Topologi jaringan hub-spoke di Azure

Azure Bastion
Azure Firewall
Azure Network Watcher
Microsoft Microsoft Azure Virtual Network
Azure VPN Gateway

Arsitektur referensi ini menerapkan pola jaringan hub-spoke dengan komponen infrastruktur hub yang dikelola pelanggan. Pola jaringan hub-spoke, juga dikenal sebagai hub dan spoke, adalah topologi jaringan yang direkomendasikan Cloud Adoption Framework untuk Azure. Lihat, Define topologi jaringan Azure untuk memahami mengapa topologi ini dianggap sebagai praktik terbaik bagi banyak organisasi.

Untuk solusi infrastruktur hub yang dikelola Microsoft, lihat topologi jaringan Hub-spoke dengan Azure Virtual WAN.

Architecture

Diagram yang menunjukkan arsitektur topologi jaringan virtual hub-spoke.

Unduh file arsitektur ini dalam Visio.

Konsep hub-spoke

Topologi jaringan hub-spoke biasanya mencakup banyak konsep arsitektur berikut:

  • Hub jaringan virtual: Jaringan virtual hub menghosting layanan jaringan Azure bersama. Beban kerja yang dihosting di jaringan virtual spoke dapat memanfaatkan layanan ini. Jaringan virtual hub adalah titik pusat konektivitas untuk jaringan lintas lokasi. Hub berisi titik keluar utama Anda dan menyediakan cara untuk menyambungkan satu spoke ke spoke lainnya untuk lalu lintas jaringan virtual saat diperlukan.

    Hub adalah sumber daya regional. Jika beban kerja Anda berada di beberapa wilayah, tempatkan satu hub di setiap wilayah. Hub menyediakan fitur dan opsi berikut:

    • Gateway lintas lokasi: Kemampuan untuk menyambungkan dan mengintegrasikan lingkungan jaringan yang berbeda. Gateway ini biasanya merupakan VPN atau sirkuit Azure ExpressRoute.

    • Kontrol keluar: Manajemen dan regulasi lalu lintas keluar yang berasal dari jaringan virtual spoke yang di-peering.

    • Kontrol Ingress: Manajemen dan regulasi opsional lalu lintas masuk ke titik akhir yang ada di jaringan virtual spoke yang sudah di-peering.

    • Akses jarak jauh: Cara tugas kerja individu dalam jaringan spoke diakses dari lokasi jaringan di luar jaringan spoke tersebut. Akses ini mungkin menargetkan data atau sarana kontrol beban kerja.

    • Akses spoke jarak jauh untuk komputer virtual (VM): Solusi konektivitas jarak jauh lintas organisasi untuk akses protokol Desktop Jauh (RDP) dan Secure Shell Protocol (SSH) ke VM yang didistribusikan di seluruh jaringan spoke.

    • Routing: Manajemen lalu lintas antara hub dan spoke yang terhubung. Perutean mendukung komunikasi yang aman dan efisien.

  • Jaringan virtual spoke: Jaringan virtual tipe spoke mengisolasi dan mengelola beban kerja secara terpisah bagi setiap spoke. Setiap beban kerja dapat mencakup beberapa tingkatan, dengan beberapa subnet yang terhubung melalui penyeimbang beban Azure. Spoke dapat ada di berbagai langganan dan mewakili berbagai lingkungan, seperti produksi dan nonproduksi. Satu beban kerja dapat tersebar di beberapa spoke.

    Dalam sebagian besar skenario, Anda harus menghubungkan setiap spoke dengan satu jaringan hub di wilayah yang sama.

    Jaringan spoke mengikuti ketentuan untuk akses keluar bawaan. Tujuan inti dari topologi jaringan hub-spoke adalah untuk mengarahkan lalu lintas internet keluar melalui mekanisme kontrol di hub.

  • Konektivitas lintas jaringan virtual: Konektivitas jaringan virtual memfasilitasi komunikasi antara jaringan virtual yang terisolasi. Mekanisme kontrol memberlakukan izin dan menentukan arah komunikasi yang diizinkan antar jaringan. Hub menyediakan opsi untuk mendukung koneksi lintas jaringan tertentu untuk mengalir melalui jaringan terpusat.

  • DNS: Solusi hub-spoke sering menyediakan solusi Sistem Nama Domain (DNS) yang digunakan semua spoke yang terhubung, terutama untuk perutean antar-lokasi dan catatan DNS titik akhir privat.

Components

  • Microsoft Azure Virtual Network adalah blok penyusun dasar untuk jaringan privat di Azure. Virtual Network menyediakan komunikasi yang aman antara sumber daya Azure, seperti VM, dan jaringan lintas tempat, internet, dan satu sama lain.

    Dalam arsitektur ini, jaringan virtual terhubung ke hub dengan menggunakan koneksi Virtual Network peering, yang merupakan koneksi nontransitif dan latensi rendah antar jaringan virtual. Jaringan virtual yang di-peering dapat bertukar lalu lintas melalui backbone Azure tanpa router. Dalam arsitektur hub-spoke, gunakan peering langsung antara jaringan virtual hanya dalam keadaan khusus.

  • Azure Bastion adalah layanan terkelola penuh yang menyediakan akses RDP dan SSH ke VM tanpa mengekspos alamat IP publik mereka. Dalam arsitektur ini, Azure Bastion digunakan sebagai penawaran terkelola untuk mendukung akses VM langsung di seluruh spoke yang terhubung.

  • Azure Firewall adalah layanan keamanan jaringan berbasis cloud terkelola yang melindungi sumber daya Virtual Network. Layanan firewall stateful ini memiliki ketersediaan tinggi bawaan dan skalabilitas cloud yang tidak dibatasi untuk membantu Anda membuat, menerapkan, dan mencatat aplikasi dan kebijakan konektivitas jaringan di seluruh langganan dan jaringan virtual.

    Dalam arsitektur ini, Azure Firewall memiliki beberapa peran potensial. Firewall adalah titik keluar utama untuk lalu lintas dari jaringan virtual spoke yang di-peering ke internet. Firewall juga dapat memeriksa lalu lintas masuk dengan menggunakan aturan deteksi intrusi jaringan dan sistem pencegahan (IDPS). Firewall juga dapat berfungsi sebagai server proksi DNS untuk mendukung aturan lalu lintas nama domain yang sepenuhnya memenuhi syarat (FQDN).

  • Azure VPN Gateway adalah gateway jaringan virtual yang mengirim lalu lintas terenkripsi antara jaringan virtual di Azure dan jaringan yang berbeda melalui internet publik. Anda juga dapat menggunakan VPN Gateway untuk mengirim lalu lintas terenkripsi antara jaringan virtual lainnya melalui jaringan Microsoft.

    Dalam arsitektur ini, VPN Gateway dapat menghubungkan spoke ke jaringan jarak jauh. Spoke biasanya tidak menyebarkan gateway VPN mereka sendiri. Mereka menggunakan solusi terpusat yang disediakan hub. Untuk mengelola konektivitas ini, Anda harus menetapkan konfigurasi perutean.

  • Gateway ExpressRoute bertukar rute IP dan merutekan lalu lintas jaringan antara jaringan lokal Anda dan jaringan virtual Azure Anda. Dalam arsitektur ini, ExpressRoute dapat berfungsi sebagai alternatif terhadap VPN Gateway, untuk menghubungkan spoke ke jaringan jarak jauh. Spoke tidak menyebarkan gateway ExpressRoute mereka sendiri. Mereka menggunakan solusi terpusat yang disediakan hub. Untuk mengelola konektivitas ini, Anda harus menetapkan konfigurasi perutean.

  • Azure Monitor dapat mengumpulkan, menganalisis, dan bertindak berdasarkan data telemetri dari lingkungan lintas tempat termasuk Azure dan lokal. Azure Monitor membantu Anda memaksimalkan performa dan ketersediaan aplikasi Anda dan mengidentifikasi masalah dengan cepat. Dalam arsitektur ini, Azure Monitor adalah sink log dan metrik untuk sumber daya hub dan untuk metrik jaringan. Azure Monitor juga dapat berfungsi sebagai tempat pencatatan log untuk sumber daya di jaringan spoke. Setiap beban kerja spoke menentukan konfigurasi pengelogannya sendiri, dan arsitektur ini tidak memerlukan pengelogan spoke untuk Azure Monitor.

Alternatives

Arsitektur ini melibatkan pembuatan, konfigurasi, dan pemeliharaan virtualNetworkPeerings, routeTables, dan subnets. Azure Virtual Network Manager adalah layanan manajemen yang membantu Anda mengelompokkan, mengonfigurasi, menyebarkan, dan mengelola jaringan virtual dalam skala besar di seluruh langganan, wilayah, dan direktori Microsoft Entra Azure.

Dengan Pengelola Virtual Network, Anda dapat menentukan grup network untuk mengidentifikasi dan secara logis mengelompokkan jaringan virtual Anda. Anda juga dapat menggunakan grup yang terhubung untuk menyediakan komunikasi antarkelompok jaringan virtual seolah-olah terhubung secara manual. Pendekatan ini menambahkan lapisan abstraksi untuk menggambarkan topologi jaringan yang Anda inginkan tanpa mengubah implementasinya.

Kami menyarankan agar Anda mengevaluasi apakah Anda harus menggunakan Pengelola Virtual Network untuk mengoptimalkan operasi manajemen jaringan Anda. Untuk menentukan apakah Pengelola Virtual Network memberikan nilai bersih untuk ukuran dan kompleksitas jaringan Anda, bandingkan biaya layanan dengan penghematan waktu dan manfaat operasional.

Azure Virtual WAN

Arsitektur ini menjelaskan pola jaringan yang mencakup komponen infrastruktur hub yang dikelola pelanggan. Untuk solusi infrastruktur hub yang dikelola Microsoft, lihat topologi jaringan Hub-spoke yang menggunakan Azure Virtual WAN.

