Perutean lalu lintas jaringan virtual Azure

Dalam artikel ini, Anda mempelajari cara kerja perutean lalu lintas jaringan virtual Azure antara Azure, lokal, dan sumber daya internet. Azure secara otomatis membuat tabel rute untuk setiap subnet dalam jaringan virtual Azure, dan menambahkan rute default sistem ke tabel. Memahami perutean lalu lintas membantu Anda mengoptimalkan konektivitas dan memecahkan masalah jaringan di lingkungan Azure Anda. Untuk mempelajari selengkapnya tentang jaringan virtual dan subnet, lihat Ringkasan jaringan virtual. Anda dapat mengambil alih beberapa rute sistem Azure dengan rute kustom dan menambahkan lebih banyak rute kustom ke tabel rute. Azure merutekan lalu lintas keluar dari subnet berdasarkan rute dalam tabel rute subnet.

Rute sistem

Azure membuat rute sistem secara otomatis dan menetapkan rute ke setiap subnet dalam jaringan virtual. Anda tidak dapat membuat rute sistem, dan Anda tidak dapat menghapus rute sistem, tetapi Anda dapat mengambil alih beberapa rute sistem dengan rute kustom. Azure membuat rute sistem default untuk setiap subnet dan menambahkan lebih banyak rute default opsional ke subnet tertentu, atau setiap subnet, saat Anda menggunakan kemampuan Azure tertentu.

Rute bawaan sistem

Setiap rute mencakup awalan alamat dan jenis lompatan berikutnya. Azure menggunakan rute dengan awalan alamat yang cocok saat lalu lintas keluar dari subnet ke alamat IP. Pelajari selengkapnya tentang cara Azure memilih rute saat beberapa rute berisi awalan yang identik atau tumpang tindih. Setiap kali jaringan virtual dibuat, Azure membuat rute sistem default berikut secara otomatis untuk setiap subnet dalam jaringan virtual:

Sumber Awalan alamat Jenis hop berikutnya
Bawaan Unik untuk jaringan virtual Jaringan virtual
Bawaan 0.0.0.0/0 internet
Bawaan 10.0.0.0/8 Tidak
Bawaan 172.16.0.0/12 Tidak
Bawaan 192.168.0.0/16 Tidak
Bawaan 100.64.0.0/10 Tidak
Bawaan 157.59.0.0/16 Tidak
Bawaan 127.0.0.0/8 Tidak
Bawaan 104.147.0.0/16 Tidak
Bawaan 104.146.0.0/17 Tidak

Jenis hop berikutnya yang tercantum dalam tabel sebelumnya menunjukkan cara Azure merutekan lalu lintas yang ditujukan untuk prefiks alamat yang tercantum. Berikut adalah penjelasan untuk jenis langkah berikutnya:

  • Jaringan virtual: Merutekan lalu lintas antar rentang alamat dalam ruang alamat jaringan virtual. Azure membuat rute dengan prefiks alamat yang sesuai dengan setiap rentang alamat yang ditentukan dalam ruang alamat jaringan virtual. Jika ruang alamat jaringan virtual memiliki beberapa rentang alamat yang ditentukan, Azure membuat rute tersendiri untuk setiap rentang alamat. Secara default, Azure merutekan lalu lintas antar subnet. Anda tidak perlu menentukan tabel rute atau gateway untuk Azure untuk merutekan lalu lintas antar subnet. Azure tidak membuat rute default untuk rentang alamat subnet. Setiap rentang alamat subnet berada dalam rentang alamat ruang alamat jaringan virtual.

  • Internet: Merutekan lalu lintas yang ditentukan oleh awalan alamat ke internet. Rute default sistem menentukan prefiks alamat 0.0.0.0/0. Jika Anda tidak mengambil alih rute default Azure, Azure merutekan lalu lintas untuk alamat apa pun yang tidak ditentukan oleh rentang alamat dalam jaringan virtual ke internet. Ada satu pengecualian untuk rute ini. Jika alamat tujuan adalah untuk layanan Azure, Azure merutekan lalu lintas langsung ke layanan melalui jaringan backbone Azure alih-alih merutekan lalu lintas ke internet. Lalu lintas antara layanan Azure tidak melintasi internet. Tidak masalah wilayah Azure mana jaringan virtual berada di atau wilayah Azure mana instans layanan Azure disebarkan. Anda dapat mengganti rute sistem default Azure untuk prefiks alamat 0.0.0.0/0 dengan rute kustom.

  • Tidak Ada: Lalu lintas yang dirutekan ke jenis hop berikutnya 'Tidak Ada' dihentikan alih-alih dirutekan di luar subnet. Azure membuat rute default secara otomatis untuk prefiks alamat berikut:

    • 10.0.0.0/8, 172.16.0.0/12, dan 192.168.0.0/16: Dicadangkan untuk penggunaan privat di RFC 1918.
    • 100.64.0.0/10: Dicadangkan dalam RFC 6598.

    Jika Anda menetapkan salah satu rentang alamat sebelumnya dalam ruang alamat jaringan virtual, Azure mengubah jenis hop berikutnya secara otomatis untuk rute dari Tidak ada ke Jaringan virtual. Jika Anda menetapkan rentang alamat ke ruang alamat jaringan virtual yang termasuk, namun tidak persis sama dengan, salah satu dari empat prefiks alamat yang dicadangkan, Azure menghapus rute untuk prefiks tersebut dan menambahkan rute untuk prefiks alamat yang Anda tambahkan, dengan Jaringan virtual sebagai tipe lompatan berikutnya. Rute Default (0.0.0.0/0) dengan Jenis Hop Selanjutnya = Virtual Network Gateway akan menyebabkan Rute Sistem Default ini dengan Jenis Hop Selanjutnya = Tidak Ada dihapus. 

