En este post vamos a ver cómo desplegar y configurar dos firewalls OPNSense en modo clúster HA en Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar es acceder a este link de dmauser, aquí vamos a encontrar un desarrollo para desplegar dos firewalls OPNSense sobre FreeBSD en modo cluster HA Activo-Activo:

• Se nos abrirá esta plantilla para el despliegue de OPNSense, sobre Deployment Scenarios le indicamos la suscripción, el grupo de recursos, la región y muy importante OPNSense Scenario que le indicamos Active-Active:

• Sobre Virtual Machine Settings le indicamos el nombre y tamaño de máquina, la URL para la descarga del script, la versión de OPNSense y la versión del agente de Azure:

• Para el despliegue y la configuración de la red virtual en Azure, vamos a seleccionar un espacio de direcciones en la red virtual, y le configuraremos las distintas subredes que va a utilizar el firewall y la que utilizaremos como la red local de Azure dónde se conectarán nuestras máquinas virtuales (ésta última la configuraremos a posteriori de la plantilla de despliegue):
• Red virtual: opnsenseha-vnet168.128.0/18
• Subred Externa: Untrusted-Subnet168.191.0/27
• Subred Interna: Trusted-Subnet168.191.32/27
• LAN Azure: SubnetLAN-192_168_128_0-24
• DMZ Azure: SubnetLAN-192_168_129_0-24

• Sobre Virtual Network Settings estas serían las configuraciones para nuestra infraestructura:

• Sobre Revisar y crear, nos muestra un resumen de todas las configuraciones realizadas, comenzamos a Crear todos los recursos de la plantilla OPNSense deployment:

• Como podemos ver, comienza el despliegue:

• Aquí vemos que ya ha terminado y se ha implementado correctamente, podemos ver, los distintos recursos que ha creado el despliegue de esta plantilla:

• Accedemos al grupo de recursos y vemos todos los recursos que se nos han creado, entre ellos, dos firewalls opnsense (primario y secundario), dos Load Balancer (Externo e Interno) y una IP pública:

• Ahora vamos a clicar sobre la máquina virtual opnsense-Primary:

• En la máquina virtual accedemos a Configuración de red y cómo podemos ver tenemos dos interfaces de red, una es la interface WAN de OPNSense que tiene asignada una IP privada del rango de la subred Untrusted, y la otra es la interface LAN que tiene asignada una IP privada del rango de la subred Trusted:

• Debemos de configurar las IPs privadas como estáticas, tanto la WAN cono la LAN:

• Para la máquina opnsense-Secondary hacemos lo mismo:

• Otro de los recursos que se han creado es el Load Balancer Interno:

• Sobre Configuración de IP de front-end, vemos que la IP asignada es una IP del rango de la subred Trusted:

• Sobre Grupos de back-end, vemos que tenemos asignados los dos firewall opnsense en su interface Trusted:

• Sobre Sondeos de estado, vemos que tenemos uno agregado para el protocolo TCP puerto 443:

• Sobre Reglas de equilibrio de carga, vemos que tenemos una regla configurada para equilibrar la carga entre los dos firewalls:

• Otro de los recursos que se han creado es el Load Balancer Externo:

• Sobre Configuración de IP de front-end, vemos que la IP asignada es una IP pública, que será la que nos dará la entrada y salida desde y hacia la WAN:

• Sobre Grupos de back-end, vemos que tenemos asignados los dos firewall opnsense en su interface Untrusted:

• Sobre Sondeos de estado, vemos que tenemos uno agregado para el protocolo TCP puerto 443:

• Sobre Reglas de equilibrio de carga, vemos que tenemos una regla configurada a modo de ejemplo para definir cómo se distribuye el tráfico entrante a todas las instancias del grupo de back-end, en este ejemplo sería una regla creada en el puerto 3389 para equilibrar la carga del tráfico RDP:

• Sobre Regla NAT de entrada, tenemos dos reglas configuradas para el acceso a los firewalls opnsense a través de su IP pública, al firewall primario se accede por el puerto 50443 y al firewall secundario por el puerto 50444, que como vemos está mapeado al puerto 443 de cada firewall:

• Sobre Reglas de salida, tenemos configurada una regla para la salida a la WAN de nuestra infraestructura, con esta regla todas las máquinas ubicadas detrás de los firewalls van a salir a Internet con la IP pública de nuestro load balancer externo:

• Para acceder a los firewalls accedemos a través de su IP pública, https://PublicIP:50443 para el primario y https://publicip:50444 para el secundario, las credenciales por defecto son root/opnsense:

• Lo primero que vamos a configurar en los firewall opnsense, va a ser la configuración de HA.
• Nos vamos primero al firewall primario y sobre System > High Availability > Settings configuramos el peer del firewall secundario:

• Ahora accedemos al firewall secundario y sobre System > High Availability > Settings configuramos el peer del firewall primario:

• Accedemos de nuevo al firewall primario y sobre System > High Availability > Status sincronizamos y reconfiguramos todo, una vez configurado este cambio, todo lo que hagamos y configuremos en el firewall opnsense primario se va a replicar en el firewall opnsense secundario:

• Veamos un ejemplo, hemos configurado los servidores NTP en el firewall primario:

• Sincronizamos todos los servicios:

• Una vez que se ha sincronizado todo, si accedemos al firewall secundario, vemos que la configuración de los servidores NTP se ha replicado correctamente:

• Como comentamos anteriormente, vamos a configurar la red local de Azure dónde se conectarán nuestras máquinas virtuales, LAN Azure: SubnetLAN-192_168_128_0-24 y DMZ Azure: SubnetDMZ-192_168_129_0-24:

• Lo siguiente que vamos a desplegar y configurar es una tabla de rutas UDR (User Definition Routes) en Azure.
• Accedemos al Marketplace, buscamos Route table y damos a crear:

• Sobre Básico le indicamos el grupo de recursos, la región, le damos un nombre y le indicamos que propague las rutas de puerta de enlace:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la tabla de rutas:

• Aquí vemos que se ha implementado correctamente:

• Accedemos al recurso y sobre subredes vamos a asociar las subredes LAN y DMZ que configuramos anteriormente, estas subredes son dónde vamos a ubicar las máquinas virtuales de nuestra infraestructura en Azure:

• Como podemos ver, ya las tenemos asociadas:

• Ahora vamos a configurar las rutas, para ello, accedemos a Rutas > Agregar:

• La primera ruta que vamos a agregar, será la ruta por defecto:

• La siguiente ruta será para el acceso a la subred LAN dónde vamos a ubicar nuestras máquinas virtuales:

• La siguiente ruta será para el acceso a la subred DMZ dónde vamos a ubicar nuestras máquinas virtuales:

• Aquí vemos las rutas agregadas:

• Sobre Información general en la tabla de rutas, podemos ver, todo lo que se ha configurado:

• Una vez configurada la tabla de rutas, accedemos a nuestro OPNSense HA en Azure, y nos vamos a crear estas dos rutas estáticas, la primera es la ruta por defecto, para que todo lo que no se encuentre en la tabla de enrutamiento del OPNSense lo envíe por la interface WAN al gateway de la subred Untrusted, y la segunda ruta son para servicios internos de Azure, para que lo envíe por la interface LAN al gateway de la subred Trusted:

• Para todas las demás configuraciones de opnsense, podemos seguir los enlaces a estos post creados hace algún tiempo en el blog.

Saludos y espero que os sea de ayuda

En este post vamos a ver como migrar una IP pública con SKU Basic a SKU Stantard en Microsoft Azure, a partir del 30 de septiembre de 2025, las direcciones IP públicas con SKU básicas se retirarán en Azure, las vamos a poder seguir utilizando hasta entonces; sin embargo, ya no vamos a poder crear nuevas después del 31 de marzo de 2025, para evitar posibles interrupciones del servicio, debemos actualizar a direcciones IP públicas con SKU estándar antes del 30 de septiembre de 2025, aquí vamos a ver cómo hacerlo.

• Aquí vemos que tenemos una IP pública con SKU basic, asignada a la interface de red de una máquina virtual:

• Para migrarla a SKU standard, lo primero que tenemos que hacer es desasociarla de la interface de red de la máquina virtual:

• Le indicamos que Sí:

• Una vez que la hemos desasociado de la interface de red de la máquina virtual, vamos a pinchar sobre el enlace que nos proporciona el portal de Azure, Actualizar a la SKU estándar: Microsoft recomienda una dirección IP pública de SKU estándar para las cargas de trabajo de producción:

• Lo confirmamos y le indicamos que Sí:

• Como podemos ver, ya tenemos nuestra IP pública migrada a SKU Standard:

• Para terminar, volvemos a asociarla a la interface de red de la máquina virtual:

• Seleccionamos la interface de red y aceptamos:

• Como podemos ver, ya la tenemos de nuevo asociada:

• Y ya saben a migrar se ha dicho.

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar una VPN site to site entre dos redes virtuales de Azure.

Las redes virtuales pueden estar en distintas regiones y provenir de distintas suscripciones. Al conectar redes virtuales provenientes de distintas suscripciones, no es necesario que las suscripciones estén asociadas con el mismo inquilino. Este tipo de configuración crea una conexión entre dos puertas de enlace de red virtual.

Configurar una conexión de red virtual a red virtual es una forma sencilla de conectar redes virtuales. Cuando conecta una red virtual a otra mediante el tipo de conexión entre redes virtuales (VNet2VNet) es parecida a la creación de una conexión IPsec de sitio a sitio en una ubicación local. Ambos tipos de conectividad usan una puerta de enlace de VPN para proporcionar un túnel seguro mediante IPsec/IKE y funcionan de la misma forma en lo relativo a la comunicación. Sin embargo, la manera en que se configura la puerta de enlace de red local es distinta.

Cuando se crea una conexión de red virtual a red virtual, el espacio de direcciones de la puerta de enlace de red local se crea y rellena automáticamente. Si actualiza el espacio de direcciones de una de las redes virtuales, la otra enruta automáticamente al espacio de direcciones actualizado. Por lo general, es más rápido y sencillo crear una conexión de red virtual a red virtual que una conexión de sitio a sitio. Sin embargo, la puerta de enlace de red local no está visible en esta configuración.

Fuente: Microsoft Learn vpns2svnettovnet

Esta será la topología utilizada en esta configuración:

• Antes de empezar, vamos a explicar la configuración que va a tener nuestra infraestructura.
• Para VNet1:

• Configuración de la red virtual.
• Name: vnet1
• Espacio de direcciones:10.1.0.0/16
• Suscripción: Seleccionamos nuestra suscripción
• Grupo de recursos: vpnvnet1-rg
• Ubicación: Oeste de Europa
• Subred
• Name: lan1vnet1
• Intervalo de direcciones:10.1.1.0/24

• Configuración de puerta de enlace de red virtual.
• Name: vnet1gw
• Grupo de recursos: Oeste de Europa
• Generación: Generación 2
• Tipo de puerta de enlace: VPN
• Tipo de VPN: Basada en rutas
• SKU: VpnGw2
• Generación: generación 2
• Red virtual: vnet1
• Intervalo de direcciones de subred de puerta de enlace:10.1.255.0/27
• Dirección IP pública: Crear nuevo
• Nombre de dirección IP pública: vnet1gwpip
• Habilitar el modo activo/activo: deshabilitado
• Configurar BGP: deshabilitado

