Connexion entre réseaux virtuels Azure

Le peering de réseaux virtuels Azure vous permet de connecter en toute transparence deux ou plusieurs réseaux virtuels dans Azure, les faisant apparaître comme un seul pour des raisons de connectivité. Cette fonctionnalité puissante vous permet de créer des connexions sécurisées et hautes performances entre les réseaux virtuels tout en conservant tout le trafic sur l’infrastructure principale privée de Microsoft, ce qui élimine la nécessité d’un routage Internet public.

Ce que vous apprenez dans cet article :

• Comment fonctionne le peering de réseaux virtuels et ses avantages clés

• Différents types de peering (local et global)

• Comment implémenter la connectivité et le chaînage de services

• Comment désactiver la propagation des routes de peering pour diriger le trafic via un appareil virtuel réseau

• Dépannage des problèmes courants de peering

Que vous conceviez une topologie hub-and-spoke ou que vous connectiez des réseaux entre régions, ce guide vous aide à comprendre les fonctionnalités et les limitations du peering de réseaux virtuels.

En utilisant les configurations de connectivité Azure Virtual Network Manager, vous pouvez étendre la connectivité au-delà des limites traditionnelles de peering réseau virtuel. Par exemple, vous pouvez créer une topologie hub-and-spoke avec jusqu’à 1 000 réseaux virtuels spoke connectés à un hub, ou créer un groupe maillé comprenant jusqu’à 3 000 réseaux virtuels capables de communiquer directement entre eux.

Azure prend en charge les types de Peering suivants :

• Appairage de réseaux virtuels : connecte des réseaux virtuels au sein d’une même région Azure.

• Appairage de réseaux virtuels global : connecter des réseaux virtuels entre différentes régions Azure.

Voici quelques-uns des avantages du peering de réseaux virtuels, qu’il soit local ou global :

• Connexion à latence faible et haut débit entre les ressources de différents réseaux virtuels.

• Possibilité pour les ressources d’un réseau virtuel de communiquer avec celles d’un autre réseau virtuel.

• Possibilité de transférer des données entre des réseaux virtuels au sein des abonnements Azure, des espaces clients Microsoft Entra, des modèles de déploiement et des régions Azure.

• La possibilité d’appairer des réseaux virtuels créés via Azure Resource Manager.

• Possibilité d’appairer un réseau virtuel créé via Resource Manager à un réseau créé par le biais du modèle de déploiement classique. Pour en savoir plus sur les modèles de déploiement Azure, consultez l’article Déploiement Azure Resource Manager et déploiement classique : comprendre les modèles de déploiement et l’état de vos ressources.

• Pas de temps d’arrêt affectant les ressources dans un réseau virtuel lors de la création de l’appairage ou une fois l’appairage créé.

Le trafic réseau entre les réseaux virtuels homologués est privé. Le trafic entre les réseaux virtuels reste sur le réseau principal de Microsoft. La communication entre les réseaux virtuels ne requiert pas l’Internet public, des passerelles ou un chiffrement.

Microsoft a récemment introduit une flexibilité supplémentaire en complément du peering de réseau virtuel : le « peering de sous-réseau ».

C’est une flexibilité supplémentaire construite sur le peering réseau virtuel, où vous avez la possibilité de choisir des sous-réseaux spécifiques qui doivent être peerés entre réseaux virtuels. Vous pouvez spécifier ou saisir la liste des sous-réseaux dans l’ensemble des réseaux virtuels que vous souhaitez interconnecter. En revanche, dans l'appairage de réseaux virtuels standard, l’ensemble de l’espace d’adressage et des sous-réseaux à travers les réseaux virtuels est appairé. Pour plus d’informations, consultez Comment configurer le peering de sous-réseaux.

Connectivité

Pour les réseaux virtuels appairés, les ressources de l’un peuvent se connecter directement à celles du réseau virtuel appairé.

