Passer en revue le modèle de référence réseau de déploiement à deux nœuds commuté et non convergé pour Azure Local

2025-07-07

S’applique à : Azure Local 2311.2 et versions ultérieures

Dans cet article, vous allez découvrir le modèle de référence réseau de stockage à deux nœuds avec commutateur, non convergé et à deux commutateurs TOR que vous pouvez utiliser pour déployer votre solution locale Azure. Les informations contenues dans cet article vous aideront également à déterminer si cette configuration est viable pour vos besoins de planification de déploiement. Cet article est destiné aux administrateurs informatiques qui déploient et gèrent Azure Local dans leurs centres de données.

Pour plus d’informations sur d’autres modèles réseau, consultez les modèles de déploiement de réseau local Azure.

Scénarios

Les scénarios de ce modèle réseau incluent les laboratoires, les usines, les succursales et les installations du centre de données.

Déployez ce modèle pour améliorer les performances réseau de votre système et si vous envisagez d’ajouter des nœuds supplémentaires. La réplication du trafic de stockage Est-Ouest n’interfère pas ou ne concurrence pas le trafic nord-sud dédié à la gestion et au calcul. La configuration réseau logique lors de l’ajout de nœuds supplémentaires est prête sans nécessiter de temps d’arrêt de charge de travail ou de modifications de connexion physique. Les services SDN L3 sont entièrement pris en charge sur ce modèle.

Les services de routage tels que BGP peuvent être configurés directement sur les commutateurs TOR s’ils prennent en charge les services L3. Les fonctionnalités de sécurité réseau telles que la microsegmentation et la QoS ne nécessitent pas de configuration supplémentaire sur l’appareil de pare-feu, car elles sont implémentées au niveau de la couche de carte réseau virtuelle.

Composants de connectivité physique

Comme décrit dans le diagramme ci-dessous, ce modèle comporte les composants réseau physiques suivants :

Pour le trafic northbound/southbound, le système de ce modèle est implémenté avec deux commutateurs TOR dans la configuration MLAG.
Deux cartes réseau associées pour gérer la gestion et calculer le trafic connecté à deux commutateurs TOR. Chaque carte réseau est connectée à un commutateur TOR différent.
Deux cartes réseau RDMA dans une configuration autonome. Chaque carte réseau est connectée à un commutateur TOR différent. La capacité multicanal de SMB offre l’agrégation de chemins et la tolérance aux pannes.
En guise d’option, les déploiements peuvent inclure une carte BMC pour activer la gestion à distance de l’environnement. Certaines solutions peuvent utiliser une configuration sans tête sans carte BMC à des fins de sécurité.

Réseaux	Gestion et calcul	Stockage	BMC
Vitesse de liaison	Au moins 1 Gbit/s. 10 Gbits/s recommandés	Au moins 10 Gbits/s	Vérifier auprès du fabricant du matériel
Type d'interface	RJ45, SFP+ ou SFP28	SFP+ ou SFP28	RJ45
Ports et agrégation	Deux ports associés	Deux ports autonomes	Un port

Intentions Network ATC

Intention de gestion et de calcul

Type d’intention : Gestion et calcul
Mode d’intention : Mode cluster
Association : Oui. pNIC01 et pNIC02 sont en équipe
Réseau local virtuel de gestion par défaut : le réseau local virtuel configuré pour les adaptateurs de gestion n’est pas modifié
PA et VLAN et cartes réseau virtuelles de calcul : Network ATC est transparent pour les cartes réseau virtuelles et VLAN PA ou pour les cartes réseau virtuelles et VLAN des machines virtuelles de calcul

Intention de stockage

Type d’intention : Stockage
Mode d’intention : Mode cluster
Agrégation : pNIC03 et pNIC04 utilisent SMB Multichannel pour fournir une résilience et une agrégation de bande passante.
Réseaux locaux virtuels par défaut :
- 711 pour le réseau de stockage 1
- 712 pour le réseau de stockage 2
Sous-réseaux par défaut :
- 10.71.1.0/24 pour le réseau de stockage 1
- 10.71.2.0/24 pour le réseau de stockage 2

Procédez comme suit pour créer des intentions réseau pour ce modèle de référence :

Démarrez PowerShell en tant qu'administrateur.

Exécutez les commandes suivantes :

Add-NetIntent -Name <Management_Compute> -Management -Compute -ClusterName <HCI01> -AdapterName <pNIC01, pNIC02>
Add-NetIntent -Name <Storage> -Storage -ClusterName <HCI01> -AdapterName <pNIC03, pNIC04>

Composants de connectivité logique

Comme illustré dans le diagramme ci-dessous, ce modèle comporte les composants réseau logiques suivants :

Réseaux VLANs de stockage

Le trafic basé sur l’intention de stockage se compose de deux réseaux individuels prenant en charge le trafic RDMA. Chaque interface est dédiée à un réseau de stockage distinct, et les deux peuvent utiliser la même balise VLAN.

Les adaptateurs de stockage fonctionnent dans différents sous-réseaux IP. Chaque réseau de stockage utilise les réseaux locaux virtuels prédéfinis ATC par défaut (711 et 712). Toutefois, ces réseaux locaux virtuels peuvent être personnalisés si nécessaire. En outre, si le sous-réseau par défaut défini par ATC n’est pas utilisable, vous êtes responsable de l’attribution de toutes les adresses IP de stockage dans le système.

Pour plus d’informations, consultez la vue d’ensemble de Network ATC.

Réseau OOB

Le réseau OOB (Out of Band) est dédié à la prise en charge de l’interface de gestion de serveur « lights-out », également appelée contrôleur de gestion de la carte de base (BMC). Chaque interface BMC se connecte à un commutateur fourni par le client. La console BMC est utilisée pour automatiser les scénarios de démarrage PXE.

Le réseau de gestion nécessite l’accès à l’interface BMC à l’aide du port UDP (Intelligent Platform Management Interface) 623.

Le réseau OOB est isolé des charges de travail de calcul et est facultatif pour les déploiements non basés sur la solution.

VLAN de gestion

Tous les hôtes de calcul physiques nécessitent l’accès au réseau logique de gestion. Pour la planification des adresses IP, chaque hôte de calcul physique doit avoir au moins une adresse IP affectée à partir du réseau logique de gestion.

Un serveur DHCP peut attribuer automatiquement des adresses IP pour le réseau de gestion, ou vous pouvez attribuer manuellement des adresses IP statiques. Lorsque DHCP est la méthode d’attribution IP préférée, nous vous recommandons d’utiliser des réservations DHCP sans expiration.

Le réseau de gestion prend en charge les configurations de réseau local virtuel suivantes :

Réseau local virtuel natif : vous n’êtes pas obligé de fournir des ID de réseau local virtuel. Cela est nécessaire pour les installations basées sur la solution.
VLAN balisé : vous fournissez des ID VLAN au moment du déploiement.

Le réseau de gestion prend en charge tout le trafic utilisé pour la gestion du cluster, notamment le Bureau à distance, Windows Admin Center et Active Directory.

Pour plus d’informations, consultez Planifier une infrastructure SDN : Gestion et fournisseur HNV.

VLAN de calcul

Dans certains scénarios, vous n’avez pas besoin d’utiliser des Réseau virtuel SDN avec l’encapsulation VXLAN (Virtual Extensible LAN). Au lieu de cela, vous pouvez utiliser des réseaux locaux virtuels traditionnels pour isoler vos charges de travail de locataire. Ces réseaux locaux virtuels sont configurés sur le port du commutateur TOR en mode jonction. Lors de la connexion de nouvelles machines virtuelles à ces réseaux locaux virtuels, la balise VLAN correspondante est définie sur la carte réseau virtuelle.

Réseau PA (Provider Address) HNV

Le réseau PA (Provider Address) HNV (Hyper-V Network Virtualization) fait office de réseau physique sous-jacent pour le trafic de locataire est/ouest (interne-interne), le trafic de locataire nord/sud (interne-externe), ainsi que pour l’échange d’informations d’homologation BGP avec le réseau physique. Ce réseau est uniquement requis lorsqu'il est nécessaire de déployer des réseaux virtuels en utilisant l'encapsulation VXLAN pour ajouter une couche supplémentaire d'isolation et pour la multitenance réseau.

Pour plus d’informations, consultez Planifier une infrastructure SDN : Gestion et fournisseur HNV.