• Conexiones.
• Tipo de conexión: Seleccionamos de red virtual a red virtual
• Establecer conectividad bidireccional: Seleccionar este valor
• Nombre de la primera conexión: vnet1-to-vnet2
• Nombre de la segunda conexión: vnet2-to-vnet1
• Región: Oeste de Europa
• Configuración:
• Primera puerta de enlace de red virtual: Seleccionamos vnet1gw
• Segunda puerta de enlace de red virtual: Seleccionamos vnet2gw
• Clave compartida (PSK): En este campo, escribimos una clave compartida para la conexión, dicha clave podemos generarla o crearla manualmente, en una conexión de sitio a sitio, la clave que usa es la misma del dispositivo local y de la conexión de puerta de enlace de red virtual, aquí el concepto es similar, salvo en que en lugar de conectarse a un dispositivo VPN, la conexión se establece con otra puerta de enlace de red virtual.
• Protocolo IKE: IKEv2

• Para VNet2:

• Configuración de la red virtual.
• Name: vnet2
• Espacio de direcciones:10.2.0.0/16
• Suscripción: Seleccionamos nuestra suscripción
• Grupo de recursos: vpnvnet2-rg
• Ubicación: Oeste de Europa
• Subred
• Name: lan1vnet2
• Intervalo de direcciones:10.2.1.0/24

• Configuración de puerta de enlace de red virtual.
• Name: vnet2gw
• Grupo de recursos: Oeste de Europa
• Generación: Generación 2
• Tipo de puerta de enlace: VPN
• Tipo de VPN: Basada en rutas
• SKU: VpnGw2
• Generación: generación 2
• Red virtual: vnet2
• Intervalo de direcciones de subred de puerta de enlace:10.2.255.0/27
• Dirección IP pública: Crear nuevo
• Nombre de dirección IP pública: vnet2gwpip
• Habilitar el modo activo/activo: deshabilitado
• Configurar BGP: deshabilitado

• Conexiones.
• Tipo de conexión: Seleccionamos de red virtual a red virtual
• Establecer conectividad bidireccional: Seleccionar este valor
• Nombre de la primera conexión: vnet1-to-vnet2
• Nombre de la segunda conexión: vnet2-to-vnet1
• Región: Oeste de Europa
• Configuración:
• Primera puerta de enlace de red virtual: Seleccionamos vnet1gw
• Segunda puerta de enlace de red virtual: Seleccionamos vnet2gw
• Clave compartida (PSK): En este campo, escribimos una clave compartida para la conexión, dicha clave podemos generarla o crearla manualmente, en una conexión de sitio a sitio, la clave que usa es la misma del dispositivo local y de la conexión de puerta de enlace de red virtual, aquí el concepto es similar, salvo en que en lugar de conectarse a un dispositivo VPN, la conexión se establece con otra puerta de enlace de red virtual.
• Protocolo IKE: IKEv2

• Empezaremos creando la red virtual vnet1, para ello, accedemos a Redes virtuales > Crear:

• Sobre Datos básicos, le indicamos, el grupo de recursos, el nombre y la región:

• Sobre Seguridad, no vamos a configurar nada, lo dejamos por defecto:

• Sobre Direcciones IP, configuramos el espacio de direcciones, y nos creamos las subredes para lan, dónde irán ubicadas las máquinas virtuales, y para la puerta de enlace de red virtual:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado, si todo está bien, damos a Crear:

• Vemos que comienza a crearse:

• Aquí vemos que ya se ha completado, accedemos al nuevo recurso de vnet creado:

• Para la red virtual vnet2, seguimos los mismos pasos, cambiando el espacio de direcciones y el rango de las subredes:

• Una vez creadas las redes virtuales, vamos a crear la puerta de enlace de red virtual para la vnet1, para ello, accedemos a Puerta de enlace de red virtual > Crear:

• Sobre Datos básicos, vamos a introducir los valores descritos anteriormente:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado y que la validación ha sido superada, si todo está bien, damos a Crear:

• Una puerta de enlace puede tardar hasta 45 minutos en crearse e implementarse completamente, aquí podemos ver que la implementación se ha completado correctamente:

• Si nos vamos a Puertas de enlace de red virtual, podemos ver que ya la tenemos creada:

• La puerta de enlace de red virtual para la vnet2, se crea exactamente igual que para la vnet1, dónde también, vamos a introducir los valores descritos anteriormente:

• Si nos vamos a Puertas de enlace de red virtual, podemos ver que ya la tenemos creada:

• Una vez que ya tenemos, las dos puertas de enlace de red virtual creadas y configuradas, vamos a crear y configurar las conexiones entre estas dos puertas de enlace de red virtual, para ello, accedemos a Conexiones > Crear:

• Sobre Datos básicos, vamos a introducir los valores descritos anteriormente:

• Sobre Opciones, configuramos los parámetros descritos anteriormente:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado y que la validación ha sido superada, si todo está bien, damos a Crear:

• Como podemos ver, las conexiones se han creado correctamente:

• Si accedemos a Conexiones, podemos ver, que ya las tenemos creadas y conectadas:

• Ahora, para verificar que la VPN Site to Site entre VNets funciona correctamente, tenemos estas dos máquinas, una llamada litio en vnet1 y otra llamada sodio en vnet2, como podemos ver, ya tenemos comunicación entre ellas, a través de la VPN que hemos creado:

• Ahora vemos, que ya se está generando tráfico entre las dos conexiones:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar el tránsito de la puerta de enlace de VPN para el emparejamiento de red virtual, el emparejamiento de red virtual conecta perfectamente dos redes virtuales de Azure, combinando las dos redes virtuales en una sola, para favorecer la conectividad. El tránsito de puerta de enlace es una propiedad del emparejamiento que permite que una red virtual utilice la puerta de enlace de VPN en la red virtual emparejada para la conectividad entre redes locales o entre redes virtuales.

Esta será la topología utilizada en esta configuración:

• Antes de empezar, vamos a explicar cómo está configurada nuestra infraestructura.
• Para la parte On-premise, tenemos un firewall Fortigate, en el cuál, hay configurado una red dónde van ubicadas las máquinas de esta parte de la infraestructura y hay configurado un extremo de la VPN site to site entre la parte ON-premise y Azure, al final de estas explicaciones, os pondré un enlace a este mismo blog dónde se muestra como se configura esta VPN site to site.

• Esta es la VLAN que vamos a utilizar para la parte ON-premise:

• Aquí vemos la VPN site to site entre la parte On-premise y Azure levantada:

• Estas son las rutas estáticas hacia las redes virtuales de Azure:

• Para la parte Cloud en Azure, tenemos tres redes virtuales, una central, llamada hub-vnet, dónde se ubica la subred de puerta de enlace y dónde hemos configurado la puerta de enlace de red virtual que se encarga de la comunicación de la VPN site to site entre la parte On-premise y Azure, sobre esta vnet vamos a configurar el emparejamiento entre las vnets spoke1-vnet y spoke2-vnet y el tránsito de puerta de enlace que va a permitir comunicar estas dos vnets entre sí y va a permitir la comunicación también con la parte On-premise.
• Red virtual hub-vnet:

• Red virtual spoke1-vnet:

• Red virtual spoke2-vnet:

• Puerta de enlace de red virtual:

• Puerta de enlace de red local:

• Conexión:

• En este link os dejo como configurar una VPN site to site entre la parte On-premise y Azure.
• Una vez explicada toda la infraestructura, vamos a ver como configurar el emparejamiento entre redes virtuales y el tránsito de la puerta de enlace de VPN.
• Vamos a configurar el emparejamiento y el tránsito entre las redes virtuales hub-vnet y spoke1-vnet, para ello, accedemos a, red virtual hub-vnet > Emparejamientos > Agregar:

• Red virtual hub-vnet:
• Nombre del vínculo de emparejamiento: Asigne un nombre al vínculo, HubToSpoke1
• Tráfico hacia la red virtual remota: Permitir
• Tráfico reenviado desde la red virtual remota: Permitir
• Puerta de enlace de red virtual: Usar la puerta de enlace de esta red virtual o el servidor de rutas
• Red virtual spoke1-vnet:
• Nombre del vínculo de emparejamiento: Asigne un nombre al vínculo, Spoke1ToHub
• Tráfico hacia la red virtual remota: Permitir
• Tráfico reenviado desde la red virtual remota: Permitir
• Puerta de enlace de red virtual: Usar la puerta de enlace de red virtual remota o el servidor de rutas

• Como podemos ver, aquí tenemos los emparejamientos y el tránsito de puerta de enlace habilitado:

• El emparejamiento y el tránsito entre las redes virtuales hub-vnet y spoke2-vnet, se configura exactamente igual que el anterior:

• Para verificar que las máquinas virtuales de las redes virtuales spoke1-vnet y spoke2-vnet, se comunican con las máquinas virtuales del entorno on-premise, vamos a lanzar varios pings entre ellas.
• Máquina en red virtual spoke1-vnet:

• Máquina en red virtual spoke2-vnet:

• Máquina en red on-premise:

Saludos y espero que os sea de ayuda

En este post, vamos a ver cómo configurar el acceso administrativo a OPNSense vía web y SSH.

La topología que vamos a utilizar será esta:

• Primero, vamos a configurar el acceso administrativo a OPNSense vía web a través del puerto 30443, para ello, nos vamos a crear esta regla de entrada para el acceso interno a través de la VPN IPsec que ya tenemos configurada, Firewall > Rules > IPsec, le indicamos que desde un equipo de nuestra LAN on-premise vamos a poder acceder a la interface lan de opnsense en el puerto 30443:

• Si también queremos tener acceso, a través de la IP pública de OPNSense (interface WAN), accedemos a Firewall > Rules > WAN y nos creamos esta regla de entrada:

• Ahora desde System > Settings > Administration > Web GUI vamos a indicarle que el puerto de acceso es el 30443:

• En nuestro Fortigate on-premise hemos creado esta regla, para que el equipo de nuestra LAN on-premise tenga acceso al puerto 30443:

• Como podemos ver, ya tenemos acceso a la configuración web a través del puerto 30443:

• A continuación, vamos a configurar el acceso administrativo a OPNSense vía SSH a través del puerto 2490, para ello, nos vamos a crear esta regla de entrada para el acceso interno a través de la VPN IPsec que ya tenemos configurada, Firewall > Rules > IPsec, le indicamos que desde un equipo de nuestra LAN on-premise vamos a poder acceder a la interface lan de opnsense en el puerto 2490:

• Ahora desde System > Settings > Administration > Secure Shell vamos a indicarle que el puerto de acceso es el 2490:

• En nuestro Fortigate on-premise hemos creado esta regla, para que el equipo de nuestra LAN on-premise tenga acceso al puerto 2490:

• Como podemos ver, ya tenemos acceso a la configuración web a través del puerto 2490:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar un servidor LDAP en OPNSense, así nos vamos a poder autenticar al firewall opnsense con usuarios del Active Directory y configurar vpn de acceso remoto con usuarios del Active Directory.

La topología que vamos a utilizar será esta:

• Accedemos a System > Access > Servers > +:

• Introducimos los datos necesarios para conectarnos a nuestro Active Directory:

• Como podemos ver, ya lo tenemos creado:

• Ahora sobre Firewall > Rules > IPsec debemos de crearnos esta regla de salida, para que OPNSense pueda acceder al puerto LDAP (389) de uno de nuestros controladores de dominio:

• Ahora, como nuestros controladores de dominio los tenemos en la parte on-premise, detrás de un fortigate, y como ya tenemos configurada la VPN IPSec site to site, debemos de configurar esta regla, para que OPNSense pueda acceder al puerto LDAP (389) de uno de nuestros controladores de dominio:

• Para comprobar que todo funciona correctamente y que OPNSense se comunica con nuestro servidor LDAP de Active DIrectory, accedemos a System > Access > Tester e introducimos las credenciales de uno de nuestros usuarios del dominio, damos clic a Test, y si todo está correctamente configurado, podemos ver que el usuario se autentica:

• Una vez que ya tenemos comunicación con nuestro Active Directory, vamos a configurar que podamos hacer logon en el OPNSense con uno de nuestros usuarios del dominio, para ello, lo primero que nos vamos a crear es un grupo de administradores de LDAP, accedemos a System > Access > Groups > +:

• Le indicamos un nombre y una descripción:

• Como podemos ver, aquí lo tenemos creado:

• Ahora debemos de editar los permisos de este grupo, y le asignamos todos los privilegios:

• Una vez creado el grupo, OPNSense requiere que todas las cuentas de usuario LDAP existan en la base de datos local, por lo que procederemos a crear la cuenta, System > Access > Users > +, esta cuenta la añadimos como miembro del grupo que hemos creado, la password no tiene porque ser la del usuario del dominio, podemos poner otra, lo que hace OPNSense es verificar primero la base de datos del LDAP y luego la base de datos local, por lo que si ponemos otra password a este usuario podemos acceder con las dos password (una del LDAP y la otra Local):

• Como podemos ver, aquí tenemos el usuario creado:

• A continuación, vamos a habilitar la autenticación LDAP, para ello, accedemos a System > Settings > Administration > Authentication > Server y seleccionamos la autenticación por LDAP Active Directory como primera opción, y como segunda opción seleccionamos la base de datos local, clic a Save:

• Ahora ya podemos acceder con las credenciales de nuestro usuario del dominio:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo configurar una VPN site to site IPSEC entre un Fortigate on-premise y un OPNSense en Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar será acceder a nuestro Fortigate on-premise, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el primer extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al OPNSense de Azure y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver, ya tenemos el primer extremo de la VPN configurado, el de la parte on-premise:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Política IPv4 > Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia Azure:

• Lo segundo que vamos a realizar será acceder a nuestro OPNSense en Azure, y sobre Firewall > WAN > +, nos crearemos tres reglas de firewall para permitir el tráfico IPSEC a la interfaz WAN:

• Regla para IPSec ESP:

• Regla para IPSec ISAKMP puerto 500:

• Regla para IPSec NAT-T puerto 4500:

• Como podemos ver aquí tenemos las tres reglas creadas en la interface WAN:

• Ahora vamos a configurar la fase 1 de la VPN site to site, para ello, accedemos a VPN > IPSec > Connections > Tunnel Settings (legacy) > +:

• Como podemos ver, ya tenemos la fase 1 creada, habilitamos IPSec y aplicamos los cambios:

• Ahora vamos a configurar la fase 2 de la VPN site to site, para ello, accedemos a VPN > IPSec > Connections > Tunnel Settings (legacy) > +:

• Aplicamos los cambios:

• Como podemos ver, ya tenemos la fase 2 de la VPN site to site configurada:

• Para terminar, vamos a crear dos políticas, una de entrada y otra de salida para comunicar las dos subredes que tenemos, una en Azure y otra On-premise, para ello, accedemos a Firewall > Rules > IPSec > +:

• Regla de entrada:

• Regla de salida:

• Aquí vemos las dos reglas creadas:

• A continuación, sobre Firewall > Rules > LAN vamos a crear esta regla para permitir el tráfico entre la subred de Azure y la subred on-premise:

• Como podemos ver, ya tenemos el túnel IPSEC levantado.
• Fortigate On-premise:

• OPNSense Azure:

• Para verificar que todo funciona correctamente vamos a realizar un ping desde una máquina on-premise a una máquina en Azure y viceversa:

Saludos y espero que os sea de ayuda

En este post, vamos a ver cómo configurar las categorías y alias, estos alias serán los que vamos a aplicar posteriormente en las reglas del firewall.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a configurar serán las categorías, para ello, accedemos a Firewall > Categories > + y vamos añadiendo las que nos interesen:

• Por ejemplo, en este caso, nos hemos creado una llamada Web Access:

• Aquí vemos todas las que nos hemos creado:

• Una vez que nos hemos creado las categorías, podemos proceder a crear los Alias, vamos a mostrar ejemplos de alias para un solo puerto, dos puertos, un rango de puertos, host, grupo de hosts y red, para ello, accedemos a Firewall > Aliases > +:

• Empezamos por mostrar un ejemplo de un solo puerto, por ejemplo, para el servicio SSH:

• Ejemplo con dos puertos, SNMP:

• Ejemplo con un rango de puertos:

• Ejemplo con grupo rango de puertos, Windows Active Directory:

• Ejemplo con un solo host:

• Ejemplo con un grupo de hosts:

• Ejemplo para una red:

• Como resumen, nos quedaría algo parecido a esto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo realizar la configuración inicial y avanzada en nuestro firewall OPNSense en Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar será cambiar la password de root del sistema, para ello accedemos a Lobby > Password y procedemos a cambiarla:

• Esta password también la podemos cambiar desde System > Access > Users > root:

• Sobre System > Settings > General configuramos el nombre del host, dominio, zona horaria y los servidores DNS:

• Sobre Services > Network Time > General configuramos los servidores NTP:

• Las interfaces LAN y WAN las dejamos tal y como están, configuradas por DHCP, ya que en la propia máquina de Azure las hemos configurado con una IP estática:

• Sobre Firewall > Aliases vamos a configurar los distintos objetos que iremos utilizando en las reglas de filtrado del firewall OPNSense:

• Sobre Type podemos ver los distintos objetos que nos podemos ir creando, Host(s), Network(s), Port(s), etc… :

• Estos son los que nos hemos creado en un principio, esta lista irá en aumento a medida que vayamos necesitando objetos en nuestras reglas de filtrado:

• Sobre Firewall > Rules > WAN nos hemos creado esta regla de entrada (IN) para acceder al portal de configuración de OPNSense a través de otro puerto distinto al 443:

• Para habilitarlo, debemos ir a System > Settings > Administration y sobre TCP port configurar el puerto:

• Como vemos, ya podemos acceder a la configuración de OPNSense a través del puerto que hemos configurado:

• La regla que había configurada por defecto al puerto 443, la podemos deshabilitar:

• A continuación, vamos a configurar esta regla que permita todo el tráfico entre las máquinas de la misma subred dónde vamos a ubicar las máquinas virtuales de Azure, para ello accedemos a Firewall > Rules > LAN:

• Ahora vamos a habilitar la salida a Internet para las máquinas que nos montemos en Azure, para ello, accedemos a Firewall > NAT > Outbound seleccionamos Hybrid outbound NAT rule generation y nos creamos esta regla para en NATEO:

• Sobre Firewall > Rules > LAN nos debemos de crear esta regla de entrada (IN), esta regla va a permitir el tráfico saliente a Internet desde nuestra subred para máquinas virtuales en Azure, sólo permite el tráfico a Internet y no a otras IPs privadas, de ahí que marquemos el invert:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo desplegar y configurar una tabla de rutas UDR (User Definition Routes) en Azure.

La topología que vamos a utilizar será esta:

• Accedemos al Marketplace, buscamos Route table y damos a crear:

• Sobre Básico le indicamos el grupo de recursos, la región, le damos un nombre y le indicamos que propague las rutas de puerta de enlace:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la tabla de rutas:

• Aquí vemos que se ha implementado correctamente:

• Accedemos al recurso y sobre subredes vamos a asociar la subred LAN que configuramos anteriormente, esta subred es dónde vamos a ubicar las máquinas virtuales de nuestra infraestructura en Azure:

• Como podemos ver, ya la tenemos asociada:

• Ahora vamos a configurar las rutas, para ello, accedemos a Rutas > Agregar:

• La primera ruta que vamos a agregar, será la ruta por defecto:

• La siguiente ruta será para el acceso a la subred dónde vamos a ubicar nuestras máquinas virtuales:

• Aquí vemos las rutas agregadas:

• Una vez configurada la tabla de rutas, accedemos a nuestro OPNSense en Azure, y nos vamos a crear estas dos rutas estáticas, la primera es la ruta por defecto, para que todo lo que no se encuentre en la tabla de enrutamiento del OPNSense lo envíe por la interface WAN al gateway de la subred Untrusted, y la segunda ruta son para servicios internos de Azure, para que lo envíe por la interface LAN al gateway de la subred Trusted:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar un firewall OPNSense en Azure con dos interfaces de red.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar es acceder a este link de dmauser, aquí vamos a encontrar un desarrollo para desplegar un firewall OPNSense sobre FreeBSD con dos NICs:

• Se nos abrirá esta plantilla para el despliegue de OPNSense, sobre Deployment Scenarios le indicamos la suscripción, el grupo de recursos, la región y muy importante OPNSense Scenario que le indicamos TwoNics:

• Sobre Virtual Machine Settings le indicamos el nombre y tamaño de máquina, la URL para la descarga del script, la versión de OPNSense y la versión del agente de Azure:

• Para el despliegue y la configuración de la red virtual en Azure, vamos a seleccionar un espacio de direcciones en la red virtual, y le configuraremos las distintas subredes que va a utilizar el firewall y la que utilizaremos como la red local de Azure dónde se conectarán nuestras máquinas virtuales (ésta última la configuraremos a posteriori de la plantilla de despliegue):
• Red virtual: opnsense-vnet 192.168.128.0/18
• Subred Externa: Untrusted-Subnet 192.168.191.0/27
• Subred Interna: Trusted-Subnet 192.168.191.32/27
• LAN Azure: SubnetLAN-192_168_128_0-24

• Sobre Virtual Network Settings estas serían las configuraciones para nuestra infraestructura:

• Sobre Revisar y crear, nos muestra un resumen de todas las configuraciones realizadas, comenzamos a Crear todos los recursos de la plantilla OPNSense deployment:

• Como podemos ver, comienza el despliegue:

• Aquí vemos que ya ha terminado y se ha implementado correctamente, podemos ver, los distintos recursos que ha creado el despliegue de esta plantilla:

• Ahora accedemos al grupo de recursos y clicamos sobre la máquina virtual:

• En la máquina virtual accedemos a Redes y cómo podemos ver tenemos dos interfaces de red, una es la interface WAN de OPNSense que tiene una IP privada y otra pública, y la otra es la interface LAN que solo tiene una IP privada:

• Debemos de configurar las IPs privadas como estáticas, tanto la WAN cono la LAN:

• Para acceder al firewall accedemos a través de su IP pública, https://PublicIP, las credenciales por defecto son root/opnsense, en un post posterior veremos cómo se cambia:

• Este sería el Dashboard principal de OPNsense, en los próximos post realizaremos las configuraciones básicas y avanzadas:

• Como comentamos anteriormente, vamos a configurar la red local de Azure dónde se conectarán nuestras máquinas virtuales, LAN Azure: SubnetLAN-192_168_128_0-24:

Saludos y espero que os resulte de ayuda

En estos posts vamos a ver cómo desplegar y configurar un firewall OPNSense en Azure.

La topología que vamos a utilizar será esta:

Este post lo vamos a dividir en:

• Despliegue Firewall OPNSense en Azure
• Desplegar y configurar tabla de rutas UDR en Azure
• Configuración inicial y avanzada OPNSense
• Configurar Categorías y Alias
• VPN site to site IPSEC entre Fortigate on-premise y OPNSense Azure
• Configurar servidor LDAP en OPNSense
• Acceso administración Web y SSH OPNSense

Saludos.

En este post vamos a ver cómo configurar una VPN site to site IPSEC entre Fortigate on-premise y Fortigate Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar será acceder a nuestro Fortigate on-premise, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el primer extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al Fortigate de Azure y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver ya tenemos el primer extremo de la VPN configurado, el de la parte on-premise:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Política IPv4 > Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia Azure:

• Lo segundo que vamos a realizar será acceder a nuestro Fortigate en Azure, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el segundo extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al Fortigate on-premise y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver ya tenemos el segundo extremo de la VPN configurado, el de la parte de Azure:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Firewall Policy> Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia nuestro entorno on-premise:

• Como podemos ver, ya tenemos el túnel IPSEC levantado:

• Para verificar que todo funciona correctamente vamos a realizar un ping desde una máquina on-premise a una máquina en Azure y viceversa:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar y configurar una tabla de rutas en Azure.

