Domande frequenti su gestione rete virtuale di Azure

Questo articolo risponde alle domande frequenti su gestione rete virtuale di Azure.

Generale

Quali aree di Azure supportano gestione rete virtuale di Azure?

Per informazioni aggiornate sul supporto regionale, fare riferimento a Prodotti disponibili in base all'area.

Quali sono i casi d'uso comuni di gestione rete virtuale di Azure?

• È possibile creare gruppi di rete per soddisfare i requisiti di sicurezza del proprio ambiente e delle relative funzioni. Ad esempio, è possibile creare gruppi di rete per gli ambienti di produzione e di test per gestire la connettività e le regole di sicurezza su larga scala.

  Per le regole di amministrazione della sicurezza, è possibile creare una configurazione di amministratore della sicurezza con due raccolte regole. Ogni raccolta di regole è destinata rispettivamente ai gruppi di rete di produzione e di test. Dopo la distribuzione, questa configurazione applica un set di regole di amministrazione della sicurezza per le risorse di rete per l'ambiente di produzione e un altro set per l'ambiente di test.

• È possibile applicare configurazioni di connettività per creare una topologia di rete mesh o hub-and-spoke per un numero elevato di reti virtuali tra le sottoscrizioni dell'organizzazione.

• È possibile negare il traffico ad alto rischio. In qualità di amministratore di un'organizzazione, è possibile bloccare protocolli o origini specifici che eseguono l'override di tutte le regole del gruppo di sicurezza di rete che normalmente consentono il traffico.

• È possibile forzare l'autorizzazione del traffico. Ad esempio, è possibile consentire a uno specifico scanner di sicurezza di avere sempre la connettività in ingresso a tutte le risorse, anche se le regole del gruppo di sicurezza di rete sono configurate per negare il traffico.

Qual è il costo dell'uso di gestione rete virtuale di Azure?

Gli addebiti di Gestione rete virtuale di Azure si basano sul numero di reti virtuali con una configurazione di Virtual Network Manager attiva distribuita al suo interno. Ad esempio, se un ambito di Virtual Network Manager contiene 100 reti virtuali, ma le configurazioni sono state distribuite solo in 5 di tali reti virtuali, verranno addebitati i costi per tali 5 reti virtuali (non tutte le 100). Si noti anche che un addebito per il peering si applica al volume di traffico delle reti virtuali gestite da una configurazione di connettività distribuita (mesh o hub-spoke).

Se in una rete virtuale sono presenti più configurazioni distribuite dalla stessa istanza di Virtual Network Manager, tale rete virtuale comporta solo una singola tariffa di addebito; non duplicerà gli addebiti. Ad esempio, se Gestione reti virtuali distribuisce sia una configurazione di connettività che una configurazione di amministratore della sicurezza nello stesso set di 5 reti virtuali, verranno addebitati i costi per tali 5 reti virtuali, ma non vengono addebitati due volte. Questo costo non tiene conto di più configurazioni a meno che le configurazioni non provengano da istanze di Virtual Network Manager diverse.

Prima di marzo 2025, gli addebiti di Gestione rete virtuale di Azure sono basati per impostazione predefinita sul numero di sottoscrizioni che contengono una rete virtuale con una configurazione di Virtual Network Manager attiva distribuita su di essa. Se l'istanza di Virtual Network Manager è stata creata prima di marzo 2025, è possibile scegliere di passare i prezzi ai prezzi basati sulla rete virtuale.

Lo strumento di verifica della rete di gestione rete virtuale di Azure addebita gli importi per l'analisi della raggiungibilità eseguita in un'area di lavoro di verifica di gestione rete virtuale di Azure. Questo addebito è separato dagli addebiti di Gestione rete virtuale di Azure.

I prezzi correnti della propria area sono disponibili nella pagina dei prezzi di gestione rete virtuale di Azure.

Come si distribuisce gestione rete virtuale di Azure?

