Integrieren eines NAT-Gateways mit Azure Firewall in ein Hub-and-Spoke-Netzwerk für ausgehende Konnektivität

• Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.

• Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.

Azure Cloud Shell

Azure hostet Azure Cloud Shell, eine interaktive Shell-Umgebung, die Sie über Ihren Browser nutzen können. Sie können entweder Bash oder PowerShell mit Cloud Shell verwenden, um mit Azure-Diensten zu arbeiten. Sie können die vorinstallierten Cloud Shell-Befehle verwenden, um den Code in diesem Artikel auszuführen, ohne etwas in Ihrer lokalen Umgebung installieren zu müssen.

So starten Sie Azure Cloud Shell:

Option	Beispiel/Link
Wählen Sie rechts oben in einem Code- oder Befehlsblock die Option Ausprobieren aus. Durch die Auswahl von Ausprobieren wird der Code oder Befehl nicht automatisch in Cloud Shell kopiert.
Wechseln Sie zu https://shell.azure.com, oder wählen Sie die Schaltfläche "Cloud Shell starten " aus, um Cloud Shell in Ihrem Browser zu öffnen.	Schaltfläche
Wählen Sie im Azure-Portal rechts oben im Menü die Schaltfläche Cloud Shell aus.

So verwenden Sie Azure Cloud Shell:

1. Starten Sie Cloud Shell.

2. Wählen Sie die Schaltfläche Kopieren für einen Codeblock (oder Befehlsblock) aus, um den Code oder Befehl zu kopieren.

3. Fügen Sie den Code oder Befehl mit Strg+Shift+V auf Windows und Linux oder mit Cmd+Shift+V auf macOS in die Cloud Shell-Sitzung ein.

4. Wählen Sie Geben Sie ein, um den Code oder Befehl auszuführen.

Wenn du die Befehle lokal ausführst, installiere oder aktualisiere auf die aktuelle Azure PowerShell-Version, einschließlich des Az.Network-Moduls, bevor du beginnst. Die Beispiele verwenden die StandardV2-SKU . Nutze Get-Module mit-ListAvailable Az.Network, um dein installiertes Netzwerkmodul zu überprüfen. Melden Sie sich mit Connect-AzAccount an.

1. Melden Sie sich beim Azure-Portal an.

2. Geben Sie im Suchfeld oben im Portal Ressourcengruppe ein. Wählen Sie in den Suchergebnissen Ressourcengruppen aus.

3. Wählen Sie + Erstellen aus.

4. Geben Sie in der Registerkarte Grundlagen von Erstellen einer Ressourcengruppe die folgenden Informationen ein oder wählen Sie sie aus.

   Einstellung	Wert
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	test-rg
   Region	USA, Westen

5. Klicken Sie auf Überprüfen + erstellen.

6. Klicken Sie auf Erstellen.

Erstellen Sie mit New-AzResourceGroup eine Ressourcengruppe. Eine Azure-Ressourcengruppe ist ein logischer Container, in dem Azure-Ressourcen bereitgestellt und verwaltet werden.

Im folgenden Beispiel wird eine Ressourcengruppe namens "test-rg " am westus-Standort erstellt:

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

1. Melden Sie sich beim Azure-Portal an.

2. Geben Sie im Suchfeld oben im Azure-Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.

3. Klicken Sie auf Erstellen.

4. Geben Sie unter Virtuelles Netzwerk erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus.

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie "test-rg " oder "Ihre Ressourcengruppe" aus.
   Instanzendetails
   Name	Geben Sie vnet-hub ein.
   Region	Wählen Sie Ihre Region aus. In diesem Beispiel wird USA, Westen verwendet.

5. Wählen Sie die Registerkarte "IP-Adressen " aus, oder wählen Sie "Weiter: Sicherheit" und dann "Weiter: IP-Adressen" aus.

6. Wählen Sie in Subnetzen das Standardsubnetz aus.

7. Geben Sie unter Subnetz bearbeiten die folgenden Informationen ein, oder wählen Sie sie aus.

   Einstellung	Wert
   Subnetzzweck	Übernehmen Sie den Standardwert.
   Name	Geben Sie subnet-1 ein.

