Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel wird beschrieben, wie statische Virtual WAN-Routen verwendet werden, um Datenverkehr an eine virtuelle Appliance in einem virtuellen Spoke-Netzwerk für indirekte Spoke-Konnektivität, Internet-Egress oder VPN/SD-WAN-Tunnel zu senden.
Beschreibung des Szenarios
In diesem Routing-Szenario wird erläutert, wie Azure Virtual WAN konfiguriert wird, um den Datenverkehr an eine virtuelle Netzwerk-Appliance (NVA) zu leiten, die in einem virtuellen WAN-Spoke-Netzwerk bereitgestellt wird. In diesem Design prüft die NVA den Datenverkehr und leitet ihn dann entweder an das Internet, virtuelle Netzwerke, die indirekt mit dem virtuellen Hub verbunden sind (aber mit dem virtuellen NVA-Netzwerk gepeert sind), oder VPN/SDWAN-Tunnel weiter, die auf der NVA terminiert sind.
Netzwerkdiagramm
Verkehrsflüsse
In den folgenden Abschnitten wird erläutert, wie Datenverkehr mithilfe Virtual WAN statischer Routen an indirekte Speichen und das Internet weitergeleitet wird.
Indirekte Speichenmuster
Die folgende Verbindungsmatrix fasst zusammen, ob Datenverkehr direkt über Virtual WAN fließt oder eine NVA in diesem Szenario durchläuft.
| Quelle/Ziel | Hub 1 Indirekte Spokes | Hub 1 Direkte Spokes | Branches von Hub 1 | Hub 2 Indirekte Spokes | Hub 2 Direkte Spokes | Branches von Hub 2 |
|---|---|---|---|---|---|---|
| Hub 1 Indirekte Spokes | Via Hub 1 NVA | Via Hub 1 NVA | Via Hub 1 NVA | Via Hub 1,2 NVA | Via Hub 1 NVA | Via Hub 1 NVA |
| Hub 1 Direkte Spokes | Via Hub 1 NVA | Direkt | Direkt | Via Hub 2 NVA | Direkt | Direkt |
| Branches von Hub 1 | Via Hub 1 NVA | Direkt | Direkt | Via Hub 2 NVA | Direkt | Direkt |
| Hub 2 Indirekte Spokes | Über Hub 1 und Hub 2 NVAs | Via Hub 2 NVA | Via Hub 2 NVA | Via Hub 2 NVA | Via Hub 2 NVA | Via Hub 2 NVA |
| Hub 2 Direkte Spokes | Via Hub 1 NVA | Direkt | Direkt | Via Hub 2 NVA | Direkt | Direkt |
| Branches von Hub 2 | Via Hub 1 NVA | Direkt | Direkt | Via Hub 2 NVA | Direkt | Direkt |
Internetzugriffsmuster
Note
Die Route 0.0.0.0/0 wird nicht über Virtual WAN-Hubs verteilt. Jede Verbindung muss den NVA des lokalen Hubs für den Internetausgang verwenden.
Die folgende Verbindungsmatrix fasst den Internetzugriff in diesem Szenario zusammen.
| Source | Internet |
|---|---|
| Hub 1 Direkte Spokes | Via Hub 1 NVA |
| Branches von Hub 1 | Via Hub 1 NVA |
| Hub 2 Direkte Spokes | Via Hub 2 NVA |
| Branches von Hub 2 | Via Hub 2 NVA |
Configuration
Die Konfiguration in diesem Abschnitt verwendet option 1 statische Routenkonfiguration. Option 2 kann ebenfalls verwendet werden, erfordert jedoch eine zusätzliche Konfiguration, um statische Routen mit Next Hop NVA-Virtuelle Netzwerkverbindungen in allen defaultRouteTable über das Virtual WAN hinzuzufügen.
Statische Routen für indirekte Speichen
Die folgenden statischen Routen werden konfiguriert, indem sie direkt über die NVA-Virtualnetzn-Verbindung hinzugefügt werden, wobei Statische Route verbreiten auf true festgelegt ist.
| Drehscheibe | Verbindung | Präfix | IP-Adresse des nächsten Hops |
|---|---|---|---|
| Hub 1 | NVA-Virtual Network-Verbindung (Hub1) | 10.2.0.0/16 | 10.3.10.5 |
| Hub 2 | NVA-Virtual Network-Verbindung (Hub2) | 10.4.0.0/16 | 10.4.10.5 |
Statische Routen für den Internetausgang
Die folgenden statischen Routen werden konfiguriert, indem sie direkt auf der Verbindung des virtuellen Netzwerks der NVA hinzugefügt werden, wobei statische Route propagieren auf true festgelegt ist (Option 1 statisches Routingmodell).
| Drehscheibe | Verbindung | Präfix | IP-Adresse des nächsten Hops |
|---|---|---|---|
| Hub 1 | NVA Virtuelle Netzwerkverbindung (Hub 1) | 0.0.0.0/0 | 10.3.10.5 |
| Hub 2 | NVA-Virtual Network-Verbindung (Hub 2) | 0.0.0.0/0 | 10.4.10.5 |
Virtual WAN Routingkonfiguration
Für beide Virtual WAN Hubs sollten alle Verbindungen in alle defaultRouteTables im Virtual WAN propagiert werden. Diese Konfiguration stellt sicher, dass alle direkt verbundenen Speichenarbeitslasten und statische Routen an alle Verbindungen weitergegeben werden, was die vollständige Gitterreichbarkeit ermöglicht.
In der folgenden Tabelle wird die Routingkonfiguration der Virtual WAN Verbindungen mit Hub 1 beschrieben:
| Drehscheibe | Verbindungstyp | Zugeordnete Routentabelle | Propagierte Routentabelle(n) | Propagierte Kennzeichnung |
|---|---|---|---|---|
| Hub 1 | Verzweigungen (ExpressRoute und VPN) | defaultRouteTable (Hub 1) | defaultRouteTable (Hub 1, Hub 2) | Standardbezeichnung (alle defaultRouteTable im Virtual WAN) |
| Hub 1 | Virtuelle Netzwerke | defaultRouteTable (Hub 1) | defaultRouteTable (Hub 1, Hub 2) | Standardbezeichnung (alle defaultRouteTable im Virtual WAN) |
In der folgenden Tabelle wird die Routingkonfiguration der Virtual WAN Verbindungen mit Hub 2 beschrieben:
| Drehscheibe | Verbindungstyp | Zugeordnete Routentabelle | Propagierte Routentabelle(n) | Propagierte Kennzeichnung |
|---|---|---|---|---|
| Hub 2 | Verzweigungen (ExpressRoute und VPN) | defaultRouteTable (Hub 2) | defaultRouteTable (Hub 1, Hub 2) | Standardbezeichnung (alle defaultRouteTable im Virtual WAN) |
| Hub 2 | Virtuelle Netzwerke | defaultRouteTable (Hub 2) | defaultRouteTable (Hub 1, Hub 2) | Standardbezeichnung (alle defaultRouteTable im Virtual WAN) |
Zusätzliche Konfiguration für indirektes Speichenrouting
Virtual WAN konfiguriert nur Routen in virtuellen Netzwerken, die direkt mit dem Virtual WAN Hub verbunden sind. Fügen Sie benutzerdefinierte Routen in den indirekten Speichennetzwerken hinzu, um den Datenverkehr an die richtige NVA-IP-Adresse weiterzuleiten.
Diese benutzerdefinierte Route ist erforderlich, damit Workloads in den virtuellen Netzwerken mit indirekten Speichen einen Pfad zurück zum NVA und daher zum Rest des Virtual WAN haben.
Im obigen Beispiel würden indirekte virtuelle Spoke-Netzwerke auf Hub 1 die folgenden Anforderungen stellen:
| Präfix | IP-Adresse des nächsten Hops | Purpose |
|---|---|---|
| 0.0.0.0/0 | 10.3.10.5 | Weiterleiten von Internetdatenverkehr zur Inspektion |
| 192.168.0.0/16 | 10.3.10.5 | Route zu on-premises |
| 10.1.0.0/16 | 10.3.10.5 | Route zu anderen indirekten Spokes auf Hub 1 |
| 10.2.0.0/16 | 10.3.10.5 | Route zu indirekten Spokes auf Hub 2 |
| 10.3.0.0/24 | 10.3.10.5 | Route zu direkten Speichen auf Hub 1 |
| 10.4.0.0/24 | 10.3.10.5 | Route zu direkten Speichen auf Hub 2 |
Alternativ können Sie aggregierte Routen wie 10.0.0.0/8 konfigurieren.
Zusätzliche Überlegungen
- Wenn sich statische Routen mit dem Adressbereich des virtuellen NVA-Netzwerks überschneiden, stellen Sie sicher, dass die Einstellung Bypass Next Hop IP für Workloads innerhalb dieses VNet korrekt auf der virtuellen Netzwerkverbindung festgelegt ist. Das Umschalten dieser Einstellung auf "true" ist häufig für Szenarien erforderlich, in denen direkter Zugriff auf die Verwaltungsschnittstelle der NVA erforderlich ist. Weitere Informationen finden Sie unter Bypass von Next Hop IP für Workloads innerhalb dieses VNet.
- Stellen Sie sicher, dass die Einstellung Standardroute propagieren oder Internetsicherheit aktivieren für die virtuelle Netzwerkverbindung mit der NVA auf Aus festgelegt ist. Dadurch wird sichergestellt, dass die
0.0.0.0/0Route nicht an den NVA angekündigt wird und keine Routing-Schleifen erstellt werden. Alternativ können Sie eine benutzerdefinierte Route für0.0.0.0/0mit Next Hop Internet in dem Subnetz hinzufügen, in dem die öffentlich zugängliche NVA-Schnittstelle bereitgestellt wird.