Pianificazione degli indirizzi IP per le reti virtuali Azure

Questo articolo illustra la pianificazione degli indirizzi IP privati e pubblici per le distribuzioni di Azure. Si apprenderà come allocare lo spazio degli indirizzi, evitare intervalli sovrapposti, scegliere il tipo di IP pubblico corretto e valutare il supporto dual-stack IPv6.

Informazioni su questo articolo

Questo articolo illustra le strategie di allocazione degli indirizzi privati, i tipi ip pubblici e gli SKU, la pianificazione CIDR per evitare intervalli sovrapposti, considerazioni su doppio stack IPv6 e Gestione indirizzi IP per ambienti su larga scala.

Chi ha bisogno di questo articolo

Leggere questo articolo se:

  • Si sta distribuendo una rete virtuale (VNet) in Azure e si deve decidere quali intervalli di indirizzi IP utilizzare.
  • Si stanno connettendo reti Azure ad ambienti locali e occorre evitare conflitti di indirizzi.
  • È necessario scegliere tra indirizzi IP pubblici standard, prefissi IP pubblici o portare intervalli IP personalizzati (BYOIP).
  • Vuoi capire quando la configurazione dual-stack IPv6 è indicata per i tuoi carichi di lavoro.
  • La gestione di un ambiente di grandi dimensioni o in crescita richiede una strategia per tenere traccia delle allocazioni IP su larga scala.

Focus su lift-and-shift: scegliere intervalli privati che non si sovrappongono alla rete locale in modo che il routing VPN o ExpressRoute funzioni senza traduzione. Riservare un unico grande blocco di landing zone con spazio sufficiente per i carichi di lavoro che verranno migrati nei prossimi anni.

Focus sulla modernizzazione: pianificare uno spazio di indirizzi non sovrapposto tra le aree primarie e di backup, in modo che i carichi di lavoro attivo-attivo possano essere connessi tramite peering in un secondo momento, e riservare subnet di dimensioni appropriate per l'ambiente del servizio app e AKS.

Focus sul multi-cloud: Creare un piano di indirizzamento globale che non entri in conflitto con gli intervalli CIDR esistenti di AWS VPC o Google Cloud, operazione obbligatoria prima di collegare i cloud tramite VPN o interconnessione.

Azure servizi e funzionalità

I servizi e le funzionalità seguenti supportano la pianificazione degli indirizzi IP in Azure:

Servizio o funzionalità Elementi forniti Quando usarlo
spazi di indirizzamento privati RFC 1918 Tre intervalli riservati per uso privato: 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. Azure reti virtuali usano questi intervalli per la comunicazione interna. Sempre: ogni VNet richiede almeno un intervallo di indirizzi privati tra questi spazi.
RFC 6598 spazio indirizzi condiviso 100.64.0.0/10: considerato come spazio indirizzi privato in Azure. Originariamente progettato per ambienti NAT di classe carrier (CGNAT). Quando l'organizzazione usa già intervalli RFC 6598 in locale o quando lo spazio RFC 1918 è esaurito.
IP pubblico standard Indirizzo IP pubblico statico con ridondanza della zona assegnato a una singola risorsa. Sicuro per impostazione predefinita con traffico in ingresso bloccato. Quando una risorsa richiede un endpoint pubblico univoco, ad esempio un servizio di bilanciamento del carico, un gateway VPN o una macchina virtuale pubblica.
Prefisso IP pubblico Blocco contiguo riservato di indirizzi IP pubblici da un'area di Azure specifica. Quando servono intervalli IP prevedibili per NAT Gateway, set di scalabilità di macchine virtuali o per l'aggiunta esterna a un elenco approvato.
BYOIP/Prefisso IP personalizzato Importa i tuoi intervalli di IP pubblici in Azure. Usare un processo in tre fasi: verificare la proprietà, eseguire il provisioning del prefisso e metterlo in servizio. Quando è necessario mantenere la reputazione IP esistente, mantenere voci di elenco approvate esterne o eseguire la migrazione dei carichi di lavoro senza modificare gli indirizzi IP pubblici.
gestione rete virtuale di Azure IPAM Una funzionalità integrata di gestione degli indirizzi IP in gestione rete virtuale di Azure. Disponibile a livello generale nella maggior parte delle aree. Fornisce visibilità centralizzata e rilevamento dell'allocazione tra sottoscrizioni. Quando si gestiscono molte VNet in più sottoscrizioni ed è necessario monitorare automaticamente l'utilizzo degli indirizzi. Vedere Gestione centralizzata della rete.