8. Behalten Sie die restlichen Einstellungen als Standard bei, und wählen Sie dann "Speichern" aus.

9. Wählen Sie + Subnetz hinzufügen aus.

10. Geben Sie unter "Subnetz hinzufügen" die folgenden Informationen ein, oder wählen Sie die folgenden Informationen aus.

    Einstellung	Wert
    Subnetzzweck	Wählen Sie Azure Bastion aus.

11. Lassen Sie die restlichen Einstellungen als Standard, und wählen Sie dann "Hinzufügen" aus.

12. Wählen Sie + Subnetz hinzufügen aus.

13. Geben Sie unter "Subnetz hinzufügen" die folgenden Informationen ein, oder wählen Sie die folgenden Informationen aus.

    Einstellung	Wert
    Subnetzzweck	Wählen Sie Azure Firewall aus.

14. Lassen Sie die restlichen Einstellungen als Standard, und wählen Sie dann "Hinzufügen" aus.

15. Klicken Sie aufÜberprüfen + erstellen und dann auf Erstellen.

Verwenden Sie New-AzVirtualNetwork, um das virtuelle Hubnetzwerk zu erstellen.

# Create hub virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-hub'
    AddressPrefix = '10.0.0.0/16'
}
$hubVnet = New-AzVirtualNetwork @vnetParams

Verwenden Sie Add-AzVirtualNetworkSubnetConfig, um ein Subnetz für Azure Firewall und Azure Bastion zu erstellen.

# Create default subnet
$subnetParams = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Firewall
$subnetParams = @{
    Name = 'AzureFirewallSubnet'
    AddressPrefix  = '10.0.1.64/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Bastion
$subnetParams = @{
    Name = 'AzureBastionSubnet'
    AddressPrefix  = '10.0.1.0/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Verwenden Sie Set-AzVirtualNetwork, um das virtuelle Netzwerk zu aktualisieren.

# Create the virtual network
$hubVnet | Set-AzVirtualNetwork

1. Geben Sie im Suchfeld oben im Azure-Portal Bastion ein. Wählen Sie Bastionen in den Suchergebnissen aus.

2. Klicken Sie auf Erstellen.

3. Geben Sie die folgenden Informationen auf der Registerkarte " Grundlagen " von "Bastion erstellen" ein, oder wählen Sie sie aus.

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie "test-rg " oder "Ihre Ressourcengruppe" aus.
   Instanzendetails
   Name	Geben Sie bastion ein.
   Region	Wählen Sie Ihre Region aus. In diesem Beispiel wird USA, Westen verwendet.
   Tarif	Wählen Sie "Einfach" aus.
   Virtuelles Netzwerk	Wählen Sie vnet-hub aus.
   Subnetz	Wählen Sie AzureBastionSubnet aus.
   Öffentliche IP-Adresse	Erstelle eine neue Standard-, statische öffentliche IP-Adresse namens public-ip-bastion.

   Bastion Basic unterstützt die Verbindung mit der Test-VM im peered spoke virtuellen Netzwerk. Bastion Developer unterstützt keine Verbindungen zu peered virtuellen Netzwerken. Weitere Informationen finden Sie unter Vergleich der Bastion-SKUs.

4. Klicken Sie aufÜberprüfen + erstellen und dann auf Erstellen.

Verwenden Sie New-AzPublicIpAddress, um eine öffentliche IP-Adresse für Azure Bastion zu erstellen.

# Create public IP for Azure Bastion
$publicIpBastionParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-bastion'
    Sku = 'Standard'
    AllocationMethod = 'Static'
}
$publicIpBastion = New-AzPublicIpAddress @publicIpBastionParams

Verwenden Sie New-AzBastion, um Azure Bastion zu erstellen.

# Create Azure Bastion
$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

1. Geben Sie in das Suchfeld am oberen Rand des Portals Firewall ein. Wählen Sie in den Suchergebnissen Firewalls aus.

2. Wählen Sie + Erstellen aus.

3. Verwenden Sie auf der Registerkarte Grundlagen im Dialogfeld Firewall erstellen die folgende Tabelle, um die Firewall zu konfigurieren:

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie test-rg aus.
   Instanzendetails
   Name	Geben Sie Firewall ein.
   Region	Wählen Sie West-USAaus.
   Firewall-SKU	Wählen Sie Standard aus.
   Firewallverwaltung	Wählen Sie Firewallrichtlinie zum Verwalten dieser Firewall verwenden aus.
   Firewallrichtlinie	Wählen Sie "Neu hinzufügen" aus. Name: Geben Sie Firewallrichtlinie ein. Region: Wählen Sie "West US" aus. Richtlinienebene: Standard. Wählen Sie "OK" aus.
   Virtuelles Netzwerk auswählen
   Virtuelles Netzwerk	Wählen Sie Vorhandenes verwenden aus.
   Virtuelles Netzwerk	Wählen Sie vnet-hub aus.
   Öffentliche IP-Adresse
   Öffentliche IP-Adresse	Wählen Sie Neu hinzufügen aus. Name: Geben Sie public-ip-firewall ein. SKU: Standard. Zuweisung: Statisch. Wählen Sie OK aus.

4. Deaktivieren Sie für dieses Tutorial Firewall-Verwaltungs-NIC aktivieren, und wählen Sie dann Weiter: Erweitert.

5. Im Reiter "Erweitert " wählen Sie NAT-Gateway aktivieren. Unter StandardV2 NAT-Gateway wählen Sie Neu erstellen.

   NAT Gateway ist optional, wenn du eine Firewall erstellst. Dieses Tutorial ermöglicht es, ausgehende SNAT über die öffentliche IP-Adresse des NAT-Gateways bereitzustellen. In einer Region, die das StandardV2 NAT Gateway nicht unterstützt, zeigt das Formular einen Validierungsfehler an. Wähle eine unterstützte Region auf Basics, um mit diesem Tutorial fortzufahren.

6. In Create a new StandardV2 NAT Gateway geben Sie nat-gateway für Name ein.

7. Unter öffentlichen IPv4-Adressen wählen Sie " Eine öffentliche IP-Adresse erstellen". Geben Sie public-ip-nat für Name ein.

8. Bestätige, dass die SKUStandardV2 und die Zuweisungstatisch ist, und wähle dann OK aus.

9. Bestätigen Sie, dass (neu) public-ip-nat unter öffentlichen IPv4-Adressen ausgewählt ist. Lassen Sie die Felder für IPv6-Adresse und öffentliche IP-Präfixe für dieses IPv4-Tutorial unausgewählt.

   

10. Wählen Sie Hinzufügen. Auf Erweitert bestätigen Sie, dass NAT-Gateway aktivieren ausgewählt ist und bei StandardV2 NAT Gateway(Neu) nat-gateway angezeigt wird.

    

11. Klicken Sie auf Überprüfen + erstellen. Bestätigen Sie, dass die Zusammenfassung West US, die Standard-Firewall-SKU , vnet-hub, public-ip-firewall und das neue StandardV2 NAT-Gateway zeigt.

12. Klicken Sie auf Erstellen.

    Die Bereitstellung erstellt die Firewall, das NAT-Gateway und die zugehörigen öffentlichen IP-Adressen. Außerdem ist das NAT-Gateway mit AzureFirewallSubnet verknüpft. Die Bereitstellung nimmt einige Minuten in Anspruch.

    Behalte die eigene öffentliche IP-Adresse der Firewall. Outbound SNAT verwendet die öffentliche IP des NAT-Gateways, während der eingehende DNAT die öffentliche Firewall-IP verwendet. Workload-Routen zeigen weiterhin auf die private IP-Adresse der Firewall.

13. Wechseln Sie nach Abschluss der Bereitstellung zur test-rg-Ressourcengruppe und wählen Sie die Firewallressource aus.

14. Notieren Sie sich die öffentlichen IP-Adressen der Firewall. Diese Adressen werden später verwendet.

Verwenden Sie New-AzPublicIpAddress, um eine öffentliche IP-Adresse für Azure Firewall zu erstellen.

# Create public IP for Azure Firewall
$publicIpFirewallParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-firewall'
    AllocationMethod  = 'Static'
    Sku = 'Standard'
}
$publicIpFirewall = New-AzPublicIpAddress @publicIpFirewallParams

Verwenden Sie New-AzFirewallPolicy, um eine Firewallrichtlinie zu erstellen.

# Create firewall policy
$firewallPolicyParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'firewall-policy'
}
$firewallPolicy = New-AzFirewallPolicy @firewallPolicyParams

Verwenden Sie New-AzFirewall, um Azure Firewall zu erstellen.

# Create Azure Firewall
    $firewallParams = @{
        ResourceGroupName = 'test-rg'
        Location = 'westus'
        Name = 'firewall'
        VirtualNetworkName = 'vnet-hub'
        PublicIpName = 'public-ip-firewall'
        FirewallPolicyId = $firewallPolicy.Id
    }
    $firewall = New-AzFirewall @firewallParams

Erstelle kein weiteres NAT-Gateway. Überprüfen Sie die im vorangegangenen Abschnitt erstellten Ressourcen und Vereinigungen:

1. Öffne test-rg und wähle nat-gateway aus. Bestätigen Sie, dass die SKU StandardV2 ist und ihr Standort mit der Firewall übereinstimmt.
2. Öffnen Sie vnet-hub, wählen Sie Subnets und wählen Sie AzureFirewallSubnet.
3. Bestätigen Sie, dass das NAT-Gateway auf NAT-Gateway eingestellt ist. Lassen Sie die Subnetzeinstellungen unverändert.
4. Öffnen Sie public-ip-nat und bestätigen, dass es die StandardV2-SKU verwendet. Diese Adresse ist getrennt von public-ip-firewall, die die Standard-SKU verwendet.

Verwenden Sie New-AzPublicIpAddress , um eine zone redundante öffentliche IPv4-IP-Adresse für das NAT-Gateway zu erstellen.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'StandardV2'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

Verwenden Sie New-AzNatGateway , um die NAT-Gatewayressource zu erstellen.

Ein StandardV2 NAT Gateway ist standardmäßig zonenredundant. Lassen Sie den optionalen Zone Parameter weg, anstatt dieses Gateway einer einzelnen Zone zuzuweisen.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'StandardV2'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
}
$natGateway = New-AzNatGateway @nat

Verwenden Sie Set-AzVirtualNetworkSubnetConfig, um das NAT-Gateway AzureFirewallSubnet zuzuordnen.

# Get the hub virtual network
$vnetHub = Get-AzVirtualNetwork -ResourceGroupName 'test-rg' -Name 'vnet-hub'

# Associate NAT gateway with AzureFirewallSubnet
$subnetParams = @{
    VirtualNetwork = $vnetHub
    Name = 'AzureFirewallSubnet'
    AddressPrefix = '10.0.1.64/26'
    NatGateway = $natGateway
}
Set-AzVirtualNetworkSubnetConfig @subnetParams

# Update the virtual network
$vnetHub | Set-AzVirtualNetwork

1. Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.

2. Wählen Sie + Erstellen aus.

3. Geben Sie unter Virtuelles Netzwerk erstellen auf der Registerkarte Grundlagen die folgenden Informationen an, oder wählen Sie sie aus:

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie test-rg aus.
   Instanzendetails
   Name	Geben Sie vnet-spoke ein.
   Region	Wählen Sie West-USAaus.

4. Wählen Sie Weiter aus, um zur Registerkarte Sicherheit zu gelangen.

5. Wählen Sie Weiter aus, um zur Registerkarte IP-Adressen zu gelangen.

6. Wählen Sie auf der Registerkarte IP-Adressen im IPv4-Adressraum die Option Adressraum löschen aus, um den automatisch mit Daten aufgefüllten Adressraum zu löschen.

7. Wählen Sie + IPv4-Adressraum hinzufügen aus.

8. Geben Sie unter IPv4-Adressraum den Adressraum 10.1.0.0 ein. Übernehmen Sie bei der Maskenauswahl den Standardwert /16 (65.536 Adressen).

9. Wählen Sie + Subnetz hinzufügen aus.

10. Geben Sie unter Subnetz hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:

    Einstellung	Wert
    Subnetzzweck	Übernehmen Sie den Standardwert: Standard.
    Name	Geben Sie subnet-private ein.
    IPv4
    IPv4-Adressbereich	Übernehmen Sie den Standardwert 10.1.0.0/16.
    Startadresse	Übernehmen Sie den Standardwert 10.1.0.0.
    Größe	Übernehmen Sie den Standardwert: /24 (256 Adressen).

11. Wählen Sie Hinzufügen.

12. Klicken Sie auf Überprüfen + erstellen.

13. Klicken Sie auf Erstellen.

Verwenden Sie New-AzVirtualNetwork, um das virtuelle Spoke-Netzwerk zu erstellen.

# Create spoke virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-spoke'
    AddressPrefix = '10.1.0.0/16'
}
$spokeVnet = New-AzVirtualNetwork @vnetParams

Verwenden Sie Add-AzVirtualNetworkSubnetConfig, um ein Subnetz für das virtuelle Spoke-Netzwerk zu erstellen.

# Create subnet in spoke virtual network
$subnetParams = @{
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    VirtualNetwork = $spokeVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Verwenden Sie Set-AzVirtualNetwork, um das virtuelle Spoke-Netzwerk zu aktualisieren.

# Create the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. Geben Sie im Suchfeld oben im Portal den Suchbegriff Virtuelles Netzwerk ein. Wählen Sie in den Suchergebnissen Virtuelle Netzwerke aus.

2. Wählen Sie vnet-hub aus.

3. Wählen Sie unter Einstellungen die Option Peerings aus.

4. Wählen Sie + Hinzufügen.

5. Geben Sie unter Peering hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:

   Einstellung	Wert
   Zusammenfassung zu virtuellen Remotenetzwerken
   Name des Peeringlinks	Geben Sie vnet-spoke-to-vnet-hub ein.
   Bereitstellungsmodell für das virtuelle Netzwerk	Übernehmen Sie den Standardwert Ressourcen-Manager.
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Virtuelles Netzwerk	Wählen Sie vnet-spoke (test-rg) aus.
   Einstellungen für das Peering virtueller Remotenetzwerke
   Zulassen des Zugriffs von „vnet-spoke“ auf „vnet-hub“	Übernehmen Sie die Standardeinstellung Ausgewählt.
   Zulassen des Empfangs des von „vnet-hub“ weitergeleiteten Datenverkehrs durch „vnet-spoke“	Aktivieren Sie das Kontrollkästchen.
   Gateway oder Routenserver in „vnet-spoke“ erlauben, Datenverkehr an „vnet-hub“ weiterzuleiten	Übernehmen Sie die Standardeinstellung Deaktiviert.
   Zulassen, dass „vnet-spoke“ den Remote-Gateway oder Routenserver von „vnet-hub“ verwendet	Übernehmen Sie die Standardeinstellung Deaktiviert.
   Lokales virtuelles Netzwerk: Zusammenfassung
   Name des Peeringlinks	Geben Sie vnet-hub-to-vnet-spoke ein.
   Einstellungen für das Peering lokaler virtueller Netzwerke
   Zulassen des Zugriffs von „vnet-hub“ auf „vnet-spoke“	Übernehmen Sie die Standardeinstellung Ausgewählt.
   Zulassen des Empfangs des von „vnet-spoke“ weitergeleiteten Datenverkehrs durch „vnet-hub“	Aktivieren Sie das Kontrollkästchen.
   Gateway oder Routenserver in „vnet-hub“ erlauben, Datenverkehr an „vnet-spoke“ weiterzuleiten	Übernehmen Sie die Standardeinstellung Deaktiviert.
   Zulassen, dass „vnet-hub“ den Remote-Gateway oder Routenserver von „vnet-spoke“ verwendet	Übernehmen Sie die Standardeinstellung Deaktiviert.

6. Wählen Sie Hinzufügen.

7. Wählen Sie Aktualisieren aus, und überprüfen Sie, ob der Peeringstatus den Zustand Verbunden aufweist.

Verwenden Sie Add-AzVirtualNetworkPeering, um ein Peering vom Hub zum Spoke zu erstellen.

# Create peering from hub to spoke
$peeringParams = @{
    Name = 'vnet-hub-to-vnet-spoke'
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

Verwenden Sie Add-AzVirtualNetworkPeering, um ein Peering vom Spoke zum Hub zu erstellen.

# Create peering from spoke to hub
$peeringParams = @{
    Name = 'vnet-spoke-to-vnet-hub'
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

1. Geben Sie in das Suchfeld am oberen Rand des Portals Firewall ein. Wählen Sie in den Suchergebnissen Firewalls aus.

2. Wählen Sie Firewall aus.

3. Beachten Sie in der Übersicht von Firewall die IP-Adresse im Feld Private IP-Adresse der Firewall. In diesem Beispiel lautet die IP-Adresse 10.0.1.68.

Verwenden Sie Get-AzFirewall, um die private IP-Adresse der Firewall abzurufen.

# Get the private IP address of the firewall
$firewallParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'firewall'
}
$firewall = Get-AzFirewall @firewallParams
$firewall.IpConfigurations[0].PrivateIpAddress

1. Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.

2. Wählen Sie + Erstellen aus.

3. Geben Sie in Routingtabelle erstellen die folgenden Informationen ein, oder wählen Sie sie aus:

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie test-rg aus.
   Instanzendetails
   Region	Wählen Sie West-USAaus.
   Name	Geben Sie route-table-spoke ein.
   Gatewayrouten verteilen	Wählen Sie also Nein.

4. Klicken Sie auf Überprüfen + erstellen.

5. Klicken Sie auf Erstellen.

6. Geben Sie oben im Portal im Suchfeld den Begriff Routingtabelle ein. Wählen Sie in den Suchergebnissen den Eintrag Routingtabellen aus.

7. Wählen Sie route-table-spoke aus.

8. Wählen Sie unter Einstellungen die Option Routen aus.

9. Wählen Sie unter Routen die Option + Hinzufügen aus.

10. Geben Sie unter Route hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:

    Einstellung	Wert
    Routenname	Geben Sie route-to-hub ein.
    Zieltyp	Wählen Sie IP-Adressen aus.
    Ziel-IP-Adressen/CIDR-Bereiche	Geben Sie 0.0.0.0/0 ein.
    Typ des nächsten Hops	Wählen Sie Virtuelles Gerät aus.
    Adresse des nächsten Hops	Gib die private IP-Adresse der Firewall ein, die du zuvor aufgegeben hast. Verwenden Sie nicht die öffentliche IP-Adresse des NAT-Gateways.

11. Wählen Sie Hinzufügen.

12. Wählen Sie unter Einstellungen die Option Subnetze aus.

13. Wählen Sie + Zuordnen aus.

14. Geben Sie unter Subnetz zuordnen die folgenden Informationen ein, oder wählen Sie sie aus:

    Einstellung	Wert
    Virtuelles Netzwerk	Wählen Sie vnet-spoke (test-rg) aus.
    Subnetz	Wählen Sie subnet-private aus.

15. Klicken Sie auf OK.

Verwenden Sie New-AzRouteTable , um die Routentabelle zu erstellen.

# Create route table
$routeTableParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'route-table-spoke'
}
$routeTable = New-AzRouteTable @routeTableParams

Verwenden Sie Add-AzRouteConfig, um eine Route in der Routingtabelle zu erstellen.

# Create route
$routeConfigParams = @{
    Name = 'route-to-hub'
    AddressPrefix = '0.0.0.0/0'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = $firewall.IpConfigurations[0].PrivateIpAddress
    RouteTable = $routeTable
}
Add-AzRouteConfig @routeConfigParams

Verwenden Sie Set-AzRouteTable, um die Routingtabelle zu aktualisieren.

# Update the route table
$routeTable | Set-AzRouteTable

Verwenden Sie Set-AzVirtualNetworkSubnetConfig, um die Routingtabelle dem Spoke-Subnetz zuzuordnen.

# Associate route table with subnet
$subnetConfigParams = @{
    VirtualNetwork = $spokeVnet
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    RouteTable = $routeTable
}
Set-AzVirtualNetworkSubnetConfig @subnetConfigParams

Verwenden Sie Set-AzVirtualNetwork, um das virtuelle Spoke-Netzwerk zu aktualisieren.

# Update the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. Geben Sie in das Suchfeld am oberen Rand des Portals Firewall ein. Wählen Sie in den Suchergebnissen Firewallrichtlinien aus.

2. Wählen Sie firewall-policy aus.

3. Erweitern Sie Einstellungen, und wählen Sie dann Netzwerkregeln aus.

4. Wählen Sie + Regelsammlung hinzufügen aus.

5. Geben Sie unter Regelsammlung hinzufügen die folgenden Informationen ein, oder wählen Sie sie aus:

   Einstellung	Wert
   Name	Geben Sie spoke-to-internet ein.
   Regelsammlungstyp	Wählen Sie Netzwerk aus.
   Priority	Geben Sie 100 ein.
   Regelsammlungsaktion	Wählen Sie Zulassen aus.
   Regelsammlungsgruppe	Wählen Sie DefaultNetworkRuleCollectionGroup aus.
   Regeln
   Name	Geben Sie allow-web ein.
   Quellentyp	IP Address (IP-Adresse):
   `Source`	Geben Sie 10.1.0.0/24 ein.
   Protokoll	Wählen Sie TCP aus.
   Zielports	Geben Sie 80,443 ein.
   Zieltyp	Wählen Sie IP-Adresse aus.
   Bestimmungsort	Geben Sie * ein.

6. Wählen Sie Hinzufügen.

Verwenden Sie Get-AzFirewallPolicy, um die vorhandene Firewallrichtlinie abzurufen.

# Get the existing firewall policy
$firewallPolicyParams = @{
    Name = 'firewall-policy'
    ResourceGroupName = 'test-rg'
}
$firewallPolicy = Get-AzFirewallPolicy @firewallPolicyParams

Verwenden Sie New-AzFirewallPolicyNetworkRule, um eine Netzwerkregel zu erstellen.

# Create a network rule for web traffic
$networkRuleParams = @{
    Name = 'allow-internet'
    SourceAddress = '10.1.0.0/24'
    Protocol = 'TCP'
    DestinationAddress = '*'
    DestinationPort = '80', '443'
}
$networkRule = New-AzFirewallPolicyNetworkRule @networkRuleParams

Verwenden Sie New-AzFirewallPolicyFilterRuleCollection, um eine Regelsammlung für die Netzwerkregel zu erstellen.

# Create a rule collection for the network rule
$ruleCollectionParams = @{
    Name = 'spoke-to-internet'
    Priority = 100
    Rule = $networkRule
    ActionType = 'Allow'
}
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection @ruleCollectionParams

Verwenden Sie New-AzFirewallPolicyRuleCollectionGroup, um eine Regelsammlungsgruppe zu erstellen.

$newRuleCollectionGroupParams = @{
        Name = 'DefaultNetworkRuleCollectionGroup'
        Priority = 200
        FirewallPolicyObject = $firewallPolicy
        RuleCollection = $ruleCollection
    }
New-AzFirewallPolicyRuleCollectionGroup @newRuleCollectionGroupParams

1. Suchen Sie im Portal nach Virtuelle Computer, und klicken Sie darauf.

2. Wählen Sie unter VM die Option + Erstellen und dann Azure-VM aus.

3. Geben Sie unter Virtuellen Computer erstellen auf der Registerkarte Grundlagen die folgenden Informationen ein, oder wählen Sie sie aus:

   Einstellung	Wert
   Projektdetails
   Abonnement	Wählen Sie Ihr Abonnement aus.
   Ressourcengruppe	Wählen Sie test-rg aus.
   Instanzendetails
   Name des virtuellen Computers	Geben Sie vm-spoke ein.
   Region	Wählen Sie West-USAaus.
   Verfügbarkeitsoptionen	Wählen Sie Keine Infrastrukturredundanz erforderlich aus.
   Sicherheitstyp	Übernehmen Sie den Standardwert Standard.
   Image	Wählen Sie Ubuntu Server 24.04 LTS – x64 Gen2 aus.
   VM-Architektur	Übernehmen Sie den Standardwert x64.
   Größe	Wählen Sie eine Größe aus.
   Administratorkonto
   Authentifizierungsart	Wählen Sie Öffentlicher SSH-Schlüssel aus.
   Nutzername	Geben Sie azureuser ein.
   Quelle für öffentlichen SSH-Schlüssel	Wählen Sie Neues Schlüsselpaar generieren aus.
   Name des Schlüsselpaars	Geben Sie vm-spoke-key ein.
   Regeln für eingehende Ports
   Öffentliche Eingangsports	Wählen Sie Keine.

4. Wählen Sie am oberen Seitenrand die Registerkarte Netzwerk aus, oder wählen Sie Weiter:Datenträger und anschließend Weiter:Netzwerk aus.

