Conexión entre redes virtuales de Azure

El emparejamiento de Azure Virtual Network permite conectar sin problemas dos o más redes virtuales en Azure, lo que hace que aparezcan como una para fines de conectividad. Esta eficaz característica le permite crear conexiones seguras y de alto rendimiento entre redes virtuales a la vez que mantiene todo el tráfico en la infraestructura troncal privada de Microsoft, lo que elimina la necesidad de enrutamiento público de Internet.

Lo que aprendes en este artículo:

• Funcionamiento del emparejamiento de redes virtuales y sus principales ventajas

• Diferentes tipos de emparejamiento (local y global)

• Cómo implementar la conectividad y el encadenamiento de servicios

• Cómo desactivar la propagación de rutas de peering para dirigir el tráfico a través de un dispositivo virtual de red

• Solución de problemas comunes de emparejamiento

Tanto si va a diseñar una topología radial como si conecta redes entre regiones, esta guía le ayuda a comprender las funcionalidades y limitaciones del emparejamiento de redes virtuales.

Utilizando configuraciones de conectividad de Azure Virtual Network Manager, puedes escalar la conectividad más allá de los límites tradicionales de peering de red virtual. Por ejemplo, puedes crear una topología de hub y radios con hasta 1.000 redes virtuales de radios conectadas a un hub, o crear un grupo conectado en malla que contenga hasta 3.000 redes virtuales que puedan comunicarse directamente entre sí.

La directiva admite los siguientes tipos de emparejamiento:

• Emparejamiento de red virtual: conecte redes virtuales que se encuentren en la misma región de Azure.

• Emparejamiento global de redes virtuales: conexión de redes virtuales en distintas regiones de Azure.

Las ventajas del uso del emparejamiento de redes virtuales, ya sean locales o globales, son las siguientes:

• Una conexión de baja latencia y gran ancho de banda entre los recursos en diferentes redes virtuales.

• La capacidad de los recursos de una red virtual para comunicarse con los de otra red virtual.

• La capacidad de transferir datos entre redes virtuales de distintas suscripciones de Azure, inquilinos de Microsoft Entra, modelos de implementación y regiones de Azure.

• La capacidad de emparejar redes virtuales creadas mediante Azure Resource Manager.

• La capacidad de emparejar una red virtual creada mediante Resource Manager con otra creada mediante el modelo de implementación clásica. Para más información sobre los modelos de implementación de Azure, consulte Descripción de los modelos de implementación de Azure.

• No tienen tiempo de inactividad ni los recursos de la red virtual al crear el emparejamiento, o después.

El tráfico de red entre redes virtuales emparejadas es privado. El tráfico entre las redes virtuales se mantiene en la red troncal de Microsoft. No se requiere ninguna red pública de Internet, puertas de enlace ni cifrado en la comunicación entre las redes virtuales.

Microsoft introdujo recientemente una funcionalidad adicional al emparejamiento de redes virtuales: el 'emparejamiento de subred'.

Es una flexibilidad adicional que se basa en el emparejamiento de redes virtuales y que permite elegir subredes específicas que deben emparejarse entre distintas redes virtuales. Puedes especificar o introducir la lista de subredes de las redes virtuales que quieres conectar. En cambio, en el peering de redes virtuales convencional, todo el espacio de direcciones y las subredes de las redes virtuales se conectan entre pares. Para obtener más información, consulte Configuración del emparejamiento de subredes.

Conectividad

En el caso de las redes virtuales emparejadas, los recursos de cualquiera de ellas se pueden conectar directamente con los de la red virtual emparejada.

La latencia de red entre las máquinas virtuales de redes virtuales emparejadas en la misma región es la misma que la de una única red virtual. El rendimiento de la red se basa en el ancho de banda permitido para la máquina virtual, proporcional a su tamaño. No hay restricciones adicionales con respecto al ancho de banda en el emparejamiento.

El tráfico entre las máquinas virtuales de redes virtuales emparejadas se enruta directamente a través de la infraestructura de red troncal de Microsoft, y no a través de una puerta de enlace o de una red Internet pública.

En cualquier red virtual, se pueden aplicar grupos de seguridad de red para bloquear el acceso a otras redes o subredes virtuales. Al configurar el emparejamiento de red virtual, abra o cierre las reglas del grupo de seguridad de red entre las redes virtuales. Si abre la conectividad completa entre redes virtuales emparejadas, puede aplicar grupos de seguridad de red a subredes o máquinas virtuales concretas para bloquear o denegar el acceso específico. La opción predeterminada es la conectividad total. Para obtener más información sobre los grupos de seguridad de red, consulte Grupos de seguridad.