Manfaat menggunakan konfigurasi hub-spoke yang dikelola pelanggan meliputi:

  • Penghematan biaya
  • Mengatasi batas langganan
  • Isolasi beban kerja
  • Flexibility
    • Kontrol lebih besar atas penerapan appliance virtual jaringan (NVA), seperti jumlah NIC, jumlah instans, atau ukuran komputasi
    • Penggunaan NVA yang tidak didukung oleh Virtual WAN

Detail skenario

Arsitektur referensi ini menerapkan pola jaringan hub-spoke di mana jaringan virtual hub bertindak sebagai titik pusat konektivitas ke banyak jaringan virtual spoke. Jaringan virtual spoke terhubung dengan hub dan dapat mengisolasi beban kerja. Anda juga dapat mendukung skenario lintas lokasi dengan menggunakan hub untuk menyambungkan ke jaringan lokal.

Untuk informasi selengkapnya, lihat Topologi jaringan Hub-and-spoke.

Skenario tingkat lanjut

Arsitektur Anda mungkin berbeda dari arsitektur hub-spoke sederhana yang dijelaskan dalam artikel ini. Daftar berikut ini menjelaskan panduan untuk skenario tingkat lanjut:

Kemungkinan kasus penggunaan

Penggunaan umum untuk arsitektur hub-spoke mencakup beban kerja yang:

  • Memiliki beberapa lingkungan yang memerlukan layanan bersama. Misalnya, beban kerja mungkin memiliki lingkungan pengembangan, pengujian, dan produksi. Layanan bersama mungkin mencakup ID DNS, Protokol Waktu Jaringan (NTP), atau Active Directory Domain Services (AD DS). Layanan bersama ditempatkan di jaringan virtual hub, dan setiap lingkungan disebarkan ke jaringan spoke yang berbeda untuk mempertahankan isolasi.

  • Tidak memerlukan konektivitas satu sama lain, tetapi memerlukan akses ke layanan bersama.

  • Memerlukan kontrol pusat atas keamanan, seperti jaringan perimeter (juga dikenal sebagai firewall DMZ, zona demiliterisasi, dan subnet yang disaring) di hub dan manajemen beban kerja yang dipisahkan di setiap spoke.

  • Memerlukan kontrol pusat atas konektivitas, seperti konektivitas selektif atau isolasi antara bagian-bagian dari lingkungan atau beban kerja tertentu.

Recommendations

Anda dapat menerapkan rekomendasi berikut ke sebagian besar skenario. Ikuti rekomendasi ini kecuali Anda memiliki persyaratan khusus yang menggantikannya.

Grup sumber daya, langganan, dan wilayah

Contoh solusi ini menggunakan satu grup sumber daya Azure. Anda juga dapat menerapkan hub dan setiap spoke di grup sumber daya dan langganan yang berbeda.

Ketika Anda melakukan peering jaringan virtual dalam langganan yang berbeda, Anda dapat mengaitkan langganan tersebut ke penyewa Microsoft Entra yang sama atau berbeda. Fleksibilitas ini memberikan manajemen terdesentralisasi dari setiap beban kerja dan memelihara layanan bersama di hub. Untuk informasi selengkapnya, lihat Membuat peering jaringan virtual di berbagai langganan dan penyewa Microsoft Entra.

Azure zona pendaratan

Arsitektur zona pendaratan Azure didasarkan pada topologi hub-spoke. Dalam arsitektur itu, tim platform terpusat mengelola sumber daya dan jaringan bersama hub, sementara spoke berbagi model kepemilikan bersama dengan tim platform dan tim beban kerja yang menggunakan jaringan spoke. Semua hub berada dalam langganan Konektivitas untuk manajemen terpusat. Jaringan virtual spoke ada di banyak subskripsi beban kerja individual, yang disebut subskripsi landing zone beban kerja.

Subnet jaringan virtual

Rekomendasi berikut menjelaskan cara mengonfigurasi subnet di jaringan virtual.

GatewaySubnet

Gateway jaringan virtual memerlukan subnet ini. Anda juga dapat menggunakan topologi hub-spoke tanpa gateway jika Anda tidak memerlukan konektivitas jaringan lintas lokasi.

Buat subnet gateway dengan rentang alamat IP setidaknya /26 atau lebih besar bernama GatewaySubnet. Rentang alamat /26 memberikan skalabilitas yang memadai untuk menghindari batasan ukuran gateway dan mengakomodasi sirkuit ExpressRoute tambahan di masa mendatang. Untuk informasi selengkapnya tentang penyiapan gateway, lihat Mengonfigurasi ExpressRoute dan koneksi berdampingan situs-ke-situs dengan menggunakan PowerShell.

AzureFirewallSubnet

Buat subnet bernama AzureFirewallSubnet dengan rentang alamat setidaknya /26. Kami merekomendasikan /26 sebagai ukuran minimum untuk mencakup batasan ukuran di masa mendatang. Subnet ini tidak mendukung kelompok keamanan jaringan (NSG).

Azure Firewall memerlukan subnet ini. Jika Anda menggunakan NVA mitra, ikuti persyaratan jaringannya.

Konektivitas jaringan spoke

Peering jaringan virtual atau grup yang saling terhubung adalah hubungan nontransitif antara jaringan virtual. Jika Anda memerlukan jaringan virtual spoke untuk terhubung satu sama lain, tambahkan koneksi peering antara spoke tersebut atau letakkan di grup jaringan yang sama.

Koneksi spoke melalui firewall Azure atau NVA

Jumlah peering jaringan maya terbatas per jaringan maya. Jika Anda memiliki banyak spoke yang perlu terhubung satu sama lain, Anda mungkin tidak memiliki koneksi peering yang cukup. Grup yang terhubung juga memiliki batasan. Untuk informasi selengkapnya, lihat Batas jaringan dan Batas grup tersambung.

Dalam skenario ini, pertimbangkan untuk menggunakan rute yang ditentukan pengguna (UDR) untuk memaksa lalu lintas spoke dikirim ke Azure Firewall atau NVA lain yang bertindak sebagai router di hub. Perubahan ini memungkinkan spoke untuk tersambung satu sama lain. Untuk mendukung konfigurasi ini, terapkan Azure Firewall dengan konfigurasi terowongan paksa diaktifkan. Untuk informasi selengkapnya, lihat Azure Firewall forced tunneling.

Topologi dalam desain arsitektural ini memfasilitasi alur keluar. Meskipun Azure Firewall terutama untuk keamanan keluar, itu juga bisa menjadi titik masuk. Untuk pertimbangan lebih lanjut mengenai penerusan masuk di hub NVA, lihat Azure Firewall dan Azure Application Gateway untuk jaringan virtual.

Terjemahan alamat jaringan melalui Azure Firewall

Azure Firewall di hub berada di antara setiap spoke dan internet, jaringan lokal, dan spoke lain yang merutekannya. Rencanakan bagaimana terjemahan alamat jaringan memengaruhi desain beban kerja:

  • Alur keluar meninggalkan spoke yang bersumber dari salah satu alamat IP publik firewall. Ini adalah terjemahan alamat jaringan sumber (SNAT). Azure Firewall menggunakan salah satu alamat IP publik yang dilampirkan untuk setiap alur lalu lintas keluar, sehingga daftar izin mitra dan log audit perlu mencakup seluruh kumpulan alamat IP yang dilampirkan ke firewall. Gunakan awalan alamat IP publik untuk menunjukkan bahwa set tersebut sebagai rentang yang berkelanjutan.

    Jumlah alamat IP publik yang terhubung juga menetapkan batas port SNAT dan oleh karena itu batas koneksi keluar bersamaan untuk setiap node spoke yang keluar melalui firewall. Untuk mengatasi keterbatasan dari penggunaan IP publik yang sudah terpasang, sambungkan Azure NAT Gateway ke AzureFirewallSubnet. NAT Gateway menjadi jalur keluar untuk firewall, menyediakan hingga 16 IP publik yang perlu diizinkan oleh sistem hilir, dan secara signifikan meningkatkan kumpulan port SNAT yang tersedia. Lalu lintas yang kembali tetap mengalir melalui firewall, yang menjaga simetri alur.

  • Beban kerja yang diterbitkan dapat diakses di alamat IP publik firewall. Anda menerbitkan backend dengan aturan penerjemahan alamat jaringan tujuan (DNAT), yang menulis ulang IP dan port tujuan dari titik akhir publik firewall ke IP dan port privat aplikasi beban kerja. Azure Firewall juga menerapkan SNAT pada paket yang sesuai dengan aturan DNAT untuk memastikan lalu lintas balik mengalir kembali melalui instans firewall yang sama. Alamat IP instans firewall diamati oleh sistem belakang sebagai sumber, bukan alamat IP dari klien asli.

    Jika aplikasi Anda memerlukan alamat IP klien, hentikan upstream koneksi klien di proksi terbalik seperti Azure Application Gateway atau Azure Front Door, teruskan alamat IP klien di header HTTP X-Forwarded-For, dan ikuti Simpan nama host HTTP asli sehingga backend terus mengamati nama host klien. Untuk contoh penerapan DNAT, SNAT, dan interaksi proksi terbalik di depan firewall, lihat Azure Firewall dan Application Gateway untuk jaringan virtual.

Koneksi spoke ke jaringan jarak jauh melalui gateway hub

Untuk mengonfigurasi cabang agar dapat berkoneksi dengan jaringan jarak jauh melalui gateway pusat, Anda dapat menggunakan peering jaringan virtual atau grup jaringan yang terhubung. Untuk menggunakan peering jaringan virtual, buka pengaturan Peering jaringan virtual dan selesaikan tindakan berikut:

  • Konfigurasikan koneksi peering di hub untuk Izinkan transit gateway.
  • Konfigurasikan koneksi peering di setiap spoke untuk menggunakan gateway dari jaringan virtual jarak jauh.
  • Konfigurasikan semua koneksi peering ke Izinkan lalu lintas yang diteruskan.