Rute bawaan opsional

Azure membuat lebih banyak rute sistem default untuk kemampuan Azure yang berbeda, tetapi hanya jika Anda mengaktifkan kemampuan. Bergantung pada kemampuannya, Azure membuat rute default opsional ke subnet tertentu dalam jaringan virtual atau ke semua subnet dalam jaringan virtual. Tabel berikut ini mencantumkan rute sistem lain dan jenis lompatan berikutnya yang mungkin ditambahkan Azure saat Anda mengaktifkan kemampuan yang berbeda.

Sumber Awalan alamat Jenis hop berikutnya Subnet dalam jaringan virtual di mana rute ditambahkan
Bawaan Unik untuk jaringan virtual, misalnya: 10.1.0.0/16 Jaringan virtual peering Semua
Gateway jaringan virtual Awalan yang diiklankan dari lokal melalui Border Gateway Protocol (BGP) atau dikonfigurasi di gateway jaringan lokal Gateway jaringan virtual Semua
Bawaan Beberapa VirtualNetworkServiceEndpoint Hanya subnet yang memiliki titik akhir layanan diaktifkan

  • Virtual network peering: Saat Anda membuat peering jaringan virtual antara dua jaringan virtual, sistem menambahkan rute untuk setiap rentang alamat dalam ruang alamat setiap jaringan virtual yang terlibat dalam peering. Pelajari selengkapnya tentang peering jaringan virtual.

  • Gateway jaringan virtual: Satu atau beberapa rute dengan Gateway jaringan virtual yang terdaftar sebagai jenis hop berikutnya ditambahkan saat gateway jaringan virtual ditambahkan ke jaringan virtual. Sumbernya adalah Virtual network gateway juga karena gateway menambahkan rute ke subnet. Jika gateway jaringan lokal Anda bertukar rute BGP dengan gateway jaringan virtual, sistem menambahkan rute untuk setiap rute. Rute ini disebarluaskan dari gateway jaringan lokal. Kami menyarankan agar Anda meringkas rute lokal ke rentang alamat terbesar yang mungkin sehingga Anda menyebarluaskan jumlah rute terkecil ke gateway jaringan virtual Azure. Ada batasan jumlah rute yang dapat Anda propagasi ke gateway jaringan virtual Azure. Untuk mengetahui informasi selengkapnya, lihat Batas Azure.

    Tip

    Untuk rute yang diiklankan dari Azure ke lokal, Anda dapat mengurangi jumlah awalan yang diiklankan dengan mengonfigurasi awalan gateway yang diiklankan di jaringan virtual gateway menggunakan properti summarizedGatewayPrefixes. Saat diisi, Azure VPN Gateway dan ExpressRoute Gateway mengiklankan awalan ringkasan yang Anda berikan alih-alih mengiklankan ruang alamat hub dan ruang alamat spoke yang tercakup. Untuk informasi selengkapnya, lihat Gambaran umum awalan gateway yang diiklankan.

  • VirtualNetworkServiceEndpoint: Azure menyertakan alamat IP publik layanan tertentu ke tabel rute saat Anda mengaktifkan titik akhir layanan. Azure menyertakan rute ini hanya ke subnet dengan titik akhir layanan diaktifkan. Azure secara otomatis memperbarui alamat ini dalam tabel rute saat alamat IP layanan berubah. Pelajari selengkapnya tentang titik akhir layanan jaringan virtual dan layanan yang didukung.

    Catatan

    Peering jaringan virtual dan VirtualNetworkServiceEndpoint jenis hop berikutnya ditambahkan hanya untuk merutekan tabel subnet dalam jaringan virtual yang dibuat melalui model penyebaran Azure Resource Manager. Jenis hop berikutnya tidak ditambahkan ke tabel rute yang terkait dengan subnet jaringan virtual yang dibuat melalui model penyebaran klasik. Pelajari selengkapnya tentang model penyebaran Azure.

Rute kustom

Anda membuat rute kustom dengan membuat rute yang ditentukan pengguna (UDR) atau bertukar rute BGP antara gateway jaringan lokal Anda dan gateway jaringan virtual Azure.

Rute yang ditentukan pengguna

Untuk menyesuaikan rute lalu lintas, Anda tidak boleh mengubah rute default. Anda harus membuat rute kustom atau statis yang ditentukan pengguna, yang menimpa rute sistem default Azure. Di Azure, Anda membuat tabel rute lalu mengaitkan tabel rute ke nol atau lebih subnet jaringan virtual. Setiap subnet dapat memiliki nol atau satu tabel rute yang terkait dengannya. Untuk mempelajari tentang jumlah maksimum rute yang dapat Anda tambahkan ke tabel rute dan jumlah maksimum tabel UDR yang dapat Anda buat per langganan Azure, lihat Batas Azure.

Secara default, tabel rute dapat berisi hingga 400 UDR. Dengan konfigurasi perutean melalui Azure Virtual Network Manager, jumlah ini dapat diperluas menjadi 1.000 UDR per tabel rute. Peningkatan batas ini mendukung penyiapan perutean yang lebih canggih. Contohnya adalah mengarahkan lalu lintas dari pusat data lokal melalui firewall ke setiap jaringan virtual spoke dalam topologi hub-and-spoke saat Anda memiliki jumlah jaringan virtual spoke yang lebih tinggi.

Saat Anda membuat tabel rute dan mengaitkannya dengan subnet, rute tabel akan digabungkan dengan rute default subnet. Jika ada penetapan rute yang bertentangan, UDR akan mengambil alih rute default.

