轻松搞定Microsoft Azure网络配置

随着亚马逊AWS的落地，国内的公有云市场已经不是Azure一枝独大的局面了，最近两家服务商都开启了新一轮试用账号的申请，不过由于名额数量有限很快就报满了；如果我是用户的话，可能不会一下子就把全部业务或者核心数据托管到云端，毕竟谁都不想当第一个吃螃蟹的人，所以通常可能会尝试性的迁移部分数据到公有云上，而目前混合云模式（也就是Hybrid-Cloud）正是Windows Azure可以实现的，通过本人的亲自尝试体验还是不错的

Windows Azure在大陆由世纪互联运营

AWS则是与云基地合作

######################################################################################

本篇内容将以Windows Azure.com（非大陆版本）为演示对象，分享一下如何在Azure上配置虚拟网络以及搭建site-to-site和point-to-site VPN，借由VPN方式来实现私有云和公有云的数据交互

由于采用的所有截图是在付费订阅账户上截取的，因此做了一些遮挡

######################################################################################

首先使用Azure账户登录到门户上，在左侧的功能栏里找到“NETWORK”，然后就可以看到当前已经建立好的网络名称以及它所对应的订阅和状态，还有所属“地缘组（AFFINITY GROUP）”

点击一个网络名称后，可以通过仪表盘更直观的查看当前状态；同时下方还会显示依赖于此网络上的资源，比如一些虚机

########################################################################################

那么对于新订阅用户初次使用来说，如何创建一个虚拟网络呢？接下来咱们一步一步来，体会一下Windows Azure易于上手的网络配置；首先在屏幕左下方随时可以点击“NEW”来创建资源

在这里选择网络服务——虚拟网络——自定义创建（如果已经有了虚拟网络，今后可以通过“快速创建”来提高效率，这里用“自定义”模式是为了演示更全面的操作界面）

首先要给你的虚拟网络起个名字，然后选择一个地缘组；一开始我们没有地缘组所以要创建一个；有关地缘组的官方概念如下：

【“地缘组”是在您的 Windows Azure 订阅中对需要一起工作以便实现最佳性能的服务进行分组的方式。在您创建一个地缘组，该地缘组会让 Windows Azure 知道令属于您的地缘组的所有服务在同一数据中心群集运行。例如，如果您想要使服务一起运行您的数据和代码，则要为这些服务指定相同的地缘组。这样，在您部署这些服务时，Windows Azure 会彼此尽可能近地将这些服务放置于数据中心中。这将减少延迟并提高性能，同时可能降低成本】

给地缘组也起一个名字（唯一），然后选择一个对应的地区（微软数据中心位置，这里以东亚为例）；之后点击右下方的“→”进入下一步，整个向导采用了一个书页样式，我个人感觉简单大方

接着是配置DNS服务器，这里我以输入了Google的；然后进入到关键选项：注意右侧的两个“√”，是否在本次向导中配置S2S或P2S VPN，这里我选择启用然后进入到下一步

这时就来到了P2S VPN的配置页面，可以看到大标题写着“Point-to-Site”并且注意下方拓扑把Client这条路线圈了起来；接下来需要做的就是给我们的拨号IP Pool分一个地址段，Azure中提供了下图所示的三个网段，并且对应了一部分掩码范围

配置好IP及掩码后，将会自动显示出地址范围，然后进入到下一页

这里就来到了Site-to-Site VPN配置页面，首先要给对端（也就是私有云这端，即本地）一个命名，然后DEVICE IP ADDRESS就是私有云这端设备的外口地址；接下来还要提供私有云这端的IP范围；这些内容做过硬件VPN项目的同志们都应该再熟悉不过了，相当于设定peer和IP Pool然后再配两端ACL，全部配置完成后继续进入到下一页，此时可以看到拓扑图的***方框切换到了“BeijingLocal”上（直观的显示出当前所操作的VPN类型，一目了然）

最后就是要配置公有云（Azure）这端的地址段了，这里有一点需要注意，如果你把所有IP地址分给了ADDRESS SPACE，那么你就不能添加gateway（网关）了；例如下图我将10.0.0.0/24 C类全部作为ADDRESS SPACE，结果我点击下面的“添加网关”没有反应