La latence du réseau entre des machines virtuelles de réseaux virtuels homologués dans la même région est la même que celle d’un seul réseau virtuel. Le débit réseau est basé sur la bande passante autorisée pour la machine virtuelle, proportionnelle à sa taille. Aucune restriction de bande passante supplémentaire n’est appliquée au sein du peering.

Le trafic entre les machines virtuelles dans des réseaux virtuels homologués est acheminé directement via l’infrastructure de cœur de réseau de Microsoft et non par une passerelle ou par Internet public.

Vous pouvez appliquer des groupes de sécurité réseau dans l’un ou l’autre des réseaux virtuels pour bloquer l’accès à d’autres réseaux virtuels ou sous-réseaux. Quand vous configurez le peering des réseaux virtuels, vous pouvez ouvrir ou fermer les règles de groupe de sécurité réseau entre les réseaux virtuels. Si vous ouvrez totalement la connectivité entre les réseaux virtuels appairés, vous pouvez appliquer des groupes de sécurité réseau pour bloquer ou refuser certains accès. La connectivité complète est l'option par défaut. Pour en savoir plus sur les groupes de sécurité réseau, voir Groupes de sécurité.

Redimensionner l’espace d’adressage des réseaux virtuels Azure jumelés

Vous pouvez redimensionner l’espace d’adressage des réseaux virtuels Azure qui sont appairés sans que cela n’entraîne de temps d’arrêt sur l’espace d’adressage actuellement appairé. Cette fonctionnalité est utile quand vous devez redimensionner l’espace d’adressage du réseau virtuel après avoir mis à l’échelle vos charges de travail. Une fois l’espace d’adressage redimensionné, les pairs doivent se synchroniser avec les modifications du nouvel espace d’adressage. Le redimensionnement fonctionne pour les espaces d’adressage IPv4 et IPv6.

Vous pouvez redimensionner les adresses comme suit :

• Modifier le préfixe de la plage d’adresses d’une plage d’adresses existante (par exemple, changer 10.1.0.0/16 en 10.1.0.0/18)

• Ajouter des plages d’adresses à un réseau virtuel

• Supprimer des plages d’adresses d’un réseau virtuel

Le redimensionnement de l’espace d’adressage est pris en charge entre des locataires.

Vous pouvez synchroniser des homologues de réseau virtuel via le portail Azure ou avec Azure PowerShell. Nous vous recommandons d’effectuer la synchronisation après chaque nouvelle opération de redimensionnement de l’espace d’adressage au lieu de le faire après plusieurs opérations de redimensionnement consécutives. Pour savoir comment mettre à jour l’espace d’adressage d’un réseau virtuel appairé, consultez Mettre à jour l’espace d’adressage d’un réseau virtuel appairé.

Chaînage de services

Le chaînage de services vous permet de diriger le trafic d’un réseau virtuel vers une appliance virtuelle ou une passerelle d’un réseau appairé via des routes définies par l’utilisateur.

Pour activer le chaînage de services, configurez des routes définies par l’utilisateur qui pointent vers des machines virtuelles de réseaux virtuels appairés en tant qu’adresse IP du tronçon suivant. Les routes définies par l’utilisateur peuvent également pointer vers des passerelles de réseau virtuel pour activer le chaînage de services.

Vous pouvez déployer des réseaux Hub-and-spoke où le réseau virtuel hub héberge des composants d’infrastructure tels qu’une appliance virtuelle réseau ou une passerelle VPN. Tous les réseaux virtuels spoke peuvent ensuite être homologués avec le réseau virtuel hub. Le trafic transite par des appliances virtuelles réseau ou des passerelles VPN sur le réseau virtuel hub.

