topologia de rede WAN Virtual do Azure

Este artigo explica como criar uma rede com WAN Virtual do Azure. A WAN Virtual fornece infraestrutura de hub gerenciada pela Microsoft com roteamento automático, integração nativa com SD-WAN e trânsito global integrado entre hubs.

O que este artigo aborda

Este artigo aborda a arquitetura de hub da WAN Virtual, o roteamento automático e a propagação de rotas, a comparação entre as camadas Basic e Standard, a intenção de roteamento para inspeção de tráfego, os padrões de integração de SD-WAN e o modelo de custo da WAN Virtual.

Quem precisa deste artigo

Leia este artigo se uma ou mais dessas condições se aplicarem:

  • Você precisa de tráfego gerenciado entre várias filiais, locais, usuários remotos ou redes virtuais conectadas.
  • Você quer roteamento gerenciado pela Microsoft e conectividade de filiais, em vez de criar e operar por conta própria um hub de trânsito personalizado.
  • É necessário comparar a WAN Virtual do Azure com a topologia em estrela antes de definir uma topologia.
  • Você espera que sua rede cresça além de um pequeno número de bordas de conectividade gerenciadas manualmente.

Tip

Seguindo um cenário específico? Selecione seu cenário na parte superior da página para obter diretrizes personalizadas. As diretrizes principais a seguir se aplicam a todos os leitores.

Foco em migração direta: ignore este artigo se você estiver realizando uma migração direta padrão. A maioria dos ambientes de migração direta tem menos de 30 conexões de filiais e opera em uma ou duas regiões. Uma topologia hub-and-spoke tradicional com Gateway de VPN fornece conectividade suficiente. Considere WAN Virtual somente se você tiver muitos sites de filial ou planejar uma expansão rápida.

Foco em modernização: este artigo se torna relevante quando seu programa de modernização inclui requisitos de trânsito em escala de filiais ou em várias regiões. A topologia em estrela dupla com Gateways de VPN em cada região atende à maioria dos cenários de modernização. WAN Virtual torna-se relevante quando você excede a complexidade de roteamento que o gerenciamento manual de UDR pode sustentar.

Foco em nuvem cruzada: a WAN Virtual é o modelo de trânsito recomendado quando você tem várias nuvens privadas virtuais (VPCs), filiais, regiões ou bordas de nuvem. A WAN Virtual funciona como o equivalente do Azure ao AWS Transit Gateway, fornecendo gerenciamento centralizado de roteamento e conectividade em escala. Se você estiver migrando de um ambiente da AWS que usa o Transit Gateway, a WAN Virtual corresponde diretamente a esse modelo.

Azure serviços e recursos

A tabela a seguir lista os Azure serviços e recursos que dão suporte a uma topologia de WAN Virtual:

Serviço ou recurso Função na WAN Virtual Saiba mais
WAN Virtual do Azure Fornece a infraestrutura de hub e rede de trânsito global gerenciada Visão geral da WAN Virtual
Hub virtual rede virtual gerenciada por Microsoft que hospeda serviços de roteamento e gateway Roteamento de hub virtual
Gateway de VPN (no hub) Conectividade VPN site a site e ponto a site para filiais WAN Virtual Gateway de VPN
Gateway do ExpressRoute (no hub) Conectividade privada de datacenters locais por meio de circuitos do ExpressRoute WAN Virtual ExpressRoute
Gerenciador de Firewall do Azure Gerenciamento centralizado de política de segurança para Hubs Virtuais Protegidos Visão geral do Gerenciador de Firewall
Intenção de roteamento Direcionamento automático de tráfego por meio de uma solução de segurança sem tabelas de rotas personalizadas Intenção de roteamento

Como funciona

Diagrama mostrando uma topologia WAN Virtual com dois hubs regionais, redes virtuais spoke, sites de ramificação conectados por meio de circuitos VPN e ExpressRoute. O roteamento entre hubs flui sobre o backbone Microsoft.

