azure - 通过一个 Azure 订阅连接另一个订阅

Question

我们在 2 个不同的订阅(Sub - A 和 Sub - B)中拥有 2 个 Azure VNET(分别为 192.168.0.0/20 和 10.40.1.0/16)，并且这些订阅通过 VNET 对等互连进行连接。 VM 驻留在两个 VNET 上，可以互相 ping 通。我们确实有 Cisco AnyConnect VPN，供用户直接连接到 Sub - A。现在我们需要一些设置，以便用户在使用 AnyConnect VPN 连接时能够直接到达 Sub - B。我们做了以下工作 -

1. 对于 Sub - A，我们已启用 VNET 网关
2. 对于 Sub - B，我们已启用使用 VNET 网关
3. 在 Cisco AnyConnect VPN 上添加了路由

需要了解如何实现设置，以便用户在使用 Cisco AnyConnect VPN 连接时能够访问 10.40.1.0/16 网络。附上示例网络图供引用。

Answer 1

• 是的，您可以通过在 Cisco Anyconnect VPN 服务器上配置两个不同的隧道组，将 Cisco Anyconnect VPN 配置为连接到不同订阅中的两个虚拟网络。要配置两个隧道组，其中虚拟网络网关将在两个不同虚拟网络的不同订阅中连接，您必须定义用于连接到 VPN session 的 VPN 协议(protocol)，其中用于在隧道内部连接的 IP 地址远程用户的流量通过 ASA 防火墙服务器后的网络，如下所示:-

ip local pool ANYCONNECT_POOL1 10.99.1.1-10.99.1.254 mask 255.255.255.0
ip local pool ANYCONNECT_POOL2 10.99.2.1-10.99.2.254 mask 255.255.255.0

• 完成后，将名为“ANYCONN_1”和“ANYCONN_2”的两个隧道组配置为已根据第一个隧道组分配给第一个池，并将第二个池分配给第二个隧道组.

!
tunnel-group ANYCONN_1 type remote-access
tunnel-group ANYCONN_1 type general-attributes
address-pool ANYCONNECT_POOL1 
authentication-server-group MYRADIUS
default-group-policy NOACCESS
tunnel-group ANYCONN_1 webvpn-attributes
group-alias EMPLOYEES enable
!
tunnel-group ANYCONN_2 type remote-access
tunnel-group ANYCONN_2 type general-attributes
address-pool ANYCONNECT_POOL2
authentication-server-group MYRADIUS
default-group-policy NOACCESS
tunnel-group ANYCONN_2 webvpn-attributes
group-alias VENDORS enable
!

• 然后，确保为在成功验证和授权后将通过 Cisco Anyconnect VPN 客户端连接的员工和其他人群设置组策略。为此，您必须为这些用户组创建相应的组策略，如下所示:-

!
group-policy STAFF_VPN_GROUP internal
group-policy STAFF_VPN_GROUP attributes
vpn-tunnel-protocol ssl-client
vpn-filter value STAFF_VPN_ACL
!
group-policy NOACCESS internal
group-policy NOACCESS attributes
vpn-tunnel-protocol ssl-client
vpn-simultaneous-logins 0
!

然后应用 VPN 过滤器、配置和身份验证逻辑流程如下:-

 !
 access-list STAFF_VPN_ACL extended permit ip any any
 !
 webvpn
 enable OUTSIDE
 anyconnect enable
 tunnel-group-list enable
 !
 vpn-simultaneous-logins 0
 access-list extended permit ip any 10.99.99.0 255.255.255.0
 VENDOR_VPN_ACL

因此，通过这种方式，通过事件阶段隧道协议(protocol)的功能使用，您一定可以创建从 Cisco Anyconnect VPN 服务器到其他订阅中的其他虚拟网络的多个连接。

有关此内容的更多信息，请参阅以下链接:-

https://www.cisco.com/c/en/us/support/docs/smb/routers/cisco-rv-series-small-business-routers/smb5553-configure-anyconnect-virtual-private-network-vpn-connectivit.html