Gecentraliseerd netwerkbeheer met Azure Virtual Network Manager

Azure Virtual Network Manager groepeert, configureert, implementeert en beheert virtuele netwerken op grote schaal in meerdere abonnementen. In plaats van elk virtueel netwerk afzonderlijk te configureren, definieert u de beheerintentie centraal en Azure Virtual Network Manager het consistent in uw omgeving toepast. Beperk een Azure Virtual Network Manager exemplaar naar een beheergroep of abonnement en beheer alle virtuele netwerken binnen dat bereik via één besturingsvlak.

In dit artikel worden de vier kernfunctionaliteiten van Azure Virtual Network Manager toegelicht: netwerkgroepen, connectiviteitsconfiguraties, regels voor beveiligingsbeheer en IP-adresbeheer (IPAM). Ook wordt beschreven hoe u deze samen kunt gebruiken om netwerktopologie te beheren, beveiligingsbasislijnen af te dwingen en conflicten tussen IP-adressen in uw organisatie te voorkomen.

Wat in dit artikel wordt behandeld

In dit artikel worden gecentraliseerde netwerkgovernances behandeld met behulp van Azure Virtual Network Manager. U krijgt meer informatie over:

  • Netwerkgroepen die virtuele netwerken indelen op basis van statisch of dynamisch lidmaatschap.
  • Connectiviteitsconfiguraties waarmee hub-spoke- en mesh-topologieën worden geautomatiseerd.
  • Beveiligingsbeheerdersregels die beveiligingsbeleid voor de hele organisatie afdwingen en voorrang hebben op NSG-regels.
  • IPAM waarmee niet-overlappende IP-adresbereiken voor abonnementen worden toegewezen.
  • Het doorvoer- en implementatiemodel dat bepaalt wanneer configuraties van kracht worden.
  • Bepalen wanneer Azure Virtual Network Manager de juiste beheerbenadering voor uw omgeving is.

Wie heeft dit artikel nodig

Gebruik Azure Virtual Network Manager wanneer uw organisatie een of meer van de volgende vereisten heeft:

  • Schaal verder dan handmatig beheer: U beheert meer dan 10 virtuele netwerken en u moet peering, topologiewijzigingen en beveiligingsbasislijnen automatiseren in plaats van elk virtueel netwerk afzonderlijk te configureren.
  • Consistent beveiligingsbeleid: U moet beveiligingsregels voor de hele organisatie afdwingen die lokale teams niet kunnen overschrijven, zoals het blokkeren van poorten met een hoog risico of het doorsturen van verkeer via een firewall.
  • Governance voor meerdere abonnementen: Uw virtuele netwerken omvatten meerdere abonnementen of beheergroepen en u hebt een uniforme weergave van netwerktopologie en IP-adresgebruik nodig.
  • Conflictpreventie van IP-adressen: Teams maken onafhankelijk virtuele netwerken en u hebt een centraal toewijzingsmechanisme nodig dat niet-overlappende adresruimten garandeert.
  • Geautomatiseerd topologieonderhoud: U implementeert regelmatig nieuwe virtuele netwerken en u hebt ze nodig om automatisch deel te nemen aan de juiste topologie (hub-spoke of mesh) zonder handmatige peering.

Organisaties met minder dan 10 virtuele netwerken in één abonnement kunnen doorgaans peering, NSG-regels en IP-adressen handmatig beheren. Deze omgevingen vereisen meestal niet de toegevoegde complexiteit van een gecentraliseerd beheerprogramma.

Lift-and-shiftfocus: Kleine rehostingprojecten kunnen peering en NSG's handmatig beheren. Gebruik AVNM zodra uw gemigreerde estate meer dan 10 virtuele netwerken heeft.

Focus moderniseren: Gebruik AVNM om consistente connectiviteits- en beveiligingsconfiguraties toe te passen op veel spokes en abonnementen wanneer u actief-actieve PaaS-workloads schaalt.

Focus op meerdere clouds: Gebruik AVNM om consistente netwerkgroepen en beveiligingsbeheerdersregels af te dwingen in de Azure footprint die verbinding maakt met uw andere clouds en vertakkingen.

Azure Virtual Network Manager mogelijkheden

Azure Virtual Network Manager biedt vier mogelijkheden die samenwerken om gecentraliseerd netwerkbeheer te leveren.

