Rotas estáticas na WAN Virtual

Este documento descreve os diferentes tipos de rotas estáticas na WAN Virtual, casos de uso comuns e as principais boas práticas e limitações a considerar durante o design e implementação da rede.

Visão geral das rotas estáticas

As rotas estáticas da WAN Virtual são utilizadas para direcionar o tráfego para um próximo salto específico. Rotas estáticas apresentam dois principais casos de uso de roteamento:

• Encaminhe o tráfego através de um Azure Firewall implementado no hub WAN Virtual.
• Encaminhe o tráfego para um endereço IP designado (frequentemente um balanceador de carga à frente de uma aplicação virtual de rede) implementado numa rede virtual spoke ligada ao hub da WAN Virtual.

A um nível geral, são necessárias as seguintes configurações de rotas estáticas para os dois principais casos de uso mencionados acima.

Casos de uso de roteamento

Encaminhamento de tráfego para o Azure Firewall

Configuration

Configure a WAN Virtual para encaminhar tráfego para o Azure Firewall num hub seguro usando rotas estáticas. Esta configuração aplica-se a hubs virtuais seguros com Azure Firewall onde a intenção de encaminhamento não está ativada. Esta configuração envolve adicionar duas configurações separadas à sua implementação da WAN Virtual:

• Adiciona rotas estáticas às tabelas de rotas do hub da WAN Virtual, com o próximo salto especificado como o identificador do recurso Azure Firewall.
• Configure as tabelas de rotas associadas e propagadas das suas ligações de hub WAN Virtual.

Para configurar rotas estáticas associadas e tabelas de rotas propagadas em cenários de hub seguros, utilize as seguintes boas práticas:

• Boas práticas relativamente a configurações estáticas de rotas e tabelas de rotas:
  • Minimizar o número de tabelas de rotas personalizadas (além do defaultRouteTable e do noneRouteTable). Tabelas de roteamento personalizadas devem ser usadas para cenários de roteamento mais personalizados, como diferentes padrões de encaminhamento para Redes Virtuais.
  • Use intervalos agregados em vez de intervalos específicos em rotas estáticas sempre que possível. Isto minimiza o número de rotas estáticas configuradas.
  • Avalie cuidadosamente os desenhos multi-hub e utilize a intenção de roteamento sempre que possível. Arquiteturas que utilizam rotas estáticas para enviar tráfego para o Azure Firewall podem tornar-se complexas de operar em múltiplos hubs e a inspeção inter-regional através do Azure Firewall não é suportada com configurações de rotas estáticas.
• Melhores práticas relativas à configuração de associações e propagações:
  • Todos os ramos (VPN/ExpressRoute) devem associar-se ao defaultRouteTable e propagar-se para o mesmo conjunto de tabelas de rotas e rótulos de tabelas de rota.
  • Propagar as rotas de uma ligação para uma tabela de rotas implica que todas as ligações associadas a essa tabela de rotas podem aceder diretamente às rotas propagadas. Assegure que a sua configuração de encaminhamento é consistente e resulta em simetria de encaminhamento. Por exemplo, se os ramos propagarem-se para a tabela de rotas de uma Rede Virtual, certifique-se de que as mesmas Redes Virtuais propagam-se para a Tabela de Rota por defeito. O mesmo se aplica se uma ligação não se propagar na tabela de roteio de outra ligação.
  • De forma semelhante, não propagar uma ligação para uma tabela de roteamento normalmente implica que as ligações associadas a essa mesma tabela de roteamento não poderão aceder a essa ligação. É necessária uma rota estática.

Casos comuns de utilização

Um caso de uso comum para rotas estáticas na WAN Virtual é enviar tráfego privado do mesmo hub através de um Azure Firewall implementado no hub virtual. Neste design, o firewall atua como o próximo salto para o tráfego que, de outra forma, fluiria diretamente para o destino final.

Este padrão é utilizado para fornecer inspeção do Azure Firewall para os seguintes casos de uso de alto nível:

Casos de uso adicionais e mais complexos incluem:

Diagrama

Outros casos de uso comuns que requerem abordagens alternativas ou que não são suportados com rotas estáticas:

Encaminhamento de tráfego para um NVA numa rede virtual spoke

Opções de configuração

Pode configurar o encaminhamento para um endereço IP numa rede virtual spoke de duas formas:

• Opção 1: Especificar a rota estática na ligação de rede virtual. Defina Propagar rota estática para Verdadeiro. Neste modelo, a rota estática na ligação de rede virtual é automaticamente propagada para a WAN Virtual sem necessidade de uma entrada de rota estática separada nas tabelas de rotas da WAN Virtual. Esta configuração tem melhores propriedades de escalonamento porque WAN Virtual propaga automaticamente as rotas estáticas de acordo com as tabelas de rotas e etiquetas propagadas do Rede Virtual.
• Opção 2: Especifique uma rota estática numa tabela de rotas WAN Virtual, com o próximo salto definido para a ligação de rede virtual Hub. Neste modelo, deve também existir uma rota estática correspondente na ligação de rede virtual que especifica o endereço IP do próximo salto para o prefixo. Além disso, em cada tabela de rotas da WAN Virtual (incluindo hubs do WAN Virtual remotos), deve adicionar uma rota estática que aponte para a ligação de rede virtual do Hub que precisa utilizar a rota estática.

As duas opções de configuração suportam diferentes padrões de encaminhamento e têm diferentes casos de uso disponíveis:

Ao utilizar rotas estáticas para encaminhar tráfego para uma ligação Rede Virtual em WAN Virtual, note as seguintes boas práticas e considerações:

• Utilizar a configuração opção 1 em vez da configuração opção 2 sempre que possível, pois opção 1 garante que as rotas estáticas são automaticamente anunciadas para as tabelas de rotas WAN Virtual relevantes. Isto reduz significativamente a sobrecarga operacional da gestão estática de rotas em múltiplas tabelas de rotas e hubs da WAN Virtual.
• A definição bypass endereço IP next-hop determina como o tráfego destinado a endereços IP na mesma Rede Virtual do NVA é encaminhado. Alinhe esta definição com o padrão de rede pretendido. Muitas vezes, definir este valor como true é fundamental para encaminhar corretamente o tráfego de gestão NVA para a interface ou instância NVA esperada.
• Se existirem múltiplas rotas estáticas configuradas onde os CIDRs de destino não estão no RFC1918 IANA, todas as rotas estáticas com destinos não RFC1918 devem usar o mesmo endereço IP do próximo salto.
• Para cenários em que o NVA é usado para inspecionar tráfego entre redes locais e outras Redes Virtuais, o Rede Virtual do NVA estará tipicamente associado a uma tabela de rotas personalizada diferente das filiais ou outras Redes Virtuais, enquanto todas as outras ligações propagam para a tabela de rotas personalizada do NVA Rede Virtual. Para um exemplo, veja a secção de casos de uso comuns abaixo.

Casos comuns de utilização

Alguns casos de uso comuns que requerem abordagens alternativas ou que não são suportados na WAN Virtual:

Combinação de dois tipos de rotas estáticas

Também pode combinar rotas estáticas que apontam para o Azure Firewall no hub virtual com rotas estáticas que apontam para uma ligação de rede virtual. Este design é útil quando se querem saltos seguintes diferentes para diferentes classes de tráfego dentro da mesma implementação da WAN Virtual.

Os casos de uso comuns incluem:

Outros casos de uso comuns que requerem abordagens alternativas ou que não são suportados com rotas estáticas: