Integración de NAT Gateway con Azure Firewall en una red de grupo radial tipo hub-and-spoke para la conectividad saliente

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

Azure Cloud Shell

Azure hospeda Azure Cloud Shell, un entorno de shell interactivo que puede usar a través del explorador. Puede usar Bash o PowerShell con Cloud Shell para trabajar con servicios de Azure. Puede usar los comandos preinstalados de Cloud Shell para ejecutar el código de este artículo, sin tener que instalar nada en el entorno local.

Para iniciar Azure Cloud Shell:

Opción	Ejemplo o vínculo
Seleccione Pruébelo en la esquina superior derecha de un código o bloque de comandos. Al seleccionar Inténtalo, no se copia automáticamente el código o el comando en Cloud Shell.
Vaya a https://shell.azure.com o seleccione el botón Iniciar Cloud Shell para abrir Cloud Shell en el explorador.
Seleccione el botón Cloud Shell en la barra de menús en la parte superior derecha del Azure portal.

Para usar Azure Cloud Shell:

1. Inicie Cloud Shell.

2. Seleccione el botón Copiar en un bloque de código (o bloque de comandos) para copiar el código o comando.

3. Pegue el código o comando en la sesión de Cloud Shell seleccionando Ctrl+Mayús+V en Windows y Linux o seleccionando Cmd+Mayús+V en macOS.

4. Seleccione Enter para ejecutar el código o comando.

Si ejecutas los comandos localmente, instala o actualiza a la versión actual de Azure PowerShell, incluido el módulo Az.Network, antes de empezar. Los ejemplos utilizan el SKU StandardV2. Usa Get-Module con -ListAvailable Az.Network para comprobar tu módulo de red instalado. Inicia sesión con Connect-AzAccount.

1. Inicie sesión en Azure Portal.

2. En el cuadro de búsqueda de la parte superior del portal, escriba Grupo de recursos. Seleccione Grupos de recursos en los resultados de la búsqueda.

3. Seleccione + Create (+ Crear).

4. En la pestaña Aspectos básicos de Crear un grupo de recursos, escriba o seleccione la siguiente información.

   Configuración	Value
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	test-rg
   Región	Oeste de EE. UU.

5. Seleccione Revisar + crear.

6. Seleccione Crear.

Cree un grupo de recursos con New-AzResourceGroup. Un grupo de recursos de Azure es un contenedor lógico en el que se implementan y se administran los recursos de Azure.

En el ejemplo siguiente se crea un grupo de recursos denominado test-rg en la ubicación westus :

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

1. Inicie sesión en Azure Portal.

2. En el cuadro de búsqueda de la parte superior de Azure Portal, escriba Redes virtuales. En los resultados de la búsqueda, seleccione Redes virtuales.

3. Seleccione Crear.

4. Escriba o seleccione la siguiente información en la pestaña Conceptos básicos de Crear red virtual.

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg o el grupo de recursos.
   Detalles de instancia
   Nombre	Escriba vnet-hub.
   Región	Seleccione su región. En este ejemplo se usa West US.

5. Seleccione la pestaña Direcciones IP o seleccione Siguiente: Seguridad y Siguiente: Direcciones IP.

6. En Subredes , seleccione la subred predeterminada .

7. Escriba o seleccione la siguiente información en Editar subred.

   Configuración	Value
   Propósito de la subred	deje el valor predeterminado.
   Nombre	Escriba subnet-1.

8. Deje el resto de la configuración como predeterminada y seleccione Guardar.

9. Seleccione + Agregar una subred.

10. En Agregar una subred , escriba o seleccione la siguiente información.

    Configuración	Value
    Propósito de la subred	Seleccione Azure Bastion.

11. Deje el resto de la configuración como predeterminada y, a continuación, seleccione Agregar.

12. Seleccione + Agregar una subred.

13. En Agregar una subred , escriba o seleccione la siguiente información.

    Configuración	Value
    Propósito de la subred	Seleccione Azure Firewall.

