Omówienie usług sieciowych platformy Azure

Usługi sieciowe Azure łączą zasoby Azure ze sobą, z sieciami lokalnymi oraz z internetem. Równoważą obciążenie, zabezpieczają i monitorują ten ruch. Razem te usługi pozwalają zbudować prywatną, wysoko dostępną i chronioną sieć w chmurze bez konieczności wdrażania czy utrzymywania fizycznego sprzętu sieciowego.

Ten artykuł jest punktem wejścia do dokumentacji sieci Azure. Grupuje usługi w sześć kategorii, podsumowuje, czym zajmuje się każda usługa, i łączy się z każdym centrum kategorii, gdzie można szczegółowo zgłębić ten obszar.

Usługi sieciowe Azure dzielą się na sześć kategorii. Wybierz kategorię, aby poznać jego usługi:

• Podstawy sieci: Podstawowa łączność dla Twoich zasobów w Azure – Virtual Network (VNet), Private Link, Azure DNS, Azure Bastion, Route Server, NAT Gateway oraz Traffic Manager.
• Równoważenie obciążenia i dostarczanie zawartości: Zarządzaj aplikacjami i obciążeniami, rozdzielaj je oraz optymalizuj — Load Balancer, Application Gateway i Azure Front Door.
• Łączność hybrydowa: Bezpieczna komunikacja do i z Twoich zasobów w Azure – VPN Gateway, ExpressRoute, Virtual WAN oraz usługa peering.
• Bezpieczeństwo sieci: Chroń swoje aplikacje webowe i usługi IaaS przed atakami DDoS i złośliwymi aktorami – Firewall Manager, Firewall, Web Application Firewall oraz DDoS Protection.
• Zarządzanie i monitorowanie sieci: Zarządzaj i monitoruj zasoby sieciowe – Network Watcher, Azure Monitor oraz Azure Virtual Network Manager.
• Sieci kontenerowe: Zwiększone bezpieczeństwo i obserwacja dla obciążeń kontenerowych na Azure Kubernetes Service (AKS) - bezpieczeństwo sieci kontenerowej oraz obserwacja sieci kontenerowej.

Poniższa tabela podsumowuje każdą kategorię sieci, jej kluczowe usługi oraz główny przypadek użycia:

Category	Kluczowe usługi	Podstawowy przypadek użycia	Learn more
Podstawy sieci komputerowych	Virtual Network, Private Link, Azure DNS, Azure Bastion, Route Server, NAT Gateway, Traffic Manager	Podstawowa łączność dla zasobów na platformie Azure	Podstawowe usługi sieciowe platformy Azure
Równoważenie obciążenia i dostarczanie zawartości	Load Balancer, Application Gateway, Azure Front Door	Dystrybucja i optymalizacja ruchu aplikacji	Usługi Azure do równoważenia obciążenia i dostarczania treści
Łączność hybrydowa	VPN Gateway, ExpressRoute, Virtual WAN, usługa peering	Połącz sieci lokalne z platformą Azure	Usługi hybrydowej łączności Azure
Bezpieczeństwo sieci	Menedżer zapory sieciowej, Zapora, Zapora aplikacji internetowych, Ochrona przed atakami DDoS	Chronić aplikacje i zasoby przed zagrożeniami	Azure Network Security Services
Zarządzanie siecią i monitorowanie	Network Watcher, Azure Monitor, Azure Virtual Network Manager	Zarządzaj i monitoruj zasoby sieciowe	Usługi zarządzania i monitorowania sieci Azure
Sieć kontenerów	Bezpieczeństwo sieci kontenerowej, obserwowalność sieci kontenerowej	Zabezpiecz i obserwuj ruch kontenerowy AKS	Zaawansowane usługi sieciowe dla kontenerów

Podstawowe usługi sieciowe platformy Azure

W tej sekcji opisano usługi, które udostępniają bloki konstrukcyjne do projektowania i tworzenia architektury środowiska sieciowego na platformie Azure — sieć wirtualna, usługa Private Link, usługa Azure DNS, usługa Azure Bastion, serwer tras, brama translatora adresów sieciowych i usługa Traffic Manager.

