Azure 虚拟网络网关 - 访问其他资源组中的资源

Question

让我们来看以下场景：

• 我在东部地区有一个资源组，有 1 个虚拟机
• 我在西部地区有一个资源组，有 1 个虚拟机

这两个虚拟机都只能通过专用 IP 地址访问。通过公共 IP 地址的 RDP 不是一个选项。有人会假设，为了让我对这些机器进行 RDP，我必须首先通过 VPN 连接到 Azure 的网关。但是，我不想在每个资源组中都创建一个虚拟网关。

我是否可以 vpn 进入一个资源（在一个资源组中），并访问所有其他资源组中的所有机器？

Answer 1

是的，可以通过 VNet 对等互连（在同一 Azure 区域内连接 VNet）来实现此目的。您可以将其转到implement a hub-spoke network topology in Azure. 在这种情况下，中心 VNet 是启用了允许网关传输的对等 VNet，而分支 VNet 是启用了使用远程网关的对等 VNet已启用。

请注意，您不能使用远程网关或允许通过全局对等互连（跨 Azure 区域连接 VNet）进行网关传输。全球对等互连请参考requirements and constraints。

要使用远程网关或允许网关中转，对等虚拟 网络必须在同一区域内。

因此，如果每个资源组中的两个 VNet 不在同一区域中，则必须将对等 VNet 移动到同一区域中。

另一个选项将在另一个资源组中创建一个单独的 VPN 网关，但这不是您的期望。请注意，

点到站点客户端只能连接到 VNet 中的资源 虚拟网络网关所在的位置。

参考VPN网关FAQ。

Answer 2

您可以在启用 Use remote gateways 复选框的情况下使用 vnet 对等互连。您需要将 vnet 对等起来，并在第二个 vnet（一个没有网关的 vnet）上检查 use remote gateways。

阅读：
https://docs.microsoft.com/en-us/azure/architecture/reference-architectures/hybrid-networking/hub-spoke
https://docs.microsoft.com/en-us/azure/virtual-network/virtual-network-peering-overview