Cambio de tamaño del espacio de direcciones de las redes virtuales de Azure emparejadas

Puede cambiar el tamaño del espacio de direcciones de las redes virtuales de Azure emparejadas sin incurrir en ningún tiempo de inactividad en el espacio de direcciones actualmente emparejado. Esta característica es útil cuando necesita cambiar el tamaño del espacio de direcciones de las redes virtuales después de escalar las cargas de trabajo. Una vez que se cambie el tamaño del espacio de direcciones, los nodos del mismo nivel deberán sincronizarse con los nuevos cambios en el espacio de direcciones. El cambio de tamaño funciona para los espacios de direcciones IPv4 e IPv6.

Puede cambiar el tamaño de las direcciones de las maneras siguientes:

• Modificar el prefijo del intervalo de direcciones de un intervalo de direcciones existente (por ejemplo, cambie 10.1.0.0/16 a 10.1.0.0/18).

• Incorporar intervalos de direcciones a una red virtual.

• Eliminar los intervalos de direcciones de una red virtual.

Se admite el cambio de tamaño del espacio de direcciones entre inquilinos.

Puede sincronizar sistemas del mismo nivel de red virtual mediante Azure Portal o con Azure PowerShell. Se recomienda ejecutar la sincronización después de cada operación de espacio de direcciones de cambio de tamaño, en lugar de realizar varias operaciones de cambio de tamaño y, posteriormente, ejecutar la operación de sincronización. Para obtener información sobre cómo actualizar el espacio de direcciones de una red virtual emparejada, consulte Actualizar el espacio de direcciones de una red virtual emparejada.

Encadenamiento de servicios

El encadenamiento de servicios permite dirigir el tráfico de una red virtual a una aplicación virtual o puerta de enlace de una red emparejada a través de rutas definidas por el usuario (UDR).

Para habilitar el encadenamiento de servicios, configure las UDR que apuntan a máquinas virtuales de redes virtuales emparejadas como la dirección IP del próximo salto. Las UDR también pueden apuntar a puertas de enlace de redes virtuales para habilitar el encadenamiento de servicios.

Puede implementar redes radiales, en las que la red virtual del concentrador hospeda componentes de la infraestructura, como una aplicación virtual de red o una puerta de enlace de VPN. Todas las redes virtuales de radio se pueden emparejar con la red virtual de concentrador. El tráfico fluye por las aplicaciones virtuales de red o las puertas de enlace de VPN de la red virtual del concentrador.

El emparejamiento de red virtual permite que el próximo salto de una UDR sea la dirección IP de una máquina virtual de la red virtual emparejada o en una puerta de enlace de VPN. No puede realizar el enrutamiento entre redes virtuales con una UDR que especifique una puerta de enlace de Azure ExpressRoute como del tipo de próximo salto. Para obtener más información sobre las UDR, consulte Introducción a las rutas definidas por el usuario. Para aprender a crear una topología de red hub y radio, consulte Topología de red hub y radio en Azure.

Puertas de enlace y conectividad local

Cada red virtual, incluidas las redes virtuales emparejadas, puede tener su propia puerta de enlace. Las redes virtuales pueden usar su puerta de enlace para conectarse a una red local. También puede configurar conexiones entre redes virtuales mediante puertas de enlace, incluso para redes virtuales emparejadas.

Cuando se configuran las dos opciones para la interconectividad de redes virtuales, el tráfico entre las redes virtuales se propaga a través de la configuración del emparejamiento. El tráfico usa la red troncal de Azure.

La puerta de enlace de la red virtual emparejada también se puede configurar como un punto de tránsito a una red local. En ese caso, la red virtual que usa una puerta de enlace remota no puede tener su propia puerta de enlace. Una red virtual no puede tener más de una puerta de enlace. En la red virtual emparejada, la puerta de enlace debe ser local o remota, como se muestra en el diagrama siguiente.

Tanto el emparejamiento de red virtual como el emparejamiento de red virtual global admiten el tránsito de puerta de enlace.

Se admite el tránsito de puerta de enlace entre redes virtuales creadas mediante diferentes modelos de implementación. La puerta de enlace debe estar en la red virtual del modelo de Azure Resource Manager. Para más información sobre el uso de una puerta de enlace de tránsito, consulte Configure a VPN gateway for transit in a virtual network peering (Configuración de una puerta de enlace de VPN de tránsito en un emparejamiento de red virtual).