La topología que vamos a utilizar será esta:

• Accedemos al Marketplace, buscamos Route table y damos a crear:

• Sobre Básico le indicamos el grupo de recursos, la región, le damos un nombre y le indicamos que propague las rutas de puerta de enlace:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la tabla de rutas:

• Como podemos ver, comienza a implementar la tabla de rutas:

• Aquí vemos que se ha implementado correctamente:

• Accedemos al recurso y sobre subredes vamos a asociar la subred LAN que configuramos anteriormente, esta subred es dónde vamos a ubicar las máquinas virtuales de nuestra infraestructura en Azure:

• Como podemos ver, ya la tenemos asociada:

• Ahora vamos a configurar las rutas, para ello, accedemos a Rutas a Agregar:

• La primera ruta que vamos a agregar, será la ruta por defecto:

• La siguiente ruta será para el acceso a la subred dónde vamos a ubicar nuestras máquinas virtuales:

• Aquí vemos las rutas agregadas:

• Una vez configurada la tabla de rutas, accedemos a nuestro Fortigate en Azure, y nos vamos a crear estas tres rutas estáticas, la primera es la ruta por defecto, para que todo lo que no se encuentre en la tabla de enrutamiento del Forti lo envíe por la interface WAN al gateway de la subred external, la segunda ruta es para que todo lo configurado en el espacio de direcciones de la red virtual lo envíe por la interface LAN al gateway de la subred internal, y la tercera ruta son para servicios internos de Azure para que lo envíe por la interface LAN al gateway de la subred internal:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar un firewall Fortigate en Azure a través del Marketplace.

La topología que vamos a utilizar será esta:

• Accedemos al Marketplace, buscamos por fortigate y seleccionamos la opción Fortinet FortiGate Next-Generation Firewall > Crear > Single VM:

• En el despliegue del firewall sobre Básico le indicamos el grupo de recursos, la región, las credenciales de usuario, el prefijo del nombre, tipo de licencia y la versión de la imagen del Fortigate:

• Sobre Instance le indicamos el tamaño de máquina, le adjuntamos la licencia y le indicamos el nombre:

• Sobre Networking le indicamos la red virtual que vamos a utilizar y las subredes del firewall que ya configuramos en un post anterior:

• Sobre Public IP configuramos una IP pública básica y estática:

• Sobre Advanced no tocamos nada ya que no tenemos configurado FortiManager:

• Nos muestra un resumen de todas las configuraciones realizadas, comenzamos a crear la máquina:

• Como podemos ver, comienza el despliegue:

• Aquí vemos que ya ha terminado y se ha implementado correctamente:

• Ahora accedemos al grupo de recursos y clicamos sobre la máquina virtual:

• En la máquina virtual accedemos a Redes y cómo podemos ver tenemos dos interfaces de red, una es la interface WAN del Fortigate que tiene una IP privada y otra pública, y la otra es la interface LAN que solo tiene una IP privada:

• Para acceder al firewall accedemos a través de su IP pública:

• Le aplicamos un alias a sus interfaces como WAN y LAN:

• Y así nos quedaría:

• También configuramos el acceso a nuestro Fortigate para que lo haga a través del puerto 30443:

• Como podemos ver, ahora tenemos que acceder a través del puerto configurado:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo desplegar y configurar una red virtual en Azure para firewall Fortigate.

La topología que vamos a utilizar será esta:

• Empezaremos con el despliegue y la configuración de la red virtual en Azure, para ello, vamos a seleccionar un espacio de direcciones en la red virtual, y le configuraremos las distintas subredes que va a utilizar el firewall y la que utilizaremos como la red local de Azure dónde se conectarán nuestras máquinas virtuales:
• Red virtual: rgs-firewall-vnet 192.168.128.0/18
• Subred Externa: ExternalSubnetFortigate 192.168.191.0/27
• Subred Interna: InternalSubnetFortigate 192.168.191.32/27
• Subred Protected: ProtectedSubnetFortigate 192.168.191.64/27
• LAN Azure: Subvnet_rgs_192.168.130.0-24_LAN 192.168.130.0/24

• Todos los recursos creados los vamos a ubicar dentro de este grupo de recursos:

• Nos creamos la red virtual, dónde en Datos básicos le indicamos, el grupo de recursos y el nombre:

• En Seguridad lo dejamos por defecto:

• En Direcciones IP configuramos el espacio de direcciones y las subredes que vamos a utilizar:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la red virtual:

• Como podemos ver, el recurso de red virtual se ha creado correctamente, podemos ir al recurso:

• Dónde podemos ver el Espacio de direcciones configurado y las Subredes que vamos a utilizar para desplegar el firewall Fortigate y para ubicar nuestras máquinas virtuales:

Saludos y espero que os sea de ayuda

En estos posts vamos a ver cómo desplegar y configurar un firewall Fortigate en Azure.

La topología que vamos a utilizar será esta:

Este post lo vamos a dividir en:

• Despliegue y configuración red virtual en Azure para Firewall Fortigate
• Despliegue Firewall Fortigate en Azure desde Marketplace
• Desplegar y configurar tabla de rutas en Azure
• VPN site to site IPSEC entre Fortigate on-premise y Fortigate Azure

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear y configurar el emparejamiento de redes virtuales en Azure, la manera más sencilla y rápida de conectar las redes virtuales es usar el emparejamiento de red virtual. El emparejamiento de redes virtuales permite conectar sin problemas dos redes virtuales de Azure. Una vez emparejadas, a efectos de conectividad las redes virtuales aparecen como una sola. Existen dos tipos de emparejamiento de red virtual:

• El emparejamiento de red virtual regional, conecta redes virtuales de Azure de la misma región.
• El emparejamiento de VNet, conecta redes virtuales de Azure de regiones diferentes. Al crear un emparejamiento global, las redes virtuales emparejadas pueden existir en cualquier región de la nube pública de Azure, pero no en las regiones de la nube de Government. Solo se pueden emparejar redes virtuales de la misma región que existan en regiones de la nube de Azure Government.