14. Deje el resto de la configuración como predeterminada y, a continuación, seleccione Agregar.

15. Seleccione Revisar y crear y, luego, Crear.

Utiliza New-AzVirtualNetwork para crear la red virtual del hub.

# Create hub virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-hub'
    AddressPrefix = '10.0.0.0/16'
}
$hubVnet = New-AzVirtualNetwork @vnetParams

Use Add-AzVirtualNetworkSubnetConfig para crear una subred para Azure Firewall y Azure Bastion.

# Create default subnet
$subnetParams = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Firewall
$subnetParams = @{
    Name = 'AzureFirewallSubnet'
    AddressPrefix  = '10.0.1.64/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Bastion
$subnetParams = @{
    Name = 'AzureBastionSubnet'
    AddressPrefix  = '10.0.1.0/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Actualice la red virtual mediante el comando Set-AzVirtualNetwork.

# Create the virtual network
$hubVnet | Set-AzVirtualNetwork

1. En el cuadro de búsqueda de la parte superior de Azure Portal, escriba Bastion. Seleccione Bastions en los resultados de la búsqueda.

2. Seleccione Crear.

3. Escriba o seleccione la siguiente información en la pestaña Aspectos básicos de Crear un bastión.

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg o el grupo de recursos.
   Detalles de instancia
   Nombre	Escriba bastion.
   Región	Seleccione su región. En este ejemplo se usa West US.
   Nivel	Seleccione Básico.
   Red de área virtual	Seleccione vnet-hub.
   Subred	Seleccione AzureBastionSubnet.
   Dirección IP pública	Crear una nueva dirección IP pública estándar y estática llamada public-ip-bastion.

   Bastion Basic soporta la conexión a la máquina virtual de prueba en la red virtual de radios por pares. Bastion Developer no admite conexiones a redes virtuales emparejadas. Para más información, véase la comparación de SKU Bastion.

4. Seleccione Revisar y crear y, luego, Crear.

Use New-AzPublicIpAddress para crear una dirección IP pública para Azure Bastion.

# Create public IP for Azure Bastion
$publicIpBastionParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-bastion'
    Sku = 'Standard'
    AllocationMethod = 'Static'
}
$publicIpBastion = New-AzPublicIpAddress @publicIpBastionParams

Use New-AzBastion para crear Azure Bastion.

# Create Azure Bastion
$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba Firewall. En los resultados de la búsqueda, seleccione Firewalls.

2. Seleccione + Create (+ Crear).

3. En la pestaña Básicos de Crear un cortafuegos, utiliza la siguiente tabla para configurar el cortafuegos:

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg.
   Detalles de instancia
   Nombre	Escriba firewall.
   Región	Seleccione Oeste de EE. UU.
   SKU del firewall	Seleccione Estándar.
   Administración del firewall	Seleccione Usar una directiva de firewall para administrar este firewall.
   Directiva de firewall	Seleccione Agregar nuevo. Nombre: escriba firewall-policy. Región: seleccione Oeste de EE. UU. Nivel de directiva: Estándar. Seleccione Aceptar.
   Elegir una red virtual
   Red de área virtual	Seleccione Usar existente.
   Red de área virtual	Seleccione vnet-hub.
   Dirección IP pública
   Dirección IP pública	Seleccione Añadir nuevo. Nombre: Introduzca public-ip-firewall. SKU: Estándar. Asignación: Estática. Selecciona OK.

4. Desmarca Habilitar NIC de administración del firewall para este tutorial y luego selecciona Siguiente: Avanzado.

5. En la pestaña Avanzado , selecciona Activar la pasarela NAT. En la pasarela NAT StandardV2, selecciona Crear nuevo.

   NAT Gateway es opcional cuando creas un cortafuegos. Este tutorial permite realizar SNAT de salida mediante la dirección IP pública de la puerta de enlace NAT. En una región que no soporta StandardV2 NAT Gateway, el formulario muestra un error de validación. Elige una región compatible en Básicos para continuar con este tutorial.