Sieć wirtualna

Azure Virtual Network (VNet) to podstawowy blok konstrukcyjny dla sieci prywatnej na platformie Azure. Użyj VNets do:

• Komunikacja między zasobami Azure: Wdrażanie maszyn wirtualnych i kilku innych typów zasobów Azure do sieci wirtualnej, takich jak Azure App Service Environments, Azure Kubernetes Service (AKS) oraz Azure Virtual Machine Scale Sets. Aby wyświetlić kompletną listę zasobów platformy Azure, które można wdrożyć w sieci wirtualnej, zobacz Integracja usług w sieci wirtualnej.
• Komunikacja między sobą: Łącz sieci wirtualne ze sobą, umożliwiając komunikację zasobów w obu sieciach wirtualnych, korzystając z peeringu sieci wirtualnej lub Azure Virtual Network Manager. Łączone sieci wirtualne mogą znajdować się w tym samym regionie lub w różnych regionach świadczenia usługi Azure. Aby uzyskać więcej informacji, zobacz Peering sieci wirtualnych i Azure Virtual Network Manager.
• Komunikacja z Internetem: wszystkie zasoby w sieci wirtualnej mogą domyślnie komunikować się wychodząco z Internetem. Z zasobem w ruchu przychodzącym możesz komunikować się przez przypisanie publicznego adresu IP lub publicznego modułu równoważenia obciążenia. Możesz też używać publicznych adresów IP lub publicznego Load Balancer do zarządzania połączeniami wychodzącymi.
• Komunikuj się z sieciami lokalnymi: Połącz swoje komputery i sieci lokalne z siecią wirtualną, korzystając z VPN Gateway lub ExpressRoute.
• Szyfrowanie ruchu między zasobami: Użyj szyfrowania sieci wirtualnej do szyfrowania ruchu między zasobami w sieci wirtualnej.

Sieciowe grupy zabezpieczeń

Filtruj ruch sieciowy do i z zasobów Azure w wirtualnej sieci Azure, korzystając z grupy zabezpieczeń sieci. Aby uzyskać więcej informacji, zobacz Sieciowe grupy zabezpieczeń.

Punkty końcowe usługi

Punkty końcowe usługi sieci wirtualnej rozszerzają prywatną przestrzeń adresową sieci wirtualnej i tożsamość sieci wirtualnej do usług platformy Azure za pośrednictwem bezpośredniego połączenia. Punkty końcowe umożliwiają zabezpieczanie krytycznych zasobów usługi Azure wyłącznie w Twoich sieciach wirtualnych. Ruch z sieci wirtualnej do usługi Azure zawsze pozostaje w sieci szkieletowej Microsoft Azure.

Azure Private Link

Azure Private Link umożliwia dostęp do usług Azure PaaS (na przykład Azure Storage i SQL Database) oraz usług Azure hostowanych przez klientów lub partnerów przez prywatny punkt końcowy w Twojej wirtualnej sieci. Ruch między siecią wirtualną a usługą jest przesyłany przez sieć szkieletową firmy Microsoft. Nie musisz już ujawniać usługi publicznej sieci Internet. Możesz również utworzyć własną usługę łącza prywatnego w sieci wirtualnej i dostarczyć ją do klientów.

Azure DNS

Azure DNS zapewnia hosting i rozwiązywanie rozwiązań DNS, korzystając z infrastruktury Microsoft Azure. Usługa Azure DNS składa się z trzech usług:

• Publiczna usługa DNS platformy Azure to usługa hostingu dla domen DNS. Dzięki hostowaniu swoich domen na platformie Azure możesz zarządzać rekordami DNS z zastosowaniem tych samych poświadczeń, interfejsów API, narzędzi i rozliczeń co w przypadku innych usług platformy Azure.
• Azure Prywatna strefa DNS to usługa DNS dla sieci wirtualnych. Usługa Azure Prywatna strefa DNS zarządza i rozpoznaje nazwy domen w sieci wirtualnej bez konfigurowania niestandardowego rozwiązania DNS.
• Azure DNS Private Resolver to usługa służąca do zapytań do stref prywatnych Azure DNS ze środowiska lokalnego i odwrotnie, bez konieczności wdrażania serwerów DNS opartych na maszynach wirtualnych.

