Peerowanie sieci wirtualnych Azure

Komunikacja równorzędna usługi Azure Virtual Network umożliwia bezproblemowe łączenie dwóch lub większej liczby sieci wirtualnych na platformie Azure, dzięki czemu są one wyświetlane jako jedno na potrzeby łączności. Ta zaawansowana funkcja umożliwia tworzenie bezpiecznych, wysokowydajnych połączeń między sieciami wirtualnymi przy jednoczesnym zachowaniu całego ruchu w prywatnej infrastrukturze szkieletowej firmy Microsoft, eliminując potrzebę publicznego routingu internetowego.

Czego dowiesz się w tym artykule:

• Jak działa łączenie sieci wirtualnych i jej kluczowe korzyści

• Różne typy peeringu (lokalnego i globalnego)

• Jak zaimplementować łączność i łańcuch usług

• Jak wyłączyć propagację tras peeringu, aby kierować ruchem przez wirtualne urządzenie sieciowe (NVA)

• Rozwiązywanie typowych problemów z peeringiem

Niezależnie od tego, czy projektujesz topologię piasty i szprych, czy łączysz sieci między regionami, ten przewodnik ułatwia zrozumienie możliwości i ograniczeń komunikacji peeringu sieci wirtualnych.

Korzystając z konfiguracji łączności Azure Virtual Network Manager, możesz skalować łączność poza tradycyjne limity peeringu sieci wirtualnej. Na przykład możesz utworzyć topologię typu hub-and-spoke z maksymalnie 1 000 sieci wirtualnych typu spoke połączonych z hubem albo utworzyć grupę połączoną w topologii siatki, zawierającą maksymalnie 3 000 sieci wirtualnych, które mogą komunikować się bezpośrednio między sobą.

Platforma Azure obsługuje następujące typy łączenia równorzędnego:

• Skomunikowanie sieci wirtualnych: łączy sieci wirtualne w tym samym regionie platformy Azure.

• Globalne równoległe połączenie sieci wirtualnych: łączenie sieci wirtualnych w różnych regionach Azure.

Korzystanie z wirtualnych sieci równorzędnych, lokalnych lub globalnych, zapewnia m.in. następujące korzyści:

• Połączenie o małych opóźnieniach i dużej przepustowości między zasobami w różnych sieciach wirtualnych.

• Możliwość komunikacji zasobów w jednej sieci wirtualnej z zasobami w innej sieci wirtualnej.

• Możliwość przesyłania danych między sieciami wirtualnymi w subskrypcjach platformy Azure, dzierżawach firmy Microsoft Entra, modelach wdrażania i regionach świadczenia usługi Azure.

• Możliwość połączenia równorzędnego sieci wirtualnych utworzonych przez Azure Resource Manager.

• Możliwość połączenia równorzędnego z siecią wirtualną, stworzoną przy użyciu usługi Resource Manager, z siecią stworzoną za pomocą klasycznego modelu wdrażania. Aby dowiedzieć się więcej na temat modeli wdrażania platformy Azure, zapoznaj się z artykułem Understand Azure deployment models (Informacje na temat modeli wdrażania platformy Azure).

• Brak przestojów dla zasobów w żadnej z sieci wirtualnych podczas tworzenia połączenia równorzędnego ani po jego utworzeniu.

Ruch sieciowy między wirtualnymi sieciami równorzędnymi jest prywatny. Ruch między sieciami wirtualnymi jest utrzymywany w sieci szkieletowej firmy Microsoft. W komunikacji między sieciami wirtualnymi nie są wymagane żadne publiczne internety, bramy ani szyfrowanie.

Microsoft niedawno wprowadził dodatkową elastyczność oprócz peeringu sieci wirtualnych – tzw. 'Subnet peering'.

To dodatkowa elastyczność oparta na peeringu sieci wirtualnych, gdzie masz możliwość wyboru konkretnych podsieci, które muszą być peerowane przez sieci wirtualne. Możesz określić lub wprowadzić listę podsieci w sieciach wirtualnych, które chcesz połączyć. Natomiast w standardowym peeringu sieci wirtualnych połączeniem równorzędnym objęta jest cała przestrzeń adresowa oraz wszystkie podsieci między sieciami wirtualnymi. Aby uzyskać więcej informacji, zobacz Jak skonfigurować peering podsieci.

