Integrera NAT-gateway med Azure Firewall i ett nav- och ekernätverk för utgående anslutningar

• Ett Azure-konto med en aktiv prenumeration. Skapa ett konto utan kostnad.

• Ett Azure-konto med en aktiv prenumeration. Skapa ett konto utan kostnad.

Azure Cloud Shell

Azure är värd för Azure Cloud Shell, en interaktiv gränssnittsmiljö som du kan använda via webbläsaren. Du kan använda antingen Bash eller PowerShell med Cloud Shell för att arbeta med Azure-tjänster. Du kan använda förinstallerade Cloud Shell-kommandon för att köra koden i den här artikeln, utan att behöva installera något i din lokala miljö.

Så här startar du Azure Cloud Shell:

Alternativ	Exempel/länk
Välj Försök i det övre högra hörnet av kod- eller kommandoblocket. Om du väljer Prova kopieras inte koden eller kommandot automatiskt till Cloud Shell.
Gå till https://shell.azure.com eller Välj knappen Starta Cloud Shell för att öppna Cloud Shell i webbläsaren.
Välj knappen Cloud Shell på menyn längst upp till höger i Azure-portalen.

Så här använder du Azure Cloud Shell:

1. Starta den Cloud Shell.

2. Välj knappen Kopiera i ett kodblock (eller kommandoblock) för att kopiera koden eller kommandot.

3. Klistra in koden eller kommandot i Cloud Shell-sessionen genom att välja Ctrl+Skift+V i Windows och Linux, eller genom att välja Cmd+Skift+V på macOS.

4. Välj Ange för att köra koden eller kommandot.

Om du kör kommandona lokalt, installera eller uppdatera till den aktuella Azure PowerShell-versionen, inklusive Az.Network-modulen, innan du börjar. Exemplen använder StandardV2 SKU. Använd Get-Module med -ListAvailable Az.Network för att kontrollera din installerade nätverksmodul. Logga in med Connect-AzAccount.

1. Logga in på Azure-portalen.

2. I sökrutan överst i portalen anger du Resursgrupp. Välj Resursgrupper i sökresultaten.

3. Välj + Skapa.

4. På fliken Grundläggande i Skapa en resursgrupp anger eller väljer du följande information.

   Inställning	Värde
   Prenumeration	Välj din prenumeration
   Resursgrupp	test-rg
   Region	Västra USA

5. Välj Granska + skapa.

6. Välj Skapa.

Skapa en resursgrupp med New-AzResourceGroup. En Azure-resursgrupp är en logisk behållare i vilken Azure-resurser distribueras och hanteras.

I följande exempel skapas en resursgrupp med namnet test-rg på platsen westus :

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

1. Logga in på Azure-portalen.

2. I sökrutan överst i Azure-portalen anger du Virtuellt nätverk. Välj Virtuella nätverk i sökresultaten.

3. Välj Skapa.

4. Ange eller välj följande information på fliken Grundläggande i Skapa virtuellt nätverk.

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg eller din resursgrupp.
   Instansinformation
   Namn	Ange vnet-hub.
   Region	Välj din region. I det här exemplet används Västra USA.

5. Välj fliken IP-adresser eller välj Nästa: Säkerhet och sedan Nästa: IP-adresser.

6. I Undernät väljer du standardundernätet .

7. Ange eller välj följande information i Redigera undernät.

   Inställning	Värde
   Undernätssyfte	Låt standardvärdet vara kvar.
   Namn	Ange undernät-1.

8. Låt resten av inställningarna vara standard och välj sedan Spara.

9. Välj + Lägg till ett undernät.

10. I Lägg till ett undernät anger eller väljer du följande information.

    Inställning	Värde
    Undernätssyfte	Välj Azure Bastion.

11. Låt resten av inställningarna vara standard och välj sedan Lägg till.

12. Välj + Lägg till ett undernät.

13. I Lägg till ett undernät anger eller väljer du följande information.

    Inställning	Värde
    Undernätssyfte	Välj Azure Firewall.

