Informazioni sulle appliance virtuali di rete in un hub della rete WAN virtuale

I clienti possono distribuire appliance virtuali di rete direttamente in un hub della rete WAN virtuale in una soluzione gestita congiuntamente dai fornitori di appliance virtuali di rete di Microsoft Azure e di terze parti. Non tutte le appliance virtuali di rete in Azure Marketplace possono essere distribuite in un hub della rete WAN virtuale. Per un elenco completo dei partner disponibili, vedere la sezione Partner di questo articolo.

Vantaggi chiave

Quando un'appliance virtuale di rete (NVA) viene distribuita in un hub della rete WAN virtuale, può svolgere il ruolo di gateway di terze parti con varie funzionalità. Può fungere da gateway SD-WAN, firewall o una combinazione di entrambi.

La distribuzione di appliance virtuali di rete in un hub della rete WAN virtuale offre i vantaggi seguenti:

• Selezione predefinita e pre-testata delle opzioni di infrastruttura (Unità dell'infrastruttura NVA): Microsoft e il partner collaborano per convalidare i limiti di capacità di trasmissione e larghezza di banda prima di rendere disponibile la soluzione ai clienti.
• Disponibilità e resilienza integrate: le distribuzioni dell'appliance virtuale di rete (NVA) della rete WAN virtuale sono consapevoli delle zone di disponibilità e vengono configurate automaticamente per garantire un'elevata disponibilità.
• Provisioning e avvio senza problemi: un'applicazione gestita è prequalificata per il provisioning e l'avvio per la piattaforma della rete WAN virtuale. Questa applicazione gestita è disponibile tramite il collegamento di Azure Marketplace.
• Routing semplificato: sfruttare i sistemi di routing intelligenti della rete WAN virtuale. Le soluzioni NVA eseguono il peering con il router dell'hub della rete WAN virtuale e partecipano al processo decisionale di routing della rete WAN virtuale similmente ai gateway Microsoft.
• Supporto integrato: i partner hanno un contratto di supporto speciale con la rete WAN virtuale di Microsoft Azure per diagnosticare e risolvere rapidamente eventuali problemi dei clienti.
• Gestione del ciclo di vita offerta facoltativa offerta dalla piattaforma: gli aggiornamenti e le patch vengono gestiti direttamente dall'utente o come parte del servizio rete WAN virtuale di Azure. Per le best practice relative alla gestione del ciclo di vita del software per le NVA in WAN virtuale, contattare il proprio fornitore di NVA o consultare la documentazione del fornitore.
• Integrazione con le funzionalità della piattaforma: connettività di transito con gateway Microsoft e reti virtuali, Encrypted ExpressRoute (sovrimpressione SD-WAN in esecuzione su un circuito ExpressRoute) e tabelle di route dell'hub virtuale interagiscono senza problemi.

Partner

Le tabelle seguenti descrivono le appliance virtuali di rete idonee per la distribuzione nell'hub della rete WAN virtuale e i casi d'uso pertinenti (connettività e/o firewall). La colonna Identificatore del fornitore della WAN virtuale NVA corrisponde al fornitore dell'appliance visualizzato nel portale di Azure quando distribuisci una nuova appliance virtuale di rete (NVA) o visualizzi le appliance esistenti distribuite nell'hub virtuale.

Le appliance virtuali di rete per la connettività SD-WAN seguenti possono essere distribuite nell'hub della rete WAN virtuale.

L'appliance virtuale di rete di sicurezza seguente può essere distribuita nell'hub della rete WAN virtuale. Questo appliance virtuale può essere usato per ispezionare tutto il traffico Nord-Sud, Est-Ovest e il traffico verso Internet.

Nell'hub della WAN virtuale possono essere distribuite appliance virtuali di rete per connettività e sicurezza SD-WAN a doppio ruolo (firewall di nuova generazione). Queste appliance virtuali possono essere usate per verificare tutto il traffico Nord-Sud, Est-Ovest e diretto verso Internet.

Casi d'uso di base

Connettività Any-To-Any

I clienti possono distribuire un'appliance virtuale di rete in ogni area di Azure in cui hanno un footprint. I siti branch sono connessi ad Azure tramite tunnel SD-WAN che terminano sull'NVA più vicina distribuita in un hub Virtual WAN di Azure.

I siti branch possono quindi accedere ai carichi di lavoro in Azure distribuiti in reti virtuali nella stessa area o in altre aree tramite il backbone globale Microsoft. I siti connessi SD-WAN possono anche comunicare con altre sedi connesse ad Azure tramite ExpressRoute, connessione da sito a sito o connessione utente remoto.

Sicurezza offerta da Firewall di Azure assieme all'appliance virtuale di rete di connettività

I clienti possono distribuire un firewall di Azure assieme alle appliance virtuali di rete basate sulla connettività. Il routing della rete WAN virtuale può essere configurato per inviare tutto il traffico a Firewall di Azure per l'ispezione. È anche possibile configurare la rete WAN virtuale per inviare tutto il traffico associato a Internet a Firewall di Azure per l'ispezione.

Sicurezza offerta dai firewall dell'appliance virtuale di rete

I clienti possono anche distribuire appliance di rete virtuale in un hub di rete WAN virtuale, in grado di fornire connettività SD-WAN e funzionalità di firewall di nuova generazione. I clienti possono connettere i dispositivi locali all'appliance virtuale di rete (NVA) nell'hub e utilizzare lo stesso appliance per controllare tutto il traffico Nord-Sud, Est-Ovest e diretto verso Internet. Il routing per abilitare questi scenari può essere configurato tramite finalità di routing e criteri di routing.

I partner che supportano questi flussi di traffico sono elencati come Appliance virtuali di rete con connettività e sicurezza SD-WAN a doppio ruolo (firewall di nuova generazione) nella sezione Partner.

Come funziona?

Le NVAs disponibili per essere implementate direttamente nell'hub della rete WAN virtuale di Azure sono progettate appositamente per essere utilizzate in un hub della rete WAN virtuale. L'offerta NVA viene pubblicata in Azure Marketplace come un'applicazione gestita, e i clienti possono distribuire l'offerta direttamente da Azure Marketplace.

L'offerta NVA di ogni partner avrà funzionalità ed esperienza leggermente diverse, in base ai requisiti di distribuzione.

Applicazione gestita

Tutte le offerte di appliance virtuali di rete disponibili per la distribuzione in un hub della rete WAN virtuale avranno un'applicazione gestita disponibile in Azure Marketplace. Le applicazioni gestite consentono ai partner di eseguire le operazioni seguenti:

• Creare un'esperienza di distribuzione personalizzata per l'appliance virtuale di rete.
• Offrire un modello di Resource Manager specializzato che consente di creare l'appliance virtuale di rete direttamente in un hub della rete WAN virtuale.
• Fatturare i costi di licenza software direttamente o tramite Azure Marketplace.
• Esporre proprietà personalizzate e contatori delle risorse.

I partner NVA potrebbero creare risorse diverse a seconda della distribuzione dell'appliance, delle configurazioni di licenza e delle esigenze di gestione. Quando un cliente crea una NVA in un hub Virtual WAN, come tutte le applicazioni gestite, verranno creati due gruppi di risorse nel loro abbonamento.

• Gruppo di risorse del cliente: contiene un segnaposto dell'applicazione per l'applicazione gestita. I partner possono usarlo per esporre le proprietà dei clienti che scelgono qui.
• Gruppo di risorse gestite: i clienti non possono configurare o modificare direttamente le risorse in questo gruppo, perché questo è controllato dal server di pubblicazione dell'applicazione gestita. Questo gruppo di risorse contiene la risorsa NetworkVirtualAppliances.

Autorizzazioni del gruppo di risorse gestite

Per impostazione predefinita, tutti i gruppi di risorse gestite hanno un'assegnazione Deny-all Microsoft Entra. Le assegnazioni Deny-all impediscono ai clienti di eseguire operazioni di scrittura su qualsiasi risorsa nel gruppo di risorse gestito, incluse le risorse dell'appliance virtuale di rete.

Tuttavia, i partner potrebbero creare eccezioni per azioni specifiche che i clienti possono eseguire sulle risorse distribuite nei gruppi di risorse gestite.

Le autorizzazioni per le risorse nei gruppi di risorse gestite esistenti non vengono aggiornate dinamicamente perché le nuove azioni consentite vengono aggiunte dai partner e richiedono un aggiornamento manuale.

Per aggiornare le autorizzazioni per i gruppi di risorse gestite, i clienti possono sfruttare l'API REST delle autorizzazioni di aggiornamento.

