Scentralizowane zarządzanie siecią za pomocą Azure Virtual Network Manager

Azure Virtual Network Manager grupuje, konfiguruje, wdraża i zarządza sieciami wirtualnymi na dużą skalę w różnych subskrypcjach. Zamiast konfigurować każdą sieć wirtualną osobno, centralnie zdefiniuj intencję zarządzania i Azure Virtual Network Manager stosuje ją spójnie w całym środowisku. Ogranicz zakres wystąpienia Azure Virtual Network Manager do grupy zarządzania lub subskrypcji i zarządzaj wszystkimi sieciami wirtualnymi objętymi tym zakresem z poziomu jednej płaszczyzny sterowania.

W tym artykule opisano cztery podstawowe możliwości Azure Virtual Network Manager: grupy sieci, konfiguracje łączności, reguły administratora zabezpieczeń i zarządzanie adresami IP (IPAM). Opisano również, jak używać ich razem do zarządzania topologią sieci, wymuszania punktów odniesienia zabezpieczeń i zapobiegania konfliktom adresów IP w całej organizacji.

Co opisano w tym artykule

W tym artykule opisano scentralizowane zarządzanie siecią przy użyciu Azure Virtual Network Manager. Dowiesz się więcej o:

• Grupy sieciowe organizujące sieci wirtualne według członkostwa statycznego lub dynamicznego.
• Konfiguracje łączności automatyzujące topologie piasty i siatki.
• Reguły administratora zabezpieczeń wymuszające zasady zabezpieczeń obowiązujące w całej organizacji i mające pierwszeństwo przed regułami NSG.
• Usługa IPAM, która przydziela nienakładujące się zakresy adresów IP w ramach subskrypcji.
• Model zatwierdzania i wdrażania, który kontroluje, kiedy konfiguracje zostaną zastosowane.
• Jak zdecydować, kiedy Azure Virtual Network Manager jest właściwym podejściem do zarządzania dla danego środowiska.

Kto potrzebuje tego artykułu

Użyj Azure Virtual Network Manager, gdy organizacja ma co najmniej jedno z następujących wymagań:

• Gdy skala wykracza poza ręczne zarządzanie: Zarządzasz ponad 10 sieciami wirtualnymi i musisz zautomatyzować połączenia peeringowe, zmiany topologii oraz bazowe ustawienia zabezpieczeń, zamiast konfigurować każdą sieć wirtualną osobno.
• Spójne zasady zabezpieczeń: Należy wymusić reguły zabezpieczeń dla całej organizacji, których lokalne zespoły nie mogą zastąpić, takie jak blokowanie portów wysokiego ryzyka lub wymuszanie przepływu ruchu przez zaporę.
• Zarządzanie między subskrypcjami: Sieci wirtualne obejmują wiele subskrypcji lub grup zarządzania i potrzebujesz ujednoliconego widoku topologii sieci i użycia adresów IP.
• Zapobieganie konfliktom adresów IP: Zespoły niezależnie tworzą sieci wirtualne i potrzebujesz centralnego mechanizmu alokacji, który gwarantuje, że przestrzenie adresowe nie nakładają się na siebie.
• Automatyczne utrzymanie topologii: Często wdrażasz nowe sieci wirtualne i muszą one automatycznie dołączać do właściwej topologii (gwiazdy lub siatki) bez ręcznego zestawiania połączeń równorzędnych.

Organizacje mające mniej niż 10 sieci wirtualnych w ramach jednej subskrypcji mogą zazwyczaj ręcznie zarządzać połączeniami równorzędnymi, regułami grup zabezpieczeń sieciowych i adresami IP. Te środowiska zwykle nie wymagają dodatkowej złożoności scentralizowanego narzędzia do zarządzania.

Nacisk na lift-and-shift: W małych projektach rehostingu połączeniami równorzędnymi i sieciowymi grupami zabezpieczeń (NSG) można zarządzać ręcznie. Wdróż usługę AVNM, gdy zmigrowane środowisko obejmie ponad około 10 sieci wirtualnych.

