Tutorial: Usar um gateway da NAT com uma rede hub e spoke

Uma rede hub e spoke é um dos blocos de construção de uma infraestrutura de rede de vários locais altamente disponível. A implantação mais comum de uma rede hub e spoke é feita com a intenção de rotear todo o tráfego entre spokes e de saída para a Internet por meio do hub central. A finalidade é inspecionar todo o tráfego que atravessa a rede com uma NVA (Solução de Virtualização de Rede) para verificação de segurança e inspeção de pacotes.

Em relação ao tráfego de saída para a Internet, a solução de virtualização de rede normalmente teria um adaptador de rede com um endereço IP público atribuído. A NVA, depois de inspecionar o tráfego de saída, encaminha o tráfego para fora da interface pública e para a Internet. O Gateway da NAT do Azure elimina a necessidade do endereço IP público atribuído ao NVA. A associação de um gateway da NAT à sub-rede pública da NVA altera o roteamento da interface pública para rotear todo o tráfego da Internet de saída por meio do gateway da NAT. A eliminação do endereço IP público aumenta a segurança e permite o dimensionamento da SNAT (conversão de endereços de rede de origem para saída) com vários endereços IP públicos e ou prefixos de IP públicos.

Importante

A NVA usada neste artigo é apenas para fins de demonstração e é simulada com uma máquina virtual Ubuntu. A solução não inclui um balanceador de carga para alta disponibilidade da implantação de NVA. Substitua a máquina virtual do Ubuntu neste artigo por uma NVA desejada. Confira o fornecedor da NVA escolhida para obter instruções de roteamento e configuração. Recomenda-se o uso de um balanceador de carga e de zonas de disponibilidade para garantir uma infraestrutura de NVA com alta disponibilidade.

Neste tutorial, você aprenderá como:

Crie um gateway da NAT.
Crie uma rede virtual hub e spoke.
Crie uma NVA (Solução de Virtualização de Rede) simulada.
Force todo o tráfego dos spokes através do hub.
Force a saída de todo o tráfego de Internet no hub e nos spokes do gateway da NAT.
Teste o gateway da NAT e o roteamento entre spokes.

Uma conta do Azure com uma assinatura ativa. Crie uma conta gratuitamente.

Uma conta do Azure com uma assinatura ativa. Você pode criar uma conta gratuitamente.

Azure Cloud Shell

O Azure hospeda o Azure Cloud Shell, um ambiente de shell interativo que você pode usar por meio do navegador. Você pode usar o Bash ou o PowerShell com o Cloud Shell para trabalhar com os serviços do Azure. Você pode usar os comandos pré-instalados do Cloud Shell para executar o código neste artigo, sem precisar instalar nada em seu ambiente local.

Para iniciar o Azure Cloud Shell:

Opção	Exemplo/Link
Selecione Experimente no canto superior direito de um código ou bloco de comando. Selecionar Experimentar não copia automaticamente o código nem o comando para o Cloud Shell.
Acesse https://shell.azure.com ou selecione o botão Iniciar o Cloud Shell para abri-lo no navegador.
Selecione o botão Cloud Shell na barra de menus no canto superior direito do portal do Azure.

Para usar o Azure Cloud Shell:

Inicie o Cloud Shell.
Selecione o botão Copiar em um bloco de código (ou bloco de comando) para copiar o código ou o comando.
Cole o código ou o comando na sessão do Cloud Shell selecionando Ctrl+Shift+V no Windows e Linux ou selecionando Cmd+Shift+V no macOS.
Pressione Enter para executar o código ou o comando.

Se você optar por instalar e usar o PowerShell localmente, este artigo exigirá o módulo do Azure PowerShell versão 1.0.0 ou posterior. Execute Get-Module -ListAvailable Az para localizar a versão instalada. Se você precisa atualizar, consulte Instalar o módulo do Azure PowerShell. Se você estiver executando o PowerShell localmente, também precisará executar o Connect-AzAccount para criar uma conexão com o Azure.

Criar um grupo de recursos

Crie um grupo de recursos para conter todos os recursos deste início rápido.

Portal
Powershell

Entre no portal do Azure.
Na caixa de pesquisa na parte superior do portal, insira o grupo de recursos. Selecione Grupos de recursos nos resultados da pesquisa.
Selecione + Criar.
Na guia Noções básicas de Criar um grupo de recursos, insira ou selecione as informações a seguir.

Configuração Valor

Subscrição Selecione sua assinatura

Grupo de recursos test-rg

Região Oeste dos EUA
Selecione Examinar + criar.
Selecione Criar.

Configuração	Valor
Subscrição	Selecione sua assinatura
Grupo de recursos	test-rg
Região	Oeste dos EUA

Crie um grupo de recursos com New-AzResourceGroup. Um grupo de recursos do Azure é um contêiner lógico no qual os recursos do Azure são implantados e gerenciados.

O exemplo a seguir cria um grupo de recursos chamado test-rg na localização westus:

$rsg = @{
    Name = 'test-rg'
    Location = 'westus'
}
New-AzResourceGroup @rsg

Criar um gateway da NAT

Todo o tráfego de saída da Internet atravessa o Gateway da NAT para a Internet. Use o exemplo a seguir para criar um gateway da NAT para a rede hub e spoke.

Portal
Powershell

Entre no portal do Azure.
Na caixa de pesquisa na parte superior do portal do Azure, insira Endereço IP público. Selecione Endereços IP públicos nos resultados da pesquisa.
Selecione Criar.

Insira ou selecione as informações a seguir em Criar endereço IP público.

Configuração	Valor
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione o seu grupo de recursos. O exemplo usa test-rg.
Região	Selecione uma região. Este exemplo usa Oeste dos EUA.
Nome	Insira public-ip-nat.
Versão IP	Selecione IPv4.
SKU	Selecione Padrão.
Zona de disponibilidade	Selecione Com redundância de zona.
Camada	Selecione Regional.

Selecione Examinar + criar e Criar.
Na caixa de pesquisa na parte superior do portal do Azure, insira Gateway da NAT. Selecione Gateways da NAT nos resultados da pesquisa.
Selecione Criar.

Insira ou selecione as informações a seguir na guia Noções básicas do Criar gateway da NAT (conversão de endereços de rede).

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg ou seu grupo de recursos.
Detalhes da instância
Nome do gateway da NAT	Insira nat-gateway.
Região	Selecione sua região. Este exemplo usa Oeste dos EUA.
SKU	Selecione Padrão.
Tempo limite ocioso do TCP (minutos)	Mantenha o padrão de 4.

Selecione Próximo.
Na guia IP de saída , selecione + Adicionar endereços IP públicos ou prefixos.
Em Adicionar endereços IP públicos ou prefixos, selecione endereços IP públicos. Selecione o endereço IP público que você criou anteriormente, public-ip-nat.
Selecione Próximo.
Na guia Rede , na rede virtual, selecione vnet-1.
Deixe a caixa de seleção Definir como padrão para todas as sub-redes desmarcada.
Em Selecionar sub-redes específicas, selecione sub-rede-1.
Selecione Examinar + criar e, em seguida, selecione Criar.