6. En Crear un nuevo StandardV2 NAT Gateway, introduce nat-gateway para Nombre.

7. En direcciones IPv4 públicas, selecciona Crear una dirección IP pública. Introduce public-ip-nat para Nombre.

8. Confirma que SKU es StandardV2 y Asignación es Estática, y luego selecciona OK.

9. Confirme que (New) public-ip-nat esté seleccionado en Direcciones IPv4 públicas. Deja sin seleccionar los campos de dirección IPv6 y prefijo IP público para este tutorial de IPv4.

   

10. Seleccione Agregar. En Avanzado, confirma que Habilitar puerta de enlace NAT esté seleccionado y que Puerta de enlace NAT Estándar V2 muestre (Nueva) nat-gateway.

    

11. Seleccione Revisar + crear. Confirma que el resumen muestra West US, el SKU del firewall Standard , vnet-hub, public-ip-firewall y la nueva pasarela NAT StandardV2.

12. Seleccione Crear.

    El despliegue crea el cortafuegos, la pasarela NAT y sus direcciones IP públicas. También asocia la pasarela NAT con AzureFirewallSubnet. La implementación tarda unos minutos.

    Mantén la dirección IP pública del cortafuegos. El SNAT saliente utiliza la IP pública de la pasarela NAT, mientras que el DNAT entrante usa la IP pública del firewall. Las rutas de carga de trabajo siguen apuntando a la dirección IP privada del firewall.

13. Una vez completada la implementación, vaya al grupo de recursos test-rg y seleccione el recurso de firewall .

14. Anote las direcciones IP privadas y públicas del firewall. Estas direcciones se usan más adelante.

Use New-AzPublicIpAddress para crear una dirección IP pública para Azure Firewall.

# Create public IP for Azure Firewall
$publicIpFirewallParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-firewall'
    AllocationMethod  = 'Static'
    Sku = 'Standard'
}
$publicIpFirewall = New-AzPublicIpAddress @publicIpFirewallParams

Use New-AzFirewallPolicy para crear una directiva de firewall.

# Create firewall policy
$firewallPolicyParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'firewall-policy'
}
$firewallPolicy = New-AzFirewallPolicy @firewallPolicyParams

Use New-AzFirewall para crear Azure Firewall.

# Create Azure Firewall
    $firewallParams = @{
        ResourceGroupName = 'test-rg'
        Location = 'westus'
        Name = 'firewall'
        VirtualNetworkName = 'vnet-hub'
        PublicIpName = 'public-ip-firewall'
        FirewallPolicyId = $firewallPolicy.Id
    }
    $firewall = New-AzFirewall @firewallParams

No cree otra puerta de enlace NAT. Verifica los recursos y la asociación creados en la sección anterior:

1. Abre test-rg y selecciona nat-gateway. Confirma que su SKU es StandardV2 y que su ubicación coincide con el cortafuegos.
2. Abre vnet-hub, selecciona Subnets y selecciona AzureFirewallSubnet.
3. Confirma que el gateway NAT está configurado como nat-gateway. Deja la configuración de la subred sin cambios.
4. Abre public-ip-nat y confirma que usa el SKU StandardV2 . Esta dirección es independiente del public-ip-firewall, que utiliza el SKU Estándar .

Use New-AzPublicIpAddress para crear una dirección IP pública IPv4 con redundancia de zona para la puerta de enlace NAT.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'StandardV2'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

Use New-AzNatGateway para crear el recurso de puerta de enlace NAT.

Un gateway NAT StandardV2 es redundante por zona por defecto. Omite el parámetro opcional Zone en lugar de asignar esta puerta a una sola zona.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'StandardV2'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
}
$natGateway = New-AzNatGateway @nat

Use Set-AzVirtualNetworkSubnetConfig para asociar la puerta de enlace NAT con AzureFirewallSubnet.