Modernizuj fokus: Użyj programu AVNM, aby zastosować spójne konfiguracje łączności i zabezpieczeń w wielu szprychach i subskrypcjach podczas skalowania obciążeń PaaS aktywnych i aktywnych.

Wielochmurowe podejście: Użyj AVNM, aby egzekwować spójne grupy sieciowe i reguły administracyjne zabezpieczeń w całym środowisku platformy Azure połączonym z innymi chmurami i oddziałami.

Możliwości usługi Azure Virtual Network Manager

Azure Virtual Network Manager zapewnia cztery możliwości, które współpracują ze sobą w celu zapewnienia scentralizowanego ładu sieciowego.

Grupy sieciowe

Grupy sieciowe to logiczne kontenery służące do organizowania sieci wirtualnych na potrzeby stosowania zasad. Definiujesz, które sieci wirtualne należą do grupy. Następnie zastosujesz konfiguracje (łączność lub zabezpieczenia) do całej grupy jednocześnie.

Grupy sieciowe obsługują dwie metody członkostwa:

Metoda	Jak to działa	Najlepsze dla
Członkostwo statyczne	Ręcznie dodasz poszczególne identyfikatory zasobów sieci wirtualnej. Zmiany zaczęły obowiązywać natychmiast.	Małe środowiska, wyjątki lub wdrożenia pilotażowe
Członkostwo dynamiczne	Azure Policy ocenia warunki (wzorce nazw, tagi, subskrypcja lub grupę zasobów) i automatycznie dodaje lub usuwa sieci wirtualne. Używa trybu zasad Microsoft.Network.Data z efektem addToNetworkGroup.	Duże środowiska, w których sieci wirtualne są tworzone i często usuwane

Połącz obie metody w jednej grupie sieci. Członkostwo dynamiczne nie wymaga ponownego wdrożenia, gdy sieci wirtualne dołączają do grupy lub opuszczają ją, ponieważ Azure Policy stale ocenia warunki i aktualizuje członkostwo.

Note

Dynamiczne zasady członkostwa są utrwalane w Azure Policy nawet w przypadku usunięcia wystąpienia Azure Virtual Network Manager. Usuń te zasady ręcznie, aby uniknąć osieroconych przypisań zasad.

Konfiguracje łączności

Konfiguracje łączności definiują topologię sieci dla grupy sieci wirtualnych. Azure Virtual Network Manager obsługuje dwie topologie:

• Topologia hub-and-spoke: Centralna sieć wirtualna łączy się ze wszystkimi sieciami wirtualnymi typu spoke w grupie. Domyślnie ruch między sieciami szprychowymi jest kierowany przez centralny koncentrator. Opcjonalnie można włączyć bezpośrednią łączność między spoke’ami, co tworzy topologię siatki w obrębie grupy spokes i eliminuje konieczność przechodzenia przez hub w ruchu między spoke’ami. Koncentrator może służyć jako brama tranzytowa dla sieci VPN i ExpressRoute.
• Topologia siatkowa: Wszystkie sieci wirtualne w grupie są połączone dwukierunkowo bez centralnego węzła. Azure Virtual Network Manager używa połączonych grup (a nie tradycyjnych połączeń komunikacji równorzędnej) do ustanawiania łączności siatkowej. Siatka regionalna łączy sieci wirtualne w regionie. Siatka globalna rozszerza łączność między regionami.

Wdrażanie wielu konfiguracji łączności jednocześnie w regionie. Są one addytywne. Możesz również wykorzystać ponownie istniejące ręcznie skonfigurowane połączenia równorzędne bez przerywania bieżącej łączności podczas migracji.

Reguły administratora zabezpieczeń

Reguły administratora zabezpieczeń zapewniają wymuszanie zabezpieczeń dla całej organizacji, które ma pierwszeństwo przed regułami sieciowej grupy zabezpieczeń. Te reguły są definiowane centralnie. Azure Virtual Network Manager następnie stosuje je do wszystkich sieci wirtualnych w docelowej grupie sieci.