Use New-AzPublicIpAddress para criar um endereço IP público IPv4 com redundância de zona para o gateway NAT.

## Create public IP address for NAT gateway ##
$ip = @{
    Name = 'public-ip-nat'
    ResourceGroupName = 'test-rg'
    Location = 'westus'
    Sku = 'Standard'
    AllocationMethod = 'Static'
    IpAddressVersion = 'IPv4'
    Zone = 1,2,3
}
$publicIPIPv4 = New-AzPublicIpAddress @ip

Use New-AzNatGateway para criar o recurso de gateway NAT.

## Create NAT gateway resource ##
$nat = @{
    ResourceGroupName = 'test-rg'
    Name = 'nat-gateway'
    IdleTimeoutInMinutes = '4'
    Sku = 'Standard'
    Location = 'westus'
    PublicIpAddress = $publicIPIPv4
    Zone = 1 
}
$natGateway = New-AzNatGateway @nat

Criar uma rede virtual do hub

A rede virtual do hub é a rede central da solução. A rede do hub contém o dispositivo NVA e uma sub-rede pública e privada. O gateway da NAT é atribuído à sub-rede pública durante a criação da rede virtual. Um host do Azure Bastion é configurado como parte do exemplo a seguir. O bastion host será usado para se conectar com segurança à máquina virtual NVA e às máquinas virtuais de teste implantadas nos spokes posteriormente no artigo.

Portal
Powershell

Entre no portal do Azure.
Na caixa de pesquisa na parte superior do portal do Azure, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione Criar.

Insira ou selecione as seguintes informações na guia Informações básicas em Criar rede virtual.

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg ou seu grupo de recursos.
Detalhes da instância
Nome	Insira vnet-1.
Região	Selecione sua região. Este exemplo usa Oeste dos EUA.

Selecione a guia Endereços IP ou selecione Avançar: Segurança e, em seguida , Avançar: Endereços IP.
Em Sub-redes , selecione a sub-rede padrão .
Insira ou selecione as seguintes informações em Editar sub-rede.

Configuração Valor

Finalidade da sub-rede Deixar o padrão.

Nome Digite subnet-1.
Deixe o restante das configurações como padrão e selecione Salvar.
Selecione + Adicionar uma sub-rede.
Em Adicionar uma sub-rede , insira ou selecione as informações a seguir.

Configuração Valor

Finalidade da sub-rede Selecione Azure Bastion.
Deixe o restante das configurações como padrão e selecione Adicionar.
Selecione Examinar + criar e, em seguida, selecione Criar.

Configuração	Valor
Finalidade da sub-rede	Deixar o padrão.
Nome	Digite subnet-1.

Configuração	Valor
Finalidade da sub-rede	Selecione Azure Bastion.

Utilize New-AzVirtualNetworkSubnetConfig para criar as sub-redes.

$subnetPrivateParams = @{
    Name = "subnet-private"
    AddressPrefix = "10.0.0.0/24"
}
$privateSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetPrivateParams

$subnetBastionParams = @{
    Name = "AzureBastionSubnet"
    AddressPrefix = "10.0.1.0/26"
}
$bastionSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetBastionParams

$subnetPublicParams = @{
    Name = "subnet-public"
    AddressPrefix = "10.0.253.0/28"
    NatGateway = (Get-AzNatGateway -ResourceGroupName "test-rg" -Name "nat-gateway")
}
$publicSubnetConfig = New-AzVirtualNetworkSubnetConfig @subnetPublicParams

Use o comando New-AzVirtualNetwork para criar a rede virtual.

$vNetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
    AddressPrefix = "10.0.0.0/16"
    Location = "westus"
    Subnet = $privateSubnetConfig, $bastionSubnetConfig, $publicSubnetConfig
}
$vNet = New-AzVirtualNetwork @vNetParams

Criar um host do Azure Bastion

O Azure Bastion fornece conectividade RDP e SSH segura para máquinas virtuais por TLS sem a necessidade de endereços IP públicos nas VMs.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal do Azure, insira Bastion. Selecione Bastions nos resultados da pesquisa.
Selecione Criar.

Insira ou selecione as informações a seguir na guia Noções básicas de Criar um Bastion.

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg ou seu grupo de recursos.
Detalhes da instância
Nome	Insira bastion.
Região	Selecione sua região. Este exemplo usa Oeste dos EUA.
Camada	Selecione Desenvolvedor.
Rede virtual	Selecione vnet-1.
Sub-rede	Selecione AzureBastionSubnet.

Selecione Examinar + criar e, em seguida, selecione Criar.

Use New-AzPublicIpAddress para criar um endereço IP público para o host do Azure Bastion.

$publicIpParams = @{
    ResourceGroupName = "test-rg"
    Name = "public-ip-bastion"
    Sku = "Standard"
    AllocationMethod = "Static"
    Location = "westus"
    Zone = 1,2,3
}
New-AzPublicIpAddress @publicIpParams

Use o New-AzBastion para criar o host do Azure Bastion.

$bastionParams = @{
    ResourceGroupName = "test-rg"
    Name = "bastion"
    VirtualNetworkName = "vnet-hub"
    PublicIpAddressName = "public-ip-bastion"
    PublicIPAddressRgName = "test-rg"
    VirtualNetworkRgName = "test-rg"
    Sku = "Basic"
}
New-AzBastion @bastionParams

Criar máquina virtual NVA simulada

O NVA simulado atua como um dispositivo virtual para rotear todo o tráfego entre os raios e o hub e o tráfego de saída para a Internet. Uma máquina virtual do Ubuntu é usada para a NVA simulada. Use o exemplo a seguir para criar a NVA simulada e configurar os adaptadores de rede.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione + Criar e depois a máquina virtual do Azure.

Em Criar uma máquina virtual, insira ou selecione as informações a seguir na guia Básico:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Nome da máquina virtual	Insira vm-nva.
Região	Selecione (EUA) Oeste dos EUA.
Opções de disponibilidade	Selecione Nenhuma redundância de infraestrutura necessária.
Tipo de segurança	Selecione Padrão.
Imagem	Selecione Ubuntu Server 24.04 LTS - x64 Gen2.
Arquitetura de VM	Mantenha o padrão x64.
Tamanho	Selecione um tamanho.
Conta de administrador
Tipo de autenticação	Selecione Chave pública SSH.
Nome de Usuário	Digite um nome de usuário.
Origem de chave pública SSH	Selecione Gerar novo par de chaves.
Tipo de chave SSH	Deixe o padrão do formato RSA SSH.
Nome do par de chaves	Insira ssh-key.
Regras de porta de entrada
Porta de entrada públicas	Selecione Nenhum.

Selecione Avançar: Discos e Avançar: Rede.

Na guia Rede, insira ou selecione as seguintes informações:

Configuração	Valor
Interface de rede
Rede virtual	Selecione vnet-hub.
Sub-rede	Selecione subnet-public (10.0.253.0/28).
IP público	Selecione Nenhum.
Grupo de segurança de rede da NIC	Selecione Avançado.
Configurar um grupo de segurança de rede	Selecione Criar novo. Em Nome, insira nsg-nva. Selecione OK.

Deixe o padrão nas outras opções e selecione Examinar + criar.
Selecione Criar.
A caixa de diálogo Gerar novo par de chaves é exibida. Selecione Baixar chave privada e criar recurso.

A chave privada será baixada no computador local. A chave privada será necessária em etapas posteriores para conectar-se à máquina virtual com o Azure Bastion. O nome do arquivo de chave privada é o nome que você inseriu no campo nome do par chave . Neste exemplo, o arquivo de chave privada é nomeado ssh-key.

Use New-AzNetworkSecurityGroup para criar o grupo de segurança de rede.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-nva"
    Location = "westus"
}
New-AzNetworkSecurityGroup @nsgParams

Use New-AzNetworkInterface para criar a interface de rede.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-hub").Subnets[1].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-nva").Id
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Use Get-Credential para definir um nome de usuário e uma senha para a VM e armazená-los na variável $cred.

$cred = Get-Credential

Observação

É necessário um nome de usuário para a VM. A senha é opcional e não será usada se definida. A configuração da chave SSH é recomendada para VMs Linux.

Use New-AzVMConfig para definir uma VM.

$vmConfigParams = @{
    VMName = "vm-nva"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Use Set-AzVMOperatingSystem e Set-AzVMSourceImage para criar o restante da configuração da VM. O exemplo a seguir cria uma máquina virtual do Servidor Ubuntu:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-nva"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Linux -DisablePasswordAuthentication

$imageParams = @{
    VM = $vmConfig
    PublisherName = "Canonical"
    Offer = "ubuntu-24_04-lts"
    Skus = "server"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Use Add-AzVMNetworkInterface para anexar a NIC que você criou anteriormente à VM.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Use New-AzVM para criar a VM. O comando irá gerar chaves SSH para a máquina virtual para login. Anote a localização da chave privada. A chave privada será necessária em etapas posteriores para conectar-se à máquina virtual com o Azure Bastion.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus"
    SshKeyName = "ssh-key"
    }
New-AzVM @vmParams -GenerateSshKey

Configurar interfaces de rede de máquina virtual

A configuração de IP do adaptador de rede primário da máquina virtual é definida como dinâmica por padrão. Use o exemplo a seguir para alterar a configuração de IP do adaptador de rede primário para estático e adicionar um adaptador de rede secundário à interface privada da NVA.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione vm-nva.
Na Visão geral, selecione Parar se a máquina virtual estiver em execução.
Expanda Rede e selecione Configurações de rede.
Em Configurações de rede, selecione o nome do adaptador de rede ao lado de Adaptador de Rede. O nome da interface é o nome da máquina virtual e números e letras aleatórios. Neste exemplo, o nome da interface é vm-nva271.
Nas propriedades do adaptador de rede, selecione Configurações de IP em Configurações.
Selecione a caixa ao lado de Habilitar encaminhamento de IP.
Escolha Aplicar.
Quando a ação de aplicar for concluída, selecione ipconfig1.
Em Configurações de endereço IP privado em ipconfig1 selecione Estático.
Em Endereço IP privado insira 10.0.253.10.
Clique em Salvar.
Quando a ação de salvamento for concluída, retorne à configuração de rede para vm-nva.
Na página Configurações de rede de vm-nva, selecione Anexar interface de rede.
Selecione Criar e anexar adaptador de rede.

Em Criar adaptador de rede, insira ou selecione as informações abaixo:

Configuração	Valor
Detalhes do projeto
Grupo de recursos	Selecione test-rg.
Interface de rede
Nome	Insira nic-private.
Sub-rede	Selecione subnet-private (10.0.0.0/24).
Grupo de segurança de rede da NIC	Selecione Avançado.
Configurar um grupo de segurança de rede	Selecione nsg-nva.
Atribuição de endereço IP privado	Selecione Estático.
Endereço IP privado	Insira 10.0.0.10.

Selecione Criar.
Inicie a máquina virtual.

Use Set-AzNetworkInterface para habilitar o encaminhamento de IP na interface de rede primária.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams
$nic.EnableIPForwarding = $true
Set-AzNetworkInterface -NetworkInterface $nic

Use Set-AzNetworkInterfaceIpConfig para definir estaticamente o endereço IP privado da máquina virtual para a interface pública.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams
$nic.IpConfigurations[0].PrivateIpAllocationMethod = "Static"
$nic.IpConfigurations[0].PrivateIpAddress = "10.0.253.10"
Set-AzNetworkInterface -NetworkInterface $nic

Use Update-AzVM para designar a interface nic-public como a interface primária.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
$vm = Get-AzVM @vmParams

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-public"
}
$nic = Get-AzNetworkInterface @nicParams

$vm.NetworkProfile.NetworkInterfaces | ForEach-Object {
    $_.Primary = $false
}
$vm.NetworkProfile.NetworkInterfaces | Where-Object { $_.Id -eq $nic.Id } | ForEach-Object {
    $_.Primary = $true
}

$updateParams = @{
    ResourceGroupName = "test-rg"
    VM = $vm
}
Update-AzVM @updateParams

Use New-AzNetworkInterface para criar o adaptador de rede secundário.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-private"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-hub").Subnets[0].Id
    PrivateIpAddress = "10.0.0.10"
    Location = "westus"
}
New-AzNetworkInterface @nicParams

Use Stop-AzVM para desativar e desalocar a máquina virtual.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
    Force = $true
}
Stop-AzVM @vmParams

Use Add-AzVMNetworkInterface para anexar o adaptador de rede secundário à máquina virtual.

$vmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
$vm = Get-AzVM @vmParams

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-private"
}
$nic = Get-AzNetworkInterface @nicParams

$vm = Add-AzVMNetworkInterface -VM $vm -Id $nic.Id

$updateParams = @{
    ResourceGroupName = "test-rg"
    VM = $vm
}
Update-AzVM @updateParams

Use Start-AzVM para iniciar a máquina virtual.

$startVmParams = @{
    ResourceGroupName = "test-rg"
    Name = "vm-nva"
}
Start-AzVM @startVmParams

Configurar o software da máquina virtual

O roteamento para a NVA simulada usa tabelas IP e NAT internas na máquina virtual Ubuntu. Conecte-se à máquina virtual NVA com o Azure Bastion para configurar tabelas IP e a configuração de roteamento.

No portal do Azure, pesquise e selecione máquinas virtuais.
Na página máquinas virtuais , selecione vm-nva.
Na página Visão geral da VM, selecione Conectar e Conectar via Bastion.
Na tela de conexão do Bastion, altere Tipo de autenticação para Chave privada SSH do arquivo local.
Digite o Nome de usuário que você usou ao criar a máquina virtual. Nesse exemplo, o usuário é chamado azureuser, substitua pelo nome de usuário que você criou.
Em Arquivo local, selecione o ícone de pasta e navegue até o arquivo de chave privada que foi gerado quando você criou a VM. O arquivo de chave privada normalmente é nomeado id_rsa ou id_rsa.pem .ssh-key.pem
Selecione Conectar.
Insira as seguintes informações no prompt da máquina virtual para habilitar o encaminhamento de IP:
```
sudo nano /etc/sysctl.conf
```
No editor Nano, remova o # da linha net.ipv4.ip_forward=1.
```
# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1
```
Pressione Ctrl + O para salvar o arquivo.

