Jak nasadit topologii centr a paprsků pomocí služby Azure Firewall

V tomto článku se dozvíte, jak nasadit hub-and-spoke topologii s využitím Azure Firewall a Azure Virtual Network Manager. Vytvoříte instanci Azure Virtual Network Manageru nebo správce sítě a implementujete skupiny sítí pro důvěryhodný a nedůvěryhodný provoz. Dále nasadíte konfiguraci připojení, která definuje vaši hub-and-spoke topologii. Při nasazování konfigurace připojení máte na výběr přidat přímé připojení pro důvěryhodnou komunikaci mezi paprskovými virtuálními sítěmi, nebo požadovat, aby paprskové virtuální sítě komunikovaly prostřednictvím virtuální sítě centra. Dokončíte nasazením konfigurace směrování pro směrování veškerého provozu do služby Azure Firewall s výjimkou provozu ve stejné virtuální síti, pokud jsou virtuální sítě důvěryhodné.

Mnoho organizací používá Azure Firewall k ochraně svých virtuálních sítí před hrozbami a nežádoucím provozem a směrují veškerý provoz do služby Azure Firewall s výjimkou důvěryhodného provozu ve stejné virtuální síti. Tradičně je nastavení takového scénáře obtížné, protože pro každou novou podsíť musí být vytvořeny nové uživatelsky definované trasy (UDRs), a směrovací tabulky mají mezi sebou různé UDRs. Správa tras definovaných uživatelem ve službě Azure Virtual Network Manager vám může pomoct snadno dosáhnout tohoto scénáře vytvořením pravidla směrování, které směruje veškerý provoz do služby Azure Firewall, s výjimkou provozu ve stejné virtuální síti, a aplikací tohoto pravidla napříč paprskovými virtuálními sítěmi.

Požadavky

  • Předplatné Azure s oprávněními k vytváření prostředků v předplatném. Pokud ještě nemáte předplatné Azure, vytvořte si napřed bezplatný účet.

  • Tři virtuální sítě s podsítěmi ve stejné oblasti Jedna virtuální síť je centrální virtuální síť a druhá dvě virtuální sítě jsou paprskové virtuální sítě.

    • V tomto příkladu se virtuální síť rozbočovače jmenuje hub-vnet a virtuální sítě paprsků jsou spoke-vnet-1 a spoke-vnet-2.
    • Virtuální síť centra vyžaduje podsíť pro Azure Firewall s názvem AzureFirewallSubnet.

  • Instance Azure Virtual Network Manageru s povolenými funkcemi směrování a připojení definovanými uživatelem.

  • Všechny virtuální sítě nakonfigurované v hub-and-spoke topologii prostřednictvím konfigurace připojení nebo ručně vytvořené.

  • Azure Firewall v centrální virtuální síti. Další informace najdete v tématu Nasazení a konfigurace služby Azure Firewall a zásad pomocí webu Azure Portal.

Vytvoření instance Virtual Network Manageru

V tomto kroku nasadíte instanci Virtual Network Manageru s povoleným směrováním definovaným uživatelem.

  1. Přihlaste se k portálu Azure.

  2. Vyberte + Vytvořit prostředek a vyhledejte Správce sítě. Poté vyberte Network Manager>Vytvořit a začněte nastavovat Virtual Network Manager.

  3. Na kartě Základy zadejte nebo vyberte následující informace a pak vyberte Zkontrolovat a vytvořit.

    Nastavení Hodnota
    Předplatné Vyberte předplatné, do kterého chcete nasadit Virtual Network Manager.
    Skupina prostředků Vyberte skupinu prostředků obsahující virtuální sítě a bránu firewall.
    Vyberte ok.
    Název Zadejte název správce sítě.
    Oblast Vyberte (USA) USA – východ nebo oblast podle vašeho výběru. Virtual Network Manager může spravovat virtuální sítě v libovolné oblasti. Vybraná oblast je místo, kde je nasazena instance nástroje Virtual Network Manager.
    Popis (Volitelné) Zadejte popis této instance nástroje Virtual Network Manager a úlohu, kterou spravuje.
    Funkce V rozevíracím seznamu vyberte směrování definované uživatelem a možnosti Připojení .

