Параметры подключения к виртуальной сети и связь между периферийными сетями

В этой статье сравниваются два способа подключения виртуальных сетей в Azure: пиринг между виртуальными сетями и vpn-шлюзами. В нем также рассматриваются шаблоны связи между периферийными устройствами для архитектур концентраторов и периферийных устройств, которые помогут вам выбрать оптимальный подход к требованиям к сети.

Виртуальные сети формируют основу этих топологий. Виртуальная сеть — это частное сетевое пространство в Azure, которое обеспечивает изоляцию ресурсов. По умолчанию Azure не направляет трафик между виртуальными сетями. Но вы можете подключить виртуальные сети в одном регионе или между двумя регионами, чтобы маршрутизировать трафик между ними.

Типы подключений к виртуальной сети

• Пиринг между виртуальными сетями подключает две Azure виртуальные сети, что делает их одним из них в целях подключения. Azure маршрутизирует трафик между виртуальными машинами в одноранговых виртуальных сетях через магистраль Microsoft только с помощью частных IP-адресов.

• Пиринг подсети подключает определенные подсети между виртуальными сетями, а не пиринг между виртуальными сетями.

• VPN-шлюзы — это определенные типы шлюзов виртуальной сети, которые отправляют трафик между виртуальной сетью Azure и локальным расположением через общедоступный Интернет. Вы также можете использовать VPN-шлюз для отправки трафика между виртуальными сетями Azure. Каждая виртуальная сеть поддерживает только один VPN-шлюз.

Транзит через шлюз

Пиринг виртуальных сетей и VPN-шлюзы также могут сосуществовать через транзит шлюза.

Транзит шлюза позволяет использовать шлюз одноранговой виртуальной сети для подключения к локальной среде вместо создания нового шлюза. По мере увеличения рабочих нагрузок в Azure необходимо масштабировать сети между регионами и виртуальными сетями для поддержки этого роста. Используйте транзит шлюза для совместного использования Azure ExpressRoute или VPN-шлюза со всеми пиринговыми виртуальными сетями и управление подключением в одном месте. Этот метод экономит деньги и упрощает управление.

При включении транзита шлюза в пиринг виртуальной сети можно создать транзитную виртуальную сеть, содержащую VPN-шлюз, сетевое виртуальное устройство (NVA) и другие общие службы. По мере добавления новых приложений или бизнес-подразделений и создания новых виртуальных сетей их можно подключить к транзитной виртуальной сети с помощью пиринга. Эта настройка позволяет избежать сложности сети и сокращает усилия, необходимые для управления несколькими шлюзами и устройствами.

Настройка подключений

Пиринг виртуальных сетей и VPN-шлюзы поддерживают следующие типы подключений:

• Виртуальные сети в разных регионах
• Виртуальные сети в разных клиентах Microsoft Entra
• Виртуальные сети в разных подписках Azure

Дополнительные сведения см. в следующих статьях:

• Создание пиринга виртуальной сети между различными подписками с помощью Azure Resource Manager
• Настройка подключения VPN-шлюза виртуальной сети к виртуальной сети с помощью портала Azure
• Подключение виртуальных сетей из разных моделей развертывания с помощью портала
• вопросы и ответы о Azure VPN Gateway

Сравнение пиринга виртуальной сети и VPN-шлюза

Функция или возможность	Пиринг между виртуальными сетями	VPN-шлюз
Limits	До 500 пирингов виртуальных сетей на виртуальную сеть. Используйте функцию конфигурации подключения Диспетчер виртуальных сетей Azure для создания до 1000 пирингов виртуальных сетей на каждую виртуальную сеть.	Один VPN-шлюз для каждой виртуальной сети. Максимальное количество туннелей на шлюз зависит от номера SKU шлюза.
Модель ценообразования	Входящий трафик и исходящий трафик	Почасовые и исходящие данные
Encryption	Используйте шифрование Azure Virtual Network.	Примените настраиваемую политику IPsec/IKE к новым или существующим подключениям. Дополнительные сведения о требованиях к шифрованию и VPN-шлюзах Azure.
Ограничения пропускной способности	Ограничения пропускной способности отсутствуют	Зависит от номера SKU
Частный?	Да, маршруты через магистраль Microsoft и избегает общедоступного Интернета	VPN-шлюзы используют общедоступные IP-адреса, но маршруты трафика через магистраль Microsoft через глобальную сеть Microsoft при включении.
Транзитивная связь	Пиринговые подключения являются нетрансляционными. Используйте NVAs или шлюзы в виртуальной сети концентратора, чтобы включить транзитивную сеть. См. пример топологии центральной сети.	Транзитивная маршрутизация поддерживается при подключении виртуальных сетей через VPN-шлюзы и включении протокола BGP в подключениях.
Время начальной установки	Быстрый	Около 30 минут
Типичные сценарии	Репликация данных, отработка отказа базы данных и другие сценарии, требующие частого резервного копирования больших данных. Поддерживает политики данных, которые препятствуют отправке трафика через Интернет.	Сценарии, не зависящие от задержки, не требуют высокой пропускной способности и включают политики данных, поддерживающие обход интернета

Технологии пиринга виртуальных сетей и VPN-шлюза формируют основу для более сложных сетевых архитектур. Одним из наиболее распространенных корпоративных шаблонов является сеть концентраторов и периферийных сетей, где несколько периферийных виртуальных сетей должны взаимодействовать друг с другом. Выбор между пирингом виртуальной сети и VPN-шлюзами значительно влияет на реализацию межсайтового взаимодействия.

Схемы взаимодействия между периферийными узлами

Взаимодействие между периферийными сетями относится к прямой связи между рабочими нагрузками или компонентами рабочей нагрузки, которые выполняются в разных периферийных виртуальных сетях в центральных и периферийных архитектурах. Шаблоны с периферийными периферийными устройствами устраняют необходимость маршрутизации трафика через центральный концентратор.

Взаимодействие между сетями обеспечивает следующие преимущества:

• Улучшенная производительность: прямые подключения устраняют дополнительные прыжки и узкие места.
• Более низкие затраты: меньше пиринговых подключений и снижены требования к инфраструктуре концентратора.
• Упрощенное управление: менее сложная маршрутизация и меньше компонентов для мониторинга.
• Региональная гибкость: поддержка шаблонов обмена данными между регионами и регионами.

В большинстве руководств по проектированию основное внимание уделяется трафику на север-юг, который передается между пользователями и приложениями (из локальных сетей или Интернета в Azure виртуальных сетей). Эти шаблоны сосредоточены на трафике на востоке запада, который представляет потоки обмена данными между компонентами рабочей нагрузки, развернутыми в Azure виртуальных сетях, в одном регионе или в нескольких регионах. Убедитесь, что проект сети удовлетворяет требованиям для трафика на востоке запада, чтобы обеспечить производительность, масштабируемость и устойчивость приложений, работающих в Azure.

Центральные и периферийные архитектуры обеспечивают централизованный контроль и безопасность, но они могут стать узкими местами производительности и центрами затрат, когда весь трафик рабочей нагрузки к рабочей нагрузке должен проходить через концентратор. Межсайтовые сети обеспечивают гибкость архитектуры для оптимизации производительности и затрат, где она имеет смысл для бизнеса, а также централизованного контроля за потребностями системы безопасности и управления.

Две основные шаблоны подключают периферийные виртуальные сети друг к другу:

• Шаблон 1. Периферийные узлы напрямую подключаются друг к другу. Создайте пиринги виртуальных сетей или VPN-туннели между периферийными виртуальными сетями, чтобы обеспечить прямое подключение без обхода виртуальной сети концентратора.

• Шаблон 2. Периферийные устройства взаимодействуют через сетевое устройство. Подключите каждую периферийную виртуальную сеть к Виртуальная глобальная сеть Azure или виртуальной сети концентратора. Сетевое устройство направляет трафик между периферийными устройствами. Вы можете самостоятельно управлять устройством или Microsoft управлять им. Эта модель управления аналогична управлению в Виртуальная глобальная сеть развертываниях.

Выбор подхода

Используйте следующую таблицу, чтобы выбрать общий подход на основе ваших приоритетов.