L’appairage de réseaux virtuels permet au tronçon suivant dans une route définie par l’utilisateur d’être l’adresse IP d’une machine virtuelle du réseau virtuel appairé ou une passerelle VPN. Vous ne pouvez pas router entre des réseaux virtuels avec une UDR (Route Définie par l'Utilisateur) qui spécifie une passerelle Azure ExpressRoute comme type de saut suivant. Pour en savoir plus sur les routes définies par l’utilisateur, consultez Vue d’ensemble des routes définies par l’utilisateur. Pour découvrir comment créer une topologie de réseau Hub-and-spoke, consultez Implémenter une topologie de réseau Hub-and-spoke dans Azure.

Passerelles et connectivité locale

Chaque réseau virtuel, y compris un réseau virtuel appairé, peut avoir sa propre passerelle. Un réseau virtuel peut utiliser sa passerelle pour se connecter à un réseau local. Vous pouvez également configurer des connexions de réseau virtuel à réseau virtuel à l’aide de passerelles, même pour les réseaux virtuels appairés.

Lorsque vous configurez les deux options d’interconnexion de réseaux virtuels, le trafic entre les réseaux virtuels transite via la configuration de Peering. Le trafic utilise le réseau principal Azure.

Vous pouvez également configurer la passerelle du réseau virtuel appairé en tant que point de transit vers un réseau local. Dans ce cas, le réseau virtuel qui utilise une passerelle distante ne peut pas avoir sa propre passerelle. Un réseau virtuel ne peut posséder qu’une seule passerelle. La passerelle peut être une passerelle locale ou distante dans le réseau virtuel appairé, comme illustré dans le diagramme suivant.

L’appairage de réseaux virtuels et l’appairage de réseaux virtuels mondiaux prennent en charge le transit par passerelle.

Le transit par passerelle entre des réseaux virtuels créés via des modèles de déploiement différents est pris en charge. La passerelle doit se trouver dans le réseau virtuel du modèle Azure Resource Manager. Pour en savoir plus sur l’utilisation d’une passerelle pour le transit, consultez Configure a VPN gateway for transit in a virtual network peering (Configurer une passerelle VPN pour le transit dans une homologation de réseaux virtuels).

Pour utiliser une passerelle VPN ou ExpressRoute située dans une région Azure différente de celle de vos réseaux virtuels de charge de travail, voir Utiliser une passerelle VPN ou ExpressRoute dans une autre région.

Quand vous appairez des réseaux virtuels qui partagent une même connexion Azure ExpressRoute, le trafic entre ces réseaux passe par la relation d’appairage. Ce trafic utilise le réseau principal Azure. Vous pouvez toujours utiliser des passerelles locales dans chaque réseau virtuel pour vous connecter au circuit local. Dans le cas contraire, vous pouvez utiliser une passerelle partagée et configurer le transit pour la connectivité locale.

Préfixes de passerelle annoncés

Dans les conceptions hub-and-spoke qui utilisent le transit de passerelle, Passerelle VPN Azure et la passerelle ExpressRoute peuvent publier un grand nombre de préfixes en local, car le comportement par défaut consiste à publier l’espace d’adressage du hub et les espaces d’adressage des réseaux virtuels appairés.

Pour réduire le nombre de préfixes annoncés, vous pouvez configurer les préfixes de passerelle annoncés sur le réseau virtuel de la passerelle en utilisant la summarizedGatewayPrefixes propriété. Lorsque vous renseignez cette propriété dans le réseau virtuel du hub, Passerelle VPN Azure et ExpressRoute Gateway annoncent les préfixes agrégés au lieu de l’espace d’adressage du hub et cessent d’annoncer les espaces d’adressage des spokes couverts par l’espace agrégé.

Pour plus d’informations, consultez Vue d’ensemble des préfixes de passerelle publiés.

