/27
• Região: (EUA) Leste dos EUA
• Nome do site local: Site2
• Espaço de endereços de cliente: o espaço de endereços que se encontra no seu site no local.

Criar uma rede virtual

Ao criar uma rede virtual para usar em uma conexão S2S, você precisa garantir que os espaços de endereço especificados não se sobreponham a nenhum dos espaços de endereço do cliente para os sites locais aos quais você deseja se conectar. Se tiver sub-redes sobrepostas, a ligação não funcionará corretamente.

• Se já tiver uma VNet, certifique-se de que as definições são compatíveis com a conceção do seu gateway de VPN. Preste especial atenção a quaisquer sub-redes que possam sobrepor-se a outras redes.

• Se ainda não tiver uma rede virtual, crie uma. As capturas de ecrã são disponibilizadas como exemplos. Não se esqueça de substituir os valores pelos seus.

Para criar uma rede virtual

1. Num browser, navegue para o Portal do Azure e, se necessário, inicie sessão com a sua conta do Azure.
2. Selecione +Criar um recurso. No campo Procurar no Marketplace, escreva "Rede Virtual". Localize Rede Virtual na lista retornada e selecione-a para abrir a página Rede Virtual.
3. Na página Rede Virtual, no botão Criar, você verá "Implantar com o Gerenciador de Recursos (alterar para Clássico)". O Resource Manager é o padrão para criar uma VNet. Você não deseja criar uma VNet do Resource Manager. Selecione (altere para Clássico) para criar uma rede virtual clássica. Em seguida, selecione a guia Visão geral e selecione Criar.
4. Na página Criar rede virtual (clássico), na guia Noções básicas, defina as configurações de rede virtual com os valores de exemplo.
5. Selecione Rever + criar para validar a sua rede virtual.
6. A validação é executada. Depois que a VNet for validada, selecione Criar.

As configurações de DNS não são uma parte necessária dessa configuração, mas o DNS é necessário se você quiser a resolução de nomes entre suas VMs. A especificação de um valor não cria um novo servidor DNS. O endereço IP do servidor DNS que especificar deve ser um servidor DNS que possa resolver os nomes dos recursos a que se está a ligar.

Depois de criar a rede virtual, pode adicionar o endereço IP de um servidor DNS, para lidar com a resolução de nomes. Abra as definições da sua rede virtual, selecione Servidores DNS e adicione o endereço IP do servidor DNS que pretende utilizar para a resolução de nomes.

1. Localize a rede virtual no portal.
2. Na página da sua rede virtual, na seção Configurações , selecione Servidores DNS.
3. Adicione um servidor DNS.
4. Para salvar suas configurações, selecione Salvar na parte superior da página.

Configurar o site e o gateway

Para configurar o site

O site local refere-se, normalmente, à sua localização no local. Ele contém o endereço IP do dispositivo VPN para o qual você criará uma conexão e os intervalos de endereços IP que serão roteados através do gateway VPN para o dispositivo VPN.

1. Na página da sua rede virtual, em Configurações, selecione Conexões site a site.

2. Na página Conexões site a site, selecione + Adicionar.

3. Na página Configurar uma conexão VPN e gateway, para Tipo de conexão, deixe Site-to-site selecionado. Para este exercício, você precisará usar uma combinação dos valores de exemplo e seus próprios valores .

   • Endereço IP do gateway de VPN: este é o endereço IP público do dispositivo VPN para a rede no local. O dispositivo VPN requer um endereço IP público IPv4. Especifique um endereço IP público válido para o dispositivo VPN ao qual pretende ligar. Ele deve ser acessível pelo Azure. Se não souber o endereço IP do seu dispositivo VPN, pode sempre colocar um valor de marcador de posição (desde que esteja no formato de um endereço IP público válido) e, em seguida, alterá-lo mais tarde.

   • Espaço de endereços de cliente: lista os intervalos de endereços IP que pretende que sejam encaminhados para a rede no local através deste gateway. Pode adicionar vários intervalos de espaço de endereços. Certifique-se de que os intervalos especificados aqui não se sobreponham aos intervalos de outras redes às quais sua rede virtual se conecta ou aos intervalos de endereços da própria rede virtual.