Untuk informasi selengkapnya, lihat Membuat peering jaringan virtual.

Untuk menggunakan grup jaringan yang tersambung:

  1. Di Pengelola Virtual Network, buat grup jaringan dan tambahkan jaringan virtual anggota.
  2. Buat konfigurasi konektivitas hub-spoke.
  3. Untuk grup jaringan Spoke, pilih Hub sebagai gateway.

Untuk informasi selengkapnya, lihat Buat topologi hub-spoke dengan menggunakan Pengelola Virtual Network.

Komunikasi jaringan spoke

Jaringan virtual spoke dapat saling berkomunikasi melalui dua cara utama.

  • Komunikasi melalui NVA, seperti firewall dan router. Metode ini menambahkan hop antara kedua spoke.

  • Komunikasi dengan menggunakan peering jaringan virtual atau Pengelola Virtual Network konektivitas langsung antar spoke. Pendekatan ini tidak menambahkan lompatan antara kedua node dan disarankan untuk meminimalkan latensi.

Azure Private Link dapat secara selektif mengekspos sumber daya individual ke jaringan virtual lainnya. Misalnya, Anda dapat menggunakan Private Link untuk mengekspos internal load balancer ke jaringan virtual yang berbeda tanpa perlu membentuk atau memelihara relasi peering atau perutean.

Untuk informasi selengkapnya tentang pola jaringan spoke-to-spoke, lihat Opsi konektivitas jaringan virtual dan komunikasi spoke-to-spoke.

Komunikasi melalui NVA

Jika Anda memerlukan konektivitas antara jaringan cabang, pertimbangkan untuk menyebarkan Azure Firewall atau NVA lain di dalam hub. Kemudian buat jalur untuk meneruskan lalu lintas dari node ujung ke firewall atau NVA, yang kemudian dapat mengalihkan ke node ujung kedua. Dalam skenario ini, Anda harus mengonfigurasi koneksi peering untuk menerima lalu lintas yang diteruskan.

Diagram yang memperlihatkan perutean antara spoke yang menggunakan Azure Firewall.

Anda juga dapat menggunakan gateway VPN untuk merutekan lalu lintas antar spoke, meskipun pilihan ini memengaruhi latensi dan throughput. Untuk informasi selengkapnya, lihat Mengonfigurasi gateway VPN untuk transit pada jaringan virtual.

Evaluasi layanan yang Anda bagikan di hub untuk memastikan bahwa hub menskalakan untuk jumlah spoke yang lebih besar. Misalnya, jika hub Anda menyediakan layanan firewall, pertimbangkan batas bandwidth solusi firewall Anda saat Anda menambahkan beberapa cabang. Anda dapat memindahkan beberapa layanan bersama ini ke tingkat hub kedua.

Komunikasi langsung antara jaringan spoke

Untuk terhubung langsung antara jaringan virtual spoke tanpa merutekan lalu lintas melalui jaringan virtual hub, Anda dapat membuat koneksi peering antar spoke atau mengaktifkan konektivitas langsung pada grup jaringan. Kami menyarankan agar Anda membatasi peering atau konektivitas langsung ke jaringan virtual spoke yang merupakan bagian dari lingkungan dan beban kerja yang sama.

Saat menggunakan Pengelola Virtual Network, Anda dapat menambahkan jaringan virtual spoke ke grup jaringan secara manual atau menambahkan jaringan secara otomatis berdasarkan kondisi yang Anda tentukan.

Diagram berikut mengilustrasikan cara menggunakan Pengelola Virtual Network untuk konektivitas langsung antar spoke.

Diagram yang menunjukkan penggunaan Pengelola Virtual Network untuk konektivitas langsung antara cabang jaringan.

Considerations

Pertimbangan ini mengimplementasikan pilar Azure Well-Architected Framework, yang merupakan serangkaian tenet panduan yang dapat Anda gunakan untuk meningkatkan kualitas beban kerja. Untuk informasi selengkapnya, lihat Well-Architected Framework.

Reliability

Keandalan membantu memastikan bahwa aplikasi Anda dapat memenuhi komitmen yang Anda buat kepada pelanggan Anda. Untuk informasi selengkapnya, lihat Daftar Periksa Ulasan Desain untuk Keandalan.

Gunakan zona availability untuk layanan Azure di hub yang mendukungnya.

Kami menyarankan agar Anda menggunakan setidaknya satu hub per wilayah dan Anda hanya menyambungkan spoke dari wilayah yang sama ke hub tersebut. Konfigurasi ini membantu daerah pemisah untuk menghindari kegagalan hub di satu wilayah yang dapat menyebabkan kegagalan perutean jaringan yang meluas di wilayah lain yang tidak terkait.