Łączność

W przypadku równorzędnych sieci wirtualnych zasoby w obu sieciach wirtualnych mogą łączyć się bezpośrednio z zasobami w równorzędnej sieci wirtualnej.

Opóźnienie sieciowe między maszynami wirtualnymi w równorzędnych sieciach wirtualnych w tym samym regionie jest takie samo jak opóźnienie w pojedynczej sieci wirtualnej. Przepływność sieci jest oparta na przepustowości dozwolonej dla maszyny wirtualnej proporcjonalnie do jej rozmiaru. W ramach peeringu nie ma żadnych dodatkowych ograniczeń dotyczących przepustowości.

Ruch między maszynami wirtualnymi w równorzędnych sieciach wirtualnych odbywa się bezpośrednio za pomocą infrastruktury sieci szkieletowej firmy Microsoft, a nie przy użyciu bramy lub publicznego internetu.

Sieciowe grupy zabezpieczeń można zastosować w sieci wirtualnej, aby zablokować dostęp do innych sieci wirtualnych lub podsieci. Podczas konfigurowania równorzędnego połączenia sieci wirtualnych, otwórz lub zamknij reguły grupy zabezpieczeń sieci między sieciami wirtualnymi. Jeśli otworzysz pełną łączność między równorzędną siecią wirtualną, możesz zastosować sieciowe grupy zabezpieczeń w celu zablokowania lub odmowy określonego dostępu. Pełna łączność jest opcją domyślną. Aby dowiedzieć się więcej na temat sieciowych grup zabezpieczeń, zobacz Grupy zabezpieczeń.

Dostosuj rozmiar przestrzeni adresowej dla połączonych sieci wirtualnych Azure

Możesz zmienić rozmiar przestrzeni adresowej połączonych sieci wirtualnych platformy Azure bez powodowania przestojów w już połączonej przestrzeni adresowej. Ta funkcja jest przydatna w przypadku konieczności zmiany rozmiaru przestrzeni adresowej sieci wirtualnej po skalowaniu obciążeń. Po zmianie rozmiaru przestrzeni adresowej elementy równorzędne muszą zsynchronizować się ze zmianami w nowej przestrzeni adresowej. Zmiana rozmiaru działa zarówno dla przestrzeni adresowych IPv4, jak i IPv6.

Można zmieniać rozmiar adresów w następujący sposób:

• Zmodyfikuj prefiks zakresu adresów istniejącego zakresu adresów (na przykład zmień 10.1.0.0/16 na 10.1.0.0/18).

• Dodaj zakresy adresów do sieci wirtualnej.

• Usuń zakresy adresów z sieci wirtualnej.

Zmiana rozmiaru przestrzeni adresowej jest obsługiwana w środowisku z wieloma dzierżawcami.

Równorzędne sieci wirtualne można synchronizować za pośrednictwem witryny Azure Portal lub programu Azure PowerShell. Zalecamy uruchomienie synchronizacji po każdej operacji zmiany rozmiaru przestrzeni adresowej zamiast wykonywania wielu operacji zmiany rozmiaru, a następnie uruchamiania operacji synchronizacji. Aby dowiedzieć się, jak zaktualizować przestrzeń adresową równorzędnej sieci wirtualnej, zobacz Aktualizowanie przestrzeni adresowej dla równorzędnej sieci wirtualnej.

Tworzenie łańcuchów usług

Łańcuch usług umożliwia kierowanie ruchu z jednej sieci wirtualnej do urządzenia wirtualnego lub bramy w sieci równorzędnej za pośrednictwem tras zdefiniowanych przez użytkownika (UDR).

Aby włączyć łańcuchy usług, skonfiguruj UDR wskazujące maszyny wirtualne w równorzędnych sieciach wirtualnych jako adres IP następnego przeskoku. Trasy zdefiniowane przez użytkownika mogą również wskazywać bramy sieci wirtualnej, aby umożliwić tworzenie łańcuchów usług.

Można wdrożyć sieci piasty i szprych, w których sieć wirtualna piasty hostuje składniki infrastruktury, takie jak wirtualne urządzenie sieciowe lub brama sieci VPN. Następnie wszystkie wirtualne sieci szprychowe można połączyć za pomocą peeringu z centralną siecią wirtualną. Ruch przepływa przez wirtualne urządzenia sieciowe lub bramy sieci VPN w sieci wirtualnej koncentratora.