    Snímek obrazovky s oknem Vytvořit správce sítě s hodnotami pro připojení a směrování definované uživatelem

  4. Vyberte kartu „Rozsah správy“ nebo pokračujte výběrem „Další: Rozsah správy“ >.

  5. Na kartě Obor správy vyberte + Přidat.

  6. V části Přidat obory působnosti vyberte předplatné nebo skupinu pro správu a potom vyberte Vybrat.

  7. Vyberte Zkontrolovat a vytvořit a pak vyberte Vytvořit a nasaďte instanci Virtual Network Manageru.

Vytvořit síťovou skupinu s ručním členstvím

V této úloze vytvoříte skupinu sítě s ručním členstvím, které zahrnuje paprskové virtuální sítě. Skupiny sítí se používají ke správě více virtuálních sítí v jedné konfiguraci.

  1. Na webu Azure Portal vyberte instanci správce sítě.

  2. V části Nastavení na levé straně vyberte Skupiny sítě a vyberte + Vytvořit.

  3. V podokně Vytvořit skupinu sítě zadejte následující nastavení a pak vyberte Vytvořit:

    Nastavení Hodnota
    Název Zadejte název vaší skupiny sítě.
    Popis (Volitelné) Zadejte popis vaší skupiny sítě.
    Typ členu Vyberte Virtuální síť.

  4. Na stránce Skupiny sítí vyberte skupinu sítě, kterou jste vytvořili, a pak v části Ručně přidat členy vyberte Přidat virtuální sítě.

  5. V okně Ručně přidat členy vyberte virtuální sítě typu spoke a pak vyberte Přidat.

    Důležité

    Nepřidávejte virtuální síť rozbočovače do této síťové skupiny. Pokud je přidána jako člen, nemůžete pro tuto skupinu vytvořit konfiguraci připojení v topologii paprsek a rozbočovač. Centrum je vybráno při vytváření konfigurace připojení.

Vytvoření konfigurace možností připojení

V této úloze vytvoříte konfiguraci připojení, která zahrnuje vaši síťovou skupinu a kolekci pravidel směrování. Můžete se rozhodnout, zda v topologii hub and spoke povolíte přímé propojení, nebo budete veškerou komunikaci směřovat přes virtuální síť centra a službu Azure Firewall.

  1. V instanci správce sítě vyberte Konfigurace v části Nastavení a pak vyberte Vytvořit konfiguraci připojení.

  2. V okně Vytvořit konfiguraci připojení zadejte název a popis konfigurace připojení na kartě Základy a pak vyberte Další: Topologie >.

  3. Na kartě Topologie zadejte nebo vyberte následující nastavení:

    Nastavení Hodnota
    Topologie Vyberte Centrum a paprsky.
    Hub Zvolte Vybrat centrum.
    Na stránce Vybrat centrum zvolte virtuální síť centra a pak vyberte Vybrat.
    Skupiny paprskových sítí Zvolte + Přidat>Přidat skupiny sítí.
    Na stránce Přidat skupiny sítí zvolte svou skupinu sítí a potom zvolte Vybrat.

  4. Ze seznamu skupin paprskových sítí můžete povolit přímé připojení nebo globální mesh. Přímé připojení umožňuje paprskovým virtuálním sítím komunikovat přímo mezi sebou. Globální síť umožňuje vzájemné komunikaci všech virtuálních sítí. Pokud tyto možnosti ponecháte nezaškrtnuté, budou všechny paprskové virtuální sítě komunikovat přes centrální virtuální síť a bránu Azure Firewall.

    Důležité

    Pokud povolíte přímé připojení, musíte mít konfiguraci směrování s přímým směrováním v rámci virtuální sítě. Pokud povolíte globální síť, musíte mít konfiguraci směrování s povolenou globální sítí.

    Snímek obrazovky s možností Vytvoření konfigurace připojení pro centrum a paprsky s přímým připojením

  5. Zvolte Další: Vizualizace >, zkontrolujte konfiguraci připojení a poté vyberte Zkontrolovat + vytvořit>Vytvořit.

Nasazení konfigurace připojení

V této úloze nasadíte konfiguraci připojení a vytvoříte tak topologii typu hub-and-spoke.

  1. V instanci správce sítě vyberte v části Nastavení konfigurace a pak vyberte konfiguraci připojení, kterou jste vytvořili.