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Solutions/applications/{applicationName}/refreshPermissions?api-version=2019-07-01&targetVersion={targetVersion}

Unità di infrastruttura NVA

Quando si crea un'appliance virtuale di rete in un hub della rete WAN virtuale, è necessario scegliere il numero di unità di infrastruttura dell'appliance virtuale di rete con cui si vuole distribuirlo. Un'Unità di Infrastruttura NVA è un'unità di capacità di larghezza di banda aggregata per un NVA in un hub di rete WAN virtuale. Un'Unità di Infrastruttura NVA è simile a un'Unità di Scalabilità VPN in termini di capacità e dimensionamento.

• Le Unità di Infrastruttura NVA sono linee guida per la capacità di throughput di rete aggregata che l'infrastruttura di macchine virtuali, su cui sono distribuite le NVA, può supportare. 1 Unità infrastrutturale NVA corrisponde a 500 Mbps di throughput aggregato. Questo valore di 500 Mbps non prende in considerazione le differenze tra il software eseguito nelle appliance virtuali di rete. A seconda delle funzionalità attivate nell'appliance virtuale di rete o nell'implementazione software specifica del partner, le funzioni di rete, ad esempio la crittografia/decrittografia, l'incapsulamento/decapsulamento o l'ispezione approfondita dei pacchetti potrebbero essere più intensi. Ciò significa che è possibile che venga visualizzata una velocità effettiva inferiore rispetto all'unità dell'infrastruttura dell'appliance virtuale di rete. Per un mapping delle unità di infrastruttura dell'appliance virtuale di rete WAN virtuale alle velocità effettiva previste, contattare il fornitore.
• Azure supporta le distribuzioni che vanno da 2 a 80 unità di infrastruttura dell'appliance virtuale di rete per una determinata distribuzione dell'hub virtuale di rete virtuale, ma i partner possono scegliere quali unità di scala supportano. Di conseguenza, potrebbe non essere possibile distribuire tutte le possibili configurazioni di unità di scala.

Le appliance virtuali di rete nella rete WAN virtuale vengono distribuite per garantire che sia sempre possibile ottenere almeno i numeri di velocità effettiva specifici del fornitore per una determinata unità di scala scelta. A tale scopo, le appliance virtuali di rete nella rete WAN virtuale vengono sottoposte a provisioning eccessivo con capacità aggiuntiva sotto forma di più istanze in modo "n+1". Ciò significa che in qualsiasi momento è possibile che la velocità effettiva aggregata tra le istanze sia maggiore dei numeri di velocità effettiva specifici del fornitore. In questo modo, se un'istanza non è integra, le istanze "n" rimanenti possono fornire il traffico dei clienti e la velocità effettiva specifica del fornitore per tale unità di scala.

Se la quantità totale di traffico che passa attraverso un'appliance virtuale di rete in un determinato momento supera i numeri di velocità effettiva specifici del fornitore per l'unità di scala scelta, gli eventi che potrebbero causare l'indisponibilità di un'istanza dell'appliance virtuale di rete, incluse le attività di manutenzione di routine o gli aggiornamenti software della piattaforma Azure, possono causare interruzioni del servizio o della connettività. Per ridurre al minimo le interruzioni del servizio, è consigliabile scegliere l'unità di scala in base al profilo di traffico di picco e ai numeri di velocità effettiva specifici del fornitore per una particolare unità di scala anziché basarsi sui numeri di velocità effettiva del caso migliore osservati durante i test.

Spazio indirizzi hub

Ogni hub della rete WAN virtuale è dotato di uno spazio indirizzi hub. Lo spazio indirizzi minimo consigliato per l'hub è /23. La rete WAN virtuale crea automaticamente le subnet all'interno dell'hub per distribuire diversi servizi come Firewall di Azure, Appliance Virtuali di Rete e servizi di connettività del gateway.

Nel hub della rete WAN virtuale è disponibile un numero limitato di indirizzi IP che possono essere assegnati alla subnet interna o esterna delle distribuzioni NVA. Il numero di indirizzi IP allocati alla subnet interna o esterna delle appliance virtuali di rete è statico per tutti gli hub della rete WAN virtuale distribuiti con una dimensione di indirizzo specifica, indipendentemente dal fatto che i clienti usino o non usino tutti i servizi nell'hub della rete WAN virtuale. Non è possibile modificare l'allocazione a livello di servizio.

La tabella seguente descrive il numero di indirizzi IP disponibili per le distribuzioni di appliance virtuali di rete per dimensioni di indirizzi dell'hub diverse.

Indirizzi IP utilizzati

[NOTA] Seleziona lo spazio di indirizzi dell'hub tenendo conto della scalabilità, poiché le subnet assegnate alle appliance di rete virtuali non possono essere ridimensionate. Azioni come la distribuzione di più appliance virtuali di rete nell'hub o l'aggiunta di configurazioni IP aggiuntive alle appliance virtuali di rete esistenti richiedono indirizzi IP disponibili sufficienti.

Il numero di indirizzi IP utilizzati da una singola distribuzione dell'appliance di rete virtuale è calcolato distintamente per le interfacce interne ed esterne. Le appliance di rete virtuali distribuite nello stesso hub utilizzano indirizzi IP dalla stessa sottorete condivisa da tutte le appliance di rete virtuali nel medesimo hub e, di conseguenza, contribuiscono al raggiungimento del limite della sottorete dell'hub.

La tabella seguente illustra il numero di istanze dell'appliance virtuale di rete (NVA) distribuite per unità di scala differenti.

Interfaccia interna

• Per le distribuzioni di appliance virtuali di rete non compatibili per l'inoltro verso Internet, 1 indirizzo IP viene assegnato al bilanciatore di carico interno. 2 indirizzi IP vengono utilizzati se le distribuzioni di NVA sono compatibili con Internet-Inbound. Fare riferimento a Internet-Inbound per la documentazione su come verificare la compatibilità del vostro NVA.
• Viene consumato un indirizzo IP per ogni istanza NVA. Questo indirizzo IP viene assegnato a ciascuna NIC interna delle NVA. È possibile aggiungere altre configurazioni IP alla scheda di interfaccia di rete interna. Una configurazione IP aggiuntiva comporta un indirizzo IP privato aggiuntivo usato per ogni istanza dell'appliance virtuale di rete.

Esempio:

• 60 istanze dell'appliance virtuale di rete per unità di scala (4 istanze)
• Compatibile con connessioni Internet in entrata
• 3 Configurazioni IP nell'interfaccia interna.

In questo esempio vengono utilizzati 14 indirizzi IP nella subnet interna. 12 indirizzi IP vengono assegnati all'interfaccia interna. 2 indirizzi IP aggiuntivi vengono utilizzati dal servizio di bilanciamento del carico.

Interfaccia esterna

Viene consumato un indirizzo IP per ogni istanza NVA. Questo indirizzo IP viene assegnato alla scheda di interfaccia di rete esterna come parte di una tupla IP privata e pubblica. È possibile assegnare altre configurazioni IP alla scheda di interfaccia di rete esterna per aggiungere tuple IP private e pubbliche aggiuntive. Una configurazione IP aggiuntiva comporta un indirizzo IP aggiuntivo utilizzato per ogni istanza dell'appliance virtuale di rete.

Esempio:

• 60 istanze dell'appliance virtuale di rete per unità di scala (4 istanze)
• 2 Configurazioni IP nell'interfaccia interna.

In questo esempio vengono utilizzati 8 indirizzi IP nella subnet esterna. 8 indirizzi IP vengono assegnati all'interfaccia interna.

Processo di configurazione dell'appliance virtuale di rete

I partner si sono impegnati per offrire un'esperienza che configuri automaticamente l'NVA come parte del processo di distribuzione. Dopo aver effettuato il provisioning dell'appliance virtuale di rete nell'hub virtuale, occorre eseguire qualsiasi configurazione aggiuntiva necessaria per l'appliance virtuale di rete tramite il portale dei partner dell'appliance virtuale di rete o l'applicazione di gestione. L'accesso diretto all'appliance virtuale di rete non è disponibile.

Risorse del sito e di connessione con appliance virtuali di rete

A differenza delle configurazioni del gateway VPN da sito a sito della rete WAN virtuale, non è necessario creare risorse Sito, connessioni da sito a sito o connessioni da punto a sito per connettere le filiali alla NVA in un hub della rete WAN virtuale.

È comunque necessario creare connessioni da hub a rete virtuale per connettere l'hub della rete WAN virtuale alle reti virtuali di Azure, nonché connettere ExpressRoute, VPN da sito a sito o connessioni VPN utente remoto.

Aree geografiche supportate

L'appliance virtuale di rete nell'hub virtuale è disponibile nelle aree seguenti:

Domande frequenti sulle appliance virtuali di rete

In qualità di partner per le appliance virtuali di rete, si desidera includere la propria appliance virtuale di rete nell'hub. È possibile partecipare a questo programma partner?

Purtroppo non è possibile accogliere nuove offerte di partnership al momento. Torna a trovarci più avanti!

È possibile distribuire un'appliance virtuale di rete da Azure Marketplace nell'hub della rete WAN virtuale?

Solo i partner elencati nella sezione Partner possono essere distribuiti nell'hub della rete WAN virtuale.

Qual è il costo dell'appliance virtuale di rete?

È necessario acquistare una licenza per l'NVA dal fornitore dell'NVA. Bring Your Own License (BYOL) è l'unico modello di licenza attualmente supportato. Inoltre, Microsoft applica addebiti per le unità di infrastruttura NVA consumate e tutte le altre risorse utilizzate. Per altre informazioni, vedere Concetti relativi ai prezzi.

È possibile distribuire un'appliance virtuale di rete in un hub Basic?

No, per distribuire un'appliance virtuale di rete è necessario usare un hub Standard.

È possibile distribuire un'appliance virtuale di rete in un hub protetto?

Sì. Le appliance virtuali di rete partner possono essere distribuite in un hub con Firewall di Azure.

È possibile connettere qualsiasi dispositivo nella succursale all'appliance virtuale di rete nell'hub?

No. Barracuda CloudGen WAN è compatibile solo con i dispositivi perimetrali Barracuda. Per altre informazioni sui requisiti della rete WAN CloudGen, vedere la pagina CloudGen WAN di Barracuda. Per Cisco sono disponibili diversi dispositivi SD-WAN compatibili. Vedere la documentazione di Cisco Cloud OnRamp for Multi-Cloud per i dispositivi compatibili. Contattare il provider per eventuali domande.

Quali scenari di routing sono supportati con NVA nell'hub?

Tutti gli scenari di routing supportati dalla rete WAN virtuale sono supportati con NVA nell'hub.

Quali regioni sono supportate?

Per le aree supportate, vedere le regioni supportate da NVA.

Eliminare l'appliance virtuale di rete nell'hub?

Se la risorsa appliance virtuale di rete è stata distribuita tramite un'applicazione gestita, eliminare quest'ultima. L'eliminazione dell'applicazione gestita elimina automaticamente il gruppo di risorse gestito e la risorsa appliance virtuale di rete associata.

Non è possibile eliminare un'appliance virtuale di rete che rappresenta la risorsa hop successivo per un criterio di routing. Per eliminare l'NVA, eliminare prima i criteri di routing.

Se la risorsa appliance virtuale di rete è stata distribuita tramite software di orchestrazione partner, consultare la documentazione del partner per eliminare la risorsa appliance virtuale di rete.

In alternativa, per eliminare l'appliance virtuale di rete è possibile eseguire il comando di PowerShell seguente.

1. Cerca il gruppo di risorse di Azure dell'NVA che desideri eliminare. Il gruppo di risorse di Azure è in genere diverso rispetto al gruppo di risorse in cui viene distribuito l'hub della rete WAN virtuale. Verificare che la proprietà Hub virtuale della risorsa NVA corrisponda all'NVA che si desidera eliminare. Nell'esempio seguente si presuppone che tutte le appliance virtuali di rete nella sottoscrizione abbiano nomi distinti. Se sono presenti più appliance virtuali di rete con lo stesso nome, assicurarsi di raccogliere le informazioni associate all'appliance virtuale di rete da eliminare.

   $nva = Get-AzNetworkVirtualAppliance -Name <NVA name>
   $nva.VirtualHub
   

2. Eliminare l'appliance virtuale di rete.

   Remove-AzNetworkVirtualAppliance -Name $nva.Name -ResourceGroupName $nva.ResourceGroupName
   

La stessa serie di passaggi può essere eseguita dall'interfaccia della riga di comando di Azure.

1. Cerca il gruppo di risorse di Azure dell'NVA che desideri eliminare. Il gruppo di risorse di Azure è in genere diverso rispetto al gruppo di risorse in cui viene distribuito l'hub della rete WAN virtuale. Verificare che la proprietà Hub virtuale della risorsa NVA corrisponda all'NVA che si desidera eliminare.

    az network virtual-appliance list
   

2. Eliminare l'appliance virtuale di rete

    az network virtual-appliance delete --subscription <subscription name> --resource-group <resource group name> --name <NVA name>
   

Passaggi successivi

Per altre informazioni sulla rete WAN virtuale, vedere l'articolo Panoramica della rete WAN virtuale.