Azure Virtual Network Manager ocenia reguły administracyjne zabezpieczeń przed regułami NSG. Zachowanie zależy od typu akcji:

Działania	Zachowanie oceny	Przypadek użycia
Deny	Blokuje ruch natychmiast. Reguły NSG nigdy nie są przetwarzane.	Wymuszanie bloków dla całej organizacji (na przykład blokowanie przychodzącego protokołu SSH z Internetu)
Zawsze zezwalaj	Zezwala na ruch natychmiast. Reguły sieciowej grupy zabezpieczeń nigdy nie są oceniane.	Zapewnij dostęp dla krytycznego ruchu zarządzania niezależnie od lokalnej konfiguracji NSG
Zezwalaj	Przekazuje ruch do oceny przez NSG. Grupy zabezpieczeń sieciowych (NSG) nadal mogą blokować ruch.	Zezwalaj na kategorie ruchu, zezwalając zespołom na stosowanie dodatkowych ograniczeń

Reguły administratora zabezpieczeń używają zakresu priorytetu od 1 do 4096 (niższa liczba jest równa wyższym priorytetowi). Tylko jedna konfiguracja administratora ds. zabezpieczeń może być aktywna na region i na instancję menedżera sieci.

Ważna

Reguły administratora zabezpieczeń nie mają zastosowania do prywatnych punktów końcowych w zarządzanych sieciach wirtualnych. Niektóre podsieci są również zwolnione z tego wymogu, w tym podsieci usług Azure Application Gateway, Azure Bastion, Azure Firewall, Azure Route Server, VPN Gateway, Virtual WAN oraz bramy usługi ExpressRoute.

Reguły administratora zabezpieczeń korzystają z modelu spójności docelowej: występuje krótkie opóźnienie, zanim reguły zaczną obowiązywać w przypadku nowo utworzonych zasobów objętych ich zakresem.

Zarządzanie adresami IP (IPAM)

Usługa IPAM zapewnia scentralizowane planowanie i alokację adresów IP. Pule adresów są tworzone, a Azure Virtual Network Manager automatycznie przypisuje nienakładające się bloki CIDR do sieci wirtualnych. Takie podejście zapobiega konfliktom przestrzeni adresowej, które występują, gdy zespoły przydzielają adresy niezależnie. Użytkownicy mogą tworzyć lub modyfikować sieci wirtualne poza alokacjami puli IPAM, na przykład podczas bezpośredniego przypisywania przestrzeni adresowej. W takich przypadkach użyj Azure Policy, aby wymusić zgodność usługi IPAM i zapobiec nieautoryzowanemu przypisaniu adresów.

Najważniejsze funkcje usługi IPAM:

• Pule hierarchiczne: Utwórz pule główne i maksymalnie siedem warstw pul podrzędnych dla struktury organizacyjnej (na przykład według regionu, jednostki biznesowej lub środowiska).
• Automatyczny przydział nienakładających się zakresów: Gdy sieć wirtualna żąda zakresu adresów z puli, usługa IPAM gwarantuje, że ten zakres nie będzie pokrywać się z innymi przydziałami w tej samej hierarchii pul.
• Obsługa protokołów IPv4 i IPv6: Zarządzanie obydwoma rodzinami adresów w ujednoliconym modelu alokacji.
• Pule międzyregionalne: Pojedyncza pula może przydzielać adresy sieciom wirtualnym w wielu regionach.
• Odzyskiwanie zwolnionych zakresów CIDR: Po usunięciu zasobu przydzielony zakres CIDR wraca do puli i może zostać ponownie wykorzystany.
• Uprawnienia możliwe do delegowania: Udziel roli użytkownika puli IPAM zespołom, które muszą korzystać z adresów bez zarządzania definicjami puli.