Anda dapat menentukan jenis hop berikutnya berikut saat membuat UDR:

  • Appliance virtual: Appliance virtual adalah komputer virtual yang biasanya menjalankan aplikasi jaringan, seperti firewall. Untuk mempelajari tentang berbagai appliance virtual jaringan yang telah dikonfigurasi sebelumnya yang dapat Anda sebarkan di jaringan virtual, lihat Marketplace Azure. Saat Anda membuat rute dengan Appliance virtual, Anda juga menentukan alamat IP hop berikutnya. Alamat IP dapat berupa:

    • Alamat IP privat dari antarmuka jaringan yang terhubung ke mesin virtual. Antarmuka jaringan apa pun yang dilampirkan ke komputer virtual yang meneruskan lalu lintas jaringan ke alamat selain miliknya sendiri harus memiliki opsi Mengaktifkan penerusan IP Azure yang diaktifkan untuknya. Pengaturan menonaktifkan pemeriksaan sumber dan tujuan untuk antarmuka jaringan oleh Azure. Pelajari selengkapnya tentang cara mengaktifkan penerusan IP untuk antarmuka jaringan. Mengaktifkan penerusan IP adalah pengaturan Azure.

      Anda mungkin perlu mengaktifkan penerusan IP dalam sistem operasi mesin virtual agar perangkat tersebut dapat meneruskan lalu lintas antara alamat IP privat yang ditetapkan ke antarmuka jaringan Azure. Jika appliance perlu merutekan lalu lintas ke alamat IP publik, appliance harus mem-proxy lalu lintas atau melakukan terjemahan alamat jaringan (NAT) dari alamat IP privat sumber ke alamat IP privatnya sendiri. Azure kemudian melakukan NAT ke alamat IP publik sebelum mengirim lalu lintas ke internet. Untuk menentukan pengaturan yang diperlukan dalam komputer virtual, lihat dokumentasi untuk sistem operasi atau aplikasi jaringan Anda. Untuk memahami koneksi keluar di Azure, lihat Pemahaman koneksi keluar.

      Catatan

      Sebarkan appliance virtual ke dalam subnet yang berbeda dengan sumber daya yang merutekannya melalui appliance virtual. Menyebarkan appliance virtual ke subnet yang sama dan kemudian menerapkan tabel rute ke subnet yang merutekan lalu lintas melalui appliance virtual dapat mengakibatkan perulangan perutean di mana lalu lintas tidak pernah meninggalkan subnet.

      Alamat IP privat untuk hop berikutnya harus memiliki konektivitas langsung tanpa perlu dirutekan melalui gateway Azure ExpressRoute atau melalui Azure Virtual WAN. Mengatur hop berikutnya ke alamat IP tanpa konektivitas langsung menghasilkan konfigurasi UDR yang tidak valid.

    • Alamat IP privat dari penyeimbang muatan internal Azure. Load balancer sering digunakan sebagai bagian dari strategi ketersediaan tinggi untuk perangkat virtual jaringan.

    Anda dapat menentukan rute dengan 0.0.0.0/0 sebagai awalan alamat dan jenis hop appliance virtual berikutnya. Konfigurasi ini memungkinkan appliance untuk memeriksa lalu lintas dan menentukan apakah akan meneruskan atau menghilangkan lalu lintas. Jika Anda ingin membuat UDR yang berisi prefiks alamat 0.0.0.0/0, baca prefiks alamat 0.0.0.0/0 terlebih dahulu.

  • Gateway jaringan virtual: Rute yang ditetapkan pengguna dengan tipe lompatan berikutnya _Virtual Network Gateway_ memungkinkan Anda untuk merutekan lalu lintas ke gateway dari Jaringan Virtual. Virtual Network memiliki gateway tunggal yang secara otomatis diatur oleh platform jaringan yang didefinisikan perangkat lunak berdasarkan penyebaran Anda. Rute yang ditentukan pengguna dengan hop berikutnya pada Gateway Virtual Network hanya didukung ketika gateway Virtual Network adalah gateway VPN (dan bukan router hub ExpressRoute, RouteServer, atau Virtual WAN).

    • Untuk Virtual Network dengan VPN Gateway, ExpressRoute Gateway dan/atau Route Server:

      • Jika RouteServer disebarkan di jaringan virtual, RouteServer diatur sebagai gateway Virtual Network.
      • Jika VPN Gateway dan ExpressRoute Gateway disebarkan di jaringan virtual yang sama (tanpa RouteServer), Gateway ExpressRoute diatur sebagai gateway Virtual Network.
      • Jika VPN Gateway atau ExpressRoute Gateway adalah satu-satunya gateway di jaringan virtual (tanpa RouteServer), gateway yang disebarkan adalah gateway Virtual Network.

    • Untuk Jaringan Virtual yang di-peering ke Jaringan Virtual lain dengan gateway atau RouteServer dan pengaturan "Gunakan gateway jaringan virtual jarak jauh atau Route Server" diaktifkan:

      • Jika RouteServer di-deploy di jaringan virtual yang di-peering, RouteServer yang jarak jauh diatur sebagai gateway jaringan virtual tersebut.
      • Jika VPN Gateway dan ExpressRoute Gateway disebarkan di jaringan virtual yang di-peeringkan (tanpa RouteServer), Gateway ExpressRoute jarak jauh ditetapkan sebagai gateway Jaringan Virtual.
      • Jika VPN Gateway atau ExpressRoute Gateway adalah satu-satunya gateway di jaringan virtual yang di-peering (tanpa RouteServer), gateway jarak jauh diatur sebagai gateway Virtual Network.

    • Untuk Virtual Network yang tersambung ke hub Virtual WAN:

      • Gateway Virtual Network selalu diatur ke router hub Virtual WAN.

