Visão geral do planejamento e design de rede do Azure

Este guia ajuda você a planejar e projetar sua rede Azure. Ele mostra quais Azure serviços de rede estão disponíveis e ajuda você a escolher os serviços certos com base no que sua carga de trabalho precisa. Comece aqui para migrações de aplicativos e novos designs nativos de nuvem.

O que é Azure rede?

Em Azure, a rede é definida pelo software. Ao contrário das redes locais em que você gerencia cabos físicos, comutadores e dispositivos de hardware, Azure rede é um conjunto de serviços que você cria e configura. Use o portal do Azure, a CLI do Azure ou ferramentas de infraestrutura como código, como o Bicep e o Terraform. Os blocos de construção (redes virtuais, gateways, balanceadores de carga e firewalls) são recursos que você provisiona sob demanda e dimensionam independentemente.

Pense dessa forma: em um datacenter tradicional, a rede existe antes de você implantar qualquer coisa. Os cabos são passados, os switches são instalados em rack e configurados, e os firewalls são provisionados com semanas de antecedência. Em Azure, você cria os recursos de rede como parte de sua implantação. Você define o espaço de endereço, cria sub-redes, anexa regras de segurança e se conecta à Internet ou ao seu ambiente local. Essa configuração leva minutos em vez de semanas.

Essa abordagem definida pelo software oferece flexibilidade que as redes físicas não oferecem:

• Provisionamento sob demanda: criar, modificar ou excluir recursos de rede sem aquisição de hardware ou acesso físico.
• Configuração declarativa: defina o estado da rede de destino em modelos. Azure lida com os detalhes da implementação.
• Dimensionamento independente: dimensione um balanceador de carga, adicione sub-redes ou expanda um espaço de endereço sem afetar outros recursos.
• Redundância interna: muitos serviços de rede Azure incluem opções com redundância de zona e com redundância geográfica por padrão.

Antes de implantar qualquer carga de trabalho no Azure, você precisa de uma rede. Cada máquina virtual, banco de dados, contêiner e aplicativo Web é executado dentro de uma rede virtual. Rede Virtual do Azure integra-se diretamente com mais de 16 outros serviços de Azure: de Firewall do Azure e Gateway de Aplicativo do Azure a Link Privado do Azure e Azure Bastion. Este guia ajuda você a decidir quais serviços incluir e como eles se encaixam.

Visão geral dos serviços de rede do Azure

Azure rede abrange várias categorias. Você não precisa de todos eles. Escolha os serviços que correspondem aos requisitos da carga de trabalho:

• Rede virtual: redes virtuais, sub-redes, endereçamento IP e interfaces de rede. A base para todo o resto.
• Conectividade: Gateway de VPN, ExpressRoute e emparelhamento de rede virtual. Conecte-se Azure ao seu ambiente local, a outras regiões Azure ou a outras nuvens.
• Balanceamento de carga e entrega de aplicativos: Azure Load Balancer, Gateway de Aplicativo do Azure, Azure Front Door e Gerenciador de Tráfego do Azure. Distribua o tráfego, otimize o desempenho e melhore a disponibilidade.
• Segurança: grupos de segurança de rede, Firewall do Azure, Firewall de Aplicativo Web do Azure e proteção contra DDoS Azure. Controle o fluxo de tráfego e proteja seus recursos.
• Acesso privado: Link Privado do Azure e pontos de extremidade privados. Conecte-se aos serviços de PaaS Azure sem expor o tráfego à Internet pública.
• DNS: DNS do Azure, zonas DNS privadas e DNS do Azure Resolvedor Privado. Resolução de nomes para seus ambientes Azure e híbridos.
• Monitoramento e gerenciamento: Observador de Rede do Azure, Azure Monitor e Gerenciador de Rede Virtual do Azure. Observe o tráfego, diagnostice problemas e gerencie redes em escala.

Este guia aborda todas essas categorias. Cada artigo se concentra em uma área de funcionalidade e ajuda você a escolher entre os serviços nessa área.