Usługa IPAM jest zawsze dostępna w każdej instancji Azure Virtual Network Manager, niezależnie od tego, czy włączysz funkcje łączności czy zabezpieczeń.

Jak wybrać podejście do zarządzania

Użyj następujących kryteriów podejmowania decyzji, aby określić, czy Azure Virtual Network Manager jest odpowiednia dla danego środowiska:

Skala środowiska	Zalecane podejście
Mniej niż 10 sieci wirtualnych w jednej subskrypcji	Ręczne zarządzanie: konfigurowanie komunikacji równorzędnej, sieciowych grup zabezpieczeń i adresów IP indywidualnie
10–50 sieci wirtualnych (VNet) w różnych subskrypcjach	Azure Virtual Network Manager z konfiguracjami łączności i grupami sieci na potrzeby automatyzacji topologii
Ponad 50 sieci wirtualnych w grupach zarządzania	Pełna Azure Virtual Network Manager: wszystkie cztery możliwości (grupy sieciowe, łączność, reguły administratora zabezpieczeń i usługa IPAM)
Nadzór nad bezpieczeństwem jest wymagany niezależnie od skali	Dodaj reguły administratora zabezpieczeń, gdy same sieciowe grupy zabezpieczeń (NSG) nie zapewniają wystarczającej ochrony przed lokalnym zastępowaniem

Z usługą Azure Virtual Network Manager a bez niej

Obszar zarządzania	Bez AVNM	Za pomocą programu AVNM
Peering	Ręcznie utwórz dwukierunkowe połączenia komunikacji równorzędnej dla każdej pary sieci VNet	Konfiguracje łączności automatyzują tworzenie połączeń peeringowych dla całych grup
Zmiany topologii	Zaktualizuj każde połączenie partnerskie osobno po zmianie topologii	Modyfikowanie konfiguracji i ponowne wdrażanie. Wszystkie sieci wirtualne w grupie są zaktualizowane.
punkty odniesienia zabezpieczeń	Zastosuj reguły NSG dla każdej podsieci; administratorzy lokalni mogą je modyfikować lub usuwać	Wymuszaj centralnie reguły zabezpieczeń administratora i nie pozwalaj na ich nadpisanie (Odmów/Zawsze zezwalaj)
Planowanie adresów IP	Użyj arkusza kalkulacyjnego lub śledzenia ręcznego; ryzyko nakładania się	Używaj pul IPAM z automatycznym przydzielaniem nienakładających się zakresów CIDR
Wdrażanie nowej sieci VNet	Ręcznie tworzyć połączenia równorzędne, stosować sieciowe grupy zabezpieczeń, przypisywać adresy IP	Członkostwo dynamiczne automatycznie dodaje VNet do grupy; konfiguracje są stosowane przy następnym wdrożeniu
Widoczność między subskrypcjami	Ograniczone do widoków poszczególnych subskrypcji	Jednolity widok we wszystkich sieciach VNet w wybranym zakresie (grupa zarządzania lub subskrypcja)

Uwagi dotyczące projektowania

Fokus projektu lift-and-shift AVNM

• W przypadku małego środowiska przeniesionego metodą rehostingu (poniżej około 10 sieci wirtualnych w ramach jednej subskrypcji) ręczne zarządzanie połączeniami równorzędnymi i grupami zabezpieczeń sieciowych jest zwykle wystarczające.
• Wdróż AVNM, gdy kolejne fale migracji pozwolą przekroczyć ten próg, aby nowe sieci spoke były automatycznie dołączane do topologii hub-and-spoke zamiast za pomocą ręcznie konfigurowanych połączeń równorzędnych.
• Użyj zarządzania adresami IP w AVNM do śledzenia przydziałów podczas wydzielania podsieci z bloku CIDR strefy lądowania.
• Stopniowo wprowadzaj reguły administratora zabezpieczeń AVNM, tak aby uzupełniały istniejące sieciowe grupy zabezpieczeń (NSG) poszczególnych podsieci, a nie wchodziły z nimi w konflikt.

Modernizuj fokus projektu AVNM

• Używaj grup sieciowych AVNM i konfiguracji łączności, aby konsekwentnie stosować topologię typu piasta–szprychy lub topologię siatki w wielu zmodernizowanych sieciach typu spoke.
• Wymuś reguły zabezpieczeń obowiązujące w całej organizacji, których zespoły aplikacyjne nie mogą nadpisać, aby zagwarantować przepływ ruchu przez zaporę centrum.
• Połącz dynamiczne członkostwo w grupach z rozdzieleniem subskrypcji i mechanizmu RBAC, aby nowe środowiska spoke zespołu aplikacyjnego automatycznie dziedziczyły polityki platformy.
• Użyj pul IPAM, aby zapewnić nienakładającą się przestrzeń adresową w regionach podstawowych i zapasowych.

Ukierunkowanie projektu AVNM na środowisko wielochmurowe

• Usługa AVNM umożliwia zachowanie ujednoliconego widoku topologii i użycia adresów IP w sieciach Azure łączących chmury i gałęzie.
• Stosuj centralnie reguły administratora zabezpieczeń, aby ruch między chmurami i oddziałami był konsekwentnie kierowany przez węzły centralne poddawane inspekcji.
• Użyj usługi IPAM, aby utrzymać przestrzeń adresową platformy Azure tak, aby nie nakładała się na sieci VPC w AWS ani sieci w Google Cloud we wszystkich regionach.
• Zautomatyzuj członkostwo w topologii, aby nowe regiony Azure dodawane podczas migracji do chmury przyłączyły się do poprawnego projektu Virtual WAN lub centrum.

Prerequisites

Przed wdrożeniem Azure Virtual Network Manager:

• Wybór zakresu: Utwórz instancję usługi Azure Virtual Network Manager o zakresie obejmującym grupę zarządzania lub subskrypcję. Zakres określa granice zasobów, którymi instancja może zarządzać. Po wybraniu grupy zarządzania automatycznie dołączasz wszystkie subskrypcje podrzędne.
• Uprawnienia: Przypisz rolę Współautor sieci w odpowiednim zakresie (grupy zarządzania lub subskrypcji) użytkownikom zarządzającym konfiguracjami usługi Azure Virtual Network Manager.
• Obsługa regionów: Sprawdź, czy docelowe sieci wirtualne znajdują się w regionach obsługujących Azure Virtual Network Manager.
• Proces wdrażania: Poznaj model zatwierdzania zmian i wdrażania: konfiguracje nie zaczną obowiązywać, dopóki nie zostaną jawnie wdrożone w regionie docelowym. Podczas wdrażania uwzględnij wszystkie żądane konfiguracje dla tego regionu. Wdrożenie używa modelu stanu celu, w którym tylko jawnie dołączone konfiguracje pozostają aktywne.
• Unikanie konfliktów: Nie twórz wielu instancji Azure Virtual Network Manager o nakładających się zakresach, zarządzających tymi samymi funkcjami. W przypadku konfliktu menedżer sieci o wyższym zakresie ma pierwszeństwo.

Note

Model zatwierdzania i wdrażania zapewnia mechanizm bezpieczeństwa. Przejrzyj zmiany konfiguracji, zweryfikuj je za pomocą weryfikatora sieciowego, a następnie wdróż, gdy wszystko będzie gotowe. Jeśli region menedżera sieci napotyka awarię, już wdrożone konfiguracje pozostają w mocy w docelowych sieciach wirtualnych.