Untuk ketersediaan yang lebih tinggi, Anda dapat menggunakan ExpressRoute dan VPN untuk failover. Untuk informasi selengkapnya, lihat Hubungkan jaringan lokal ke Azure dengan menggunakan ExpressRoute dengan failover VPN dan Rancang dan bangun ExpressRoute untuk peningkatan ketahanan.

Karena bagaimana Azure Firewall menerapkan aturan aplikasi FQDN, pastikan bahwa semua sumber daya yang keluar melalui firewall menggunakan penyedia DNS yang sama dengan firewall itu sendiri. Jika tidak, Azure Firewall mungkin memblokir lalu lintas yang sah karena resolusi IP firewall FQDN berbeda dari resolusi IP pencetus lalu lintas dari FQDN yang sama. Anda dapat menyertakan proksi Azure Firewall dalam resolusi DNS spoke untuk menjaga FQDN tetap sinkron dengan pencetus lalu lintas dan dengan Azure Firewall.

Keamanan

Keamanan menjamin perlindungan terhadap serangan yang disengaja dan penyalahgunaan data serta sistem berharga Anda. Untuk informasi selengkapnya, lihat Daftar periksa tinjauan desain untuk Keamanan.

Untuk melindungi dari serangan DDoS, aktifkan Azure DDoS Protection di jaringan virtual perimeter apa pun. Sumber daya apa pun yang memiliki IP publik rentan terhadap serangan DDoS. IP publik berikut perlu dilindungi meskipun beban kerja Anda tidak diekspos secara publik:

  • Azure Firewall alamat IP publik
  • Alamat IP publik gateway VPN
  • Alamat IP publik titik kendali ExpressRoute

Untuk meminimalkan risiko akses yang tidak sah dan untuk menerapkan kebijakan keamanan yang ketat, selalu tetapkan aturan eksplisit deny di NSG.

Gunakan versi Azure Firewall Premium untuk mengaktifkan inspeksi, IDPS, dan pemfilteran URL Transport Layer Security (TLS).

keamanan Pengelola Virtual Network

Untuk memastikan sekumpulan aturan keamanan dasar, kaitkan aturan admin keamanan dengan jaringan virtual dalam grup jaringan. Aturan admin keamanan lebih diutamakan dan dievaluasi sebelum aturan NSG. Aturan admin keamanan mendukung prioritas, tag layanan, dan protokol lapisan jaringan (L3) dan lapisan transportasi (L4).

Gunakan Pengelola Virtual Network deployments untuk memfasilitasi peluncuran terkontrol perubahan yang berpotensi melanggar aturan keamanan grup jaringan.

Pengoptimalan Biaya

Pengoptimalan Biaya berfokus pada cara untuk mengurangi pengeluaran yang tidak perlu dan meningkatkan efisiensi operasional. Untuk informasi selengkapnya, lihat Daftar periksa tinjauan desain untuk Pengoptimalan Biaya.

Untuk mendapatkan perkiraan biaya untuk komponen jaringan hub dalam arsitektur ini, gunakan perkiraan preconfigured ini dalam kalkulator harga Azure. Sesuaikan nilai agar sesuai dengan volume lalu lintas yang diharapkan dan spoke tambahan.

Pertimbangkan faktor terkait biaya berikut saat Anda menyebarkan dan mengelola jaringan hub-spoke. Untuk informasi selengkapnya, lihat Harga jaringan virtual.

Biaya untuk Azure Firewall

Arsitektur ini menyebarkan instans Azure Firewall di jaringan hub. Menggunakan implementasi Azure Firewall sebagai solusi bersama yang digunakan oleh beberapa bidang kerja dapat secara signifikan menghemat biaya cloud dibandingkan dengan NVA (Perangkat Virtual Jaringan) lainnya. Untuk informasi selengkapnya, lihat Azure Firewall versus NVA.

Untuk menggunakan sumber daya yang Anda sebarkan secara efektif, pilih ukuran Azure Firewall yang tepat. Tentukan fitur apa yang Anda butuhkan dan tingkat mana yang paling sesuai dengan set beban kerja Anda saat ini. Untuk informasi selengkapnya tentang SKU Azure Firewall yang tersedia, lihat Apa yang Azure Firewall?

Peering langsung

Untuk mengurangi atau menghilangkan biaya pemrosesan Azure Firewall, secara selektif gunakan komunikasi peering langsung atau spoke-to-spoke lainnya yang melewati hub. Penghematan dapat signifikan untuk jaringan yang memiliki beban kerja dengan throughput tinggi, komunikasi berisiko rendah antara spoke, seperti sinkronisasi database atau operasi penyalinan file besar.

Keunggulan Operasi

Keunggulan Operasional mencakup proses operasi yang menyebarkan aplikasi dan membuatnya tetap berjalan dalam produksi. Untuk informasi selengkapnya, lihat Daftar periksa tinjauan desain untuk Keunggulan Operasional.