Pressione Ctrl + X para sair do editor.

Insira as seguintes informações para habilitar a NAT interna na máquina virtual:

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo apt-get update
sudo apt install iptables-persistent

Selecione Sim duas vezes.

sudo su
iptables-save > /etc/iptables/rules.v4
exit

Use o Nano para editar a configuração com as seguintes informações:
```
sudo nano /etc/rc.local
```
Adicione a seguinte linha ao arquivo de configuração:
```
/sbin/iptables-restore < /etc/iptables/rules.v4
```
Pressione Ctrl + O para salvar o arquivo.

Pressione Ctrl + X para sair do editor.
Reinicialize a máquina virtual:
```
sudo reboot
```

Criar tabela de rotas da rede do hub

As tabelas de rotas são usadas para substituir o roteamento padrão do Azure. Crie uma tabela de rotas para forçar todo o tráfego dentro da sub-rede privada do hub pela NVA simulada.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione + Criar.

Em Criar Tabela de rotas, insira ou selecione as seguintes informações:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Região	Selecione Oeste dos EUA.
Nome	Insira route-table-nat-hub.
Propagar rotas de gateway	Mantenha o padrão Sim.

Selecione Examinar + criar.
Selecione Criar.
Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione route-table-nat-hub.
Expanda Configurações e selecione Rotas.
Selecione + Adicionar em Rotas.

Insira ou selecione as seguintes informações em Adicionar rota:

Configuração	Valor
Nome da rota	Insira default-via-nat-hub.
Tipo de destino	Selecione Endereços IP.
Intervalos de CIDR /endereço IP de destino	Insira 0.0.0.0/0.
Tipo do próximo salto	Selecione Solução de virtualização.
Endereço do próximo salto	Insira 10.0.0.10. *Este é o endereço IP que você adicionou à interface privada da NVA nas etapas anteriores.*.

Selecione Adicionar.
Selecione Sub-redes em Configurações.
Selecione + Associar.
Insira ou selecione as seguintes informações em Associar sub-rede:

Configuração Valor

Rede virtual Selecione vnet-hub (test-rg).

Sub-rede Selecione subnet-private.
Selecione OK.

Configuração	Valor
Rede virtual	Selecione vnet-hub (test-rg).
Sub-rede	Selecione subnet-private.

Use New-AzRouteTable para criar a tabela de rotas.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-hub"
    Location = "westus"
}
New-AzRouteTable @routeTableParams

Use Add-AzRouteConfig para criar a rota na tabela de rotas.

$routeConfigParams = @{
    Name = "default-via-nat-hub"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-hub"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeConfigParams | Set-AzRouteTable

Use Set-AzVirtualNetworkSubnetConfig para associar a tabela de rotas à sub-rede.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

Criar a rede virtual spoke 1

Crie outra rede virtual em uma região diferente para o primeiro spoke da rede hub e spoke.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione + Criar.

Na guia Informações Básicas em Criar rede virtual, insira ou selecione as informações a seguir:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Nome	Insira vnet-spoke-1.
Região	Selecione (EUA) Centro-Sul dos EUA.

Selecione Avançar para prosseguir para a guia Segurança.
Selecione Avançar para prosseguir para a guia Endereços IP.
Na guia Endereços IP em Espaço de endereços IPv4, selecione Excluir espaço de endereços para excluir o espaço de endereços que é preenchido automaticamente.
Selecione Adicionar espaço de endereços IPv4.
Em Espaço de endereço IPv4, insira 10.1.0.0. Mantenha o padrão de /16 (65.536 endereços) na seleção de máscara.
Selecione + Adicionar uma sub-rede.

Em Adicionar uma sub-rede, insira ou selecione as seguintes informações:

Configuração	Valor
Finalidade da sub-rede	Mantenha o padrão Padrão.
Nome	Insira subnet-private.
IPv4
Intervalo de endereços IPv4	Mantenha o padrão de 10.1.0.0/16.
Endereço inicial	Mantenha o padrão de 10.1.0.0.
Tamanho	Mantenha o padrão de /24(256 endereços).

Selecione Adicionar.
Selecione Examinar + criar.
Selecione Criar.

Use o comando New-AzVirtualNetwork para criar a rede virtual.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
    AddressPrefix = "10.1.0.0/16"
    Location = "southcentralus"
}
New-AzVirtualNetwork @vnetParams

Use Add-AzVirtualNetworkSubnetConfig para criar a sub-rede.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
    AddressPrefix = "10.1.0.0/24"
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork -VirtualNetwork $vnet

Criar emparelhamento entre hub e spoke 1

Um emparelhamento de rede virtual é usado para conectar o hub ao spoke 1 e o spoke 1 ao hub. Use o exemplo a seguir para criar um emparelhamento de rede bidirecional entre o hub e o spoke 1.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione vnet-hub.
Expanda Configurações e, em seguida, selecione Emparelhamentos.
Selecione + Adicionar.

Insira ou selecione as seguintes informações em Adicionar emparelhamento:

Configuração	Valor
Resumo da rede virtual remota
Nome do link de emparelhamento	Insira vnet-spoke-1-to-vnet-hub.
Modelo de implantação de rede virtual	Mantenha o padrão Gerenciador de recursos.
Subscrição	Selecione sua assinatura.
Rede virtual	Selecione vnet-spoke-1 (test-rg).
Configurações do emparelhamento da rede virtual remota
Permitir que o "vnet-spoke-1" acesse o "vnet-hub"	Deixe o padrão Selecionado.
Permitir que o "vnet-spoke-1" receba o tráfego encaminhado do "vnet-hub"	Marque a caixa de seleção.
Permitir que o servidor de gateway ou de rota em "vnet-spoke-1" encaminhe o tráfego para "vnet-hub"	Mantenha o padrão de Não Selecionado.
Habilitar o "vnet-spoke-1" para usar o servidor de rota ou gateway remoto do "vnet-hub"	Mantenha o padrão de Não Selecionado.
Resumo da rede virtual local
Nome do link de emparelhamento	Insira vnet-hub-to-vnet-spoke-1.
Configurações de emparelhamento da rede virtual local
Permitir que o "vnet-hub" acesse o "vnet-spoke-1"	Deixe o padrão Selecionado.
Permitir que o "vnet-hub" receba o tráfego encaminhado do "vnet-spoke-1"	Marque a caixa de seleção.
Permitir que o servidor de gateway ou de rota em "vnet-hub" encaminhe o tráfego para "vnet-spoke-1"	Mantenha o padrão de Não Selecionado.
Habilitar o "vnet-hub" para usar o servidor de rota ou gateway remoto do "vnet-spoke-1"	Mantenha o padrão de Não Selecionado.

