Connectiviteitsconfiguratie in Azure Virtual Network Manager

In dit artikel krijgt u informatie over de verschillende typen configuraties die u kunt maken en implementeren met behulp van Azure Virtual Network Manager. Er zijn momenteel twee typen configuraties beschikbaar: Connectiviteits - en beveiligingsbeheerders.

Connectiviteitsconfiguratie

Met connectiviteitsconfiguraties kunt u verschillende netwerktopologieën maken op basis van uw netwerkbehoeften. U hebt twee topologieën waaruit u kunt kiezen, een mesh-netwerk en een hub en spoke. Connectiviteit tussen virtuele netwerken wordt gedefinieerd in de configuratie-instellingen.

Mesh-netwerktopologie

Een mesh-netwerk is een topologie waarin alle virtuele netwerken in de netwerkgroep met elkaar zijn verbonden. Alle virtuele netwerken zijn verbonden en kunnen verkeer bidirectioneel doorgeven aan elkaar.

Een veelvoorkomend gebruiksscenario van een mesh-netwerktopologie is om sommige virtuele spoke-netwerken in een hub- en spoke-topologie rechtstreeks met elkaar te laten communiceren zonder dat het verkeer via het virtuele hubnetwerk loopt. Deze aanpak vermindert de latentie die anders kan voortvloeien uit routering van verkeer via een router in de hub. Daarnaast kunt u beveiliging en toezicht houden op de directe verbindingen tussen spoke-netwerken door regels voor netwerkbeveiligingsgroepen of beveiligingsbeheerregels te implementeren in Azure Virtual Network Manager. Verkeer kan ook worden bewaakt en vastgelegd met behulp van stroomlogboeken voor virtuele netwerken.

De mesh is standaard een regionale mesh, waardoor alleen virtuele netwerken in dezelfde regio met elkaar kunnen communiceren. Global Mesh kan worden ingeschakeld voor het tot stand brengen van connectiviteit van virtuele netwerken in alle Azure-regio's. Een virtueel netwerk kan deel uitmaken van maximaal twee verbonden groepen. Adresruimten van virtuele netwerken kunnen overlappen in een mesh-configuratie, in tegenstelling tot peerings van virtuele netwerken. Verkeer naar de specifieke overlappende subnetten wordt echter verwijderd, omdat routering niet-deterministisch is.

Verbonden groep

Wanneer u een mesh-topologie of directe connectiviteit maakt in de hub- en spoke-topologie, wordt er een nieuwe connectiviteitsconstructie gemaakt met de naam Verbonden groep. Virtuele netwerken in een verbonden groep kunnen met elkaar communiceren, net zoals wanneer u virtuele netwerken handmatig zou verbinden. Wanneer u de effectieve routes voor een netwerkinterface bekijkt, ziet u een volgend hoptype ConnectedGroup. Virtuele netwerken die zijn verbonden in een verbonden groep, hebben geen peeringconfiguratie die wordt vermeld onder Peerings voor het virtuele netwerk.

Notitie

• Als u conflicterende subnetten in twee of meer virtuele netwerken hebt, kunnen resources in deze subnetten niet met elkaar communiceren, zelfs niet als ze deel uitmaken van hetzelfde mesh-netwerk.
• Een virtueel netwerk kan deel uitmaken van maximaal twee mesh-configuraties.

Stertopologie

Een hub-and-spoke is een netwerktopologie waarin u een virtueel netwerk hebt geselecteerd als het virtuele hubnetwerk. Dit virtuele netwerk wordt bidirectioneel gekoppeld aan elk virtueel spoke-netwerk in de configuratie. Deze topologie is handig als u een virtueel netwerk wilt isoleren, maar toch verbinding wilt maken met algemene resources in het virtuele hubnetwerk.

In deze configuratie hebt u instellingen die u kunt inschakelen, zoals directe connectiviteit tussen virtuele spoke-netwerken. Deze connectiviteit is standaard alleen voor virtuele netwerken in dezelfde regio. Als u connectiviteit tussen verschillende Azure-regio's wilt toestaan, moet u Global Mesh inschakelen. U kunt gatewayoverdracht ook inschakelen om virtuele spoke-netwerken toe te staan de VPN- of ExpressRoute-gateway te gebruiken die in de hub is geïmplementeerd.

Indien ingeschakeld, kunnen peerings die niet overeenkomen met de inhoud van deze configuratie, worden verwijderd, zelfs als deze peerings handmatig zijn gemaakt nadat deze configuratie is geïmplementeerd. Als u een VNet verwijdert uit een netwerkgroep die in de configuratie wordt gebruikt, verwijdert uw virtuele manager alleen peerings die het heeft gemaakt.

Directe connectiviteit

Als u Directe connectiviteit inschakelt, wordt er een overlay gemaakt van een verbonden groep boven op uw hub- en spoke-topologie, die virtuele spoke-netwerken van een bepaalde groep bevat. Met directe connectiviteit kan een spoke-VNet rechtstreeks met andere VNets in de spoke-groep communiceren, maar niet met VNets in andere spokes.

U maakt bijvoorbeeld twee netwerkgroepen. U schakelt directe connectiviteit in voor de productienetwerkgroep, maar niet voor de testnetwerkgroep. Met deze configuratie kunnen alleen virtuele netwerken in de productienetwerkgroep met elkaar communiceren, maar niet met de netwerken in de netwerkgroep Test .

Wanneer u effectieve routes op een VIRTUELE machine bekijkt, heeft de route tussen de hub en de virtuele spoke-netwerken het volgende hoptype VNetPeering of GlobalVNetPeering. Routes tussen virtuele spokes-netwerken worden weergegeven met het volgende hoptype ConnectedGroup. In het bovenstaande voorbeeld zou alleen de productienetwerkgroep een ConnectedGroup hebben omdat er directe connectiviteit is ingeschakeld.

Netwerkgroeptopologie detecteren met topologieweergave

Om u te helpen inzicht te krijgen in de topologie van uw netwerkgroep, biedt Azure Virtual Network Manager een topologieweergave met de connectiviteit tussen netwerkgroepen en hun virtuele lidnetwerken. U kunt de topologie van uw netwerkgroep bekijken tijdens het maken van uw connectiviteitsconfiguratie met de volgende stappen:

1. Navigeer naar de pagina Configuraties en maak een connectiviteitsconfiguratie .
2. Selecteer op het tabblad Topologie het gewenste topologietype , voeg een of meer netwerkgroepen toe aan de topologie en configureer andere gewenste connectiviteitsinstellingen.
3. Selecteer het tabblad Preview-topologie om de topologieweergave te testen en de huidige connectiviteit van uw configuratie te controleren.
4. Voltooi het maken van uw connectiviteitsconfiguratie.

U kunt de huidige topologie van een netwerkgroep bekijken door Visualisatie te selecteren onder Instellingen op de detailpagina van de netwerkgroep. In de weergave ziet u de connectiviteit tussen de virtuele lidnetwerken in de netwerkgroep.

Gebruiksgevallen

Het inschakelen van directe connectiviteit tussen virtuele spokes-netwerken kan handig zijn als u een NVA of een algemene service in het virtuele hubnetwerk wilt hebben, maar de hub hoeft niet altijd te worden geopend. Maar in plaats daarvan hebt u uw virtuele spoke-netwerken in de netwerkgroep nodig om met elkaar te communiceren. Vergeleken met traditionele hub- en spoke-netwerken verbetert deze topologie de prestaties door de extra hop via het virtuele hubnetwerk te verwijderen.

Global mesh

Net als mesh kunnen deze met spoke verbonden groepen worden geconfigureerd als regionaal of globaal. Global mesh is vereist wanneer u wilt dat uw spoke virtuele netwerken met elkaar communiceren tussen regio's. Deze connectiviteit is beperkt tot een virtueel netwerk in dezelfde netwerkgroep. Als u connectiviteit wilt inschakelen voor virtuele netwerken in verschillende regio's, moet u mesh-connectiviteit inschakelen tussen regio's voor de netwerkgroep. Verbindingen die zijn gemaakt tussen virtuele spokes-netwerken bevinden zich in een verbonden groep.

Hub gebruiken als gateway

Een andere optie die u kunt inschakelen in een hub-and-spoke-configuratie is om de hub als gateway te gebruiken. Met deze instelling kunnen alle virtuele netwerken in de netwerkgroep de VPN- of ExpressRoute-gateway in het virtuele hubnetwerk gebruiken om verkeer door te geven. Zie Gateways en on-premises connectiviteit.

Wanneer u een hub- en spoke-topologie implementeert vanuit Azure Portal, wordt de hub gebruiken als gateway standaard ingeschakeld voor de virtuele spoke-netwerken in de netwerkgroep. Azure Virtual Network Manager probeert een peeringverbinding voor een virtueel netwerk te maken tussen de hub en het virtuele spokes-netwerk in de resourcegroep. Als de gateway niet bestaat in het virtuele hubnetwerk, mislukt het maken van de peering van het virtuele spoke-netwerk naar de hub. De peeringverbinding van de hub naar de spoke wordt nog steeds gemaakt zonder een tot stand gebrachte verbinding.

Volgende stappen

• Implementeer een Exemplaar van Azure Virtual Network Manager met behulp van Terraform.
• Meer informatie over configuratie-implementaties in Azure Virtual Network Manager.
• Meer informatie over het blokkeren van netwerkverkeer met een configuratie van een beveiligingsbeheerder.