# Get the hub virtual network
$vnetHub = Get-AzVirtualNetwork -ResourceGroupName 'test-rg' -Name 'vnet-hub'

# Associate NAT gateway with AzureFirewallSubnet
$subnetParams = @{
    VirtualNetwork = $vnetHub
    Name = 'AzureFirewallSubnet'
    AddressPrefix = '10.0.1.64/26'
    NatGateway = $natGateway
}
Set-AzVirtualNetworkSubnetConfig @subnetParams

# Update the virtual network
$vnetHub | Set-AzVirtualNetwork

1. En el cuadro de búsqueda de la parte superior del portal, escriba Red virtual. En los resultados de la búsqueda, seleccione Redes virtuales.

2. Seleccione + Create (+ Crear).

3. En la pestaña Conceptos básicos de Crear red virtual, escriba o seleccione la siguiente información:

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg.
   Detalles de instancia
   Nombre	Escriba vnet-spoke.
   Región	Seleccione Oeste de EE. UU.

4. Seleccione Siguiente para ir a la pestaña Seguridad.

5. Seleccione Siguiente para continuar con la pestaña Direcciones IP.

6. En la pestaña Direcciones IP de Espacio de direcciones IPv4, seleccione Eliminar espacio de direcciones para eliminar el espacio de direcciones que se rellena automáticamente.

7. Seleccione + Agregar espacio de direcciones IPv4.

8. En Espacio de direcciones IPv4, escriba 10.1.0.0. Deje el valor predeterminado de /16 (65 536 direcciones) en la selección de máscara.

9. Seleccione + Agregar una subred.

10. En Agregar una subred, escriba o seleccione la siguiente información:

    Configuración	Value
    Propósito de la subred	Deje el valor predeterminado Predeterminado.
    Nombre	Escriba subnet-private.
    IPv4
    Intervalo de direcciones IPv4	Deje el valor predeterminado de 10.1.0.0/16.
    Dirección inicial	Deje el valor predeterminado de 10.1.0.0.
    Tamaño	Deje el valor predeterminado de /24(256 direcciones).

11. Seleccione Agregar.

12. Seleccione Revisar + crear.

13. Seleccione Crear.

Utilice New-AzVirtualNetwork para crear la red virtual spoke.

# Create spoke virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-spoke'
    AddressPrefix = '10.1.0.0/16'
}
$spokeVnet = New-AzVirtualNetwork @vnetParams

Use Add-AzVirtualNetworkSubnetConfig para crear una subred para la red virtual de spoke.

# Create subnet in spoke virtual network
$subnetParams = @{
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    VirtualNetwork = $spokeVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Use Set-AzVirtualNetwork para actualizar la red virtual de spoke.

# Create the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. En el cuadro de búsqueda de la parte superior del portal, escriba Red virtual. En los resultados de la búsqueda, seleccione Redes virtuales.

2. Seleccione vnet-hub.

3. En Configuración, seleccione Emparejamientos.

4. Seleccione +Agregar.

5. En Agregar emparejamiento, escriba o seleccione la información siguiente:

   Configuración	Value
   Resumen de red virtual remota
   Nombre del vínculo de emparejamiento	Escriba vnet-spoke-to-vnet-hub.
   Modelo de implementación de red virtual	Deje el valor predeterminado, Administrador de recursos.
   Suscripción	Seleccione su suscripción.
   Red de área virtual	Seleccione vnet-spoke (test-rg).
   Configuración de emparejamiento de red virtual remota
   Permitir que "vnet-spoke" acceda a "vnet-hub"	Deje el valor predeterminado de Seleccionado.
   Permitir que "vnet-spoke" reciba el tráfico reenviado desde "vnet-hub"	Active la casilla.
   Permitir que la puerta de enlace o el servidor de rutas en 'vnet-spoke' reenvíen el tráfico a 'vnet-hub'	Deje el valor predeterminado Deseleccionada .
   Habilitar 'vnet-spoke' para usar la puerta de enlace remota o el servidor de rutas de 'vnet-hub'	Deje el valor predeterminado Deseleccionada .
   Resumen de red virtual local
   Nombre del vínculo de emparejamiento	Escriba vnet-hub-to-vnet-spoke.
   Configuración de emparejamiento de red virtual local
   Permitir que "vnet-hub" acceda a "vnet-spoke"	Deje el valor predeterminado de Seleccionado.
   Permitir que "vnet-hub" reciba el tráfico reenviado desde "vnet-spoke"	Active la casilla.
   Permitir que la puerta de enlace o el servidor de rutas en 'vnet-hub' reenvíen el tráfico a 'vnet-spoke'	Deje el valor predeterminado Deseleccionada .
   Habilitar 'vnet-hub' para usar la puerta de enlace remota de 'vnet-spoke' o el servidor de rutas	Deje el valor predeterminado Deseleccionada .