Ваш приоритет	Рекомендуемый шаблон	Ключевая технология
Максимальная производительность	Шаблон 1	Пиринг между виртуальными сетями
Управление масштабированием предприятия	Шаблон 1	Виртуальный менеджер сети
Проверка трафика	Шаблон 2	Брандмауэр Azure
Простота в нескольких регионах	Шаблон 2	Виртуальная глобальная сеть
Подключение между облаком	Шаблон 1	VPN-туннели

В следующих разделах приведены сведения о реализации для каждого шаблона.

Шаблон 1. Периферийные узлы напрямую подключаются друг к другу

Прямые подключения между периферийными устройствами обычно обеспечивают лучшую пропускную способность, задержку и масштабируемость, чем подключения, которые проходят через NVA через концентратор. Отправка трафика через NVA может добавить задержку, если NVAs находятся в разных зонах доступности и трафик должен пересекать по крайней мере два пиринга виртуальной сети.

Чтобы подключить две периферийные виртуальные сети друг к другу напрямую, используйте пиринг между виртуальными сетями, Virtual Network Manager или VPN-туннели.

Технология	лучше всего подходит для	Ограничения	Management
Пиринг между виртуальными сетями	Высокая производительность, одно и то же облако	Ограничение пиринга в 500	Руководство
Виртуальный менеджер сети	Масштабирование предприятия (более пяти периферийных устройств)	Кривая обучения	Автоматизированный
VPN-туннели	Кросс-облако, шифрование	1,25 Гбит/с на туннель	Сложный

Пиринг между виртуальными сетями

Пиринг между виртуальными сетями обеспечивает самый высокий уровень производительности для прямого подключения к периферийной сети. Этот метод создает подключения с низкой задержкой, высокой пропускной способностью через магистральную инфраструктуру Microsoft без шлюзов или дополнительных прыжков в пути. Вы также можете выполнять одноранговые виртуальные сети в Azure регионах, которые называются глобальным пирингом.

Используйте пиринг между сетями для таких сценариев, как репликация данных между регионами и отработка отказа базы данных, в частности, если политики данных не требуют проверки. Этот подход часто используется между компонентами, изолированными от сети, в пределах одной рабочей нагрузки. Так как трафик остается частным и перемещается только на Microsoft магистрали, пиринг между виртуальными сетями поддерживает строгие политики данных и избегает отправки трафика через общедоступный Интернет.

Для реализации с речью выполните следующие рекомендации:

• Создайте пиринговые подключения непосредственно между периферийными виртуальными сетями, которые должны взаимодействовать.

• Сохраняйте существующие пиринги между концентраторами для централизованных служб и трафика, которые должны подвергаться анализу исходящего трафика.

• Ограничение пиринга на периферийные серверы в одной среде.

• Планирование масштабирования на основе количества периферийных компонентов. Пиринг вручную работает на двух-пяти периферийных узлах. Используйте Virtual Network Manager для более крупных сред.

Чтобы оптимизировать дизайн, выполните следующие рекомендации.

• Отслеживайте ограничение пиринга 500 на каждую виртуальную сеть.

• Используйте региональный пиринг, если это возможно для наименьшей задержки.

• Используйте группы безопасности сети для управления потоком трафика между одноранговых сетей.

• Отношения пиринга документов для устранения неполадок и соответствия требованиям.

• Проверьте подключение после установки пирингов, чтобы проверить правильную маршрутизацию.

• Ограничить подключение однонаправленным при поддержке сценария.

Пиринг подсети работает аналогично пирингу виртуальной сети, но обеспечивает более детализированный контроль. Можно указать, какие подсети в обеих сторонах пиринга могут взаимодействовать друг с другом. Для этой функции требуется регистрация подписки и применяется ограничение в 400 подсетей на одноранговое подключение. Пиринг подсети поддерживает такие сценарии, как перекрывающиеся диапазоны виртуальных сетей, подключения только IPv6 и выборочное воздействие шлюза.

Виртуальный менеджер сети

Virtual Network Manager обеспечивает автоматическое управление подключением к виртуальной сети в масштабе. Диспетчер виртуальных сетей можно использовать для создания трех типов топологий в подписках. Эти топологии работают как с существующими, так и с новыми виртуальными сетями.