Escolha seu cenário

Comece aqui. Um percurso de cenário é a forma recomendada de usar este guia. Escolha o caminho que corresponde ao projeto e siga-o de ponta a ponta. Cada caminho sequencia cada decisão de design na ordem certa:

Scenario	Melhor para	Guide
Lift-and-shift.	Mover cargas de trabalho locais para Azure IaaS sem arquitetar novamente	Caminho de rede para migração direta (lift-and-shift).
Migrar e modernizar	Adotar serviços de PaaS, contêineres e bancos de dados gerenciados	Caminho de modernização da rede
Entre nuvens	Conectando Azure ao AWS ou ao Google Cloud ou migrando de outra nuvem	Caminho de rede multinuvem

Tip

Não tem certeza de qual cenário se encaixa? Leia as descrições anteriores ou continue a exploração baseada em funcionalidade.

Note

Não tem certeza se deve migrar diretamente ou modernizar? Se as suas cargas de trabalho forem executadas em VMs com alterações mínimas, comece com a migração direta. Se você estiver adotando serviços de PaaS como AKS, Serviço de Aplicativo ou SQL do Azure, comece com a migração e a modernização. Revisite o outro caminho mais tarde, conforme necessário. Os artigos se sobrepõem.

Seu caminho de design

Selecione seu cenário na parte superior deste artigo para adaptar o restante do guia. Veja como seu caminho é diferente:

Seu caminho de migração direta: você está migrando cargas de trabalho locais para o Azure IaaS com alterações mínimas.

• Fundações: Uma rede virtual por aplicativo e uma sub-rede por componente, espelhando sua segmentação local. Dimensione o espaço de endereço com margem para crescimento e evite sobreposição com os intervalos locais.
• Conectividade: Gateway de VPN ou ExpressRoute em um hub para acesso local, Azure Bastion para acesso de administrador e uma zona DNS privada com registros de alias para preservar nomes herdados codificados.
• Topologia e resiliência: Geralmente, um hub-and-spoke de uma única região é suficiente. Planeje a recuperação de desastre com Azure Site Recovery para cargas de trabalho que não podem abranger zonas ou regiões.
• Ordem sugerida: Redes virtuais e sub-redes, planejamento de IP, NSGs, hub-and-spoke, conectividade híbrida, acesso de desenvolvedor e administrador, segurança DNS, saída, Firewall do Azure, monitoramento.

Seu caminho de migração e modernização: você está adotando PaaS, contêineres e bancos de dados gerenciados, geralmente com resiliência ativa-ativa.

• Fundamentos: projete sub-redes em torno de serviços de plataforma (sub-redes dedicadas para o Ambiente do Serviço de Aplicativos e AKS com sobreposição CNI) e reserve espaço de endereço não sobreposto entre suas regiões primária e de backup.
• Conectividade e entrega: direcione o tráfego de saída dos spokes por meio de um firewall central com rotas definidas pelo usuário, utilize o Azure Front Door e o WAF como front-end para aplicativos Web e use o Gerenciador de Tráfego para aplicativos que não sejam Web.
• Topologia e operações: implante um modelo ativo-ativo em duas regiões com SKUs redundantes por zona, separe a propriedade do hub e dos spokes com assinaturas e RBAC e use o Gerenciador de Rede Virtual do Azure para políticas consistentes.
• Ordem sugerida: Redes virtuais e sub-redes, planejamento de IP, NSGs, hub-and-spoke, várias regiões, entrada da Internet, entrega de aplicativos, acesso privado de PaaS, Firewall do Azure, WAF, DDoS, segurança DNS, monitoramento, AVNM.

Seu caminho entre nuvens: Você está conectando Azure à AWS ou ao Google Cloud ou migrando de outra nuvem.

