Statische routes in Virtual WAN

In dit document worden de verschillende typen statische routes in Virtual WAN, veelvoorkomende gebruiksvoorbeelden en de belangrijkste best practices en beperkingen beschreven die u kunt overwegen tijdens het ontwerpen en implementeren van netwerken.

Overzicht van statische routes

Virtual WAN statische routes worden gebruikt om verkeer naar een specifieke volgende hop te leiden. Statische routes bieden twee hoofdgebruiksscenario's voor routering:

• Routeer verkeer via een Azure Firewall geïmplementeerd in de Virtual WAN hub.
• Verkeer routeren naar een aangewezen IP-adres (vaak een load balancer voor een netwerkvirtuele appliance) dat is geïmplementeerd in een virtueel spoke-netwerk dat verbonden is met de Virtual WAN-hub.

Op hoog niveau zijn de volgende statische routeconfiguraties nodig voor de twee belangrijkste use cases die hierboven worden genoemd.

Gebruiksvoorbeelden voor routering

Verkeer routeren naar Azure Firewall

Configuration

Configureer Virtual WAN om verkeer te routeren naar Azure Firewall in een beveiligde hub met behulp van statische routes. Deze configuratie is van toepassing op beveiligde virtuele hubs met Azure Firewall waarbij routeringsintentie niet is ingeschakeld. Deze configuratie omvat het toevoegen van twee afzonderlijke configuraties aan uw Virtual WAN-implementatie:

• Voeg statische routes toe aan Virtual WAN hubroutetabellen, waarbij de volgende hop is opgegeven als uw Azure Firewall resource-id.
• Configureer de geassocieerde en gepropageerde routeringstabellen van uw Virtual WAN hub-verbindingen.

Als u statische routes en gekoppelde/doorgegeven routetabellen in veilige hubscenario's wilt configureren, gebruikt u de volgende aanbevolen procedures:

• Best practices met betrekking tot statische routeconfiguraties en routetabellen:
  • Minimaliseer het aantal aangepaste routetabellen (naast defaultRouteTable en noneRouteTable). Aangepaste routetabellen moeten worden gebruikt voor meer aangepaste routeringsscenario's, zoals verschillende routeringspatronen voor virtuele netwerken.
  • Gebruik indien mogelijk geaggregeerde bereiken in plaats van specifieke bereiken in statische routes. Dit minimaliseert het aantal statische routes dat is geconfigureerd.
  • Evalueer zorgvuldig ontwerpen met meerdere hubs en gebruik waar mogelijk routeringsintenties . Architecturen die gebruikmaken van statische routes voor het verzenden van verkeer naar Azure Firewall kunnen complex worden om te werken tussen meerdere hubs en inspectie tussen regio's via Azure Firewall wordt niet ondersteund met statische routeconfiguraties.
• Best practices voor het configureren van koppelingen en propagaties:
  • Alle vertakkingen (VPN/ExpressRoute) moeten worden gekoppeld aan de defaultRouteTable en worden doorgegeven aan dezelfde set routetabellen en routetabellabels.
  • Het doorgeven van de routes van een verbinding aan een routetabel houdt in dat alle verbindingen die aan die routetabel zijn gekoppeld, rechtstreeks toegang hebben tot de doorgegeven routes. Zorg ervoor dat uw routeringsconfiguratie consistent is en resulteert in routeringssymmetrie. Als vertakkingen bijvoorbeeld worden doorgegeven aan de routekaart van een virtueel netwerk, moet u ervoor zorgen dat dezelfde virtuele netwerken worden doorgegeven aan de standaardRouteTable. Hetzelfde geldt als een verbinding niet propagereert naar de routetabel van een andere verbinding.
  • Op dezelfde manier betekent het niet doorgeven van een verbinding met een routetabel doorgaans dat verbindingen die aan dezelfde routetabel zijn gekoppeld, geen toegang hebben tot die verbinding. Er is een statische route vereist.

Veelvoorkomende gebruiksvoorbeelden

Een veelvoorkomend gebruiksvoorbeeld voor statische routes in Virtual WAN is om privéverkeer van dezelfde hub te verzenden via een Azure Firewall geïmplementeerd in de virtuele hub. In dit ontwerp fungeert de firewall als de volgende hop voor verkeer dat anders rechtstreeks naar de uiteindelijke bestemming zou stromen.