Połączenie równorzędne sieci wirtualnych umożliwia, aby następny przeskok tras UDR był adresem IP maszyny wirtualnej w połączonej sieci wirtualnej lub bramy VPN. Nie można trasować ruchu między sieciami wirtualnymi za pomocą UDR, które określa bramę Azure ExpressRoute jako typ następnego przeskoku. Aby dowiedzieć się więcej na temat tras zdefiniowanych przez użytkownika, zapoznaj się z Omówienie tras zdefiniowanych przez użytkownika. Aby dowiedzieć się, jak utworzyć topologię sieci piasty i szprych, zobacz Topologia sieci piasty i szprych na platformie Azure.

Bramy i łączność lokalna

Każda sieć wirtualna, w tym równorzędna sieć wirtualna, może mieć własną bramę. Sieć wirtualna może używać swojej bramy do łączenia się z siecią lokalną. Można również skonfigurować połączenia między sieciami wirtualnymi przy użyciu bram, nawet w przypadku równorzędnych sieci wirtualnych.

Podczas konfigurowania obu opcji połączenia między sieciami wirtualnymi, ruch przepływa przez konfigurację peeringu. Ruch korzysta z sieci szkieletowej Azure.

Bramę można również skonfigurować w równorzędnej sieci wirtualnej jako punkt tranzytowy do sieci lokalnej w miejscu prowadzenia działalności. W takim przypadku sieć wirtualna korzystająca z bramy zdalnej nie może mieć własnej bramy. Sieć wirtualna może mieć tylko jedną bramę. Brama powinna być lokalną lub zdalną bramą w równorzędnej sieci wirtualnej, jak pokazano na poniższym diagramie.

Zarówno peering sieci wirtualnych, jak i globalny peering sieci wirtualnych obsługują tranzyt bramy.

Tranzyt przez bramy między sieciami wirtualnymi utworzonymi za pośrednictwem różnych modeli wdrażania jest obsługiwany. Brama musi znajdować się w sieci wirtualnej w modelu usługi Azure Resource Manager. Aby dowiedzieć się więcej na temat użycia bramy do tranzytu, zobacz Konfigurowanie bramy VPN dla tranzytu w peeringu sieci wirtualnych.

Aby użyć bramy VPN lub ExpressRoute znajdującej się w innym regionie Azure niż wirtualne sieci obciążenia, zobacz Użyj bramy VPN lub ExpressRoute w innym regionie.

W przypadku połączenia równorzędnych sieci wirtualnych, które współużytkują pojedyncze połączenie usługi ExpressRoute, ruch między nimi przechodzi przez relację równorzędną. Ten ruch korzysta z sieci szkieletowej platformy Azure. Użytkownicy mogą nadal korzystać z bram lokalnych w poszczególnych sieciach wirtualnych, aby łączyć się z obwodem lokalnym. W przeciwnym razie można użyć bramy udostępnionej i skonfigurować tranzyt dla połączeń z lokalizacją lokalną.

Prefiksy anonsowanej bramy

W architekturach typu hub-and-spoke korzystających z tranzytu bramy usługi Azure VPN Gateway i ExpressRoute Gateway mogą anonsować dużą liczbę prefiksów do środowiska lokalnego, ponieważ domyślnie anonsowane są przestrzeń adresowa huba oraz przestrzenie adresowe połączonych równorzędnie sieci wirtualnych.

Aby zmniejszyć liczbę ogłaszanych prefiksów, można skonfigurować ogłaszane prefiksy bramy dla wirtualnej sieci bramy za pomocą właściwości summarizedGatewayPrefixes. Gdy ustawisz tę właściwość w wirtualnej sieci hubu, usługi Azure VPN Gateway i ExpressRoute Gateway anonsują zagregowane prefiksy zamiast przestrzeni adresowej hubu oraz wstrzymują anonsowanie przestrzeni adresowych sieci szprych, które są objęte zagregowaną przestrzenią.

Aby uzyskać więcej informacji, zobacz Omówienie anonsowanych prefiksów bramy.

