Планирование виртуальных сетей в Azure
На основе исследований вы решили реализовать сетевую архитектуру концентратора для миграции вашей компании в Azure. В качестве ведущего архитектора проекта вы управляете разработкой виртуального сетевого дизайна с помощью Azure ExpressRoute для подключения вашей штаб-квартиры. Вы также должны решить, как подключить вспомогательные офисы вашей компании к новой центральной сети.
В этом уроке вы изучите виртуальные сети на платформе Azure, рекомендации по проектированию и как реализовать ExpressRoute для подключения к локальным сетям.
Общие сведения о виртуальных сетях Azure
Виртуальные сети предоставляют сетевые службы в Azure и позволяют расширить существующую локальную инфраструктуру. Виртуальная сеть Azure может представлять частную ИТ-инфраструктуру в облаке, логически изолируя выделенные ресурсы в подписках. Виртуальные сети позволяют:
- Внешние подключения к Интернету.
- Обмен данными между различными внутренними ресурсами Azure.
- Изоляция этих ресурсов.
- Подключения к локальным компьютерам.
- Управление сетевым трафиком.
Двумя важными элементами виртуальных сетей являются подсети и группы безопасности сети.
- подсети: каждая виртуальная сеть может содержать множество подсетей. Каждая подсеть имеет собственные уникальные свойства.
- группы безопасности сети. Эти группы безопасности сети позволяют фильтровать входящий и исходящий трафик через виртуальную сеть или подсеть. Для фильтрации трафика по исходному и целевому IP-адресу, порту или протоколу также можно использовать группы безопасности сети.
Рекомендации по планированию и проектированию виртуальных сетей
Любая сеть, будь то локальная или облачная, требует метода управления потоком, направлением и типом трафика через него. Существует несколько рекомендаций для виртуальных сетей:
- сегментации. Важно рассмотреть возможность изоляции трафика в разных подсетях или виртуальных сетях или в отдельные подписки.
- Безопасность: Использование группы сетевой безопасности (NSG) и виртуальных сетевых устройств безопасности для фильтрации сетевого трафика в и из ресурсов в виртуальной сети.
- Подключение: Вы можете подключить виртуальную сеть к другим виртуальным сетям с помощью пиринга виртуальных сетей или к вашим локальным сетям с помощью ExpressRoute или VPN-шлюза Azure.
- маршрутизации: виртуальные сети Azure автоматически создают таблицы маршрутизации в каждой подсети и добавляют в них системные маршруты по умолчанию. Пользовательские маршруты позволяют переопределить маршруты системы, установленные по умолчанию. С помощью пользовательских маршрутов можно направлять трафик через сетевые виртуальные устройства, чтобы обеспечить расширенную безопасность и фильтрацию.
Подключение локальной сети
Необходимо обеспечить связь между локальной сетью и Azure при их интеграции. VPN-шлюз Azure предоставляет эту функцию. VPN-шлюз отправляет зашифрованный трафик между двумя сетями через Интернет. Шлюзы поддерживают несколько подключений, которые направляют VPN-туннели через доступную пропускную способность, хотя виртуальная сеть может назначать только один шлюз. Вы также можете использовать VPN-шлюз для сетевых подключений в Azure.
Azure ExpressRoute — это еще один вариант для подключения. ExpressRoute позволяет расширить локальные сети через частное подключение к Azure. Это подключение облегчается поставщиком подключения или облачным поставщиком обмена данными. ExpressRoute расширяется более широко, чем только ресурсы Azure, и позволяет устанавливать подключения к другим облачным службам Майкрософт, таким как Office 365.
Реализация ExpressRoute занимает некоторое время. Вам нужно работать через поставщика подключения, и возможно потребуется реализация физического сетевого устройства. Чтобы обеспечить подключение во время выполнения этой реализации, вы можете использовать VPN типа "сеть — сеть" для добавления подключения между локальными ресурсами и виртуальными сетями Azure. Затем вы переходите к новому подключению ExpressRoute, когда поставщик услуг подтверждает завершение установки.
Использование ExpressRoute в топологии с помощью концентратора
Использование ExpressRoute в звездообразной топологии не отличается от других архитектурных шаблонов. ExpressRoute, который лежит в основе подключения между концентратором и локальной сетью, лучше всего подходит при наличии высокой пропускной способности данных как входящих, так и исходящих.
Каналы используются для управления трафиком и маршрутизации трафика, связывания ExpressRoute с виртуальной сетью в Azure. Каналы, подключенные к виртуальной сети, могут находиться в разных регионах или подписках. Количество виртуальных сетей на канал ExpressRoute ограничено. Для стандартного уровня ограничение в настоящее время составляет 10 сетей. Если вы используете дополнение премиум, ограничение увеличивается на основе размера схемы. Наименьшее число — 20 виртуальных сетей в канале размером 50 Мбит/с, до 100 для каналов, которые составляют 10 Гбит/с или больше.