Integrare il gateway NAT con Firewall di Azure in una rete hub-spoke per la connettività in uscita

• Un account Azure con una sottoscrizione attiva. Creare un account gratuitamente.

• Un account Azure con una sottoscrizione attiva. Creare un account gratuitamente.

Azure Cloud Shell

Azure ospita Azure Cloud Shell, un ambiente shell interattivo che è possibile usare tramite il browser. È possibile usare Bash o PowerShell con Cloud Shell per usare i servizi di Azure. È possibile usare i comandi preinstallati di Cloud Shell per eseguire il codice in questo articolo, senza dover installare alcun elemento nell'ambiente locale.

Per avviare Azure Cloud Shell:

Opzione	Esempio/collegamento
Selezionare Prova nell'angolo superiore destro di un codice o di un blocco di comandi. Quando si seleziona Prova, il codice o il comando non viene copiato automaticamente in Cloud Shell.
Passare a https://shell.azure.com o selezionare il pulsante Avvia Cloud Shell per aprire Cloud Shell nel browser.
Selezionare il pulsante Cloud Shell nella barra dei menu in alto a destra nel portale di Azure.

Per usare Azure Cloud Shell:

1. Avviare Cloud Shell.

2. Selezionare il pulsante Copia in un blocco di codice (o in un blocco di comando) per copiare il codice o il comando.

3. Incollare il codice o il comando nella sessione di Cloud Shell selezionando Ctrl+Shift+V in Windows e Linux oppure selezionando Cmd+Shift+V in macOS.

4. Selezionare Immettere per eseguire il codice o il comando.

Se esegui i comandi localmente, installa o aggiorna alla versione attuale di Azure PowerShell, incluso il modulo Az.Network, prima di iniziare. Gli esempi utilizzano lo SKU StandardV2 . Usa Get-Module With -ListAvailable Az.Network per controllare il modulo di rete installato. Accedi con Connect-AzAccount.

1. Accedere al portale di Azure.

2. Nella casella di ricerca nella parte superiore del portale immettere Gruppo di risorse. Selezionare Gruppi di risorse nei risultati della ricerca.

3. Selezionare [+] Create ([+] Crea).

4. Nella scheda Informazioni di base di Crea un gruppo di risorse immettere o selezionare le informazioni seguenti.

   Impostazione	valore
   Abbonamento	Selezionare la sottoscrizione
   Gruppo di risorse	test-rg
   Region	Stati Uniti occidentali

5. Selezionare Rivedi e crea.

6. Selezionare Crea.

Creare un gruppo di risorse con New-AzResourceGroup. Un gruppo di risorse di Azure è un contenitore logico in cui le risorse di Azure vengono distribuite e gestite.

L'esempio seguente crea un gruppo di risorse denominato test-rg nella posizione westus :

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

1. Accedere al portale di Azure.

2. Nella casella di ricerca, nella parte superiore del portale di Azure, immettere Reti virtuali. Selezionare Reti virtuali nei risultati della ricerca.

3. Selezionare Crea.

4. Nella scheda Dati principali di Crea rete virtuale immettere o selezionare le informazioni seguenti.

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg o il gruppo di risorse.
   Dettagli istanza
   Nome	Immettere vnet-hub.
   Region	Selezionare un'area. Questo esempio usa Stati Uniti occidentali.

5. Selezionare la scheda Indirizzi IP oppure Selezionare Avanti: Sicurezza, quindi Avanti: Indirizzi IP.

6. In Subnets selezionare la subnet predefinita.

7. In Modifica subnet immettere o selezionare le informazioni seguenti.

   Impostazione	valore
   Scopo della subnet	Lasciare il valore predefinito.
   Nome	Immettere subnet-1.

8. Lasciare le altre impostazioni come predefinite, quindi selezionare Salva.

9. Selezionare +Aggiungi una subnet.

10. In Aggiungi una subnet inserire o selezionare le informazioni seguenti.

    Impostazione	valore
    Scopo della subnet	Selezionare Azure Bastion.