È possibile distribuire e gestire un'istanza e le configurazioni di gestione rete virtuale di Azure tramite vari strumenti, tra cui:

• Portale di Azure
• Interfaccia della riga di comando di Azure
• Azure PowerShell
• Modello ARM
• Terraform
• Bicipite

Tecnici

Una rete virtuale può appartenere a più istanze di gestione rete virtuale di Azure?

Sì, una rete virtuale può appartenere a più di un'istanza di gestione rete virtuale di Azure.

Le reti virtuali spoke possono essere connesse a un hub della rete WAN virtuale in una configurazione di connettività mesh in modo che tali reti virtuali spoke possano comunicare direttamente?

Sì, le reti virtuali spoke possono connettersi agli hub della rete WAN virtuale durante la configurazione della connettività mesh. Tali reti virtuali nel gruppo a maglia hanno connettività diretta tra loro.

Le operazioni sui prefissi IP nelle reti virtuali che fanno parte della mesh di Azure Virtual Network Manager vengono propagate automaticamente?

Le reti virtuali nella mesh vengono sincronizzate automaticamente. I prefissi IP verranno aggiornati automaticamente. Ciò significa che il traffico all'interno della mesh funzionerà anche dopo che sono state apportate modifiche ai prefissi IP nelle reti virtuali nella mesh.

Come posso verificare che una configurazione di connettività mesh sia applicata come pianificato?

Vedere la documentazione Come visualizzare le configurazioni applicate. Una configurazione della connettività mesh non connette le reti virtuali con il peering di reti virtuali, quindi non è possibile visualizzare la connettività mesh nei pannelli di peering.

Cosa accade se l'area in cui viene creato gestione rete virtuale di Azure è inattiva? Influisce sulle configurazioni distribuite o impedisce solo le modifiche alla configurazione?

Sarà interessata solo la possibilità di modificare le configurazioni. Dopo aver programmato la configurazione a seguito del commit della configurazione, gestione rete virtuale di Azure continuerà a funzionare. Ad esempio, se l'istanza di gestione rete virtuale di Azure viene creata nell'area 1 e la topologia mesh viene stabilita nell'area 2, la mesh nell'area 2 continuerà a funzionare anche se l'area 1 non sarà più disponibile.

Che cos'è una topologia di rete mesh globale?

Una rete mesh globale consente alle reti virtuali di tutte le aree di comunicare tra loro. Gli effetti sono simili a quelli del peering della rete virtuale globale.

Esiste un limite al numero di gruppi di rete che è possibile creare?

Non esiste alcun limite al numero di gruppi di rete che è possibile creare.

Come si rimuove la distribuzione di tutte le configurazioni applicate?

È necessario distribuire una configurazione Nessuna in tutte le aree in cui è stata applicata una configurazione.

È possibile aggiungere reti virtuali da un'altra sottoscrizione non gestita?

Sì, se si dispone delle autorizzazioni appropriate per accedere a tali reti virtuali.

In che modo la distribuzione della configurazione differisce tra gruppi di rete con membri aggiunti manualmente e membri aggiunti in modo condizionale?

Vedere Distribuzioni di configurazione in gestione rete virtuale di Azure.

Come si elimina un componente di gestione rete virtuale di Azure?

Vedere Rimuovere e aggiornare l'elenco di controllo dei componenti di gestione rete virtuale di Azure.

Gestione rete virtuale di Azure archivia i dati dei clienti?

No. Gestione rete virtuale di Azure non archivia i dati dei clienti.

È possibile spostare un'istanza di gestione rete virtuale di Azure?

No. Gestore Rete Virtuale di Azure attualmente non consente di spostare l'istanza in un'altra regione, gruppo di risorse o sottoscrizione. Se è necessario spostare un'istanza, è consigliabile eliminarla e usare il modello di Azure Resource Manager per crearne un'altra nella posizione desiderata.

