Начало работы с проектированием сетевой архитектуры

Проектирование и реализация сетевых возможностей Azure является важной частью облачного решения. Необходимо принять решения по проектированию сети для правильной поддержки рабочих нагрузок и служб.

службы Azure для сети

Azure предоставляет ряд служб для сети:

Сетевой фонд

• Azure Virtual Network: создавайте частные сети и при необходимости подключайте локальные центры обработки данных.
• Azure DNS. Размещайте свои DNS-домены и управляйте разрешением имен.
• Azure NAT Gateway. Предоставление исходящего подключения к Интернету для виртуальных сетей.
• Бастион Azure. Безопасное подключение к виртуальным машинам без предоставления общедоступных IP-адресов.
• Диспетчер трафика Azure: Оптимально распределяйте трафик между службами в регионах Azure по всему миру.
• Azure Route Server. Упрощение динамической маршрутизации между виртуальным сетевым устройством и виртуальной сетью.
• Приватный канал Azure. Включите частный доступ к службам, размещенным на платформе Azure, сохраняя данные в сети Microsoft.

Балансировка нагрузки и доставка содержимого

• Azure Load Balancer. Обеспечение высокой доступности и производительности сети в приложениях.
• Шлюз приложений Azure. Создание высокозащищенных, масштабируемых и высокодоступных веб-интерфейсов.
• Azure Front Door. Доставка, защита и мониторинг глобальных веб-приложений.

Гибридное подключение

• Azure ExpressRoute. Создание быстрого, надежного и закрытого подключения к Azure.
• Azure VPN Gateway. Создание высокозащищенного кросс-локального подключения.
• Виртуальная глобальная сеть Azure. Оптимизация и автоматизация подключения между филиалами.
• Служба пиринга Azure: Улучшает подключение из общедоступного интернета к облачным службам Microsoft.

Сетевая безопасность

• Брандмауэр Azure. Обеспечение защиты Azure Virtual Network ресурсов.
• Диспетчер брандмауэра Azure. Централизованное управление политиками безопасности и маршрутами между несколькими брандмауэрами.
• Брандмауэр веб-приложений Azure. Защита веб-приложений от распространенных веб-эксплойтов и уязвимостей.
• Защита Azure от атак DDoS: Защитите свои ресурсы Azure от распределённых атак типа "отказ в обслуживании" (DDoS).
• Безопасность сети контейнеров: применение политик безопасности для контейнерных рабочих нагрузок в кластерах Azure Kubernetes Service (AKS).

Управление сетями и мониторинг

• Azure Network Watcher. Мониторинг, диагностика и получение аналитических сведений о производительности и работоспособности сети.
• Azure Monitor: Собирайте, анализируйте и используйте телеметрию из вашей сети и других ресурсов Azure.
• Диспетчер виртуальных сетей Azure: централизованное управление виртуальными сетями в разных подписках и регионах в большом масштабе.
• Наблюдение за сетью контейнеров. Получение подробных сведений о сетевом трафике и производительности в контейнерных средах в кластерах Azure Kubernetes Service (AKS).

Дополнительные сведения о сетевых службах Azure см. в статье Обзор сетевых служб Azure.

Рекомендации по выбору подходящих сетевых технологий для решения см. в следующих статьях:

• Параметры балансировки нагрузки
• Параметры подключения к виртуальной сети и связь по типу "спица-спица"