Come scegliere

Usare le tabelle decisionali seguenti per guidare le decisioni relative alla pianificazione IP.

Procedure consigliate per la pianificazione IP

Pratica Perché Example
Allocare un ampio blocco CIDR principale (/16) e suddividerlo Impedisce l'esaurimento degli indirizzi man mano che i carichi di lavoro aumentano. Più facile riassumere i percorsi. Assegna 10.1.0.0/16 all'ambiente di produzione, quindi suddividilo in sottoreti /24 per ogni livello di carico di lavoro.
Lasciare almeno un margine di capacità del 30% in ogni subnet I servizi di ridimensionamento come set di scalabilità di macchine virtuali, AKS e App Service Environment consumano rapidamente indirizzi IP durante le operazioni di ridimensionamento orizzontale. Una subnet /24 fornisce 251 indirizzi IP utilizzabili. Se la tua distribuzione iniziale usa 100, hai margine per triplicare.
Usare blocchi CIDR contigui per ogni ambiente Semplifica il riepilogo delle route e le regole del firewall. Un singolo percorso di riepilogo rappresenta l'intero ambiente. Produzione: 10.1.0.0/16. Staging: 10.2.0.0/16. Sviluppo: 10.3.0.0/16.
Evitare gli intervalli riservati dalla piattaforma Azure e non consentiti L'uso di intervalli riservati causa errori di routing ed errori di distribuzione. Non assegnare 169.254.0.0/16, 168.63.129.16/32, 224.0.0.0/4, 127.0.0.0.0/8 o 255.255.255.255/32.
Documentare le allocazioni in Azure IPAM o in un foglio di calcolo Impedisce la sovrapposizione man mano che l'ambiente cresce. Centralizza la visibilità per i team di rete. Usa IPAM di gestione rete virtuale di Azure per il monitoraggio automatico oppure mantieni un foglio di calcolo condiviso per gli ambienti più piccoli.

Diagramma che mostra come uno spazio indirizzi della rete virtuale sia suddiviso in subnet ridimensionate per i livelli di carico di lavoro e i servizi della piattaforma dedicati, ad esempio gateway, firewall e Bastion.

Tipi di indirizzi IP pubblici

Type Che cos'è Quando usarlo
IP pubblico standard Ip pubblico statico assegnato singolarmente. Con ridondanza della zona per impostazione predefinita nelle aree geografiche abilitate per le zone di disponibilità. Sicuro per impostazione predefinita: tutto il traffico in ingresso è bloccato finché una regola NSG o del servizio di bilanciamento del carico non lo consente. Servizi di bilanciamento del carico pubblici, gateway VPN, Azure Bastion, gateway applicazione o qualsiasi risorsa che necessita di un endpoint pubblico univoco.
Prefisso IP pubblico Blocco contiguo riservato di indirizzi IP pubblici da un'area specifica. Garantisce indirizzi sequenziali. Gateway NAT (richiede un prefisso per più IP in uscita), set di scalabilità di macchine virtuali oppure quando i sistemi esterni devono inserire in un elenco approvato un intervallo prevedibile di IP.
BYOIP/Prefisso IP personalizzato Intervalli di IP pubblici di proprietà del cliente integrati in Azure tramite un processo in tre fasi: convalida, provisioning e messa in servizio. Commissione prefissi regionali in circa 30 minuti; i prefissi globali richiedono 3-4 ore. Mantenere la reputazione IP durante la migrazione cloud, mantenere voci di elenco approvate esterne o soddisfare i requisiti normativi per la proprietà IP. Gli indirizzi IP derivati da un prefisso IP personalizzato possono anche usare Azure protezione DDoS.