Désactiver la propagation de la route de peering (aperçu)

La désactivation de la propagation des routes de peering est disponible dans l’aperçu public. Cette fonctionnalité de table de routage vous aide à diriger le trafic via une appliance réseau virtuelle (NVA), telle qu’Pare-feu Azure, sans maintenir une route définie par l’utilisateur (UDR) distincte pour chaque réseau virtuel appairé. Il supprime les routes de peering IPv4 et IPv6 générées par le système pour les charges de travail prises en charge sur les sous-réseaux associés à la table de routage tout en préservant la connexion de peering réseau virtuel.

Quand désactiver la propagation des routes de peering

Utilisez la désactivation de la propagation des routes de peering dans les grands réseaux hub-and-spoke lorsque vous devez maintenir un chemin d’inspection centralisé gérable à mesure que le réseau se développe. Lorsque vous ajoutez des spokes, les dérogations de routage par spoke consomment de la capacité de la table de routage et nécessitent une configuration récurrente.

Azure sélectionne les routes par la plus longue correspondance de préfixes. Une route de peering générée par le système peut être plus spécifique qu’une UDR résumée. Dans ce cas, Azure sélectionne la route de peering, et le trafic contourne le NVA.

Désactiver la propagation des routes de peering empêche la propagation des routes de peering IPv4 et IPv6 afin qu’Azure puisse sélectionner l’UDR prévu. Dans les grands réseaux hub-and-spoke, vous pouvez combiner cette capacité avec les préfixes de passerelle annoncés et utiliser un UDR résumé au lieu de maintenir une dérogation séparée pour chaque branche.

Le diagramme suivant compare le routage des réseaux sur site vers les réseaux virtuels spoke appairés avec et sans suppression des routes de peering. La passerelle et Pare-feu Azure ou NVA sont dans le réseau virtuel du hub.

Avantages

Pour un routage à plus grande échelle, la désactivation de la propagation des routes de peering vous permet :

• Remplacer les dérogations de routage par spoke par un UDR résumé vers le NVA lorsque le plan d’adresses et le chemin d’inspection prévu le permettent.
• Appliquer la suppression de routage à l’échelle du sous-réseau via la table de routage associée tout en conservant la connectivité par peering et en laissant les autres sous-réseaux inchangés.
• Réduire l’entretien récurrent des itinéraires sans augmenter le quota UDR ni configurer automatiquement le chemin d’inspection.

Limitations

Lors de l’aperçu public, la désactivation de la propagation des routes de peering présente les limitations suivantes :

• Le saut suivant d'Pare-feu Azure ou NVA doit se situer dans le même réseau virtuel que l'interface réseau de la charge de travail source. Un saut suivant dans un réseau virtuel appairé n’est pas pris en charge.
• La suppression des routes par peering ne s'applique pas aux charges de travail Azure BareMetal Infrastructure. Les charges de travail BareMetal dans un sous-réseau associé à une table de routage utilisant cette fonctionnalité continuent d’utiliser le routage standard à la correspondance du plus long préfixe et n’utilisent pas les routes résumées pour cette fonctionnalité. Les autres charges de travail supportées dans le même sous-réseau utilisent normalement les routes résumées.
• Pour Terraform, utilisez le fournisseur AzAPI. Le fournisseur AzureRM ne prend pas actuellement en charge ce paramètre.

Fonctionnement de la suppression des itinéraires de peering

La disablePeeringRoute propriété de la table de routage prend en charge les valeurs suivantes :

Désactiver la propagation des routes par peering ne crée pas de routes de remplacement ni de chemin d’inspection. Avant de l’activer, configurez les UDR nécessaires et assurez-vous que le saut suivant spécifié peut transférer le trafic vers la destination.

Lors de l’aperçu public, gérez ce paramètre via la table de routage, et non via les collections de règles de routage Azure Virtual Network Manager. Vous n’avez pas besoin de changer les ressources individuelles de peering.

Pour configurer cette fonctionnalité, voir Configurer la désactivation de la propagation des routes de peering.