11. Lasciare le altre impostazioni come predefinite e quindi selezionare Aggiungi.

12. Selezionare +Aggiungi una subnet.

13. In Aggiungi una subnet inserire o selezionare le informazioni seguenti.

    Impostazione	valore
    Scopo della subnet	Selezionare Firewall di Azure.

14. Lasciare le altre impostazioni come predefinite e quindi selezionare Aggiungi.

15. Selezionare Rivedi e crea e quindi Crea.

Usare New-AzVirtualNetwork per creare la rete virtuale hub.

# Create hub virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-hub'
    AddressPrefix = '10.0.0.0/16'
}
$hubVnet = New-AzVirtualNetwork @vnetParams

Usare Add-AzVirtualNetworkSubnetConfig per creare una subnet per Firewall di Azure e Azure Bastion.

# Create default subnet
$subnetParams = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Firewall
$subnetParams = @{
    Name = 'AzureFirewallSubnet'
    AddressPrefix  = '10.0.1.64/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Bastion
$subnetParams = @{
    Name = 'AzureBastionSubnet'
    AddressPrefix  = '10.0.1.0/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Usare Set-AzVirtualNetwork per aggiornare la rete virtuale.

# Create the virtual network
$hubVnet | Set-AzVirtualNetwork

1. Nella casella di ricerca nella parte superiore del portale di Azure immettere Bastion. Selezionare Bastions nei risultati della ricerca.

2. Selezionare Crea.

3. Immettere o selezionare le informazioni seguenti nella scheda Informazioni di base di Crea un bastion.

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg o il gruppo di risorse.
   Dettagli istanza
   Nome	Immettere bastion.
   Region	Selezionare un'area. Questo esempio usa Stati Uniti occidentali.
   Livello	Selezionare Basic.
   Rete virtuale	Selezionare vNet-hub.
   Subnet	Selezionare AzureBastionSubnet.
   Indirizzo IP pubblico	Crea un nuovo indirizzo IP pubblico statico e standard chiamato public-ip-bastion.

   Bastion Basic supporta la connessione alla VM di test nella rete virtuale a raggi peered. Bastion Developer non supporta le connessioni alle reti virtuali con peering. Per maggiori informazioni, vedi il confronto delle SKU Bastion.

4. Selezionare Rivedi e crea e quindi Crea.

Usare New-AzPublicIpAddress per creare un indirizzo IP pubblico per Azure Bastion.

# Create public IP for Azure Bastion
$publicIpBastionParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-bastion'
    Sku = 'Standard'
    AllocationMethod = 'Static'
}
$publicIpBastion = New-AzPublicIpAddress @publicIpBastionParams

Usare New-AzBastion per creare Azure Bastion.

# Create Azure Bastion
$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

1. Nella casella di ricerca nella parte superiore del portale immettere Firewall. Selezionare Firewall nei risultati della ricerca.

2. Selezionare [+] Create ([+] Crea).

3. Nella scheda Basics di Crea un firewall, usa la seguente tabella per configurare il firewall:

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg.
   Dettagli istanza
   Nome	Immettere firewall.
   Region	Selezionare Stati Uniti occidentali.
   SKU firewall	Selezionare Standard.
   Gestione del firewall	selezionare Usa un criterio firewall per gestire questo firewall.
   Politica di firewall	Selezionare Aggiungi nuovo. Nome: immettere firewall-policy. Area: selezionare Stati Uniti occidentali. Livello criteri: Standard. Selezionare OK.
   Scegliere una rete virtuale
   Rete virtuale	Selezionare Usa esistente.
   Rete virtuale	Selezionare vNet-hub.
   Indirizzo IP pubblico
   Indirizzo IP pubblico	Seleziona Aggiungi nuovo. Nome: Inserisci pubblic-ip-firewall. SKU: Standard. Assegnazione: Statico. Seleziona OK.

4. Attiva Firewall Management NIC per questo tutorial, poi seleziona Avanti: Avanzato.

5. Nella scheda Avanzato , seleziona Abilita NAT gateway. Sotto StandardV2 NAT gateway, seleziona Crea nuovo.

   Il NAT Gateway è opzionale quando crei un firewall. Questo tutorial gli consente di fornire SNAT in uscita tramite l'indirizzo IP pubblico del gateway NAT. In una regione che non supporta StandardV2 NAT Gateway, il modulo mostra un errore di validazione. Scegli una regione supportata su Basics per continuare questo tutorial.

6. In Crea un nuovo StandardV2 NAT Gateway, inserisci nat-gateway per il Nome.

7. Sotto Indirizzi IPv4 pubblici, seleziona Crea un indirizzo IP pubblico. Inserisci pubblic-ip-nat per Nome.

8. Conferma che SKU sia StandardV2 e Assegnazione sia Statica, poi seleziona OK.

9. Conferma che (Nuovo) pubblico-ip-nat sia selezionato sotto indirizzi IPv4 pubblici. Lascia i campi di prefisso IPv6 e IP pubblico non selezionati per questo tutorial IPv4.

   

10. Selezionare Aggiungi. In Advanced, verifica che Abilita NAT gateway sia selezionato e che StandardV2 NAT gateway mostri (Nuovo) nat-gateway.

    

11. Selezionare Rivedi e crea. Conferma che il riepilogo mostri West US, lo SKU del firewall Standard, vnet-hub, public-ip-firewall e il nuovo gateway NAT StandardV2.

12. Selezionare Crea.

    La distribuzione crea il firewall, il gateway NAT e i relativi indirizzi IP pubblici. Associa inoltre il gateway NAT a AzureFirewallSubnet. La distribuzione richiede alcuni minuti.

    Conserva l'indirizzo IP pubblico del firewall. SNAT in uscita utilizza l'IP pubblico del gateway NAT, mentre il DNAT in entrata utilizza l'IP pubblico del firewall. Le rotte di carico di lavoro puntano ancora all'indirizzo IP privato del firewall.

13. Al termine della distribuzione, passare al gruppo di risorse test-rg e selezionare la risorsa del firewall .

14. Prendere nota degli indirizzi IP pubblico e privato del firewall. Questi indirizzi verranno usati in un secondo momento.

Usare New-AzPublicIpAddress per creare un indirizzo IP pubblico per Firewall di Azure.

# Create public IP for Azure Firewall
$publicIpFirewallParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-firewall'
    AllocationMethod  = 'Static'
    Sku = 'Standard'
}
$publicIpFirewall = New-AzPublicIpAddress @publicIpFirewallParams

Usare New-AzFirewallPolicy per creare criteri firewall.

# Create firewall policy
$firewallPolicyParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'firewall-policy'
}
$firewallPolicy = New-AzFirewallPolicy @firewallPolicyParams

Usare New-AzFirewall per creare Firewall di Azure.

# Create Azure Firewall
    $firewallParams = @{
        ResourceGroupName = 'test-rg'
        Location = 'westus'
        Name = 'firewall'
        VirtualNetworkName = 'vnet-hub'
        PublicIpName = 'public-ip-firewall'
        FirewallPolicyId = $firewallPolicy.Id
    }
    $firewall = New-AzFirewall @firewallParams

Non creare un altro gateway NAT. Verifica le risorse e l'associazione create nella sezione precedente:

1. Apri test-rg e seleziona nat-gateway. Conferma che il suo SKU sia StandardV2 e che la sua posizione corrisponda al firewall.
2. Apri vnet-hub, seleziona Subnet e seleziona AzureFirewallSubnet.
3. Conferma che il NAT gateway è impostato su nat-gateway. Lascia le impostazioni della subnet invariate.
4. Apri pubblic-ip-nat e conferma che utilizza lo SKU StandardV2 . Questo indirizzo è separato da public-ip-firewall, che utilizza lo SKU Standard.

Usare New-AzPublicIpAddress per creare l'indirizzo IP pubblico IPv4 con ridondanza di zona per il gateway NAT.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'StandardV2'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

Usare New-AzNatGateway per creare la risorsa gateway NAT.

Un gateway NAT StandardV2 dispone di ridondanza di zona per impostazione predefinita. Ometti il parametro opzionale Zone invece di assegnare questo gateway a una singola zona.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'StandardV2'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
}
$natGateway = New-AzNatGateway @nat

Usare Set-AzVirtualNetworkSubnetConfig per associare il gateway NAT ad AzureFirewallSubnet.

