Поделиться через

Сценарий. Пользовательская изоляция для виртуальных сетей

  • Статья

При работе с маршрутизацией виртуальных концентраторов Виртуальной глобальной сети существует несколько доступных сценариев. В сценарии пользовательской изоляции для виртуальных сетей цель заключается в запрещении доступа определенному набору виртуальных сетей к другому заданному набору виртуальных сетей. Но виртуальные сети должны охватывать все ветви (VPN, ER и VPN пользователя). Дополнительные сведения см. в статье Сведения о маршрутизации виртуальных концентраторов.

Проект

Чтобы узнать, сколько таблиц маршрутов необходимо, можно создать матрицу подключения. Для этого сценария это выглядит следующим образом, где каждая ячейка показывает, может ли источник (строка) устанавливать связь с местом назначения (столбцом):

От Кому: Синие виртуальные сети Красные виртуальные сети Ветви
Синие виртуальные сети → Напрямую Напрямую
Красные виртуальные сети → Напрямую Напрямую
Отделения → Напрямую Напрямую Напрямую

Каждая ячейка в предыдущей таблице отражает, взаимодействует ли соединение Виртуальной глобальной сети (сторона потока "От", заголовки строк) с назначением (сторона потока "До", заголовки столбцов, выделенные курсивом). В этом сценарии нет брандмауэров или сетевых виртуальных устройств, поэтому данные передаются непосредственно по Виртуальной частной сети (поэтому в таблице используется слово "Direct").

Количество разных шаблонов строк — это количество таблиц маршрутов, необходимых в этом сценарии. В этом случае три таблицы маршрутов, которые мы вызываем, являются RT_BLUE и RT_RED для виртуальных сетей и по умолчанию для ветвей. Помните, что ветви всегда должны быть связаны с таблицей маршрутизации Default.

Ветви должны изучать префиксы из виртуальных сетей Red и Blue, поэтому все VNets должны распространяться в Default (в дополнение к RT_BLUE или RT_RED). Синие и красные виртуальные сети должны изучать префиксы ветвей, поэтому ветви распространяются как на таблицы маршрутов RT_BLUE , так и на RT_RED . В результате будет получен окончательный проект:

  • Голубые виртуальные сети:
    • Связанная таблица маршрутов: RT_BLUE.
    • Распределение по таблицам маршрутизации: RT_BLUE и Default.
  • Красные виртуальные сети:
    • Связанная таблица маршрутизации: RT_RED.
    • Распространение в таблицах маршрутизации: RT_RED и По умолчанию.
  • Ветви:
    • Связанная таблица маршрутов: По умолчанию
    • Распространение в таблицы маршрутизации: RT_BLUE, RT_RED и Default.

Примечание.

Поскольку все филиалы необходимо связать с таблицей маршрутизации Default, а также чтобы они распространялись в один и тот же набор таблиц маршрутизации, все филиалы будут иметь одинаковый профиль подключения. Другими словами, концепцию красных и синих виртуальных сетей (Red/Blue) нельзя применять к филиалам.

Примечание.

Если Виртуальная глобальная сеть развертывается по нескольким концентраторам, необходимо создать RT_BLUE и RT_RED таблицы маршрутов в каждом концентраторе, а маршруты из каждого подключения виртуальной сети необходимо распространить на таблицы маршрутов в каждом виртуальном концентраторе с помощью меток распространения.

Дополнительные сведения см. в статье Сведения о маршрутизации виртуальных концентраторов.

Рабочий процесс

На рис. 1 представлены синие и красные подключения к виртуальной сети.

  • Синие соединенные виртуальные сети могут взаимодействовать друг с другом и иметь доступ ко всем филиалам через соединения (VPN/ER/P2S).
  • Красные виртуальные сети могут связаться друг с другом и достичь всех ветвей (VPN/ER/P2S).

При настройке маршрутизации рекомендуем следующие действия.

  1. Создайте две пользовательские таблицы маршрутизации на портале Azure: RT_BLUE и RT_RED.
  2. Для таблицы маршрутов RT_BLUE для следующих параметров:
    • Ассоциация: Выберите все синие виртуальные сети.
    • Распространение: Для ветвей выберите опцию, связанную с подключениями branch(VPN/ER/P2S), которые распространяют маршруты в эту таблицу маршрутов, тем самым подразумевая их распространение.
  3. Повторите те же действия для таблицы маршрутизации RT_RED для виртуальных сетей Red и филиалов (VPN, ER и P2S).

Это приводит к изменению конфигурации маршрутизации, как показано на следующем рисунке.

Рисунок 1

рисунок 1

Следующие шаги