Selecione Adicionar.
Selecione Atualizar e verifique se o Status do emparelhamento é Conectado.

Use Add-AzVirtualNetworkPeering para criar o emparelhamento do hub para o spoke um.

# Create peering from hub to spoke one
$hubVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$hubVnet = Get-AzVirtualNetwork @hubVnetParams

$spokeVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$spokeVnet = Get-AzVirtualNetwork @spokeVnetParams

$hubToSpokeParams = @{
    Name = "vnet-hub-to-vnet-spoke-1"
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @hubToSpokeParams

# Create peering from spoke one to hub
$spokeToHubParams = @{
    Name = "vnet-spoke-1-to-vnet-hub"
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @spokeToHubParams

Criar tabela de rotas de rede spoke 1

Crie uma tabela de rotas para forçar todo o tráfego de saída entre spokes e da Internet por meio da NVA simulada na rede virtual hub.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione + Criar.

Em Criar Tabela de rotas, insira ou selecione as seguintes informações:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Região	Selecione Centro-Sul dos EUA.
Nome	Insira route-table-nat-spoke-1.
Propagar rotas de gateway	Mantenha o padrão Sim.

Selecione Examinar + criar.
Selecione Criar.
Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione route-table-nat-spoke-1.
Expanda Configurações e selecione Rotas.
Selecione + Adicionar em Rotas.

Insira ou selecione as seguintes informações em Adicionar rota:

Configuração	Valor
Nome da rota	Insira default-via-nat-spoke-1.
Tipo de destino	Selecione Endereços IP.
Intervalos de CIDR /endereço IP de destino	Insira 0.0.0.0/0.
Tipo do próximo salto	Selecione Solução de virtualização.
Endereço do próximo salto	Insira 10.0.0.10. *Este é o endereço IP que você adicionou à interface privada da NVA nas etapas anteriores.*.

Selecione Adicionar.
Selecione Sub-redes em Configurações.
Selecione + Associar.
Insira ou selecione as seguintes informações em Associar sub-rede:

Configuração Valor

Rede virtual Selecione vnet-spoke-1 (test-rg).

Sub-rede Selecione subnet-private.
Selecione OK.

Configuração	Valor
Rede virtual	Selecione vnet-spoke-1 (test-rg).
Sub-rede	Selecione subnet-private.

Use New-AzRouteTable para criar a tabela de rotas.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-1"
    Location = "southcentralus"
}
New-AzRouteTable @routeTableParams

Use Add-AzRouteConfig para criar a rota na tabela de rotas.

$routeConfigParams = @{
    Name = "default-via-nat-spoke-1"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-1"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeConfigParams | Set-AzRouteTable

Use Set-AzVirtualNetworkSubnetConfig para associar a tabela de rotas à sub-rede.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-1"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

Criar uma máquina virtual de teste spoke 1

Uma máquina virtual do Windows Server 2022 é usada para testar o tráfego de internet de saída por meio do gateway da NAT e do tráfego entre spokes na rede hub e spoke. Use o exemplo a seguir para criar uma máquina virtual do Windows Server 2022.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione + Criar e depois a máquina virtual do Azure.

Em Criar uma máquina virtual, insira ou selecione as informações a seguir na guia Básico:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Nome da máquina virtual	Insira vm-spoke-1.
Região	Selecione (EUA) Centro-Sul dos EUA.
Opções de disponibilidade	Selecione Nenhuma redundância de infraestrutura necessária.
Tipo de segurança	Selecione Padrão.
Imagem	Selecione Windows Server 2022 Datacenter – x64 Gen2.
Arquitetura de VM	Mantenha o padrão x64.
Tamanho	Selecione um tamanho.
Conta de administrador
Tipo de autenticação	Selecione Senha.
Nome de Usuário	Digite um nome de usuário.
Senha	Digite uma senha.
Confirmar senha	Reinsira a senha.
Regras de porta de entrada
Porta de entrada públicas	Selecione Nenhum.

Selecione Avançar: Discos e Avançar: Rede.

Na guia Rede, insira ou selecione as seguintes informações:

Configuração	Valor
Interface de rede
Rede virtual	Selecione vnet-spoke-1.
Sub-rede	Selecione subnet-private (10.1.0.0/24).
IP público	Selecione Nenhum.
Grupo de segurança de rede da NIC	Selecione Avançado.
Configurar um grupo de segurança de rede	Selecione Criar novo. Insira nsg-spoke-1.
Regras de entrada	Selecione + Adicionar uma regra de entrada. Selecione HTTP em Serviço. Selecione Adicionar. Selecione OK.

Selecione OK.
Deixe o padrão nas outras opções e selecione Examinar + criar.
Selecione Criar.

Use New-AzNetworkSecurityGroup para criar o grupo de segurança de rede.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-1"
    Location = "southcentralus"
}
New-AzNetworkSecurityGroup @nsgParams

Use New-AzNetworkSecurityRuleConfig para criar uma regra NSG de entrada para HTTP.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-1"
}
$nsg = Get-AzNetworkSecurityGroup @nsgParams

$ruleParams = @{
    Name = "allow-http"
    Priority = 1000
    Direction = "Inbound"
    Access = "Allow"
    Protocol = "Tcp"
    SourceAddressPrefix = "*"
    SourcePortRange = "*"
    DestinationAddressPrefix = "*"
    DestinationPortRange = "80"
}
$nsg | Add-AzNetworkSecurityRuleConfig @ruleParams

Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

Use New-AzNetworkInterface para criar a interface de rede.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke-1").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-1").Id
    Location = "southcentralus"
}
New-AzNetworkInterface @nicParams

Use Get-Credential para definir um nome de usuário e uma senha para a VM e armazená-los na variável $cred.

$cred = Get-Credential

Use New-AzVMConfig para definir uma VM.

$vmConfigParams = @{
    VMName = "vm-spoke-1"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Use Set-AzVMOperatingSystem e Set-AzVMSourceImage para criar o restante da configuração da VM. O exemplo a seguir cria uma máquina virtual do Windows Server:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke-1"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Windows

$imageParams = @{
    VM = $vmConfig
    PublisherName = "MicrosoftWindowsServer"
    Offer = "WindowsServer"
    Skus = "2022-Datacenter"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Use Add-AzVMNetworkInterface para anexar a NIC que você criou anteriormente à VM.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-1"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Use New-AzVM para criar a VM.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "southcentralus"
    }
New-AzVM @vmParams

Aguarde até que a máquina virtual conclua a implantação antes de continuar nas próximas etapas.

Instalar o IIS na máquina virtual de teste spoke um

O IIS é instalado na máquina virtual do Windows Server 2022 para testar o tráfego de saída da Internet por meio do gateway NAT e o tráfego entre spoke na rede hub e spoke.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione vm-spoke-1.
Expanda Operações e selecione Executar comando.
Selecione RunPowerShellScript.

