Intune Kullanarak Her Zaman Açık Azure VPN Nasıl Dağıtılır
Bu eğitimde size, Azure kaynaklarınıza uzaktan erişmenize olanak tanıyan Her Zaman Açık P2S (Noktadan Siteye) VPN'yi Azure'a nasıl kurup dağıtacağınızı göstereceğim. Azure Yönetim Portalı aracılığıyla bir Sanal Ağ Ağ Geçidi oluşturma, noktadan siteye bağlantıyı yapılandırma, bir VPN profili oluşturma ve bunu Microsoft Intune kullanarak son kullanıcılarınıza nasıl dağıtacağınız konusunda size yol göstereceğim.
Senaryomuzun amacı, 'Her Zaman Açık' olan bir Nokta 2 Site VPN'i uygulayarak mevcut Azure ortamımızı genişletmektir. Kullanıcılar, Azure Active Directory kimlik bilgilerini kullanarak VPN'de kimlik doğrulaması yapacaktır.
Mevcut ortam
Şimdi mevcut ortamımıza bir göz atalım. Bu eğitimin amacı açısından ortamımız çok basittir. Tek bir Alt Ağ içeren ve bu alt ağa bağlı, Windows Server 2022 çalıştıran bir sanal makine olan tek bir VNET'imiz var.
IP adresleme şemamız aşağıdadır. Azure'a aşina iseniz VNET, Alt Ağ ve Sanal Makine oluşturduğunuzda bunların varsayılan ayarlar olduğunu fark edebilirsiniz.
- VNET Adres alanı: 10.0.0.0/16
- Alt ağ: 10.0.0.0/24
- Sanal Makine: 10.0.0.4
Her Zaman Açık Azure VPN dağıtımımızı oluşturduktan sonra güncellenmiş diyagram görselini aşağıda paylaşacağım.
Sanal Ağ Ağ Geçidi oluşturma ve yapılandırma
Ortamımıza uygulamamız gereken ilk şey bir Sanal Ağ Geçididir. Perde arkasında, Sanal Ağ Geçidi, ağ geçidi hizmetlerini çalıştıran ve belirli yönlendirme bilgilerini içeren 2 sanal makineden oluşur. Sanal Ağ Geçidimizi kurduğumuzda, Azure Portal'da istediğimiz sonuçları elde etmek için yapılandırabileceğimiz bir ayarlar blade'i görüyoruz.
1. Azure Portal'da oturum açarak başlayın ve ana sayfada Kaynak oluştur'u seçin.
3. Pazaryerinde Sanal Ağ Geçidi'ni arayın ve listeden seçin. Sanal Ağ Geçidi sayfası görünecektir, ardından Oluştur'a tıklayın.
4. Artık ağ geçidi yapılandırma sihirbazında olacaksınız. Aşağıdaki ekran görüntüsünde bazı önemli ayarları vurguladım:
- Bölge: VNET'inizin dağıtıldığı bölgenin aynısını seçtiğinizden emin olun.
- Ağ geçidi türü: Dağıtmak istediğimiz şey bu olduğundan, bunun VPN olarak ayarlanması gerekir.
- VPN Türü: P2S, S2S ve Sanal ağlar arası ağ bağlantıları dahil olmak üzere VPN türlerini desteklediğinden Rota tabanlı seçeneğini seçin.
- SKU: Minimum kurulumum için desteklenen minimum SKU'yu seçtim. Temel SKU'nun dağıtacağımız P2S VPN türünü desteklemediğini bilmelisiniz. Bu referansı boyutlandırma kılavuzu olarak kullanabilirsiniz.
- Sanal ağ: Mevcut sanal ağınızı seçin.
5. Aynı sayfada aşağı doğru ilerleyerek ağ ayarlarını yapılandırmamız gerekiyor. Önerilen Ağ Geçidi alt ağ adresi aralığını varsayılan olarak bıraktım ancak siz bunu gerektiği gibi ayarlayabilirsiniz. Geri kalan ayarlar için vurguladım:
- Genel IP Adresi: Tür: Standart'ı seçin
- Genel IP adresi: Yeni oluştur'u seçin.
- Genel IP adresi adı: Genel IP için anlamlı bir ad girin.