借一位分出个子网之后（/25），网关就能添加了。。。如下图所示；最后点击右下方的“√”就完成了虚拟网络创建

########################################################################################

以上部分是我在现有虚拟网络基础上进行编辑时所作的截图，真正创建完成之后，还有一步重要的工作要做，就是生成网关，这里所谓的“网关”就好比是Azure的外口地址，没有它你就做不了拨号或者S2S VPN；如下图所示我们需要点击屏幕下方的“创建网关”

继续点击确认来完成创建操作

这时候可以看到网关正在创建并且连接警告已经从红色转变成***，需要稍等一会儿

等待片刻之后我们的Azure网关就创建完成了，你会看到下方gateway显示了一个IP地址，另外注意拨号VPN这条路上出现了一个警告，意思是说我们还需要上传证书方可使用P2S VPN；那么接下来就弄个证书吧~

按照官网所描述的方法http://msdn.microsoft.com/zh-cn/library/windowsazure/dn133792.aspx

若要同时使用S2S和P2S VPN，则私有云这端要启用动态路由；如果开始只用了S2S，后期又想追加P2S，那么就还要删除当前网关再重新生成，所以实施前最好确认一下本地设备是否支持

生成证书推荐使用makecert.exe，安装VS即可；按照下图所示的命令生成根证书

再继续使用命令行生成客户端证书；有关makecert.exe的扩展参数说明可参加这个链接http://msdn.microsoft.com/zh-cn/library/bfsktky3.aspx

########################################################################################

再次回到开始的仪表盘，创建完成的虚拟网络将在这里显示，那么Azure上配置好了，既然是Site-to-Site，私有云这端还有工作要完成，否则链路是不通的，想到这里不免觉得有些烦躁了~~~~~

不过没关系，微软为了简化部署过程，提供了非常人性化的模板生成，然后在屏幕的右下方你会看到几个下载选项，先来看一下“Download VPN Device Script”

哎呦~不错哦~看到没？不但提供了受支持的vendor列表，还有对应的机型，拿思科ASA为例下方还显示了脚本兼容的固件版本

同样可以通过Azure界面来查看预共享密钥信息，如下图所示

打开密钥信息之后还可以重新生成密钥，如下图所示

正好我公司里有个juniper ISG，就可以从这里直接下载设备脚本然后导入到硬件设备里了非常方便，并且所生成的脚本中包含了你的Azure虚拟网络信息

下面截取部分Cisco ASA脚本为例，有点CCNx基础的人一眼就看明白了，基本和手动配置差不多；动态加密图，验证方式等等啦，还有对端地址和ACL之类的，其实就是这些东西；有的朋友可能说了“哎呀我就是想体验一下Azure，不想投入网络硬件设备，或者目前公司里面就无法提供怎么办？”没关系，在vendor列表中你还可以找到microsoft远程路由服务模板，也就是基于windows2012的软VPN，一样可以用；这样一来我们的Site-to-Site VPN就建立好了

成功的将S2S VPN配置好之后，在拓扑图中会以绿色显示（同样在P2S这条路上没有客户端拨入就显示了***断开，并且client为0），如下图所示；接下来再看看拨号VPN如何实现，同样十分简单；先上传我们刚才生成的根证书，如下图所示

然后确保客户端已经安装了“客户端证书”，接着点击右下方的客户端拨号程序（选择32位或64位）

安装下载好的VPN Client程序

如果在新版操作系统中遇到警告，按照下图忽略即可

以windows8.1为例，直接在无线连接处就可以找到Azure的VPN拨号了，十分便捷

最后有关Windows Azure支持的设备列表，可参考此链接

http://msdn.microsoft.com/zh-cn/library/windowsazure/jj156075.aspx

#######################################################################################

以上便是Windows Azure中的虚拟网络配置方法，我认为还算比较容易理解的，一旦我们的网络环境搭建完成，即可体验混合云所带来的优势，例如可以将SQL备份至云端，或者在Azure上部署你的辅助DNS等等；同样类似的功能也可以通过Windows Azure Pack对私有云提供，说到这里就不得不提一提强大的hyper-v网络虚拟化了（软件定义网络），今后有时间会和大家一同分享这方面的内容，谢谢:)

本文转自maomaostyle 51CTO博客，原文链接：http://blog.51cto.com/maomaostyle/1342520，如需转载请自行联系原作者