Insira o seguinte script em Executar Script de Comando:

# Install IIS server role
Install-WindowsFeature -name Web-Server -IncludeManagementTools

# Remove default htm file
Remove-Item  C:\inetpub\wwwroot\iisstart.htm

# Add a new htm file that displays server name
Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)

Selecione Executar.
Aguarde até que o script seja concluído antes de continuar para a próxima etapa. Pode levar alguns minutos para que o script seja concluído.

Quando o script for concluído, a Saída exibirá o seguinte:

Success Restart Needed Exit Code      Feature Result                               
------- -------------- ---------      --------------                               
True    No             Success        {Common HTTP Features, Default Document, D...

Use Set-AzVMExtension para instalar o IIS na máquina virtual.

$vmExtensionParams = @{
    ResourceGroupName = "test-rg"
    VMName = "vm-spoke-1"
    Name = "CustomScriptExtension"
    Publisher = "Microsoft.Compute"
    Type = "CustomScriptExtension"
    TypeHandlerVersion = "1.10"
    Settings = @{
        "commandToExecute" = "powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path 'C:\inetpub\wwwroot\default.htm' -Value vm-spoke-1"
    }
}
Set-AzVMExtension @vmExtensionParams

Criar a segunda rede virtual spoke

Crie a segunda rede virtual para o segundo spoke da rede hub e spoke.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione + Criar.

Na guia Informações Básicas em Criar rede virtual, insira ou selecione as informações a seguir:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Nome	Insira vnet-spoke-2.
Região	Selecione (EUA) Oeste dos EUA 2.

Selecione Avançar para prosseguir para a guia Segurança.
Selecione Avançar para prosseguir para a guia Endereços IP.
Na guia Endereços IP em Espaço de endereços IPv4, selecione Excluir espaço de endereços para excluir o espaço de endereços que é preenchido automaticamente.
Selecione Adicionar espaço de endereços IPv4.
Em Espaço dos endereços IPv4 insira 10.2.0.0. Mantenha o padrão de /16 (65.536 endereços) na seleção de máscara.
Selecione + Adicionar uma sub-rede.

Em Adicionar uma sub-rede, insira ou selecione as seguintes informações:

Configuração	Valor
Finalidade da sub-rede	Mantenha o padrão Padrão.
Nome	Insira subnet-private.
IPv4
Intervalo de endereços IPv4	Mantenha o padrão de 10.2.0.0/16.
Endereço inicial	Mantenha o padrão de 10.2.0.0.
Tamanho	Mantenha o padrão de /24(256 endereços).

Selecione Adicionar.
Selecione Examinar + criar.
Selecione Criar.

Use o comando New-AzVirtualNetwork para criar a rede virtual.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
    AddressPrefix = "10.2.0.0/16"
    Location = "westus2"
}
New-AzVirtualNetwork @vnetParams

Use Add-AzVirtualNetworkSubnetConfig para criar a sub-rede.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
    AddressPrefix = "10.2.0.0/24"
}
Add-AzVirtualNetworkSubnetConfig @subnetParams

Set-AzVirtualNetwork -VirtualNetwork $vnet

Criar emparelhamento entre hub e spoke 2

Crie um par de rede virtual bidirecional entre o hub e o spoke 2.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione vnet-hub.
Selecione Emparelhamentos em Configurações.
Selecione + Adicionar.
Na caixa de pesquisa na parte superior do portal, insira Rede virtual. Selecione Redes virtuais nos resultados da pesquisa.
Selecione vnet-hub.
Selecione Emparelhamentos em Configurações.
Selecione + Adicionar.

Insira ou selecione as seguintes informações em Adicionar emparelhamento:

Configuração	Valor
Resumo da rede virtual remota
Nome do link de emparelhamento	Insira vnet-spoke-2-to-vnet-hub.
Modelo de implantação de rede virtual	Mantenha o padrão Gerenciador de recursos.
Subscrição	Selecione sua assinatura.
Rede virtual	Selecione vnet-spoke-2 (test-rg).
Configurações do emparelhamento da rede virtual remota
Permitir que o "vnet-spoke-2" acesse o "vnet-hub"	Deixe o padrão Selecionado.
Permitir que o "vnet-spoke-2" receba o tráfego encaminhado do "vnet-hub"	Marque a caixa de seleção.
Permitir que o servidor de gateway ou de rota em "vnet-spoke-2" encaminhe o tráfego para "vnet-hub"	Mantenha o padrão de Não Selecionado.
Habilitar o "vnet-spoke-2" para usar o servidor de rota ou gateway remoto do "vnet-hub"	Mantenha o padrão de Não Selecionado.
Resumo da rede virtual local
Nome do link de emparelhamento	Insira vnet-hub-to-vnet-spoke-2.
Configurações de emparelhamento da rede virtual local
Permitir que o "vnet-hub" acesse o "vnet-spoke-2"	Deixe o padrão Selecionado.
Permitir que o "vnet-hub" receba o tráfego encaminhado do "vnet-spoke-2"	Marque a caixa de seleção.
Permitir que o servidor de gateway ou de rota em "vnet-hub" encaminhe o tráfego para "vnet-spoke-2"	Mantenha o padrão de Não Selecionado.
Habilitar o "vnet-hub" para usar o servidor de rota ou gateway remoto do "vnet-spoke-2"	Mantenha o padrão de Não Selecionado.

Selecione Adicionar.
Selecione Atualizar e verifique se o Status do emparelhamento é Conectado.

Use Add-AzVirtualNetworkPeering para criar o emparelhamento do hub para o spoke dois.

# Create peering from hub to spoke two
$hubVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-hub"
}
$hubVnet = Get-AzVirtualNetwork @hubVnetParams

$spokeVnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$spokeVnet = Get-AzVirtualNetwork @spokeVnetParams

$hubToSpokeParams = @{
    Name = "vnet-hub-to-vnet-spoke-2"
    VirtualNetwork = $hubVnet
    RemoteVirtualNetworkId = $spokeVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @hubToSpokeParams

# Create peering from spoke two to hub
$spokeToHubParams = @{
    Name = "vnet-spoke-2-to-vnet-hub"
    VirtualNetwork = $spokeVnet
    RemoteVirtualNetworkId = $hubVnet.Id
    AllowForwardedTraffic = $true
}
Add-AzVirtualNetworkPeering @spokeToHubParams

Criar tabela de rotas de rede spoke 2

Crie uma tabela de rotas para forçar todo o tráfego entre spokes e de saída para a Internet por meio da NVA simulada na rede virtual hub.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione + Criar.

Em Criar Tabela de rotas, insira ou selecione as seguintes informações:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Região	Selecione Oeste dos EUA 2.
Nome	Insira route-table-nat-spoke-2.
Propagar rotas de gateway	Mantenha o padrão Sim.

Selecione Examinar + criar.
Selecione Criar.
Na caixa de pesquisa na parte superior do portal, insira Tabela de rotas. Selecione Tabela de rotas nos resultados da pesquisa.
Selecione route-table-nat-spoke-2.
Em Configurações, selecione Rotas.
Selecione + Adicionar em Rotas.

