Wprowadzenie do projektowania architektury sieci

Projektowanie i implementowanie możliwości sieci platformy Azure jest krytyczną częścią rozwiązania w chmurze. Należy podjąć decyzje projektowe dotyczące sieci, aby prawidłowo obsługiwać obciążenia i usługi.

Usługi platformy Azure do obsługi sieci

Azure oferuje szereg usług dla sieci:

Podstawy sieci komputerowych

• Azure Virtual Network: Aprowizuj sieci prywatne i opcjonalnie połącz się z lokalnymi centrami danych.
• Azure DNS. Hostowanie domen DNS i zarządzanie rozpoznawaniem nazw.
• Azure NAT Gateway: podaj wychodzącą łączność internetową dla sieci wirtualnych.
• Azure Bastion: bezpieczne łączenie się z maszynami wirtualnymi bez uwidaczniania publicznych adresów IP.
• Azure Traffic Manager: optymalnie kieruj ruch do usług w globalnych regionach platformy Azure.
• Azure Route Server: uproszczenie routingu dynamicznego między wirtualnym urządzeniem sieciowym a siecią wirtualną.
• Azure Private Link: włącz prywatny dostęp do usług hostowanych na platformie Azure przy zachowaniu danych w sieci Microsoft.

Równoważenie obciążenia i dostarczanie zawartości

• Azure Load Balancer: zapewnianie wysokiej dostępności i wydajności sieci dla aplikacji.
• Azure Application Gateway: Twórz wysoce bezpieczne, skalowalne, wysoce dostępne frontony internetowe.
• Azure Front Door: dostarczanie, ochrona i monitorowanie globalnych aplikacji internetowych.

Łączność hybrydowa

• Azure ExpressRoute: tworzenie szybkiego, niezawodnego i prywatnego połączenia z Azure.
• Azure VPN Gateway: wysoce bezpieczne połączenia między środowiskami lokalnymi.
• Azure Virtual WAN: Optymalizowanie i automatyzowanie łączności między oddziałami.
• Azure Peering Service: zwiększ łączność z publicznego Internetu do usług w chmurze Microsoft.

Bezpieczeństwo sieci

• Azure Firewall: zapewnij ochronę zasobów Azure Virtual Network.
• Azure Firewall Manager: Centralnie zarządzaj zasadami zabezpieczeń i trasami na wielu zaporach.
• Azure Web Application Firewall: Chroń swoje aplikacje internetowe przed typowymi atakami internetowymi i lukami w zabezpieczeniach.
• Azure DDoS Protection: ochrona zasobów Azure przed rozproszonymi atakami typu "odmowa usługi".
• Zabezpieczenia sieci kontenerów: wymuszanie zasad zabezpieczeń dla konteneryzowanych obciążeń w klastrach Azure Kubernetes Service (AKS).

Zarządzanie siecią i monitorowanie

• Azure Network Watcher: Monitorowanie, diagnozowanie i uzyskiwanie wglądu w wydajność i kondycję sieci.
• Azure Monitor: Zbieranie, analizowanie i wykonywanie działań telemetrycznych z sieci i innych zasobów Azure.
• Azure Virtual Network Manager: Centralne zarządzanie sieciami wirtualnymi na dużą skalę w subskrypcjach i regionach.
• Obserwowanie sieci kontenerów: uzyskaj szczegółowy wgląd w ruch sieciowy i wydajność w środowiskach konteneryzowanych w klastrach Azure Kubernetes Service (AKS).

Aby uzyskać więcej informacji na temat usług sieciowych Azure, zobacz omówienie usług sieciowych Azure.

Aby uzyskać wskazówki dotyczące wybierania odpowiednich technologii sieciowych dla rozwiązania, zobacz następujące artykuły:

• Opcje równoważenia obciążenia
• Opcje łączności wirtualnej sieci i komunikacja między węzłami

Architektura

Diagram przedstawiający układ sieci piasty i szprych w Azure. Duża ramka zewnętrzna oznaczona Azure Virtual Network Manager zawiera centralną sieć wirtualną oraz cztery sieci wirtualne odgałęzień wokół niej. Po lewej stronie, poza piastą, sieć między lokalami zawiera dwie maszyny wirtualne i ikonę bramy. W środku centralna sieć wirtualna zawiera trzy usługi: Azure Bastion u góry, Azure Firewall w środku i na dole Azure VPN Gateway lub Azure ExpressRoute. Azure Monitor znajduje się po prawej stronie centrum, połączony z usługami centrum za pomocą linii przerywanych oznaczonych etykietą Diagnostyka. Po prawej stronie pojawiają się dwie produkcyjne sieci wirtualne połączone z hubem, jedna nad drugą. Każda szprycha produkcyjna zawiera podsieć zasobów zawierającą trzy maszyny wirtualne. Przerywane linie oznaczone etykietą „Forced tunnel” biegną od obu produkcyjnych segmentów spoke w stronę obszaru zapory sieciowej huba. Na dole znajdują się dwie nieprodukcyjne wirtualne sieci typu spoke, każda z podsiecią zasobów zawierającą trzy maszyny wirtualne. Kropkowane linie między dolną szprychą wskazują, że mogą być połączone za pomocą komunikacji równorzędnej lub bezpośrednio. Inne kropkowane linie pokazują wirtualne sieci typu spoke łączące się z koncentratorem lub zestawiające komunikację równorzędną za jego pośrednictwem. U góry kropkowana linia dwukierunkowa oznaczona komunikacją równorzędną sieci wirtualnych łączy koncentrator z górną szprychą produkcyjną.

Pobierz plik programu Visio tej architektury.

Na poprzednim diagramie przedstawiono typową implementację sieci podstawowej lub bazowej.

Eksplorowanie przewodników i architektur sieci

Artykuły w tej sekcji zawierają przewodniki i w pełni opracowane architektury, które można wdrożyć w Azure i rozszerzyć na rozwiązania klasy produkcyjnej. Te artykuły mogą pomóc w podjęciu decyzji o sposobie korzystania z technologii sieciowych w Azure.

Przewodniki dotyczące sieci

Poniższe artykuły ułatwiają ocenę i wybór najlepszych technologii sieciowych dla wymagań dotyczących obciążenia.

Podstawy sieci komputerowych

• Opcje łączności w sieci wirtualnej i komunikacja między szprychami: porównaj komunikację równorzędną między sieciami wirtualnymi, bramy sieci VPN i inne opcje łączności do komunikacji między szprychami.
• Azure Private Link w sieci piasty i szprych: użyj Private Link w topologii sieci piasty i szprych.
• Azure Private Link i DNS z Azure Virtual WAN:
  • Omówienie przewodnika: Planowanie integracji Azure Private Link i DNS z Azure Virtual WAN.
  • Wzorzec rozszerzenia koncentratora wirtualnego: zaimplementuj wzorzec rozszerzenia koncentratora wirtualnego dla Azure Private Link i SYSTEMU DNS.
  • Dostęp do pojedynczego zasobu w jednym regionie: skonfiguruj Azure Private Link i usługę DNS dla obciążenia z jednym regionem, które uzyskuje dostęp do pojedynczego zasobu.
• Wdrażanie protokołu IPv6:
  • Zapobieganie wyczerpaniu adresów IPv4: planowanie wyczerpania adresów IPv4 i wdrażanie protokołu IPv6 w Azure.
  • Topologia sieci IPv6 piasta-szprycha: implementowanie topologii sieci piasty i szprych przy użyciu obsługi protokołu IPv6.
  • Planowanie koncepcyjne sieci IPv6: Planowanie strategii adresowania IP IPv6 dla sieci Azure.
• Zaprojektuj hybrydowe rozwiązanie DNS przy użyciu platformy Azure: Zaprojektuj hybrydowe rozwiązanie DNS, które wykorzystuje usługę Azure DNS Private Resolver do rozpoznawania nazw obciążeń hostowanych lokalnie i na platformie Azure.

Równoważenie obciążenia i dostarczanie zawartości

• Opcje równoważenia obciążenia: Wybierz odpowiednią usługę Azure do równoważenia obciążenia dla Twojego obciążenia roboczego.

Łączność hybrydowa

• Integracja SD-WAN z topologiami sieci typu koncentrator-szprycha: Integruj rozwiązania SD-WAN z topologiami sieci Azure typu koncentrator-szprycha.
• Rozwiązywanie problemów z połączeniem hybrydowej sieci VPN: Rozwiązywanie problemów z łącznością w połączeniach sieci VPN typu lokacja-lokacja między siecią lokalną a Azure.

Bezpieczeństwo sieci

• Użyj konfiguracji split-brain DNS do hostowania aplikacji internetowej: Skonfiguruj split-brain DNS, aby hostować aplikację internetową z prywatnym i publicznym rozpoznawaniem nazw.
• Wdróż wysoce dostępne wirtualne urządzenia sieciowe: Wdróż wirtualne urządzenia sieciowe w konfiguracji wysokiej dostępności.
• Międzydzierżawowy bezpieczny dostęp do aplikacji: Użyj prywatnych punktów końcowych, aby umożliwić bezpieczny dostęp do aplikacji między dzierżawami.

Architektury sieci

Poniższe architektury gotowe do produkcji przedstawiają kompleksowe rozwiązania sieciowe, które można wdrażać i dostosowywać.

Podstawy sieci komputerowych

• Topologia sieci piasty i szprych w Azure: zaimplementuj wzorzec sieci piasty i szprych, który ma składniki infrastruktury koncentratora zarządzanego przez klienta.
• Prywatny translator DNS platformy Azure: Wdróż hybrydowe rozpoznawanie nazw DNS przy użyciu prywatnego translatora DNS platformy Azure.

Łączność hybrydowa

• Topologia sieci typu koncentrator–szprychy korzystająca z usługi Azure Virtual WAN: Zaimplementuj topologię sieci typu koncentrator–szprychy przy użyciu usługi Azure Virtual WAN z infrastrukturą koncentratora zarządzaną przez firmę Microsoft.
• Projekt architektury Azure Virtual WAN na dużą skalę: projektowanie architektury sieci Azure Virtual WAN na dużą skalę w wielu regionach Azure.
• Azure Virtual WAN zoptymalizowany pod kątem wymagań specyficznych dla działu: Optymalizowanie architektury Azure Virtual WAN pod kątem wymagań dotyczących wydajności i zabezpieczeń specyficznych dla działu.
• Połącz sieć lokalną z Azure: porównaj opcje łączenia sieci lokalnej z Azure, w tym Azure VPN Gateway i Azure ExpressRoute.
• Połącz sieć lokalną z platformą Azure za pomocą usługi Azure ExpressRoute z przełączaniem awaryjnym do sieci VPN: użyj usługi Azure ExpressRoute jako podstawowego połączenia z platformą Azure, a usługi Azure VPN Gateway jako połączenia zapasowego.

Bezpieczeństwo sieci

• Wdróż zgodność z TIC 3.0: Wdróż zgodność z programem Trusted Internet Connections (TIC) 3.0 dla aplikacji dostępnych z Internetu.
• Implementowanie bezpiecznej sieci hybrydowej: rozszerzanie sieci lokalnej na Azure przy użyciu sieci obwodowej i Azure Firewall.

Gotowość organizacji

Organizacje na początku procesu wdrażania chmury mogą używać Cloud Adoption Framework dla Azure aby uzyskać dostęp do sprawdzonych wskazówek, które przyspieszają wdrażanie chmury. Poniższe artykuły mogą pomóc w zaplanowaniu i zaimplementowaniu rozwiązania sieciowego:

• Topologia sieci i łączność: przejrzyj obszar projektowania topologii sieci i łączności dla stref docelowych Azure.
• Łączność z innymi dostawcami usług w chmurze: ustanawianie połączeń klasy korporacyjnej między Azure a innymi dostawcami usług w chmurze.
• Łączność z infrastrukturą Oracle Cloud Infrastructure: skonfiguruj bezpieczną łączność o wysokiej wydajności między Azure i infrastrukturą Oracle Cloud Infrastructure.

Aby zapewnić jakość rozwiązania sieciowego na Azure, postępuj zgodnie ze wskazówkami w przewodniku Azure Well-Architected Framework. Struktura Well-Architected zawiera normatywne wskazówki dla organizacji, które szukają doskonałości architektury i opisują sposób projektowania, aprowizacji i monitorowania rozwiązań platformy Azure zoptymalizowanych pod kątem kosztów. Aby uzyskać wskazówki dotyczące sieci, zobacz następujące przewodniki dotyczące usługi Well-Architected Framework:

• Najlepsze rozwiązania dotyczące architektury dla usługi Azure Application Gateway v2
• najlepsze rozwiązania dotyczące architektury dla usługi Azure ExpressRoute
• Najlepsze rozwiązania dotyczące architektury dla Azure Firewall
• Najlepsze rozwiązania dotyczące architektury dla usługi Azure Front Door
• Najlepsze rozwiązania dotyczące architektury dla usługi Azure Load Balancer
• Najlepsze rozwiązania dotyczące architektury dla usługi Azure Traffic Manager
• Najlepsze rozwiązania dotyczące architektury dla Azure Virtual Network
• Najlepsze rozwiązania dotyczące architektury dla Azure Virtual WAN

Najlepsze rozwiązania

Zastosuj te najlepsze rozwiązania, aby poprawić bezpieczeństwo, niezawodność, wydajność i jakość operacyjną obciążeń sieciowych na Azure.

• Najlepsze rozwiązania dotyczące architektury dla Azure Application Gateway w wersji 2: Zapoznaj się ze wskazówkami dotyczącymi platformy Well-Architected Framework dotyczącymi projektowania bezpiecznych, niezawodnych i wydajnych wdrożeń usługi Application Gateway.

• Najlepsze rozwiązania dotyczące architektury dla Azure Firewall: Zapoznaj się ze wskazówkami dotyczącymi struktury Well-Architected dotyczącymi wdrożeń Azure Firewall, w tym zabezpieczeń, optymalizacji kosztów i najlepszych rozwiązań operacyjnych.

• Najlepsze rozwiązania dotyczące architektury dla Azure Virtual Network: Przejrzyj wskazówki dotyczące struktury Well-Architected dotyczące projektowania sieci wirtualnej, w tym segmentacji, planowania adresów IP i zabezpieczeń sieci.

• Najlepsze rozwiązania dotyczące architektury dla Azure Virtual WAN: Zapoznaj się ze wskazówkami dotyczącymi platformy Well-Architected framework dotyczącymi wdrożeń Azure Virtual WAN, w tym zaleceń dotyczących zabezpieczeń, niezawodności i wydajności.

• Azure najlepsze rozwiązania dotyczące zabezpieczeń sieci: stosowanie najlepszych rozwiązań dotyczących zabezpieczeń sieci, w tym zasad Zero Trust, wskazówek dotyczących segmentacji sieci i strategii równoważenia obciążenia.

• Azure Private Link w topologii piasty i szprych: Zaplanuj wdrożenie prywatnych punktów końcowych w topologiach sieci piasty i szprych lub Azure Virtual WAN.

• Zalecenia dotyczące używania stref dostępności i regionów: wybierz odpowiednie podejście wdrażania w różnych strefach dostępności i regionach, aby spełnić wymagania dotyczące niezawodności.

• Opcje łączności w sieci wirtualnej i komunikacja między szprychami: porównaj komunikację równorzędną między sieciami wirtualnymi, bramy sieci VPN i inne opcje łączności do komunikacji między szprychami.

• Używanie Azure ExpressRoute z platformą Power Platform: konfigurowanie łączności Azure ExpressRoute dla obciążeń Microsoft Power Platform.

Bądź na bieżąco z siecią

Azure usługi sieciowe ewoluują, aby sprostać nowoczesnym wyzwaniom związanym z danymi. Bądź na bieżąco z najnowszymi aktualizacjami i funkcjami.

Aby być na bieżąco z kluczowymi usługami sieciowymi, zobacz następujące artykuły:

• Co nowego w Azure VPN Gateway?
• Co nowego w Azure Virtual WAN?
• Co nowego w Azure Load Balancer?

Inne zasoby

Poniższe zasoby mogą pomóc w odnalezieniu więcej informacji na temat sieci.

Zasoby platformy w chmurze

• Tradycyjna topologia sieci platformy Azure: Zapoznaj się z założeniami projektowymi i zaleceniami dotyczącymi tradycyjnych topologii sieci typu piasta-szprychy na platformie Azure, w tym komunikacji równorzędnej sieci wirtualnych, usługi Azure ExpressRoute i konfiguracji bramy sieci VPN.

• Co to jest strefa docelowa Azure?: Dowiedz się więcej o ustandaryzowanym podejściu do konfigurowania środowiska Azure na dużą skalę, w tym topologii sieci piasty i szprych i Azure Virtual WAN.

• Podstawowa, wysoce dostępna, strefowo nadmiarowa aplikacja internetowa: Wdróż bezpieczną, strefowo nadmiarową aplikację internetową w środowisku Azure przy użyciu usługi Azure Application Gateway, Azure Private Link i integracji z siecią wirtualną.

• Topologia sieci i łączność dla Rozwiązanie Azure VMware: Zaprojektuj topologię sieci i łączność dla wdrożeń Rozwiązanie Azure VMware, w tym usług Azure ExpressRoute, Global Reach oraz integrację z topologią piasta-szprycha lub z usługą Azure Virtual WAN.

• Azure Private Link i integracja DNS na dużą skalę: konfigurowanie stref Azure Private Link i prywatnych DNS na dużą skalę w środowiskach przedsiębiorstwa, w tym oparte na zasadach zarządzanie rekordami DNS i scentralizowaną architekturę DNS.

Specjaliści ds. usług Amazon Web Services (AWS) lub Google Cloud

Aby ułatwić szybkie rozpoczęcie pracy, poniższe artykuły porównują Azure opcje sieciowe z innymi usługami w chmurze i zapewniają wskazówki dotyczące migracji.

Porównanie usług

• Porównanie opcji sieciowych AWS i platformy Azure: porównaj podstawowe usługi sieciowe AWS i platformy Azure, w tym sieci wirtualne, sieci VPN, równoważenie obciążenia, DNS, Private Link i połączenia równorzędne.
• Porównanie usług Google Cloud do Azure — sieć: porównaj usługi sieciowe Google Cloud z Azure odpowiednikami, w tym VPC, DNS, równoważeniem obciążenia, siecią VPN, usługą ExpressRoute i usługami zapory.

Wskazówki dotyczące migracji

Jeśli przeprowadzasz migrację z innej platformy w chmurze, zobacz następujący artykuł:

• Migruj sieć z platformy AWS do platformy Azure: Zapoznaj się z przewodnikami dotyczącymi migracji sieci podczas przenoszenia usług sieciowych z AWS do platformy Azure, w tym łączności z bramą sieci VPN, migracji usługi Application Load Balancer, migracji usługi Network Load Balancer oraz migracji usługi API Gateway.