Plánování IP adres pro Azure virtuální sítě

Tento článek se zabývá plánováním privátních a veřejných IP adres pro nasazení Azure. Dozvíte se, jak přidělit adresní prostor, vyhnout se překrývajícím se rozsahům, zvolit správný typ veřejné IP adresy a vyhodnotit podporu duálního zásobníku IPv6.

Co tento článek popisuje

Tento článek se zabývá strategiemi přidělování privátních adres, typy a SKU veřejných IP adres, plánováním CIDR s cílem zabránit překrývání rozsahů, aspekty nasazení duálního zásobníku IPv6 a nástrojem IP Address Manager (IPAM) pro prostředí ve velkém měřítku.

Kdo potřebuje tento článek

Přečtěte si tento článek, pokud:

  • Nasazuje virtuální síť v Azure a musí se rozhodnout, které rozsahy IP adres se mají použít.
  • Připojujete sítě Azure k místním prostředím a potřebujete zabránit konfliktům adres.
  • Je potřeba si vybrat mezi standardními veřejnými IP adresami, předponami veřejných IP adres nebo přenesením vlastních rozsahů IP adres (BYOIP).
  • Chcete porozumět tomu, kdy je nasazení IPv6 v režimu dual-stack vhodné pro vaše úlohy.
  • Spravuje velké nebo rostoucí prostředí a potřebuje strategii pro sledování přidělování IP adres ve velkém měřítku.

Přesun fokusu metodou "lift and shift": Zvolte privátní rozsahy, které se nepřekrývají s vaší místní sítí, aby směrování VPN nebo ExpressRoute fungovalo bez překladu. Vyčleňte jeden velký blok přistávací zóny s dostatečnou kapacitou pro úlohy, které budete migrovat v průběhu několika příštích let.

Zaměření modernizace: Naplánujte nepřekrývající se adresní prostor ve vašich primárních a záložních oblastech, aby bylo možné úlohy v režimu aktivní-aktivní později propojit, a vyhraďte podsítě odpovídající velikosti pro App Service Environment a AKS.

Zaměření na více cloudů: Vytvořte globální adresní plán, který nekoliduje se stávajícími rozsahy CIDR v AWS VPC nebo Google Cloud, což je nezbytné před připojením cloudových prostředí přes VPN nebo privátní propojení.

Azure služby a funkce

Následující služby a funkce podporují plánování IP adres v Azure:

Služba nebo funkce Co poskytuje Kdy ji použít
Privátní adresní prostory RFC 1918 Tři rezervované rozsahy pro privátní použití: 10.0.0.0/8, 172.16.0.0/12 a 192.168.0.0/16. Azure virtuální sítě používají tyto rozsahy pro interní komunikaci. Vždy: Každá virtuální síť vyžaduje alespoň jeden rozsah privátních adres z těchto prostorů.
Sdílený adresní prostor RFC 6598 100.64.0.0/10: považováno za privátní adresní prostor v Azure. Původně navržené pro prostředí NAT (CGNAT) na úrovni dopravce. Pokud už vaše organizace používá rozsahy RFC 6598 místně nebo když je prostor RFC 1918 vyčerpán.
Standardní veřejná IP adresa Statická zónově redundantní veřejná IP adresa přiřazená jednomu prostředku. Ve výchozím nastavení zabezpečeno s uzavřeným příchozím provozem Pokud prostředek potřebuje jedinečný veřejný koncový bod, například nástroj pro vyrovnávání zatížení, bránu VPN nebo veřejný virtuální počítač.
Předpona veřejné IP adresy Rezervovaný souvislý blok veřejných IP adres z konkrétní Azure oblasti. Pokud potřebujete předvídatelné rozsahy IP adres pro NAT Gateway, Virtual Machine Scale Sets nebo externí přidání do schváleného seznamu.
BYOIP / vlastní předpona IP adresy Připojte k Azure vlastní rozsahy veřejných IP adres. Používá se třífázový proces: ověření vlastnictví, zřízení prefixu a jeho následné zprovoznění. Pokud potřebujete zachovat stávající reputaci IP adres, udržujte externí schválené položky seznamu nebo migrujte úlohy beze změny veřejných IP adres.
Správa IP adres v Azure Virtual Network Manageru (IPAM) Integrovaná funkce správy IP adres v Azure Virtual Network Manager Obecně dostupné ve většině oblastí. Poskytuje centralizované sledování viditelnosti a přidělování napříč předplatnými. Když spravujete mnoho virtuálních sítí napříč několika předplatnými a potřebujete automatizované sledování využití adresního prostoru. Viz Centralizovaná správa sítě.

Jak zvolit

Při rozhodování o plánování IP adres použijte následující rozhodovací tabulky.

Osvědčené postupy plánování IP adres

Practice Proč Example
Přidělte velký nadřazený blok CIDR (/16) a rozdělte jej Zabraňuje vyčerpání adres s růstem pracovních zátěží. Snadnější shrnutí tras. Přiřaďte rozsah 10.1.0.0/16 produkčnímu prostředí a potom pro každou vrstvu úloh vytvořte podsítě /24.
V každé podsíti ponechte alespoň 30 % rezervu. Služby pro škálování, jako jsou Virtual Machine Scale Sets, AKS a App Service Environments, při horizontálním škálování rychle spotřebovávají IP adresy. Podsíť /24 poskytuje 251 použitelných IP adres. Pokud vaše výchozí nasazení využívá hodnotu 100, máte prostor pro jeho ztrojnásobení.
Použití souvislých bloků CIDR pro každé prostředí Zjednodušuje shrnutí tras a pravidla brány firewall. Jedna souhrnná trasa představuje celé prostředí. Produkce: 10.1.0.0/16. Testovací prostředí: 10.2.0.0/16. Vývoj: 10.3.0.0/16.
Vyhněte se Azure vyhrazeným a zakázaným rozsahům platforem Použití rezervovaných rozsahů způsobuje selhání směrování a chyby nasazení. Nepřiřazujte 169.254.0.0/16, 168.63.129.16/32, 224.0.0.0/4, 127.0.0.0/8 nebo 255.255.255.255/32.
Přidělení dokumentů v Azure IPAM nebo tabulce Zabraňuje překrývání při růstu prostředí. Centralizuje viditelnost pro síťové týmy. Pro automatizované sledování použijte Azure Virtual Network Manager IPAM nebo pro menší prostředí udržujte sdílenou tabulku.

Diagram znázorňující, jak je adresní prostor sítě VNet rozdělen do podsítí dimenzovaných pro vrstvy úloh a vyhrazené služby platformy, jako jsou brána, firewall a Bastion.

Typy veřejných IP adres

Typ Co to je Kdy ji použít
Standardní veřejná IP adresa Statická veřejná IP adresa přiřazená jednotlivě. Ve výchozím nastavení zónově redundantní v oblastech s podporou zón dostupnosti. Zabezpečené ve výchozím nastavení: veškerý příchozí provoz se zablokuje, dokud to pravidlo skupiny zabezpečení sítě nebo nástroje pro vyrovnávání zatížení neumožňuje. Veřejně přístupné nástroje pro vyrovnávání zatížení, brány VPN, Azure Bastion, aplikační brány nebo jakýkoli prostředek, který potřebuje jedinečný veřejný koncový bod.
Předpona veřejné IP adresy Rezervovaný souvislý blok veřejných IP adres z konkrétní oblasti Zaručuje sekvenční adresy. NAT Gateway (vyžaduje předponu pro více odchozích IP adres), Virtual Machine Scale Sets nebo když externí systémy potřebují přidat do schváleného seznamu předvídatelný rozsah IP adres.
BYOIP / vlastní předpona IP adresy Rozsahy veřejných IP adres vlastněné zákazníkem se do Azure začleňují prostřednictvím třífázového procesu: ověření, zřízení a zprovoznění. Regionální předpony se zprovozní přibližně za 30 minut; zprovoznění globálních předpon trvá 3–4 hodiny. Zachování reputace IP adres během migrace do cloudu, udržování externích schválených položek seznamu nebo splnění zákonných požadavků na vlastnictví IP adres. IP adresy odvozené z vlastní předpony IP adres můžou také používat Azure DDoS Protection.

Note

Veřejné IP adresy skladové položky Basic byly vyřazeny 30. září 2025. Stávající základní IP adresy nadále fungují, ale nejsou podporované a nemají smlouvu SLA. Upgradujte na skladovou položku Standard pro všechna nová nasazení.

Rozhodnutí o IPv6

Scenario Recommendation Odůvodnění
Úloha obsluhuje jenom klienty IPv4, žádný zákonný požadavek IPv6 Pouze protokol IPv4 Nejjednodušší konfigurace. Eliminuje režijní náklady na správu dvou protokolových zásobníků. Většina služeb Azure nativně podporuje protokol IPv4.
Úlohy musí obsluhovat klienty IPv6 nebo předpisy vyžadují podporu IPv6. Dual-stack (IPv4 + IPv6) Virtuální sítě Azure podporují podsítě typu dual-stack. Nasaďte protokol IPv6 společně s protokolem IPv4 na stejné prostředky.
Úlohy potřebují protokol IPv6, ale spoléhají na Azure Firewall, Virtual WAN nebo směrovací server. Pouze protokol IPv4 (s ukončením externího protokolu IPv6) Azure Firewall, Virtual WAN a směrovací server momentálně nepodporují protokol IPv6. Ukončete provoz IPv6 na externím nástroji pro vyrovnávání zátěže nebo hraničním zařízení předtím, než provoz vstoupí do těchto služeb. VPN Gateway IPv6 je k dispozici ve verzi Preview.

Duální zásobník IPv6 v Azure

Azure podporuje nasazení IPv6 s duálním zásobníkem napříč virtuálními sítěmi. Když povolíte režim dual-stack, každá podsíť získá rozsah IPv4 i rozsah IPv6 s prefixem /64. Zdroje získávají adresy z obou adresních rodin a mohou současně komunikovat prostřednictvím obou protokolů.

Protokol IPv6 v Azure má specifické požadavky na velikost. Podsítě IPv6 musí být přesně /64. Nepodporuje se žádná jiná délka předpony. Adresní prostor IPv6, který přiřadíte k virtuální síti, musí být dostatečně velký, aby vyhovoval podsítím /64 pro každou podsíť, která potřebuje připojení IPv6. Naplánujte přidělování adres IPv6 společně s rozsahy IPv4 během počátečního návrhu sítě.

Následující služby Azure podporují konfigurace IPv6 se dvěma zásobníky:

Service Podpora protokolu IPv6
Virtuální síť Azure Podsítě s duálním stackem s rozsahy IPv6 /64
Standard Load Balancer Veřejné a interní front-endy IPv6
Brána VPN Koncové body tunelu IPv6 (ve verzi Preview; vyžaduje explicitní povolení)
NAT Gateway Odchozí překlad IPv6 (pouze skladová položka StandardV2; Skladová položka Standard je jenom IPv4.
Veřejná IP adresa (SKU Standard) Veřejné adresy IPv6
Virtual Machine Scale Sets Síťová rozhraní IPv6
Partnerské vztahy virtuálních sítí Provoz IPv6 napříč partnerskými virtuálními sítěmi
Skupiny zabezpečení sítě Pravidla protokolu IPv6 pro filtrování
DNS (Azure DNS) Podpora záznamů AAAA

Klíčové služby, které nepodporují protokol IPv6: Azure Firewall (vyžaduje podsíť jenom IPv4), Virtual WAN (jenom IPv4) a směrovací server (jenom IPv4). VPN Gateway podporuje protokol IPv6 v režimu dual-stack, ale pouze ve verzi Preview (je nutné ji explicitně povolit). Pokud vaše architektura závisí na Azure Firewall, Virtual WAN nebo směrovacím serveru pro kontrolu provozu nebo směrování, navrhněte síť tak, aby se provoz IPv6 zpracovával před dosažením těchto komponent.