Aktifkan pengaturan diagnostik untuk semua layanan, seperti Azure Bastion, Azure Firewall, dan gateway lintas tempat Anda. Untuk mengurangi biaya, nonaktifkan pengaturan apa pun yang tidak terkait dengan operasi Anda. Sumber daya seperti Azure Firewall dapat menghasilkan volume log besar dan dapat menyebabkan biaya pemantauan yang tinggi.

Gunakan Pemantau koneksi untuk pemantauan end-to-end untuk mendeteksi anomali dan mengidentifikasi serta memecahkan masalah jaringan.

Gunakan Azure Network Watcher untuk memantau dan memecahkan masalah komponen jaringan, termasuk menggunakan analitik traffic untuk menunjukkan kepada Anda sistem di jaringan virtual Anda yang menghasilkan lalu lintas terbanyak. Anda dapat menggunakan analitik lalu lintas untuk mengidentifikasi potensi hambatan.

Jika Anda menggunakan ExpressRoute, gunakan Azure Traffic Collector untuk menganalisis log alur untuk alur jaringan yang dikirim melalui sirkuit ExpressRoute Anda. Traffic Collector memberikan visibilitas terhadap lalu lintas yang mengalir melalui router edge perusahaan Microsoft.

Gunakan aturan berbasis FQDN di Azure Firewall untuk protokol non-HTTP atau saat Anda mengonfigurasi SQL Server. Menggunakan FQDN mengurangi beban manajemen dibandingkan dengan manajemen alamat IP individual.

Rencanakan pengalamatan IP berdasarkan persyaratan peering Anda. Pastikan bahwa ruang alamat tidak tumpang tindih di lokasi lintas-premis dan lokasi Azure.

Otomatisasi dengan Pengelola Virtual Network

Untuk mengelola kontrol konektivitas dan keamanan secara terpusat, gunakan Pengelola Virtual Network untuk membuat topologi jaringan virtual hub-spoke baru atau melakukan onboarding topologi yang ada. Gunakan Pengelola Virtual Network untuk menyiapkan topologi jaringan hub-spoke Anda untuk pertumbuhan masa depan skala besar di beberapa langganan, grup manajemen, dan wilayah.

Contoh skenario kasus penggunaan Pengelola Virtual Network meliputi:

  • Demokratisasi pengelolaan jaringan virtual spoke kepada kelompok seperti unit bisnis atau tim aplikasi. Demokratisasi dapat mengakibatkan sejumlah besar konektivitas jaringan virtual ke jaringan virtual dan persyaratan aturan keamanan jaringan.

  • Standarisasi arsitektur replika ganda di beberapa wilayah Azure dalam rangka memastikan kehadiran global untuk aplikasi.

Untuk memastikan konektivitas seragam dan aturan keamanan jaringan, Anda dapat menggunakan grup network untuk mengelompokkan jaringan virtual di langganan, grup manajemen, atau wilayah apa pun di bawah penyewa Microsoft Entra yang sama. Anda dapat melakukan onboarding jaringan virtual secara otomatis atau manual ke grup jaringan melalui penetapan keanggotaan dinamis atau statis.

Tentukan kemampuan penemuan jaringan virtual di Pengelola Virtual Network dengan menggunakan scopes. Cakupan membuat instans manajer jaringan fleksibel sehingga Anda dapat mendistribusikan tanggung jawab manajemen di seluruh grup jaringan virtual.

Untuk menyambungkan jaringan virtual spoke dalam grup jaringan yang sama untuk saling terhubung, gunakan Pengelola Virtual Network untuk menerapkan peering jaringan virtual atau konektivitas langsung. Gunakan opsi mesh global untuk memperluas konektivitas langsung jaringan mesh ke jaringan spoke di berbagai wilayah. Diagram berikut menunjukkan konektivitas jala global antar wilayah.

Diagram yang menunjukkan konektivitas langsung mesh global spoke antara wilayah.

Anda dapat mengaitkan jaringan virtual dalam grup jaringan ke sekumpulan dasar aturan admin keamanan. Aturan keamanan admin grup jaringan mencegah pemilik jaringan virtual spoke menimpa aturan keamanan dasar, tetapi mereka dapat menambahkan aturan keamanan dan NSG mereka sendiri. Untuk contoh cara menggunakan aturan admin keamanan di topologi hub-spoke, lihat Membuat jaringan hub-spoke yang aman.

Untuk memfasilitasi peluncuran terkontrol grup jaringan, konektivitas, dan aturan keamanan, penyebaran konfigurasi Pengelola Virtual Network membantu Anda merilis perubahan konfigurasi dengan aman ke lingkungan hub-spoke.

Untuk menyederhanakan proses pembuatan dan pemeliharaan konfigurasi rute, Anda dapat menggunakan manajemen UDR automasi di Pengelola Virtual Network.

Untuk mempusatkan manajemen alamat IP, Anda dapat menggunakan IP address management (IPAM) di Pengelola Virtual Network. IPAM mencegah konflik ruang alamat IP di seluruh jaringan virtual lokal dan cloud.