      Di lokasi Anda, Anda mungkin memiliki perangkat yang memeriksa lalu lintas dan menentukan apakah akan meneruskan atau menghentikan lalu lintas. Jika Anda ingin membuat UDR untuk prefiks alamat 0.0.0.0/0, baca prefiks alamat 0.0.0.0/0 terlebih dahulu. Alih-alih mengonfigurasi UDR untuk awalan alamat 0.0.0.0/0, Anda dapat mengiklankan rute dengan awalan 0.0.0.0/0 melalui BGP jika BGP untuk gateway jaringan virtual VPN diaktifkan.

  • Tidak ada: Tentukan kapan Anda ingin melepaskan lalu lintas ke prefiks alamat, daripada meneruskan lalu lintas ke tujuan. Azure mungkin menampilkan Tidak Ada untuk beberapa rute sistem opsional jika kemampuan tidak dikonfigurasi. Misalnya, jika Anda melihat bahwa Alamat IP lompatan berikutnya menunjukkan Tidak Ada dan Jenis lompatan berikutnya menunjukkan gateway jaringan virtual atau appliance virtual, itu mungkin karena perangkat tidak berjalan atau tidak sepenuhnya dikonfigurasi. Azure membuat rute default sistem untuk prefiks alamat yang dicadangkan dengan None sebagai jenis hop berikutnya.

  • Jaringan virtual: Tentukan opsi Jaringan virtual saat Anda ingin mengganti pengaturan rute default dalam jaringan virtual. Untuk contoh mengapa Anda dapat membuat rute dengan jenis lompatan jaringan virtual, lihat Contoh perutean.

  • Internet: Tentukan opsi Internet saat Anda ingin secara eksplisit merutekan lalu lintas yang ditujukan ke awalan alamat ke internet. Atau gunakan jika Anda ingin lalu lintas ditujukan untuk layanan Azure dengan alamat IP publik yang disimpan dalam jaringan backbone Azure.

Anda tidak dapat menentukan peering jaringan virtual atau VirtualNetworkServiceEndpoint sebagai tipe hop berikutnya di dalam UDR. Azure membuat rute dengan tipe hop berikutnya peering jaringan virtual atau VirtualNetworkServiceEndpoint hanya saat Anda mengonfigurasi peering jaringan virtual atau titik akhir layanan.

Tag layanan untuk rute yang ditentukan pengguna

Anda sekarang dapat menentukan tag layanan sebagai awalan alamat untuk UDR alih-alih rentang IP eksplisit. Tag layanan mewakili sekelompok prefiks alamat IP dari layanan Azure tertentu. Microsoft mengelola awalan alamat yang dicakup oleh tag layanan dan secara otomatis memperbarui tag layanan saat alamat berubah. Dukungan ini meminimalkan kompleksitas pembaruan yang sering dilakukan pada UDR dan mengurangi jumlah rute yang perlu Anda buat. Saat ini Anda dapat membuat 25 rute atau lebih sedikit dengan tag layanan di setiap tabel rute. Dalam rilis ini, penggunaan tag layanan juga didukung dalam skenario perutean untuk kontainer.

Kecocokan tepat

Sistem memberikan preferensi pada rute dengan awalan eksplisit ketika ada kecocokan awalan yang tepat antara rute dengan awalan IP eksplisit dan rute dengan tag layanan. Ketika beberapa rute dengan tag layanan memiliki awalan IP yang cocok, rute dievaluasi dalam urutan berikut:

  1. Tag regional (misalnya, Storage.EastUS atau AppService.AustraliaCentral)

  2. Tag tingkat atas (misalnya, Storage atau AppService)

  3. AzureCloud tag regional (misalnya, AzureCloud.canadacentral atau AzureCloud.eastasia)

  4. Tag AzureCloud

Untuk menggunakan fitur ini, tentukan nama tag layanan untuk parameter awalan alamat dalam perintah tabel rute. Misalnya, di PowerShell Anda dapat membuat rute baru untuk mengarahkan lalu lintas yang dikirim ke awalan IP Azure Storage ke appliance virtual dengan menggunakan perintah ini:

$param = @{
    Name = 'StorageRoute'
    AddressPrefix = 'Storage'
    NextHopType = 'VirtualAppliance'
    NextHopIpAddress = '10.0.100.4'
}
New-AzRouteConfig @param

Perintah yang sama untuk Azure CLI adalah:

az network route-table route create \
    --resource-group MyResourceGroup \
    --route-table-name MyRouteTable \
    --name StorageRoute \
    --address-prefix Storage \
    --next-hop-type VirtualAppliance \
    --next-hop-ip-address 10.0.100.4

Jenis-jenis hop berikut di berbagai alat Azure

Nama yang ditampilkan dan direferensikan untuk tipe next hop berbeda antara portal Azure dan alat baris perintah, serta model penyebaran resource manager dan klasik. Tabel berikut mencantumkan nama yang digunakan untuk merujuk pada setiap tipe next hop dengan berbagai alat dan model penyebaran.