6. Hazır olduğunuzda İncele + Oluştur'u ve ardından Oluştur'u tıklayın. Size dağıtım durumu sayfası sunulacak, bu işlemin tamamlanması yaklaşık 27 dakika sürdü, bu yüzden biraz zaman tanıyın.
Azure VPN İstemcisini yetkilendirin
Azure VPN İstemcisini son kullanıcılarımızın makinelerinde kullanmak için öncelikle uygulamaya oturum açma ve temel profil bilgilerini okuma yetkisi vererek onu çözümümüze entegre etmemiz gerekir.
Uygulamayı aşağıdaki bağlantıyla yetkilendirin:
https://login.microsoftonline.com/common/oauth2/authorize?client_id=41b23e61-6c1e-4545-b367-cd054e0ed4b4&response_type=code&redirect_uri=https://portal.azure.com&nonce=1234&prompt=admin_consent
Size aşağıdaki sayfa sunulacak:
Kabul Et 'i tıkladığınızda bu adımı tamamlamış olursunuz.
P2S VPN ayarlarını yapılandırma
Artık Sanal Ağ ağ geçidimizde Noktadan siteye yapılandırmayı tamamlamamız gerekiyor.
1. Azure'da Sanal Ağ Geçidini açıp Noktadan siteye yapılandırma'yı seçerek başlayın.
2. Şimdi yapılandır'ı tıklayın.
3. Ekrandaki tüm seçenekleri doldurmanız gerekmektedir; her seçeneğin tamamlanmasına ilişkin bazı yönergeleri burada bulabilirsiniz:
- Adres havuzu: Bu, VPN istemcisi kullanıcılarının VPN'ye bağlandıklarında IP alacakları alt ağdır. Bu, çakışmaları önlemek için kullanılabilir Azure VNET adres alanının dışında, Azure'da kullanılmayan bir alt ağ olmalıdır.
- Tünel türü: Bu, OpenVPN (SSL) olarak ayarlanmalıdır.
- Kimlik doğrulama türü: Azure Active Directory, dizin kullanıcılarımızın iş e-postaları ve şifreleriyle VPN'de kimlik doğrulaması yapmasına olanak tanır.
- Kiracı: https://login.microsoftonline.com/AZURE REKLAM KİRACI KİMLİĞİNİZ/
- Kitle: AZURE VPN İSTEMCİ UYGULAMA KİMLİĞİNİZ
- Veren: https://sts.windows.net/AZURE REKLAM KİRACI KİMLİĞİNİZ/
Kiracı Kimliğinizi bulmak için: Azure Active Directory > Genel Bakış > Kiracı Kimliği
Azure VPN istemci uygulaması kimliğini bulmak için: Azure Active Directory > Kurumsal Uygulamalar > Azure VPN > Uygulama Kimliği
Adres havuzu yapılandırmasıyla ilgili herhangi bir sorun varsa büyük olasılıkla aşağıdaki gibi bir hata görürsünüz:
Hata: Sanal ağ geçidinin VPN istemci adres havuzu, sanal ağın adres alanıyla çakışıyor.
Ayrıca, sorunu çözmenize ve kurulumda ilerlemenize yardımcı olmak için çakışan adres alanlarını da detaylandıracaktır.
4. Tüm ayrıntılar girildikten sonra sayfanın üst kısmındaki Kaydet 'i tıklayın.
Azure VPN İstemcisini manuel olarak test edin
Artık P2S VPN'imizi yapılandırdık; Intune ile dağıtımı denemeden önce bağlantının beklendiği gibi çalışıp çalışmadığını test etmeliyiz.
1. P2S yapılandırma sayfasında VPN istemcisini indir'e tıklayın ve .zip klasörünü çıkarın.
2. Artık Azure VPN istemcisini manuel olarak indirmeniz/yüklemeniz gerekiyor (yalnızca test amaçlı). Çevrimdışı yükleyiciyi buradan indirebilirsiniz. Veya Microsoft Mağazası aracılığıyla yükleyin.
Çevrimdışı yükleyiciyi indirirseniz önce Geliştirici modunu açtığınızdan emin olun (Ayarlar > Gizlilik ve güvenlik > Geliştiriciler için).