Note

Gli INDIRIZZI IP pubblici dello SKU Basic sono stati ritirati il 30 settembre 2025. Gli indirizzi IP basic esistenti continuano a funzionare, ma non sono supportati e non hanno contratto di servizio. Eseguire l'aggiornamento allo SKU Standard per tutte le nuove distribuzioni.

Decisione IPv6

Scenario Raccomandazione Motivazione
Il carico di lavoro serve solo i client IPv4, senza requisiti IPv6 normativi Solo IPv4 Configurazione più semplice. Evita la complessità di gestione di uno stack doppio. La maggior parte dei servizi Azure supporta in modo nativo IPv4.
Il carico di lavoro deve servire i client IPv6 o le normative richiedono il supporto IPv6 Dual-stack (IPv4 + IPv6) Le macchine virtuali di Azure supportano le subnet a doppio stack. Distribuire IPv6 insieme a IPv4 nelle stesse risorse.
Il carico di lavoro richiede IPv6, ma si basa su Firewall di Azure, rete WAN virtuale o server di route Solo IPv4 (con terminazione IPv6 esterna) Firewall di Azure, rete WAN virtuale e Server di route non supportano attualmente IPv6. Terminare IPv6 in un servizio di bilanciamento del carico esterno o in un dispositivo perimetrale prima che il traffico entri in questi servizi. Gateway VPN IPv6 è disponibile in anteprima.

Doppio stack IPv6 in Azure

Azure supporta le distribuzioni dual stack IPv6 tra reti virtuali. Quando si abilita dual stack, ogni subnet ottiene sia un intervallo IPv4 che un intervallo IPv6 /64. Le risorse ricevono indirizzi da entrambe le famiglie e possono comunicare contemporaneamente su entrambi i protocolli.

IPv6 in Azure ha requisiti di dimensionamento specifici. Le subnet IPv6 devono essere esattamente /64. Non è supportata alcun'altra lunghezza del prefisso. Lo spazio indirizzi IPv6 assegnato a una rete virtuale deve essere sufficientemente grande da contenere le subnet /64 per ogni subnet che necessita di connettività IPv6. Pianificare l'allocazione degli indirizzi IPv6 insieme agli intervalli IPv4 durante la progettazione iniziale della rete.

I servizi di Azure seguenti supportano le configurazioni dual stack IPv6:

Service Supporto di IPv6
Rete virtuale di Azure Subnet a doppio stack con intervalli IPv6 /64
Bilanciatore di carico standard Frontend IPv6 pubblici e interni
Gateway VPN Endpoint del tunnel IPv6 (anteprima; richiede il consenso esplicito)
Gateway di NAT Traduzione IPv6 in uscita (solo SKU StandardV2; lo SKU Standard supporta solo IPv4)
IP pubblico (SKU Standard) Indirizzi pubblici IPv6
Set di macchine virtuali scalabili Interfacce di rete IPv6
Peering reti virtuali Traffico IPv6 tra reti virtuali con peering
Gruppi di sicurezza di rete Regole IPv6 per il filtro
DNS (DNS di Azure) Supporto dei record AAAA

Servizi chiave che non supportano IPv6: Firewall di Azure (richiede una subnet solo IPv4), rete WAN virtuale (solo IPv4) e Server di route (solo IPv4). Gateway VPN supporta IPv6 in modalità dual stack, ma solo come funzionalità di anteprima (richiede il consenso esplicito). Se l'architettura dipende da Firewall di Azure, rete WAN virtuale o Server di route per l'ispezione o il routing del traffico, progettare la rete in modo che il traffico IPv6 venga gestito prima di raggiungere questi componenti.

Per informazioni dettagliate su funzionalità, limitazioni e passaggi di configurazione IPv6, vedere IPv6 per Rete virtuale di Azure.

indirizzi Azure riservati

Azure riserva cinque indirizzi IP in ogni subnet:

Indirizzo riservato Purpose
Primo indirizzo (.0) Identificatore di rete
Secondo indirizzo (.1) Gateway predefinito
Terzo indirizzo (.2) mappatura DNS di Azure
Quarto indirizzo (.3) mappatura DNS di Azure
Ultimo indirizzo (trasmissione) Indirizzo broadcast

Considerare questi cinque indirizzi riservati in tutti i calcoli di ridimensionamento della subnet. Una subnet /24 fornisce 256 indirizzi totali meno 5 riservati, lasciando 251 indirizzi IP utilizzabili. La subnet IPv4 più piccola supportata è /29 (8 indirizzi meno 5 riservati = 3 utilizzabili). La subnet IPv4 più grande supportata è /2.

Tip

Gli indirizzi IP pubblici dello SKU standard comportano un addebito indipendentemente dal fatto che siano collegati a una risorsa. Come parte dell'igiene IP, elimina periodicamente gli indirizzi IP pubblici che non utilizzi più e rilascia i prefissi IP pubblici che non sono più adatti alle tue esigenze. Gli INDIRIZZI IP pubblici non collegati sono una fonte frequente di costi evitabili e una superficie di attacco non necessaria.

Considerazioni relative alla progettazione

Focus su pianificazione e progettazione IP in modalità lift-and-shift

  • Riservare un singolo blocco CIDR di grandi dimensioni (un /16 è comune) per la zona di destinazione e suddividerlo per ogni applicazione migrata, lasciando un buffer di circa il 20% per la crescita.
  • Scegliere gli intervalli che non si sovrappongono alle reti locali connesse tramite Gateway VPN o ExpressRoute, quindi il routing funziona senza conversione degli indirizzi.
  • Tenere conto dei cinque indirizzi riservati di Azure per subnet e delle subnet dedicate richieste dai servizi della piattaforma, ad esempio GatewaySubnet (/27) e AzureFirewallSubnet (/26).
  • Dove le reti non stabiliscono mai peering tra loro, è possibile riutilizzare deliberatamente intervalli di indirizzi IPv4 privati per conservare spazio di indirizzamento.

Modernizzare il focus sulla progettazione della pianificazione IP

  • Allocare intervalli non sovrapposti nelle aree primarie e di backup in modo che i carichi di lavoro attivi possano usare il peering globale in un secondo momento senza ripetere l'indirizzamento.
  • Riservare una subnet dedicata ridimensionata per l'ambiente del servizio app (/24 o /23 vicino alla scala massima). Per AKS con CNI Overlay, dimensionare la subnet solo per i nodi, perché i pod usano un CIDR overlay separato, il che rende la subnet dei nodi molto più piccola di quanto richieda una configurazione CNI flat.
  • Riservare una subnet dedicata per gli endpoint privati in modo che l'adozione PaaS non frammenti il piano di indirizzi.
  • Usa la gestione degli indirizzi IP di gestione rete virtuale di Azure per monitorare e automatizzare le allocazioni con la crescita dell'ambiente.

Focus sulla progettazione della pianificazione IP tra cloud

  • Definire innanzitutto un piano di indirizzamento globale: riservare blocchi CIDR di Azure che non si sovrappongano alle VPC AWS esistenti o alle reti VPC di Google Cloud, requisito necessario per una VPN con routing o un'interconnessione.
  • Documentare gli intervalli di indirizzi di ogni cloud e ramo connesso in modo da poter pianificare le route riepilogate tramite rete WAN virtuale di Azure.
  • Riserva spazio di indirizzamento per i componenti di transito, ad esempio per le subnet dell'hub di rete WAN virtuale e del gateway VPN, con margine di crescita man mano che aggiungi edge cloud e filiali.
  • Laddove le sovrapposizioni siano inevitabili, pianificate di applicare il NAT alle connessioni VPN interessate o di modificare l’indirizzamento dei carichi di lavoro durante la migrazione anziché dopo.

Prerequisiti

Prima di pianificare l'allocazione degli indirizzi IP:

  • Progettazione della rete virtuale: Si dispone di una struttura di rete virtuale esistente o pianificata. Se non hai ancora progettato le reti virtuali, vedi prima Reti virtuali e subnet di Azure.
  • Inventario IP locale: Documentare gli intervalli di indirizzi locali esistenti, inclusi gli intervalli usati dalle succursali, dai data center o da altri provider di servizi cloud. Gli indirizzi non sovrapposti sono necessari per la connettività ibrida.
  • Proiezioni di crescita: Stimare il numero di subnet e host aggiuntivi necessari nei prossimi 2-3 anni. Allocare lo spazio di indirizzi fin da subito è più semplice che ampliare una VNet in un secondo momento.

Considerazioni relative alla sicurezza

La pianificazione IP ha implicazioni dirette sulla sicurezza. Seguire queste procedure per ridurre i rischi:

  • Impedire la sovrapposizione degli indirizzi: Gli intervalli IP sovrapposti tra reti locali, Azure reti virtuali e reti virtuali con peering causano errori di routing. Il traffico potrebbe raggiungere la destinazione sbagliata o essere scartato senza alcuna notifica. Verificare che ogni intervallo di indirizzi sia univoco nell'intera rete.
  • Evitare intervalli non consentiti: Azure riserva gli intervalli seguenti per le operazioni della piattaforma. Non usarli mai come spazio indirizzi della rete virtuale:
    • 169.254.0.0/16 (locale rispetto al collegamento)
    • 168.63.129.16/32 (Azure DNS interno)
    • 224.0.0.0/4 (multicast)
    • 127.0.0.0/8 (interfaccia di loopback)
    • 255.255.255.255/32 (broadcast)
  • Documento e controllo: Mantenere un record corrente di tutte le allocazioni IP. Gli intervalli non documentati comportano sovrapposizioni accidentali quando vengono distribuiti nuovi carichi di lavoro. Usate la funzionalità IPAM di gestione rete virtuale di Azure per il monitoraggio automatico della conformità oppure mantenete un foglio di calcolo condiviso che viene esaminato durante ogni distribuzione.
  • Proteggere gli indirizzi IP pubblici: Associare Azure Protezione DDoS alle risorse IP pubbliche negli ambienti di produzione. Gli intervalli BYOIP possono anche essere protetti dalla protezione DDoS.

Questi articoli illustrano gli argomenti che interagiscono con la pianificazione degli indirizzi IP:

Ulteriori informazioni

Passaggi successivi

Tip

Esplorazione da sola? Tornare allo strumento di navigazione di panoramica per trovare l'articolo successivo in base alla funzionalità.

Successivamente, nel viaggio in modalità lift-and-shift:

Proteggere le subnet con gruppi di sicurezza di rete: eseguire il mirroring delle regole del firewall esistenti come regole del gruppo di sicurezza di rete per mantenere il comportamento di sicurezza in Azure.

Nel prossimo percorso di modernizzazione:

Proteggere le subnet con i gruppi di sicurezza di rete: applicare la segmentazione rigorosa in modo che solo il traffico del servizio di bilanciamento del carico raggiunga le subnet dell'app.

Il prossimo passo nel tuo percorso multicloud:

Proteggi le subnet con i gruppi di sicurezza di rete: replica i gruppi di sicurezza AWS e le regole del firewall di Google Cloud come gruppi di sicurezza di rete (NSG) di Azure.

  • Last updated on