Insira ou selecione as seguintes informações em Adicionar rota:

Configuração	Valor
Nome da rota	Insira default-via-nat-spoke-2.
Tipo de destino	Selecione Endereços IP.
Intervalos de CIDR /endereço IP de destino	Insira 0.0.0.0/0.
Tipo do próximo salto	Selecione Solução de virtualização.
Endereço do próximo salto	Insira 10.0.0.10. *Este é o endereço IP que você adicionou à interface privada da NVA nas etapas anteriores.*.

Selecione Adicionar.
Selecione Sub-redes em Configurações.
Selecione + Associar.
Insira ou selecione as seguintes informações em Associar sub-rede:

Configuração Valor

Rede virtual Selecione vnet-spoke-2 (test-rg).

Sub-rede Selecione subnet-private.
Selecione OK.

Configuração	Valor
Rede virtual	Selecione vnet-spoke-2 (test-rg).
Sub-rede	Selecione subnet-private.

Use New-AzRouteTable para criar a tabela de rotas.

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-2"
    Location = "westus2"
}
New-AzRouteTable @routeTableParams

Use Add-AzRouteConfig para criar a rota na tabela de rotas.

$routeParams = @{
    Name = "default-via-nat-spoke-2"
    AddressPrefix = "0.0.0.0/0"
    NextHopType = "VirtualAppliance"
    NextHopIpAddress = "10.0.0.10"
}

$routeTableParams = @{
    ResourceGroupName = "test-rg"
    Name = "route-table-nat-spoke-2"
}
$routeTable = Get-AzRouteTable @routeTableParams

$routeTable | Add-AzRouteConfig @routeParams | Set-AzRouteTable

Use Set-AzVirtualNetworkSubnetConfig para associar a tabela de rotas à sub-rede.

$vnetParams = @{
    ResourceGroupName = "test-rg"
    Name = "vnet-spoke-2"
}
$vnet = Get-AzVirtualNetwork @vnetParams

$subnetParams = @{
    VirtualNetwork = $vnet
    Name = "subnet-private"
}
$subnet = Get-AzVirtualNetworkSubnetConfig @subnetParams

$subnet.RouteTable = $routeTable

Set-AzVirtualNetwork -VirtualNetwork $vnet

Criar duas máquinas virtuais de teste spoke

Crie uma máquina virtual do Windows Server 2022 para a máquina virtual de teste no spoke 2.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione + Criar e depois a máquina virtual do Azure.

Em Criar uma máquina virtual, insira ou selecione as informações a seguir na guia Básico:

Configuração	Valor
Detalhes do projeto
Subscrição	Selecione sua assinatura.
Grupo de recursos	Selecione test-rg.
Detalhes da instância
Nome da máquina virtual	Insira vm-spoke-2.
Região	Selecione (EUA) Oeste dos EUA 2.
Opções de disponibilidade	Selecione Nenhuma redundância de infraestrutura necessária.
Tipo de segurança	Selecione Padrão.
Imagem	Selecione Windows Server 2022 Datacenter – x64 Gen2.
Arquitetura de VM	Mantenha o padrão x64.
Tamanho	Selecione um tamanho.
Conta de administrador
Tipo de autenticação	Selecione Senha.
Nome de Usuário	Digite um nome de usuário.
Senha	Digite uma senha.
Confirmar senha	Reinsira a senha.
Regras de porta de entrada
Porta de entrada públicas	Selecione Nenhum.

Selecione Avançar: Discos e Avançar: Rede.

Na guia Rede, insira ou selecione as seguintes informações:

Configuração	Valor
Interface de rede
Rede virtual	Selecione vnet-spoke-2.
Sub-rede	Selecione subnet-private (10.2.0.0/24).
IP público	Selecione Nenhum.
Grupo de segurança de rede da NIC	Selecione Avançado.
Configurar um grupo de segurança de rede	Selecione Criar novo. Insira nsg-spoke-2.
Regras de entrada	Selecione + Adicionar uma regra de entrada. Selecione HTTP em Serviço. Selecione Adicionar. Selecione OK.

Deixe o padrão nas outras opções e selecione Examinar + criar.
Selecione Criar.

Use New-AzNetworkSecurityGroup para criar o grupo de segurança de rede.

$nsgParams = @{
    ResourceGroupName = "test-rg"
    Name = "nsg-spoke-2"
    Location = "westus2"
}
New-AzNetworkSecurityGroup @nsgParams

Use New-AzNetworkSecurityRuleConfig para criar uma regra NSG de entrada para HTTP.

$ruleParams = @{
    Name = "allow-http"
    Priority = 1000
    Direction = "Inbound"
    Access = "Allow"
    Protocol = "Tcp"
    SourceAddressPrefix = "*"
    SourcePortRange = "*"
    DestinationAddressPrefix = "*"
    DestinationPortRange = "80"
}
$nsg = Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-2"

$nsg | Add-AzNetworkSecurityRuleConfig @ruleParams

Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg

Use New-AzNetworkInterface para criar a interface de rede.

$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-2"
    SubnetId = (Get-AzVirtualNetwork -ResourceGroupName "test-rg" -Name "vnet-spoke-2").Subnets[0].Id
    NetworkSecurityGroupId = (Get-AzNetworkSecurityGroup -ResourceGroupName "test-rg" -Name "nsg-spoke-2").Id
    Location = "westus2"
}
New-AzNetworkInterface @nicParams

Use Get-Credential para definir um nome de usuário e uma senha para a VM e armazená-los na variável $cred.

$cred = Get-Credential

Use New-AzVMConfig para definir uma VM.

$vmConfigParams = @{
    VMName = "vm-spoke-2"
    VMSize = "Standard_DS4_v2"
    }
$vmConfig = New-AzVMConfig @vmConfigParams

Use Set-AzVMOperatingSystem e Set-AzVMSourceImage para criar o restante da configuração da VM. O exemplo a seguir cria uma máquina virtual do Windows Server:

$osParams = @{
    VM = $vmConfig
    ComputerName = "vm-spoke-2"
    Credential = $cred
    }
$vmConfig = Set-AzVMOperatingSystem @osParams -Windows

$imageParams = @{
    VM = $vmConfig
    PublisherName = "MicrosoftWindowsServer"
    Offer = "WindowsServer"
    Skus = "2022-Datacenter"
    Version = "latest"
    }
$vmConfig = Set-AzVMSourceImage @imageParams

Use Add-AzVMNetworkInterface para anexar a NIC que você criou anteriormente à VM.

# Get the network interface object
$nicParams = @{
    ResourceGroupName = "test-rg"
    Name = "nic-2"
    }
$nic = Get-AzNetworkInterface @nicParams

$vmConfigParams = @{
    VM = $vmConfig
    Id = $nic.Id
    }
$vmConfig = Add-AzVMNetworkInterface @vmConfigParams

Use New-AzVM para criar a VM.

$vmParams = @{
    VM = $vmConfig
    ResourceGroupName = "test-rg"
    Location = "westus2"
    }
New-AzVM @vmParams

Aguarde até que a máquina virtual conclua a implantação antes de continuar nas próximas etapas.