Diagram met Azure Virtual Network Manager bereik en mogelijkheden: een exemplaar is gericht op een beheergroep of abonnement en past vier mogelijkhedensets toe (netwerkgroepen met statisch of dynamisch lidmaatschap, connectiviteitsconfiguraties voor hub-spoke- of mesh-topologieën, beveiligingsbeheerdersregels met weigerings- of altijd toegestane prioriteit ten opzichte van NSG's en IP-adresbeheer met hiërarchische pools en niet-overlappende toewijzing) naar beheerde virtuele netwerken.

Netwerkgroepen

Netwerkgroepen zijn logische containers die virtuele netwerken organiseren voor beleidstoepassing. U definieert welke virtuele netwerken deel uitmaken van een groep. Vervolgens past u configuraties (connectiviteit of beveiliging) toe op de hele groep tegelijk.

Netwerkgroepen ondersteunen twee lidmaatschapsmethoden:

Method Hoe werkt het? Ideaal voor
Statisch lidmaatschap U voegt handmatig afzonderlijke resource-id's voor virtuele netwerken toe. Wijzigingen worden onmiddellijk van kracht. Kleine omgevingen, uitzonderingen of testimplementaties
Dynamisch lidmaatschap Azure Policy evalueert voorwaarden (naampatronen, tags, abonnementen of resourcegroepen) en voegt automatisch virtuele netwerken toe of verwijdert deze. Gebruikt de beleidsmodus Microsoft.Network.Data met het effect addToNetworkGroup. Grote omgevingen waarin virtuele netwerken regelmatig worden gemaakt en verwijderd

Combineer beide methoden in één netwerkgroep. Dynamisch lidmaatschap vereist geen opnieuw implementeren wanneer virtuele netwerken lid worden van de groep of verlaten, omdat Azure Policy voortdurend voorwaarden evalueert en het lidmaatschap bijwerken.

Note

Dynamisch lidmaatschapsbeleid blijft behouden in Azure Policy, zelfs als u het Azure Virtual Network Manager exemplaar verwijdert. Verwijder deze beleidsregels handmatig om zwevende beleidstoewijzingen te voorkomen.

Connectiviteitsconfiguraties

Connectiviteitsconfiguraties definiëren de netwerktopologie voor een groep virtuele netwerken. Azure Virtual Network Manager ondersteunt twee topologieën:

  • Hub-and-spoke-topologie: Een centraal hub-virtueel netwerk maakt verbinding met alle virtuele spoke-netwerken in de groep. Spoke-to-spoke-verkeer routeert standaard via de hub. U kunt desgewenst directe connectiviteit tussen spokes inschakelen, waarmee een mesh binnen de spokegroep ontstaat en de tussenstap via de hub voor spoke-naar-spokeverkeer vervalt. De hub kan fungeren als gateway voor VPN- en ExpressRoute-transit.
  • Mesh-topologie: Alle virtuele netwerken in de groep verbinden bidirectioneel zonder een centrale hub. Azure Virtual Network Manager maakt gebruik van verbonden groepen (niet traditionele peerings) om mesh-connectiviteit tot stand te brengen. Regionale mesh verbindt virtuele netwerken binnen een regio. Global Mesh breidt de connectiviteit uit tussen regio's.

Implementeer meerdere connectiviteitsconfiguraties tegelijk in een regio. Ze werken aanvullend. U kunt bestaande handmatige peerings ook opnieuw gebruiken zonder de huidige connectiviteit tijdens de migratie te verstoren.

Beveiligingsadministratieregels

Beveiligingsbeheerdersregels bieden beveiligingshandhaving voor de hele organisatie die voorrang heeft op NSG-regels (Network Security Group). U definieert deze regels centraal. Azure Virtual Network Manager deze vervolgens toepast op alle virtuele netwerken in de doelnetwerkgroep.

Azure Virtual Network Manager evalueert beveiligingsbeheerdersregels vóór NSG-regels. Het gedrag is afhankelijk van het actietype:

Action Evaluatiegedrag Gebruiksituatie
Deny Blokkeert het verkeer onmiddellijk. NSG-regels worden nooit geëvalueerd. Organisatiebrede blokken afdwingen (bijvoorbeeld binnenkomende SSH van internet blokkeren)
Altijd toestaan Hiermee staat u onmiddellijk verkeer toe. NSG-regels worden nooit geëvalueerd. Toegang garanderen voor verkeer van kritiek beheer, ongeacht de lokale NSG-configuratie
Allow Geeft verkeer door aan de NSG-evaluatie. NSG's kunnen het verkeer nog steeds weigeren. Verkeerscategorieën toestaan terwijl teams extra beperkingen kunnen toepassen

Beveiligingsbeheerdersregels gebruiken een prioriteitsbereik van 1 tot 4.096 (lager getal is gelijk aan hogere prioriteit). Er kan slechts één configuratie van een beveiligingsbeheerder per regio per netwerkbeheerder-exemplaar actief zijn.

Important

Beveiligingsbeheerdersregels zijn niet van toepassing op privé-eindpunten in beheerde virtuele netwerken. Bepaalde subnetten zijn ook vrijgesteld, waaronder subnetten Azure Application Gateway, Azure Bastion, Azure Firewall, Azure Route Server, VPN Gateway, Virtual WAN en ExpressRoute-gatewaysubnetten.

Beveiligingsbeheerdersregels maken gebruik van een uiteindelijke consistentiemodel: er treedt een korte vertraging op voordat regels van toepassing zijn op nieuw gemaakte resources binnen het bereik.

IP-adresbeheer (IPAM)

IPAM biedt gecentraliseerde planning en toewijzing van IP-adressen. U maakt adresgroepen en Azure Virtual Network Manager automatisch niet-overlappende CIDR-blokken toewijst aan virtuele netwerken. Deze aanpak voorkomt dat de adresruimteconflicten optreden wanneer teams adressen onafhankelijk toewijzen. Gebruikers kunnen virtuele netwerken buiten IPAM-pooltoewijzingen maken of wijzigen, bijvoorbeeld wanneer ze adresruimte rechtstreeks toewijzen. Gebruik in die gevallen Azure Policy om IPAM-naleving af te dwingen en onbevoegde adrestoewijzing te voorkomen.

Belangrijkste IPAM-functies:

  • Hiërarchische pools: Maak hoofdgroepen en maximaal zeven onderliggende lagen voor de organisatiestructuur (bijvoorbeeld per regio, bedrijfseenheid of omgeving).
  • Automatische niet-overlappende toewijzing: Wanneer een virtueel netwerk een adresbereik van een groep aanvraagt, garandeert IPAM geen overlap met andere toewijzingen in dezelfde poolhiërarchie.
  • Ondersteuning voor IPv4 en IPv6: Beheer beide adresfamilies in een uniform toewijzingsmodel.
  • Pools voor meerdere regio's: Eén groep kan adressen toewijzen aan virtuele netwerken in meerdere regio's.
  • Vrijgegeven CIDR-recycling: Wanneer u een resource verwijdert, keert de toegewezen CIDR terug naar de pool voor hergebruik.
  • Delegeerbare machtigingen: Wijs de rol IPAM Pool User toe aan teams die adressen moeten gebruiken zonder pooldefinities te beheren.

IPAM is altijd beschikbaar op elk Azure Virtual Network Manager exemplaar, ongeacht of u connectiviteit of beveiligingsfuncties inschakelt.

Uw beheerbenadering kiezen

Gebruik de volgende beslissingscriteria om te bepalen of Azure Virtual Network Manager geschikt is voor uw omgeving:

Schaal van de omgeving Aanbevolen aanpak
Minder dan 10 VNets in één abonnement Handmatig beheer: peering, NSG's en IP-adressen afzonderlijk configureren
10–50 VNets verdeeld over abonnementen Azure Virtual Network Manager met connectiviteitsconfiguraties en netwerkgroepen voor topologieautomatisering
50+ VNets verspreid over beheergroepen Volledige Azure Virtual Network Manager: alle vier de mogelijkheden (netwerkgroepen, connectiviteit, regels voor beveiligingsbeheerders en IPAM)
Beveiligingsbeheer vereist, ongeacht de schaal Voeg regels voor beveiligingsbeheer toe wanneer NSG's op zichzelf onvoldoende bescherming bieden tegen lokale overschrijving