Para usar una VPN o una pasarela ExpressRoute que esté en una región de Azure diferente a la de tus redes virtuales de carga de trabajo, consulta Usar una pasarela VPN o ExpressRoute en una región diferente.

Si se emparejan redes virtuales que comparten la misma conexión de ExpressRoute, el tráfico entre ellas pasa por la relación de emparejamiento. Ese tráfico usa la red troncal de Azure. Puede seguir usando las puertas de enlace locales de cada red virtual para conectarse al circuito local. De lo contrario, puede utilizar una puerta de enlace compartida y configurar el tránsito para una conectividad local.

Prefijos de puerta de enlace anunciados

En los diseños de tipo hub-and-spoke que usan tránsito de puerta de enlace, Azure VPN Gateway y ExpressRoute Gateway pueden anunciar un gran número de prefijos a las instalaciones locales porque el comportamiento predeterminado es anunciar el espacio de direcciones del nodo central y los espacios de direcciones de las redes virtuales emparejadas.

Para reducir el número de prefijos anunciados, puede configurar los prefijos de puerta de enlace anunciados en la red virtual de la puerta de enlace mediante la propiedad summarizedGatewayPrefixes. Cuando se llena esta propiedad en la red virtual del hub, Azure VPN Gateway y ExpressRoute Gateway anuncian los prefijos resumidos en lugar del espacio de direcciones del hub y suprimen la publicidad de espacios de direcciones de radio cubiertos por el espacio resumido.

Para obtener más información, consulte Descripción general de los prefijos de puerta de enlace anunciados.

Desactivar la propagación de rutas de interconexión (vista previa)

La opción Desactivar la propagación de rutas de peering está disponible en versión preliminar pública. Esta capacidad de la tabla de rutas te ayuda a dirigir el tráfico a través de un dispositivo virtual de red (NVA), como Azure Firewall, sin necesidad de mantener una ruta definida por el usuario (UDR) independiente para cada red virtual emparejada. Suprime las rutas de peering IPv4 e IPv6 generadas por el sistema para cargas de trabajo soportadas en subredes asociadas a la tabla de enrutamiento, preservando la conexión de peering de red virtual.

Cuándo desactivar la propagación de rutas de interconexión

Utiliza la opción Desactivar la propagación de rutas de emparejamiento en grandes redes hub y spoke cuando necesites mantener una ruta de inspección centralizada manejable a medida que la red crece. A medida que añades spokes, las anulaciones de rutas por spoke consumen capacidad de tabla de rutas y requieren una configuración recurrente.

Azure selecciona rutas por la coincidencia de prefijo más largo. Una ruta de peering generada por el sistema puede ser más específica que un UDR resumido. En ese caso, Azure selecciona la ruta de peering y el tráfico omite la NVA.

Desactivar la propagación de rutas de interconexión suprime las rutas de interconectamiento IPv4 e IPv6 para que Azure pueda seleccionar el UDR previsto. En grandes redes hub-and-spoke, puedes combinar esta capacidad con prefijos de gateway anunciados y usar un UDR resumido en lugar de mantener una anulación separada para cada spoke.

El siguiente diagrama compara el enrutamiento desde redes locales hacia redes virtuales spoke emparejadas con y sin supresión de rutas de emparejamiento. La pasarela y Azure Firewall o NVA están en la red virtual del hub.

Benefits

Para un enrutamiento a mayor escala, deshabilitar la propagación de rutas de emparejamiento le permite:

• Sustituye las anulaciones de ruta por spoke por un UDR resumido hacia el NVA cuando el plan de direcciones y la ruta de inspección prevista lo permitan.
• Aplicar supresión de rutas en el alcance de la subred a través de la tabla de rutas asociada manteniendo la conectividad de peering y dejando las demás subredes sin cambios.
• Reducir el mantenimiento recurrente de rutas sin aumentar la cuota de UDR ni configurar automáticamente la ruta de inspección.

Limitations

Durante la vista previa pública, la desactivación de la propagación de rutas de emparejamiento tiene las siguientes limitaciones:

• El siguiente salto de Azure Firewall o NVA debe estar en la misma red virtual que la interfaz de red de la carga de trabajo de origen. No se admite un siguiente salto en una red virtual emparejada.
• La supresión de rutas de peering no se aplica a las cargas de trabajo de Azure BareMetal Infrastructure. Las cargas de trabajo BareMetal en una subred asociada a una tabla de rutas que utiliza esta función continúan usando el enrutamiento estándar de coincidencia con prefijo más largo y no utilizan las rutas resumidas para esta función. Otras cargas de trabajo soportadas en la misma subred utilizan normalmente las rutas resumidas.
• Para Terraform, utiliza el proveedor AzAPI. El proveedor de AzureRM actualmente no soporta esta configuración.