Daha sonra kurulum betiğini çalıştırın: (güvenlik uyarısını birkaç kez kabul etmeniz gerekir)
3. Artık istemci yüklenmiştir, onu Windows başlat menüsünden açın, + sembolüne tıklayın ve İçe Aktar'a tıklayın.
4. Dosya gezgini penceresinde indirdiğiniz zip klasörüne göz atın ve AzureVPN klasörü içinden azurevpnconfig.xml dosyasını seçin ve Aç.
5. Ekrandaki tüm seçenekleri varsayılan olarak bırakın ve Kaydet'i tıklayın. Bağlan 'ı tıklayın ve iş hesabınızla oturum açın; VPN başarıyla bağlanmalıdır. Bağlantı özelliklerine bakmak ve VPN yollarının doğru göründüğünden emin olmak için bir dakikanızı ayırın.
6. Varsayılan olarak, sanal makineleriniz için Azure'da yapılandırılan Ağ Güvenlik Grupları, sanal ağınızdan gelen tüm trafiğe izin verecektir, ancak sanal sunucularınızdaki yerel güvenlik duvarı izin vermeyecektir. Windows çalıştırdığınızı varsayarsak, gerekli aralığın sunucunuza erişmesine izin vermek için yerel bir güvenlik duvarı kuralı oluşturmanız gerekecektir.
7. Nihai sonuç, Azure kaynaklarınızla VPN üzerinden iletişim kurabilmeniz olmalıdır.
Azure VPN İstemcisini Microsoft Intune kullanarak dağıtma
Artık her şeyi yapılandırıp test ettik; Azure VPN istemcisini Intune kullanarak son kullanıcı cihazlarına dağıtabiliriz.
1. https://intune.microsoft.com adresinden Intune'da oturum açarak başlayın.
2. Soldaki menüden Uygulamalar > Tüm Uygulamalar > Ekle'yi seçin.
3. Uygulama türü açılır listesinden Microsoft Store uygulaması (yeni)'yi seçin ve alttaki Seç'i tıklayın.
4. Microsoft Store uygulamasında arama yapın (yeni)'yi tıklayın.
5. Azure VPN İstemcisi'ni arayın, bir kez tıklayın ve ardından sayfanın altındaki Seç 'i tıklayın.
6. Uygulama bilgi sayfasında değiştirebileceğiniz çeşitli ayarlar bulunmaktadır. Çoğu seçenek varsayılan olarak bırakılabilir, ancak değiştirmek isteyebileceğiniz bazılarını vurguladım.
Görüntü dosyasıyla ilgili olarak, bunu https://apps.microsoft.com/ adresine gidip Azure VPN İstemcisi'ni arayarak, ardından uygulama görüntüsüne sağ tıklayıp dosyayı kaydederek aldım. Daha sonra dosya uzantısının .png olarak değiştirilmesi gerekir ve yukarıdaki uygulama bilgileri sayfasına yüklenebilir.
7. Hazır olduğunuzda İleri'yi ve ardından İncele + oluştur'u tıklayın.
8. Uygulama oluşturulduktan sonra, özellikler sayfasında Ödevler'in yanındaki Düzenle seçeneğini tıklayın.
9. Gerekli başlığı altında, Grup ekle'yi tıklayın ve pilot kullanıcılarınızı içeren bir grup seçin (tüm kullanıcılara dağıtmadan önce bazı gönüllü kullanıcılarla test etmelisiniz). Benim durumumda Tüm kullanıcılar'ı seçtim. Ardından İncele + kaydet'i tıklayın.
VPN profilinizi yapılandırın
Artık VPN profilimizi yapılandırmamız ve uç noktalarımıza dağıtmamız gerekiyor. Profil cihaza yüklendikten sonra kullanıcıdan VPN istemcisinde oturum açması istenecek ve aktif hale gelecektir.
Profil XML formatında olacak ve aşağıda vereceğim şablon dosyası ile daha önce .zip dosyasında indirdiğiniz azurevpnconfig.xml dosyasının birleşimi olacaktır.
1. Aşağıdakileri kopyalayıp bir metin düzenleyiciye yapıştırarak başlayın: (Notepad ++ kullanıyorum)
<VPNProfile>
<!--<EdpModeId>corp.contoso.com</EdpModeId>-->
<RememberCredentials>true</RememberCredentials>
<AlwaysOn>true</AlwaysOn>
<TrustedNetworkDetection>contoso.com,test.corp.contoso.com</TrustedNetworkDetection>
<DeviceTunnel>false</DeviceTunnel>
<RegisterDNS>false</RegisterDNS>
<PluginProfile>
<ServerUrlList>azuregateway-7cee0077-d553-4323-87df-069c331f58cb-053dd0f6af02.vpn.azure.com</ServerUrlList>
<CustomConfiguration>
</CustomConfiguration>
<PluginPackageFamilyName>Microsoft.AzureVpn_8wekyb3d8bbwe</PluginPackageFamilyName>
</PluginProfile>
</VPNProfile>2. Şimdi azurevpnconfig.xml dosyanızı yukarıdaki kodla yan yana açın.
3. Açılan XML dosyası kopyasında '.vpn.azure.com' ile biten fqdn'yi yukarıdaki kodda
4. Şimdi azurevpnconfig.xml dosyasının tüm içeriğini kopyalayıp yapıştırın ve
5. Son olarak kodunuzda bir ‘name’ etiketi olacak, değiştirmeden önce benimki şu şekilde görünüyor:
Bu, son kullanıcılarınız için VPN bağlantınızın adı olarak görünecektir. Varsayılan olarak bu, Azure'daki ilişkili sanal ağın adı olacaktır, dolayısıyla bunu anlamlı bir şeyle değiştirin. Örneğin ben benimkini olarak ayarladım
6. Oluşturduğunuz dosyayı kaybolmaması için kaydedin.
Microsoft Intune'u kullanarak VPN profilinizi dağıtın
VPN profilimizi dağıtmak için Intune'da özel bir yapılandırma profili kullanacağız.
1. Intune'da oturum açarak başlayın https://endpoint.microsoft.com/
2. Soldaki menüden Cihazlar'ı seçin.
3. Ardından Yapılandırma profilleri'ni seçin.
4. Profil oluştur'u seçin.
5. Profil oluştur açılır penceresinde Windows 10'u, Şablonlar'ı seçin, şablon listesinden özel 'i seçin ve 'yi tıklayın. Oluşturun.
5. Profiliniz için bir ad ve açıklama girin ve İleri'yi tıklayın.
6. Yapılandırma ayarları sayfasında Ekle'yi tıklayın.
7. Satır Ekle açılır pencerelerinde bilgileri tamamlayın:
- Ad: yapılandırmanız için bir ad seçin (bu, dağıtımı etkilemez)
- OMA-URI: ./User/Vendor/MSFT/VPNv2/
/ProfileXML - Kalın yazılmış metni VPN profilinizin adına göre değiştirin, bu, XML dosyanızda - Özel XML: Klasör simgesini seçin ve daha önce oluşturduğunuz XML dosyasını yükleyin.
8. Hazır olduğunuzda Kaydet'i ve ardından İleri'yi tıklayın.
9. Atamalar sekmesinde, profilinin uygulanmasını istediğiniz tüm kullanıcı veya cihaz gruplarını ekleyin ve İleri'yi tıklayın.
10. Kalan ayarlar arasında İleri 'yi tıklayın ve ardından İncele + kaydet'i tıklayın.
Son kullanıcı deneyimi
Son kullanıcı için, başlangıçta Azure VPN İstemcisi yüklendikten sonra istemcinin Windows başlat menüsünde göründüğünü görecektir:
Profil dağıtılmadan önce son kullanıcılara başka bir bildirim yapılmayacaktır.
Cihaz Intune ile senkronize edildikten hemen sonra VPN profili dağıtıldığında, bir açılır bildirim alacaklar ve ayrıca bildirim alanlarında bir bildirim kaydı alacaklar.
Kullanıcının bildirime tıklaması gerekir, ardından Azure VPN İstemcisi açılacaktır.
Tek yapmaları gereken, Bağlan 'ı tıklamak ve iş e-postalarıyla etkileşimli giriş isteminde oturum açmaktır; VPN başarılı bir şekilde bağlanacaktır. Bağlantıyı Kes seçeneğini tıkladıklarında VPN'nin bir veya iki saniye sonra otomatik olarak yeniden bağlanacağını fark edeceksiniz.