• Descubra primeiro: Mapeie os registros DNS e a topologia do AWS e do Google Cloud existentes antes de criar Azure e mapeie cada serviço de origem para seu Azure equivalente.
• Topologia e conectividade: Use WAN Virtual do Azure com um hub protegido e conecte-se ao AWS e ao Google Cloud via VPN IPsec. Espelhe suas regras de grupo de segurança existentes em Grupos de Segurança de Rede (NSGs).
• Resolução e entrega de nomes: use o Resolvedor Privado de DNS do Azure para resolução entre nuvens e no local e coloque um WAF de Camada 7 no Gateway de Aplicativo no spoke em vez de expor IPs públicos em VMs.
• Ordem sugerida: Entre regiões e várias nuvens, WAN Virtual, redes virtuais e sub-redes, planejamento de IP, NSGs, conectividade híbrida, segurança DNS, Firewall do Azure, monitoramento.

Como usar este guia

Se um caminho de cenário não corresponder ao seu projeto, use este guia como uma referência de recursos e vá diretamente para o artigo do recurso que você precisa. De qualquer forma, leia os artigos fundamentais primeiro.

Para quem é este guia? Administradores de rede, arquitetos de nuvem, tomadores de decisão de TI e desenvolvedores que precisam projetar ou entender Azure rede. Nenhuma experiência anterior do Azure é necessária. Os artigos fundamentais partem dos primeiros princípios.

O que este guia não é: Este guia não é um guia de implantação. Não inclui passo a passo do portal do Azure nem comandos da CLI. Depois de tomar suas decisões de design, siga os links de implementação na seção "Saiba mais" de cada artigo para obter instruções de implantação passo a passo.

Cada artigo de funcionalidade segue a mesma estrutura (o que ela abrange, quem precisa dela, os serviços de Azure envolvidos, tabelas de decisão para escolha, pré-requisitos e considerações de segurança) para que você possa verificar o que precisa.

Estrutura do guia

O guia tem cinco seções:

Seção	O que ele contém	Como usar
Artigos fundamentais	Redes virtuais, endereçamento IP e grupos de segurança de rede. Conceitos básicos que cada implantação de Azure usa.	Leia estes primeiro. Eles cobrem os blocos de construção nos quais todos os outros artigos se baseiam.
Artigos de conectividade	Conectividade híbrida, entrada da Internet, entrega de aplicativos, acesso de saída, acesso privado de PaaS, acesso à VM e conexões entre regiões.	Vá para os artigos que correspondem à forma como sua carga de trabalho se conecta: à Internet, ao local, a outros serviços Azure ou entre regiões.
Artigos de topologia	Topologias de rede, de redes planas simples a topologias hub-and-spoke, WAN Virtual do Azure e arquiteturas multirregionais.	Escolha com base na escala e complexidade do seu ambiente. Comece simples e cresça.
Artigos de segurança	Firewall do Azure, Firewall de Aplicativo Web do Azure, proteção contra DDoS Azure e segurança DNS.	Vá para os artigos que correspondem aos seus requisitos de segurança. Cada artigo no guia também inclui uma seção de considerações de segurança.
Artigos de operações	Monitoramento de rede, observabilidade e gerenciamento centralizado com Gerenciador de Rede Virtual do Azure.	Use estes artigos para planejar como você monitorará, solucionará problemas e gerenciará sua rede após a implantação.

O diagrama a seguir mostra como o guia é organizado. A visão geral se conecta a todos os cinco grupos de artigos, enquanto os guias de cenário e o resumo da fase ajudam os leitores a escolher como se mover pelo conteúdo.

Por onde começar: Para a maioria dos projetos, comece com um trajeto de cenário. Essa é a porta de entrada recomendada, e cada caminho sequencia suas decisões na ordem correta. Se você já souber qual capacidade precisa, use o navegador de necessidades de negócio. Se você é novo em redes do Azure, continue lendo esta visão geral ou delimite suas entradas com a avaliação de requisitos.

Reúna seus requisitos primeiro

Um bom design de rede começa com a descoberta, não com a implantação. Antes de criar uma única rede virtual, reúna as entradas que conduzem suas decisões de design. Cada entrada na tabela a seguir corresponde à decisão que você precisa tomar e ao artigo que ajuda você a tomá-la. Colete essas entradas para cada carga de trabalho que você planeja executar em Azure, idealmente para tudo o que você espera mover ou compilar nos próximos três a cinco anos, para que seu espaço de endereço e topologia tenham espaço para crescer.