Dit patroon wordt gebruikt om Azure Firewall inspectie te leveren voor de volgende gebruiksvoorbeelden op hoog niveau:

Aanvullende, complexere gebruiksvoorbeelden zijn:

Andere veelvoorkomende gebruiksvoorbeelden waarvoor alternatieve benaderingen zijn vereist of die niet worden ondersteund met statische routes:

Verkeer routeren naar een NVA in een spoke virtueel netwerk

Configuratieopties

U kunt routering naar een IP-adres in een virtueel spoke-netwerk op twee manieren configureren:

• Optie 1: Geef de statische route op voor de verbinding met het virtuele netwerk. Stel Statische route doorgeven op Waar in. In dit model wordt de statische route op de virtuele netwerkverbinding automatisch doorgegeven in Virtual WAN zonder dat er een afzonderlijke statische routevermelding nodig is in Virtual WAN routetabellen. Deze configuratie heeft betere schaaleigenschappen omdat Virtual WAN de statische routes automatisch doorgeeft volgens de Virtual Network doorgegeven routetabellen en -labels.
• Option 2: Geef een statische route op in een Virtual WAN routetabel, waarbij de volgende hop is ingesteld op de Hub virtual network connection. In dit model moet er ook een bijbehorende statische route zijn op de virtuele netwerkverbinding waarmee het IP-adres van de volgende hop voor het voorvoegsel wordt opgegeven. Daarnaast moet u een statische route toevoegen in elke Virtual WAN routetabel (inclusief externe Virtual WAN hubs) naar de virtuele hubnetwerkverbinding die de statische route moet gebruiken.

De twee configuratieopties ondersteunen verschillende routeringspatronen en hebben verschillende beschikbare use cases:

Wanneer u statische routes gebruikt om verkeer naar een Virtual Network verbinding in Virtual WAN te routeren, moet u rekening houden met de volgende aanbevolen procedures en overwegingen:

• Gebruik configuratie option 1 via configuratie option 2 waar mogelijk, zoals option 1 zorgt ervoor dat statische routes automatisch worden geadverteerd naar de relevante Virtual WAN routetabellen. Dit vermindert de operationele overhead van statisch routebeheer voor meerdere Virtual WAN routetabellen en hubs.
• De instelling bypass next-hop IP-adres bepaalt hoe verkeer dat is bestemd voor IP-adressen in hetzelfde Virtueel Netwerk als de NVA wordt gerouteerd. Lijn deze instelling uit met het beoogde netwerkpatroon. Het instellen van deze waarde op waar is vaak essentieel om NVA-beheerverkeer correct te routeren naar de verwachte NVA-interface of de verwachte instantie.
• Als er meerdere statische routes zijn geconfigureerd waarbij de doel-CIDR's zich niet in IANA RFC1918 bevinden, moeten alle statische routes met niet-RFC1918 bestemmingen hetzelfde IP-adres voor de volgende hop gebruiken.
• Voor scenario's waarin de NVA wordt gebruikt om verkeer tussen on-premises en andere virtuele netwerken te inspecteren, wordt de Virtual Network van de NVA meestal gekoppeld aan een custom routetabel anders dan de vertakkingen of andere virtuele netwerken, terwijl alle andere verbindingen worden doorgegeven aan de custom routetabel van de NVA-Virtual Network. Zie de sectie algemene use cases hieronder voor een voorbeeld.

Veelvoorkomende gebruiksvoorbeelden

Enkele veelvoorkomende use cases waarvoor alternatieve benaderingen zijn vereist of die niet worden ondersteund in Virtual WAN:

Twee typen statische routes combineren

U kunt ook statische routes combineren die verwijzen naar Azure Firewall in de virtuele hub met statische routes die verwijzen naar een virtuele netwerkverbinding. Dit ontwerp is handig als u verschillende volgende hops wilt gebruiken voor verschillende verkeersklassen binnen dezelfde Virtual WAN implementatie.

Veelvoorkomende gebruiksvoorbeelden zijn:

Diagram dat toont hoe Azure Firewall lokaal verkeer inspecteert terwijl een netwerk-virtueel-apparaat in een spoke geselecteerd verkeer verwerkt, zoals uitgaand verkeer naar het internet.

Andere veelvoorkomende gebruiksvoorbeelden waarvoor alternatieve benaderingen zijn vereist of die niet worden ondersteund met statische routes: