Пиринг между виртуальными сетями

Пиринг между виртуальными сетями позволяет легко подключать две или несколько виртуальных сетей в Azure. Виртуальные сети выглядят как одна сеть для целей подключения. Точно так же трафик между виртуальными машинами в одноранговых виртуальных сетях использует магистральную инфраструктуру Майкрософт. Трафик направляется только через частную сеть Майкрософт.

По умолчанию виртуальная сеть может быть соединена с до 500 другими виртуальными сетями. By using the connectivity configuration for Azure Virtual Network Manager, you can increase this limit to peer up to 1,000 virtual networks to a single virtual network. С помощью этого большего размера можно создать топологию концентратора и периферийной сети с 1000 периферийными виртуальными сетями, например. Вы также можете создать сетку из 1000 спицевых виртуальных сетей, где все спицевые виртуальные сети напрямую связаны.

Azure поддерживает следующие типы совместного использования:

• Пиринг между виртуальными сетями. Подключите виртуальные сети в одном регионе Azure.

• Пиринг глобальной виртуальной сети: подключение виртуальных сетей между регионами Azure.

Преимущества пиринговой связи между виртуальными сетями (как локальной, так и глобальной):

• подключение между ресурсами в разных виртуальных сетях, характеризующееся низкой задержкой и высокой пропускной способностью;

• Возможность взаимодействия ресурсов в одной виртуальной сети с ресурсами в другой виртуальной сети.

• Возможность передачи данных между виртуальными сетями в рамках подписок Azure, арендаторов Microsoft Entra, моделей развертывания и регионов Azure.

• Возможность пирринга виртуальных сетей, созданных с помощью Azure Resource Manager.

• Возможность создания одноранговой связи между виртуальной сетью, созданной с помощью Resource Manager, и сетью, созданной с помощью классической модели развертывания. Для получения дополнительной информации о моделях развертывания Azure см. Понимание моделей развертывания Azure.

• No downtime to resources in either virtual network when you create the peering or after the peering is created.

Сетевой трафик между одноранговыми виртуальными сетями является закрытым. Трафик между виртуальными сетями хранится в магистральной сети Майкрософт. В обмене данными между виртуальными сетями не требуются общедоступные интернет-шлюзы или шифрование.

We recently introduced an added flexibility on top of virtual network peering - 'Subnet peering'.

Дополнительная гибкость, построенная поверх соединения виртуальных сетей, где пользователи получают возможность выбирать конкретные подсети, которые необходимо соединить между виртуальными сетями. Users can specify/enter the list of subnets across the virtual networks that they want to peer. В отличие от этого, в обычном пиринге виртуальных сетей осуществляется пиринг всего адресного пространства и подсетей между виртуальными сетями. Дополнительные сведения см. в разделе "Настройка пиринга подсети".

Подключение

В пиринговых виртуальных сетях ресурсы в любой из виртуальных сетей могут напрямую подключаться к ресурсам в другой пиринговой виртуальной сети.

Задержки в сети между виртуальными машинами в пиринговых виртуальных сетях такие же, как и в пределах одной виртуальной сети. Пропускная способность сети основана на пропускной способности, допустимой для виртуальной машины, пропорционально ее размеру. Дополнительные ограничения пропускной способности при пиринге не применяются.

Трафик между виртуальными машинами в пиринговых виртуальных сетях передается напрямую через магистральную инфраструктуру Майкрософт, а не через шлюз или Интернет.

Чтобы заблокировать доступ к другим виртуальным сетям или подсетям, в любой виртуальной сети можно, при желании, использовать группы безопасности сети. When you configure virtual network peering, either open or close the network security group rules between the virtual networks. Если вы откроете полное подключение между одноранговыми виртуальными сетями, можно применить группы безопасности сети, чтобы заблокировать или запретить конкретный доступ. По умолчанию используется полное подключение. Дополнительные сведения о группах безопасности сети см. в разделе Группы безопасности.

Изменение размера диапазона адресов виртуальных сетей Azure с пиринговым подключением

Вы можете изменить размер адресного пространства виртуальных сетей Azure, которые имеют соединения, без прерывания работы текущего адресного пространства соединений. Эта функция полезна, если необходимо изменить размер адресного пространства виртуальной сети после масштабирования рабочих нагрузок. After the address space is resized, peers must sync with the new address space changes. Изменение размера работает как для адресных пространств IPv4, так и для IPv6.

Изменить размер адресов можно следующим образом:

• Измените префикс диапазона адресов существующего диапазона адресов (например, измените 10.1.0.0/16 на 10.1.0.0/18).

• Добавьте диапазоны адресов в виртуальную сеть.

• Удаление диапазонов адресов из виртуальной сети.

Поддерживается изменение размера адресного пространства в межарендаторском режиме.

Вы можете синхронизировать одноранговые узлы виртуальной сети с помощью портал Azure или Azure PowerShell. Мы рекомендуем выполнять синхронизацию после каждой операции изменения размера адресного пространства, вместо выполнения нескольких операций изменения размера и последующего выполнения синхронизации. Сведения об обновлении адресного пространства для одноранговой виртуальной сети см. в статье Об обновлении адресного пространства для одноранговой виртуальной сети.

Цепочка сервисов

Цепочка сервисов позволяет направлять трафик из одной виртуальной сети к виртуальному устройству или шлюзу в одноранговой сети через маршруты, определяемые пользователем.

To enable service chaining, configure UDRs that point to virtual machines in peered virtual networks as the next hop IP address. Пользовательские маршруты (UDRs) также могут указывать на виртуальные шлюзы сети для обеспечения цепочки сервисов.