È possibile spostare una sottoscrizione con gestione rete virtuale di Azure in un altro tenant?

Sì, ma ci sono alcune considerazioni da tenere presenti:

• Il tenant di destinazione non può avere una gestione rete virtuale di Azure creata.
• Le reti virtuali spoke nel gruppo di rete possono perdere il loro riferimento quando si modificano i tenant, perdendo così la connettività alla rete virtuale del hub. Per risolvere questo problema, dopo aver spostato la sottoscrizione in un altro tenant, è necessario aggiungere manualmente le reti virtuali spoke al gruppo di rete di Azure Virtual Network Manager.

Come è possibile visualizzare le configurazioni applicate per favorire la risoluzione dei problemi?

È possibile visualizzare le impostazioni di gestione rete virtuale di Azure in Gestione rete per una rete virtuale. Le impostazioni mostrano le configurazioni applicate. Per altre informazioni, vedere Visualizzare le configurazioni applicate da gestione rete virtuale di Azure.

Cosa accade quando tutte le zone si trovano in un'area con un'istanza di Azure Virtual Network Manager?

Se si verifica un'interruzione a livello di area, tutte le configurazioni applicate alle risorse di rete virtuali gestite correnti rimangono intatte durante l'interruzione. Durante l'interruzione non è possibile creare nuove configurazioni o modificare quelle esistenti. Dopo aver risolto l'interruzione, è possibile continuare a gestire le risorse di rete virtuale come prima.

È possibile eseguire il peering di una rete virtuale gestita da gestione rete virtuale di Azure a una rete virtuale non gestita?

Sì. Gestione rete virtuale di Azure è completamente compatibile con topologie del gruppo a ruota preesistenti create con peering manuale. Non è necessario eliminare connessioni con peering esistenti tra le reti virtuali del gruppo a ruota. La migrazione avviene senza alcun tempo di inattività della rete.

È possibile eseguire la migrazione di una topologia hub-spoke esistente a gestione rete virtuale di Azure?

Sì. La migrazione delle reti virtuali esistenti alla topologia hub-spoke in gestione rete virtuale di Azure è semplice. È possibile creare una configurazione di connettività con topologia hub-and-spoke. Quando si distribuisce questa configurazione, Gestione rete virtuale di Azure crea automaticamente i peering necessari. Tutti i peering preesistenti rimangono intatti, quindi non c'è tempo di inattività.

In che modo i gruppi connessi differiscono dal peering di rete virtuale per stabilire la connettività tra reti virtuali?

In Azure il peering di reti virtuali e i gruppi connessi sono due metodi per stabilire la connettività tra reti virtuali. Il peering di rete virtuale funziona creando una corrispondenza uno-a-uno tra reti virtuali, mentre i gruppi connessi utilizzano un nuovo sistema che permette la connettività senza tale corrispondenza.

In un gruppo connesso, tutte le reti virtuali sono connesse senza relazioni di peering individuali. Ad esempio, se tre reti virtuali fanno parte dello stesso gruppo connesso, la connettività viene abilitata tra ogni rete virtuale senza la necessità di relazioni di peering individuali.

L'effetto di ogni metodo è lo stesso, in cui viene stabilita la connettività bidirezionale tra reti virtuali. Tuttavia, i gruppi connessi semplificano la gestione della connettività consentendo di gestire più reti virtuali come singola entità e di ottenere una scalabilità più elevata della connettività oltre i limiti di peering.

Quando si gestiscono le reti virtuali usando il peering di reti virtuali, questo comporta un doppio pagamento di costi di peering di reti virtuali con gestione rete virtuale di Azure?

Non è previsto alcun secondo o doppio addebito per il peering. Il tuo gestore della rete virtuale rispetta tutti i peering delle reti virtuali creati in precedenza ed esegue la migrazione di tali connessioni. Tutte le risorse di peering, create all'interno di un gestore della rete virtuale o all'esterno, comportano un singolo addebito di peering.