14. Låt resten av inställningarna vara standard och välj sedan Lägg till.

15. Välj Granska + skapaoch välj sedan Skapa.

Använd New-AzVirtualNetwork för att skapa det virtuella hubbnätverket.

# Create hub virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-hub'
    AddressPrefix = '10.0.0.0/16'
}
$hubVnet = New-AzVirtualNetwork @vnetParams

Använd Add-AzVirtualNetworkSubnetConfig för att skapa ett undernät för Azure Firewall och Azure Bastion.

# Create default subnet
$subnetParams = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Firewall
$subnetParams = @{
    Name = 'AzureFirewallSubnet'
    AddressPrefix  = '10.0.1.64/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

# Create subnet for Azure Bastion
$subnetParams = @{
    Name = 'AzureBastionSubnet'
    AddressPrefix  = '10.0.1.0/26'
    VirtualNetwork = $hubVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Använd Set-AzVirtualNetwork för att uppdatera det virtuella nätverket.

# Create the virtual network
$hubVnet | Set-AzVirtualNetwork

1. I sökrutan överst i Azure-portalen anger du Bastion. Välj Bastioner i sökresultaten.

2. Välj Skapa.

3. Ange eller välj följande information på fliken Grundläggande i Skapa en bastion.

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg eller din resursgrupp.
   Instansinformation
   Namn	Ange bastion.
   Region	Välj din region. I det här exemplet används Västra USA.
   Nivå	Välj Grundläggande.
   Virtuellt nätverk	Välj vnet-hubb.
   Undernät	Välj AzureBastionSubnet.
   Offentlig IP-adress	Skapa en ny Standard, statisk offentlig IP-adress med namnet public-ip-bastion.

   Bastion Basic har stöd för att ansluta till test-VM:n i det peerkopplade spoke-virtuella nätverket. Bastion Developer stöder inte anslutningar till peerade virtuella nätverk. För mer information, se jämförelsen av Bastion SKU.

4. Välj Granska + skapaoch välj sedan Skapa.

Använd New-AzPublicIpAddress för att skapa en offentlig IP-adress för Azure Bastion.

# Create public IP for Azure Bastion
$publicIpBastionParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-bastion'
    Sku = 'Standard'
    AllocationMethod = 'Static'
}
$publicIpBastion = New-AzPublicIpAddress @publicIpBastionParams

Använd New-AzBastion för att skapa Azure Bastion.

# Create Azure Bastion
$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

1. I sökrutan överst i portalen anger du Brandvägg. Välj Brandväggar i sökresultatet.

2. Välj + Skapa.

3. På fliken Grundläggande i Skapa en brandvägg, använd följande tabell för att konfigurera brandväggen:

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg.
   Instansinformation
   Namn	Ange brandvägg.
   Region	Välj Västra USA.
   Brandväggsartikelnummer	Välj Standard.
   Brandväggshantering	Välj Använd en brandväggsprincip för att hantera den här brandväggen.
   Brandväggsprincip	Välj Lägg till ny. Namn: Ange brandväggsprincip. Region: Välj USA, västra. Principnivå: Standard. Välj OK.
   Välj ett virtuellt nätverk
   Virtuellt nätverk	Välj Använd befintlig.
   Virtuellt nätverk	Välj vnet-hubb.
   Offentlig IP-adress
   Offentlig IP-adress	Välj Lägg till ny. Namn: Ange public-ip-firewall. SKU: Standard. Tilldelning: Statisk. Välj OK.

4. Rensa Aktivera brandväggshanterings-NIC för denna handledning och välj sedan Nästa: Avancerat.

5. På fliken Avancerat , välj Aktivera NAT-gateway. Under StandardV2 NAT-gateway, välj Skapa ny.

   NAT Gateway är valfritt när du skapar en brandvägg. Denna handledning gör det möjligt att tillhandahålla utgående SNAT via NAT-gatewayens publika IP-adress. I en region som inte stöder StandardV2 NAT Gateway visar formuläret ett valideringsfel. Välj en stödd region på Grunderna för att fortsätta med denna handledning.

6. I Skapa en ny StandardV2 NAT Gateway, ange nat-gateway för Namn.

7. Under publika IPv4-adresser, välj Skapa en publik IP-adress. Skriv public-ip-nat för Name.

8. Bekräfta att SKU är StandardV2 och Tilldelning är statisk, och välj sedan OK.

9. Bekräfta att (Ny) public-ip-nat är valt under publika IPv4-adresser. Låt IPv6-adress- och publika IP-prefixfälten vara ovalda för denna IPv4-handledning.

   

10. Markera Lägga till. På Avancerat, bekräfta att Aktivera NAT-gateway är valt och att StandardV2 NAT-gateway visar (Ny) nat-gateway.

    

11. Välj Granska + skapa. Bekräfta att sammanfattningen visar West US, Standard-brandväggens SKU, vnet-hub, public-ip-firewall, och den nya StandardV2 NAT-gatewayen.

12. Välj Skapa.

    Utrullningen skapar brandväggen, NAT-gatewayen och deras publika IP-adresser. Den associerar också NAT-gatewayen med AzureFirewallSubnet. Implementeringen tar några minuter.

    Behåll brandväggens egen publika IP-adress. Utgående SNAT använder NAT-gatewayens publika IP, medan inkommande DNAT använder brandväggens publika IP. Arbetsbelastningsrutter pekar fortfarande på brandväggens privata IP-adress.

13. När distributionen är klar går du till resursgruppen test-rg och väljer brandväggsresursen .

14. Observera brandväggens privata och offentliga IP-adresser. Du använder dessa adresser senare.

Använd New-AzPublicIpAddress för att skapa en offentlig IP-adress för Azure Firewall.

# Create public IP for Azure Firewall
$publicIpFirewallParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'public-ip-firewall'
    AllocationMethod  = 'Static'
    Sku = 'Standard'
}
$publicIpFirewall = New-AzPublicIpAddress @publicIpFirewallParams

Använd New-AzFirewallPolicy för att skapa en brandväggspolicy.

# Create firewall policy
$firewallPolicyParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'firewall-policy'
}
$firewallPolicy = New-AzFirewallPolicy @firewallPolicyParams

Använd New-AzFirewall för att skapa Azure Firewall.

# Create Azure Firewall
    $firewallParams = @{
        ResourceGroupName = 'test-rg'
        Location = 'westus'
        Name = 'firewall'
        VirtualNetworkName = 'vnet-hub'
        PublicIpName = 'public-ip-firewall'
        FirewallPolicyId = $firewallPolicy.Id
    }
    $firewall = New-AzFirewall @firewallParams

Skapa inte en ny NAT-gateway. Verifiera resurserna och de föreningar som skapats i föregående avsnitt:

1. Öppna test-rg och välj nat-gateway. Bekräfta att dess SKU är StandardV2 och att dess plats matchar brandväggen.
2. Öppna vnet-hub, välj Subnets och välj AzureFirewallSubnet.
3. Bekräfta att NAT-gatewayen är inställd på nat-gateway. Låt subnätinställningarna vara oförändrade.
4. Öppna public-ip-nat och bekräfta att den använder StandardV2 SKU. Denna adress är separat från public-ip-firewall, som använder Standard-SKU :n.

Använd New-AzPublicIpAddress för att skapa en zonredundant offentlig IPv4-IP-adress för NAT-gatewayen.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'StandardV2'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

Använd New-AzNatGateway för att skapa NAT-gatewayresursen.

En StandardV2 NAT-gateway är zonredundant som standard. Utelämna den valfria Zone parametern istället för att tilldela denna gateway till en enda zon.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'StandardV2'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
}
$natGateway = New-AzNatGateway @nat

Använd Set-AzVirtualNetworkSubnetConfig för att associera NAT-gateway med AzureFirewallSubnet.

# Get the hub virtual network
$vnetHub = Get-AzVirtualNetwork -ResourceGroupName 'test-rg' -Name 'vnet-hub'

# Associate NAT gateway with AzureFirewallSubnet
$subnetParams = @{
    VirtualNetwork = $vnetHub
    Name = 'AzureFirewallSubnet'
    AddressPrefix = '10.0.1.64/26'
    NatGateway = $natGateway
}
Set-AzVirtualNetworkSubnetConfig @subnetParams

# Update the virtual network
$vnetHub | Set-AzVirtualNetwork

1. I sökrutan överst i portalen anger du Virtuellt nätverk. Välj Virtuella nätverk i sökresultaten.

2. Välj + Skapa.

3. På fliken Grundläggande i Skapa virtuellt nätverk anger eller väljer du följande information:

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg.
   Instansinformation
   Namn	Ange vnet-spoke.
   Region	Välj Västra USA.

4. Välj Nästa för att fortsätta till fliken Säkerhet .

5. Välj Nästa för att gå vidare till fliken IP-adresser .

6. På fliken IP-adresser i IPv4-adressutrymmet väljer du Ta bort adressutrymme för att ta bort adressutrymmet som fylls i automatiskt.

7. Välj + Lägg till IPv4-adressutrymme.

8. Ange 10.1.0.0 i IPv4-adressrymd. Lämna standardvärdet /16 (65 536 adresser) i maskmarkeringen.

9. Välj + Lägg till ett undernät.

10. I Lägg till ett undernät anger eller väljer du följande information:

    Inställning	Värde
    Undernätssyfte	Lämna standardinställningen Standard.
    Namn	Ange subnät-privat.
    IPv4
    IPv4-adressintervall	Låt standardvärdet vara 10.1.0.0/16.
    Startadress	Låt standardvärdet vara 10.1.0.0.
    Storlek	Lämna standardvärdet /24(256 adresser).

11. Markera Lägga till.

12. Välj Granska + skapa.

13. Välj Skapa.

Använd New-AzVirtualNetwork för att skapa spoke-nätverket.

# Create spoke virtual network
$vnetParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'vnet-spoke'
    AddressPrefix = '10.1.0.0/16'
}
$spokeVnet = New-AzVirtualNetwork @vnetParams

Använd Add-AzVirtualNetworkSubnetConfig för att skapa ett undernät för spoke-nätverket.

# Create subnet in spoke virtual network
$subnetParams = @{
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    VirtualNetwork = $spokeVnet
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Använd Set-AzVirtualNetwork för att uppdatera spoke-nätverket.

# Create the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. I sökrutan överst i portalen anger du Virtuellt nätverk. Välj Virtuella nätverk i sökresultaten.

2. Välj vnet-hubb.

3. Välj Peerings i Inställningar.

4. Markera + Lägg till.

5. Ange eller välj följande information i Lägg till peering:

   Inställning	Värde
   Sammanfattning av virtuella nätverk
   Namn på peeringlänk	Ange vnet-spoke-to-vnet-hub.
   Distributionsmodell för virtuellt nätverk	Låt standardvärdet för Resource manager vara kvar.
   Prenumeration	Välj din prenumeration.
   Virtuellt nätverk	Välj vnet-spoke (test-rg).
   Inställningar för fjärrvirtuell nätverkspeering
   Tillåt att "vnet-spoke" får åtkomst till "vnet-hub"	Lämna standardinställningen Markerad.
   Tillåt att "vnet-spoke" tar emot vidarebefordrad trafik från "vnet-hub"	Markera kryssrutan.
   Tillåt att gateway- eller routningsservern i "vnet-spoke" vidarebefordrar trafik till "vnet-hub"	Lämna standardvärdet Avmarkerat.
   Aktivera "vnet-spoke" för att använda fjärrgatewayen eller routningsservern för vnet-hubben	Lämna standardvärdet Avmarkerat.
   Sammanfattning av lokalt virtuellt nätverk
   Namn på peeringlänk	Ange vnet-hub-to-vnet-spoke.
   Peeringinställningar för lokalt virtuellt nätverk
   Tillåt att "vnet-hub" får åtkomst till "vnet-spoke"	Lämna standardinställningen Markerad.
   Tillåt att "vnet-hub" tar emot vidarebefordrad trafik från "vnet-spoke"	Markera kryssrutan.
   Tillåt gateway- eller routningsserver i "vnet-hub" att vidarebefordra trafik till "vnet-spoke"	Lämna standardvärdet Avmarkerat.
   Aktivera "vnet-hub" för att använda "vnet-spokes" fjärrgateway eller routningsserver	Lämna standardvärdet Avmarkerat.

6. Markera Lägga till.

7. Välj Uppdatera och kontrollera så att peeringstatusen är Ansluten.

Använd Add-AzVirtualNetworkPeering för att skapa en peering från hubben till ekern.

# Create peering from hub to spoke
$peeringParams = @{
    Name = 'vnet-hub-to-vnet-spoke'
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

Använd Add-AzVirtualNetworkPeering för att etablera en peering från spaken till hubben.

# Create peering from spoke to hub
$peeringParams = @{
    Name = 'vnet-spoke-to-vnet-hub'
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @peeringParams

1. I sökrutan överst i portalen anger du Brandvägg. Välj Brandväggar i sökresultatet.

2. Välj brandvägg.

3. I översikten över brandväggen noterar du IP-adressen i fältet Brandväggens privata IP-adress. IP-adressen i det här exemplet är 10.0.1.68.

Använd Get-AzFirewall för att hämta brandväggens privata IP-adress.

# Get the private IP address of the firewall
$firewallParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'firewall'
}
$firewall = Get-AzFirewall @firewallParams
$firewall.IpConfigurations[0].PrivateIpAddress

1. I sökrutan överst i portalen anger du Routningstabell. Välj Routningstabeller i sökresultatet.

2. Välj + Skapa.

3. I Skapa routningstabell anger eller väljer du följande information:

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg.
   Instansinformation
   Region	Välj Västra USA.
   Namn	Ange route-table-spoke.
   Sprida gatewayvägar	Välj Nej.

4. Välj Granska + skapa.

5. Välj Skapa.

6. I sökrutan överst i portalen anger du Routningstabell. Välj Routningstabeller i sökresultatet.

7. Välj route-table-spoke.

8. I Inställningar väljer du Vägar.

9. Välj + Lägg till i vägar.

10. Ange eller välj följande information i Lägg till väg:

    Inställning	Värde
    Vägnamn	Ange route-to-hub.
    Måltyp	Välj IP-adresser.
    Mål-IP-adresser/CIDR-intervall	Ange 0.0.0.0/0.
    Nästa hopptyp	Välj Virtuell installation.
    adress för nästa hopp	Ange brandväggens privata IP-adress som du registrerade tidigare. Använd inte NAT-gatewayens publika IP-adress.

11. Markera Lägga till.

12. Välj Undernät i Inställningar.

13. Välj + Associera.

14. Ange eller välj följande information i Associera undernät:

    Inställning	Värde
    Virtuellt nätverk	Välj vnet-spoke (test-rg).
    Undernät	Välj subnet-private.

15. Välj OK.

Använd New-AzRouteTable för att skapa routningstabellen.

# Create route table
$routeTableParams = @{
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Name = 'route-table-spoke'
}
$routeTable = New-AzRouteTable @routeTableParams

Använd Add-AzRouteConfig för att skapa en väg i routningstabellen.

# Create route
$routeConfigParams = @{
    Name = 'route-to-hub'
    AddressPrefix = '0.0.0.0/0'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = $firewall.IpConfigurations[0].PrivateIpAddress
    RouteTable = $routeTable
}
Add-AzRouteConfig @routeConfigParams

Använd Set-AzRouteTable för att uppdatera routningstabellen.