Informações a serem coletadas	Decisão de design que ela impulsiona	Para onde ir
Nomes de carga de trabalho e número de componentes (camadas)	Contagem de rede virtual e sub-rede: uma rede virtual por carga de trabalho, uma sub-rede por componente	Redes virtuais e sub-redes
Contagem de elementos por componente, agora e projetada	Espaço de endereço e dimensionamento de sub-rede; se você precisa de um balanceador de carga	Planejamento de endereço IP, entrega de aplicativo
Regiões da implantação	Seleção de região e se você precisa de um design de várias regiões	Rede de várias regiões
Fluxos de tráfego entre componentes	Emparelhamento, regras de grupo de segurança de rede e resolução de nomes interna	Grupos de segurança de rede, segurança DNS
Conectividade local e largura de banda	Gateway de VPN vs ExpressRoute; intervalos de endereços que evitam sobreposição	Conectividade híbrida, planejamento de endereço IP
Necessidades de acesso de desenvolvedor e administrador	Azure Bastion ou VPN ponto a site	Acesso de desenvolvedor e administrador
Requisitos de Internet de saída	NAT Gateway, Firewall do Azure ou ambos; substituir o acesso de saída padrão	Acesso à Internet de saída
Requisitos de Internet de entrada	Gateway de Aplicativo, Azure Front Door, Gerenciador de Tráfego, WAF e proteção contra DDoS	Entrada da Internet, entrega de aplicativo
dependências do PaaS do Azure	Link privado, pontos de extremidade privados ou de serviço	Acesso privado de PaaS
Outras nuvens e interconectividade entre regiões	Hub-and-spoke vs WAN Virtual; trânsito entre nuvens	Topologia hub-and-spoke, WAN Virtual, Conectividade entre regiões e multicloud
Nível de segurança (isolamento, inspeção, criptografia)	Segmentação, inspeção de firewall e controles de perímetro	Grupos de segurança de rede, Firewall do Azure
Nível de resiliência (zonal versus regional)	SKUs de serviço com redundância de zona versus regionais	Rede de várias regiões
Necessidades de monitoramento e observabilidade	Observador de Rede e logs de fluxo	Monitoramento e observabilidade de rede

Depois de coletar essas entradas, use o navegador de necessidade de negócios para mapear cada requisito para o artigo que o aborda. Se você seguir uma trajetória de cenário, cada guia organiza essas decisões em sequência para você.

Comece aqui: artigos fundamentais

Antes de explorar recursos específicos, leia os três artigos fundamentais. Estes artigos abordam os blocos de construção que cada rede Azure usa, independentemente do tipo de carga de trabalho ou complexidade.

Artigo	O que ele aborda	Por que é fundamental
Redes virtuais e sub-redes do Azure	Criação de rede virtual, projeto de sub-rede, sub-redes dedicadas e decisões sobre espaço de endereçamento	Cada carga de trabalho Azure reside em uma rede virtual. Você precisa deste artigo antes de qualquer outra coisa.
Planejamento de endereço IP	Alocação de IP privado e público, faixas da RFC 1918, planejamento de CIDR e decisões sobre IPv6	Os endereços IP sustentam todas as decisões de rede. Um planejamento inadequado causa conflitos de endereço que são caros de corrigir posteriormente.
Grupos de segurança de rede e grupos de segurança de aplicativos	Regras de filtragem de tráfego, atribuição de grupo de segurança, tags de serviço e postura de negação por padrão	O controle de tráfego está ativo por padrão em Azure mas só funciona corretamente quando você o configura intencionalmente.

Depois de concluir os artigos fundamentais, passe para os artigos sobre os recursos que correspondam às necessidades da sua carga de trabalho. Não há nenhuma ordem necessária. Cada artigo sobre uma capacidade é independente.