Untuk mulai menggunakan Pengelola Virtual Network, lihat Buat topologi hub-spoke dengan menggunakan Pengelola Virtual Network.

Efisiensi Performa

Efisiensi Performa mengacu pada kemampuan beban kerja Anda untuk menskalakan untuk memenuhi tuntutan pengguna secara efisien. Untuk informasi selengkapnya, lihat Daftar Periksa Tinjauan Desain untuk Efisiensi Kinerja.

Untuk komunikasi hub-ke-hub yang memerlukan latensi rendah, Anda dapat menyiapkan jaringan hub-ke-hub.

Pilih SKU gateway yang memenuhi kebutuhan Anda, seperti jumlah koneksi titik-ke-situs atau situs-ke-situs, paket per detik yang diperlukan, persyaratan bandwidth, atau alur TCP.

Untuk alur yang sensitif terhadap latensi, seperti SAP atau akses ke penyimpanan, Anda dapat menghindari atau melewati begitu saja Azure Firewall atau perutean hub. Untuk membantu Anda memutuskan pendekatan terbaik, Anda dapat tes latensi yang diperkenalkan oleh Azure Firewall. Anda dapat menggunakan fitur seperti peering jaringan virtual, yang menghubungkan dua jaringan atau lebih, atau Anda dapat menggunakan Private Link untuk menyambungkan ke layanan melalui titik akhir privat di jaringan virtual Anda.

Anda dapat mengurangi throughput dengan menggunakan fitur Azure Firewall seperti IDPS. Untuk informasi selengkapnya, lihat performa Azure Firewall.

Meningkatkan skala melampaui throughput satu hub

Satu gateway jaringan virtual ExpressRoute membatasi lalu lintas dari lingkungan lokal ke jaringan virtual hingga batas throughput agregat SKU gateway, membatasi throughput koneksi TCP tunggal mana pun, dan membatasi jumlah flow bersamaan, tidak peduli berapa pun bandwidth sirkuit yang dikaitkan.

Untuk beban kerja yang mengirim lalu lintas berbandwidth tinggi dari lingkungan lokal ke mesin virtual atau titik akhir privat di Azure, gunakan ExpressRoute FastPath untuk melewati gateway ke arah tersebut. FastPath adalah cara standar untuk menggunakan bandwidth sirkuit yang melebihi batas kapasitas gateway, dan juga mengurangi kendala throughput tiap aliran serta batas jumlah aliran simultan.

Dalam jaringan hub-spoke, dukungan FastPath dilengkapi dengan batasan desain penting:

  • Simpan perangkat inspeksi di hub. FastPath mendukung Azure Firewall dan load balancer internal hanya ketika mereka berada di jaringan virtual hub. Jika berada dalam jaringan virtual yang di-peer (spoke), lalu lintas ke sana akan dialihkan kembali melalui gateway sehingga FastPath tidak berlaku.

  • ExpressRoute Direct diperlukan untuk FastPath melalui peering jaringan virtual, rute yang ditentukan pengguna, dan Private Link. Dengan sirkuit penyedia ExpressRoute, lalu lintas dari lingkungan lokal ke jaringan virtual spoke yang di-peeringkan dirutekan melalui gateway jaringan virtual, sehingga FastPath hanya berlaku untuk jaringan virtual milik gateway itu sendiri.

  • Tidak ada peering global. Untuk FastPath pada peering jaringan virtual, semua jaringan virtual harus berada di wilayah yang sama.

  • Batas maksimum alamat IP. FastPath memprogram jumlah IP tetap per sirkuit; ketika terlampaui, lalu lintas kembali melalui gateway. Pemberitahuan tentang jumlah rute FastPath di Azure Monitor.

Jika batasan memblokir FastPath, skalakan secara horizontal sebagai gantinya. Sebarkan beberapa hub di wilayah yang sama, masing-masing dengan gateway ExpressRoute, firewall, dan koneksi sirkuitnya sendiri. Gunakan Azure Firewall Manager untuk menerapkan Kebijakan Firewall yang sama pada setiap firewall hub, dan mengarahkan lalu lintas setiap spoke ke hub tertentu melalui perutean dan perencanaan alamat IP.

Menyebarkan skenario ini

Penyebaran ini mencakup satu jaringan virtual hub dan dua spoke yang terhubung serta menyertakan instans Azure Firewall dan host Azure Bastion. Secara opsional, penyebaran dapat menyertakan mesin virtual (VM) di jaringan spoke pertama dan gateway VPN. Untuk membuat koneksi jaringan, Anda dapat memilih antara peering jaringan virtual atau kelompok terhubung pada Pengelola Virtual Network. Setiap metode memiliki beberapa opsi penyebaran.

Contributors

Microsoft mempertahankan artikel ini. Kontributor berikut menulis artikel ini.

Penulis utama:

Kontributor lain:

Untuk melihat profil LinkedIn nonpublik, masuk ke LinkedIn.

Langkah selanjutnya