6. Seleccione Agregar.

7. Seleccione Actualizar y compruebe que el Estado del emparejamiento es Conectado.

Use Add-AzVirtualNetworkPeering para crear un emparejamiento desde el hub al spoke.

# Create peering from hub to spoke
$peeringParams = @{
    Name = 'vnet-hub-to-vnet-spoke'
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

Use Add-AzVirtualNetworkPeering para crear un emparejamiento desde el spoke al hub.

# Create peering from spoke to hub
$peeringParams = @{
    Name = 'vnet-spoke-to-vnet-hub'
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba Firewall. En los resultados de la búsqueda, seleccione Firewalls.

2. Seleccione firewall.

3. En la información general del firewall, anote la dirección IP en el campo Dirección IP privada del firewall. La dirección IP de este ejemplo es 10.0.1.68.

Use Get-AzFirewall para obtener la dirección IP privada del firewall.

# Get the private IP address of the firewall
$firewallParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'firewall'
}
$firewall = Get-AzFirewall @firewallParams
$firewall.IpConfigurations[0].PrivateIpAddress

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba Tabla de rutas. Seleccione Tablas de rutas en los resultados de la búsqueda.

2. Seleccione + Create (+ Crear).

3. En Crear tabla de rutas, escriba o seleccione la siguiente información:

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg.
   Detalles de instancia
   Región	Seleccione Oeste de EE. UU.
   Nombre	Escriba route-table-spoke.
   Propagar las rutas de la puerta de enlace	así que seleccione No.

4. Seleccione Revisar + crear.

5. Seleccione Crear.

6. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba Tabla de rutas. Seleccione Tablas de rutas en los resultados de la búsqueda.

7. Seleccione route-table-spoke.

8. En Configuración, seleccione Rutas.

9. Seleccione + Agregar en Rutas.

10. En Agregar ruta, escriba o seleccione la información siguiente:

    Configuración	Value
    Nombre de ruta	Escriba route-to-hub.
    Tipo de destino	Seleccione Direcciones IP.
    Direcciones IP de destino/intervalos CIDR	Escriba 0.0.0.0/0.
    Tipo de próximo salto	Seleccione Aplicación virtual.
    Siguiente dirección de salto	Introduce la dirección IP privada del cortafuegos que has registrado antes. No uses la dirección IP pública de la pasarela NAT.

11. Seleccione Agregar.

12. Seleccione Subredes en Configuración.

13. Seleccione + Asociar.

14. En Asociar subred, escriba o seleccione la información siguiente:

    Configuración	Value
    Red de área virtual	Seleccione vnet-spoke (test-rg).
    Subred	Seleccione subnet-private.

15. Seleccione Aceptar.

Use New-AzRouteTable para crear la tabla de rutas.

# Create route table
$routeTableParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'route-table-spoke'
}
$routeTable = New-AzRouteTable @routeTableParams

Use Add-AzRouteConfig para crear una ruta en la tabla de rutas.

# Create route
$routeConfigParams = @{
    Name = 'route-to-hub'
    AddressPrefix = '0.0.0.0/0'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = $firewall.IpConfigurations[0].PrivateIpAddress
    RouteTable = $routeTable
}
Add-AzRouteConfig @routeConfigParams

Use Set-AzRouteTable para actualizar la tabla de rutas.