• Центр и периферийные периферийные устройства, которые не подключаются друг к другу

• Концентратор и говорил с спицами, которые напрямую подключаются друг к другу, без прыжка в середине

• Сетчатая группа виртуальных сетей, которые подключаются друг к другу

Скачайте Visio файл этих топологий.

При создании топологии концентратора и периферийной связи с помощью Virtual Network Manager и подключения к друг другу Azure автоматически создает двунаправленное подключение между периферийными виртуальными сетями в одной и той же сетевой группе.

Используйте Virtual Network Manager для статического или динамического назначения периферийных виртуальных сетей определенным группам сети. Это назначение автоматически создает подключение к виртуальной сети.

Можно создать несколько сетевых групп, чтобы изолировать кластеры периферийных виртуальных сетей от прямого подключения. Каждая сетевая группа поддерживает как однорегионные, так и многорегионные периферийные подключения. Ознакомьтесь с ограничениями для Virtual Network Manager.

VPN-туннели

Настройте VPN-службы для прямого подключения периферийных виртуальных сетей с помощью Microsoft VPN-шлюзов или не Microsoft виртуальных виртуальных сетей VPN. VPN-шлюзы обеспечивают ограниченные подключения к пропускной способности и хорошо работают в сценариях, требующих шифрования, но могут допускать ограничения пропускной способности и задержки. Чтобы помочь обнаружить и устранить крупномасштабные атаки, включите Azure защиту от атак DDoS в виртуальных сетях периметра.

Периферийные виртуальные сети подключаются между коммерческими и независимыми облаками в одном и том же поставщике облачных служб или между несколькими поставщиками. Если каждая периферийная виртуальная сеть включает сетевые сети, определяемые программным обеспечением, используйте плоскость управления поставщика, не Microsoft и набор функций для управления подключением к виртуальной сети.

Vpn-подключения также помогают соответствовать требованиям соответствия требованиям для шифрования трафика между виртуальными сетями в одном центре обработки данных Azure, где шифрование безопасности мультимедиа контроль доступа (MACsec) не применяется.

Этот подход имеет следующие ограничения:

• Пропускная способность ограничена 1,25 Гбит/с на туннель.
• Для этого требуются шлюзы виртуальной сети как в концентраторе, так и в периферийных виртуальных сетях.
• Периферийные виртуальные сети, имеющие шлюзы, не могут подключаться к Виртуальная глобальная сеть или использовать центральные шлюзы для локального подключения.

Один или несколько регионов

На следующей схеме показана топология сети для одного региона независимо от технологии, используемой для подключения к периферийной виртуальной сети.

На следующей схеме показана топология сети для нескольких регионов. Проекты, которые подключают все периферийные виртуальные сети друг к другу, могут расширяться в нескольких регионах. Virtual Network Manager помогает сократить административные усилия, необходимые для поддержания большого количества подключений.

При непосредственном подключении периферийных виртуальных сетей друг к другу в полностью сетчатой топологии ожидается большое количество пирингов виртуальных сетей. На следующей схеме показана эта проблема. В этом сценарии используйте Virtual Network Manager для автоматического создания подключений к виртуальной сети.

Шаблон 2. Периферийные периферийные устройства взаимодействуют через сетевое устройство

Вместо того чтобы напрямую подключать периферийные виртуальные сети друг к другу, можно использовать сетевые устройства для пересылки трафика между сетями. Сетевые устройства предоставляют другие сетевые функции, такие как глубокая проверка пакетов, сегментация трафика и мониторинг. Но они могут привести к задержкам и узким местам производительности, если это неправильно. Эти устройства обычно находятся в центральной виртуальной сети, к которой подключаются периферийные устройства.

Следующие ресурсы используют сетевое устройство для пересылки трафика между периферийными устройствами:

• маршрутизатор центра Виртуальная глобальная сеть: Microsoft управляет Виртуальная глобальная сеть. Виртуальная глобальная сеть содержит виртуальный маршрутизатор, который привлекает трафик с периферийных серверов. Он направляет трафик в другую виртуальную сеть, подключенную к Виртуальная глобальная сеть или локальным сетям через ExpressRoute или vpn-туннели типа "сеть — сеть" или "точка — сеть". Маршрутизатор Виртуальная глобальная сеть автоматически масштабируется вверх и вниз. Необходимо убедиться, что объем трафика между периферийными узлами остается в пределах Виртуальная глобальная сеть ограничений.

• Брандмауэр Azure:Брандмауэр Azure — это управляемое Microsoft сетевое устройство, которое можно развернуть в центральных виртуальных сетях, управляемых или в центрах Виртуальная глобальная сеть. Он перенаправит пакеты IP-адресов, проверяет их и применяет правила сегментации трафика, определенные в политиках. Брандмауэр Azure автоматически масштабируется, чтобы он не стал узким местом, но имеет ограничения. Он поддерживает встроенные возможности многорегионирования только при использовании с Виртуальная глобальная сеть. Без Виртуальная глобальная сеть необходимо реализовать определяемые пользователем маршруты, чтобы обеспечить межрегиональная связь между периферийными клиентами.

• Не Microsoft NVAs: если вы предпочитаете Microsoft партнерские NVAs для выполнения маршрутизации и сегментации сети, их можно развернуть в концентраторе или в Виртуальная глобальная сеть топологии. Дополнительные сведения см. в статье "Развертывание высокодоступных NVAs и NVAs" в центре Виртуальная глобальная сеть. Убедитесь, что NVA поддерживает пропускную способность, созданную межресресной связью.

• VPN-шлюз Azure: VPN-шлюз можно использовать в качестве следующего узла в определяемом пользователем маршруте. Не используйте шлюзы виртуальной сети VPN для маршрутизации трафика между периферийными сетями. Эти устройства предназначены для шифрования трафика между локальными сайтами или VPN-пользователями. Например, Azure не гарантирует пропускную способность между периферийными узлами при маршрутизации через VPN-шлюз.

• ExpressRoute: Шлюз ExpressRoute может объявлять маршруты, которые привлекают связь между периферийными клиентами. Эта настройка отправляет трафик на маршрутизатор Microsoft Edge, который направляет его на периферийный сервер назначения. Этот шаблон, известный как прикрепления ExpressRoute, должен быть явно включен. Избегайте использования этого подхода, так как это обеспечивает задержку, отправляя трафик в Microsoft магистральный край и назад. Он создает единую точку сбоя и расширяет радиус взрыва. Она также загружает дополнительную нагрузку на инфраструктуру ExpressRoute, в частности шлюз и физические маршрутизаторы, что может привести к удалению пакетов.

В самоуправляемых сетевых конструкциях, включающих централизованные NVAs, поместите устройство в концентратор. Создайте пиринги между концентраторами и периферийными виртуальными сетями вручную или используйте Virtual Network Manager для автоматизации конфигурации:

• Пиринги виртуальных сетей вручную или пиринги подсети: Этот подход хорошо работает, если у вас есть несколько периферийных виртуальных сетей. Но она добавляет затраты на управление в масштабе.

• Virtual Network Manager: Virtual Network Manager автоматизирует конфигурации пиринга между концентраторами и периферийными виртуальными сетями в масштабе. Периферийные виртуальные сети в группах сети могут использовать vpn-подключение концентратора или шлюзы ExpressRoute. Оставайтесь в пределах Virtual Network Manager ограничений.

Развертывание в одном регионе

На следующей схеме показана топология с одним регионом и периферийной топологией, которая отправляет трафик между периферийными узлами через брандмауэр Azure, развернутый в виртуальной сети концентратора. Определяемые пользователем маршруты , применяемые к периферийным подсетям, перенаправляет трафик к централизованному устройству в концентраторе.

Чтобы повысить масштабируемость, вы можете отделять сетевые сети, обрабатывающие периферийный трафик от NVAs, обрабатывающих интернет-трафик. Чтобы разделить NVAs, выполните следующие действия.

• Настройте таблицы маршрутов в каждой периферийной сети для отправки трафика частного адреса, например трафика, использующего префиксы RFC 1918, например 10.0.0.0/8172.16.0.0/12, или 192.168.0.0/16NVA. Это устройство обрабатывает локальный трафик Azure в Azure и Azure-to-on-локальный трафик, часто известный как трафик на востоке запада.

• Настройте интернет-трафик, имеющий 0.0.0.0/0 маршрут, на второй NVA. Этот NVA управляет Azure-интернет-трафиком, также известным как северо-южный трафик.

На схеме ниже показана эта конфигурация.

Развертывание нескольких регионов

Вы можете расширить одну конфигурацию до нескольких регионов. Например, в самоуправляемом макете концентратора и периферийных узлов, использующего Брандмауэр Azure, примените дополнительные таблицы маршрутов к подсетям Брандмауэр Azure в каждом концентраторе. Эти таблицы маршрутов поддерживают периферийные устройства в удаленных регионах и обеспечивают потоки трафика между Azure брандмауэрами в каждой виртуальной сети концентратора. Межрегиональная сеть между периферийными виртуальными сетями проходит обе Azure брандмауэры. Дополнительные сведения см. в статье "Использование брандмауэра Azure для маршрутизации топологии с несколькими концентраторами и периферийными узлами".

На следующей схеме показан вариант проектирования, включающий отдельные брандмауэры Azure или NVAs для трафика на северо-юг и на востоке запада в многорегионной топологии концентратора и периферийной топологии.

Следующая топология использует Виртуальная глобальная сеть для упрощения маршрутизации. Виртуальная глобальная сеть управляет маршрутизацией в центрах, которые Microsoft управляет и в периферийных устройствах, где он может автоматически внедрять маршруты без редактирования таблицы маршрутов вручную. Администратор сети должен подключать только периферийные виртуальные сети к концентратору Виртуальная глобальная сеть и не должен управлять трафиком между регионами.

Смешанные шаблоны

Для некоторых сценариев требуется гибридный подход, объединяющий два шаблона. В этом случае трафик между конкретными спицами проходит через прямые подключения, но остальные периферийные периферийные устройства взаимодействуют через центральное сетевое устройство. Например, в среде Виртуальная глобальная сеть можно напрямую подключить два конкретных периферийных устройства с высокой пропускной способностью и требованиями к низкой задержке.

Другой сценарий включает в себя периферийные виртуальные сети, которые являются частью одной среды. Например, вы можете подключить виртуальную сеть разработки к другой периферийной виртуальной сети разработки, но рабочие нагрузки разработки и рабочей нагрузки взаимодействуют через центральное устройство.

Другой распространенный шаблон подключает периферийные узлы в одном регионе через прямые пиринги виртуальных сетей или подключенные группы Virtual Network Manager, но позволяет межрегионального трафика пересекать сетевые сети. Эта модель уменьшает количество пирингов виртуальных сетей в архитектуре. Но по сравнению с первой моделью (прямой подключение между периферийными устройствами), эта модель имеет больше прыжков пиринга виртуальной сети для трафика между регионами. Эти прыжки увеличивают затраты из-за нескольких пирингов виртуальных сетей, пересекающихся. Эта модель также представляет дополнительную нагрузку на сетевые сети концентратора для переднего межрегионного трафика.

Те же конструкции применяются к Виртуальная глобальная сеть. Но для прямого подключения между периферийными виртуальными сетями требуется ручная настройка между виртуальными сетями, а не через ресурс Виртуальная глобальная сеть. Virtual Network Manager не поддерживает архитектуры, использующие Виртуальная глобальная сеть. Рассмотрим следующую схему.

Соавторы

Корпорация Майкрософт поддерживает эту статью. Следующие авторы написали эту статью.

Основные авторы:

• Джей Ли | Старший менеджер по продуктам
• Хосе Морено | Главный инженер клиента
• Аледжандра Паласиос | инженер клиента Azure

Другие участники:

• Мохамед Хасан | Глава продукта, Azure сети
• Андреа Майкл | Product Manager 2

Чтобы увидеть непубличные профили в LinkedIn, войдите в LinkedIn.

Дальнейшие действия

• Планирование виртуальных сетей
• Выберите решение для подключения локальной сети к Azure
• Создание пиринга виртуальной сети с помощью портала Azure
• Диспетчер виртуальной сети
• Топология сети "концентратор-спица" в Azure