Dzięki użyciu Azure DNS możesz hostować i rozwiązywać domeny publiczne, zarządzać rozwiązywaniem DNS w swoich sieciach wirtualnych oraz włączać rozwiązywanie nazw między Azure a zasobami lokalnymi.

Azure Bastion

Azure Bastion to usługa, którą możesz wdrożyć w sieci wirtualnej, aby połączyć się z maszyną wirtualną, korzystając z przeglądarki i portalu Azure. Możesz też połączyć się, korzystając z natywnego klienta SSH lub RDP, który jest już zainstalowany na twoim lokalnym komputerze. Usługa Azure Bastion to w pełni zarządzana przez platformę usługa PaaS wdrażana w sieci wirtualnej. Zapewnia ona bezpieczną i bezproblemową łączność RDP/SSH z maszynami wirtualnymi bezpośrednio z poziomu witryny Azure Portal za pośrednictwem protokołu TLS. Gdy łączysz się przez Azure Bastion, twoje maszyny wirtualne nie potrzebują publicznego adresu IP, agenta ani specjalnego oprogramowania klienckiego. Usługa Azure Bastion oferuje cztery warstwy SKU: Developer, Basic, Standard i Premium. Wybrany przez ciebie poziom wpływa na dostępne funkcje. Aby uzyskać więcej informacji, zobacz About Bastion configuration settings (Informacje o ustawieniach konfiguracji usługi Bastion).

Azure Route Server

Usługa Azure Route Server upraszcza routing dynamiczny między wirtualnym urządzeniem sieciowym a siecią wirtualną. Możesz wymieniać się informacjami o trasowaniu bezpośrednio za pomocą protokołu Border Gateway Protocol (BGP) pomiędzy dowolnym NVA obsługującym protokół routingu BGP a Azure Software Defined Network (SDN) w Azure Virtual Network (VNet) bez konieczności ręcznej konfiguracji lub utrzymywania tabel tras.

NAT Gateway

NAT Gateway upraszcza łączność internetową wyłącznie wychodzącą dla sieci wirtualnych. Gdy konfigurujesz go w podsieci, cała łączność wychodząca korzysta z określonych statycznych publicznych adresów IP. Łączność wychodząca jest możliwa bez równoważenia obciążenia ani publicznych adresów IP dołączonych bezpośrednio do maszyn wirtualnych. Więcej informacji znajdziesz w artykule Co to jest brama NAT w Azure.

Menedżer ruchu

Azure Traffic Manager to oparty na DNS balans obciążenia ruchu, który optymalnie rozdziela ruch do usług w globalnych regionach Azure, zapewniając jednocześnie wysoką dostępność i responsywność. Traffic Manager oferuje szereg metod kierowania ruchem służących do rozdzielania ruchu, takich jak priorytet, waga, wydajność, lokalizacja geograficzna, wiele wartości lub podsieć.

Na poniższym diagramie przedstawiono routing oparty na priorytecie punktu końcowego w usłudze Traffic Manager:

Aby uzyskać więcej informacji na temat usługi Traffic Manager, zobacz Co to jest usługa Azure Traffic Manager?

Usługi równoważenia obciążenia i dostarczania zawartości platformy Azure

Ta sekcja opisuje usługi sieciowe w Azure, które pomagają dostarczać aplikacje i obciążenia – Load Balancer, Application Gateway oraz Azure Front Door.

Load Balancer

Ważna

30 września 2025 r. usługa Basic Load Balancer została wycofana. Więcej informacji znajdziesz w oficjalnym ogłoszeniu. Jeśli obecnie używasz Load Balancer w warstwie Podstawowa, przeprowadź uaktualnienie do usługa Load Balancer w warstwie Standardowa tak szybko, jak to możliwe. Aby uzyskać wskazówki dotyczące aktualizacji, zobacz Aktualizacja z usługi Basic Load Balancer - wskazówki.

