此參考架構會使用客戶管理的中樞基礎結構元件來實作中樞輪輻網路模式。 如需Microsoft受控中樞基礎結構解決方案，請參閱 使用 Azure 虛擬 WAN 的中樞輪輻網路拓撲。
中樞輪輻是雲端採用架構建議的網路拓撲之一。 請參閱 定義 Azure 網路拓撲，以了解為何此拓撲被視為許多組織的最佳做法。
架構
下載此架構的 Visio 檔案。
中樞輪輻概念
中樞輪輻網路拓撲通常包含下列許多架構概念：
中樞虛擬網路 - 中樞虛擬網路會裝載共用的 Azure 服務。 裝載於輪輻虛擬網路中的工作負載可以使用這些服務。 中樞虛擬網路是跨單位網路的連線中心點。 中樞包含您的輸出主要點，並提供一個機制，以在需要跨虛擬網路流量的情況下，將一個輪輻連線到另一個輪輻。
中樞是區域資源。 在多個區域中擁有其工作負載的組織，應該會有多個中樞，每個區域一個。
中樞可啟用下列概念：
跨單位閘道 - 跨單位連線能力是能夠彼此連線和整合不同的網路環境。 此閘道通常是 VPN 或 ExpressRoute 線路。
輸出控制 - 源自對等互連輪輻虛擬網路的輸出流量管理和法規。
（選擇性） 輸入控制 - 對等互連輪輻虛擬網路中端點的輸入流量管理和法規。
遠端訪問 - 遠端訪問是輪輻網路中個別工作負載如何從輪輻本身網路以外的網路位置存取。 這可能適用於工作負載的數據或控制平面。
虛擬機的遠端輪輻存取 - 中樞可以是一個方便的位置，可建置跨組織遠端連線解決方案，以便 RDP 和 SSH 存取分散於輪輻網路的虛擬機。
路由 - 管理和引導中樞與連線輪輻之間的流量，以啟用安全且有效率的通訊。
輪輻虛擬網路 - 輪輻虛擬網路會隔離和管理每個輪輻中的工作負載。 每個工作負載都可以包含多層，其中有多個子網透過 Azure 負載平衡器連線。 輪輻可以存在於不同的訂用帳戶中，並代表不同的環境，例如生產和非生產環境。 一個工作負載甚至可以分散到多個輪輻。
在大部分情況下，輪輻應該只對等互連至單一中樞網路，而中樞網路應該位於與輪輻相同的區域中。
這些輪輻網路會遵循 預設輸出存取的規則。 此中樞輪輻網路拓撲的核心目的是透過中樞所提供的控制機制，將輸出因特網流量導向。
虛擬網路跨連線 - 虛擬網路連線是一個隔離虛擬網路可以透過控制機制與其他虛擬網路通訊的路徑。 控制機制會強制執行許可權，並允許網路之間的通訊方向。 中樞會提供選項，以支持選取要流經集中式網路的跨網路連線。
DNS - 中樞輪輻解決方案通常負責提供所有對等互連輪輻所使用的 DNS 解決方案，特別是用於跨單位路由和私人端點 DNS 記錄。
元件
Azure 虛擬網路是私人網路在 Azure 中的基本建置組塊。 虛擬網絡 可讓許多 Azure 資源，例如 Azure VM，安全地彼此通訊、跨單位網路和因特網。
此架構會使用 對等互連連線， 虛擬網路之間的非可轉移、低延遲連線，將虛擬網路連線至中樞。 對等互連的虛擬網路可以透過 Azure 骨幹交換流量，而不需要路由器。 在中樞輪輻架構中，直接對等互連虛擬網路彼此是最少的，並保留給特殊案例。
Azure Bastion 是完全受控的服務，可提供更安全且順暢的遠端桌面通訊協定 （RDP） 和安全殼層通訊協定 （SSH） 存取 VM，而不會公開其公用 IP 位址。 在此架構中，Azure Bastion 會作為受控供應專案，以支援跨連線輪輻的直接 VM 存取。
Azure 防火牆 是受控雲端式網路安全性服務，可保護 虛擬網絡 資源。 此具狀態防火牆服務具有內建的高可用性和不受限制的雲端延展性，可協助您跨訂用帳戶和虛擬網路建立、強制執行和記錄應用程式和網路連線原則。
在此架構中，Azure 防火牆具有多個潛在角色。 防火牆是來自對等互連輪輻虛擬網路之因特網目的地流量的主要輸出點。 防火牆也可用來使用IDPS規則來檢查輸入流量。 最後，防火牆也可以當做 DNS Proxy 伺服器使用，以支援 FQDN 流量規則。
