Administración de red centralizada con Azure Virtual Network Manager

Azure Virtual Network Manager agrupa, configura, implementa y administra redes virtuales a escala en distintas suscripciones. En lugar de configurar cada red virtual individualmente, defina la intención de administración de forma centralizada y Azure Virtual Network Manager la aplica de forma coherente en todo el entorno. Aplique una instancia de Azure Virtual Network Manager a un grupo de administración o a una suscripción, y administre todas las redes virtuales dentro de ese ámbito desde un único plano de control.

En este artículo se explican las cuatro funcionalidades principales de Azure Virtual Network Manager: grupos de red, configuraciones de conectividad, reglas de administración de seguridad y administración de direcciones IP (IPAM). También se describe cómo usarlos juntos para controlar la topología de red, aplicar líneas base de seguridad y evitar conflictos de direcciones IP en toda la organización.

Lo que trata este artículo

En este artículo se describe la gobernanza de red centralizada mediante Azure Virtual Network Manager. Obtendrá información sobre:

• Grupos de red que organizan redes virtuales por pertenencia estática o dinámica.
• Configuraciones de conectividad que automatizan las topologías de tipo hub-spoke y de malla.
• Reglas de administración de seguridad que aplican directivas de seguridad de toda la organización y tienen prioridad sobre las reglas de NSG.
• IPAM que asigna intervalos de direcciones IP no superpuestos entre suscripciones.
• Modelo de confirmación e implementación que controla cuándo surten efecto las configuraciones.
• Cómo decidir cuándo Azure Virtual Network Manager es el enfoque de administración adecuado para su entorno.

Quién necesita este artículo

Use Azure Virtual Network Manager cuando la organización tenga uno o varios de los siguientes requisitos:

• Escalar más allá de la administración manual: Administra más de 10 redes virtuales y necesita automatizar el emparejamiento, los cambios de topología y las líneas base de seguridad en lugar de configurar cada red virtual individualmente.
• Directiva de seguridad coherente: Debe aplicar reglas de seguridad para toda la organización que los equipos locales no pueden invalidar, como bloquear puertos de alto riesgo o exigir el flujo de tráfico a través de un firewall.
• Gobernanza entre suscripciones: Las redes virtuales abarcan varias suscripciones o grupos de administración y necesita una vista unificada de la topología de red y el uso de direcciones IP.
• Prevención de conflictos de direcciones IP: Teams crea redes virtuales de forma independiente y necesita un mecanismo de asignación central que garantice espacios de direcciones no superpuestos.
• Mantenimiento automatizado de la topología: Implementa nuevas redes virtuales con frecuencia y necesitas que se incorporen automáticamente a la topología correcta (de tipo hub-spoke o de malla) sin necesidad de establecer emparejamientos manuales.

Las organizaciones con menos de 10 redes virtuales en una sola suscripción normalmente pueden administrar el emparejamiento, las reglas de NSG y las direcciones IP manualmente. Normalmente, estos entornos no requieren la complejidad adicional de una herramienta de administración centralizada.

funcionalidades de Azure Virtual Network Manager

Azure Virtual Network Manager proporciona cuatro funcionalidades que funcionan conjuntamente para ofrecer una gobernanza de red centralizada.

Grupos de red

Los grupos de red son contenedores lógicos que organizan redes virtuales para la aplicación de directivas. Defina qué redes virtuales pertenecen a un grupo. A continuación, se aplican configuraciones (conectividad o seguridad) a todo el grupo a la vez.

Los grupos de red admiten dos métodos de pertenencia:

Combine ambos métodos en un único grupo de red. La pertenencia dinámica no requiere reimplementación cuando las redes virtuales se unen o abandonan el grupo porque Azure Policy evalúa continuamente las condiciones y actualiza la pertenencia.

Configuraciones de conectividad

Las configuraciones de conectividad definen la topología de red para un grupo de redes virtuales. Azure Virtual Network Manager admite dos topologías:

• Topología hub-and-spoke: Una red virtual central (hub) se conecta a todas las redes virtuales secundarias (spokes) del grupo. El tráfico de spoke a spoke se enruta a través del hub de forma predeterminada. Opcionalmente, puede habilitar la conectividad directa entre spokes, lo que crea una malla dentro del grupo de spokes y elimina el salto por el hub para el tráfico de spoke a spoke. El centro puede servir como puerta de enlace para el tránsito de VPN y ExpressRoute.
• Topología de malla: Todas las redes virtuales del grupo se conectan bidireccionalmente sin un centro central. Azure Virtual Network Manager usa grupos conectados (no emparejamientos tradicionales) para establecer la conectividad de malla. La malla regional conecta redes virtuales dentro de una región. La malla global amplía la conectividad entre regiones.

Implemente varias configuraciones de conectividad simultáneamente en una región. Son aditivos. También puede reutilizar los emparejamientos manuales existentes sin interrumpir la conectividad actual durante la migración.

Reglas de administrador de seguridad

Las reglas de administración de seguridad proporcionan una aplicación de seguridad para toda la organización que tiene prioridad sobre las reglas del grupo de seguridad de red (NSG). Estas reglas se definen de forma centralizada. Azure Virtual Network Manager después los aplica a todas las redes virtuales del grupo de red de destino.

Azure Virtual Network Manager evalúa las reglas de administración de seguridad antes de las reglas de NSG. El comportamiento depende del tipo de acción:

Las reglas de administración de seguridad usan un intervalo de prioridad de 1 a 4096 (el número inferior es igual a mayor prioridad). Solo una configuración de administrador de seguridad puede estar activa por región por instancia de Network Manager.

Las reglas de administración de seguridad usan un modelo de coherencia final: se produce un breve retraso antes de que las reglas se apliquen a los recursos recién creados dentro del ámbito.