Jenis hop berikutnya Azure CLI dan PowerShell (Resource Manager) CLI klasik Azure dan PowerShell (klasik)
Gateway jaringan virtual VirtualNetworkGateway VPNGateway
Jaringan virtual VNetLocal VNETLocal (tidak tersedia dalam CLI klasik dalam mode model penyebaran klasik)
internet internet Internet (tidak tersedia pada CLI klasik dalam mode penyebaran model klasik)
Perangkat virtual VirtualAppliance VirtualAppliance
Tidak Tidak Null (tidak tersedia di CLI klasik dengan model penyebaran klasik)
Jaringan virtual peering Jaringan virtual peering Tidak berlaku
Titik akhir layanan jaringan virtual VirtualNetworkServiceEndpoint Tidak berlaku

Protokol Gateway Perbatasan (BGP)

Gateway jaringan lokal dapat bertukar rute dengan gateway jaringan virtual Azure dengan menggunakan BGP. Menggunakan BGP dengan gateway jaringan virtual Azure bergantung pada jenis yang Anda pilih saat membuat gateway:

  • ExpressRoute: Anda harus menggunakan BGP untuk mengiklankan rute lokal ke router edge di pusat data Microsoft. Anda tidak dapat membuat UDR untuk memaksa lalu lintas ke gateway jaringan virtual ExpressRoute jika Anda menyebarkan gateway jaringan virtual yang disebarkan sebagai jenis ExpressRoute. Anda dapat menggunakan UDR untuk memaksa lalu lintas dari rute ekspres ke, misalnya, appliance virtual jaringan.
  • VPN: Secara opsional, Anda dapat menggunakan BGP. Untuk informasi selengkapnya, lihat BGP dengan koneksi VPN antar situs.

Saat Anda bertukar rute dengan Azure dengan menggunakan BGP, rute terpisah ditambahkan ke tabel rute semua subnet dalam jaringan virtual untuk setiap awalan yang diiklankan. Rute ditambahkan dengan Gateway jaringan virtual yang terdaftar sebagai sumber dan tipe hop selanjutnya.

Anda dapat menonaktifkan propagasi rute ExpressRoute dan Azure VPN Gateway pada subnet dengan menggunakan properti pada tabel rute. Saat Anda menonaktifkan propagasi rute, sistem tidak menambahkan rute ke tabel rute pada semua subnet yang telah menonaktifkan propagasi rute dari gateway jaringan virtual. Proses ini berlaku untuk rute statis dan rute BGP. Konektivitas dengan koneksi VPN dicapai dengan menggunakan rute kustom dengan jenis hop berikutnya dari gateway jaringan virtual. Untuk informasi selengkapnya, lihat Menonaktifkan propagasi rute gateway jaringan virtual.

Catatan

Penyebaran rute tidak boleh dinonaktifkan pada GatewaySubnet. Jika pengaturan ini dinonaktifkan, gateway tidak berfungsi.

Bagaimana Azure memilih jalur untuk penentuan rute lalu lintas

Saat lalu lintas keluar dikirim dari subnet, Azure memilih rute berdasarkan alamat IP tujuan dengan menggunakan algoritma pencocokan awalan terpanjang. Misalnya, tabel rute memiliki dua rute. Satu rute menentukan awalan alamat 10.0.0.0/24, dan rute lainnya menentukan awalan alamat 10.0.0.0/16.

Azure mengarahkan lalu lintas yang ditujukan untuk 10.0.0.5 ke jenis hop berikutnya yang ditentukan dalam rute dengan awalan alamat 10.0.0.0/24. Proses ini terjadi karena 10.0.0.0/24 adalah awalan yang lebih panjang dari 10.0.0.0/16, meskipun 10.0.0.5 berada dalam kedua awalan alamat.

Azure mengarahkan lalu lintas yang ditujukan untuk 10.0.1.5 ke jenis hop selanjutnya yang ditentukan dalam rute dengan awalan alamat 10.0.0.0/16. Proses ini terjadi karena 10.0.1.5 tidak termasuk dalam prefiks alamat 10.0.0.0/24, yang membuat rute dengan prefiks alamat 10.0.0.0/16 awalan pencocokan terpanjang.

Jika beberapa rute berisi awalan alamat yang sama, Azure memilih jenis rute berdasarkan prioritas berikut:

  1. Rute yang ditentukan pengguna

  2. Rute BGP

  3. Sistem rute

Catatan

Rute sistem untuk lalu lintas yang terkait dengan jaringan virtual, peering jaringan virtual, atau titik akhir layanan jaringan virtual adalah rute pilihan. Rute tersebut lebih disukai, bahkan jika rute BGP lebih spesifik. Rute dengan titik akhir layanan jaringan virtual sebagai tipe hop berikutnya tidak dapat diubah, bahkan ketika Anda menggunakan tabel rute.

Misalnya, tabel rute berisi rute berikut:

Sumber Awalan alamat Jenis hop berikutnya
Bawaan 0.0.0.0/0 internet
Pengguna 0.0.0.0/0 Gateway jaringan virtual

Ketika lalu lintas diarahkan ke alamat IP di luar awalan alamat dari rute lain dalam tabel rute, Azure akan memilih rute dengan sumber Pengguna. Azure membuat pilihan ini karena UDR adalah prioritas yang lebih tinggi daripada rute default sistem.

Untuk tabel perutean komprehensif dengan penjelasan rute dalam tabel, lihat Contoh Perutean.

prefiks alamat 0.0.0.0/0

Rute dengan prefiks alamat 0.0.0.0/0 memberikan instruksi ke Azure. Azure menggunakan instruksi ini untuk merutekan lalu lintas yang ditujukan untuk alamat IP yang tidak termasuk dalam awalan alamat rute lain dalam tabel rute subnet. Saat subnet dibuat, Azure membuat rute default menuju prefiks alamat 0.0.0.0/0, dengan jenis hop berikutnya Internet. Jika Anda tidak mengambil alih rute ini, Azure merutekan semua lalu lintas yang ditujukan ke alamat IP yang tidak termasuk dalam awalan alamat rute lain ke internet.

Pengecualiannya adalah bahwa lalu lintas ke alamat IP publik layanan Azure tetap berada di jaringan backbone Azure dan tidak dirutekan ke internet. Ketika Anda menggantikan rute ini dengan rute kustom, lalu lintas yang ditujukan ke alamat-alamat yang tidak termasuk dalam awalan alamat dari rute lain dalam tabel rute akan diarahkan ke rute kustom tersebut. Tujuan bergantung pada apakah Anda menentukan perangkat virtual jaringan atau gateway jaringan virtual dalam rute kustom.