Usługa Azure Load Balancer zapewnia wysoką wydajność i niskie opóźnienia w równoważeniu obciążenia na poziomie warstwy 4 dla wszystkich protokołów UDP i TCP. Zarządza połączeniami przychodzącymi i wychodzącymi. Możesz skonfigurować publiczne i wewnętrzne końcowe punkty równoważenia obciążenia. Można zdefiniować reguły, aby mapować połączenia przychodzące do docelowego zaplecza przy użyciu opcji badania stanu zdrowia TCP i HTTP w celu nadzorowania dostępności usługi.

Usługa Azure Load Balancer jest dostępna w wariantach Standard i Gateway.

Poniższy diagram przedstawia aplikację wielopoziomową działającą w internecie, która korzysta zarówno z zewnętrznych, jak i wewnętrznych balansatorów obciążenia:

Application Gateway

Usługa Azure Application Gateway to moduł równoważenia obciążenia ruchu internetowego, którego można użyć do zarządzania ruchem do aplikacji internetowych. To Kontroler Dostarczania Aplikacji (ADC) jako usługa, oferujący różne możliwości równoważenia obciążenia warstwy 7 dla Twoich aplikacji.

Poniższy diagram przedstawia trasowanie oparte na ścieżkach URL za pomocą Application Gateway.

Azure Front Door

Azure Front Door pomaga zdefiniować, zarządzać i monitorować globalne trasowanie ruchu internetowego, optymalizując pod kątem najlepszej wydajności i natychmiastowego globalnego przełączania awaryjnego dla wysokiej dostępności. Korzystając z Front Door, możesz przekształcić swoje globalne (wieloregionalne) aplikacje konsumenckie i korporacyjne w solidne, wysokowydajne, spersonalizowane nowoczesne aplikacje, API i treści, które dzięki Azure docierają do globalnej publiczności. Użyj Front Door, gdy potrzebujesz globalnego punktu wejścia warstwy 7, które łączy buforowanie w sieci dostarczania treści (CDN), odciążanie SSL oraz zaporę aplikacji internetowych (WAF) przed wieloregionalnymi usługami zaplecza.

Usługi łączności hybrydowej platformy Azure

Ta sekcja opisuje usługi łączności sieciowej, które bezpiecznie łączą Twoją sieć lokalną z Azure – VPN Gateway, ExpressRoute, Virtual WAN oraz Peering Service.

brama VPN

Usługa VPN Gateway ułatwia tworzenie zaszyfrowanych połączeń obejmujących wiele lokalizacji z siecią wirtualną z lokalizacji lokalnych lub tworzenie zaszyfrowanych połączeń między sieciami wirtualnymi. Dostępne są różne konfiguracje połączeń VPN Gateway. Oto niektóre z głównych funkcji:

• Łączność sieci VPN typu lokacja-lokacja
• Łączność sieci VPN typu punkt-lokacja
• Łączność VPN między sieciami wirtualnymi (VNet do VNet)

Na poniższym diagramie przedstawiono wiele połączeń sieci VPN typu lokacja-lokacja z tą samą siecią wirtualną. Aby wyświetlić więcej diagramów połączeń, zobacz VPN Gateway — projektowanie.

ExpressRoute

ExpressRoute rozszerza Twoje sieci lokalne do chmury Microsoft poprzez prywatne połączenie, które zapewnia dostawca łączności. To połączenie jest prywatne. Ruch nie przechodzi przez Internet. Dzięki ExpressRoute możesz łączyć się z usługami chmurowymi Microsoft, takimi jak Microsoft Azure, Microsoft 365 i Dynamics 365.

