Gestione centralizzata della rete con gestione rete virtuale di Azure

gestione rete virtuale di Azure gruppi, configura, distribuisce e gestisce le reti virtuali su larga scala tra sottoscrizioni. Invece di configurare ogni rete virtuale singolarmente, definire la finalità di gestione centralmente e gestione rete virtuale di Azure la applica in modo coerente nell'ambiente. Definire l'ambito di un'istanza di gestione rete virtuale di Azure a un gruppo di gestione o una sottoscrizione e gestire tutte le reti virtuali all'interno di tale ambito tramite un singolo piano di controllo.

Questo articolo illustra le quattro funzionalità principali di gestione rete virtuale di Azure: gruppi di rete, configurazioni di connettività, regole di amministrazione della sicurezza e gestione degli indirizzi IP. Descrive anche come usarli insieme per gestire la topologia di rete, applicare le baseline di sicurezza e prevenire conflitti di indirizzi IP nell'organizzazione.

Informazioni su questo articolo

Questo articolo illustra la governance centralizzata della rete usando gestione rete virtuale di Azure. Vengono fornite informazioni su:

• Gruppi di rete che organizzano le reti virtuali in base all'appartenenza statica o dinamica.
• Configurazioni di connettività che automatizzano topologie hub-spoke e mesh.
• Regole di amministrazione della sicurezza che applicano criteri di sicurezza a livello di organizzazione e hanno la precedenza sulle regole del gruppo di sicurezza di rete.
• IPAM che alloca intervalli di indirizzi IP non sovrapposti tra le sottoscrizioni.
• Modello di commit e distribuzione che controlla quando le configurazioni diventano effettive.
• Come decidere quando gestione rete virtuale di Azure è l'approccio di gestione appropriato per l'ambiente.

Chi ha bisogno di questo articolo

Usare gestione rete virtuale di Azure quando l'organizzazione ha uno o più dei requisiti seguenti:

• Scalabilità oltre la gestione manuale: È possibile gestire più di 10 reti virtuali e automatizzare il peering, le modifiche alla topologia e le baseline di sicurezza anziché configurare singolarmente ogni rete virtuale.
• Criteri di sicurezza coerenti: È necessario applicare regole di sicurezza a livello di organizzazione che i team locali non possono eseguire l'override, ad esempio bloccando le porte ad alto rischio o mandando il flusso del traffico attraverso un firewall.
• Governance tra sottoscrizioni: Le reti virtuali si estendono su più sottoscrizioni o gruppi di gestione ed è necessaria una visualizzazione unificata della topologia di rete e dell'utilizzo degli indirizzi IP.
• Prevenzione dei conflitti di indirizzi IP: I team creano in modo indipendente le reti virtuali ed è necessario un meccanismo di allocazione centrale che garantisce spazi di indirizzi non sovrapposti.
• Manutenzione automatizzata della topologia: Distribuisci spesso nuove reti virtuali e hai bisogno che si uniscano automaticamente alla topologia corretta (hub-spoke o mesh) senza peering manuale.

Le organizzazioni con meno di 10 reti virtuali in una singola sottoscrizione possono in genere gestire manualmente il peering, le regole del gruppo di sicurezza di rete e gli indirizzi IP. Questi ambienti in genere non richiedono la complessità aggiuntiva di uno strumento di gestione centralizzato.

Focus su lift-and-shift: i progetti di rehosting di piccole dimensioni possono gestire manualmente il peering e i gruppi di sicurezza di rete. Adottate AVNM quando il vostro ambiente migrato supera all’incirca le 10 reti virtuali.

Focus sulla modernizzazione: usare AVNM per applicare configurazioni coerenti di connettività e sicurezza tra molti spoke e sottoscrizioni man mano che si ridimensionano carichi di lavoro PaaS attivi.

Focus multi-cloud: usare AVNM per imporre gruppi di rete coerenti e regole di amministrazione della sicurezza in tutta l'infrastruttura Azure che si connette agli altri cloud e alle filiali.

funzionalità di gestione rete virtuale di Azure

gestione rete virtuale di Azure offre quattro funzionalità che interagiscono per offrire la governance centralizzata della rete.

Gruppi di rete

I gruppi di rete sono contenitori logici che organizzano le reti virtuali per l'applicazione dei criteri. Definire le reti virtuali che appartengono a un gruppo. Si applicano quindi le configurazioni (connettività o sicurezza) all'intero gruppo contemporaneamente.

I gruppi di rete supportano due metodi di appartenenza:

Method	Come funziona	Ideale per
Appartenenza statica	È possibile aggiungere manualmente singoli ID risorsa di rete virtuale. Le modifiche diventano effettive immediatamente.	Ambienti di piccole dimensioni, eccezioni o distribuzioni pilota
Appartenenza dinamica	Criteri di Azure valuta le condizioni (modelli di nomi, tag, sottoscrizione o gruppo di risorse) e aggiunge o rimuove automaticamente le reti virtuali. Usa la modalità dei criteri Microsoft.Network.Data con l'effetto addToNetworkGroup.	Ambienti di grandi dimensioni in cui vengono create ed eliminate di frequente le reti virtuali

Combinare entrambi i metodi in un singolo gruppo di rete. L'appartenenza dinamica non richiede una nuova distribuzione quando le reti virtuali entrano a far parte del gruppo o ne escono, perché Criteri di Azure valuta continuamente le condizioni e aggiorna l'appartenenza.

Note

I criteri di appartenenza dinamica vengono mantenuti in Criteri di Azure anche se si elimina l'istanza di gestione rete virtuale di Azure. Rimuovere questi criteri manualmente per evitare assegnazioni di criteri orfani.

Configurazioni di connettività

Le configurazioni di connettività definiscono la topologia di rete per un gruppo di reti virtuali. gestione rete virtuale di Azure supporta due topologie:

• Topologia hub-spoke: Una rete virtuale hub centrale è connessa a tutte le reti virtuali spoke nel gruppo. Il traffico spoke-to-spoke viene instradato attraverso l'hub per impostazione predefinita. Facoltativamente, è possibile abilitare la connettività diretta tra i spoke, creando una topologia mesh all'interno del gruppo di spoke ed eliminando il passaggio tramite l'hub per il traffico tra spoke. L'hub può fungere da gateway per il transito VPN ed ExpressRoute.
• Topologia mesh: Tutte le reti virtuali nel gruppo si connettono in modo bidirezionale senza un hub centrale. gestione rete virtuale di Azure usa gruppi connessi (non i peering tradizionali) per stabilire la connettività mesh. La mesh a livello di area geografica connette reti virtuali all'interno di un'area geografica. La rete globale estende la connettività tra aree.

Distribuire più configurazioni di connettività contemporaneamente in un'area. Sono additivi. È anche possibile riutilizzare i peering manuali esistenti senza interrompere la connettività corrente durante la migrazione.

Regole di amministrazione della sicurezza

Le regole di amministrazione della sicurezza forniscono un'applicazione della sicurezza a livello di organizzazione che ha la precedenza sulle regole del gruppo di sicurezza di rete . Queste regole vengono definite centralmente. gestione rete virtuale di Azure quindi li applica a tutte le reti virtuali nel gruppo di rete di destinazione.

gestione rete virtuale di Azure valuta le regole di amministratore della sicurezza prima delle regole del gruppo di sicurezza di rete. Il comportamento dipende dal tipo di azione:

Action	Comportamento di valutazione	Caso di utilizzo
Nega	Blocca immediatamente il traffico. Le regole NSG non vengono mai valutate.	Applicare blocchi a livello di organizzazione (ad esempio, bloccare SSH in ingresso da Internet)
Consenti sempre	Consente immediatamente il traffico. Le regole NSG non vengono mai valutate.	Garantire l'accesso per il traffico di gestione critico indipendentemente dalla configurazione del gruppo di sicurezza di rete locale
Consenti	Invia il traffico alla valutazione NSG. Gli NSG possono comunque bloccare il traffico.	Consentire le categorie di traffico consentendo ai team di applicare restrizioni aggiuntive

Le regole di amministrazione della sicurezza usano un intervallo di priorità compreso tra 1 e 4.096 (il numero inferiore è uguale a priorità più alta). Una sola configurazione dell'amministratore della sicurezza può essere attiva per ogni area per ogni istanza di Network Manager.

Importante

Le regole di amministrazione della sicurezza non si applicano agli endpoint privati nelle reti virtuali gestite. Alcune subnet sono esentate, tra cui gateway applicazione di Azure, Azure Bastion, Firewall di Azure, Server di route Azure, Gateway VPN, rete WAN virtuale e subnet del gateway ExpressRoute.

Le regole di amministrazione della sicurezza usano un modello di coerenza finale: si verifica un breve ritardo prima che le regole si applichino alle risorse appena create all'interno dell'ambito.

Gestione degli indirizzi IP

IPAM offre la pianificazione e l'allocazione centralizzate degli indirizzi IP. Si creano pool di indirizzi e gestione rete virtuale di Azure assegna automaticamente blocchi CIDR non sovrapposti alle reti virtuali. Questo approccio impedisce i conflitti di spazio degli indirizzi che si verificano quando i team allocano gli indirizzi in modo indipendente. Gli utenti possono creare o modificare reti virtuali all'esterno delle allocazioni del pool di Gestione indirizzi IP, ad esempio quando assegnano direttamente lo spazio indirizzi. In questi casi, utilizzare Criteri di Azure per garantire la conformità a IPAM e contribuire a prevenire l'assegnazione non autorizzata di indirizzi.

Funzionalità principali di IPAM:

• Pool gerarchici: Crea pool principali e fino a sette livelli di pool secondari per definire una struttura organizzativa, ad esempio per area geografica, business unit o ambiente.
• Allocazione automatica senza sovrapposizioni: Quando una rete virtuale richiede un intervallo di indirizzi da un pool, IPAM garantisce che non vi siano sovrapposizioni con altre allocazioni all’interno della stessa gerarchia di pool.
• Supporto IPv4 e IPv6: Gestire entrambe le famiglie di indirizzi in un modello di allocazione unificato.
• Pool tra aree: Un singolo pool può allocare indirizzi alle reti virtuali in più aree.
• Riciclo CIDR rilasciato: Quando si elimina una risorsa, il CIDR allocato torna al pool per il riutilizzo.
• Autorizzazioni delegabili: Concedi il ruolo Utente del pool IPAM ai team che devono utilizzare indirizzi senza gestire le definizioni dei pool.

IPAM è sempre disponibile in qualsiasi istanza di gestione rete virtuale di Azure, indipendentemente dal fatto che vengano abilitate la connettività o le funzionalità di sicurezza.

Come scegliere l'approccio di gestione

Usare i criteri decisionali seguenti per determinare se gestione rete virtuale di Azure è appropriato per l'ambiente:

Scala dell'ambiente	Approccio consigliato
Meno di 10 VNet in una singola sottoscrizione	Gestione manuale: configurare individualmente peering, gruppi di sicurezza di rete (NSG) e indirizzi IP
10–50 reti virtuali tra sottoscrizioni	gestione rete virtuale di Azure con configurazioni di connettività e gruppi di rete per l'automazione della topologia
50+ reti virtuali tra gruppi di gestione	gestione rete virtuale di Azure completo: tutte e quattro le funzionalità (gruppi di rete, connettività, regole di amministrazione della sicurezza e Gestione indirizzi IP)
La governance della sicurezza è necessaria indipendentemente dalle dimensioni	Aggiungere regole di amministrazione della sicurezza quando i soli NSG non offrono una protezione sufficiente contro le modifiche locali

Con e senza gestione rete virtuale di Azure

Area di gestione	Senza AVNM	Con AVNM
Peering	Crea manualmente un peering bidirezionale per ogni coppia di VNet	Le configurazioni di connettività automatizzano il peering per interi gruppi
Modifiche alla topologia	Aggiornare ciascun peering singolarmente quando cambia la topologia	Modificare la configurazione e ridistribuire. Tutte le VNet nel gruppo sono aggiornate.
Baseline di sicurezza	Applicare le regole del gruppo di sicurezza di rete per ogni subnet; gli amministratori locali possono modificare o rimuovere	Applicare centralmente le regole di amministrazione della sicurezza e non consentirne la sovrascrittura (Nega/Consenti sempre)
Pianificazione degli indirizzi IP	Utilizzare un foglio di calcolo o un rilevamento manuale; rischio di sovrapposizione	Usare pool di IPAM con allocazione automatica di CIDR non sovrapposti
Introduzione di una nuova rete virtuale	Creare manualmente i peering, applicare gruppi di sicurezza di rete, assegnare indirizzi IP	L'appartenenza dinamica aggiunge automaticamente la rete virtuale al gruppo; le configurazioni si applicano alla distribuzione successiva
Visibilità tra sottoscrizioni	Limitato alle visualizzazioni per sottoscrizione	Visualizzazione unificata di tutte le reti virtuali nell’ambito di applicazione (gruppo di gestione o sottoscrizione)

Considerazioni relative alla progettazione

Focus sulla progettazione AVNM lift-and-shift

• Per un piccolo ambiente sottoposto a rehosting (con meno di circa 10 reti virtuali all’interno di una sottoscrizione), il peering manuale e la gestione degli NSG sono di norma sufficienti.
• Adottare AVNM quando le ondate di migrazione portano oltre quella soglia, in modo che i nuovi spoke vengano aggiunti automaticamente alla topologia hub anziché tramite configurazioni di peering manuali.
• Usare la funzionalità di gestione degli indirizzi IP di AVNM per tenere traccia delle allocazioni man mano che si suddividono subnet dal CIDR della landing zone.
• Introdurre gradualmente le regole di sicurezza amministrative di AVNM, in modo che si integrino con i gruppi di sicurezza di rete (NSG) esistenti per ogni subnet e non entrino in conflitto con essi.

Modernizzazione del focus progettuale di AVNM

• Usare i gruppi di rete AVNM e le configurazioni di connettività per applicare in modo coerente la topologia hub-spoke o mesh su numerosi spoke modernizzati.
• Imporre regole di amministrazione della sicurezza valide per l'intera organizzazione (che i team delle app non possono ignorare) per garantire che il traffico passi attraverso il firewall dell'hub.
• Combinare l'appartenenza dinamica ai gruppi con la separazione tra sottoscrizioni e RBAC, in modo che i nuovi spoke dei team applicativi ereditino automaticamente i criteri di piattaforma.
• Utilizza i pool IPAM per garantire uno spazio di indirizzi non sovrapposto tra le regioni primarie e di backup.

Focus sulla progettazione AVNM multi-cloud

• Usare AVNM per mantenere una visualizzazione unificata della topologia e dell'utilizzo ip tra le reti Azure che interconnettono i cloud e i rami.
• Applicare le regole di amministrazione della sicurezza in modo centralizzato, in modo che il traffico tra cloud e rami venga instradato in modo coerente attraverso hub controllati.
• Usa IPAM per mantenere lo spazio di indirizzi di Azure senza sovrapposizioni con i VPC AWS e le reti Google Cloud in tutte le regioni.
• Automatizza l'appartenenza alla topologia in modo che le nuove regioni di Azure che aggiungi durante la migrazione al cloud entrino nella progettazione corretta di rete WAN virtuale o hub.

Prerequisiti

Prima di distribuire gestione rete virtuale di Azure:

• Selezione dell'ambito: creare un'istanza di gestione rete virtuale di Azure con ambito di un gruppo di gestione o di una sottoscrizione. L'ambito definisce il limite delle risorse che l'istanza può gestire. Quando si seleziona un gruppo di gestione, si includono automaticamente tutte le sottoscrizioni figlie.
• Autorizzazioni: Assegnare il ruolo Collaboratore rete all'ambito appropriato (gruppo di gestione o sottoscrizione) agli utenti che gestiscono le configurazioni gestione rete virtuale di Azure.
• Supporto per l'area: Verificare che le reti virtuali di destinazione si trovino in aree che supportano gestione rete virtuale di Azure.
• Flusso di lavoro di distribuzione: Comprendere il modello di commit e distribuzione: le configurazioni non diventano effettive finché non vengono distribuite in modo esplicito in un'area di destinazione. Quando si esegue la distribuzione, includere tutte le configurazioni desiderate per tale area. La distribuzione usa un modello di stato obiettivo in cui rimangono attive solo le configurazioni incluse in modo esplicito.
• Evitare conflitti: Non creare più istanze di gestione rete virtuale di Azure con ambiti sovrapposti che gestiscono le stesse funzionalità. In caso di conflitto, il gestore di rete con ambito superiore ha la precedenza.

Note

Il modello commit-and-deploy fornisce un meccanismo di sicurezza. Esaminare le modifiche di configurazione, convalidare con Network Verifier e quindi distribuirli quando sono pronti. Se si verifica un'interruzione dell'area di un gestore di rete, le configurazioni già distribuite rimangono effettive sulle reti virtuali di destinazione.

Considerazioni relative alla sicurezza

Le regole di amministrazione della sicurezza creano una separazione dei compiti tra la governance della rete centrale e i team del carico di lavoro locali:

• Modello con applicazione predefinita: Usa le regole Nega per bloccare il traffico che non dovrebbe mai essere consentito, indipendentemente dai requisiti del carico di lavoro. Esempi comuni includono il blocco di RDP o SSH in ingresso da Internet e il blocco del traffico a intervalli IP dannosi noti.
• Percorsi di accesso garantiti: Usa le regole "Consenti sempre" per assicurarti che il traffico di gestione critico, ad esempio le probe di integrità della piattaforma Azure o gli agenti di monitoraggio, raggiunga le risorse anche se una configurazione errata di un NSG locale lo bloccherebbe altrimenti.
• Difesa a più livelli: usare le regole Consenti per le categorie di traffico per cui si desidera consentire il traffico, lasciando ai team responsabili dei carichi di lavoro la possibilità di applicare ulteriori restrizioni NSG in base ai propri requisiti specifici.
• Audit trail: Azure registra tutte le distribuzioni delle regole di amministrazione della sicurezza come operazioni sulle risorse. Esamina la cronologia della distribuzione e le modifiche alla configurazione tramite il Registro attività di Azure.
• Convalida della distribuzione: Usare Verifica di rete per convalidare la connettività tra le risorse all'interno dell'ambito gestione rete virtuale di Azure prima di distribuire le modifiche di configurazione nell'ambiente di produzione.

Articoli correlati

• Topologia di rete hub-spoke: gestione rete virtuale di Azure automatizza il peering hub-spoke e supporta l'hub come gateway per la connettività di transito.
• Topologia di rete di rete WAN virtuale: gestione rete virtuale di Azure offre un'alternativa per le organizzazioni che preferiscono un'architettura hub-and-spoke personalizzata rispetto ad rete WAN virtuale di Azure.
• Pianificazione degli indirizzi IP: IPAM estende la pianificazione IP centralizzata con allocazione automatica senza sovrapposizioni tra le sottoscrizioni.
• Gruppi di sicurezza di rete e ASG: le regole di amministrazione della sicurezza applicano baseline di sicurezza valide per l'intera organizzazione che hanno la precedenza sulle regole dei gruppi di sicurezza di rete.
• Monitoraggio e osservabilità della rete: associare la gestione centralizzata con il monitoraggio centralizzato nell'ambiente di rete virtuale.

Ulteriori informazioni

• Panoramica di Gestione rete virtuale di Azure
• Regole di amministrazione della sicurezza
• Panoramica della gestione degli indirizzi IP

Passaggi successivi

Tip

Esplorazione da sola? Tornare allo strumento di navigazione di panoramica per trovare l'articolo successivo in base alla funzionalità.

È stato completato il percorso di rete lift-and-shift. La rete Azure è completamente progettata, protetta e gestita.

Tornare alla panoramica: esplorare altre funzionalità, esaminare un altro scenario o ottenere altri dettagli su servizi specifici.

È stato completato il percorso di rete di modernizzazione. La rete Azure è completamente progettata, protetta e gestita.

Tornare alla panoramica: esplorare altre funzionalità, esaminare un altro scenario o ottenere altri dettagli su servizi specifici.

Hai completato il percorso di networking tra cloud. La rete Azure è completamente progettata, protetta e gestita.

Tornare alla panoramica: esplorare altre funzionalità, esaminare un altro scenario o ottenere altri dettagli su servizi specifici.