# Update the route table
$routeTable | Set-AzRouteTable

Use Set-AzVirtualNetworkSubnetConfig para asociar la tabla de rutas a la subred de spoke.

# Associate route table with subnet
$subnetConfigParams = @{
    VirtualNetwork = $spokeVnet
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    RouteTable = $routeTable
}
Set-AzVirtualNetworkSubnetConfig @subnetConfigParams

Use Set-AzVirtualNetwork para actualizar la red virtual de spoke.

# Update the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba Firewall. Seleccione Directivas de firewall en los resultados de la búsqueda.

2. Seleccione firewall-policy.

3. Expanda Configuración y, a continuación, seleccione Reglas de red.

4. Seleccione + Agregar una colección de reglas.

5. En Agregar una colección de reglas, escriba o seleccione la siguiente información:

   Configuración	Value
   Nombre	Escriba spoke-to-internet.
   Tipo de colección de reglas	Seleccione Network (Red).
   Prioridad	Escriba 100.
   Acción de colección de reglas	seleccione Permitir.
   Grupo de colección de reglas	Seleccione DefaultNetworkRuleCollectionGroup.
   Reglas
   Nombre	Escriba allow-web.
   Tipo de origen	Dirección IP.
   Fuente	Escriba 10.1.0.0/24.
   Protocolo	seleccione TCP.
   Puertos de destino	Escriba 80,443.
   Tipo de destino	Seleccione Dirección IP.
   Destino	Escriba *

6. Seleccione Agregar.

Use Get-AzFirewallPolicy para obtener la directiva de firewall existente.

# Get the existing firewall policy
$firewallPolicyParams = @{
    Name = 'firewall-policy'
    ResourceGroupName = 'test-rg'
}
$firewallPolicy = Get-AzFirewallPolicy @firewallPolicyParams

Use New-AzFirewallPolicyNetworkRule para crear una regla de red.

# Create a network rule for web traffic
$networkRuleParams = @{
    Name = 'allow-internet'
    SourceAddress = '10.1.0.0/24'
    Protocol = 'TCP'
    DestinationAddress = '*'
    DestinationPort = '80', '443'
}
$networkRule = New-AzFirewallPolicyNetworkRule @networkRuleParams

Use New-AzFirewallPolicyFilterRuleCollection para crear una colección de reglas para la regla de red.

# Create a rule collection for the network rule
$ruleCollectionParams = @{
    Name = 'spoke-to-internet'
    Priority = 100
    Rule = $networkRule
    ActionType = 'Allow'
}
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection @ruleCollectionParams

Use New-AzFirewallPolicyRuleCollectionGroup para crear un grupo de recopilación de reglas.

$newRuleCollectionGroupParams = @{
        Name = 'DefaultNetworkRuleCollectionGroup'
        Priority = 200
        FirewallPolicyObject = $firewallPolicy
        RuleCollection = $ruleCollection
    }
New-AzFirewallPolicyRuleCollectionGroup @newRuleCollectionGroupParams

1. En el portal, busque y seleccione Máquinas virtuales.

2. En Máquinas virtuales, seleccione + Crear y, después, Máquina virtual de Azure.

3. En la pestaña Datos básicos de Crear una máquina virtual, escriba o seleccione la siguiente información:

   Configuración	Value
   Detalles del proyecto
   Suscripción	Seleccione su suscripción.
   Grupo de recursos	Seleccione test-rg.
   Detalles de instancia
   Nombre de la máquina virtual	Escriba vm-spoke.
   Región	Seleccione Oeste de EE. UU.
   Opciones de disponibilidad	Seleccione No se requiere redundancia de la infraestructura.
   Tipo de seguridad	Deje el valor predeterminado Estándar.
   Imagen	Seleccione Ubuntu Server 24.04 LTS: x64 Gen2.
   Arquitectura de VM	Deje el valor predeterminado, x64.
   Tamaño	Seleccione un tamaño.
   Cuenta de administrador
   Tipo de autenticación	Seleccione Clave pública SSH.
   Nombre de usuario	escriba usuarioazure.
   Origen de la clave pública SSH	Seleccione Generar un par de claves nuevo.
   Nombre del par de claves	Escriba vm-spoke-key.
   Reglas de puerto de entrada
   Puertos de entrada públicos	Seleccione Ninguno.

