Qu’est-ce qu’une connexion d’enclave ?

Les connexions d’enclave permettent au trafic réseau de circuler entre une enclave et une destination approuvée définie dans la limite de la communauté. La destination de chaque connexion d’enclave est soit un point de terminaison d’enclave, soit un point de terminaison communautaire. Les connexions d’enclave permettent aux ressources de votre enclave d’accéder aux services et aux données qui s’exécutent dans une autre enclave (via un point de terminaison d’enclave) ou à des destinations privées et/ou publiques approuvées définies au niveau de la communauté (via un point de terminaison de communauté).

Les connexions d’enclave peuvent également activer l’accès public sécurisé aux ressources au sein d’une enclave via une connexion de hub de transit. Dans ces cas, le hub de transit serait la source de la connexion et un point de terminaison d’enclave serait la destination.

Architecture d’une connexion d’enclave

Types de connexion d’enclave

Les connexions d’enclave prennent en charge plusieurs configurations source et de destination :

Connexions d’enclave à enclave

Connectez les ressources d’une enclave à des ressources dans une autre enclave au sein de la même communauté. Les connexions d’enclave à enclave permettent une communication sécurisée entre les charges de travail isolées tout en maintenant les frontières du réseau.

Connexions de point de terminaison entre l’enclave et la communauté

Connecter des ressources d’une enclave à des destinations externes définies dans un point de terminaison communautaire. Les points de terminaison de la communauté permettent l’accès sortant contrôlé à :

• Destinations Internet publiques (via IP, FQDN, balise FQDN ou règles de balise de service)
• Réseaux privés externes (via des connexions de hub de transit)

Connexions de hub à enclave de transit

Activez la connectivité entrante à partir de réseaux externes vers des ressources au sein d’une enclave. Le hub de transit sert de source de connexion, ce qui permet au trafic provenant de réseaux locaux ou d’autres réseaux virtuels Azure d’atteindre les charges de travail d’enclave.

Lorsque vous mettez en place cette connectivité, vous pouvez :

• Acheminer le trafic entre des emplacements locaux - Connecter plusieurs connexions VPN ou ExpressRoute via la communauté Virtual WAN
• Activer la communication spoke à spoke : Autoriser le trafic entre des réseaux virtuels appairés à différents hubs de transit

L’interconnexion du hub de transit prend en charge les scénarios dans lesquels :

• Plusieurs bureaux régionaux doivent communiquer par le biais d’un environnement de Azure centralisé
• Différents abonnements Azure avec des réseaux virtuels distincts nécessitent une connectivité
• Les modèles de connectivité hybride nécessitent le trafic entre les connexions ExpressRoute et VPN

Pour créer une connexion entre deux hubs de transit, les deux hubs de transit doivent exister dans la même communauté. La connexion active le flux de trafic bidirectionnel en fonction des règles de routage et de pare-feu configurées.

Sécurité de la connexion

Plusieurs couches de sécurité réseau régissent toutes les connexions de l’enclave afin de maintenir l’isolement et le contrôle :

• règles Pare-feu Azure - Le trafic est évalué par rapport aux stratégies de pare-feu au niveau de la communauté
• Groupes de sécurité réseau - Les groupes de sécurité réseau au niveau de l’enclave (NSG) fournissent un filtrage de trafic supplémentaire

Template

Consultez la documentation sur les modèles

Étapes suivantes

• Qu’est-ce qu’un point de terminaison de communauté ?
• Qu’est-ce qu’un hub de transit ?
• Créer une connexion d’enclave