Configuration de la connectivité dans Azure Virtual Network Manager

Dans cet article, vous découvrez les différents types de configurations que vous pouvez créer et déployer en utilisant Azure Virtual Network Manager. Deux types de configurations sont actuellement disponibles : Connectivité et Administration de la sécurité.

Configuration de la connectivité

Les configurations de la connectivité vous permettent de créer différentes topologies réseau en fonction de vos besoins réseau. Vous avez le choix entre deux topologies, un réseau maillé et un réseau hub-and-spoke. La connectivité entre réseaux virtuels est définie dans les paramètres de configuration.

Topologie du réseau maillé

Un réseau maillé est une topologie dans laquelle tous les réseaux virtuels du groupe réseau sont connectés les uns aux autres. Tous les réseaux virtuels sont connectés et peuvent se passer le trafic entre eux dans les deux sens.

Un cas d’usage courant d’une topologie de maillage réseau consiste à autoriser certains réseaux virtuels spoke dans une topologie hub-and-spoke à communiquer directement entre eux, sans que le trafic transite par le réseau virtuel du hub. Cette approche réduit la latence pouvant autrement résulter du routage du trafic par un routeur dans le hub. En outre, vous pouvez maintenir la sécurité et la supervision des connexions directes entre les réseaux spoke en implémentant des règles des groupes de sécurité réseau ou des règles d’administration de sécurité dans Azure Virtual Network Manager. Le trafic peut également être surveillé et enregistré à l’aide des journaux de flux du réseau virtuel.

Par défaut, le maillage est un maillage régional, c’est pourquoi seuls les réseaux virtuels de la même région peuvent communiquer entre eux. Le maillage global peut être activé pour établir la connectivité des réseaux virtuels dans toutes les régions Azure. Un réseau virtuel peut faire partie d’un maximum de deux groupes connectés. Les espaces d’adressage des réseaux virtuels ne peuvent pas se chevaucher dans une configuration de maillage, contrairement aux appairages de réseaux virtuels. Toutefois, le trafic vers les sous-réseaux qui se chevauchent est supprimé, car le routage est non déterministe.

Groupe connecté

Lorsque vous créez une topologie de maillage ou une connectivité directe dans la topologie hub-and-spoke, une construction de connectivité appelée groupe connecté est créée. Dans un groupe connecté, les réseaux virtuels peuvent communiquer entre eux comme si vous deviez connecter les réseaux virtuels entre eux manuellement. Lorsque vous regardez les routes effectives pour une interface réseau, vous voyez un tronçon suivant de type ConnectedGroup. Le réseau virtuel connecté ensemble dans un groupe connecté n’a pas de configuration d’appairage indiquée sous Appairages.

Remarque

• Si vous avez des sous-réseaux en conflit dans deux réseaux virtuels ou plus, les ressources de ces sous-réseaux ne pourront pas communiquer entre elles, même si elles font partie du même réseau maillé.
• Un réseau virtuel peut faire partie d’un maximum de deux configurations de maillage.

Topologie hub-and-spoke

Hub-and-spoke est une topologie réseau dans laquelle vous avez un réseau virtuel sélectionné comme réseau virtuel hub. Ce réseau virtuel est appairé de manière bidirectionnelle à chaque réseau virtuel spoke de la configuration. Cette topologie est utile lorsque vous souhaitez isoler un réseau virtuel tout en lui laissant une connectivité aux ressources communes dans le réseau virtuel hub.

Dans cette configuration, vous disposez de paramètres que vous pouvez activer, tels que la connectivité directe entre les réseaux virtuels spoke. Par défaut, cette connectivité concerne uniquement les réseaux virtuels d’une même région. Pour autoriser une connectivité entre différentes régions Azure, vous devez activer le maillage global. Vous pouvez également activer le transit par passerelle pour autoriser les réseaux virtuels spoke à utiliser la passerelle VPN ou ExpressRoute déployée dans le hub.

Si cette option est cochée, les peerings qui ne correspondent pas au contenu de cette configuration peuvent être supprimés, même si ces peerings ont été créés manuellement après le déploiement de cette configuration. Si vous supprimez un réseau virtuel d’un groupe de réseaux utilisé dans la configuration, votre gestionnaire virtuel supprime uniquement les peerings qu’il a créés.