Em uma topologia WAN Virtual:

  1. Um recurso WAN Virtual atua como o contêiner de nível superior que agrupa um ou mais hubs virtuais entre regiões.
  2. Cada hub virtual é uma rede virtual gerenciada por Microsoft. O hub contém pontos de extremidade de serviço para VPN, ExpressRoute e serviços de firewall. Você não implanta nem gerencia a rede virtual do hub diretamente.
  3. Redes virtuais spoke conectam-se a um hub virtual por meio de conexões VNet (semelhante ao emparelhamento em um hub-and-spoke tradicional). O roteador de hub virtual manipula todo o roteamento automaticamente.
  4. Os sites de filial se conectam por meio de gateways VPN site a site ou ExpressRoute implantados dentro do hub virtual.
  5. Quando você implanta vários hubs, eles se interconectam automaticamente pela Microsoft backbone, o que permite o trânsito global sem roteamento gerenciado pelo cliente.

Roteamento de hub virtual

O roteador de hub virtual gerencia todo o roteamento entre redes virtuais conectadas, branches e outros hubs. Principais comportamentos:

  • Trânsito automático: Redes virtuais conectadas ao mesmo hub podem se comunicar sem UDRs. O roteador de hub propaga rotas entre todas as conexões por padrão.
  • Trânsito entre hubs: As rotas são propagadas automaticamente entre hubs no mesmo WAN Virtual. O tráfego entre regiões flui pelo backbone do Microsoft.
  • Tabelas de rotas: Para cenários avançados de isolamento (como isolar o desenvolvimento da produção), você pode criar tabelas de rotas personalizadas dentro do hub para controlar a propagação de rotas.
  • Taxa de transferência agregada: O roteador de hub virtual dá suporte a até 50 Gbps de taxa de transferência agregada quando configurado com o máximo de 50 unidades de infraestrutura de roteamento. A implantação padrão usa 2 unidades de infraestrutura de roteamento (3 Gbps). É possível escalar a taxa de transferência ao aumentar as unidades de infraestrutura de roteamento nas configurações de hub.

Note

O roteamento automático se aplica à conectividade de trânsito padrão. Cenários personalizados que roteiam o tráfego por meio de NVAs (dispositivos virtuais de rede) no hub podem exigir tabelas de rotas personalizadas.

Como escolher

Esta seção ajuda você a selecionar a topologia e a camada certas para seu ambiente.

Hub-spoke comparado a WAN Virtual

Use esta tabela para determinar se uma topologia de hub-spoke tradicional ou WAN Virtual é a escolha certa para seu ambiente:

Fator Hub-and-spoke (tradicional) WAN Virtual do Azure
Gestão Rede virtual do hub gerenciado pelo cliente infraestrutura do hub gerenciado por Microsoft
Mais adequado para Até ~30 conexões VPN de filiais Mais de 30 filiais com VPN ou muitas regiões do Azure
Roteamento O cliente configura UDRs para tráfego spoke-to-spoke Roteamento automático no hub virtual
integraçãoSD-WAN Implantação e configuração de NVA manual Integração de parceiros de SD-WAN nativos
Trânsito global Requer roteamento entre regiões gerenciado pelo cliente Integrado: todos os hubs se conectam entre si automaticamente
Modelo de custo Recursos de VNet do hub pagos separadamente (Firewall, Gateway, Bastion) Preços de unidade de implantação e de unidade de escala

Tip

WAN Virtual é uma alternativa de escala para hub-spoke, não uma substituição. Organizações com menos de 30 filiais, uma única região e que precisam de controle total sobre os recursos do hub devem usar uma topologia hub-and-spoke tradicional.

Considerações sobre migração: Se você estiver migrando de um hub-spoke tradicional para WAN Virtual, planeje uma migração de execução paralela. Implante um hub WAN Virtual ao lado do hub existente, migre conexões spoke de forma incremental e valide o roteamento após cada migração de conexão. WAN Virtual não dá suporte à importação de configurações de UDR existentes, portanto, você precisa reprojetar o roteamento para usar o modelo de propagação automática do roteador de hub.

Quando ficar com o hub-spoke: Escolha o hub-spoke tradicional se precisar de controle granular sobre a rede virtual do hub (por exemplo, implantando NVAs personalizadas diretamente na sub-rede do hub), se sua organização opera em uma única região com menos de 10 branches ou se os requisitos de conformidade exigem a infraestrutura de roteamento gerenciada pelo cliente.