Virtual WAN

Azure Virtual WAN to usługa sieciowa, która zapewnia wiele funkcji sieci, zabezpieczeń i routingu w celu zapewnienia jednego interfejsu operacyjnego. Łączysz się z Azure VNets za pomocą połączeń sieci wirtualnej. Oto niektóre z głównych funkcji:

• Łączność oddziałowa (za pośrednictwem automatyzacji łączności z urządzeń partnerów usługi Virtual WAN, takich jak SD-WAN lub VPN CPE)
• Łączność sieci VPN typu lokacja-lokacja
• Łączność sieci VPN użytkownika zdalnego (punkt-lokacja)
• Łączność prywatna (ExpressRoute)
• Łączność wewnątrz chmury (łączność przechodnia dla sieci wirtualnych)
• Łączność VPN ExpressRoute
• Routing, usługa Azure Firewall i szyfrowanie na potrzeby łączności prywatnej

Peering Service

Azure Peering Service zwiększa łączność klientów z usługami chmurowymi Microsoft, takimi jak Microsoft 365, Dynamics 365, oprogramowanie jako usługa (SaaS), Azure lub dowolnymi usługami usługi firmy Microsoft dostępnymi przez publiczny internet. Partnerzy usług peeringowych zapewniają optymalizowane, niezawodne trasowanie do sieci Microsoft, co zmniejsza opóźnienia i utratę pakietów w porównaniu do typowego transportu internetowego dla ruchu zmierzającego do usług chmurowych Microsoft.

Azure Network Security Services

Ta sekcja opisuje usługi sieciowe w Azure, które chronią i monitorują Twoje zasoby sieciowe – Firewall Manager, Firewall, Web Application Firewall oraz Ochronę przed DDoS.

Firewall Manager

Azure Firewall Manager to usługa zarządzania bezpieczeństwem, która zapewnia centralne polityki bezpieczeństwa i zarządzanie trasowaniem dla chmurowych obszarów bezpieczeństwa. Firewall Manager może zapewnić zarządzanie bezpieczeństwem dla dwóch typów architektury sieci: bezpiecznego wirtualnego huba oraz wirtualnej sieci hub. Użyj Azure Firewall Manager do wdrażania wielu instancji Azure Firewall w regionach i subskrypcjach Azure, wdrażania planów ochrony przeciw DDoS, zarządzania politykami firewall aplikacji webowych oraz integracji z partnerem security-as-a-service dla zwiększenia bezpieczeństwa.

Azure Firewall

Azure Firewall to zarządzana usługa zabezpieczeń sieci oparta na chmurze, która chroni zasoby usługi Azure Virtual Network. Dzięki użyciu Azure Firewall możesz centralnie tworzyć, egzekwować i rejestrować polityki łączności aplikacji i sieci pomiędzy subskrypcjami i sieciami wirtualnymi. Azure Firewall używa statycznego publicznego adresu IP dla zasobów sieci wirtualnej, dzięki czemu zewnętrzne zapory mogą identyfikować ruch pochodzący z Twojej sieci wirtualnej.

Web Application Firewall

Azure Web Application Firewall (WAF) chroni Twoje aplikacje webowe przed powszechnymi atakami i podatnościami, takimi jak wstrzykiwanie SQL czy skrypty międzywitrynowe. Azure WAF zapewnia gotową ochronę przed lukami z listy OWASP Top 10 dzięki regułom zarządzanym. Dodatkowo można skonfigurować niestandardowe reguły, które zapewniają dodatkową ochronę na podstawie zakresu IP źródłowego oraz atrybutów żądań, takich jak nagłówki, ciasteczka, pola danych formularza czy parametry ciągów zapytań.

Możesz wdrożyć Azure WAF za pomocą Application Gateway, który zapewnia ochronę regionalną dla podmiotów w przestrzeni adresowej publicznej i prywatnej. Możesz także wdrożyć Azure WAF w usłudze Front Door, który zapewnia ochronę na brzegu sieci dla publicznych punktów końcowych.

DDoS Protection

Usługa Azure DDoS Protection zapewnia środki zaradcze przed najbardziej zaawansowanymi zagrożeniami DDoS. Usługa zapewnia rozszerzone możliwości ograniczania ryzyka ataków DDoS dla aplikacji i zasobów wdrożonych w sieciach wirtualnych. Dodatkowo, dzięki Azure DDoS Protection, masz dostęp do wsparcia DDoS Rapid Response, aby angażować ekspertów DDoS podczas aktywnego ataku.