Instalar o IIS na máquina virtual de teste spoke dois

O IIS é instalado na máquina virtual do Windows Server 2022 para testar o tráfego de saída da Internet por meio do gateway NAT e o tráfego entre spoke na rede hub e spoke.

Portal
Powershell

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione vm-spoke-2.
Em Operações, selecione Executar comando.
Selecione RunPowerShellScript.

Insira o seguinte script em Executar Script de Comando:

# Install IIS server role
Install-WindowsFeature -name Web-Server -IncludeManagementTools

# Remove default htm file
Remove-Item  C:\inetpub\wwwroot\iisstart.htm

# Add a new htm file that displays server name
Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)

Selecione Executar.
Aguarde até que o script seja concluído antes de continuar para a próxima etapa. Pode levar alguns minutos para que o script seja concluído.

Quando o script for concluído, a Saída* exibirá o seguinte:

Success Restart Needed Exit Code      Feature Result                               
------- -------------- ---------      --------------                               
True    No             Success        {Common HTTP Features, Default Document, D...

Use Set-AzVMExtension para instalar o IIS na máquina virtual.

$vmExtensionParams = @{
    ResourceGroupName = "test-rg"
    VMName = "vm-spoke-2"
    Name = "CustomScriptExtension"
    Publisher = "Microsoft.Compute"
    Type = "CustomScriptExtension"
    TypeHandlerVersion = "1.10"
    Settings = @{
        "commandToExecute" = "powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path 'C:\inetpub\wwwroot\default.htm' -Value vm-spoke-2"
    }
}
Set-AzVMExtension @vmExtensionParams

Testar um gateway da NAT

Para verificar se o tráfego de saída da Internet está saindo do gateway NAT, conecte-se às máquinas virtuais do Windows Server 2022 que você criou nas etapas anteriores.

Obter endereço IP público do gateway da NAT

Obtenha o endereço IP público do gateway da NAT para verificação das etapas mais adiante no artigo.

Entre no Portal do Azure em https://portal.azure.com.
Na caixa de pesquisa na parte superior do portal, insira IP público. Selecione Endereços IP públicos nos resultados da pesquisa.
Selecione public-ip-nat.
Anote o valor no endereço IP. O exemplo usado neste artigo é 203.0.113.25.

Testar o gateway da NAT do spoke 1

Use o Microsoft Edge na máquina virtual do Windows Server 2022 para se conectar a https://whatsmyip.com e verificar a funcionalidade do gateway da NAT.

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione vm-spoke-1.
Em Visão geral, selecione Conectar e Conectar-se com Bastion.
Insira o nome de usuário e a senha que você inseriu quando a máquina virtual foi criada.
Selecione Conectar.
Abra o Microsoft Edge quando a área de trabalho terminar de carregar.
Na barra de endereços, insira https://whatsmyip.com.
Verifique se o endereço IP de saída exibido é o mesmo do IP do gateway da NAT obtido anteriormente.
Deixe a conexão do bastion aberta com vm-spoke-1.

Testar o gateway da NAT do spoke 2

Use o Microsoft Edge na máquina virtual do Windows Server 2022 para se conectar a https://whatsmyip.com e verificar a funcionalidade do gateway da NAT.

Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais nos resultados da pesquisa.
Selecione vm-spoke-2.
Em Visão geral, selecione Conectar e Conectar-se com Bastion.
Insira o nome de usuário e a senha que você inseriu quando a máquina virtual foi criada.
Selecione Conectar.
Abra o Microsoft Edge quando a área de trabalho terminar de carregar.
Na barra de endereços, insira https://whatsmyip.com.
Verifique se o endereço IP de saída exibido é o mesmo do IP do gateway da NAT obtido anteriormente.
Deixe a conexão do bastion aberta com vm-spoke-2.

Testar o roteamento entre os spokes

O tráfego do spoke um para o spoke dois e do spoke dois para o spoke um roteará pela NVA simulada na rede virtual do hub. Use os exemplos a seguir para verificar o roteamento entre spokes da rede hub e spoke.

Testar o roteamento do spoke 1 para o spoke 2

Use o Microsoft Edge para se conectar ao servidor Web no vm-spoke-2 instalado nas etapas anteriores.

Retorne à conexão do bastion aberta com vm-spoke-1.
Abra o Microsoft Edge se ele não estiver aberto.
Na barra de endereços, insira 10.2.0.4.
Verifique se a página do IIS é exibida em vm-spoke-2.
Feche a conexão do bastion com vm-spoke-1.

Testar o roteamento do spoke 2 para o spoke 1

Use o Microsoft Edge para se conectar ao servidor Web no vm-spoke-1 instalado nas etapas anteriores.

Retorne à conexão aberta do bastion com vm-spoke-2.
Abra o Microsoft Edge se ele não estiver aberto.
Na barra de endereços, insira 10.1.0.4.
Verifique se a página do IIS é exibida em vm-spoke-1.
Feche a conexão do bastion com vm-spoke-1.

Portal
Powershell

Quando terminar de usar os recursos que criou, você poderá excluir o grupo de recursos e todos os seus recursos.

No portal do Azure, procure por Grupos de recursos e selecione essa opção.
Na página Grupos de recursos, selecione o grupo de recursos test-rg.
Na página test-rg, selecione Excluir grupo de recursos .
Insira test-rg em Inserir o nome do grupo de recursos para confirmar a exclusão e, em seguida, selecione Excluir.

Use Remove-AzResourceGroup para excluir o grupo de recursos.

$rgParams = @{
    Name = "test-rg"
    Force = $true
}
Remove-AzResourceGroup @rgParams

Próximas etapas

Avance para o próximo artigo para saber como usar um Balanceador de carga do gateway do Azure em soluções de virtualização de rede altamente disponíveis:

Balanceador de Carga do Gateway

Comentários

Esta página foi útil?

Last updated on 2025-11-19

Tutorial: Usar um gateway da NAT com uma rede hub e spoke

Pré-requisitos

Criar um grupo de recursos

Criar um gateway da NAT

Criar uma rede virtual do hub

Criar um host do Azure Bastion

Criar máquina virtual NVA simulada

Configurar interfaces de rede de máquina virtual

Configurar o software da máquina virtual

Criar tabela de rotas da rede do hub

Criar a rede virtual spoke 1

Criar emparelhamento entre hub e spoke 1

Criar tabela de rotas de rede spoke 1

Criar uma máquina virtual de teste spoke 1

Instalar o IIS na máquina virtual de teste spoke um

Criar a segunda rede virtual spoke

Criar emparelhamento entre hub e spoke 2

Criar tabela de rotas de rede spoke 2

Criar duas máquinas virtuais de teste spoke

Instalar o IIS na máquina virtual de teste spoke dois

Testar um gateway da NAT

Obter endereço IP público do gateway da NAT

Testar o gateway da NAT do spoke 1

Testar o gateway da NAT do spoke 2

Testar o roteamento entre os spokes

Testar o roteamento do spoke 1 para o spoke 2

Testar o roteamento do spoke 2 para o spoke 1

Próximas etapas

Comentários

Recursos adicionais