Administración de direcciones IP (IPAM)

IPAM proporciona planeación y asignación centralizadas de direcciones IP. Puede crear grupos de direcciones y Azure Virtual Network Manager asigna automáticamente bloques CIDR no superpuestos a redes virtuales. Este enfoque evita los conflictos de espacio de direcciones que se producen cuando los equipos asignan direcciones de forma independiente. Los usuarios pueden crear o modificar redes virtuales fuera de las asignaciones del grupo de IPAM, por ejemplo, cuando asignan espacio de direcciones directamente. En esos casos, use Azure Policy para aplicar el cumplimiento de IPAM y ayudar a evitar la asignación de direcciones no autorizadas.

Características clave de IPAM:

• Grupos jerárquicos: Cree grupos raíz y hasta siete capas de grupos secundarios para la estructura organizativa (por ejemplo, por región, unidad de negocio o entorno).
• Asignación automática no superpuesta: Cuando una red virtual solicita un intervalo de direcciones desde un grupo, IPAM garantiza que no se superponga con otras asignaciones de la misma jerarquía de grupos.
• Compatibilidad con IPv4 e IPv6: Administre ambas familias de direcciones en un modelo de asignación unificado.
• Grupos entre regiones: Un único grupo puede asignar direcciones a redes virtuales en varias regiones.
• Reciclaje de CIDR liberados: Cuando se elimina un recurso, el CIDR que tenía asignado vuelve al grupo para su reutilización.
• Permisos delegables: Conceda el rol de usuario de grupo de IPAM a los equipos que necesitan consumir direcciones sin administrar definiciones de grupo.

IPAM siempre está disponible en cualquier instancia de Azure Virtual Network Manager, independientemente de si habilita las características de conectividad o seguridad.

Cómo elegir el enfoque de administración

Use los siguientes criterios de decisión para determinar si Azure Virtual Network Manager es adecuado para su entorno:

Con y sin Azure Virtual Network Manager

Consideraciones de diseño

Prerequisites

Antes de implementar Azure Virtual Network Manager:

• Selección de ámbito: Cree una instancia de Azure Virtual Network Manager con ámbito en un grupo de administración o una suscripción. El ámbito define el límite de los recursos que la instancia puede administrar. Al seleccionar un grupo de administración, se incluyen automáticamente todas las suscripciones secundarias.
• Permisos: Asigne el rol Colaborador de red en el ámbito adecuado (grupo de administración o suscripción) a los usuarios que administran Azure Virtual Network Manager configuraciones.
• Compatibilidad con regiones: Compruebe que las redes virtuales de destino están en regiones que admiten Azure Virtual Network Manager.
• Flujo de trabajo de implementación: Comprenda el modelo de confirmación e implementación: las configuraciones no surten efecto hasta que las implemente explícitamente en una región de destino. Al implementar, incluya todas las configuraciones deseadas para esa región. La implementación usa un modelo de estado objetivo en el que solo las configuraciones incluidas explícitamente permanecen activas.
• Prevención de conflictos: No cree varias instancias de Azure Virtual Network Manager con ámbitos superpuestos que administren las mismas características. En los casos de conflicto, el administrador de red de ámbito superior tiene prioridad.

Consideraciones de seguridad

Las reglas de administración de seguridad crean una separación de tareas entre la gobernanza de red central y los equipos de carga de trabajo locales:

• Modelo de aplicación por defecto: Utilice reglas de denegación para bloquear el tráfico que nunca debe permitirse, independientemente de los requisitos de la carga de trabajo. Entre los ejemplos habituales se incluyen el bloqueo de conexiones RDP o SSH entrantes desde Internet y el bloqueo del tráfico dirigido a rangos de IP maliciosos conocidos.
• Rutas de acceso garantizadas: Use reglas de «Permitir siempre» para asegurarse de que el tráfico de administración crítico (como los sondeos de estado de la plataforma de Azure o los agentes de supervisión) llegue a los recursos, incluso si una mala configuración local de un NSG impidiera su paso en otras circunstancias.
• Defensa por capas: Utilice reglas de permiso para las categorías de tráfico en las que desee permitir la clase de tráfico, pero permita que los equipos de carga de trabajo apliquen restricciones NSG adicionales en función de sus requisitos específicos.
• Registro de auditoría: Azure registra todas las implementaciones de reglas de administración de seguridad como operaciones de recursos. Revise el historial de implementación y los cambios de configuración a través de Azure registro de actividad.
• Validación de implementación: Use el Comprobador de red para validar la conectividad entre los recursos dentro del ámbito de Azure Virtual Network Manager antes de implementar los cambios de configuración en producción.

Artículos relacionados

• Topología de red hub-spoke: Azure Virtual Network Manager automatiza el emparejamiento hub-spoke y admite el uso del hub como puerta de enlace para la conectividad de tránsito.
• Topología de red de Virtual WAN: Azure Virtual Network Manager ofrece una alternativa para las organizaciones que prefieren una configuración hub-spoke personalizada en lugar de Azure Virtual WAN.
• Planeamiento de direcciones IP: IPAM amplía el planeamiento de IP centralizado con la asignación automática no superpuesta entre suscripciones.
• Grupos de seguridad de red y grupos de seguridad de aplicaciones (ASG): las reglas de administración de seguridad establecen bases de referencia de seguridad para toda la organización que tienen precedencia sobre las reglas de los grupos de seguridad de red.
• Supervisión de red y observabilidad: empareja la administración centralizada con supervisión centralizada en todo el patrimonio de la red virtual.

Aprende más

• Introducción a Azure Virtual Network Manager
• Reglas de administrador de seguridad
• Introducción a la administración de direcciones IP (IPAM)

Pasos siguientes