Options d’isolement réseau

Les options d’isolation réseau suivantes sont prises en charge :

Réseaux locaux virtuels (IEEE 802.1Q)

Les réseaux locaux virtuels permettent aux appareils qui doivent être conservés séparément pour partager le câblage d’un réseau physique et pourtant être empêchés d’interagir directement entre eux. Ce partage managé génère des gains de simplicité, de sécurité, de gestion du trafic et d’économie. Par exemple, un réseau local virtuel peut être utilisé pour séparer le trafic au sein d’une entreprise en fonction d’utilisateurs individuels ou de groupes d’utilisateurs ou de leurs rôles, ou en fonction des caractéristiques du trafic. De nombreux services d’hébergement Internet utilisent des réseaux locaux virtuels pour séparer les zones privées les unes des autres, ce qui permet aux serveurs de chaque client d’être regroupés dans un seul segment réseau, quel que soit l’emplacement des serveurs individuels dans le centre de données. Certaines précautions sont nécessaires pour empêcher le trafic de « s'échapper » d'un réseau local virtuel donné, un exploit appelé saut de VLAN.

Pour plus d’informations, consultez Comprendre l’utilisation des réseaux virtuels et des réseaux locaux virtuels.

Stratégies d’accès réseau et microsegmentation par défaut

Les stratégies d’accès réseau par défaut garantissent que toutes les machines virtuelles de votre cluster Azure Stack HCI sont sécurisées par défaut contre les menaces externes. Avec ces stratégies, nous allons bloquer l’accès entrant à une machine virtuelle par défaut, tout en offrant la possibilité d’activer des ports entrants sélectifs et de sécuriser ainsi les machines virtuelles contre les attaques externes. Cette fonctionnalité est disponible via des outils de gestion tels que Windows Admin Center.

La microsegmentation implique la création de stratégies réseau granulaires entre les applications et les services. Cela réduit essentiellement le périmètre de sécurité à une clôture autour de chaque application ou machine virtuelle. Cette clôture permet uniquement la communication nécessaire entre les niveaux d’application ou d’autres limites logiques, ce qui rend extrêmement difficile pour les cyberthreats de se propager ultérieurement d’un système à un autre. La microsegmentation isole en toute sécurité les réseaux les uns des autres et réduit la surface d’attaque totale d’un incident de sécurité réseau.

Les stratégies d’accès réseau et les microsegmentations par défaut sont réalisées en tant que règles de pare-feu avec état à cinq tuples (préfixe d’adresse source, port source, préfixe d’adresse de destination, port de destination et protocole) sur les clusters Azure Stack HCI. Les règles de pare-feu sont également appelées groupes de sécurité réseau (NSG). Ces stratégies sont appliquées au port vSwitch de chaque machine virtuelle. Les stratégies sont envoyées via la couche de gestion et le contrôleur de réseau SDN les distribue à tous les hôtes applicables. Ces stratégies sont disponibles pour les machines virtuelles sur des réseaux locaux virtuels traditionnels et sur des réseaux de superposition SDN.

Pour plus d’informations, consultez Qu’est-ce que le Pare-feu du centre de données ?.

QoS pour les cartes réseau de machine virtuelle

Vous pouvez configurer la qualité de service (QoS) d’une carte réseau de machine virtuelle pour limiter la bande passante sur une interface virtuelle afin d’empêcher qu’une machine virtuelle à trafic élevé ne soit en concurrence avec d’autres trafics réseau de machines virtuelles. Vous pouvez également configurer QoS pour réserver une quantité spécifique de bande passante pour une machine virtuelle afin de vous assurer que la machine virtuelle peut envoyer du trafic indépendamment d’un autre trafic sur le réseau. Cela peut être appliqué aux machines virtuelles attachées à des réseaux locaux virtuels traditionnels, ainsi qu’aux machines virtuelles attachées à des réseaux de superposition SDN.

Pour plus d’informations, consultez Configurer QoS pour un adaptateur réseau de machine virtuelle.

Réseaux virtuels

La virtualisation du réseau fournit des réseaux virtuels à des machines virtuelles similaires à la façon dont la virtualisation de serveur (hyperviseur) fournit des machines virtuelles au système d’exploitation. La virtualisation du réseau dissocie les réseaux virtuels de l'infrastructure réseau physique et supprime les contraintes de l'attribution hiérarchique des adresses IP et des VLAN lors de l'approvisionnement des machines virtuelles. Cette flexibilité vous permet de passer facilement aux clouds IaaS (Infrastructure-as-a-Service) et est efficace pour les hôtes et les administrateurs de centre de données de gérer leur infrastructure, et de gérer l’isolation multilocataire, les exigences de sécurité et les adresses IP des machines virtuelles qui se chevauchent.

Pour plus d’informations, consultez Virtualisation de réseau Hyper-V.