Podrobné možnosti, omezení a kroky konfigurace protokolu IPv6 najdete v tématu IPv6 pro Azure Virtual Network.

rezervované adresy Azure

Azure si v každé podsíti vyhrazuje pět IP adres:

Rezervovaná adresa Purpose
První adresa (.0) Identifikátor sítě
Druhá adresa (.1) Výchozí brána
Třetí adresa (.2) mapování Azure DNS
Čtvrtá adresa (.3) mapování Azure DNS
Poslední adresa (vysílací) Adresa vysílání

Tyto pět rezervovaných adres započítáte do všech výpočtů velikosti podsítě. Podsíť /24 poskytuje celkem 256 adres, z nichž je 5 rezervovaných, takže zbývá 251 použitelných IP adres pro hostitele. Nejmenší podporovaná podsíť IPv4 je /29 (8 adres minus 5 rezervovaných = 3 použitelné). Největší podporovaná podsíť IPv4 je /2.

Tip

Veřejné IP adresy SKU Standard jsou zpoplatněny bez ohledu na to, zda jsou připojeny k prostředku, nebo ne. V rámci hygieny IP adres pravidelně odstraňujte veřejné IP adresy, které už nepoužíváte, a uvolňujte prefixy veřejných IP adres, které vám už nestačí. Nepřipojené veřejné IP adresy jsou častým zdrojem nevyřešitelných nákladů a nepotřebného prostoru pro útoky.

Aspekty návrhu

Zaměření návrhu plánování IP adres při migraci metodou „lift-and-shift“

  • Vyhraďte pro landing zónu jeden velký blok CIDR (běžný je prefix /16) a rozdělte jej na části pro jednotlivé migrované aplikace; ponechte si přitom rezervu ve výši přibližně 20 % pro budoucí růst.
  • Zvolte rozsahy, které se nepřekrývají s místními sítěmi, které se připojují prostřednictvím VPN Gateway nebo ExpressRoute, takže směrování funguje bez překladu adres.
  • Počítejte s pěti rezervovanými adresami Azure pro každou podsíť a s vyhrazenými podsítěmi, které služby platformy vyžadují, například GatewaySubnet (/27) a AzureFirewallSubnet (/26).
  • Tam, kde mezi sítěmi nikdy nedochází k peeringu, můžete záměrně znovu používat privátní rozsahy IPv4, abyste šetřili adresní prostor.

Modernizace zaměření návrhu plánování IP adres

  • Přidělte nepřekrývající se rozsahy v primární a záložní oblasti, aby úlohy v režimu active-active mohly později využívat globální peering bez změny adresace.
  • Vyhraďte vyhrazenou podsíť o velikosti pro App Service Environment (/24 nebo /23 při téměř maximálním škálování). Pro AKS s CNI Overlay dimenzujte podsíť pouze pro uzly, protože pody využívají samostatný překryvný rozsah CIDR, takže podsíť pro uzly může být mnohem menší, než vyžaduje plochý model CNI.
  • Vyhraďte pro privátní koncové body vyhrazenou podsíť, aby zavádění služeb PaaS nevedlo k fragmentaci vašeho adresního plánu.
  • Pomocí Azure Virtual Network Manager správy IP adres můžete sledovat a automatizovat přidělování při škálování vašeho prostředí.

