Configurare una VPN da punto a sito in Windows per l'uso con File di Azure

Per configurare una VPN point-to-site utilizzando il portale Azure, è necessario conoscere il nome del gruppo risorse, il nome della rete virtuale, il nome della subnet gateway e il nome dell'account storage.

Eseguire questo script per raccogliere le informazioni necessarie. Sostituire <resource-group>, <virtual-network-name>, <subnet-name> e <storage-account-name> con i valori appropriati per l'ambiente in uso.

$resourceGroupName  = '<resource-group-name>'
$virtualNetworkName = '<virtual-network-name>'
$subnetName         = '<subnet-name>'
$storageAccountName = '<storage-account-name>'

$virtualNetworkParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $virtualNetworkName
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnetId = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object {$_.Name -eq 'StorageAccountSubnet'} |
    Select-Object -ExpandProperty Id

$storageAccountParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $storageAccountName
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$privateEndpoint = Get-AzPrivateEndpoint |
    Where-Object {
        $subnets = $_ |
            Select-Object -ExpandProperty Subnet |
            Where-Object {$_.Id -eq $subnetId}

        $connections = $_ |
            Select-Object -ExpandProperty PrivateLinkServiceConnections |
            Where-Object {$_.PrivateLinkServiceId -eq $storageAccount.Id}
        
        $null -ne $subnets -and $null -ne $connections
    } |
    Select-Object -First 1

Per distribuire un gateway di rete virtuale usando il portale di Azure, seguire queste istruzioni.

1. Accedere al portale di Azure.

2. In Cerca risorse, servizi e documentazione digitare gateway di rete virtuale. Individuare e selezionare Gateway di rete virtuale nei risultati della ricerca di Marketplace.

3. Selezionare + Crea per creare un nuovo gateway di rete virtuale.

4. Nella scheda Informazioni di base inserire i valori per Dettagli del progetto e Dettagli dell’istanza.

   

   • Sottoscrizione: selezionare la sottoscrizione da usare nell'elenco a discesa.
   • Gruppo di risorse: questa impostazione viene compilata automaticamente quando si seleziona la rete virtuale in questa pagina.
   • Nome: assegnare un nome al gateway. Il nome del gateway non è uguale al nome della subnet del gateway. ma il nome dell'oggetto gateway da creare.
   • Area: selezionare l'area in cui creare la risorsa. L'area del gateway deve essere uguale a quella della rete virtuale.
   • Tipo di gateway: selezionare VPN. I gateway VPN usano il gateway di rete virtuale di tipo VPN.
   • SKU: selezionare lo SKU del gateway che supporta le funzionalità da usare nell'elenco a discesa. Vedere gli SKU del gateway. Non usare lo SKU Basic perché non supporta l'autenticazione IKEv2.
   • Generazione: selezionare la generazione da usare. Si raccomandano le SKU di Generazione 2. Per altre informazioni, vedere SKU del gateway.
   • Rete virtuale: scegliere la rete virtuale a cui aggiungere il gateway nell'elenco a discesa. Se non è possibile visualizzare la rete virtuale per cui si vuole creare un gateway, assicurarsi di aver selezionato la sottoscrizione e l'area corrette.
   • Subnet: questo campo deve essere disattivato e contenere il nome della subnet del gateway creata, insieme al relativo intervallo di indirizzi IP. Se invece viene visualizzato un campo Intervallo di indirizzi della subnet del gateway con una casella di testo, non è stata ancora configurata una subnet del gateway (vedere Prerequisiti).

5. Specificare i valori per l'indirizzo IP pubblico associato al gateway di rete virtuale. L'indirizzo IP pubblico viene assegnato a questo oggetto durante la creazione del gateway di rete virtuale. L'unica volta in cui l'indirizzo IP pubblico primario viene modificato è quando il gateway viene eliminato e creato di nuovo. Non viene modificato in caso di ridimensionamento, reimpostazione o altre manutenzioni/aggiornamenti.

