Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В этой статье описывается расширенный дизайн Виртуальная глобальная сеть, который объединяет Брандмауэр Azure в виртуальном концентраторе с сетевым виртуальным устройством в периферийной виртуальной сети для различных путей проверки трафика.
Обзор сценария
Note
Эта архитектура не поддерживает сценарии двойной проверки. Сценарии двойной проверки — это сценарии использования, в которых пакеты направляются и проверяются Брандмауэр Azure в концентраторе Виртуальная глобальная сеть, а затем перенаправляются в NVA в периферийной виртуальной сети. Архитектура двойной проверки поддерживается в концентраторах Виртуальная глобальная сеть, которые используют маршрутизационное намерение в сочетании со статическими маршрутами для подключений виртуальной сети, при этом параметр Propagate Static Route установлен в true.
Этот шаблон проектирования использует сочетание статических маршрутов для отправки частного трафика, например трафика между локальными сетями и виртуальными сетями, для Брандмауэр Azure для проверки. В то же время трафик, связанный с Интернетом, отправляется в сетевое виртуальное устройство (NVA), развернутое в периферийной виртуальной сети для проверки и прерывания.
Этот шаблон проектирования наиболее распространен в сетевых топологиях, где Брандмауэр Azure используется для проверки трафика между Azure и локальными рабочими нагрузками, а доступ к Интернету контролируется сторонней службой сетевого виртуального устройства (NVA) или защищенного веб-шлюза (SWG).
Сетевая схема
На приведенной выше схеме существует два типа виртуальных сетей:
- DMZ виртуальная сеть: размещает службу NVA или SWG, используемую для исходящего трафика в Интернете.
- Виртуальные сети рабочей нагрузки: все остальные виртуальные сети, подключенные к концентратору Виртуальная глобальная сеть.
Потоки трафика
В следующей матрице подключения приводится сводка потоков трафика в этом сценарии.
| Source | Виртуальная сеть нагрузки рабочей среды | DMZ виртуальная сеть | On-premises | Интернет |
|---|---|---|---|---|
| Виртуальная сеть нагрузки рабочей среды | Через Брандмауэр Azure | Через Брандмауэр Azure | Через Брандмауэр Azure | Через DMZ NVA |
| DMZ виртуальная сеть | Напрямую | Напрямую | Напрямую | Напрямую |
| On-premises | Через Брандмауэр Azure | Через Брандмауэр Azure | Напрямую | Через DMZ NVA |
Configuration
таблицы маршрутов Виртуальная глобальная сеть
| Имя таблицы маршрутизации | Связанные подключения | Reasoning |
|---|---|---|
| таблица маршрутов по умолчанию | branches | Для подключения к филиалам и направления локального трафика в Брандмауэр Azure для проверки частного трафика и в DMZ NVA для выхода в интернет. |
| таблица маршрутов нагрузки | Виртуальные сети рабочей нагрузки | Используется виртуальными сетями рабочей нагрузки для маршрутизации частного трафика в Брандмауэр Azure и интернет-трафика, направленного в виртуальную сеть DMZ. |
| dmzRouteTable | Виртуальная сеть DMZ | Используется виртуальной сетью DMZ для изучения префиксов ветви и рабочей нагрузки, чтобы NVA может напрямую возвращать трафик после проверки и разрыва. |
Конфигурация маршрутизации виртуальной глобальной сети
| Connection | Связанная таблица маршрутов | Распространенная таблица маршрутов | Reasoning |
|---|---|---|---|
| Локальные подключения | таблица маршрутов по умолчанию | defaultRouteTable, dmzRouteTable | Локальные префиксы должны отправляться в таблицу маршрутов DMZ, чтобы NVA DMZ мог направлять трафик непосредственно обратно в локальные сети. |
| Виртуальные сети рабочей нагрузки | таблица маршрутов нагрузки | workloadRouteTable, dmzRouteTable | Префиксы рабочей нагрузки должны быть видимы как для других рабочих нагрузок, так и dmzRouteTable. Распространение в DMZ гарантирует, что NVA DMZ может направлять трафик непосредственно обратно в DMZ и в виртуальные сети рабочей нагрузки. |
| Виртуальная сеть DMZ | dmzRouteTable | таблица маршрутов DMZ, таблица маршрутов по умолчанию, таблица маршрутов нагрузки | Виртуальная сеть DMZ распространяется на все таблицы маршрутов. Это гарантирует, что все остальные подключения могут получить доступ к виртуальной сети DMZ непосредственно для исходящего трафика. |
Статические маршруты
Следующие статические маршруты настраиваются путем добавления статических маршрутов непосредственно на подключение виртуальной сети NVA, при этом для параметра "Распространение статического маршрута " задано значение true (модель статической маршрутизации 1). Статические маршруты автоматически внедряются в соответствующие таблицы маршрутов (defaultRouteTable и workloadRouteTable).
| Подключение к виртуальной сети | Префикс адреса | IP-адрес следующего узла | Reasoning |
|---|---|---|---|
| DMZ | 0.0.0.0/0 | 10.5.10.5 | Отправляет трафик, направляемый в Интернет, в NVA или SWG, развернутый в виртуальной сети DMZ для проверки и выхода. |
Для маршрутизации трафика из локальных сетей и виртуальных сетей в Брандмауэр Azure необходимы следующие статические маршруты:
| Таблица маршрутов | Префикс адреса | Следующий прыжок | Reasoning |
|---|---|---|---|
| таблица маршрутов нагрузки | 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 | Брандмауэр Azure | Отправляет трафик виртуальной сети, предназначенный для локальных сетей, в Брандмауэр Azure для проверки. Маршрут 0.0.0.0/0 не требуется , так как маршрут 0.0.0.0/0 автоматически распространяется из-за распространения статического маршрута на подключении виртуальной сети NVA. |
| таблица маршрутов по умолчанию | 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12 | Брандмауэр Azure | Отправляет локальный трафик, предназначенный для виртуальных сетей рабочей нагрузки, в Брандмауэр Azure для проверки. Маршрут 0.0.0.0/0 не требуется , так как маршрут 0.0.0.0/0 автоматически распространяется из-за распространения статического маршрута на подключении виртуальной сети NVA. |
При использовании модели статической маршрутизации 2 добавьте дополнительные статические маршруты в таблицы маршрутов:
| Таблица маршрутов | Префикс адреса | Следующий прыжок | Reasoning |
|---|---|---|---|
| таблица маршрутов нагрузки | 0.0.0.0/0 | Подключение виртуальной сети DMZ | Отправляет интернет-трафик из виртуальной сети в DMZ NVA. |
| таблица маршрутов по умолчанию | 0.0.0.0/0 | Подключение виртуальной сети DMZ | Отправляет локальный трафик в интернет через DMZ NVA. |
Дополнительные рекомендации
- Если статические маршруты пересекаются с адресным пространством виртуальной сети NVA, убедитесь, что настройка обход следующего узла для IP-адреса рабочих нагрузок в этой виртуальной сети выполнена правильно при подключении к виртуальной сети. Переключение этого параметра на true часто требуется для сценариев, когда требуется прямой доступ к интерфейсу управления NVA. Дополнительные сведения см. в разделе Обход IP-адреса следующего узла для рабочих нагрузок в этой Виртуальной сети.
- Чтобы убедиться, что подключение узнает маршрут 0.0.0.0/0 из Виртуальная глобальная сеть, убедитесь, что для параметра Propagate по умолчанию или Enable Internet Security для подключения задано значение On.