Cómo funciona la supresión de rutas de interconexión

La disablePeeringRoute propiedad de tabla de rutas soporta los siguientes valores:

Desactivar la propagación de rutas de peering no crea rutas de reemplazo ni una ruta de inspección. Antes de habilitarlo, configura los UDR necesarios y asegúrate de que el siguiente salto especificado pueda reenviar el tráfico al destino.

Durante la vista previa pública, gestiona esta configuración a través de la tabla de rutas, no a través de las colecciones de reglas de enrutamiento de Azure Virtual Network Manager. No necesitas cambiar los recursos individuales de peering.

Para configurar esta función, consulte Configurar la desactivación de la propagación de rutas de emparejamiento.

Solución de problemas

Para confirmar que las redes virtuales están interconectadas, comprueba las rutas efectivas. Compruebe las rutas de una interfaz de red en cualquier subred de una red virtual. Por defecto, si existe un peering de red virtual, todas las subredes dentro de la red virtual tienen rutas con el tipo de siguiente salto peering de red virtual, para cada espacio de direcciones en cada red virtual peered. Si la opción desactivar la propagación de rutas de emparejamiento está habilitada en la tabla de rutas de la subred, esas rutas de emparejamiento se suprimen para las cargas de trabajo compatibles. Comprueba que las UDR necesarias dirijan el tráfico al siguiente salto previsto. Para más información, consulte Diagnóstico de problemas de enrutamiento en una máquina virtual.

En una red virtual emparejada, los problemas de conectividad con una máquina virtual se pueden solucionar mediante el uso de Azure Network Watcher. Una comprobación de conectividad permite ver cómo se enruta el tráfico desde la interfaz de red de una máquina virtual de origen a la de una máquina virtual de destino. Para más información, consulte Solución de problemas en las conexiones con Azure Network Watcher mediante el uso de Azure Portal.

También puede ver Solución de problemas de emparejamiento de red virtual.

Restricciones de las redes virtuales emparejadas

Las siguientes restricciones se aplican solo cuando las redes virtuales están emparejadas globalmente.

• Los recursos de una red virtual no pueden comunicarse con la dirección IP de front-end de un equilibrador de carga básico (interno o público) en una red virtual emparejada globalmente.

• Algunos servicios que usan un equilibrador de carga básico no funcionan en el emparejamiento de red virtual global. Para obtener más información, consulte ¿Cuáles son las restricciones relacionadas con el emparejamiento de red virtual global y los equilibradores de carga?

• No se pueden realizar emparejamientos de red virtual como parte de la operación de red virtual de PUT.

Para más información, consulte Requisitos y restricciones. Para más información sobre el número de emparejamientos que se admiten, consulte Límites de la red.

Permisos

Para más información sobre los permisos necesarios para crear un emparejamiento de red virtual, consulte Permisos.

Precios

Pagas una tarifa nominal por el tráfico de entrada y salida que utiliza una conexión de peering de red virtual. Para más información, consulte Precios de Virtual Network.

El tránsito de puerta de enlace es una propiedad de emparejamiento que permite a una red virtual usar una red privada virtual o una puerta de enlace de ExpressRoute en una red virtual emparejada. El tránsito de puerta de enlace funciona tanto para la conectividad entre entornos locales como para la conectividad entre redes. El tráfico a la puerta de enlace (de entrada o salida) en la red virtual emparejada incurre en cargos de emparejamiento de red virtual en la red virtual radial (o red virtual sin una puerta de enlace VPN). Para más información, consulte Precios de Azure VPN Gateway, donde podrá ver los cargos que supone una puerta de enlace de red privada virtual y una puerta de enlace de ExpressRoute.

Pasos siguientes

¿Todo listo para implementar el emparejamiento de redes virtuales? Elija su escenario:

Introducción a los tutoriales

• Crear peering en la misma suscripción - Perfecto para entornos de pruebas y desarrollo.
• Crear emparejamiento entre suscripciones - Ideal para escenarios empresariales con múltiples suscripciones.

Configuraciones avanzadas

• Construye una topología de hub y radios - Escala tu arquitectura de red.
• Administrar la configuración de emparejamiento - Referencia completa de todas las opciones de emparejamiento.

¿Necesita ayuda?

• Preguntas frecuentes sobre el emparejamiento de redes virtuales - Preguntas y respuestas comunes.