Dépanner

Pour confirmer que les réseaux virtuels sont appairés, vérifiez les itinéraires effectifs. Vérifiez les itinéraires pour une interface réseau dans n'importe quel sous-réseau d'un réseau virtuel. Par défaut, si une homologation de réseaux virtuels existe, tous les sous-réseaux au sein du réseau virtuel ont des itinéraires avec le type de tronçon suivant l’appairage de réseau virtuels pour chaque espace d’adressage de chaque réseau virtuel homologué. Si la désactivation de la propagation des routes de peering est activée sur la table de routage du sous-réseau, ces routes de peering sont supprimées pour les charges de travail prises en charge. Vérifiez que les UDR requis dirigent le trafic vers le saut suivant prévu à la place. Pour plus d’informations, consultez Diagnostiquer un problème de routage sur une machine virtuelle.

Vous pouvez aussi résoudre les problèmes de connectivité à la machine virtuelle d’un réseau virtuel pairé en utilisant Azure Network Watcher. Une vérification de la connectivité vous permet de voir comment le trafic est acheminé à partir de l’interface réseau d’une machine virtuelle source vers l’interface réseau d’une machine virtuelle de destination. Pour plus d’informations, consultez Résoudre les problèmes des connexions avec Azure Network Watcher en utilisant le portail Azure.

Vous pouvez aussi consulter Résoudre les problèmes d’appairage de réseaux virtuels.

Contraintes des réseaux virtuels appairés

Les contraintes suivantes s’appliquent uniquement lorsque les réseaux virtuels sont connectés au niveau mondial :

• Les ressources dans un réseau virtuel ne peuvent pas communiquer avec l’adresse IP front-end d’un équilibreur de charge de base (interne ou public) dans un réseau virtuel globalement appairé.

• Certains services qui utilisent un équilibreur de charge de base ne fonctionnent pas sur l’appairage de réseaux virtuels mondiaux. Pour plus d’informations, consultez Quelles sont les contraintes liées au peering de réseaux virtuels globaux et aux équilibreurs de charge ?

• Vous ne pouvez pas effectuer d’appairages de réseaux virtuels dans le cadre de l’opération de réseau virtuel PUT.

Pour plus d’informations, consultez Configuration requise et contraintes. Pour en savoir plus sur le nombre de Peerings pris en charge, consultez Limites de mise en réseau.

Autorisations

Pour en savoir plus sur les autorisations requises pour créer un appairage de réseaux virtuels, consultez Autorisations.

Tarification

Vous payez un frais symbolique pour le trafic d’entrée et de sortie qui utilise une connexion de peering réseau virtuel. Pour plus d'informations, consultez Tarification de réseau virtuel.

Le transit de passerelle est une propriété de l’appairage qui permet à un réseau virtuel d’utiliser un réseau privé virtuel ou une passerelle ExpressRoute dans un réseau virtuel appairé. Le transit par passerelle fonctionne aussi bien pour la connectivité entre différents sites que de réseau à réseau. Le trafic vers la passerelle (entrant ou sortant) dans le réseau virtuel appairé entraîne des frais d’appairage de réseaux virtuels sur le réseau virtuel spoke (ou réseau virtuel sans passerelle VPN). Pour plus d’informations, consultez Tarification de la passerelle VPN Azure pour connaître les coûts d’une passerelle VPN et d’une passerelle ExpressRoute.

Étapes suivantes

Êtes-vous prêt à implémenter le peering de réseaux virtuels ? Choisissez votre scénario :

Commencez avec les didacticiels

• Créer un peering au sein du même abonnement - Parfait pour les environnements de test et de développement.
• Créer un peering entre abonnements - Idéal pour les situations d’entreprise avec plusieurs abonnements.

Configurations avancées

• Construisez une topologie hub-and-spoke - Faites évoluer votre architecture réseau.
• Gérer les paramètres de peering - Référence complète pour toutes les options de peering.

Vous avez besoin d’aide ?

• FAQ sur le peering de réseaux virtuels - Questions et réponses courantes.