Topologie ploché sítě s jednou úlohou

Plochá síť je nejjednodušší Azure topologie sítě: jedna virtuální síť s více podsítěmi hostujícími jednu úlohu. Tento článek vysvětluje, kdy použít tento vzor a jak ho implementovat.

Co tento článek popisuje

Tento článek popisuje nejjednodušší Azure topologii sítě: jednu virtuální síť s více podsítěmi, které hostují jednu úlohu. Tento vzor použijte, pokud máte jednu aplikaci spravovanou jedním týmem a nepotřebujete sdílené služby, jako je centrální brána firewall nebo brána VPN.

Kdo potřebuje tento článek

Přečtěte si tento článek, pokud:

• Nasazujete svou první úlohu v Azure.
• Jeden tým vlastní a provozuje všechny prostředky.
• Nepotřebujete sdílené síťové služby (firewall, Bastion, bránu) napříč několika úlohami.
• Chcete nejjednodušší síť, která stále poskytuje izolaci a zabezpečení na úrovni podsítě.

Přesun fokusu metodou "lift and shift": Jedna plochá virtuální síť s podsítí na komponentu je často prvním krokem pro opětovné hostování jedné úlohy v jedné oblasti.

Zaměření modernizace: Použijte plochou síť pro raný pilotní projekt PaaS nebo jednu modernizovanou úlohu a navrhněte její podsítě tak, aby bylo možné plynule přejít na architekturu hvězda–paprsek, když přidáte sdílené služby nebo druhý region.

Zaměření na více cloudů: Při migraci mezi cloudy použijte plochou síť VNet jako jediný výchozí bod v Azure: nejprve přeneste úlohu a potom naplánujte její adresní prostor a segmentaci tak, aby se mohla připojit k hubu nebo ke službě Virtual WAN, jak se bude návrh dále rozvíjet.

Azure služby a funkce

Topologie ploché sítě používá tyto základní Azure služby:

Service	Role v této topologii
Azure Virtual Network	Poskytuje soukromý a izolovaný adresní prostor pro vaši úlohu. Virtuální síť je vymezená na jednu Azure oblast.
Podsítě a skupiny zabezpečení sítě (NSG)	Podsítě odděluje aplikační vrstvy. Skupiny zabezpečení sítě (NSG) filtrují příchozí a odchozí provoz na hranici každé podsítě. NSG jsou stavové: zpětný provoz pro povolená připojení je automaticky povolen.
zóna Azure Privátní DNS	Poskytuje interní převod názvů pro prostředky v rámci virtuální sítě. Propojte zónu s povolenou automatickou registrací, aby virtuální počítače automaticky získály záznamy DNS.
Podsíť brány(volitelné)	Hostuje bránu VPN nebo ExpressRoute, pokud potřebujete jediné připojení k místní síti.

Jak si vybrat: zůstat u ploché architektury, nebo přejít na architekturu hub-and-spoke?

Pomocí následující rozhodovací tabulky určete, jestli je plochá topologie vhodná pro vaše prostředí, nebo jestli byste měli místo toho použít hvězdicovou topologii.

Podmínka	Recommendation
Jedna úloha, jeden tým, žádné sdílené služby	Zůstaňte naplocho: tento článek platí
Druhá nezávislá úloha potřebuje vlastní izolaci sítě.	Přejděte na topologii paprsek a uzel
Potřebujete sdílenou bránu firewall, bránu VPN nebo Azure Bastion napříč úlohami.	Přejděte na topologii typu hub-and-spoke
Zásady zabezpečení se musí spravovat centrálně napříč několika úlohami.	Přejděte na topologii typu rozbočovač–paprsek

Tip

Pokud předpokládáte, že během šesti až dvanácti měsíců přidáte druhé zatížení, zvažte, zda nezačít s architekturou typu hub-and-spoke hned od začátku. Režijní náklady jsou minimální, protože přidáte jen jednu další virtuální síť a jedno partnerské propojení. Tento přístup se vyhne rušivé migraci později.

Aspekty návrhu

Zaměření návrhu ploché sítě metodou "lift and shift"

• Použijte jednu VNet s podsítěmi pro jednotlivé komponenty aplikace (webovou vrstvu, aplikační vrstvu a datovou vrstvu), aby odpovídala typické třívrstvé architektuře místního nasazení s minimálními změnami v návrhu.
• Použijte NSG mezi podsítěmi, abyste znovu vytvořili stávající segmentaci, a zachovejte adresní prostor v souladu s rozsahy v místním prostředí, aby nedocházelo k překryvu.
• Zachovejte plochou strukturu, pokud jednu úlohu spravuje jediný tým a nepotřebujete sdílené služby firewallu, brány ani Bastionu.
• Než přidáte druhou pracovní zátěž, naplánujte přechod na architekturu hub-and-spoke, aby byly sdílené služby umístěny v centrálním uzlu namísto jejich dodatečného začleňování.

Zaměřte se na modernizaci návrhu ploché sítě.

• Použijte plochou síť pro počáteční pilotní nasazení PaaS nebo jednu modernizovanou úlohu: umístěte aplikační vrstvy do podsítí a přistupujte ke službám Azure PaaS přes privátní koncové body ve vyhrazené podsíti.
• Předem vyhraďte samostatné podsítě pro služby platformy, které budete přidávat, například Application Gateway a privátní koncové body, aby se síť mohla rozrůstat bez nutnosti přečíslování.
• Použijte NSG a skupiny zabezpečení aplikací podle vrstev, aby segmentace už byla zavedena, pokud se úloha později stane paprskem v architektuře typu hub-and-spoke.
• Zachovejte nepřekrývající se adresní prostor s ostatními regiony a virtuálními sítěmi, abyste je později mohli propojit pomocí partnerského vztahu nebo přejít na topologii s centrálním uzlem bez nutnosti přečíslování.

Zaměření návrhu ploché sítě napříč cloudovými prostředími

• Při migraci mezi cloudy používejte plochý VNet jako jediný výchozí bod v Azure: nejprve nasaďte úlohu a poté připojte konektivitu z hubu, jak návrh architektury postupně dozrává.
• Naplánujte adresní prostor ploché sítě VNet tak, aby se nepřekrýval s AWS VPC a sítěmi Google Cloud, aby ji bylo možné později připojit přes IPsec nebo propojení tras bez překladu adres.
• Zachovejte segmentaci do vrstev pomocí skupin zabezpečení sítě (NSG), aby bezpečnostní profil úlohy zůstal zachován i tehdy, když se připojí jako spoke k zabezpečenému centru Virtual WAN.
• Standardizujte pojmenování a označování podsítě tak, aby odpovídaly ostatním cloudům, aby se úlohy během migrace a po migraci snadno korelovaly.

Předpoklady

Před implementací této topologie:

• Předplatné Azure s oprávněními k vytváření virtuálních sítí a skupin zabezpečení sítě.
• Plánovaný prostor IP adres. Adresní prostor /16 poskytuje 65 536 adres, což je běžný výchozí bod pro jednu úlohu. Azure pro interní použití si vyhrazuje 5 adres na podsíť. Podrobné pokyny najdete v tématu Plánování přidělování IP adres.
• Znalost aplikačních vrstev (například webových, aplikačních a datových), abyste je mohli namapovat na podsítě. Pokyny k návrhu podsítě najdete v tématu Návrh virtuálních sítí a podsítí.