VPN 閘道 是特定類型的虛擬網路閘道，可透過公用因特網在 Azure 上的虛擬網路與不同網路之間傳送加密流量。 您也可以使用 VPN 閘道，透過Microsoft網路，在其他中樞虛擬網路之間傳送加密流量。
在此架構中，這是將部分或所有支點連線到遠端網路的其中一個選項。 輪輻通常不會部署自己的 VPN 閘道，而是改用中樞所提供的集中式解決方案。 您必須建立路由設定來管理此連線能力。
Azure ExpressRoute 閘道 交換 IP 路由，並路由傳送內部部署網路與 Azure 虛擬網路之間的網路流量。 在此架構中，ExpressRoute 會選擇 VPN 閘道，將部分或所有支點連線到遠端網路。 輪輻不會部署自己的 ExpressRoute，而這些輪輻會使用中樞所提供的集中式解決方案。 如同 VPN 閘道，您必須建立路由設定來管理此連線。
Azure 監視器 可以收集、分析和處理來自跨單位環境的遙測數據，包括 Azure 和內部部署。 Azure 監視器可協助您最大化應用程式的效能和可用性，並在數秒內主動找出問題。 在此架構中，Azure 監視器是中樞資源和網路計量的記錄和計量接收。 Azure 監視器也可以作為輪輻網路中資源的記錄接收，但這是各種已連線工作負載的決策，而且此架構並未授權。
選擇
此架構牽涉到數個 Azure 資源基本類型的建立、設定和維護，也就是：virtualNetworkPeerings、routeTables和 subnets。
Azure 虛擬網路管理員 是一項管理服務，可協助您跨 Azure 訂用帳戶、區域和Microsoft Entra 目錄大規模分組、設定、部署和管理虛擬網路。 使用虛擬網路管理員，您可以定義 網路群組， 來識別和以邏輯方式分割虛擬網路。 您可以使用 已連線的群組，讓群組內的虛擬網路彼此通訊，就像是手動聯機一樣。 此層會針對這些基本類型新增一層抽象概念，以專注於描述網路拓撲與處理該拓撲的實作。
建議您評估使用虛擬網路管理員作為使用網路管理作業優化時間花費的方式。 根據計算值/節省來評估服務的成本，以判斷虛擬網路管理員是否為您的網路大小和複雜度帶來凈效益。
案例詳細資料
此參考架構會實作中樞輪輻網路模式，其中中樞虛擬網路會作為連線到許多輪輻虛擬網路的中心點。 輪輻虛擬網路會與中樞連線，並可用來隔離工作負載。 您也可以使用中樞連線到內部部署網路，來啟用跨單位案例。
此架構描述具有客戶自控中樞基礎結構元件的網路模式。 如需Microsoft受控中樞基礎結構解決方案，請參閱 使用 Azure 虛擬 WAN 的中樞輪輻網路拓撲。
使用客戶管理的中樞和輪輻設定的優點包括：
- 成本節省
- 克服訂用帳戶限制
- 工作負載隔離
- 靈活性
- 進一步控制如何部署網路虛擬設備（NVA），例如 NIC 數目、實例數目或計算大小。
- 使用虛擬 WAN 不支援的 NVA
如需詳細資訊，請參閱 中樞和輪輻網路拓撲。
潛在使用案例
中樞和輪輻架構的一般用途包括下列工作負載：
- 有數個需要共用服務的環境。 例如，工作負載可能會有開發、測試和生產環境。 共用服務可能包括 DNS 識別碼、網路時間通訊協定（NTP）或 Active Directory 網域服務（AD DS）。 共用服務會放在中樞虛擬網路中，而每個環境都會部署到不同的輪輻，以維持隔離。
- 不需要彼此連線，但需要共用服務的存取權。
- 需要集中控制安全性，例如中樞中具有隔離工作負載管理的周邊網路（也稱為 DMZ）防火牆。
- 需要集中控制連線能力，例如特定環境或工作負載輪輻之間的選擇性連線或隔離。
建議
下列建議適用於大部分案例。 除非您有覆寫這些建議的特定需求，否則請遵循這些建議。
資源群組、訂用帳戶和區域
此範例解決方案會使用單一 Azure 資源群組。 您也可以在不同的資源群組和訂用帳戶中實作中樞和每個輪輻。
當您將不同訂用帳戶中的虛擬網路對等互連時，您可以將訂用帳戶與相同或不同的Microsoft Entra 租用戶產生關聯。 這種彈性可讓您分散管理每個工作負載，同時維護中樞中的共享服務。 請參閱 建立虛擬網路對等互連 - Resource Manager、不同的訂用帳戶和Microsoft Entra 租使用者。
Azure 登陸區域
Azure 登陸區域架構 是以中樞輪輻拓撲為基礎。 在該架構中，中樞的共用資源和網路是由集中式平臺小組所管理，而輪輻則與平臺小組和使用輪輻網路的工作負載小組共用共同擁有權模型。 所有中樞都位於集中式管理的「連線」訂用帳戶中，而輪輻虛擬網路則存在於許多個別工作負載訂用帳戶中，稱為「應用程式登陸區域訂用帳戶」。
虛擬網路子網路
下列建議概述如何在虛擬網路上設定子網。
GatewaySubnet
虛擬網路閘道需要此子網。 如果您不需要跨單位網路連線，也可以使用不含網關的中樞輪輻拓撲。
建立名為 GatewaySubnet 且地址範圍至少為 26的子網。
/26 位址範圍提供足夠的子網延展性設定選項，以防止未來達到網關大小限制，並容納更多 ExpressRoute 線路。 如需設定閘道的詳細資訊，請參閱 使用 VPN 閘道的混合式網路。
AzureFirewallSubnet
建立名為 AzureFirewallSubnet 且地址範圍至少 /26為 的子網。 無論縮放比例為何，位址範圍都是建議的大小， /26 並涵蓋任何未來的大小限制。 此子網不支持網路安全組 （NSG）。
Azure 防火牆 需要此子網。 如果您使用合作夥伴網路虛擬設備 （NVA），請遵循其網路需求。
輪輻網路連線能力
虛擬網路對等互連或連線群組是虛擬網路之間的非可轉移關聯性。 如果您需要輪輻虛擬網路彼此連線，請在這些輪輻之間新增對等互連連線，或將它們放在相同的網路群組中。
透過 Azure 防火牆 或 NVA 的輪輻連線
每個虛擬網路的虛擬網路對等互連數目有限。 如果您有許多輪輻需要彼此連線，則可能會用盡對等互連連線。 線上的群組也有限制。 如需詳細資訊，請參閱 網路限制 和 聯機的群組限制。
在此案例中，請考慮使用使用者定義路由 （UDR） 強制將輪輻流量傳送至 Azure 防火牆 或其他作為中樞路由器的 NVA。 此變更允許支點彼此連線。 若要支援此組態，您必須在啟用強制通道組態的情況下實作 Azure 防火牆。 如需詳細資訊，請參閱 Azure 防火牆強制通道。
此架構設計中的拓撲有助於輸出流程。 雖然 Azure 防火牆主要用於輸出安全性，但它也可以是輸入點。 如需有關中樞 NVA 輸入路由的其他考量事項，請參閱虛擬網路的防火牆和應用程式閘道。
透過中樞網關聯機到遠端網路的輪輻連線
若要設定輪輻以透過中樞閘道與遠端網路通訊，您可以使用虛擬網路對等互連或連線的網路群組。
若要使用虛擬網路對等互連，請在虛擬網路 對等互連 設定中：
- 將中樞中的對等互連連線設定為 [允許 閘道傳輸]。
- 將每個輪輻中的對等互連連線設定為 使用遠端虛擬網路的閘道。
- 將所有對等互連連線設定為 [允許 轉送的流量]。
如需詳細資訊，請參閱 建立虛擬網路對等互連。
若要使用連線的網路群組：
- 在 虛擬網絡 Manager 中，建立網路群組並新增成員虛擬網路。
- 建立中樞和輪輻聯機設定。
- 針對輪輻網络群組，選取 [中樞] 作為網關。
如需詳細資訊，請參閱使用 Azure 虛擬網絡 Manager 建立中樞和輪輻拓撲。
輪輻網路通訊
有兩個主要方式可讓輪輻虛擬網路彼此通訊：
- 透過 NVA 進行通訊，例如防火牆和路由器。 此方法會產生兩個輪輻之間的躍點。
- 使用虛擬網路對等互連或 虛擬網絡 管理員直接連線輪輻之間的通訊。 此方法不會造成兩個輪輻之間的躍點，因此建議將延遲降到最低。
- Private Link 可用來選擇性地向其他虛擬網路公開個別資源。 例如，將內部負載平衡器公開至不同的虛擬網路，而不需要形成或維護對等互連或路由關聯性。
如需輪輻對輪輻網路模式的詳細資訊，請參閱 輪輻對輪輻網路。
透過 NVA 通訊
如果您需要輪輻之間的連線，請考慮在中樞內部署 Azure 防火牆 或其他 NVA。 然後建立路由，將輪輻的流量轉送至防火牆或 NVA，然後路由至第二個輪輻。 在此案例中，您必須設定對等互連連線以允許轉送的流量。
您也可以使用 VPN 閘道來路由輪輻之間的流量，雖然此選項會影響延遲和輸送量。 如需設定詳細數據，請參閱 設定虛擬網路對等互連的 VPN 閘道傳輸。
評估您在中樞中共用的服務，以確保中樞會調整為較大的輪輻數目。 例如，如果您的中樞提供防火牆服務，當您新增多個輪輻時，請考慮防火牆解決方案的頻寬限制。 您可以將其中一些共享服務移至第二層中樞。
輪輻網路之間的直接通訊
若要在輪輻虛擬網路之間直接連線，而不周遊中樞虛擬網路，您可以在輪輻之間建立對等互連連線，或啟用網路群組的直接連線。 最好限制對等互連或直接連線到屬於相同環境和工作負載的輪輻虛擬網路。
當您使用 虛擬網絡 Manager 時，您可以手動將輪輻虛擬網路新增至網路群組，或根據您定義的條件自動新增網路。
下圖說明如何使用 虛擬網絡 Manager 進行輪輻之間的直接連線。
考量
這些考量能實作 Azure Well-Architected Framework 的支柱，其為一組指導原則，可以用來改善工作負載的品質。 如需更多資訊，請參閱 Microsoft Azure 結構完善的架構。
可靠性
可靠性可確保您的應用程式可以符合您對客戶的承諾。 如需詳細資訊，請參閱 可靠性支柱概觀。
使用 可用性區域 中樞內支援的 Azure 服務。
一般情況下，最好每個區域至少有一個中樞，並且只將輪輻聯機到來自相同區域的中樞。 此設定可協助大量區域避免某個區域的中樞發生失敗，導致不相關的區域發生廣泛的網路路由失敗。
為了獲得更高的可用性，您可以使用 ExpressRoute 加上用於故障轉移的 VPN。 請參閱 使用 ExpressRoute 搭配 VPN 故障轉移將內部部署網路連線至 Azure，並遵循指引來 設計和架構 Azure ExpressRoute 以取得復原。
由於 Azure 防火牆如何實作 FQDN 應用程式規則，請確定透過防火牆輸出的所有資源都使用與防火牆本身相同的 DNS 提供者。 若未這麼做，Azure 防火牆可能會封鎖合法的流量，因為防火牆的 FQDN IP 解析與流量來源者相同 FQDN 的 IP 解析不同。 將 Azure 防火牆 Proxy 納入為輪輻 DNS 解析的一部分，是確保 FQDN 與流量來源器和 Azure 防火牆同步的一個解決方案。
安全性
安全性可提供保證，以避免刻意攻擊和濫用您寶貴的資料和系統。 如需詳細資訊，請參閱 安全性的設計檢閱檢查清單。
若要防範 DDoS 攻擊，請在任何周邊虛擬網路上啟用 Azure DDOS 保護。 具有公用IP的任何資源都容易受到 DDoS 攻擊的影響。 即使您的工作負載未公開，您仍然有需要保護的公用IP，例如：
- Azure 防火牆的公用IP
- VPN 閘道的公用IP
- ExpressRoute 的控制平面公用IP
若要將未經授權的存取風險降到最低，並強制執行嚴格的安全策略，請一律在網路安全組 （NSG） 中設定明確的拒絕規則。
使用 Azure 防火牆進階 版本來啟用 TLS 檢查、網路入侵檢測和預防系統 （IDPS） 和 URL 篩選。
虛擬網路管理員安全性
若要確保安全性規則的基準集，請務必將安全性管理規則與網路群組中的虛擬網路產生關聯。 安全性系統管理員規則優先於 NSG 規則之前評估。 如同 NSG 規則，安全性管理員規則支援優先順序、服務標籤和 L3-L4 通訊協定。 如需詳細資訊，請參閱 虛擬網絡 Manager 中的安全性系統管理員規則。
使用 虛擬網絡 管理員部署，以利控制對網路安全組安全性規則的潛在重大變更推出。
成本優化
成本優化是減少不必要的費用並提升營運效率的方法。 如需詳細資訊，請參閱 成本優化的設計檢閱檢查清單。