Navegador de necessidades de negócios

Use esta tabela para encontrar o artigo certo com base no que sua carga de trabalho precisa. Cada linha mapeia um requisito comercial comum para o artigo que o aborda.

Preciso...	Ir para	Código do artigo
Configurar minha rede virtual principal e sub-redes	Redes virtuais e sub-redes	F1
Planejar e alocar meu espaço de endereço IP	Planejamento de endereço IP	F2
Controlar o tráfego entre minhas sub-redes e recursos	Grupos de segurança de rede e ASGs	F3
Conecte meu escritório ou datacenter local ao Azure	Conectividade híbrida	C1
Permitir que os usuários da Internet alcancem meu aplicativo	Entrada da Internet	C2
Otimizar a entrega e o desempenho do aplicativo globalmente	Entrega e desempenho do aplicativo	C3
Controlar o que meus recursos de Azure podem alcançar na Internet	Acesso à Internet de saída	C4
Conectar Azure VMs a Armazenamento do Azure, bancos de dados ou outros serviços de PaaS sem passar pela Internet pública	Acesso privado de PaaS	C5
Permitir que desenvolvedores ou administradores acessem com segurança Azure VMs	Acesso de desenvolvedor e administrador	C6
Conectar recursos do Azure em diferentes regiões ou conectar-se à AWS ou ao Google Cloud	Conectividade entre regiões e multinuvem	C7
Criar uma rede simples para uma única carga de trabalho	Topologia de rede simples	T1
Hospedar várias cargas de trabalho com serviços compartilhados, como um firewall ou gateway	Topologia hub e spoke	T2
Gerenciar redes em várias filiais e regiões	WAN Virtual do Azure	T3
Distribuir minha carga de trabalho em várias regiões do Azure para alta disponibilidade	Rede de várias regiões	T4
Inspecionar e filtrar todo o tráfego com um firewall	Firewall do Azure	S1
Proteger meu aplicativo Web contra ataques de camada HTTP	Firewall de Aplicativo Web	S2
Proteger meus recursos voltados para o público contra ataques volumetricos	Proteção contra DDoS	S3
Configurar a resolução de nomes privados ou proteger meu DNS	Segurança DNS e resolução de nomes privados	S4
Monitore a saúde e o tráfego da minha rede	Monitoramento e observabilidade de rede	O1
Gerenciar redes virtuais em várias assinaturas centralmente	Gerenciamento de rede centralizado com Gerenciador de Rede Virtual do Azure	O2

Tip

Se você não tiver certeza de por onde começar, leia os três artigos fundamentais (F1–F3) primeiro e retorne a esta tabela. A maioria das cargas de trabalho precisa de pelo menos um artigo de conectividade (C1–C7) e um artigo de topologia (T1-T4) juntamente com os fundamentos. Para obter exemplos trabalhados que mostram o conjunto de artigos completo para cargas de trabalho comuns, consulte padrões comuns de carga de trabalho.

Fases de design em um relance

As fases a seguir descrevem a progressão típica do planejamento para as operações. Cada fase se baseia na anterior.