  2. Na hlavním panelu vyberte Nasadit.

  3. V okně Nasadit konfiguraci vyberte konfiguraci připojení, kterou jste vytvořili, a vyberte cílové oblasti, do kterých chcete konfiguraci nasadit.

    Důležité

    Topologie typu hub-and-spoke je vytvořena ve vybraných regionech. Ujistěte se, že jste vybrali oblasti, ve kterých jsou nasazeny vaše virtuální sítě v topologii centra a paprsků.

  4. Vyberte Další nebo kartu Zkontrolovat a nasadit a potom vyberte Nasadit.

  5. V části Nastavení vyberte Nasazení a ověřte, že nasazení proběhlo úspěšně.

Vytvoření konfigurace směrování a kolekce pravidel

V této úloze vytvoříte konfiguraci směrování a kolekci pravidel, která zahrnuje vaši paprskovou síťovou skupinu. Konfigurace směrování definují pravidla směrování pro provoz mezi virtuálními sítěmi.

  1. Ve správci sítě vyberte v části Nastavení možnost Konfigurace.

  2. Vyberte a vytvořte>konfiguraci směrování – Preview.

  3. V Nastavení konfigurace směrování zadejte Název a popis konfigurace směrování na záložce Základy a poté vyberte Další: Kolekce >pravidel .

  4. Vyberte Přidat na kartě „Kolekce pravidel“.

  5. V knize Přidat kolekci pravidel zadejte nebo vyberte následující nastavení pro kolekci pravidel:

    Nastavení Hodnota
    Název Zadejte název kolekce pravidel.
    Popis (Volitelné) Zadejte popis kolekce pravidel.
    Nastavení místní trasy Vyberte přímé směrování v rámci virtuální sítě.
    Povolení šíření tras protokolu BGP (Volitelné) Pokud chcete povolit šíření tras protokolu BGP (Border Gateway Protocol) (BGP), vyberte povolit šíření tras protokolu BGP .
    Cílová síťová skupina Vyberte skupinu paprskových sítí.

  6. V části Pravidla směrování vyberte Přidat a vytvořte nové pravidlo směrování.

  7. V Přidat směrovací pravidlo zadejte nebo vyberte následující nastavení směrovacího pravidla:

    Nastavení Hodnota
    Název Zadejte název pravidla směrování.
    Cíl
    Typ cíle Vyberte IP adresu.
    Cílové IP adresy nebo rozsahy CIDR Zadejte 0.0.0.0/0.
    Další skok
    Typ dalšího směrovacího uzlu Vyberte virtuální zařízení.
    Vyberte možnost Importovat privátní IP adresu brány Azure Firewall.
    Firewally Azure Vyberte bránu Azure Firewall a pak zvolte Vybrat.

  8. Vyberte Přidat, chcete-li přidat pravidlo směrování do kolekce pravidel.

  9. Vyberte Přidat a přidejte kolekci pravidel do konfigurace směrování.

  10. Vyberte Zkontrolovat + vytvořit a potom Vytvořit.

Nasazení konfigurace směrování

V této úloze nasadíte konfiguraci směrování, která vytvoří pravidla směrování pro hvězdicovou topologii.

  1. V instanci správce sítě vyberte v části Nastavení možnost Nasazení.
  2. Vyberte Nasadit konfigurace a pak vyberte Konfigurace směrování – Preview.
  3. V okně Nasadit konfiguraci vyberte konfiguraci směrování, kterou jste vytvořili, a vyberte cílové oblasti , do kterých chcete konfiguraci nasadit.
  4. Vyberte Další nebo Zkontrolovat + nasadit pro kontrolu nasazení a poté zvolte Nasadit.

Odstraňte všechny zdroje

Pokud už prostředky vytvořené v tomto článku nepotřebujete, můžete je odstranit, abyste se vyhnuli dalším nákladům.

  1. Na webu Azure Portal vyhledejte a vyberte skupiny prostředků.
  2. Vyberte skupinu prostředků obsahující prostředky, které chcete odstranit.

Další kroky

Přečtěte si další informace o správě tras definovaných uživatelem v Azure Virtual Network Manageru. Naučte se používat uživatelsky definovanou správu tras v Azure Virtual Network Manageru. Naučte se spravovat více hvězdicových topologií ve službě Azure Virtual Network Manager.

  • Last updated on