# Get the hub virtual network
$vnetHub = Get-AzVirtualNetwork -ResourceGroupName 'test-rg' -Name 'vnet-hub'

# Associate NAT gateway with AzureFirewallSubnet
$subnetParams = @{
    VirtualNetwork = $vnetHub
    Name = 'AzureFirewallSubnet'
    AddressPrefix = '10.0.1.64/26'
    NatGateway = $natGateway
}
Set-AzVirtualNetworkSubnetConfig @subnetParams

# Update the virtual network
$vnetHub | Set-AzVirtualNetwork

1. Nella casella di ricerca nella parte superiore del portale immettere Rete virtuale. Selezionare Reti virtuali nei risultati della ricerca.

2. Selezionare [+] Create ([+] Crea).

3. Nella scheda Informazioni di base di Crea rete virtuale immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg.
   Dettagli istanza
   Nome	Immettere vnet-spoke.
   Region	Selezionare Stati Uniti occidentali.

4. Selezionare Avanti per passare alla scheda Sicurezza.

5. Selezionare Avanti per passare alla scheda Indirizzi IP.

6. Nella scheda Indirizzi IP nello spazio indirizzi IPv4, selezionare Elimina spazio indirizzi per eliminare lo spazio indirizzi popolato automaticamente.

7. Selezionare + Aggiungi spazio indirizzi IPv4.

8. Per lo spazio indirizzi IPv4 digitare 10.1.0.0. Lasciare il valore predefinito /16 (65.536 indirizzi) nella maschera di selezione.

9. Selezionare +Aggiungi una subnet.

10. In Aggiungi una subnet immettere o selezionare le informazioni seguenti:

    Impostazione	valore
    Scopo della subnet	Lasciare l'impostazione predefinita Predefinito.
    Nome	Immettere subnet-private.
    IPv4
    Intervallo di indirizzi IPv4	Lasciare l'impostazione predefinita 10.1.0.0/16.
    Indirizzo iniziale	Lasciare l'impostazione predefinita 10.1.0.0.
    Dimensione	Lasciare l'impostazione predefinita /24(256 indirizzi).

11. Selezionare Aggiungi.

12. Selezionare Rivedi e crea.

13. Selezionare Crea.

Usare New-AzVirtualNetwork per creare la rete virtuale spoke.

# Create spoke virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-spoke'
    AddressPrefix = '10.1.0.0/16'
}
$spokeVnet = New-AzVirtualNetwork @vnetParams

Usare Add-AzVirtualNetworkSubnetConfig per creare una subnet per la rete virtuale spoke.

# Create subnet in spoke virtual network
$subnetParams = @{
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    VirtualNetwork = $spokeVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Usare Set-AzVirtualNetwork per aggiornare la rete virtuale spoke.

# Create the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. Nella casella di ricerca nella parte superiore del portale immettere Rete virtuale. Selezionare Reti virtuali nei risultati della ricerca.

2. Selezionare vNet-hub.

3. Selezionare Peering in Impostazioni.

4. Selezionare + Aggiungi.

5. In Aggiungi peering, immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Riepilogo della rete virtuale remota
   Nome del collegamento di peering	Immettere vnet-spoke-to-vnet-hub.
   Modello di distribuzione della rete virtuale	Lasciare il valore predefinito di Resource Manager.
   Abbonamento	Selezionare la propria sottoscrizione.
   Rete virtuale	Selezionare vnet-spoke (test-rg).
   Impostazioni del peering di reti virtuali remoto
   Consentire a "vnet-spoke" di accedere a "vnet-hub"	Lasciare selezionato come da impostazione predefinita.
   Consentire a "vnet-spoke" di ricevere traffico inoltrato da "vnet-hub"	Selezionare la casella di controllo.
   Consentire al gateway o al server di route in "vnet-spoke" di inoltrare il traffico a "vnet-hub"	Lasciare le opzioni non selezionate come da impostazione predefinita.
   Abilitare 'vnet-spoke' per l'uso del gateway remoto o del server di route 'vnet-hub'	Lasciare le opzioni non selezionate come da impostazione predefinita.
   Riepilogo della rete virtuale locale
   Nome del collegamento di peering	Immettere vnet-hub-to-vnet-spoke.
   Impostazioni del peering di reti virtuali locale
   Consentire a 'vnet-hub' di accedere a 'vnet-spoke'	Lasciare selezionato come da impostazione predefinita.
   Consentire a "vnet-hub" di ricevere traffico inoltrato da "vnet-spoke"	Selezionare la casella di controllo.
   Consentire al gateway o al server di route in "vnet-hub" di inoltrare il traffico a "vnet-spoke"	Lasciare le opzioni non selezionate come da impostazione predefinita.
   Abilitare "vnet-hub" per usare il gateway remoto o il server di route "vnet-spoke"	Lasciare le opzioni non selezionate come da impostazione predefinita.

6. Selezionare Aggiungi.

7. Selezionare Aggiorna e verificare che lo stato del peering sia Connesso.

Usare Add-AzVirtualNetworkPeering per creare un peering da hub a spoke.

# Create peering from hub to spoke
$peeringParams = @{
    Name = 'vnet-hub-to-vnet-spoke'
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

Usare Add-AzVirtualNetworkPeering per creare un peering da spoke a hub.

# Create peering from spoke to hub
$peeringParams = @{
    Name = 'vnet-spoke-to-vnet-hub'
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

1. Nella casella di ricerca nella parte superiore del portale immettere Firewall. Selezionare Firewall nei risultati della ricerca.

2. Selezionare firewall.

3. Nella panoramica del firewall prendere nota dell'indirizzo IP nel campo Ip privato del firewall. In questo esempio l'indirizzo IP è 10.0.1.68.

Usare Get-AzFirewall per ottenere l'indirizzo IP privato del firewall.

# Get the private IP address of the firewall
$firewallParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'firewall'
}
$firewall = Get-AzFirewall @firewallParams
$firewall.IpConfigurations[0].PrivateIpAddress

1. Nella casella di ricerca nella parte superiore del portale immettere Tabella di route. Selezionare Tabelle di route nei risultati della ricerca.

2. Selezionare [+] Create ([+] Crea).

3. In Crea tabella di route immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg.
   Dettagli istanza
   Region	Selezionare Stati Uniti occidentali.
   Nome	Immettere route-table-spoke.
   Propagare le route del gateway	Selezionare No.

4. Selezionare Rivedi e crea.

5. Selezionare Crea.

6. Nella casella di ricerca nella parte superiore del portale immettere Tabella di route. Selezionare Tabelle di route nei risultati della ricerca.

7. Selezionare route-table-spoke.

8. In Impostazioni selezionare Route.

9. Selezionare + Aggiungi in Route.

10. Immettere o selezionare le informazioni seguenti in Aggiungi route:

    Impostazione	valore
    Nome route	Immettere route-to-hub.
    Tipo destinazione	Selezionare Indirizzi IP.
    Intervalli di CIDR/indirizzi IP di destinazione	Immettere 0.0.0.0/0.
    Tipo hop successivo	Selezionare Appliance virtuale.
    Indirizzo hop successivo	Inserisci l'indirizzo IP privato del firewall che hai registrato prima. Non usare l'indirizzo IP pubblico del gateway NAT.

11. Selezionare Aggiungi.

12. Selezionare subnet in Impostazioni.

13. Selezionare + Associa.

14. Immettere o selezionare le informazioni seguenti in Associa subnet:

    Impostazione	valore
    Rete virtuale	Selezionare vnet-spoke (test-rg).
    Subnet	Selezionare subnet-private.

15. Selezionare OK.

Usare New-AzRouteTable per creare la tabella di route.

# Create route table
$routeTableParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'route-table-spoke'
}
$routeTable = New-AzRouteTable @routeTableParams

Usare Add-AzRouteConfig per creare una route nella tabella di route.

# Create route
$routeConfigParams = @{
    Name = 'route-to-hub'
    AddressPrefix = '0.0.0.0/0'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = $firewall.IpConfigurations[0].PrivateIpAddress
    RouteTable = $routeTable
}
Add-AzRouteConfig @routeConfigParams

Usare Set-AzRouteTable per aggiornare la tabella di route.