Las ventajas del uso del emparejamiento de red virtual local o global son las siguientes:

• Privado, el tráfico de red entre redes virtuales emparejadas es privado. El tráfico entre las redes virtuales se mantiene en la red troncal de Microsoft. No se requieren ninguna red pública de Internet, puertas de enlace o cifrado en la comunicación entre las redes virtuales.
• Rendimiento, baja latencia, conexión de gran ancho de banda entre los recursos de redes virtuales diferentes.
• Comunicación, la capacidad para que los recursos de una red virtual se comuniquen con los recursos de otra red virtual diferente, una vez que las redes virtuales estén emparejadas.
• Fluidez, la capacidad para transferir datos a través de las suscripciones de Azure, los modelos de implementación y entre las distintas regiones de Azure.
• Sin interrupciones, no tienen tiempo de inactividad ni los recursos de la red virtual al crear el emparejamiento, o después.

Fuente: Azure AZ-104 Microsoft Learn

• Para crear y configurar el emparejamiento de redes virtuales, debemos de tener ya creadas dos redes virtuales, para crear una red virtual podemos seguir este post que ya realizamos hace algún tiempo, como podemos ver aquí, tenemos creadas estas dos redes virtuales:

• Para agregar y configurar un emparejamiento de redes virtuales, nos situamos sobre cualquiera de las redes que queremos emparejar, y vamos a Emparejamientos > Agregar:

• Configuramos un nombre para el vínculo de emparejamiento de la vnet1 a la vnet2, y las demás opciones las dejamos por defecto, para la red remota, también debemos de configurar un nombre para el vínculo de emparejamiento de la vnet2 a la vnet1, e indicarle la red virtual, las demás opciones las dejamos por defecto, damos clic a Agregar:

• Si nos situamos sobre la vnet1 > Emparejamientos, podemos ver cómo está conectada a la vnet2:

• Y si nos situamos sobre la vnet2 > Emparejamientos, podemos ver cómo está conectada a la vnet1:

• Para comprobar que todo funciona correctamente, tenemos dos máquinas virtuales, cada una situada en una red virtual de las que hemos emparejado.
• La máquina ubuntu1 la tenemos sobre la red virtual ragasys-test1-vnet, y la máquina ubuntu2 la tenemos sobre la red virtual ragasys-test2-vnet:

• Vamos a hacer un ping de la máquina Ubuntu1 a Ubuntu2 y viceversa, cómo podemos ver, se comunican perfectamente ambas máquinas estando en redes virtuales distintas:

Saludos y espero que os sea de ayuda

En este post vamos a ver las Redes Virtuales en Microsoft Azure, al igual que en nuestro entorno on-premise tenemos redes físicas para comunicar los dispositivos, en Azure disponemos de las redes virtuales para comunicar recursos, servicios, máquinas virtuales, App Services, etc… o también comunicar nuestra infraestructura de Azure con nuestro entorno on-premise.

• En este enlace de Microsoft podemos ver las funcionalidades de las redes en Azure
• Antes de empezar a crear redes virtuales y subredes, debemos de planificar y diseñar nuestro entorno de red, en este enlace de Microsoft os dejo algo de documentación muy interesante, dónde nos habla de cómo planificar y diseñar Azure Virtual Network.
• En nuestro caso, vamos crearnos una Virtual Network que se encuentra en el segmento 192.168.128.0/18, y a partir de esta Red nos iremos creando subredes a medida que las vayamos necesitando y con los tamaños que requiera nuestra infraestructura, para empezar, crearemos la subred 192.168.128.0/24 para LAN y la subred 192.168.131.0/27 para la subred de puerta de enlace, que utilizaremos más adelante para conectar nuestra VPN Site to Site entre Azure y nuestro entorno on-premise:

• Para crearnos la Red Virtual, accedemos a Redes virtuales > Crear:

• Se nos abrirá un asistente para empezar con la creación de la Red virtual, y sobre Datos básicos vamos a indicarle, la suscripción, el grupo de recursos que nos creamos anteriormente, el nombre de la Red virtual y la Región dónde la ubicaremos, clic en Siguiente:

• Sobre Direcciones IP le asignamos el Espacio de direcciones IPv4 que queremos utilizar para nuestra infraestructura, y agregaremos la primera subred, que llamaremos LAN y le asignaremos el intervalo de direcciones correspondiente:

• Nos quedaría de la siguiente manera, clic en Siguiente:

• Sobre Seguridad podemos habilitar estas opciones que consumirían un costo adicional, en principio, no habilitamos nada, más adelante podemos ir habilitando funcionalidades a medida que las necesitemos, clic en Siguiente:

• Sobre Etiquetas las podemos configurar ahora o a posteriori, en mi caso, no vamos a configurar ninguna en este momento, ya dedicaremos un post a las Etiquetas, que como veremos pueden ser muy útiles, clic en Siguiente:

• Aquí nos muestra un resumen de las configuraciones y que la validación ha sido superada, clic sobre Crear:

• Podemos ver que la implementación se ha completado correctamente:

• Si nos vamos a redes virtuales, podemos ver que ya la tenemos creada:

• Si accedemos a la Virtual Network, tendremos las distintas opciones para poder configurarla y administrarla:

• Por ejemplo, si nos vamos a Subredes, podemos crearnos las subredes que nos vayan interesando, en nuestro caso, vamos a crearnos la Subred de puerta de enlace que utilizaremos para la VPN site to site:

• Por defecto, le agrega el nombre GatewaySubnet, le asignamos el intervalo de direcciones de subred que queremos utilizar, clic sobre Guardar:

• Como podemos ver, ya la tenemos creada:

• Si nos vamos a la opción de Diagrama, vemos como Azure nos va dibujando nuestra topología:

Saludos y espero que os sea de ayuda