创建、更改或删除 Azure 虚拟网络对等互连

使用具有所需权限的 Azure 帐户登录 Azure 门户，以使用对等互连。

在 Azure Cloud Shell 中运行命令，或在计算机上本地运行 PowerShell。 Azure Cloud Shell 是免费的交互式 shell，可以使用它运行本文中的步骤。 它预安装有常用 Azure 工具并将其配置与帐户一起使用。 在 Azure Cloud Shell 浏览器标签页中，找到“选择环境”下拉列表，然后选择“PowerShell”（如果尚未选择） 。

如果在本地运行 PowerShell，请使用 Azure PowerShell 模块 1.0.0 或更高版本。 运行 Get-Module -ListAvailable Az.Network 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure PowerShell 模块。 运行 Connect-AzAccount 以使用具有必要权限的帐户登录 Azure，从而使用虚拟网络对等互连。

在 Azure Cloud Shell 中运行命令，或在计算机中本地运行 Azure CLI。 Azure Cloud Shell 是免费的交互式 shell，可以使用它运行本文中的步骤。 它预安装有常用 Azure 工具并将其配置与帐户一起使用。 在 Azure Cloud Shell 浏览器标签页中，找到“选择环境”下拉列表，然后选择“Bash”（如果尚未选择）。

如果在本地运行 Azure CLI，请使用 Azure CLI 2.0.31 或更高版本。 运行 az --version 查找已安装的版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。 运行 az login 以使用具有必要权限的帐户登录 Azure，从而使用虚拟网络对等互连。

必须将连接到 Azure 所用的帐户分配给网络参与者角色或分配有“权限”中所列的适当操作的自定义角色。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 在“虚拟网络”中，选择要为其创建对等互连的网络。

3. 在“设置”中选择“对等互连”。

4. 选择“+ 添加”。

5. 为以下设置输入或选择值，然后选择“添加”。

   设置	说明
   远程虚拟网络摘要
   对等互连链接名称	来自本地虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   虚拟网络部署模型	选择要对等互连的虚拟网络是通过哪种部署模型来进行部署的。
   我知道我的资源 ID	如果对要进行对等互连的虚拟网络拥有读取访问权限，请保留取消选中此复选框。 如果缺少对要与之对等互连的虚拟网络或订阅的读取访问权限，则选中此复选框。
   资源 ID	选中“我知道我的资源 ID”复选框时，将显示此字段。 输入的虚拟网络资源 ID 必须与此虚拟网络位于同一 Azure 区域，或受支持的不同 Azure 区域。 完整资源 ID 类似于 /subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name>。 可以通过查看虚拟网络的属性，获取虚拟网络的资源 ID。 若要了解如何查看虚拟网络的属性，请参阅管理虚拟网络。 如果订阅与不同的 Microsoft Entra 租户（而不是要对等互连的虚拟网络的订阅）相关联，则必须分配用户权限。 将每个租户中的用户添加为相反租户中的来宾用户。
   订阅	选择要进行对等互连的虚拟网络的订阅。 将列出一个或多个订阅，具体取决于帐户对多少个订阅具有访问权限。
   虚拟网络	选择远程虚拟网络。
   远程虚拟网络对等互连设置
   允许对等互连虚拟网络访问“vnet-1”	默认情况下，将选中此选项。 - 选择此选项可允许来自对等互连虚拟网络的流量访问“vnet-1”。 此设置支持中心辐射型网络拓扑中中心和分支之间的通信，并允许对等互连虚拟网络中的 VM 与“vnet-1”中的 VM 进行通信。 选择此设置时，网络安全组的 VirtualNetwork 服务标记包含虚拟网络和对等互连的虚拟网络。 若要详细了解服务标记，请参阅 Azure 服务标记。
   允许对等互连虚拟网络接收来自“vnet-1”的转发流量	默认情况下不会选择此选项。 - 启用此选项允许对等连接的虚拟网络接收来自与“vnet-1”对等连接的虚拟网络的流量。 例如，如果 vnet-2 的 NVA 接收来自 vnet-2 外部的流量，而这些流量将转发到 vnet-1，则你可以选择此设置，以允许该流量从 vnet-2 进入 vnet-1。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。
   允许对等互连虚拟网络中的网关或路由服务器将流量转发到“vnet-1”	默认未选择此选项。 - 启用此设置允许“vnet-1”接收来自对等互连虚拟网络网关或路由服务器的流量。 若要启用此选项，对等互连的虚拟网络必须包含网关或路由服务器。
   启用对等互连虚拟网络以使用“vnet-1”远程网关或路由服务器	默认情况下未选择此选项。 - 仅当“vnet-1”具有远程网关或路由服务器并且“vnet-1”允许“vnet-1 中的网关”将流量转发到对等虚拟网络时，才能启用此选项。此选项只能在一个对等互连虚拟网络的对等互连中启用。 如果希望此虚拟网络使用远程路由服务器交换路由，还可以选择此选项，请参阅 Azure 路由服务器。 注意：如果已在虚拟网络中配置了网关，则无法使用远程网关。若要详细了解如何使用网关进行传输，请参阅 配置 VPN 网关以便在虚拟网络对等互连中传输。
   本地虚拟网络摘要
   对等互连链接名称	来自远程虚拟网络的对等互连的名称。 名称在虚拟网络中必须唯一。
   本地虚拟网络对等互连设置
   允许“vnet-1”访问对等互连的虚拟网络	默认情况下，将选中此选项。 - 选择此选项可允许从“vnet-1”到对等互连虚拟网络的流量。 此设置允许中心辐射型网络拓扑中的中心和辐射之间的通信，并允许“vnet-1”中的 VM 与对等互连虚拟网络中的 VM 通信。
   允许“vnet-1”接收来自对等互连虚拟网络的转发流量	默认情况下未选择此选项。 - 启用此选项后，“vnet-1”可以接收来自已对等互连到此虚拟网络的其他虚拟网络的流量。 例如，如果 vnet-2 的 NVA 接收来自 vnet-2 外部的流量，而这些流量将转发到 vnet-1，则你可以选择此设置，以允许该流量从 vnet-2 进入 vnet-1。 虽然启用此功能可允许通过对等互连转发流量，但它并不会创建任何用户定义的路由或网络虚拟设备。 用户定义的路由和网络虚拟设备是单独创建的。
   允许“vnet-1”中的网关或路由服务器将流量转发到对等互连的虚拟网络	默认未选择此选项。 - 启用此设置允许对等虚拟网络接收来自“vnet-1”网关或路由服务器的流量。 若要启用此选项，“vnet-1”必须包含网关或路由服务器。
   启用“vnet-1”以使用对等互连虚拟网络的远程网关或路由服务器	默认情况下未选择此选项。 - 仅当对等虚拟网络具有远程网关或路由服务器且对等虚拟网络启用“允许对等虚拟网络中的网关将流量转发到”vnet-1“时，才能启用此选项。此选项只能在“vnet-1”对等互连之一中启用。