Met versus zonder Azure Virtual Network Manager

Beheergebied Zonder AVNM Met AVNM
Peering Handmatig bidirectionele peerings maken voor elk VNet-paar Connectiviteitsconfiguraties automatiseren peering voor hele groepen
Topologiewijzigingen Elke peering afzonderlijk bijwerken wanneer de topologie wordt gewijzigd Wijzig de configuratie en implementeer opnieuw. Alle VNets in de groep worden bijgewerkt.
Beveiligingsbasislijnen NSG-regels per subnet toepassen; lokale beheerders kunnen wijzigen of verwijderen Dwing regels voor beveiligingsbeheerders centraal af; deze kunnen niet worden overschreven (Weigeren/Altijd toestaan)
PLANNING van IP-adressen Een spreadsheet of handmatig bijhouden gebruiken; risico op overlapping IPAM-pools gebruiken met automatische niet-overlappende CIDR-toewijzing
Nieuwe VNet-ingebruikname Handmatig peerings maken, NSG's toepassen, IP-adressen toewijzen Dynamisch lidmaatschap voegt automatisch VNet toe aan groep; Configuraties zijn van toepassing op de volgende implementatie
Zichtbaarheid van meerdere abonnementen Beperkt tot weergaven per abonnement Geïntegreerd overzicht van alle VNets binnen het toepassingsgebied (beheergroep of abonnement)

Ontwerpoverwegingen

Ontwerpfocus voor lift-and-shift-AVNM

  • Voor een klein opnieuw gehost domein (onder ongeveer 10 virtuele netwerken in één abonnement) is handmatig peering en NSG-beheer meestal voldoende.
  • Gebruik AVNM zodra de migratiegolven u over die drempel heen brengen, zodat nieuwe spokes automatisch aan de hubtopologie worden gekoppeld in plaats van via handmatige peering.
  • Gebruik AVNM IP-adresbeheer om toewijzingen bij te houden wanneer u subnetten uitsplitst uit het CIDR-bereik van uw landingszone.
  • Introduceer geleidelijk AVNM-beveiligingsbeheerdersregels, zodat ze aanvullen, niet conflicteren met bestaande NSG's per subnet.

AvNM-ontwerpfocus moderniseren

  • Gebruik AVNM-netwerkgroepen en connectiviteitsconfiguraties om hub-and-spoke- of mesh-topologie consistent toe te passen op veel gemoderniseerde spokes.
  • Beveiligingsbeheerdersregels voor de hele organisatie afdwingen (die app-teams niet kunnen overschrijven) om verkeer te garanderen via de hubfirewall.
  • Combineer dynamisch groepslidmaatschap met abonnements- en RBAC-scheiding, zodat nieuwe app-team spokes automatisch platformbeleid overnemen.
  • Gebruik IPAM-pools om niet-overlappende adresruimte in primaire en back-upregio's te garanderen.

AvNM-ontwerpfocus voor meerdere clouds

  • Gebruik AVNM om een uniform overzicht te houden van topologie- en IP-gebruik in de Azure netwerken die uw clouds en vertakkingen met elkaar verbinden.
  • Pas regels voor beveiligingsbeheerders centraal toe, zodat verkeer tussen clouds en vertakkingen consistent wordt gerouteerd via gecontroleerde hubs.
  • Gebruik IPAM om Azure adresruimte niet overlappend te houden met AWS-VPN's en Google Cloud-netwerken in alle regio's.
  • Automatiseer het lidmaatschap van de topologie, zodat nieuwe Azure regio's die u toevoegt tijdens cloudmigratie, lid worden van het juiste Virtual WAN of hubontwerp.

Prerequisites

Voordat u Azure Virtual Network Manager implementeert:

  • Bereikselectie: Maak een Azure Virtual Network Manager exemplaar dat is gericht op een beheergroep of abonnement. Het bereik definieert de grens van resources die het exemplaar kan beheren. Wanneer u een beheergroep selecteert, neemt u automatisch alle onderliggende abonnementen op.
  • Machtigingen: Wijs de rol Inzender voor netwerken toe aan gebruikers die Azure Virtual Network Manager configuraties beheren voor het juiste bereik (beheergroep of abonnement).
  • Regioondersteuning: Controleer of uw virtuele doelnetwerken zich in regio's bevinden die ondersteuning bieden voor Azure Virtual Network Manager.
  • Implementatiewerkstroom: Het doorvoer- en implementatiemodel begrijpen: configuraties worden pas van kracht nadat u ze expliciet in een doelregio hebt geïmplementeerd. Wanneer u implementeert, moet u alle gewenste configuraties voor die regio opnemen. Implementatie maakt gebruik van een doelstatusmodel waarbij alleen expliciet opgenomen configuraties actief blijven.
  • Conflicten voorkomen: Maak geen meerdere Azure Virtual Network Manager-instanties aan met overlappende bereiken die dezelfde functies beheren. In geval van conflict heeft de netwerkbeheerder met een hoger bereik voorrang.