   

   • Indirizzo IP pubblico: lasciare Crea nuovo selezionato.
   • Nome indirizzo IP pubblico: nella casella di testo digitare un nome per l'istanza dell'indirizzo IP pubblico.
   • SKU indirizzo IP pubblico: l'impostazione è selezionata automaticamente.
   • Assegnazione: l'assegnazione viene in genere selezionata automaticamente e può essere Dinamica o Statica.
   • Abilita la modalità attiva-attiva: selezionare Disabilitata. Abilitare questa impostazione solo se si sta creando una configurazione del gateway di tipo attivo-attivo.
   • Configura BGP: selezionare Disabilitato, a meno che la configurazione non richieda specificamente questa opzione. Se è un'impostazione necessaria, il numero ASN predefinito è 65515, anche se questo valore può essere modificato.

6. Selezionare Rivedi e crea per eseguire la convalida. Dopo il passaggio della validazione, seleziona Crea per distribuire il gateway di rete virtuale. Il completamento della distribuzione può richiedere fino a 45 minuti.

7. Al termine della distribuzione, selezionare Vai alla risorsa.

8. Nel menu del servizio, in Impostazioni, selezionare Configurazione da punto a sito e quindi Configura ora. Verrà visualizzata la pagina Configurazione da punto a sito.

   

   • Pool di indirizzi: aggiungere l'intervallo di indirizzi IP privato da usare. I client VPN ricevono dinamicamente un indirizzo IP dall'intervallo specificato. La subnet mask minima è a 29 bit per la configurazione attiva/passiva e a 28 bit per la configurazione attiva/attiva.
   • Tipo di tunnel: specificare il tipo di tunnel da usare. I computer che si collegano tramite il client VPN nativo di Windows provano prima IKEv2. Se quel protocollo non si connette, tornano a SSTP (se selezioni sia IKEv2 che SSTP dal menu a tendina). Se selezioni il tipo di tunnel OpenVPN, puoi connetterti usando un client OpenVPN o il client VPN Azure.
   • Tipo di autenticazione: specificare il tipo di autenticazione da usare (in questo caso, scegliere Certificato di Azure).
   • Nome certificato radice: nome file del certificato radice (file CER).
   • Dati del certificato pubblico: aprire il certificato radice con Blocco note e copiare/incollare i dati del certificato pubblico in questo campo di testo. Se è stato usato lo script PowerShell indicato in questo articolo per generare un certificato radice autofirmato, questo si troverà ora inC:\vpn-temp. Assicurarsi di incollare solo il testo compreso tra -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. Non includere spazi o caratteri aggiuntivi.

   Note

   Se non viene visualizzato il tipo di tunnel o il tipo di autenticazione, il gateway usa lo SKU Basic, che non supporta l'autenticazione IKEv2. Se si vuole usare IKEv2, è necessario eliminare e ricreare il gateway usando uno SKU del gateway diverso.

9. Selezionare Salva nella parte superiore della pagina per salvare tutte le impostazioni di configurazione e caricare le informazioni sulla chiave pubblica del certificato radice in Azure.

Sostituire <desired-vpn-name> e <desired-region> nello script seguente con i valori appropriati per queste variabili.

Durante la distribuzione di questa risorsa, questo script di PowerShell bloccherà il completamento della distribuzione. Si tratta di un comportamento previsto.