當您部署和管理中樞和輪輻網路時，請考慮下列成本相關因素。 如需詳細資訊，請參閱 虛擬網路定價。
Azure 防火牆 成本
此架構會在中樞網路中部署 Azure 防火牆 實例。 使用 Azure 防火牆 部署做為多個工作負載所耗用的共享解決方案，相較於其他 NVA，可以大幅節省雲端成本。 如需詳細資訊，請參閱 Azure 防火牆 與網路虛擬設備。
若要有效地使用所有已部署的資源，請選擇正確的 Azure 防火牆 大小。 決定您需要哪些功能，以及哪一層最適合您目前的工作負載集。 若要瞭解可用的 Azure 防火牆 SKU，請參閱什麼是 Azure 防火牆？
直接對等互連
選擇性地使用輪輻之間的直接對等互連或其他非中樞路由通訊，可以避免 Azure 防火牆處理的成本。 對於具有輪輻之間具有高輸送量、低風險通訊的工作負載，例如資料庫同步處理或大型檔案複製作業，節省成本可能相當重要。
卓越營運
卓越營運涵蓋部署應用程式的作業程式，並讓它在生產環境中執行。 如需詳細資訊，請參閱 Operational Excellence的設計檢閱檢查清單。
啟用所有服務的診斷設定，例如 Azure Bastion、Azure 防火牆，以及您的跨內部網關。 判斷哪些設定對您的作業有意義。 關閉不有意義的設定，以避免不正當的成本。 Azure 防火牆等資源在記錄時可能很詳細，而且可能會產生高監視成本。
使用 連線監視器 進行端對端監視，以偵測異常狀況，並找出網路問題並進行疑難解答。
使用 Azure 網路監看員 來監視和疑難解答網路元件，包括使用 使用分析 來顯示虛擬網路中產生最多流量的系統。 您可以在瓶頸變成問題之前，以可視化方式識別瓶頸。
如果您使用 ExpressRoute，請使用 ExpressRoute 流量收集器，您可以在其中分析透過 ExpressRoute 線路傳送的網路流量記錄。 ExpressRoute 流量收集器可讓您查看透過Microsoft企業邊緣路由器流動的流量。
在 Azure 防火牆中使用 FQDN 型規則進行 HTTP（s） 以外的通訊協定，或在設定 SQL Server 時使用。 使用 FQDN 可降低管理個別 IP 位址的管理負擔。
根據對等互連需求規劃 IP 位址 ，並確定地址空間不會在跨跨單位位置和 Azure 位置重疊。
使用 Azure 虛擬網路管理員進行自動化
若要集中管理連線和安全性控制，請使用 Azure 虛擬網路管理員 來建立新的中樞和輪輻虛擬網路拓撲，或將現有拓撲上線。 使用 虛擬網絡 Manager 可確保您的中樞和輪輻網路拓撲已準備好跨多個訂用帳戶、管理群組和區域進行大規模的未來成長。
虛擬網絡 管理員使用案例的範例包括：
- 對業務單位或應用程式小組等群組的輪輻虛擬網路管理進行民主化。 民主化可能會導致大量的虛擬網路對虛擬網路連線和網路安全性規則需求。
- 標準化多個 Azure 區域中的多個復本架構，以確保應用程式的全域使用量。
若要確保統一的連線和網路安全規則，您可以使用 網路群組 ，將相同Microsoft Entra 租使用者下任何訂用帳戶、管理群組或區域中的虛擬網路分組。 您可以透過動態或靜態成員資格指派，自動或手動將虛擬網路上線至網路群組。
您可以使用範圍定義 虛擬網絡 管理員所管理的虛擬網路可探索性。 這項功能可為所需的網路管理員實例提供彈性，以進一步管理虛擬網路群組的民主化。
若要將相同網路群組中的輪輻虛擬網路彼此連線，請使用 虛擬網絡 Manager 來實作虛擬網路對等互連或直接連線。 使用全域網格選項，將網格直接連線延伸至不同區域中的輪輻網路。 下圖顯示區域之間的全域網格連線。
您可以將網路群組內的虛擬網路與一組基準安全性系統管理員規則產生關聯。 網路安全組安全性系統管理員規則可防止輪輻虛擬網路擁有者覆寫基準安全性規則，同時讓他們獨立新增自己的安全性規則集和 NSG。 如需在中樞和輪輻拓撲中使用安全性系統管理員規則的範例，請參閱 教學課程：建立安全的中樞和輪輻網路。