4. Seleccione la pestaña Redes en la parte superior de la página o seleccione Siguiente: Discos, después Siguiente: Redes.

5. En la pestaña Redes, escriba o seleccione la siguiente información:

   Configuración	Value
   Interfaz de red
   Red de área virtual	Seleccione vnet-spoke.
   Subred	Seleccione subnet-private (10.1.0.0/24).
   Dirección IP pública	Seleccione Ninguno.
   Grupo de seguridad de red de NIC	Seleccione Advanced (Avanzadas).
   Configuración del grupo de seguridad de red	Seleccione Crear nuevo. Escriba nsg-1 como nombre. Deje el resto de los valores predeterminados y seleccione Aceptar.

6. Deje el resto de las opciones en sus valores predeterminados y luego seleccione Revisar + crear.

7. Revise la configuración y seleccione Crear.

8. Aparece el cuadro de diálogo Generar nuevo par de claves . Seleccione Descargar la clave privada y Crear recurso.

La clave privada se descarga en el equipo local. Necesitas la clave privada descargada para la clave de vm-spoke-key cuando te conectes a la máquina virtual con Azure Bastion más adelante en este tutorial.

Espera a que la máquina virtual termine de desplegarse antes de pasar a los siguientes pasos.

Use New-AzNetworkSecurityGroup para crear el grupo de seguridad de red.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-1"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

Use New-AzNetworkInterface para crear la interfaz de red.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-1").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Use Get-Credential para establecer un nombre de usuario y una contraseña para la máquina virtual y almacenarlos en la variable $cred.

$cred = Get-Credential

Use New-AzVMConfig para definir una máquina virtual.

$vmConfigParams = @{
    VMName = "vm-spoke"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Use Set-AzVMOperatingSystem y Set-AzVMSourceImage para crear el resto de la configuración de máquina virtual. En el ejemplo siguiente se crea una máquina virtual Ubuntu Server:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Use Add-AzVMNetworkInterface para asociar la NIC que creó anteriormente a la máquina virtual.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Use New-AzVM para crear la máquina virtual. El comando genera claves SSH para la máquina virtual para el inicio de sesión. Anote la ubicación de la clave privada. La clave privada es necesaria en pasos posteriores para conectarse a la máquina virtual con Azure Bastion.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "vm-spoke-key"
    }
New-AzVM @vmParams -GenerateSshKey

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba IP pública. Seleccione Direcciones IP públicas en los resultados de la búsqueda.

2. Seleccionar public-ip-nat.

3. Anota el valor en la dirección IP. El ejemplo usado en este artículo es 203.0.113.25.

Use Get-AzPublicIpAddress para obtener la dirección IP pública de la puerta de enlace NAT.

# Get the public IP address of the NAT gateway
$publicIpNatParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'public-ip-nat'
}
$publicIpNat = Get-AzPublicIpAddress @publicIpNatParams
$publicIpNat.IpAddress

Cuando termine de usar los recursos que creó, puede eliminar el grupo de recursos y todos sus recursos.

1. En Azure Portal, busque y seleccione Grupos de recursos.

2. En la página Grupos de recursos, seleccione el grupo de recursos test-rg.

3. En la página test-rg, elija Eliminar grupo de recursos.

4. Escriba test-rg en Introducir nombre del grupo de recursos para confirmar la eliminación y, luego, seleccione Eliminar.

Use Remove-AzResourceGroup para quitar el grupo de recursos.

# Remove resource group
$rgParams = @{
    Name = 'test-rg'
}
Remove-AzResourceGroup @rgParams