# Update the route table
$routeTable | Set-AzRouteTable

Använd Set-AzVirtualNetworkSubnetConfig för att associera routetabellen med spoke-undernätet.

# Associate route table with subnet
$subnetConfigParams = @{
    VirtualNetwork = $spokeVnet
    Name = 'subnet-private'
    AddressPrefix = '10.1.0.0/24'
    RouteTable = $routeTable
}
Set-AzVirtualNetworkSubnetConfig @subnetConfigParams

Använd Set-AzVirtualNetwork för att uppdatera spoke-nätverket.

# Update the virtual network
$spokeVnet | Set-AzVirtualNetwork

1. I sökrutan överst i portalen anger du Brandvägg. Välj Brandväggsprinciper i sökresultatet.

2. Välj brandväggsprincip.

3. Expandera Inställningar och välj sedan Nätverksregler.

4. Välj + Lägg till en regelsamling.

5. I Lägg till en regelsamling anger eller väljer du följande information:

   Inställning	Värde
   Namn	Ange spoke-to-internet.
   Typ av regelsamling	Välj Nätverk.
   Prioritet	Ange 100.
   Regelsamlingsåtgärd	Markera Tillåt.
   Regelsamlingsgrupp	Välj DefaultNetworkRuleCollectionGroup.
   Regler
   Namn	Ange allow-web.
   Källtyp	IP-adress.
   Källa	Ange 10.1.0.0/24.
   Protokoll	Välj TCP.
   Målportar	Ange 80 443.
   Måltyp	Välj IP-adress.
   Mål	Inträda*

6. Markera Lägga till.

Använd Get-AzFirewallPolicy för att hämta den befintliga brandväggspolicyn.

# Get the existing firewall policy
$firewallPolicyParams = @{
    Name = 'firewall-policy'
    ResourceGroupName = 'test-rg'
}
$firewallPolicy = Get-AzFirewallPolicy @firewallPolicyParams

Använd New-AzFirewallPolicyNetworkRule för att skapa en nätverksregel.

# Create a network rule for web traffic
$networkRuleParams = @{
    Name = 'allow-internet'
    SourceAddress = '10.1.0.0/24'
    Protocol = 'TCP'
    DestinationAddress = '*'
    DestinationPort = '80', '443'
}
$networkRule = New-AzFirewallPolicyNetworkRule @networkRuleParams

Använd New-AzFirewallPolicyFilterRuleCollection för att skapa en regelsamling för nätverksregeln.

# Create a rule collection for the network rule
$ruleCollectionParams = @{
    Name = 'spoke-to-internet'
    Priority = 100
    Rule = $networkRule
    ActionType = 'Allow'
}
$ruleCollection = New-AzFirewallPolicyFilterRuleCollection @ruleCollectionParams

Använd New-AzFirewallPolicyRuleCollectionGroup för att skapa en regelsamlingsgrupp.

$newRuleCollectionGroupParams = @{
        Name = 'DefaultNetworkRuleCollectionGroup'
        Priority = 200
        FirewallPolicyObject = $firewallPolicy
        RuleCollection = $ruleCollection
    }
New-AzFirewallPolicyRuleCollectionGroup @newRuleCollectionGroupParams

1. I portalen söker du efter och väljer Virtuella datorer.

2. I Virtuella datorer väljer du + Skapa och sedan Virtuell Azure-dator.

3. På fliken Grundläggande i Skapa en virtuell dator anger eller väljer du följande information:

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj test-rg.
   Instansinformation
   Namn på virtuell maskin	Ange vm-spoke.
   Region	Välj Västra USA.
   Tillgängliga alternativ	Välj Ingen infrastrukturredundans krävs.
   Säkerhetstyp	Lämna standardinställningen Standard.
   Bild	Välj Ubuntu Server 24.04 LTS – x64 Gen2.
   VM-arkitektur	Låt standardvärdet x64 vara kvar.
   Storlek	Välj en storlek.
   Administratörskonto
   Autentiseringstyp	Välj Offentlig SSH-nyckel.
   Användarnamn	Ange azureuser.
   Offentlig SSH-nyckelkälla	Välj Generera nytt nyckelpar.
   Nyckelparsnamn	Ange vm-spoke-key.
   Regler för inkommande portar
   Offentliga inkommande portar	Välj Ingen.