Padrão em comparação com a camada Básica

WAN Virtual oferece duas camadas. Escolha a camada que atende às suas necessidades de roteamento e conectividade:

Característica Básico Standard
VPN de site a site ✅ ✅
VPN ponto a site ❌ ✅
ExpressRoute ❌ ✅
Trânsito de VNet para VNet ❌ ✅
Trânsito entre hubs ❌ ✅
Firewall do Azure no hub ❌ ✅
NVA no hub ❌ ✅

Importante

Você pode atualizar da camada Basic para Standard, mas não pode fazer downgrade do Standard para o Basic. Escolha Standard se você precisar de qualquer roteamento de trânsito, conectividade do ExpressRoute ou integração de segurança.

Modelo de custo

WAN Virtual usa preços baseados em unidades, que diferem do modelo hub-spoke tradicional:

  • Unidades de implantação (hub): Você paga uma taxa por hora para o próprio hub virtual. Essa taxa é um custo fixo para a infraestrutura do hub gerenciado.
  • Unidades de escala (gateways): Os gateways VPN e ExpressRoute são cobrados com base no número de unidades de escala que você provisiona. Mais unidades de escala aumentam a capacidade de largura de banda e o custo proporcionalmente.
  • Unidades de infraestrutura de roteamento: O roteador de hub é cobrado por unidade de infraestrutura de roteamento. A implantação padrão inclui duas unidades (3 Gbps). Você pode escalar até 50 unidades (50 Gbps) para ambientes com alta taxa de transferência.
  • Processamento de dados: Você paga pelos dados processados por meio do hub, incluindo VNet para VNet, branch-to-VNet e tráfego entre hubs. O tráfego vinculado à Internet roteado por Firewall do Azure tem encargos de processamento de dados separados.
  • Complemento do Hub Virtual Protegido: Quando você implanta Firewall do Azure por meio do Gerenciador de Firewall, os encargos de Firewall do Azure padrão também se aplicam aos custos do hub WAN Virtual.

Compare os custos com uma topologia de hub-spoke tradicional. Para implantações pequenas com branches mínimos, um hub gerenciado pelo cliente pode ser mais econômico. Para um grande número de filiais (30+), a automação e a infraestrutura gerenciada da WAN Virtual normalmente compensam o preço unitário. Para obter preços detalhados, consulte WAN Virtual conceitos de preços.

Hub Virtual Protegido: quando usar o Gerenciador de Firewall

Um Hub Virtual Protegido integra Firewall do Azure (ou uma NVA com suporte) ao Gerenciador de Firewall para política centralizada:

Configuração Usar quando Benefício
Hub Virtual Standard (sem firewall) Conectividade somente de filial para VNet, segurança gerenciada no nível spoke Implantação mais simples, menor custo
Hub Virtual Protegido com Gerenciador de Firewall Inspeção de tráfego centralizada para tráfego privado e de Internet Política consistente e intenção de roteamento eliminam a necessidade de UDRs
Hub Virtual Seguro com parceiro NVA Investimento existente em firewall de terceiros, requisitos específicos de recursos Usar ferramentas e conhecimentos de fornecedor existentes

Intenção de roteamento

A intenção de roteamento simplifica o controle do tráfego na WAN Virtual ao encaminhar automaticamente o tráfego por uma solução de segurança (Firewall do Azure ou NVA com suporte), sem a necessidade de tabelas de rotas personalizadas nem de UDRs.

Ao habilitar a intenção de roteamento, você declara políticas para dois tipos de tráfego:

  • Tráfego de Internet: Todo o tráfego destinado à Internet das redes virtuais conectadas é roteado por meio da solução de segurança no hub.
  • Tráfego privado: Todo o tráfego entre redes virtuais, branches e outros hubs roteia por meio da solução de segurança.

A intenção de roteamento remove a necessidade de gerenciar tabelas de rotas manualmente. O plano de controle da WAN Virtual configura automaticamente todas as rotas necessárias em todos os hubs conectados e nas redes virtuais de spoke.

Note

A intenção de roteamento requer um Hub Virtual Protegido com Firewall do Azure ou um parceiro NVA com suporte. Isso só está disponível no nível Standard.

Warning

As modificações da tabela de rotas feitas pela intenção de roteamento são irreversíveis. Você pode remover a intenção de roteamento, mas removê-la não restaura automaticamente sua configuração de defaultRouteTable anterior. Salve um instantâneo da configuração antes de habilitar a intenção de roteamento, pois você precisará restaurar manualmente as rotas anteriores se posteriormente removê-la.