4. Na parte inferior da página, NÃO selecione Rever + criar. Em vez disso, selecione Next: Gateway>.

Para configurar o gateway de rede virtual

1. Na página Gateway, selecione os seguintes valores:

   • Tamanho: Este é o SKU de gateway que você usa para criar seu gateway de rede virtual. Os gateways de VPN clássicos utilizam os SKUs de gateway antigo (legados). Para obter mais informações sobre os SKU de gateway legados, veja Trabalhar com SKUs de gateway de rede virtual (antigos). Você pode selecionar Padrão para este exercício.

   • Sub-rede do gateway: o tamanho da sub-rede do gateway especificada depende da configuração do gateway VPN que você deseja criar. Embora seja possível criar uma sub-rede de gateway tão pequena quanto /29, recomendamos que você use /27 ou /28. Desta forma, estará a criar uma sub-rede maior que inclui mais endereços. Utilizar uma sub-rede de gateway maior permite que os endereços IP suficientes suportem possíveis configurações futuras.

2. Selecione Rever + criar na parte inferior da página para validar as suas definições. Selecione Criar para implantar. Pode levar até 45 minutos para criar um gateway de rede virtual, dependendo da SKU do gateway selecionada.

Configurar o dispositivo VPN

As ligações de Site a Site para uma rede no local requerem um dispositivo VPN. Neste passo, configure o seu dispositivo VPN. Ao configurar seu dispositivo VPN, você precisa dos seguintes valores:

• Uma chave partilhada. Esta é a mesma chave partilhada que especifica ao criar a ligação VPN de Site a Site. Nos nossos exemplos, iremos utilizar uma chave partilhada básica. Deve gerar uma chave mais complexa para utilizar.
• O endereço IP Público do gateway de rede virtual. Pode ver o endereço IP público através do portal do Azure, do PowerShell ou da CLI.

Para transferir os scripts de configuração do dispositivo VPN

Consoante o dispositivo VPN que tiver, poderá transferir um script de configuração do dispositivo VPN. Para mais informações, consulte Transferir os scripts de configuração do dispositivo VPN.

Consulte as seguintes ligações para informações de configuração adicionais:

• Para obter mais informações sobre os dispositivos VPN compatíveis, consulte VPN Devices (Dispositivos VPN).

• Antes de configurar o dispositivo VPN, verifique a existência de Problemas de compatibilidade de dispositivos conhecidos para o dispositivo VPN que pretende utilizar.

• Para ver as ligações para as definições de configuração de dispositivo, consulte Validated VPN Devices (Dispositivos VPN Validados). As ligações para a configuração do dispositivo são fornecidas numa base de melhor esforço. É sempre melhor verificar com o fabricante do dispositivo para obter as mais recentes informações de configuração. A lista mostra as versões que testamos. Se o seu SO não está nesta lista, é possível que a versão seja compatível. Contacte o fabricante do dispositivo para verificar se a versão do SO para o dispositivo VPN é compatível.

• Para obter uma visão geral da configuração do dispositivo VPN, consulte Visão geral da configuração do dispositivo VPN.

• Para obter informações sobre a edição de amostras de configuração do dispositivo, consulte Editing samples (Editar amostras).

• Para requisitos criptográficos, consulte Sobre os requisitos criptográficos e gateways de VPN do Azure.

• Para mais informações sobre os parâmetros de IPsec/IKE, consulte Sobre os dispositivos de VPN e os parâmetros de IPsec/IKE para ligações do Gateway da Rede Site-to-Site VPN. Esta ligação apresenta informações sobre a versão de IKE, Grupo Diffie-Hellman, Método de autenticação, encriptação e algoritmos hash, duração de SA, PFS e DPD, além de outras informações de parâmetros necessários para concluir a configuração.

• Para os passos de configuração da política de IPsec/IKE, consulte Configurar política de IPsec/IKE para ligações VPN S2S ou VNet para VNet.

• Para ligar vários dispositivos VPN baseados em políticas, veja Ligue gateways VPN do Azure a vários dispositivos VPN baseados em políticas no local com o PowerShell.

Recuperar valores

Quando você cria redes virtuais clássicas no portal do Azure, o nome que você exibe não é o nome completo que você usa para o PowerShell. Por exemplo, uma VNet que parece ser chamada TestVNet1 no portal, pode ter um nome muito mais longo no arquivo de configuração de rede. Para uma VNet no grupo de recursos "ClassicRG" o nome pode ser algo como: Group ClassicRG TestVNet1. Ao criar suas conexões, é importante usar os valores que você vê no arquivo de configuração de rede.