Connectivité directe

L’activation de la connectivité directe crée un groupe connecté en superposition de votre topologie hub-and-spoke, qui contient des réseaux virtuels spoke d’un groupe donné. Avec la connectivité directe, un réseau virtuel spoke peut communiquer directement avec les autres réseaux virtuels de son groupe spoke, mais pas avec les réseaux virtuels des autres spokes.

Par exemple, vous créez deux groupes réseau. Vous activez la connectivité directe pour le groupe réseau Production, mais pas pour le groupe réseau Test. Cette configuration permet uniquement aux réseaux virtuels du groupe réseau Production de communiquer les uns avec les autres, mais pas à ceux du groupe réseau Test.

Quand vous regardez les routes effectives sur une machine virtuelle, la route entre le hub et les réseaux virtuels spoke aura un tronçon suivant de type VNetPeering ou GlobalVNetPeering. Les routes entre les réseaux virtuels spoke apparaissent avec le type de tronçon suivant ConnectedGroup. Dans l’exemple ci-dessus, seul le groupe réseau Production a le type ConnectedGroup, car la connectivité directe est activée pour lui.

Découverte de la topologie de groupe réseau avec la Vue de la topologie

Pour vous aider à comprendre la topologie de votre groupe réseau, Azure Virtual Network Manager fournit une Vue de la topologie qui montre la connectivité entre les groupes réseau et leurs réseaux virtuels membres. Vous pouvez afficher la topologie de votre groupe réseau lors de la création de votre configuration de connectivité en procédant comme suit :

1. Accédez à la page Configurations et créez une configuration de connectivité.
2. Sous l’onglet Topologie, sélectionnez votre type de topologie souhaité, ajoutez un ou plusieurs groupes réseau à la topologie et configurez d’autres paramètres de connectivité souhaités.
3. Sélectionnez l’onglet Aperçu de la topologie pour tester la Vue de la topologie et passer en revue la connectivité actuelle de votre configuration.
4. Terminez la création de votre configuration de connectivité.

Vous pouvez examiner la topologie actuelle d’un groupe de réseaux en sélectionnant Visualisation sous Paramètres dans la page des détails du groupe de réseaux. La vue montre la connectivité entre les réseaux virtuels membres du groupe de réseaux.

Cas d’utilisation

L’activation de la connectivité directe entre les réseaux virtuels spoke peut être utile lorsque vous voulez avoir une appliance virtuelle réseau ou un service commun dans le réseau virtuel hub, mais que vous n’avez pas toujours besoin d’accéder au hub. Vous avez plutôt besoin que vos réseaux virtuels spoke du groupe réseau communiquent entre eux. Par rapport aux réseaux hub-and-spoke classiques, cette topologie améliore les performances en supprimant le tronçon supplémentaire via le réseau virtuel hub.

Maillage global

Comme le maillage, ces groupes spoke connectés peuvent être configurés comme régionaux ou globaux. Le maillage global est nécessaire lorsque vous souhaitez que vos réseaux virtuels spoke communiquent entre eux d’une région à l’autre. Cette connectivité est limitée au réseau virtuel du même groupe réseau. Pour activer la connectivité des réseaux virtuels entre les régions, vous devez activer la connectivité du maillage entre les régions du groupe réseau. Les connexions créées entre les réseaux virtuels spoke se trouvent dans un groupe connecté.

Utiliser le hub comme passerelle

Une autre option que vous pouvez activer dans une configuration hub-and-spoke consiste à utiliser le hub comme passerelle. Ce paramètre permet à tous les réseaux virtuels du groupe réseau d’utiliser la passerelle VPN ou ExpressRoute dans le réseau virtuel hub pour passer le trafic. Consultez Passerelles et connectivité locale.

Lorsque vous déployez une topologie hub-and-spoke à partir du portail Azure, l’option Utiliser le hub comme passerelle est activée par défaut pour les réseaux virtuels spoke du groupe réseau. Azure Virtual Network Manager tente de créer une connexion d’appairage de réseaux virtuels entre le hub et le réseau virtuel spoke dans le groupe de ressources. Si la passerelle n’existe pas dans le réseau virtuel hub, la création de l’appairage à partir du réseau virtuel spoke vers le hub échoue. La connexion d’appairage du hub vers le spoke est quand même créée sans connexion établie.

Étapes suivantes

• Déployez une instance Azure Virtual Network Manager à l’aide de Terraform.
• Découvrez les déploiements de configuration dans Azure Virtual Network Manager.
• Découvrez comment bloquer le trafic réseau avec une configuration de l’administration de la sécurité.