Usługa Azure DDoS Protection składa się z dwóch warstw:

• Ochrona przed atakami DDoS Network Protection w połączeniu z najlepszymi rozwiązaniami dotyczącymi projektowania aplikacji zapewnia ulepszone funkcje ograniczania ryzyka ataków DDoS. Jest ona automatycznie dostrojona w celu ochrony określonych zasobów platformy Azure w sieci wirtualnej.
• Ochrona adresów IP przed atakami DDoS to model adresów IP chronionych za płatność. Ochrona DDoS IP zawiera te same podstawowe funkcje inżynieryjne, co ochrona sieci przed atakami DDoS, ale różni się następującymi usługami o wartości dodanej: szybka obsługa incydentów DDoS, ochrona kosztów i rabaty na zaporę aplikacji internetowej (WAF).

Usługi zarządzania i monitorowania sieci Azure

W tej sekcji opisano usługi zarządzania siecią i monitorowania na platformie Azure — Network Watcher, Azure Monitor i Azure Virtual Network Manager.

Azure Network Watcher

Azure Network Watcher to usługa, która udostępnia narzędzia umożliwiające monitorowanie, diagnozowanie, wyświetlanie metryk i włączanie lub wyłączanie dzienników zasobów w sieci wirtualnej platformy Azure.

Azure Monitor

Usługa Azure Monitor maksymalizuje dostępność i wydajność aplikacji, zapewniając kompleksowe rozwiązanie umożliwiające zbieranie, analizowanie i przetwarzanie danych telemetrycznych z chmury i środowisk lokalnych. Usługa ta pomaga interpretować działanie aplikacji i proaktywnie identyfikuje problemy dotyczące aplikacji i zasobów, od których zależą.

Azure Virtual Network Manager

Azure Virtual Network Manager to usługa zarządzania, której używasz do grupowania, konfigurowania, wdrażania i zarządzania sieciami wirtualnymi globalnie na podstawie subskrypcji. Korzystając z Virtual Network Manager, możesz zdefiniować grupy sieciowe, aby identyfikować i logicznie segmentować swoje sieci wirtualne. Następnie można określić żądane konfiguracje łączności i zabezpieczeń i zastosować je we wszystkich wybranych sieciach wirtualnych w grupach sieci jednocześnie.

Usługi sieciowe kontenerów platformy Azure

Ta sekcja opisuje usługi zabezpieczające i monitorujące ruch sieciowy dla obciążeń kontenerowych uruchamianych na Azure Kubernetes Service (AKS) - Container network security and Container network observability. Obie usługi są częścią Advanced Container Networking Services.

Zabezpieczenia sieci kontenerów

Bezpieczeństwo sieci kontenerowej zapewnia zwiększoną kontrolę nad bezpieczeństwem sieci AKS. Dzięki zastosowaniu funkcji takich jak w pełni kwalifikowane filtrowanie nazw domen (FQDN), klastry korzystające z Azure CNI Powered by Cilium mogą wdrażać polityki sieciowe oparte na FQDN, aby osiągnąć architekturę bezpieczeństwa Zero Trust w AKS.

Możliwość obserwowania sieci kontenerów

Obserwacja sieci kontenerowej wykorzystuje płaszczyznę sterowania Hubble'a, aby zapewnić kompleksowy wgląd w sieć i wydajność AKS. Oferuje ona szczegółowe informacje na poziomie węzła, zasobnika, TCP i DNS, zapewniając dokładne monitorowanie infrastruktury sieciowej.

Treści powiązane

• Podstawowe usługi sieciowe platformy Azure
• Usługi Azure do równoważenia obciążenia i dostarczania treści
• Usługi hybrydowej łączności Azure
• Azure Network Security Services
• Usługi zarządzania i monitorowania sieci Azure
• Zaawansowane usługi sieciowe dla kontenerów
• Stwórz swoją pierwszą wirtualną sieć
• Konfigurowanie połączenia sieci VPN typu punkt-lokacja
• Utwórz moduł równoważenia obciążenia dostępny z Internetu