Itinéraires statiques dans Virtual WAN

Ce document décrit les différents types d’itinéraires statiques dans Virtual WAN, les cas d’usage courants et les principales pratiques et limitations à prendre en compte lors de la conception et de l’implémentation du réseau.

Vue d’ensemble des itinéraires statiques

Les itinéraires statiques de Virtual WAN sont utilisés pour diriger le trafic vers un prochain saut spécifique. Les itinéraires statiques fournissent deux cas d’usage de routage principaux :

• Acheminer le trafic via un Pare-feu Azure déployé dans le hub Virtual WAN.
• Acheminez le trafic vers une adresse IP désignée (souvent un équilibreur de charge devant un appliance virtuel réseau) déployée dans un réseau virtuel en rayons connecté au hub WAN virtuel.

À un niveau élevé, les configurations d’itinéraire statique suivantes sont nécessaires pour les deux principaux cas d’usage mentionnés ci-dessus.

Cas d'utilisation de routage

Routage du trafic vers Pare-feu Azure

Configuration

Configurez Virtual WAN pour acheminer le trafic vers Pare-feu Azure dans un hub sécurisé à l’aide d’itinéraires statiques. Cette configuration s'applique aux hubs virtuels sécurisés avec Pare-feu Azure où l'intention de routage n'est pas activée. Cette configuration implique l’ajout de deux configurations distinctes à votre déploiement Virtual WAN :

• Ajoutez des itinéraires statiques aux tables de routage du hub Virtual WAN, avec le prochain saut spécifié en tant qu'identificateur de ressource de l’Pare-feu Azure.
• Configurez les tables d’itinéraires associées et propagées de vos connexions hub Virtual WAN.

Pour configurer des itinéraires statiques associés et des tables de routage propagées dans des scénarios de hub sécurisé, utilisez les meilleures pratiques suivantes :

• Bonnes pratiques concernant les configurations de routage statiques et les tables de routage :
  • Réduisez le nombre de tables de routage personnalisées (en plus de defaultRouteTable et noneRouteTable). Les tables de routage personnalisées doivent être utilisées pour des scénarios de routage plus personnalisés, tels que différents modèles de routage pour les réseaux virtuels.
  • Utilisez des plages d’agrégation au lieu de plages spécifiques dans des itinéraires statiques lorsque cela est possible. Cela réduit le nombre d’itinéraires statiques configurés.
  • Évaluez soigneusement les conceptions à plusieurs hubs et utilisez l’intention de routage si possible. Les architectures utilisant des itinéraires statiques pour envoyer le trafic à Pare-feu Azure peuvent devenir complexes pour fonctionner sur plusieurs hubs et inspection interrégion via Pare-feu Azure n'est pas prise en charge avec les configurations de routage statiques.
• Meilleures pratiques concernant la configuration des associations et des propagations :
  • Toutes les branches (VPN/ExpressRoute) doivent s'associer à defaultRouteTable et se propager au même ensemble de tables de routage et d’étiquettes de table de routage.
  • La propagation des itinéraires d’une connexion à une table de routage implique que toutes les connexions associées à cette table de routage puissent accéder directement aux itinéraires propagés. Vérifiez que votre configuration de routage est cohérente et entraîne la symétrie du routage. Par exemple, si les branches se propagent à la table de routage d'un Réseau virtuel, assurez-vous que les mêmes réseaux virtuels se propagent à la table de routage par défaut. Il en va de même si une connexion ne se propage pas à la table de routage d’une autre connexion.
  • De même, ne pas propager une connexion à une table de routage implique généralement que les connexions associées à cette même table de routage ne pourront pas accéder à cette connexion. Un itinéraire statique est requis.

Cas d’utilisation courants

Un cas d’usage courant pour les itinéraires statiques dans Virtual WAN consiste à envoyer le trafic privé du même hub via un Pare-feu Azure déployé dans le hub virtuel. Dans cette conception, le pare-feu agit comme prochain saut pour le trafic qui pourrait autrement être acheminé directement vers la destination finale.

Ce modèle est utilisé pour fournir une inspection Pare-feu Azure pour les cas d’usage généraux suivants :

D’autres cas d’usage plus complexes sont les suivants :

Diagramme qui montre le trafic sélectionné de Virtual WAN contournant Pare-feu Azure tandis que d'autres trafics sont inspectés par Pare-feu Azure.