# Update the route table
$routeTable | Set-AzRouteTable

Usare Set-AzVirtualNetworkSubnetConfig per associare la tabella di route alla subnet spoke.

# Associate route table with subnet
$subnetConfigParams = @{
    VirtualNetwork = $spokeVnet
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    RouteTable = $routeTable
}
Set-AzVirtualNetworkSubnetConfig @subnetConfigParams

Usare Set-AzVirtualNetwork per aggiornare la rete virtuale spoke.

# Update the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. Nella casella di ricerca nella parte superiore del portale immettere Firewall. Selezionare Criteri firewall nei risultati della ricerca.

2. Selezionare firewall-policy.

3. Espandere Impostazioni, quindi selezionare Regole di rete.

4. Selezionare + Aggiungi una raccolta regole.

5. In Aggiungi una raccolta regole immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Nome	Immettere spoke-to-internet.
   Tipo di raccolta regole	Selezionare Rete.
   Priorità	Immettere 100.
   Azione della raccolta regole	selezionare Consenti.
   Gruppi di raccolte di regole	Selezionare DefaultNetworkRuleCollectionGroup.
   Regole
   Nome	Immettere allow-web.
   Tipo di origine	IP Address (Indirizzo IP).
   Source (Sorgente)	Immettere 10.1.0.0/24.
   Protocollo	selezionare TCP.
   Porte di destinazione	Immettere 80,443.
   Tipo destinazione	Selezionare Indirizzo IP.
   Destination	Immettere *

6. Selezionare Aggiungi.

Usare Get-AzFirewallPolicy per ottenere i criteri firewall esistenti.

# Get the existing firewall policy
$firewallPolicyParams = @{
    Name = 'firewall-policy'
    ResourceGroupName = 'test-rg'
}
$firewallPolicy = Get-AzFirewallPolicy @firewallPolicyParams

Usare New-AzFirewallPolicyNetworkRule per creare una regola di rete.

# Create a network rule for web traffic
$networkRuleParams = @{
    Name = 'allow-internet'
    SourceAddress = '10.1.0.0/24'
    Protocol = 'TCP'
    DestinationAddress = '*'
    DestinationPort = '80', '443'
}
$networkRule = New-AzFirewallPolicyNetworkRule @networkRuleParams

Usare New-AzFirewallPolicyFilterRuleCollection per creare una raccolta regole per la regola di rete.

# Create a rule collection for the network rule
$ruleCollectionParams = @{
    Name = 'spoke-to-internet'
    Priority = 100
    Rule = $networkRule
    ActionType = 'Allow'
}
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection @ruleCollectionParams

Usare New-AzFirewallPolicyRuleCollectionGroup per creare un gruppo di regole di raccolta.

$newRuleCollectionGroupParams = @{
        Name = 'DefaultNetworkRuleCollectionGroup'
        Priority = 200
        FirewallPolicyObject = $firewallPolicy
        RuleCollection = $ruleCollection
    }
New-AzFirewallPolicyRuleCollectionGroup @newRuleCollectionGroupParams

1. Nel portale, cercare e selezionare Macchine virtuali.

2. In Macchine virtuali, selezionare + Crea, quindi Macchina virtuale di Azure.

3. Nella scheda Informazioni di base di Crea una macchina virtuale, immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Dettagli del progetto
   Abbonamento	Selezionare la propria sottoscrizione.
   Gruppo di risorse	Selezionare test-rg.
   Dettagli istanza
   Nome della macchina virtuale	Immettere vm-spoke.
   Region	Selezionare Stati Uniti occidentali.
   Opzioni di disponibilità	Selezionare Nessuna ridondanza dell'infrastruttura necessaria.
   Tipo di sicurezza	Lasciare l'impostazione predefinita Standard.
   Immagine	Selezionare Ubuntu Server 24.04 LTS - x64 Gen2.
   Architettura della macchina virtuale	Lasciare il valore predefinito x64.
   Dimensione	Selezionare una dimensione.
   Account amministratore
   Tipo di autenticazione	selezionare Chiave pubblica SSH.
   Nome utente	digitare azureuser.
   Origine chiave pubblica SSH	Selezionare Genera nuova coppia di chiavi.
   Nome della coppia di chiavi	Immettere vm-spoke-key.
   Regole porta in ingresso
   Porte in ingresso pubbliche	Selezionare Nessuno.