1. 几秒钟后，选择“刷新”按钮，对等连接状态将从“正在更新”更改为“已连接”。

有关在不同订阅和部署模型中的虚拟网络之间实现对等互连的分步说明，请参阅后续步骤。

使用 Add-AzVirtualNetworkPeering 创建虚拟网络对等互连。

## Place the virtual network vnet-1 configuration into a variable. ##
$net-1 = @{
        Name = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
$vnet-1 = Get-AzVirtualNetwork @net-1

## Place the virtual network vnet-2 configuration into a variable. ##
$net-2 = @{
        Name = 'vnet-2'
        ResourceGroupName = 'test-rg-2'
}
$vnet-2 = Get-AzVirtualNetwork @net-2

## Create peering from vnet-1 to vnet-2. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        VirtualNetwork = $vnet-1
        RemoteVirtualNetworkId = $vnet-2.Id
}
Add-AzVirtualNetworkPeering @peer1

## Create peering from vnet-2 to vnet-1. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        VirtualNetwork = $vnet-2
        RemoteVirtualNetworkId = $vnet-1.Id
}
Add-AzVirtualNetworkPeering @peer2

1. 使用 az network virtual network peering create 创建虚拟网络对等互连。

## Create peering from vnet-1 to vnet-2. ##
az network vnet peering create \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --remote-vnet vnet-2 \
    --resource-group test-rg \
    --allow-vnet-access \
    --allow-forwarded-traffic

## Create peering from vnet-2 to vnet-1. ##
az network vnet peering create \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2 \
    --remote-vnet vnet-1 \
    --resource-group test-rg-2 \
    --allow-vnet-access \
    --allow-forwarded-traffic

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”下选择“对等互连”，然后选择要查看或更改设置的对等互连。

   

4. 更改相应的设置。 针对每个设置的相关选项，请参阅“创建对等互连”部分的第 4 步。 然后选择“保存”，以完成配置更改。

   

使用 Get-AzVirtualNetworkPeering 列出虚拟网络的对等互连及其设置。

$peer = @{
        VirtualNetworkName = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
Get-AzVirtualNetworkPeering @peer

使用 Set-AzVirtualNetworkPeering 更改对等互连设置。

## Place the virtual network peering configuration into a variable. ##
$peer = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
$peering = Get-AzVirtualNetworkPeering @peer

# Allow traffic forwarded from remote virtual network. ##
$peering.AllowForwardedTraffic = $True

## Update the peering with changes made. ##
Set-AzVirtualNetworkPeering -VirtualNetworkPeering $peering

使用 az network vnet peering list 列出虚拟网络的对等互连。

az network vnet peering list \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --out table

使用 az network vnet peering show 显示特定对等互连的设置。

az network vnet peering show \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

使用 az network vnet peering update 更改对等互连设置。

## Block traffic forwarded from remote virtual network. ##
az network vnet peering update \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --set allowForwardedTraffic=false

删除两个虚拟网络之间的对等互连后，流量便不能再在这两个虚拟网络之间流动。 如果希望虚拟网络偶尔进行通信，而非始终通信，与其删除对等互连，不如取消选中“允许流向远程虚拟网络的流量”设置，以禁止流动到远程虚拟网络的流量”。 可发现禁用和启用网络访问比删除并重新创建对等互连更加容易。

1. 在 Azure 门户顶部的搜索框中，输入“虚拟网络”。 在搜索结果中，选择“虚拟网络”。

2. 选择要在虚拟网络中查看或更改其对等互连设置的虚拟网络。

3. 在“设置”中选择“对等互连”。

   

4. 选中要删除的对等互连旁边的框，然后选择“删除”。

   

5. 在“删除对等互连”的确认框中输入“删除”，然后选择“删除”。

   

   注意

   从某个虚拟网络中删除虚拟网络对等互连时，来自远程虚拟网络的对等互连也会被删除。

6. 在“确认删除”中选择“删除”以确认删除。

使用 Remove-AzVirtualNetworkPeering 删除虚拟网络对等互连

## Delete vnet-1 to vnet-2 peering. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
Remove-AzVirtualNetworkPeering @peer1

## Delete vnet-2 to vnet-1 peering. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        ResourceGroupName = 'test-rg-2'
}
Remove-AzVirtualNetworkPeering @peer2

使用 az network vnet peering delete 删除虚拟网络对等互连。

## Delete vnet-1 to vnet-2 peering. ##
az network vnet peering delete \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

## Delete vnet-2 to vnet-1 peering. ##
az network vnet peering delete \
    --resource-group test-rg-2 \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2