Rozložení sítě

Topologie ploché sítě se řídí touto strukturou:

• Jedna virtuální síť s jedním adresním prostorem (například 10.0.0.0/16).
• Více podsítí: jedna na aplikační vrstvu nebo komponentu:
  • Podsíť webové vrstvy (například 10.0.1.0/24).
  • Podsíť aplikační vrstvy (například 10.0.2.0/24).
  • Podsíť datové vrstvy (například 10.0.3.0/24).
  • Podsíť brány (volitelné, například 10.0.255.0/27).
• Skupiny zabezpečení sítě (NSG) připojené ke každé podsíti s pravidly, která umožňují jen provoz, který každá vrstva potřebuje.
• Jedna Privátní DNS zóna propojená s virtuální sítí s povolenou automatickou registrací.

Note

Pečlivě naplánujte rozsahy IP adres. Pokud později migrujete na topologii typu hub-and-spoke, virtuální sítě paprsků musí mít s centrální sítí nepřekrývající se rozsahy CIDR. Volba dobře strukturovaného schématu adres teď brání konfliktům během migrace.

Bezpečnostní aspekty

Tyto postupy zabezpečení použijte pro vaši plochou síť:

• Skupiny zabezpečení sítě v každé podsíti Začněte s výchozím nastavením, které zakáže veškerý příchozí provoz, a poté přidejte konkrétní pravidla pro povolení legitimního provozu mezi vrstvami. Například povolte HTTPS z webové vrstvy do aplikační vrstvy a povolte SQL z aplikační vrstvy do datové vrstvy.
• Žádné veřejné IP adresy přímo na virtuálních počítačích. Zveřejnění služeb prostřednictvím nástroje pro vyrovnávání zatížení nebo služby Application Gateway Pro přístup pro správu použijte Azure Bastion.
• Privátní DNS pro interní řešení. Privátní zóny DNS zabraňují zveřejnění interních názvů hostitelů prostřednictvím veřejných dotazů DNS.
• Izolace podsítě brány Pokud přidáte bránu VPN nebo ExpressRoute, umístěte ji do vyhrazené podsítě (pojmenované GatewaySubnet). Skupiny zabezpečení sítě (NSG) v podsíti brány nejsou podporovány. Přiřazení NSG k této podsíti může způsobit, že brána virtuální sítě přestane fungovat podle očekávání.

Important

Když odeberete pravidlo NSG, které umožňuje připojení, stávající aktivní připojení budou pokračovat bez přerušení. Blokují se jenom nová připojení, která odpovídají odebraným pravidlu.

Související články

Následující články obsahují podrobnější pokyny k souvisejícím tématům:

• Návrh virtuálních sítí a podsítí: Určení velikosti a umístění podsítě pro vrstvy úloh
• Plánování přidělování IP adres: Plánování adresního prostoru a výběr CIDR
• Návrh síťových skupin zabezpečení: návrh pravidel NSG a skupiny zabezpečení aplikací
• Topologie hub-and-spoke: další topologie, na kterou přejít s růstem vaší sítě
• Ochrana před útoky DDoS: Pokud vaše úloha zveřejňuje veřejné koncové body

Další informace

Další informace o službách Azure používaných v této topologii najdete tady:

• Co je Azure Virtual Network?
• Přehled skupin zabezpečení sítě
• Co je Azure Privátní DNS?
• Plánování virtuálních sítí

Další kroky

Tip

Prozkoumáváte to sami? Vraťte se do navigátoru přehledu a vyhledejte další článek podle možností.

V dalším kroku na cestě metodou "lift and shift":

Navrhněte topologii typu paprsek a centrální uzel: Většina migrací metodou lift-and-shift rychle přeroste možnosti ploché sítě. Naplánujte centralizované sdílené služby od začátku.

Další na cestě k modernizaci:

Navrhněte topologii hub-and-spoke: Modernizované úlohy s několika službami, bezpečnostními kontrolami a týmy potřebují architekturu hub-and-spoke od prvního dne.

Dále na vaší cestě mezi cloudy:

Naplánujte architekturu propojení mezi cloudy: Multicloudová prostředí vyžadují tranzitní architekturu, nikoli ploché síťové topologie. Navrhněte model připojení s více cloudy.