Wyłącz propagację tras peeringowych (podgląd)

Wyłączenie propagacji tras peeringowych jest dostępne w podglądzie publicznym. Ta funkcja tabeli tras pomaga kierować ruchem przez wirtualne urządzenie sieciowe (NVA), takie jak Azure Firewall, bez konieczności utrzymywania osobnej trasy zdefiniowanej przez użytkownika (UDR) dla każdej sparowanej sieci wirtualnej. Tłumi generowane przez system trasy peeringowe IPv4 i IPv6 dla obsługiwanych obciążeń w podsieciach powiązanych z tabelą tras, jednocześnie zachowując połączenie peeringowe sieci wirtualnej.

Kiedy wyłączyć propagację tras peeringowych

Używaj wyłączania propagacji tras peeringowych w dużych sieciach hub-and-spoke, gdy musisz utrzymać scentralizowaną ścieżkę inspekcji w miarę rozwoju sieci. W miarę dodawania odnóg zastąpienia tras dla każdej odnogi zużywają pojemność tabeli tras i wymagają powtarzającej się konfiguracji.

Azure wybiera trasy według najdłuższego prefiksowego dopasowania. Trasa peeringowa generowana przez system może być bardziej szczegółowa niż zagregowana trasa UDR. W takim przypadku platforma Azure wybiera trasę komunikacji równorzędnej, a ruch omija urządzenie NVA.

Wyłączenie propagacji tras peeringowych tłumi trasy peeringowe IPv4 i IPv6, aby Azure mógł wybrać zamierzony UDR. W dużych sieciach hub-and-spoke można łączyć tę funkcję z reklamowanymi prefiksami bramy i używać podsumowanego UDR zamiast utrzymywać osobne zastąpienie dla każdej szprychy.

Poniższy diagram porównuje trasowanie z sieci lokalnych do połączonych sieci wirtualnych typu spoke z tłumieniem tras komunikacji równorzędnej i bez niego. Brama i Azure Firewall lub NVA znajdują się w wirtualnej sieci huba.

Benefits

W przypadku routingu na większą skalę wyłączenie propagacji tras peeringu umożliwia:

• Zastąp nadpisania tras dla każdego spoke podsumowanym UDR do NVA, gdy plan adresowy i planowana ścieżka inspekcji na to pozwalają.
• Zastosuj tłumienie tras w zakresie podsieci przez powiązaną tabelę tras, zachowując łączność peeringową i pozostawiając inne podsieci bez zmian.
• Ogranicz cykliczne utrzymanie trasy bez zwiększania limitu UDR ani automatycznego konfigurowania ścieżki inspekcji.

Limitations

Podczas publicznego podglądu wyłączenie propagacji tras peeringowych ma następujące ograniczenia:

• Azure Firewall lub następny przeskok NVA musi znajdować się w tej samej sieci wirtualnej co interfejs sieciowy źródłowego obciążenia roboczego. Kolejny skok w sparowanej sieci wirtualnej nie jest obsługiwany.
• Ograniczanie tras peeringowych nie dotyczy obciążeń Azure BareMetal Infrastructure. Obciążenia BareMetal w podsieci powiązanej z tabelą tras korzystającą z tej funkcji nadal stosują standardowe routowanie najdłuższego dopasowania prefiksów i nie korzystają z podsumowanych tras dla tej funkcji. Inne obsługiwane obciążenia robocze w tej samej podsieci normalnie korzystają z podsumowanych tras.
• Dla Terraform użyj dostawcy AzAPI. Dostawca AzureRM obecnie nie obsługuje tego ustawienia.

Jak działa tłumienie tras peeringowych

Właściwość disablePeeringRoute route-table obsługuje następujące wartości:

Wyłączenie propagacji tras peeringowych nie tworzy tras zastępczych ani ścieżki inspekcji. Zanim go włączysz, skonfiguruj wymagane UDR i upewnij się, że określony następny przeskok może przekierować ruch do miejsca docelowego.

Podczas publicznego podglądu zarządzaj tym ustawieniem przez tabelę tras, a nie przez kolekcje reguł routingu w Azure Virtual Network Manager. Nie musisz zmieniać pojedynczych zasobów peeringowych.

Aby skonfigurować tę funkcję, zobacz Konfigurowanie wyłączania propagacji tras komunikacji równorzędnej.