4. Selezionare la scheda Rete nella parte superiore della pagina oppure selezionare Avanti: Dischi e quindi Avanti: Rete.

5. Nella scheda Rete immettere o selezionare le informazioni seguenti:

   Impostazione	valore
   Interfaccia di rete
   Rete virtuale	Selezionare vnet-spoke.
   Subnet	Selezionare subnet-private (10.1.0.0/24).
   IP pubblico	Selezionare Nessuno.
   Gruppo di sicurezza di rete della scheda di interfaccia di rete	Fare clic su Avanzate.
   Configura gruppo di sicurezza di rete	Selezionare Crea nuovo. Immettere nsg-1 per il nome. Lasciare invariate le impostazioni predefinite e selezionare OK.

6. Lasciare invariate le impostazioni predefinite e selezionare Rivedi e crea.

7. Rivedere le impostazioni e selezionare Crea.

8. Viene visualizzata la finestra di dialogo Genera nuova coppia di chiavi . Selezionare Scarica chiave privata e crea risorsa.

La chiave privata viene scaricata nel computer locale. Ti serve la chiave privata scaricata per vm-spoke-key quando ti connetti alla macchina virtuale con Azure Bastion più avanti in questo tutorial.

Aspetta che la macchina virtuale finisca di essere distribuita prima di procedere ai passaggi successivi.

Usare New-AzNetworkSecurityGroup per creare il gruppo di sicurezza di rete.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-1"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

Usare New-AzNetworkInterface per creare l'interfaccia di rete.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-1").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Usare Get-Credential per impostare un nome utente e una password per la macchina virtuale e archiviarli nella variabile $cred.

$cred = Get-Credential

Usare New-AzVMConfig per definire una macchina virtuale.

$vmConfigParams = @{
    VMName = "vm-spoke"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Usare Set-AzVMOperatingSystem e Set-AzVMSourceImage per creare il resto della configurazione della macchina virtuale. L'esempio seguente crea una macchina virtuale Ubuntu Server:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Usare Add-AzVMNetworkInterface per collegare la NIC creata in precedenza alla macchina virtuale.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Usare New-AzVM per creare la macchina virtuale. Il comando genera chiavi SSH per la macchina virtuale per l'accesso. Prendere nota della posizione della chiave privata. La chiave privata è necessaria nei passaggi successivi per la connessione alla macchina virtuale con Azure Bastion.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "vm-spoke-key"
    }
New-AzVM @vmParams -GenerateSshKey

1. Nella casella di ricerca nella parte superiore del portale, immettere Indirizzo IP pubblico. Selezionare Indirizzi IP pubblici nei risultati della ricerca.

2. Selezionare public-ip-nat.

3. Annota il valore nell'indirizzo IP. L'esempio usato in questo articolo è 203.0.113.25.

Usare Get-AzPublicIpAddress per ottenere l'indirizzo IP pubblico del gateway NAT.

# Get the public IP address of the NAT gateway
$publicIpNatParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'public-ip-nat'
}
$publicIpNat = Get-AzPublicIpAddress @publicIpNatParams
$publicIpNat.IpAddress

Quando le risorse create non sono più necessarie, è possibile eliminare il gruppo di risorse e tutte le risorse che contiene.

1. Accedere al portale di Azure e selezionare Gruppi di risorse.

2. Nella pagina Gruppi di risorse selezionare il gruppo di risorse test-rg.

3. Nella pagina test-rg selezionare Elimina gruppo di risorse.

4. Immettere test-rg in Immettere il nome del gruppo di risorse per confermare l'eliminazione, quindi selezionare Elimina.

Usare Remove-AzResourceGroup per rimuovere il gruppo di risorse.

# Remove resource group
$rgParams = @{
    Name = 'test-rg'
}
Remove-AzResourceGroup @rgParams