Zaměření návrhu plánování IP adres ve více cloudech

  • Nejprve vytvořte globální plán adresního prostoru: rezervujte bloky CIDR v Azure, které se nepřekrývají se stávajícími AWS VPC ani sítěmi Google Cloud VPC, což je nutné pro směrovanou VPN nebo propojení.
  • Zdokumentujte rozsahy adres jednotlivých připojených cloudů a větví, abyste mohli plánovat souhrnné trasy prostřednictvím Azure Virtual WAN.
  • Vyhraďte adresní prostor pro tranzitní komponenty, jako jsou hub Virtual WAN a podsítě brány VPN, s rezervou pro rozšiřování při přidávání cloudových uzlů a poboček.
  • Tam, kde jsou překryvy nevyhnutelné, naplánujte překlad adres (NAT) pro dotčená připojení VPN nebo přečíslování úloh během migrace, spíše než až po ní.

Předpoklady

Před plánováním přidělování IP adres:

  • Návrh virtuální sítě: Máte existující nebo plánovanou strukturu virtuální sítě. Pokud jste ještě nenavrhli virtuální sítě, podívejte se nejprve na Azure virtuální sítě a podsítě.
  • Inventář místních IP adres: Zdokumentování existujících místních rozsahů adres, včetně všech rozsahů používaných pobočkami, datovými centry nebo jinými poskytovateli cloudu Pro hybridní připojení se vyžadují nepřekrývající se adresy.
  • Projekce růstu: Odhadněte, kolik dalších podsítí a hostitelů budete potřebovat během dalších 2 až 3 let. Přidělování adresního prostoru předem je jednodušší než pozdější rozšíření virtuální sítě.

Bezpečnostní aspekty

Plánování IP adres má přímý dopad na zabezpečení. Pokud chcete snížit riziko, postupujte podle těchto postupů:

  • Zabránit překrývání adres: Překrývající se rozsahy IP adres mezi místními sítěmi, Azure virtuálními sítěmi a partnerskými virtuálními sítěmi způsobují selhání směrování. Provoz může směřovat do nesprávného cíle nebo být bez upozornění zahozen. Ověřte, že je každý rozsah adres jedinečný v celé síti.
  • Vyhněte se zakázaným rozsahům: Azure vyhrazuje následující rozsahy pro provoz platformy. Nikdy je nepoužívejte jako adresní prostor virtuální sítě:
    • 169.254.0.0/16 (link-local)
    • 168.63.129.16/32 (Azure interní DNS)
    • 224.0.0.0/4 (vícesměrové vysílání)
    • 127.0.0.0/8 (zpětné smyčky)
    • 255.255.255.255/32 (vysílání)
  • Dokument a audit: Udržujte aktuální záznam všech přidělování IP adres. Nezdokumentované rozsahy vedou při nasazení nových úloh k náhodnému překrytí. Používejte Azure Virtual Network Manager IPAM pro automatizované sledování dodržování předpisů nebo udržujte sdílenou tabulku, která se kontroluje během každého nasazení.
  • Ochrana veřejných IP adres: Přidružte Azure DDoS Protection k prostředkům veřejné IP adresy v produkčních prostředích. Rozsahy BYOIP můžou být chráněné také službou DDoS Protection.

Tyto články se týkají témat, která komunikují s plánováním IP adres:

Další informace

Další kroky

Tip

Prozkoumáváte to sami? Vraťte se do navigátoru přehledu a vyhledejte další článek podle možností.

V dalším kroku na cestě metodou "lift and shift":

Zabezpečte své podsítě pomocí skupin zabezpečení sítě (NSG): Použijte svá stávající pravidla brány firewall jako pravidla NSG, abyste zachovali úroveň zabezpečení v Azure.

Další na cestě k modernizaci:

Zabezpečení podsítí pomocí skupin zabezpečení sítě: Vynucujte striktní segmentaci, aby provoz nástroje pro vyrovnávání zatížení dosáhl jenom podsítí aplikace.

Dále na vaší cestě mezi cloudy:

Zabezpečte své podsítě pomocí skupin zabezpečení sítě: Převeďte skupiny zabezpečení AWS a pravidla brány firewall Google Cloud na Azure NSG.

  • Last updated on