You can deploy hub-and-spoke networks where the hub virtual network hosts infrastructure components like a network virtual appliance or a VPN gateway. All the spoke virtual networks can then peer with the hub virtual network. Трафик проходит через виртуальные сетевые модули или VPN-шлюзы в центральной виртуальной сети.

Технология виртуального объединения сетей позволяет следующему переходу в UDR быть IP-адресом виртуальной машины в объединенной виртуальной сети или шлюзом VPN. Невозможно маршрутизировать между виртуальными сетями с помощью UDR, указывающего шлюз Azure ExpressRoute в качестве типа следующего прыжка. To learn more about UDRs, see User-defined routes overview. Чтобы узнать, как создать топологию сети концентратора и периферийной сети, см. статью топологии сети концентраторов и периферийных серверов в Azure.

Шлюзы и локальная подключаемость

Каждая виртуальная сеть, включая одноранговую виртуальную сеть, может иметь собственный шлюз. Виртуальная сеть может использовать свой шлюз для подключения к локальной сети. С помощью шлюзов также можно настроить подключение между виртуальными сетями, даже если для них установлена пиринговая связь.

Если для виртуальных сетей настроены оба типа подключения, трафик между виртуальными сетями проходит через пиринговую связь. Трафик использует магистраль Azure.

Можно также использовать шлюз в одной из этих одноранговых сетей в качестве транзитного пункта при подключении к локальной сети. В этом случае виртуальная сеть, используюющая удаленный шлюз, не может иметь собственный шлюз. Виртуальная сеть может иметь только один шлюз. Шлюз должен быть локальным или удаленным шлюзом в одноранговой виртуальной сети, как показано на следующей схеме.

Как пиринг виртуальных сетей, так и глобальный пиринг виртуальных сетей обеспечивают поддержку транзитного шлюза.

Транзит через шлюз между виртуальными сетями, созданными с помощью разных моделей развертывания, поддерживается. Шлюз должен находиться в виртуальной сети в модели Azure Resource Manager. To learn more about using a gateway for transit, see Configure a VPN gateway for transit in a virtual network peering.

When you peer virtual networks that share a single ExpressRoute connection, the traffic between them goes through the peering relationship. Этот трафик использует магистральную сеть Azure. Вы по-прежнему можете использовать в каждой виртуальной сети локальные шлюзы для подключения к локальному каналу. В противном случае вы можете использовать общий шлюз и настроить транзит для локального подключения.

Устранение неполадок

To confirm that virtual networks are peered, you can check effective routes. Проверьте маршруты сетевого интерфейса любой подсети в виртуальной сети. If a virtual network peering exists, all subnets within the virtual network have routes with next hop type Virtual network peering, for each address space in each peered virtual network. Дополнительные сведения см. в статье Диагностика проблем с маршрутизацией виртуальных машин.

Вы также можете устранить неполадки с подключением к виртуальной машине в одноранговой виртуальной сети с помощью Azure Наблюдатель за сетями. Проверка подключения позволяет увидеть, как трафик направляется из сетевого интерфейса исходящей виртуальной машины к сетевому интерфейсу конечной виртуальной машины. For more information, see Troubleshoot connections with Azure Network Watcher by using the Azure portal.

You can also see Troubleshoot virtual network peering issues.

Ограничения для одноранговых виртуальных сетей

Ограничения, указанные ниже, применяются только когда виртуальные сети соединены глобальным пирингом.

• Ресурсы в одной виртуальной сети не могут взаимодействовать с внешним IP-адресом базовой подсистемы балансировки нагрузки (внутренней или общедоступной) в глобально одноранговой виртуальной сети.

• Определённые службы, использующие базовый балансировщик нагрузки, не работают через пиринг глобальной виртуальной сети. Дополнительные сведения см. в разделе "Что такое ограничения, связанные с пирингом глобальной виртуальной сети и подсистемами балансировки нагрузки?".

You can't perform virtual network peerings as part of the PUT virtual network operation.

Дополнительные сведения см. в разделе Требования и ограничения. Дополнительные сведения о поддерживаемом числе пирингов см. в разделе Ограничения сети.

Разрешения

Дополнительные сведения о разрешениях, необходимых для создания пирингового подключения между виртуальными сетями, см. в разделе Разрешения.

Цены

A nominal fee is charged for ingress and egress traffic that uses a virtual network peering connection. Дополнительные сведения см. в разделе о ценах на виртуальную сеть.

Транзит через шлюз — это свойство пиринга, позволяющее виртуальной сети использовать виртуальную частную сеть или шлюз ExpressRoute в пиринговой виртуальной сети. Gateway transit works for both cross-premises and network-to-network connectivity. Трафик к шлюзу (входящий или исходящий) в сопряженной виртуальной сети приводит к начислению платы за соединение виртуальных сетей в подключенной виртуальной сети (или виртуальной сети без шлюза VPN). Дополнительные сведения см. в статье о ценообразовании Azure VPN Gateway для VPN-шлюзов и шлюзов ExpressRoute.

Связанный контент

• Можно создавать пиринг между двумя виртуальными сетями. Сети могут принадлежать одной подписке или разным подпискам. Пройдите руководство для одного из следующих сценариев:

  Модель развертывания Azure	Подписка
  Менеджер ресурсов	Та же
  	Разные

• Чтобы узнать, как создать топологию сети концентратора и периферийной сети, см. статью топологии сети концентраторов и периферийных серверов в Azure.

• Дополнительные сведения о параметрах пиринга виртуальной сети см. в статье Создание, изменение или удаление пиринга между виртуальными сетями.

• Ответы на распространенные вопросы пиринга между виртуальными сетями и глобальной пиринговой сети см. в статье об пиринге виртуальной сети.