4. Välj fliken Nätverk överst på sidan eller välj Nästa:Diskar och sedan Nästa:Nätverk.

5. Ange eller välj följande information på fliken Nätverk :

   Inställning	Värde
   Nätverksgränssnitt
   Virtuellt nätverk	Välj vnet-spoke.
   Undernät	Välj undernät privat (10.1.0.0/24).
   Offentlig IP-adress	Välj Ingen.
   Nätverkssäkerhetsgrupp	Välj Avancerat.
   Konfigurera nätverkssäkerhetsgrupp	Välj Skapa ny. Ange nsg-1 som namn. Låt resten vara som standard och välj OK.

6. Låt resten av inställningarna vara som standard och välj Granska + skapa.

7. Granska inställningarna och välj Skapa.

8. Dialogrutan Generera nytt nyckelpar visas. Välj Hämta privat nyckel och skapa resurs.

Den privata nyckeln laddas ned till din lokala dator. Du behöver den nedladdade privata nyckeln för VM-spoke-key när du ansluter till den virtuella maskinen med Azure Bastion senare i denna handledning.

Vänta tills den virtuella maskinen är klar med distributionen innan du går vidare till nästa steg.

Använd New-AzNetworkSecurityGroup för att skapa nätverkssäkerhetsgruppen.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-1"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

Använd New-AzNetworkInterface för att skapa nätverksgränssnittet.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-1").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Använd Get-Credential för att ange ett användarnamn och lösenord för den virtuella datorn och lagra dem i variabeln $cred .

$cred = Get-Credential

Använd New-AzVMConfig för att definiera en virtuell dator.

$vmConfigParams = @{
    VMName = "vm-spoke"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Använd Set-AzVMOperatingSystem och Set-AzVMSourceImage för att skapa resten av vm-konfigurationen. I följande exempel skapas en virtuell Ubuntu Server-dator:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Använd Add-AzVMNetworkInterface för att koppla nätverkskortet som du skapade tidigare till den virtuella datorn.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Använd New-AzVM för att skapa den virtuella datorn. Kommandot genererar SSH-nycklar för den virtuella datorn för inloggning. Anteckna platsen för den privata nyckeln. Den privata nyckeln behövs i senare steg för att ansluta till den virtuella datorn med Azure Bastion.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "vm-spoke-key"
    }
New-AzVM @vmParams -GenerateSshKey

1. I sökrutan överst i portalen anger du Offentlig IP-adress. Välj Offentliga IP-adresser i sökresultatet.

2. Välj public-ip-nat.

3. Notera värdet i IP-adressen. Exemplet som används i den här artikeln är 203.0.113.25.

Använd Get-AzPublicIpAddress för att hämta nat-gatewayens offentliga IP-adress.

# Get the public IP address of the NAT gateway
$publicIpNatParams = @{
    ResourceGroupName = 'test-rg'
    Name = 'public-ip-nat'
}
$publicIpNat = Get-AzPublicIpAddress @publicIpNatParams
$publicIpNat.IpAddress

När du är klar med de resurser som du skapade kan du ta bort resursgruppen och alla dess resurser.

1. I Azure Portal söker du efter och väljer Resursgrupper.

2. På sidan Resursgrupper väljer du resursgruppen test-rg .

3. På sidan test-rg väljer du Ta bort resursgrupp.

4. Ange test-rg i Ange resursgruppsnamn för att bekräfta borttagningen och välj sedan Ta bort.

Använd Remove-AzResourceGroup för att ta bort resursgruppen.

# Remove resource group
$rgParams = @{
    Name = 'test-rg'
}
Remove-AzResourceGroup @rgParams