Limites de conexão e escalabilidade

WAN Virtual dá suporte a implantações em larga escala:

  • Até 1.000 conexões VPN site a site por hub virtual.
  • Vários hubs por WAN Virtual (um por região ou vários por região para isolamento).
  • Até 50 Gbps de taxa de transferência agregada por roteador de hub (requer no máximo 50 unidades de infraestrutura de roteamento. O padrão é de 2 unidades a 3 Gbps).
  • Conectividade ponto a ponto em todas as conexões VNet, filiais VPN e circuitos ExpressRoute dentro do mesmo hub.

Para organizações que excedem os limites de um único hub, implante hubs adicionais nas mesmas regiões ou em regiões diferentes. O WAN Virtual manipula automaticamente o roteamento entre hubs.

SD-WAN integração de parceiros

WAN Virtual fornece integração nativa com dispositivos SD-WAN parceiros. Os dispositivos parceiros podem:

  • Exportar programaticamente informações de dispositivos de filial para o Azure.
  • Baixe a configuração de Azure automaticamente.
  • Estabeleça a conectividade IPsec/IKE com o hub virtual sem configuração manual.

Essa automação reduz o tempo de implantação de filiais de dias para minutos em escala. Para obter a lista atual de parceiros com suporte, consulte WAN Virtual parceiros.

Como funciona a automação de parceiros

Os parceiros de SD-WAN usam a API de automação de conectividade da WAN Virtual para gerenciar de forma programática os ciclos de vida dos dispositivos de filial:

  • Registro de dispositivo: O controlador parceiro registra dispositivos de ramificação com o recurso WAN Virtual, incluindo os requisitos de metadados de dispositivo e largura de banda.
  • Download da configuração: A plataforma do parceiro obtém a configuração do gateway do hub (endereços IP, chaves pré-compartilhadas, configurações de BGP) sem necessidade de interação manual no portal.
  • Estabelecimento de túnel: O dispositivo parceiro estabelece túneis IPsec para o gateway de VPN do hub virtual usando a configuração baixada.
  • Monitoramento contínuo da saúde: A plataforma parceira monitora a saúde dos túneis e pode restabelecer a conexão se os túneis caírem.

Parceiros como VMware SD-WAN, Fortinet SD-WAN, Cisco Viptela e Versa Networks dão suporte a esse modelo de automação. Cada parceiro implementa sua própria camada de orquestração sobre a API WAN Virtual. Avalie os recursos específicos do parceiro, como roteamento com reconhecimento de aplicações, otimização de tráfego e saída local para a Internet, antes de selecionar um parceiro.

Considerações sobre o design

Para a maioria das migrações do tipo lift-and-shift, a WAN Virtual não é a topologia de partida. Avalie quando se justifica:

  • Quando WAN Virtual se torna justificado. Se a sua infraestrutura de migração incluir mais de 30 filiais, abranger três ou mais regiões do Azure ou exigir integração com SD-WAN, o roteamento automatizado da WAN Virtual reduz a sobrecarga operacional em comparação com o gerenciamento de UDRs em várias conexões hub-and-spoke.
  • A arquitetura hub-and-spoke é suficiente para infraestruturas menores. Um único hub com Gateway de VPN permite até 30 conexões site a site e 500 conexões spoke. Se a sua migração permanecer dentro desses limites, a arquitetura hub-and-spoke tradicional é mais simples e econômica.
  • O caminho de migração existe. Se você começar com a arquitetura hub-and-spoke e posteriormente precisar da WAN Virtual, poderá migrar implantando um hub da WAN Virtual junto com o seu hub existente e movendo as conexões spoke incrementalmente.

As implantações de várias regiões não exigem automaticamente WAN Virtual. Avalie sua complexidade de roteamento:

  • A arquitetura hub-and-spoke dupla geralmente é suficiente. Para arquiteturas ativo-ativo de duas regiões, implante um hub em cada região com emparelhamento de VNet entre os hubs. Esse padrão lida com a maioria dos cenários de modernização sem a sobrecarga de preço por unidade da WAN Virtual.
  • Quando a complexidade avança para WAN Virtual. Se a sua modernização crescer para além de duas regiões, adicionar conectividade com filiais entre regiões ou exigir propagação automática de rotas entre hubs sem gerenciamento manual de UDRs, a WAN Virtual simplifica as operações.
  • Não conflate várias regiões com WAN Virtual. A decisão de usar WAN Virtual depende da contagem de ramificações, da contagem de regiões e da complexidade de roteamento. Só a multirregião não é justificativa suficiente.

O WAN Virtual fornece o equivalente do Azure ao AWS Transit Gateway para uma rede de trânsito centralizada e escalável:

  • Equivalência de Transit Gateway. O hub virtual do WAN Virtual funciona como o AWS Transit Gateway: ele roteia automaticamente o tráfego entre redes virtuais conectadas, filiais e túneis VPN entre nuvens. Se você estiver migrando do AWS, esse mapeamento simplifica sua tradução de arquitetura.
  • Hub virtual seguro (Hub Virtual Protegido). Implante Firewall do Azure por meio do Gerenciador de Firewall no hub virtual. Habilite a intenção de roteamento para orientar todo o tráfego privado e da Internet por meio do firewall. Isso fornece uma inspeção centralizada para o tráfego entre nuvens entrando em Azure.
  • Conexões VPN com o Google Cloud e a AWS. Crie conexões VPN site a site do hub da WAN Virtual para o Google Cloud VPN (HA VPN) e para os AWS Virtual Private Gateways. WAN Virtual dá suporte a até 1.000 conexões VPN por hub, fornecendo espaço para crescimento à medida que você migra mais cargas de trabalho.
  • Planejamento de várias regiões. Implante hubs virtuais em cada região Azure onde os aplicativos migrados chegam. O roteamento entre hubs é propagado automaticamente pelo backbone da Microsoft, refletindo o modelo de emparelhamento do Transit Gateway na AWS.

Pré-requisitos

Antes de implementar uma topologia de WAN Virtual:

  • Entenda os conceitos de hub-and-spoke. WAN Virtual se baseia no modelo hub-spoke. Revise a topologia hub-and-spoke para compreender os conceitos fundamentais.
  • Faça o inventário dos locais das filiais. Documente o número de branches, sua distribuição geográfica e conectividade atual (VPN, MPLS, SD-WAN).
  • Defina sua estratégia de região. Determine quais Azure regiões hospedam cargas de trabalho e onde você precisa de hubs virtuais.
  • Escolha sua camada. Decida entre Basic (somente VPN site a site) e Standard (trânsito completo, ExpressRoute, firewall) com base na tabela de comparação de camadas neste artigo.
  • Avalie os requisitos de segurança. Determine se a inspeção centralizada (Hub Virtual Seguro) ou a segurança por spoke é apropriada.

Considerações de segurança

  • Hub Virtual Seguro. Implante Firewall do Azure por meio do Gerenciador de Firewall para aplicar políticas de segurança consistentes em todas as redes virtuais e branches conectados. O Gerenciador de Firewall fornece gerenciamento de regras centralizado em vários hubs protegidos.
  • Intenção de roteamento. Habilite a intenção de roteamento para direcionar automaticamente o tráfego privado e da Internet por meio de sua solução de segurança. Essa abordagem impede que o tráfego ignore a inspeção eliminando a configuração de roteamento manual.
  • Limitações da NVA no hub. Os dispositivos virtuais de rede implantados no hub têm funcionalidades diferentes das Firewall do Azure. Verifique a paridade de recursos com seus requisitos de segurança antes de escolher um parceiro NVA.
  • Modelo de segurança SD-WAN. Quando você integra SD-WAN dispositivos parceiros, a segurança de tráfego depende da implementação do parceiro. Avalie os recursos de criptografia, autenticação e inspeção de tráfego do parceiro.
  • Isolamento de tráfego entre hubs. O tráfego entre hubs virtuais flui pela Microsoft backbone e não atravessa a Internet pública. O backbone é uma rede privada, mas o tráfego não é criptografado na camada de rede por padrão. Use o TLS da camada de aplicativo para dados confidenciais entre regiões.

Saiba mais

Próximas Etapas 

Tip

Explorando por conta própria? Retorne ao navegador de visão geral para encontrar seu próximo artigo por funcionalidade.

Próximo passo na sua jornada de migração:

Conectividade híbrida: conecte suas cargas de trabalho migradas de volta ao local por meio de Gateway de VPN ou ExpressRoute.

A seguir, em sua jornada de modernização:

Planeje sua implantação em várias regiões: estenda seu projeto entre regiões para resiliência ativa-ativa.

A seguir, em sua jornada multinuvem:

Projete suas VNets de zona de destino do Azure: construa a base da rede virtual do Azure para suas cargas de trabalho conectadas e migradas.

  • Last updated on