D’autres cas d’usage courants nécessitent d’autres approches ou ne sont pas pris en charge avec des itinéraires statiques :

Acheminement du trafic vers un NVA dans un réseau virtuel en spoke

Options de configuration

Vous pouvez configurer le routage vers une adresse IP dans un réseau virtuel spoke de deux façons :

• Option 1 : Spécifiez l’itinéraire statique sur la connexion de réseau virtuel. Configurez la propagation de l’itinéraire statique sur Vrai. Dans ce modèle, l’itinéraire statique sur la connexion de réseau virtuel est automatiquement propagé dans Virtual WAN sans avoir besoin d’une entrée d’itinéraire statique distincte dans Virtual WAN tables de routage. Cette configuration a de meilleures propriétés de mise à l'échelle, car Virtual WAN propage automatiquement les itinéraires statiques en fonction des tables de routage et des étiquettes propagées du Réseau Virtuel.
• Option 2 : Spécifiez un itinéraire statique dans une table de routage Virtual WAN, avec le tronçon suivant défini sur la connexion de réseau virtuel Hub. Dans ce modèle, il doit également y avoir un itinéraire statique correspondant sur la connexion de réseau virtuel qui spécifie l’adresse IP du tronçon suivant pour le préfixe. En outre, vous devez ajouter un itinéraire statique dans chaque table de routage Virtual WAN (y compris les hubs Virtual WAN distants) pointant vers la connexion de réseau virtuel hub qui doit utiliser l’itinéraire statique.

Les deux options de configuration prennent en charge différents modèles de routage et présentent différents cas d’usage disponibles :

Lorsque vous utilisez des itinéraires statiques pour acheminer le trafic vers une connexion Réseau virtuel dans Virtual WAN, notez les bonnes pratiques et considérations suivantes :

• Utilisez la configuration option 1 sur la configuration option 2 dans la mesure du possible, comme option 1 garantit que les itinéraires statiques sont automatiquement publiés dans les tables de routage Virtual WAN appropriées. Cela réduit considérablement la surcharge opérationnelle de la gestion des itinéraires statiques sur plusieurs tables et hubs de routage Virtual WAN.
• Le paramètre d’adresse IP de contournement du saut suivant détermine comment le trafic destiné aux adresses IP dans le même réseau virtuel que le NVA est routé. Alignez ce paramètre avec votre modèle réseau prévu. Souvent, la définition de cette valeur sur true est essentielle pour acheminer correctement le trafic de gestion de l’appliance virtuelle réseau vers l’interface ou l’instance NVA attendue.
• S'il existe plusieurs itinéraires statiques configurés où les CIDR de destination ne sont pas dans la plage IANA RFC1918, toutes les routes statiques avec des destinations non RFC1918 doivent utiliser la même adresse IP pour le saut suivant.
• Pour les scénarios où l'appliance virtuelle réseau est utilisée pour inspecter le trafic entre les réseaux locaux et d'autres réseaux virtuels, le réseau virtuel de l'appliance virtuelle réseau est généralement associé à une table de routage personnalisée différente des branches ou d'autres réseaux virtuels, tandis que toutes les autres connexions se propagent à la table de routage personnalisée du réseau virtuel de l'appliance virtuelle réseau. Pour obtenir un exemple, consultez la section cas d’usage courants ci-dessous.

Cas d’utilisation courants

Certains cas d’usage courants qui nécessitent d’autres approches ou qui ne sont pas pris en charge dans Virtual WAN :

Combinaison de deux types d’itinéraires statiques

Vous pouvez également combiner des itinéraires statiques qui pointent vers Pare-feu Azure dans le hub virtuel avec des itinéraires statiques qui pointent vers une connexion de réseau virtuel. Cette conception est utile lorsque vous souhaitez des tronçons suivants différents pour différentes classes de trafic au sein du même déploiement Virtual WAN.

Les cas d’utilisation courants sont les suivants :

D’autres cas d’usage courants nécessitent d’autres approches ou ne sont pas pris en charge avec des itinéraires statiques :