Nas etapas a seguir, você se conectará à sua conta do Azure e baixará e exibirá o arquivo de configuração de rede para obter os valores necessários para suas conexões.

1. Baixe e instale a versão mais recente dos cmdlets do PowerShell do Azure Service Management (SM). A maioria das pessoas tem os módulos do Resource Manager instalados localmente, mas não tem módulos de Gerenciamento de Serviços. Os módulos de gerenciamento de serviços são herdados e devem ser instalados separadamente. Para obter mais informações, consulte Instalar cmdlets do Service Management.

2. Abra a consola do PowerShell com direitos elevados e ligue-se à sua conta. Use os exemplos a seguir para ajudá-lo a se conectar. Você deve executar esses comandos localmente usando o módulo PowerShell Service Management. Ligar à sua conta. Utilize o exemplo seguinte para o ajudar na ligação:

   Add-AzureAccount
   

3. Verifique as subscrições da conta.

   Get-AzureSubscription
   

4. Se tiver mais do que uma subscrição, selecione a subscrição que pretende utilizar.

   Select-AzureSubscription -SubscriptionId "Replace_with_your_subscription_ID"
   

5. Crie um diretório no seu computador. Por exemplo, C:\AzureVNet

6. Exporte o arquivo de configuração de rede para o diretório. Neste exemplo, o arquivo de configuração de rede é exportado para C:\AzureNet.

   Get-AzureVNetConfig -ExportToFile C:\AzureNet\NetworkConfig.xml
   

7. Abra o arquivo com um editor de texto e visualize os nomes de suas redes virtuais e sites. Esses nomes serão os nomes que você usa ao criar suas conexões.
   Os nomes de VNet são listados como nome VirtualNetworkSite =
   Os nomes de site são listados como LocalNetworkSiteRef name =

Criar a ligação

Nesta etapa, usando os valores das etapas anteriores, você define a chave compartilhada e cria a conexão. A chave definida deve ser a mesma que foi usada na configuração do dispositivo VPN.

1. Defina a chave partilhada e crie a ligação.

   • Altere o valor -VNetName e o valor -LocalNetworkSiteName. Ao especificar um nome que contenha espaços, utilize plicas à volta do valor.
   • O '-SharedKey' é um valor que você gera e especifica. No exemplo, usamos 'abc123', mas você pode (e deve) gerar algo mais complexo. O importante é que o valor que especificar aqui seja igual ao valor que especificou quando configurou o seu dispositivo VPN.

   Set-AzureVNetGatewayKey -VNetName 'Group TestRG1 TestVNet1' `
   -LocalNetworkSiteName '6C74F6E6_Site2' -SharedKey abc123
   

2. Quando a ligação é criada, o resultado é: Estado: Com êxito.

Verificar a ligação

No portal do Azure, pode ver o estado da ligação de um Gateway de VPN de VNet clássica ao navegar para essa ligação. Os passos seguintes mostram uma forma de navegar para a ligação e realizar uma verificação.

1. No portal do Azure, vá para sua rede virtual clássica (VNet).
2. Na página de rede virtual, clique no tipo de conexão que deseja exibir. Por exemplo, conexões site a site.
3. Na página Conexões site a site, em Nome, selecione a conexão de site que deseja exibir.
4. Na página Propriedades, exiba as informações sobre a conexão.

Se você estiver tendo problemas para se conectar, consulte a seção Solução de problemas do sumário no painel esquerdo.

Como repor um gateway de VPN

Repor o gateway de VPN do Azure é útil se perder a conectividade VPN em vários locais num ou mais túneis de rede de VPNs. Nesta situação, os dispositivos VPN no local estão todos a funcionar corretamente, mas não podem estabelecer túneis IPsec com os gateways de VPN do Azure. Para obter os passos, veja Reset a VPN gateway (Repor um gateway de VPN).

Como redimensionar uma SKU de gateway

Para redimensionar um gateway para o modelo de implantação clássico, você deve usar os cmdlets do PowerShell de Gerenciamento de Serviços. Utilize o seguinte comando:

Resize-AzureVirtualNetworkGateway -GatewayId <Gateway ID> -GatewaySKU HighPerformance

Próximos passos

• Assim que a ligação estiver concluída, pode adicionar máquinas virtuais às redes virtuais. Para obter mais informações, veja Máquinas Virtuais.
• Para obter informações sobre o Túnel Forçado, veja About Forced Tunneling (Sobre o Túnel Forçado).