$vpnName             = '<desired-vpn-name>' 
$publicIpAddressName = "$vpnName-PublicIP"
$region              = '<desired-region>'

$publicIpParams = @{
    ResourceGroupName = $resourceGroupName
    Name              = $publicIpAddressName
    Location          = $region
    Sku               = 'Basic'
    AllocationMethod  = 'Dynamic'
}
$publicIpAddress = New-AzPublicIpAddress @publicIPParams

$gatewayIpParams = @{
    Name = 'vnetGatewayConfig'
    SubnetId = $subnetId
    PublicIpAddressId = $publicIPAddress.Id
}
$gatewayIpConfig = New-AzVirtualNetworkGatewayIpConfig @gatewayIpParams

$vpnClientRootCertParams = @{
    Name           = 'P2SRootCert'
    PublicCertData = $rootCertificate
}
$azRootCertificate = New-AzVpnClientRootCertificate @vpnClientRootCertParams

$virtualNetGatewayParams = @{
    ResourceGroupName         = $resourceGroupName
    Name                      = $vpnName
    Location                  = $region
    GatewaySku                = 'VpnGw2'
    IpConfigurations          = $gatewayIpConfig
    GatewayType               = 'Vpn'
    VpnType                   = 'RouteBased'
    VpnClientAddressPool      = '172.16.201.0/24'
    VpnClientProtocol         = 'IkeV2'
    VpnClientRootCertificates = $azRootCertificate
}
$vpn = New-AzVirtualNetworkGateway @virtualNetGatewayParams

Installare il certificato client

Per installare il certificato client necessario per l'autenticazione nel gateway di rete virtuale, seguire questa procedura nel computer client.

1. Dopo l'esportazione del certificato client, individuare e copiare il file .pfx nel computer client.
2. Nel computer client, fare doppio clic sul file .pfx per installarlo. Lasciare l'opzione Percorso archivio impostata su Utente corrente e quindi selezionare Avanti.
3. Nella pagina File da importare non apportare alcuna modifica. Selezionare Avanti.
4. Nella pagina Protezione della chiave privata immettere la password per il certificato o verificare che l'entità di sicurezza sia corretta e quindi selezionare Avanti.
5. Nella pagina Archivio certificati lasciare la posizione predefinita e quindi selezionare Avanti.
6. Selezionare Fine. In Avviso di sicurezza per l'installazione del certificato selezionare Sì. È possibile selezionare "Sì" senza preoccupazioni per questo avviso di sicurezza perché il certificato è stato generato personalmente dall'utente.
7. Il certificato è stato importato correttamente.

Installare il client VPN

Questa sezione illustra come configurare il client VPN nativo che fa parte del sistema operativo Windows per connettersi alla rete virtuale (IKEv2 e SSTP). Questa configurazione non richiede software client aggiuntivo.

Visualizza file di configurazione del client VPN

Nel computer client, passare a C:\vpn-temp e aprire la cartella vpnclientconfiguration per visualizzare le sottocartelle seguenti:

• WindowsAmd64 e WindowsX86, contenenti rispettivamente i pacchetti di installazione a 64 e 32 bit per Windows. Il pacchetto di installazione WindowsAmd64 è valido per tutti i client Windows a 64 bit, non solo Amd.
• Generic, contenente le informazioni generali usate per creare una propria configurazione del client VPN. La cartella Generic è disponibile se nel gateway è stato configurato IKEv2 o SSTP + IKEv2. Se è configurato solo SSTP, la cartella Generic non è presente.

Configurare il profilo del client VPN

È possibile usare lo stesso pacchetto di configurazione del client VPN in ogni computer client Windows, a condizione che la versione corrisponda all'architettura del client.

1. Selezionare i file di configurazione del client VPN corrispondenti all'architettura del computer Windows. Per un'architettura con processore a 64 bit, scegliere il pacchetto di installazione VpnClientSetupAmd64. Per un'architettura con processore a 32 bit, scegliere il pacchetto di installazione VpnClientSetupX86.

2. Fare doppio clic sul pacchetto per installarlo. Se viene visualizzato un popup SmartScreen, selezionare Altre informazioni e quindi Esegui comunque.

3. Connettersi alla rete VPN. Passare a Impostazioni VPN e individuare la connessione VPN creata, che ha lo stesso nome della rete virtuale. Selezionare Connetti. Potrebbe essere visualizzato un messaggio popup. Selezionare Continua per usare privilegi elevati.

4. Nella pagina Stato connessione selezionare Connetti per avviare la connessione. Se viene visualizzato un Seleziona certificato dello schermo, verificare che il certificato client visualizzato sia quello che si desidera utilizzare per la connessione. In caso contrario, usare la freccia a discesa per selezionare il certificato corretto e quindi selezionare OK.

Lo script di PowerShell seguente installerà il certificato client necessario per l'autenticazione con il gateway di rete virtuale, quindi scaricherà e installerà il pacchetto VPN. Ricordarsi di sostituire <computer1> e <computer2> con i computer desiderati. È possibile eseguire questo script in tutti i computer necessari aggiungendo più sessioni di PowerShell alla matrice $sessions. L'account utente deve essere un amministratore in ognuno di questi computer. Se uno di questi computer è il computer locale in cui viene eseguito lo script, è necessario eseguire lo script da una sessione di PowerShell con privilegi elevati.

$sessions = [System.Management.Automation.Runspaces.PSSession[]]@()
$sessions += New-PSSession -ComputerName '<computer1>'
$sessions += New-PSSession -ComputerName '<computer2>'

foreach ($session in $sessions) {
    Invoke-Command -Session $session -ArgumentList $vpnTemp -ScriptBlock { 
        $vpnTemp = $args[0]
        if (-Not (Test-Path -Path $vpnTemp -PathType Container)) {
            New-Item -ItemType Directory -Force -Path 'C:\vpn-temp' | Out-Null
        }
    }

    $copyItemParams = @{
        Path        = @(
            $exportedclientcertpath,
            $exportedrootcertpath,
            "$vpnTemp\vpnclientconfiguration.zip"
        )
        Destination = $vpnTemp
        ToSession   = $session
    }
    Copy-Item @copyItemParams

    $invokeCmdParams = @{
        Session = $session
        ArgumentList = @($mypwd, $vpnTemp, $virtualNetworkName)
    }
    Invoke-Command @invokeCmdParams -ScriptBlock { 
        $mypwd              = $args[0] 
        $vpnTemp            = $args[1]
        $virtualNetworkName = $args[2]
        
        $pfxCertParams = @{
            Exportable        = $true
            Password          = $mypwd
            CertStoreLocation = 'Cert:\LocalMachine\My'
            FilePath          = "$vpnTemp\P2SClientCert.pfx" 
        }
        Import-PfxCertificate @pfxCertParams | Out-Null
        
        $importCertParams = @{
            FilePath          = "$vpnTemp\P2SRootCert.cer"
            CertStoreLocation = "Cert:\LocalMachine\Root"
        }
        Import-Certificate @importCertParams | Out-Null

        $vpnGenericParams = @{
            Path            = "$vpnTemp\vpnclientconfiguration.zip"
            DestinationPath = "$vpnTemp\vpnclientconfiguration"
        }
        Expand-Archive @vpnGenericParams

        $vpnGeneric = "$vpnTemp\vpnclientconfiguration\Generic"

        $vpnProfile = ([xml](Get-Content -Path "$vpnGeneric\VpnSettings.xml")).VpnProfile

        $vpnConnectionParams = @{
            Name                 = $virtualNetworkName
            ServerAddress        = $vpnProfile.VpnServer
            TunnelType           = 'Ikev2'
            EncryptionLevel      = 'Required'
            AuthenticationMethod = 'MachineCertificate'
            SplitTunneling       = $true
            AllUserConnection    = $true
        }
        Add-VpnConnection @vpnConnectionParams

        $vpnConnRoute1Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.Routes
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute1Params

        $vpnConnRoute2Params = @{
            Name              = $virtualNetworkName
            DestinationPrefix = $vpnProfile.VpnClientAddressPool
            AllUserConnection = $true
        }
        Add-VpnConnectionRoute @vpnConnRoute2Params

        rasdial $virtualNetworkName
    }
}

Remove-Item -Path $vpnTemp -Recurse