為了協助控制網路群組、連線和安全性規則的推出，虛擬網絡 Manager 組態部署可協助您安全地釋放中樞和輪輻環境的潛在重大設定變更。 如需詳細資訊，請參閱 Azure 虛擬網絡 Manager 中的設定部署。
若要簡化和維護路由設定的程式，您可以在 Azure 虛擬網路管理員 中使用使用者定義路由的自動化管理。
若要簡化並集中管理IP位址，您可以在 Azure 虛擬網路管理員 中使用IP 位址管理 （IPAM）。 IPAM 可防止內部部署和雲端虛擬網路之間的IP位址空間衝突。
若要開始使用 虛擬網絡 Manager，請參閱使用 Azure 虛擬網絡 Manager 建立中樞和輪輻拓撲。
效能效率
效能效率是工作負載調整的能力，以符合使用者以有效率的方式滿足其需求。 如需詳細資訊，請參閱 效能效率要素概觀。
針對從內部部署與 Azure 虛擬網路中需要低延遲和高頻寬的虛擬機通訊的工作負載，請考慮使用 expressRoute FastPath 。 FastPath 可讓您直接從內部部署將流量傳送至虛擬網路中的虛擬機，略過 ExpressRoute 虛擬網路閘道，以提升效能。
針對需要低延遲的輪輻對輪輻通訊，請考慮設定 輪輻對輪輻網路。
選擇符合需求的適當 閘道 SKU，例如點對站或站對站連線數目、每秒所需的封包數、頻寬需求和 TCP 流程。
對於延遲敏感的流程，例如 SAP 或記憶體的存取權，請考慮略過 Azure 防火牆，甚至完全透過中樞進行路由。 您可以 Azure 防火牆 引進的測試延遲，以協助您做出決策。 您可以使用 VNet 對等互連 等功能，連接兩個以上的網路或 Azure Private Link，讓您能夠透過虛擬網路中的私人端點連線到服務。
瞭解在 Azure 防火牆中啟用特定功能，例如入侵檢測和預防系統 （IDPS），可降低輸送量。 如需詳細資訊，請參閱 Azure 防火牆效能。
部署此案例
此部署包含一個中樞虛擬網路和兩個連線的輪輻，也會部署 Azure 防火牆 實例和 Azure Bastion 主機。 或者，部署可以在第一個輪輻網路和 VPN 閘道中包含 VM。 您可以選擇虛擬網路對等互連或 虛擬網絡 管理員連線群組，以建立網路連線。 每個方法都有數個部署選項。
參與者
本文由 Microsoft 維護。 原始投稿人如下。
主要作者：
- Alejandra Palacios |資深客戶工程師
- 何塞·莫雷諾 |首席工程師
- Adam Torkar |Microsoft 的 Azure 網路全域黑帶
其他投稿人：
- 馬修·布拉茨春 |客戶工程師
- Jay Li |資深產品經理
- Telmo Sampaio |Principal Service Engineering Manager
若要查看非公開的 LinkedIn 設定檔，請登入 LinkedIn。
下一步
- 若要瞭解安全虛擬中樞以及 Azure 防火牆 管理員設定的相關安全性和路由原則，請參閱什麼是安全的虛擬中樞？
進階案例
您的架構可能與這個簡單的中樞輪輻架構不同。 以下是一些進階案例的指引清單：
使用 Azure 路由伺服器將更多區域和完全網格化中樞彼此 - 輪輻對輪輻網路，以及使用 Azure 路由伺服器 多區域網路
將 Azure 防火牆取代為自定義網路虛擬裝置 （NVA） - 部署高可用性 NVA
將 Azure 虛擬網路閘道取代為自訂 SDWAN NVA - SDWAN 與 Azure 中樞和輪輻網路拓撲的整合
使用 Azure 路由伺服器提供 ExpressRoute 與 VPN 或 SDWAN 之間的可轉移性，或自定義透過 Azure 虛擬網路閘道上的 BGP 公告的前置詞， - Azure Route Server 對 ExpressRoute 和 Azure VPN 的支援
- 私人解析程式架構 新增私人解析程式或 DNS 伺服器
相關資源
探索下列相關架構：