Options des services de mise en réseau L3

Les options de service réseau L3 suivantes sont disponibles :

Appairage de réseaux virtuels

L’appairage de réseaux virtuels vous permet de connecter deux réseaux virtuels de manière transparente. Une fois appairés, à des fins de connectivité, les réseaux virtuels apparaissent comme un seul réseau. Voici quelques-uns des avantages de l’appairage de réseaux virtuels :

Le trafic entre les machines virtuelles dans les réseaux virtuels appairés est routé via l’infrastructure principale, par le biais d’adresses IP privées uniquement. La communication entre les réseaux virtuels ne nécessite pas d’Internet public ou de passerelles.
Connexion à latence faible et haut débit entre les ressources de différents réseaux virtuels.
Possibilité pour les ressources d’un réseau virtuel de communiquer avec celles d’un autre réseau virtuel.
Il ne se produit aucune interruption des ressources dans l’un ou l’autre réseau virtuel lors de la création de l’appairage.

Pour plus d’informations, consultez Appairage de réseaux virtuels.

Équilibreur de charge logiciel SDN

Les fournisseurs de services cloud (CSP) et les entreprises qui déploient un SDN (Software Defined Networking) peuvent utiliser Software Load Balancer (SLB) pour distribuer uniformément le trafic réseau client entre les ressources de réseau virtuel. L’équilibrage de charge logicielle (SLB) permet à plusieurs serveurs d’héberger une même charge de travail, ce qui assure une disponibilité et une scalabilité de haut niveau. Il est également utilisé pour fournir des services NAT (Network Address Translation) entrants pour l’accès entrant aux machines virtuelles et les services NAT sortants pour la connectivité sortante.

À l’aide de SLB, vous pouvez effectuer un scale-out de vos fonctionnalités d’équilibrage de charge à l’aide de machines virtuelles SLB sur les mêmes serveurs de calcul Hyper-V que ceux que vous utilisez pour vos autres charges de travail de machine virtuelle. SLB prend en charge la création et la suppression rapides des points de terminaison d’équilibrage de charge selon les besoins des opérations CSP. Par ailleurs, SLB prend en charge des dizaines de gigaoctets par cluster, offre un modèle d’approvisionnement simple, et peut facilement faire l’objet d’un scale-out ou d’un scale-in. SLB utilise le Border Gateway Protocol pour publier des adresses IP virtuelles sur le réseau physique.

Pour plus d’informations, consultez Qu’est-ce que SLB pour SDN ?

Passerelles VPN SDN

La passerelle SDN est un routeur compatible BGP (Software-based Border Gateway Protocol) conçu pour les fournisseurs de services cloud et les entreprises qui hébergent des réseaux virtuels mutualisés à l’aide de la virtualisation de réseau Hyper-V (HNV). Vous pouvez utiliser la passerelle RAS pour router le trafic réseau entre un réseau virtuel et un autre réseau, qu’il soit local ou distant.

La passerelle SDN peut être utilisée pour :

créer des connexions IPsec de site à site sécurisées entre des réseaux virtuels SDN et des réseaux clients externes sur Internet.
Créez des connexions GRE (Generic Routing Encapsulation) entre les réseaux virtuels SDN et les réseaux externes. La différence entre les connexions site à site et les connexions GRE est que cette dernière n’est pas une connexion chiffrée.

Pour plus d’informations sur les scénarios de connectivité GRE, consultez Tunneling GRE dans Windows Server.
Créez des connexions de couche 3 (L3) entre les réseaux virtuels SDN et les réseaux externes. Dans ce cas, la passerelle SDN agit simplement comme un routeur entre votre réseau virtuel et le réseau externe.

La passerelle SDN nécessite le contrôleur de réseau SDN. Le contrôleur de réseau effectue le déploiement de pools de passerelles, configure les connexions de locataire sur chaque passerelle et bascule les flux de trafic réseau vers une passerelle de secours en cas d’échec d’une passerelle.

Les passerelles utilisent Border Gateway Protocol pour publier des points de terminaison GRE et établir des connexions point à point. Le déploiement SDN crée un pool de passerelles par défaut qui prend en charge tous les types de connexion. Dans ce pool, vous pouvez spécifier le nombre de passerelles réservées en mode veille en cas d’échec d’une passerelle active.

Pour plus d’informations, consultez Qu’est-ce que la passerelle RAS pour SDN ?

Étapes suivantes

Apprenez-en davantage sur le modèle réseau à deux nœuds commuté et entièrement convergé.