Phase	Foco	Elevação e transferência	Nativo em nuvem	Artigos-chave
Fase 1: Planejamento	Definir redes virtuais, espaço de endereço e filtragem de tráfego	Mapeie as VNets do Azure, as sub-redes e as regras para os segmentos de rede e as ACLs existentes	Defina limites de isolamento de carga de trabalho, intervalos CIDR que acomodem o crescimento e filtragem baseada em tags	Redes virtuais e sub-redes, planejamento de endereço IP, grupos de segurança de rede
Fase 2: Build	Escolher o padrão de topologia de rede	Comece com a topologia que melhor reflete seu modelo local centralizado, geralmente o modelo hub-and-spoke	Comece com a topologia mais simples que dá suporte à carga de trabalho e adicione serviços compartilhados conforme necessário	Topologia de rede simples, topologia hub-and-spoke, WAN Virtual do Azure, rede de várias regiões
Fase 3: Conectar	Planejar a conectividade de Internet, híbrida, privada e entre regiões	Priorizar a conectividade híbrida e a entrada e a saída controladas para cargas de trabalho migradas	Priorizar a entrega na Internet, o acesso a PaaS privado e adicionar apenas links híbridos quando necessário	Conectividade híbrida, entrada da Internet, entrega de aplicativos, acesso à Internet de saída, acesso privado de PaaS, acesso de desenvolvedor e administrador, conectividade entre regiões e multinuvem
Fase 4: Segura	Aplicar proteções de rede em camadas	Recriar controles centralizados de inspeção e perímetro no Azure	Leve as proteções para mais perto da borda e dos endpoints privados, mantendo os limites do Confiança Zero	Firewall do Azure, Firewall de Aplicativo Web, proteção contra DDoS, segurança DNS e resolução de nomes privados
Fase 5: Operar	Monitorar, solucionar problemas e gerenciar a propriedade	Valide desde cedo os padrões de tráfego migrados e as operações centrais	Ative a observabilidade e a política centralizada desde a primeira implantação em produção	Monitoramento e observabilidade derede, gerenciamento de rede centralizado com Gerenciador de Rede Virtual do Azure

Escolha sua postura de segurança

A segurança de rede em Azure abrange três metas (restringir, inspecionar e criptografar o tráfego) e você aplica cada uma no nível exigido pela carga de trabalho. Use a matriz a seguir para definir o escopo do design. Cada nível baseia-se no anterior, negociando custo adicionado ou complexidade para uma proteção mais forte.

Goal	Básico	Medium	Alto
Restringir o tráfego	Segmente cargas de trabalho em redes virtuais e sub-redes, aplique grupos de segurança de rede e ASGs e desabilite o acesso de saída padrão.	Adicione Firewall do Azure com inteligência contra ameaças, Proteção de Rede DDoS e políticas de segurança DNS.	Adicione Firewall do Azure Premium, Link Privado para PaaS, Perímetro de Segurança de Rede e Bastion exclusivamente privado.
Inspecionar o tráfego	Use o Observador de Rede do Azure para realizar diagnósticos.	Exportar logs de fluxo de rede virtual para um SIEM e adicionar um firewall de aplicativo web no Gateway de Aplicativo ou Front Door.	Habilite o Firewall do Azure Premium, a inspeção de TLS e o IDPS, com análise completa dos logs de fluxo.
Criptografar o tráfego	Encerrar o TLS no aplicativo; use Gateway de VPN para tráfego híbrido.	Use o ExpressRoute para conectividade privada que ignora a Internet pública.	Adicione criptografia de rede virtual e ExpressRoute Direct com MACsec.

A maioria das cargas de trabalho de produção se enquadra no nível médio. Escolha alto para cargas de trabalho regulamentadas ou voltadas para o cliente em que a segurança supere o custo e a latência. Cada artigo de funcionalidade também inclui uma seção de considerações de segurança com diretrizes específicas.

Diretrizes relacionadas

Este guia se concentra nas decisões de design de rede. Para obter diretrizes mais amplas sobre arquitetura e adoção, consulte:

• Topologia de rede e conectividade na Estrutura de Adoção da Nuvem para redes de zona de aterrissagem em escala empresarial.
• Recomendações para rede e conectividade no Well-Architected Framework para compensações entre segurança, confiabilidade e custo.
• Design de arquitetura de rede no Azure Architecture Center para arquiteturas de referência e padrões comprovados.

Próximas Etapas 

Inicie sua jornada de lift-and-shift:

Caminho de design de rede lift-and-shift: um caminho de leitura guiado para migrar cargas de trabalho locais para o Azure IaaS sem reestruturação.

Inicie seu percurso de modernização:

Caminho de design de rede de migração e modernização: um caminho de leitura guiado para a adoção de serviços de PaaS, contêineres e bancos de dados gerenciados em Azure.

Inicie seu percurso entre nuvens:

Caminho de design de rede entre nuvens: um caminho de leitura guiado para conectar Azure ao AWS ou ao Google Cloud ou migrar de outra nuvem.