5. Geben Sie auf der Registerkarte Netzwerk die folgenden Informationen ein, bzw. wählen Sie sie aus:

   Einstellung	Wert
   Netzwerkschnittstelle
   Virtuelles Netzwerk	Wählen Sie vnet-spoke aus.
   Subnetz	Wählen Sie subnet-private (10.1.0.0/24) aus.
   Öffentliche IP-Adresse	Wählen Sie Keine.
   NIC-Netzwerksicherheitsgruppe	Wählen Sie Erweitertaus.
   Konfigurieren von Netzwerksicherheitsgruppen	Wählen Sie Neu erstellen. Geben Sie nsg-1 für Name ein. Behalten Sie für den Rest die Standards bei, und wählen Sie OK aus.

6. Behalten Sie für die restlichen Einstellungen die Standards bei, und wählen Sie dann Überprüfen + erstellen aus.

7. Überprüfen Sie die Einstellungen, und wählen Sie Erstellen aus.

8. Das Dialogfeld " Neues Schlüsselpaar generieren " wird angezeigt. Wählen Sie Privaten Schlüssel herunterladen und Ressource erstellen aus.

Der private Schlüssel wird auf Ihren lokalen Computer heruntergeladen. Du brauchst den heruntergeladenen privaten Schlüssel für VM-spoke-key, wenn du später in diesem Tutorial mit Azure Bastion die virtuelle Maschine verbindest.

Warte, bis die Bereitstellung der virtuellen Maschine abgeschlossen ist, bevor du mit den nächsten Schritten fortfährst.

Verwenden Sie New-AzNetworkSecurityGroup , um die Netzwerksicherheitsgruppe zu erstellen.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-1"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

Verwenden Sie New-AzNetworkInterface , um die Netzwerkschnittstelle zu erstellen.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-1").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Legen Sie mit Get-Credential einen Benutzernamen und ein Kennwort für den virtuellen Computer fest und speichern Sie sie in der Variable $cred.

$cred = Get-Credential

Verwenden Sie New-AzVMConfig , um einen virtuellen Computer zu definieren.

$vmConfigParams = @{
    VMName = "vm-spoke"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Erstellen Sie mit Set-AzVMOperatingSystem und Set-AzVMSourceImage die restliche VM-Konfiguration. Im folgenden Beispiel wird ein virtueller Ubuntu Server-Computer erstellt:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Hängen Sie mit Add-AzVMNetworkInterface die zuvor erstellte NIC an den virtuellen Computer an.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Verwenden Sie "New-AzVM ", um den virtuellen Computer zu erstellen. Der Befehl generiert SSH-Schlüssel für den virtuellen Computer zum Anmelden. Notieren Sie sich den Speicherort des privaten Schlüssels. Der private Schlüssel wird in späteren Schritten für das Herstellen einer Verbindung zur VM mit Azure Bastion benötigt.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "vm-spoke-key"
    }
New-AzVM @vmParams -GenerateSshKey

1. Geben Sie am oberen Rand des Portals den Suchbegriff Öffentliche IP-Adresse in das Suchfeld ein. Wählen Sie in den Suchergebnissen Öffentliche IP-Adressen aus.

2. Wählen Sie public-ip-nat aus.

3. Notieren Sie sich den Wert der IP-Adresse. Das in diesem Artikel verwendete Beispiel ist 203.0.113.25.

Verwenden Sie Get-AzPublicIpAddress, um die öffentliche IP-Adresse des NAT-Gateways abzurufen.

# Get the public IP address of the NAT gateway
$publicIpNatParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'public-ip-nat'
}
$publicIpNat = Get-AzPublicIpAddress @publicIpNatParams
$publicIpNat.IpAddress

Wenn Sie mit der Verwendung der von Ihnen erstellten Ressourcen fertig sind, können Sie die Ressourcengruppe und alle zugehörigen Ressourcen löschen.

1. Suchen Sie im Azure-Portal nach Ressourcengruppen, und wählen Sie die entsprechende Option aus.

2. Wählen Sie auf der Seite Ressourcengruppen die Ressourcengruppe test-rg aus.

3. Wählen Sie auf der Seite test-rg die Option Ressourcengruppe löschen aus.

4. Geben Sie test-rg unter Ressourcengruppennamen eingeben, um die Löschung zu bestätigen und wählen Sie dann Löschen aus.

Verwenden Sie Remove-AzResourceGroup, um die Ressourcengruppe zu entfernen.

# Remove resource group
$rgParams = @{
    Name = 'test-rg'
}
Remove-AzResourceGroup @rgParams