15.Azure站点到站点***隧道（非专线）(上)

如果您企业自己的数据中心机房想和Azure上打通，通常有2种方式，一种是利用互联网构建站点到站点的***隧道，另一种是专线（Expre***oute）。二则的区别在于***隧道只能和vNet打通，而专线除了可以和vNet打通外还可以和Azure上的Paas层（例如：Azure存储（大量的上传数据））打通。

我在自己的电脑上准备了2台虚拟机，一台是Windows Server 2012 R2（工作组计算机），作为站点到站点***隧道的本地网关服务器，当然这台服务器有2张网卡，一张是WAN口直接连接公网固定IP地址出口；一张是LAN口，直接和另一台虚拟机Windows Server 2008 R2（可以是工作组也可以是域服务器）组成的封闭局域网络，模拟公司内网。

此次的架构如下：

之前我们文章给大家介绍了点到站点的***隧道，这次介绍站点到站点的***隧道，两者可以并存。

还是之前的文章的Azure环境，做Azure站点到站点的***先决条件要有虚拟网络（我之前建好的Servers-vNet）和该虚拟网络的网关子网（GatewaySubnet）

还要有虚拟网关（之前创建好的VirtualGateway-Servers-vNet）,但需要注意的是***类型，因为我的本地网关是Windows Server 2012 R2的，因此查询兼容性列表，用这个系统来搭建本地网关是只能选择“基于路由的”***类型的。还有一种是“基于策略的”***类型。

静态路由 = 基于策略的

动态路由 = 基于路由的

什么是基于策略的（静态路由）网关？

基于策略的 *** 会根据本地网络和 Azure VNet 之间的地址前缀的各种组合，加密数据包并引导其通过 IPsec 隧道。通常会在 *** 配置中将策略（或流量选择器）定义为访问列表。（简言之：静态路由都是手动写入进去的，他是静态的，如果有变化就需要管理员手动再次更改）

什么是基于路由的（动态路由）网关？

基于路由的 *** 使用 IP 转发或路由表中的“路由”将数据包引导到相应的隧道接口中。然后，隧道接口会加密或解密出入隧道的数据包。 基于路由的 *** 的策略或流量选择器配置为任意到任意（或通配符）。（简言之：动态路由是基于协议的，有协议来维护这个路由条目，如果路由条目发生变化，那么动态路由协议会自动生成新的路由条目）

能否将基于策略的 *** 网关更新为基于路由的？

不可以。Azure Vnet 网关类型不能从基于策略更改为基于路由，反之亦然。必须先删除该网关，然后再重新创建，此过程需时约 60 分钟。不会保留网关的 IP 地址，也不会保留预共享密钥 (PSK)。

接下来需要新建本地网关，本地网关是指在Azure上指定您云下数据中心的***设备网关信息便于对接。

创建一个本地网关

设置名称，指定我本地的Windows Server 2012 R2的公网IP地址（IP 地址不能位于 NAT 后面，并且必须可让 Azure 访问），以及我本地内部局域网的地址空间（指的是此本地网络所代表的网络的地址范围。可以添加多个地址空间范围。请确保此处所指定的范围没有与要连接到的其他网络的范围相重叠。Azure 会将指定的地址范围路由到本地 *** 设备 IP 地址。）

创建好本地网关后就是配置本地网关的连接了，点击“添加”

定义一个名称，选择虚拟网络网关，定义一个复杂的共享秘钥，确定

接下来就是配置***设备了，也就是配置我们本地的Windows Server 2012 R2了。

首先配置公网IP网卡

出了TCP/IP，其他全部取消勾选

禁用TCP/IP上的NetBIOS

2张网卡，一张连接公网IP，一张是内部局域网私有IP。

接下来就开始安装角色

默认下一步，在这里勾选“DirectAccess和***”和“路由”

默认，下一步

下一步直至安装完成，然后在开始菜单所有程序中打开“路由和远程访问”

鼠标右键“配置并启用路由和远程访问”

选择“两个专用网络之间的安全连接”

选择“是”，下一步

下一步

完成

关闭后自动弹出请求拨号接口向导，下一步

定义一个接口名称Azure S2S

下一步

选择IKEv2

填写Azure上虚拟网关的IP地址

下一步

添加一个静态路由，这个路由指定的是Azure上我的虚拟网络Servers-vNet的地址范围

下一步

没有用户名密码什么的，直接下一步，完成

在“网络接口”-选择刚才定义的Azure S2S属性

在安全选项卡中，选择“使用预共享的秘钥进行身份验证”

接下来右键Azure S2S选择“连接”

开始连接了

连接成功

当然还需要添加一条静态路由，这条路由的目标是Azure上我的虚拟网络Servers-vNet地址

在Azure上本地网络网关进去是可以看到入站和出站的当前数据的

下面测试一下，我在Azure上的WEB01服务器上ping本地的Windows Server 2008 R2服务器IP（192.168.40.2）

再到本地Windows Server 2008 R2上去ping azure上的web01内网IP（10.0.2.4）

访问下Azure上的WEB01网站（通过内部IP访问）看看