Saat Anda mengambil alih prefiks alamat 0.0.0.0/0, lalu lintas keluar dari subnet mengalir melalui gateway jaringan virtual atau appliance virtual. Perubahan berikut ini juga terjadi pada perutean default Azure.

  • Azure mengirimkan seluruh trafik ke tipe hop berikutnya yang ditentukan dalam rute, termasuk trafik yang ditujukan untuk alamat IP publik layanan Azure.

    Ketika jenis hop berikutnya untuk rute dengan awalan alamat 0.0.0.0/0 adalah Internet, lalu lintas dari subnet yang ditujukan ke alamat IP publik layanan Azure tidak pernah meninggalkan jaringan backbone Azure, terlepas dari wilayah Azure tempat jaringan virtual atau sumber daya layanan Azure ada.

    Saat Anda membuat UDR atau rute BGP dengan jenis hop berikut pada gateway jaringan virtual atau appliance virtual, semua lalu lintas dikirim ke jenis hop berikut yang ditentukan dalam rute. Termasuk lalu lintas yang dikirim ke alamat IP publik layanan Azure yang tidak mengaktifkan titik akhir layanan.

    Saat Anda mengaktifkan titik akhir layanan untuk layanan, Azure membuat rute dengan awalan alamat untuk layanan tersebut. Trafik menuju layanan tidak diteruskan ke jenis hop berikutnya dalam rute dengan awalan alamat 0.0.0.0/0. Awalan alamat untuk layanan lebih panjang dari 0.0.0.0/0.

  • Anda tidak dapat lagi langsung mengakses sumber daya di subnet dari internet. Anda dapat mengakses sumber daya di subnet dari internet secara tidak langsung. Perangkat yang ditentukan oleh tipe hop berikutnya untuk rute dengan awalan alamat 0.0.0.0/0 harus memproses lalu lintas masuk. Setelah lalu lintas melintasi perangkat, lalu lintas mencapai sumber daya di jaringan virtual. Jika rute berisi nilai berikut untuk jenis hop selanjutnya:

    • Perangkat virtual: Perangkat harus:

      • Dapat diakses dari internet.
      • Memiliki alamat IP publik yang ditetapkan untuk itu.
      • Tidak memiliki aturan kelompok keamanan jaringan yang terkait dengannya yang mencegah komunikasi ke perangkat.
      • Tidak menolak komunikasi.
      • Dapat menerjemahkan dan meneruskan alamat jaringan, atau mem-proksi lalu lintas ke sumber daya tujuan di subnet dan mengembalikan lalu lintas kembali ke internet.

    • Gateway jaringan virtual: Jika gateway adalah gateway jaringan virtual ExpressRoute, perangkat di lokasi fisik yang terhubung ke internet dapat menerjemahkan dan meneruskan alamat jaringan, atau melakukan peran proksi terhadap lalu lintas ke sumber daya tujuan di subnet melalui ExpressRoute peering privat.

Jika jaringan virtual Anda terhubung ke gateway VPN Azure, jangan kaitkan tabel rute ke subnet gateway yang berisi rute dengan tujuan 0.0.0.0/0. Melakukannya dapat mencegah gateway berfungsi dengan baik. Untuk informasi selengkapnya, lihat Mengapa port tertentu dibuka di gateway VPN saya?

Untuk detail implementasi saat Anda menggunakan gateway jaringan virtual antara internet dan Azure, lihat DMZ antara Azure dan pusat data lokal Anda.

Contoh Routing

Untuk mengilustrasikan konsep dalam artikel ini, bagian berikut ini menjelaskan:

  • Skenario, dengan persyaratan.
  • Rute kustom yang diperlukan untuk memenuhi persyaratan.
  • Tabel rute yang ada untuk satu subnet yang menyertakan rute default dan kustom yang diperlukan untuk memenuhi persyaratan.

Catatan

Contoh ini tidak dimaksudkan untuk menjadi implementasi praktik yang direkomendasikan atau terbaik. Contoh disediakan hanya untuk mengilustrasikan konsep dalam artikel ini.

Persyaratan

  1. Terapkan dua jaringan virtual di wilayah Azure yang sama dan aktifkan sumber daya untuk berkomunikasi antar jaringan virtual.

  2. Aktifkan jaringan lokal untuk berkomunikasi dengan aman dengan kedua jaringan virtual melalui terowongan VPN melalui internet. Atau, Anda dapat menggunakan koneksi ExpressRoute, tetapi contoh ini menggunakan koneksi VPN.

  3. Untuk satu subnet dalam satu jaringan virtual:

    • Arahkan semua lalu lintas keluar dari subnet melalui perangkat virtual jaringan untuk inspeksi dan pencatatan. Kecualikanlah lalu lintas ke Azure Storage dan pada subnet dari perutean ini.
    • Jangan periksa lalu lintas antara alamat IP privat dalam subnet. Izinkan lalu lintas mengalir langsung di antara semua sumber daya.
    • Blokir lalu lintas keluar yang ditujukan untuk jaringan virtual lainnya.
    • Aktifkan lalu lintas keluar ke Azure Storage untuk mengalir langsung ke penyimpanan, tanpa harus melewati perangkat virtual jaringan.

  4. Izinkan semua lalu lintas antara semua subnet dan jaringan virtual lainnya.

implementasi

Diagram berikut menunjukkan implementasi melalui model penyebaran Resource Manager yang memenuhi persyaratan sebelumnya.

Diagram yang menunjukkan implementasi jaringan.

Panah menunjukkan alur lalu lintas.

Tabel rute

Berikut adalah tabel rute untuk contoh perutean sebelumnya.

Subnet1

Tabel rute untuk Subnet1 dalam diagram sebelumnya berisi rute berikut:

ID Sumber Negara Bagian Awalan alamat Jenis hop berikutnya Alamat IP hop berikutnya Nama UDR
1 Bawaan Tidak valid 10.0.0.0/16 Jaringan virtual
2 Pengguna Aktif 10.0.0.0/16 Perangkat virtual 10.0.100.4 Within-VNet1
3 Pengguna Aktif 10.0.0.0/24 Jaringan virtual Dalam-Subnet1
4 Bawaan Tidak valid 10.1.0.0/16 Jaringan virtual peering
5 Bawaan Tidak valid 10.2.0.0/16 Jaringan virtual peering
6 Pengguna Aktif 10.1.0.0/16 Tidak ToVNet2-1-Drop
7 Pengguna Aktif 10.2.0.0/16 Tidak ToVNet2-2-Drop
8 Bawaan Tidak valid 10.10.0.0/16 Gateway jaringan virtual [X.X.X.X]
9 Pengguna Aktif 10.10.0.0/16 Perangkat virtual 10.0.100.4 Ke Lokal
10 Bawaan Aktif [X.X.X.X] VirtualNetworkServiceEndpoint
11 Bawaan Tidak valid 0.0.0.0/0 internet
12 Pengguna Aktif 0.0.0.0/0 Perangkat virtual 10.0.100.4 Default-NVA

Berikut adalah penjelasan tentang setiap ID rute:

  • ID1: Azure secara otomatis menambahkan rute ini untuk semua subnet dalam Virtual-network-1 karena 10.0.0.0/16 adalah satu-satunya rentang alamat yang ditentukan dalam ruang alamat untuk jaringan virtual. Jika Anda tidak membuat UDR di rute ID2, lalu lintas yang dikirim ke alamat apa pun antara 10.0.0.1 dan 10.0.255.254 akan dirutekan dalam jaringan virtual. Proses ini terjadi karena awalan lebih panjang dari 0.0.0.0/0 dan tidak termasuk dalam awalan alamat rute lain.

    Azure secara otomatis mengubah status dari Aktif menjadi Tidak Valid, saat ID2, UDR, ditambahkan. Ini memiliki awalan yang sama dengan rute default, dan UDR menggantikan rute default. Status rute ini masih Aktif untuk Subnet2 karena tabel rute yang UDR, ID2, tidak terkait dengan Subnet2.

  • ID2: Azure menambahkan rute ini ketika UDR untuk awalan alamat 10.0.0.0/16 dikaitkan dengan subnet Subnet1 dalam jaringan virtual Virtual-network-1. UDR menetapkan 10.0.100.4 sebagai alamat IP appliance virtual karena alamat ini adalah alamat IP privat yang ditetapkan ke mesin virtual appliance tersebut. Tabel rute tempat rute ini ada tidak terkait dengan Subnet2, sehingga rute tidak muncul di tabel rute untuk Subnet2.

    Rute ini menimpa rute default untuk prefiks 10.0.0.0/16 (ID1), yang secara otomatis merutekan lalu lintas yang ditujukan ke 10.0.0.1 dan 10.0.255.254 dalam jaringan virtual melalui jaringan virtual jenis hop berikutnya. Jalur ini ada untuk memenuhi persyaratan 3, yaitu untuk memaksa semua lalu lintas keluar melalui perangkat virtual.

  • ID3: Azure menambahkan rute ini saat UDR untuk awalan alamat 10.0.0.0/24 dikaitkan dengan subnet Subnet1 . Lalu lintas yang ditujukan untuk alamat antara 10.0.0.1 dan 10.0.0.254 tetap berada dalam subnet. Lalu lintas tidak dirutekan ke perangkat virtual yang tertera pada aturan sebelumnya (ID2) karena memiliki prefiks yang lebih panjang daripada rute ID2.

    Rute ini tidak dikaitkan dengan Subnet2, sehingga tidak muncul dalam tabel rute untuk Subnet2. Rute ini secara efektif menggantikan rute ID2 untuk lalu lintas dalam Subnet1. Rute ini ada untuk memenuhi persyaratan 3.

  • ID4: Azure secara otomatis menambahkan rute di ID 4 dan 5 untuk semua subnet dalam Virtual-network-1 saat jaringan virtual di-peering dengan Virtual-network-2.Virtual-network-2 memiliki dua rentang alamat di ruang alamatnya, 10.1.0.0/16 dan 10.2.0.0/16, sehingga Azure menambahkan rute untuk setiap rentang. Jika Anda tidak membuat UDR di ID rute 6 dan 7, lalu lintas yang dikirim ke alamat apa pun antara 10.1.0.1-10.1.255.254 dan 10.2.0.1-10.2.255.254 dirutekan ke jaringan virtual yang di-peering. Proses ini terjadi karena awalan lebih panjang dari 0.0.0.0/0 dan tidak termasuk dalam awalan alamat rute lain.

    Saat Anda menambahkan rute di ID 6 dan 7, Azure secara otomatis mengubah status dari Aktif menjadi Tidak Valid. Proses ini terjadi karena mereka memiliki awalan yang sama dengan rute dalam ID 4 dan 5, dan UDR mengambil alih rute default. Status rute dalam ID 4 dan 5 masih Aktif untuk Subnet2 karena tabel rute di mana UDR dalam ID 6 dan 7 tidak terkait dengan Subnet2. Peering jaringan virtual telah dibuat untuk memenuhi syarat 1.

  • ID5: Penjelasannya sama dengan ID4.

  • ID6: Azure menambahkan rute ini dan rute di ID7 saat UDRs untuk prefiks alamat 10.1.0.0/16 dan 10.2.0.0/16 dikaitkan dengan subnet Subnet1. Azure menghentikan lalu lintas yang ditujukan untuk alamat antara 10.1.0.1-10.1.255.254 dan 10.2.0.1-10.2.255.254, bukan diarahkan ke jaringan virtual yang saling terhubung, karena UDR (User-Defined Route) mengambil alih rute default. Rute ini tidak terkait dengan Subnet2, sehingga rute tidak muncul dalam tabel rute untuk Subnet2. Rute tersebut menggantikan rute ID4 dan ID5 untuk lalu lintas yang meninggalkan Subnet1. Rute ID6 dan ID7 ada untuk memenuhi persyaratan 3 untuk melepaskan lalu lintas yang ditujukan ke jaringan virtual lainnya.

  • ID7: Penjelasannya sama dengan ID6.

  • ID8: Azure otomatis menambahkan rute ini untuk semua subnet dalam Virtual-network-1 saat gateway jaringan virtual jenis VPN dibuat dalam jaringan virtual. Azure menambahkan alamat IP publik gateway jaringan virtual ke tabel rute. Lalu lintas yang dikirim ke alamat mana pun antara 10.10.0.1 dan 10.10.255.254 dirutekan ke gateway jaringan virtual. Prefiks lebih panjang dari 0.0.0.0/0 dan tidak dalam prefiks alamat dari rute lain mana pun. Gateway jaringan virtual dibuat untuk memenuhi persyaratan 2.

  • ID9: Azure menambahkan rute ini saat UDR untuk awalan alamat 10.10.0.0/16 ditambahkan ke tabel rute yang terkait dengan Subnet1. Rute ini menggantikan ID8. Rute mengirimkan semua lalu lintas yang ditujukan untuk jaringan di lokasi ke perangkat virtual jaringan untuk diperiksa, alih-alih merutekan lalu lintas langsung ke lokasi. Rute ini dibuat untuk memenuhi persyaratan 3.

  • ID10: Azure otomatis menambahkan rute ini ke subnet saat titik akhir layanan ke layanan Azure diaktifkan untuk subnet. Azure merutekan lalu lintas dari subnet ke alamat IP publik layanan melalui jaringan infrastruktur Azure. Prefiks lebih panjang dari 0.0.0.0/0 dan tidak dalam prefiks alamat dari rute lain mana pun. Titik akhir layanan dibuat untuk memenuhi persyaratan 3 untuk memungkinkan lalu lintas yang ditujukan agar Azure Storage mengalir langsung ke Azure Storage.

  • ID11: Azure otomatis menambahkan rute ini ke tabel rute semua subnet dalam Virtual-network-1 dan Virtual-network-2. Awalan alamat 0.0.0.0/0 adalah awalan terpendek. Setiap lalu lintas yang dikirim ke alamat dalam prefiks alamat yang lebih panjang dirutekan berdasarkan rute lain.

    Secara default, Azure merutekan semua lalu lintas yang ditujukan untuk alamat selain alamat yang ditentukan di salah satu rute lain ke internet. Azure secara otomatis mengubah status dari Aktif ke Tidak Valid untuk subnet Subnet1 saat UDR untuk awalan alamat 0.0.0.0/0 (ID12) dikaitkan dengan subnet. Status rute ini masih Aktif untuk semua subnet lain dalam kedua jaringan virtual karena rute tidak terkait dengan subnet lain dalam jaringan virtual lainnya.

  • ID12: Azure menambahkan rute ini saat UDR untuk awalan alamat 0.0.0.0/0 dikaitkan dengan subnet Subnet1 . UDR menentukan 10.0.100.4 sebagai alamat IP appliance virtual. Rute ini tidak dikaitkan dengan Subnet2, sehingga rute tidak muncul dalam tabel rute untuk Subnet2. Semua lalu lintas untuk setiap alamat yang tidak termasuk dalam prefiks alamat dari rute lain mana pun dikirim ke perangkat virtual.

    Penambahan rute ini mengubah status rute default untuk prefiks alamat 0.0.0.0/0 (ID11) dari Aktif menjadi Tidak Valid untuk Subnet1 karena UDR mengambil alih rute default. Rute ini ada untuk memenuhi persyaratan 3.

Subnet2

Tabel rute untuk Subnet2 dalam diagram sebelumnya berisi rute berikut:

Sumber Negara Bagian Awalan alamat Jenis hop berikutnya Alamat IP hop berikutnya
Bawaan Aktif 10.0.0.0/16 Jaringan virtual
Bawaan Aktif 10.1.0.0/16 Jaringan virtual peering
Bawaan Aktif 10.2.0.0/16 Jaringan virtual peering
Bawaan Aktif 10.10.0.0/16 Gateway jaringan virtual [X.X.X.X]
Bawaan Aktif 0.0.0.0/0 internet
Bawaan Aktif 10.0.0.0/8 Tidak
Bawaan Aktif 100.64.0.0/10 Tidak
Bawaan Aktif 192.168.0.0/16 Tidak

Tabel rute untuk Subnet2 berisi semua rute default yang dibuat oleh Azure dan rute opsional peering jaringan virtual serta rute opsional gateway jaringan virtual. Azure menambahkan rute opsional ke semua subnet di jaringan virtual saat gateway dan peering ditambahkan ke jaringan virtual.

Azure menghapus rute untuk prefiks alamat 10.0.0.0/8, 192.168.0.0/16, dan 100.64.0.0/10 dari tabel rute Subnet1 saat UDR untuk awalan alamat 0.0.0.0/0 ditambahkan ke Subnet1.

Konten terkait

  • Last updated on