Zagadnienia dotyczące zabezpieczeń

Reguły administracyjne zabezpieczeń wprowadzają podział obowiązków między centralnym zarządzaniem siecią a lokalnymi zespołami zarządzającymi obciążeniami:

• Model domyślnego wymuszania: Używaj reguł Deny, aby blokować ruch, na który nigdy nie należy zezwalać, niezależnie od wymagań danego obciążenia. Typowe przykłady obejmują blokowanie przychodzącego protokołu RDP lub SSH z Internetu i blokowanie ruchu do znanych złośliwych zakresów adresów IP.
• Gwarantowane ścieżki dostępu: Użyj reguł Zawsze zezwalaj, aby mieć pewność, że krytyczny ruch zarządzania (taki jak sondy kondycji platformy Azure lub agenci monitorowania) dociera do zasobów, nawet jeśli lokalna grupa zabezpieczeń sieciowych w wyniku błędnej konfiguracji zablokowałaby go w innych okolicznościach.
• Obrona warstwowa: Używaj reguł Zezwalaj dla kategorii ruchu, w których chcesz zezwolić na daną klasę ruchu, jednocześnie umożliwiając zespołom odpowiedzialnym za obciążenia stosowanie dodatkowych ograniczeń NSG zgodnie z ich konkretnymi wymaganiami.
• Dziennik inspekcji: Azure rejestruje wszystkie wdrożenia reguł administratora zabezpieczeń jako operacje na zasobach. Przejrzyj historię wdrożenia i zmiany konfiguracji za pomocą Azure dziennika aktywności.
• Walidacja wdrożenia: Użyj weryfikatora sieciowego, aby zweryfikować łączność między zasobami w zakresie Azure Virtual Network Manager przed wdrożeniem zmian konfiguracji w środowisku produkcyjnym.

Powiązane artykuły

• Topologia sieci typu gwiazda: Azure Virtual Network Manager automatyzuje komunikację równorzędną w topologii gwiazdy i umożliwia użycie huba jako bramy dla łączności tranzytowej.
• Topologia sieci Virtual WAN: Azure Virtual Network Manager stanowi alternatywę dla organizacji, które preferują niestandardową topologię typu piasta-szprychy zamiast rozwiązania Azure Virtual WAN.
• Planowanie adresów IP: IPAM rozszerza scentralizowane planowanie adresów IP o automatyczne przydzielanie nienakładających się zakresów adresów IP między subskrypcjami.
• Sieciowe grupy zabezpieczeń i grupy zabezpieczeń aplikacji: reguły administratora ds. zabezpieczeń ustanawiają bazowe poziomy zabezpieczeń dla całej organizacji, które mają pierwszeństwo przed regułami sieciowych grup zabezpieczeń.
• Monitorowanie sieci i obserwowalność: Połącz scentralizowane zarządzanie ze scentralizowanym monitorowaniem w całym środowisku sieci wirtualnych.

Learn more

• Omówienie usługi Azure Virtual Network Manager
• Reguły administratora zabezpieczeń
• Omówienie zarządzania adresami IP (IPAM)

Następne kroki

Tip

Eksplorowanie na własną rękę? Wróć do nawigatora przeglądu , aby znaleźć następny artykuł według możliwości.

Ukończyłeś ścieżkę sieciową migracji metodą lift-and-shift. Sieć Azure jest w pełni zaprojektowana, zabezpieczona i zarządzana.

Wróć do przeglądu: Zapoznaj się z innymi możliwościami, przejrzyj inny scenariusz lub uzyskaj bardziej szczegółowe informacje na temat określonych usług.

Ukończyłeś ścieżkę modernizacji sieci. Sieć Azure jest w pełni zaprojektowana, zabezpieczona i zarządzana.

Wróć do przeglądu: Zapoznaj się z innymi możliwościami, przejrzyj inny scenariusz lub uzyskaj bardziej szczegółowe informacje na temat określonych usług.

Ukończyłeś ścieżkę dotyczącą sieci między chmurami. Sieć Azure jest w pełni zaprojektowana, zabezpieczona i zarządzana.

Wróć do przeglądu: Zapoznaj się z innymi możliwościami, przejrzyj inny scenariusz lub uzyskaj bardziej szczegółowe informacje na temat określonych usług.