Note

Het doorvoer- en implementatiemodel biedt een veiligheidsmechanisme. Controleer de configuratiewijzigingen, valideer met Netwerkverifier en implementeer deze wanneer u klaar bent. Als de regio van een netwerkbeheerder een storing ondervindt, blijven al geïmplementeerde configuraties van kracht op virtuele doelnetwerken.

Beveiligingsoverwegingen

Beveiligingsbeheerdersregels maken een scheiding van taken tussen centrale netwerkgovernance en lokale workloadteams:

  • Model met afdwingen als standaard: Gebruik weigerregels om verkeer te blokkeren dat u nooit zou mogen toelaten, ongeacht de vereisten van de workload. Veelvoorkomende voorbeelden zijn het blokkeren van binnenkomende RDP of SSH vanaf internet en het blokkeren van verkeer naar bekende schadelijke IP-bereiken.
  • Gegarandeerde toegangspaden: Gebruik Always Allow-regels om ervoor te zorgen dat kritiek beheerverkeer (zoals Azure platformstatustests of bewakingsagents) resources bereikt, zelfs als een lokale NSG-onjuiste configuratie dit anders blokkeert.
  • Verdediging in lagen: Gebruik Toestaan-regels voor verkeerscategorieën waar u de verkeersklasse wilt toestaan, maar werkbelastingsteams de mogelijkheid wilt geven om aanvullende NSG-beperkingen toe te passen op basis van hun specifieke behoeften.
  • Audittrail: Azure registreert alle implementaties van beveiligingsbeheerdersregels als resourcebewerkingen. Bekijk de implementatiegeschiedenis en configuratiewijzigingen via Azure activiteitenlogboek.
  • Implementatievalidatie: Gebruik Netwerkverifier om de connectiviteit tussen resources binnen uw Azure Virtual Network Manager bereik te valideren voordat u configuratiewijzigingen in productie implementeert.
  • Hub-spoke-netwerktopologie: Azure Virtual Network Manager automatiseert hub-spoke-peering en ondersteunt hub als gateway voor transitconnectiviteit.
  • Virtual WAN netwerktopologie: Azure Virtual Network Manager biedt een alternatief voor organisaties die de voorkeur geven aan aangepaste hub-spoke via Azure Virtual WAN.
  • IP-adresplanning: IPAM breidt gecentraliseerde IP-planning uit met automatische niet-overlappende toewijzing tussen abonnementen.
  • Netwerkbeveiligingsgroepen en ASG's: beveiligingsbeheerdersregels passen beveiligingsbasislijnen voor de hele organisatie toe die voorrang hebben op regels voor netwerkbeveiligingsgroepen.
  • Netwerkbewaking en waarneembaarheid: gecentraliseerd beheer koppelen aan gecentraliseerde bewaking in uw virtuele netwerkomgeving.

Meer informatie

Volgende stappen 

Tip

Zelf verkennen? Ga terug naar de overzichtsnavigator om uw volgende artikel per mogelijkheid te vinden.

U hebt het lift-and-shift-netwerktraject voltooid. Uw Azure-netwerk is volledig ontworpen, beveiligd en beheerd.

Ga terug naar het overzicht: Verken andere mogelijkheden, bekijk een ander scenario of krijg meer informatie over specifieke services.

U hebt het moderniseringsnetwerkpad voltooid. Uw Azure-netwerk is volledig ontworpen, beveiligd en beheerd.

Ga terug naar het overzicht: Verken andere mogelijkheden, bekijk een ander scenario of krijg meer informatie over specifieke services.

U hebt het leertraject voor cross-cloud-netwerken voltooid. Uw Azure-netwerk is volledig ontworpen, beveiligd en beheerd.

Ga terug naar het overzicht: Verken andere mogelijkheden, bekijk een ander scenario of krijg meer informatie over specifieke services.

  • Last updated on