È possibile creare eccezioni alle regole di amministratore della sicurezza?

In genere, le regole di amministratore della sicurezza vengono definite per bloccare il traffico tra reti virtuali. Tuttavia, in alcuni casi determinate reti virtuali e le relative risorse devono consentire il traffico per la gestione o altri processi. Per questi scenari, è possibile creare eccezioni dove necessario. Informazioni su come bloccare le porte ad alto rischio con eccezioni per questi scenari.

Come è possibile distribuire più configurazioni di amministratore della sicurezza in un'area?

È possibile distribuire una sola configurazione di amministratore della sicurezza in un'area. Tuttavia, in un'area possono esistere più configurazioni di connettività se si creano più raccolte regole in una configurazione dell'amministratore della sicurezza.

Le regole di amministratore della sicurezza si applicano agli endpoint privati di Azure?

Attualmente, le regole di amministratore della sicurezza non si applicano agli endpoint privati di Azure che rientrano nell'ambito di una rete virtuale gestita da gestione rete virtuale di Azure.

Regole in uscita

Un hub della rete WAN virtuale di Azure può far parte di un gruppo di rete?

No, al momento un hub della rete WAN virtuale di Azure non può essere inserito in un gruppo di rete.

È possibile usare un'istanza della rete WAN virtuale di Azure come hub in una configurazione di connettività hub-spoke di Azure Virtual Network Manager?

No, al momento un hub della rete WAN virtuale di Azure non è supportato come hub in una topologia hub-and-spoke.

La rete virtuale non riceve le configurazioni previste. Come si risolvono i problemi?

Usare le seguenti domande per trovare possibili soluzioni.

La configurazione è stata distribuita nell'area della rete virtuale?

Le configurazioni in gestione rete virtuale di Azure non hanno effetto fino a quando non vengono distribuite. Creare una distribuzione nell'area della rete virtuale con le configurazioni appropriate.

La rete virtuale rientra nell'ambito?

A un gestore di rete viene delegato solo l'accesso necessario per applicare le configurazioni alle reti virtuali all'interno del proprio ambito. Se una risorsa si trova nel gruppo di rete ma non rientra nell'ambito, non riceve alcuna configurazione.

Si applicano regole di sicurezza a una rete virtuale che contiene istanze gestite?

Istanza gestita di SQL di Azure presenta alcuni requisiti di rete. Questi requisiti vengono applicati tramite criteri di finalità di rete ad alta priorità i cui scopi sono in conflitto con le regole di amministratore della sicurezza. Per impostazione predefinita, l'applicazione della regola di amministrazione viene ignorata nelle reti virtuali che contengono uno qualsiasi di questi criteri di finalità. Poiché le regole Consenti non comportano alcun rischio di conflitto, è possibile scegliere di applicare le regole Consenti solo impostando AllowRulesOnly su securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices.

Si applicano regole di sicurezza a una rete virtuale o a una subnet che contiene servizi che bloccano le regole di configurazione della sicurezza?

Alcuni servizi richiedono requisiti di rete specifici per funzionare correttamente. Questi servizi includono Istanza gestita di SQL di Azure, Azure Databricks e gateway applicazione di Azure. Per impostazione predefinita, l'applicazione delle regole di amministratore della sicurezza viene ignorata nelle reti virtuali e subnet che contengono uno qualsiasi di questi servizi. Poiché le regole di Consenti non comportano alcun rischio di conflitto, è possibile scegliere di applicare le regole di Consenti solo impostando il campo AllowRulesOnly delle configurazioni di sicurezza nella classe securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices .NET.

Limiti

Quali sono le limitazioni del servizio gestione rete virtuale di Azure?

Per le informazioni più aggiornate, vedere Limitazioni di gestione rete virtuale di Azure.

Passaggi successivi

• Creare un'istanza di gestione rete virtuale di Azure usando il portale di Azure.