Rozwiązywanie problemów

Aby potwierdzić, że sieci wirtualne są sparowane, sprawdź efektywne trasy. Sprawdź trasy dla interfejsu sieciowego w dowolnej podsieci w sieci wirtualnej. Domyślnie, jeśli istnieje peering sieci wirtualnej, wszystkie podsieci w sieci wirtualnej mają trasy z typem następnego skoku peering sieci wirtualnej dla każdej przestrzeni adresowej w każdej sparowanej sieci wirtualnej. Jeśli w tablicy tras podsieci włączono opcję wyłącz propagację tras komunikacji równorzędnej, te trasy komunikacji równorzędnej są wyłączane dla obsługiwanych obciążeń. Sprawdź, czy wymagane UDR kierują ruch do zamierzonego kolejnego przeskoku. Aby uzyskać więcej informacji, zobacz Diagnozowanie problemu z routingiem maszyn wirtualnych.

Możesz również rozwiązywać problemy z łącznością z maszyną wirtualną w równorzędnej sieci wirtualnej przy użyciu usługi Azure Network Watcher. Sprawdzanie łączności umożliwia sprawdzenie, jak ruch jest kierowany z interfejsu sieciowego źródłowej maszyny wirtualnej do interfejsu sieciowego docelowej maszyny wirtualnej. Aby uzyskać więcej informacji, zobacz Rozwiązywanie problemów z połączeniami z usługą Azure Network Watcher przy użyciu witryny Azure Portal.

Możesz również zobaczyć Rozwiązywanie problemów z komunikacją równorzędną sieci wirtualnych.

Ograniczenia dla równorzędnych sieci wirtualnych

Następujące ograniczenia mają zastosowanie tylko wtedy, gdy sieci wirtualne są globalnie połączone równorzędnie:

• Zasoby w jednej sieci wirtualnej nie mogą komunikować się z adresem IP front-end podstawowego urządzenia równoważenia obciążenia (wewnętrznego lub publicznego) w globalnie połączonej sieci wirtualnej.

• Niektóre usługi korzystające z podstawowego modułu równoważenia obciążenia nie działają w ramach globalnego peeringu sieci wirtualnych. Aby uzyskać więcej informacji, zobacz Jakie są ograniczenia związane z globalnym peeringiem sieci wirtualnych i modułami równoważenia obciążenia?

• Nie można wykonywać połączeń równorzędnych sieci wirtualnych w ramach operacji sieci wirtualnej PUT.

Aby uzyskać więcej informacji, zobacz Wymagania i ograniczenia. Aby dowiedzieć się więcej o obsługiwanej liczbie komunikacji równorzędnej, zobacz Limity sieciowe.

Uprawnienia

Aby dowiedzieć się więcej o uprawnieniach wymaganych do utworzenia peeringu sieci wirtualnej, zobacz Uprawnienia.

Cennik

Płacisz symboliczną opłatę za ruch wejściowy i wychodzący, który korzysta z połączenia peeringowego sieci wirtualnej. Aby uzyskać więcej informacji, zobacz Cennik sieci wirtualnej.

Tranzyt przez bramę to właściwość komunikacji równorzędnej, która umożliwia sieci wirtualnej używanie bramy sieci prywatnej VPN lub bramy ExpressRoute w połączonej sieci wirtualnej. Tranzyt bramy działa zarówno w przypadku łączności między lokalizacjami, jak i połączeń między sieciami. Ruch do bramy sieciowej (przychodzący lub wychodzący) w równorzędnej sieci wirtualnej powoduje naliczanie opłat za komunikację równorzędną w sieci wirtualnej będącej szprychą (lub w sieci wirtualnej bez bramy VPN). Aby uzyskać więcej informacji, zobacz Cennik usługi Azure VPN Gateway dla opłat za bramę sieci VPN i opłaty za bramę usługi ExpressRoute.

Dalsze kroki

Chcesz zaimplementować peering sieci wirtualnych? Wybierz swój scenariusz:

Zacznij od samouczków

• Tworzenie peeringu w tej samej subskrypcji – idealne do środowisk testowych i deweloperskich.
• Stwórz peering między subskrypcjami – Idealne dla sytuacji korporacyjnych z wieloma subskrypcjami.

Konfiguracje zaawansowane

• Zbuduj topologię hub-and-spoke – Skaluj architekturę sieci.
• Zarządzanie ustawieniami peeringu – Pełne odniesienie do wszystkich opcji peeringu.

Potrzebujesz pomocy?

• FAQ dotyczące peeringu sieci wirtualnych – Najczęściej zadawane pytania i odpowiedzi.