Архитектура

Схема, показывающая структуру сети по принципу концентратор-спица в Azure. Большая внешняя рамка с надписью Диспетчер виртуальных сетей Azure содержит центральную виртуальную сеть хаба и четыре периферийные виртуальные сети вокруг него. Слева за пределами концентратора сеть между локальными сетями содержит две виртуальные машины и значок шлюза. В середине виртуальная сеть концентратора содержит три службы: Бастион Azure в верхней части, Брандмауэр Azure в центре и Azure VPN Gateway или Azure ExpressRoute внизу. Azure Monitor отображается справа от концентратора, подключенного к его службам с помощью пунктирных линий с надписью 'Диагностика'. Две производственные спицевые виртуальные сети отображаются справа, одна над другой. Каждый рабочий сегмент содержит подсеть ресурсов, в которой находятся три виртуальные машины. Пунктирные линии с меткой «Forced tunnel» идут от обеих рабочих спиц к области брандмауэра хаба. В нижней части расположены две непроизводственные виртуальные сети spoke, каждая из которых имеет подсеть ресурсов, содержащую три виртуальные машины. Пунктирные линии между нижними спицами указывают на то, что они могут быть соединены через пиринг или напрямую. Другие пунктирные линии показывают спицевые виртуальные сети, подключающиеся к концентратору или пирингующиеся через него. Поверх верхней части точка двунаправленной линии, помеченная пирингом виртуальной сети, подключает концентратор к верхней рабочей периферии.

Скачайте файл Visio для этой архитектуры.

На предыдущей схеме показана обычная реализация базовой или базовой сетевой реализации.

Изучение сетевых руководств и архитектур

В статьях этого раздела содержатся руководства и полностью разработанные архитектуры, которые можно развернуть в Azure и расширить в решениях производственного класса. Эти статьи помогут вам решить, как использовать сетевые технологии в Azure.

Сетевые руководства

В следующих статьях вы можете оценить и выбрать лучшие сетевые технологии для требований рабочей нагрузки.

Сетевой фонд

• Параметры подключения к виртуальной сети и связь между периферийными сетями: сравнение пиринга виртуальных сетей, VPN-шлюзов и других параметров подключения для связи между периферийными сетями.
• Приватный канал Azure в центральной и периферийной сети: используйте Приватный канал в топологии сети с концентраторами и периферийными устройствами.
• Приватный канал Azure и DNS с Виртуальная глобальная сеть Azure:
  • Обзор руководства. Планирование интеграции Приватный канал Azure и DNS с Виртуальная глобальная сеть Azure.
  • Шаблон расширения виртуального концентратора: реализуйте шаблон расширения виртуального концентратора для Приватный канал Azure и DNS.
  • Доступ к одному региону: настройка Приватный канал Azure и DNS для рабочей нагрузки с одним регионом, которая обращается к одному ресурсу.
• Внедрение IPv6:
  • Предотвращение исчерпания IPv4: планирование исчерпания IPv4-адресов и внедрение IPv6 в Azure.
  • Топология сети hub-and-spoke с поддержкой IPv6: Реализуйте топологию сети hub-and-spoke с поддержкой IPv6.
  • Концептуальное планирование сети IPv6. Планирование стратегии ip-адресации IPv6 для Azure сети.
• Проектирование гибридного решения DNS с помощью Azure. Проектирование гибридного решения DNS, использующего Azure DNS private Resolver для разрешения имен рабочих нагрузок, размещенных в локальной среде и на Azure.

Балансировка нагрузки и доставка содержимого

• Параметры балансировки нагрузки: выберите нужную службу балансировки нагрузки Azure для рабочей нагрузки.

Гибридное подключение

• Интеграция SD-WAN в топологиях сети типа "концентратор — периферия": Интегрируйте решения SD-WAN с топологиями сети Azure типа "концентратор — периферия".
• Устранение неполадок с гибридным VPN-подключением. Устранение неполадок с подключением в VPN-подключениях типа "сеть — сеть" между локальной сетью и Azure.

Сетевая безопасность

• Используйте конфигурацию DNS с разделением мозга для размещения веб-приложения: настройте DNS с разделением мозга для размещения веб-приложения с частным и общедоступным разрешением.
• Развертывание высокодоступных NVAs: развертывание сетевых виртуальных устройств (NVAs) в конфигурации с высоким уровнем доступности.
• Безопасный доступ между клиентами к приложениям: используйте частные конечные точки, чтобы обеспечить безопасный доступ между клиентами к приложениям.

Архитектуры сетей

Следующие готовые к работе архитектуры демонстрируют комплексные сетевые решения, которые можно развертывать и настраивать.

Сетевой фонд

• Топология сети «центр‑лучи» в Azure: Реализуйте сетевой шаблон «центр‑лучи» с компонентами инфраструктуры центрального узла, управляемыми клиентом.
• Azure DNS Private Resolver: Реализуйте гибридное разрешение DNS с помощью Azure DNS Private Resolver.

Гибридное подключение

• Топология центральной сети, использующая Виртуальная глобальная сеть Azure: реализация топологии сети концентратора и периферийной сети с помощью Виртуальная глобальная сеть Azure для инфраструктуры концентратора, управляемой Microsoft.
• Масштабируемая архитектура Виртуальная глобальная сеть Azure: проектирование масштабируемой Виртуальная глобальная сеть Azure сетевой архитектуры в нескольких Azure регионах.
• Виртуальная глобальная сеть Azure оптимизировано для требований к отделу: оптимизируйте архитектуру Виртуальная глобальная сеть Azure для требований к производительности и безопасности для конкретного отдела.
• Подключение локальной сети к Azure. Сравнение параметров подключения локальной сети к Azure, включая Azure VPN Gateway и Azure ExpressRoute.
• Подключите локальную сеть к Azure с помощью Azure ExpressRoute с переключением на VPN при отказе: используйте Azure ExpressRoute в качестве основного подключения к Azure, а Azure VPN Gateway — в качестве резервного подключения.

Сетевая безопасность

• Реализуйте соответствие TIC 3.0: реализуйте соответствие доверенным интернет-подключениям (TIC) 3.0 для приложений, подключенных к Интернету.
• Реализуйте безопасную гибридную сеть: расширьте локальную сеть для Azure с помощью сети периметра и Брандмауэр Azure.

Готовность организации

Организации в начале процесса внедрения облака могут использовать Cloud Adoption Framework для Azure для доступа к проверенным рекомендациям, которые ускоряют внедрение облака. Следующие статьи помогут вам спланировать и реализовать сетевое решение:

• Топология сети и связность: Ознакомьтесь с разделом проектирования топологии сети и связности для целевых зон Azure.
• Подключение к другим поставщикам облачных служб: создание корпоративных подключений между Azure и другими поставщиками облачных служб.
• Подключение к Oracle Cloud Infrastructure: настройка безопасного и высокопроизводительного подключения между Azure и Oracle Cloud Infrastructure.

Чтобы обеспечить качество сетевого решения на Azure, следуйте инструкциям в Azure Well-Architected Framework. Платформа Well-Architected дает рекомендации для организаций, стремящихся к достижению архитектурного совершенства, и описывает, как проектировать, предоставлять и отслеживать оптимизированные по затратам решения Azure. Рекомендации по работе с сетями см. в следующих руководствах по службе Well-Architected Framework:

• Рекомендации по архитектуре для Шлюз приложений Azure версии 2
• Рекомендации по архитектуре для Azure ExpressRoute
• Рекомендации по архитектуре для Брандмауэр Azure
• Рекомендации по архитектуре Azure Front Door
• Рекомендации по архитектуре для Azure Load Balancer
• Рекомендации по архитектуре диспетчера трафика Azure
• Рекомендации по архитектуре для Azure Virtual Network
• Рекомендации по архитектуре для Виртуальная глобальная сеть Azure

Лучшие практики

Примените эти рекомендации для повышения безопасности, надежности, производительности и качества работы сетевых рабочих нагрузок на Azure.

• Рекомендации по архитектуре для Шлюз приложений Azure v2: ознакомьтесь с рекомендациями Well-Architected Framework по проектированию безопасных, надежных и высокопроизводительных развертываний Application Gateway.

• Рекомендации по архитектуре для Брандмауэр Azure. Ознакомьтесь с рекомендациями по Well-Architected Framework по Брандмауэр Azure развертываниям, включая безопасность, оптимизацию затрат и рекомендации по эксплуатации.

• Рекомендации по архитектуре для Azure Virtual Network. Ознакомьтесь с рекомендациями Well-Architected Framework по проектированию виртуальной сети, включая сегментацию, планирование IP-адресов и безопасность сети.

• Рекомендации по архитектуре для Виртуальная глобальная сеть Azure. Ознакомьтесь с рекомендациями по Well-Architected Framework по Виртуальная глобальная сеть Azure развертываниям, включая безопасность, надежность и рекомендации по производительности.

• Azure рекомендации по безопасности сети: применение рекомендаций по обеспечению безопасности сети, включая принципы "Никому не доверяй", рекомендации по сегментации сети и стратегии балансировки нагрузки.

• Приватный канал Azure в центральной и периферийной сети: планирование развертывания частных конечных точек в концентраторах и периферийных или Виртуальная глобальная сеть Azure топологиях сети.

• Рекомендации по использованию зон доступности и регионов. Выберите правильный подход к развертыванию в зонах доступности и регионах в соответствии с требованиями к надежности.

• Параметры подключения к виртуальной сети и связь между периферийными сетями: сравнение пиринга виртуальных сетей, VPN-шлюзов и других параметров подключения для связи между периферийными сетями.

• Используйте Azure ExpressRoute с Power Platform: настройте подключение Azure ExpressRoute для рабочих нагрузок Microsoft Power Platform.

Оставайтесь в курсе сети

Azure сетевые службы развиваются для решения современных проблем с данными. Следите за последними обновлениями и функциями.

Чтобы оставаться в курсе ключевых сетевых служб, ознакомьтесь со следующими статьями:

• Новые возможности Azure VPN Gateway?
• Новые возможности Виртуальная глобальная сеть Azure?
• Новые возможности Azure Load Balancer?

Другие ресурсы

Следующие ресурсы помогут вам узнать больше о сети.

Ресурсы облачной платформы

• Традиционная топология сети Azure: ознакомьтесь с рекомендациями по проектированию и рекомендациям по традиционным топологиям сети концентраторов и периферийных сетей в Azure, включая пиринг виртуальных сетей, Azure ExpressRoute и конфигурации VPN-шлюза.

• Что такое целевая архитектура Azure?: Узнайте о стандартизованном подходе к настройке среды Azure и управлению ею в большом масштабе, включая топологию сети «концентратор и периферия» и сетевые топологии Виртуальная глобальная сеть Azure.

• Базовая отказоустойчивая веб-приложение с резервированием между зонами: Разверните безопасное веб-приложение с резервированием между зонами в Azure с помощью Шлюз приложений Azure, Приватный канал Azure и интеграции с виртуальной сетью.

• Топология сети и сетевое подключение для Решение Azure VMware: Проектирование топологии сети и сетевого подключения для развертываний Решение Azure VMware, включая Azure ExpressRoute, Global Reach, а также интеграцию по модели «hub-and-spoke» или с Виртуальная глобальная сеть Azure.

• Приватный канал Azure и интеграция DNS в масштабе: настройте Приватный канал Azure и частные зоны DNS в масштабах корпоративных сред, включая управление записями DNS на основе политик и централизованную архитектуру DNS.

Amazon Web Services (AWS) или Google Cloud эксперты

Чтобы быстро приступить к работе, следующие статьи сравнивают Azure сетевые параметры с другими облачными службами и предоставляют рекомендации по миграции.

Сравнение служб

• Сравнение параметров сети AWS и Azure. Сравнение основных сетевых служб AWS и Azure, включая виртуальные сети, VPN, балансировку нагрузки, DNS, Приватный канал и пиринг.
• Сравнение служб Google Cloud для Azure — сеть: сравнение облачных служб Google с эквивалентами Azure, включая VPC, DNS, балансировку нагрузки, VPN, ExpressRoute и службы брандмауэра.

Руководство по миграции

Если вы переносите данные с другой облачной платформы, ознакомьтесь со следующей статьей:

• Перенос сетевой инфраструктуры из AWS в Azure: Ознакомьтесь с руководствами по миграции сетевых служб из AWS в Azure, включая подключение через VPN-шлюз, миграцию Application Load Balancer, миграцию Network Load Balancer и миграцию API Gateway.