Trafikdirigering i virtuella nätverk
Lär dig mer om hur Azure dirigerar trafik mellan Azure, lokala och Internet-resurser. Azure skapar automatiskt en routningstabell för varje undernät inom ett virtuellt Azure-nätverk och lägger till systemstandardvägar i tabellen. Läs mer om virtuella nätverk och undernät i Översikt över virtuella nätverk. Du kan åsidosätta vissa av Azures systemvägar med anpassade vägar och lägga till fler anpassade vägar i routningstabeller. Azure dirigerar trafik från ett undernät baserat på vägar i routningstabellen för ett undernät.
Systemvägar
Azure skapar automatiskt systemvägar och tilldelar vägarna till varje undernät i ett virtuellt nätverk. Du kan varken skapa eller ta bort systemvägar, men du kan åsidosätta vissa systemvägar med anpassade vägar. Azure skapar standardsystemvägar för varje undernät och lägger till fler valfria standardvägar till specifika undernät, eller varje undernät, när du använder specifika Azure-funktioner.
Standardvärde
Varje väg innehåller ett adressprefix och en nästa hopp-typ. När trafik lämnar ett undernät och skickas till en IP-adress inom en vägs adressprefix använder Azure vägen som innehåller prefixet. Läs mer om hur vägar väljs i Azure när flera vägar innehåller samma prefix eller överlappande prefix. När ett virtuellt nätverk skapas skapar Azure automatiskt följande standardsystemvägar för varje undernät inom det virtuella nätverket:
| Källa | Adressprefix | Nästa hopptyp |
|---|---|---|
| Standardvärde | Unikt för det virtuella nätverket | Virtuellt nätverk |
| Standardvärde | 0.0.0.0/0 | Internet |
| Standardvärde | 10.0.0.0/8 | Ingen |
| Standardvärde | 172.16.0.0/12 | Ingen |
| Standardvärde | 192.168.0.0/16 | Ingen |
| Standardvärde | 100.64.0.0/10 | Ingen |
Nästa hopptyper som anges i föregående tabell representerar hur Azure dirigerar trafik till det angivna adressprefixet. Här följer förklaringar för nästa hopptyper:
Virtuellt nätverk: Dirigerar trafik mellan adressintervall inom det virtuella nätverkets adressutrymme. Azure skapar en väg med ett adressprefix som motsvarar varje adressintervall som definierats inom adressutrymmet för ett virtuellt nätverk. Om det virtuella nätverkets adressutrymme har flera definierade adressintervall skapar Azure en enskild väg för varje adressintervall. Som standard dirigerar Azure trafik mellan undernät. Du behöver inte definiera routningstabeller eller gatewayer för Azure för att dirigera trafik mellan undernät. Azure skapar inte standardvägar för undernätsadressintervall. Varje adressintervall för undernätet ligger inom ett adressintervall för adressutrymmet för ett virtuellt nätverk.
Internet: dirigerar trafik som anges av adressprefixet till Internet. Systemstandardvägen anger adressprefixet 0.0.0.0/0. Om du inte åsidosätter Azures standardvägar dirigerar Azure trafik för alla adresser som inte har angetts av ett adressintervall inom ett virtuellt nätverk till Internet. Det finns ett undantag till den här routningen. Om måladressen är någon av Azures tjänster dirigerar Azure trafiken direkt till tjänsten via Azures stamnätverk i stället för att dirigera trafiken till Internet. Trafik mellan Azure-tjänster passerar inte internet, oavsett vilken Azure-region det virtuella nätverket finns i eller vilken Azure-region en instans av Azure-tjänsten distribueras i. Du kan åsidosätta Azures standardsystemväg för adressprefixet 0.0.0.0/0 med en anpassad väg.
None (Ingen): Trafik som dirigeras till den nästa hopptypen None (Ingen) tas bort istället för att dirigeras utanför undernätet. Azure skapar automatiskt standardvägar för följande adressprefix:
10.0.0.0/8, 172.16.0.0/12 och 192.168.0.0/16: Reserverat för privat användning i RFC 1918.
100.64.0.0/10: Reserverad i RFC 6598.
Om du tilldelar några av de föregående adressintervallerna inom adressutrymmet för ett virtuellt nätverk ändrar Azure automatiskt nästa hopptyp för vägen från None (Ingen) till Virtuellt nätverk. Om du tilldelar ett adressintervall till ett virtuellt nätverks adressområde som inkluderar, men inte är detsamma som, något av de fyra reserverade adressprefixen, tar Azure bort prefixets väg och lägger till vägen för adressprefixet du la till, med Virtuellt nätverk som nästa hopptyp.
Valfria standardvägar
Azure lägger till fler standardsystemvägar för olika Azure-funktioner, men bara om du aktiverar funktionerna. Beroende på funktion lägger Azure till valfria standardvägar till antingen specifika undernät i det virtuella nätverket eller till alla undernät i ett virtuellt nätverk. De andra systemvägarna och nästa hopptyper som Azure kan lägga till när du aktiverar olika funktioner är:
| Källa | Adressprefix | Nästa hopptyp | Undernät för virtuellt nätverk som vägen har lagts till i |
|---|---|---|---|
| Standardvärde | Unikt för det virtuella nätverket, till exempel 10.1.0.0/16 | VNet-peering | Alla |
| Virtuell nätverksgateway | Prefix annonseras lokalt via BGP eller konfigureras i den lokala nätverksgatewayen | Virtuell nätverksgateway | Alla |
| Standardvärde | Flera | VirtualNetworkServiceEndpoint | Endast undernätet en tjänstslutpunkt har aktiverats för. |
Peering för virtuellt nätverk (VNet): När du skapar en peering för virtuella nätverk mellan två virtuella nätverk lägger systemet till en väg för varje adressintervall inom adressutrymmet för varje virtuellt nätverk som ingår i peering. Läs mer om virtuell nätverkspeering.
Virtuell nätverksgateway: En eller flera vägar med virtuell nätverksgateway angiven som nästa hopptyp läggs till när en virtuell nätverksgateway läggs till för ett virtuellt nätverk. Källan är också virtuell nätverksgatewayeftersom gatewayen lägger till vägar till undernätet. Om din lokala nätverksgateway utbyter BGP-vägar (Border Gateway Protocol) med en virtuell nätverksgateway lägger systemet till en väg för varje väg. Dessa vägar sprids från den lokala nätverksgatewayen. Vi rekommenderar att du sammanfattar lokala vägar till största möjliga adressintervall, så att du sprider det minsta antalet vägar till en virtuell Azure-nätverksgateway. Det finns begränsningar för hur många vägar du kan sprida till en virtuell nätverksgateway i Azure. Läs mer i informationen om begränsningar för Azure.
VirtualNetworkServiceEndpoint: De offentliga IP-adresserna för vissa tjänster läggs till i routningstabellen av Azure när du aktiverar en tjänstslutpunkt för tjänsten. Tjänstslutpunkter aktiveras för enskilda undernät i ett virtuellt nätverk, så att vägen endast läggs till i routningstabellen för ett undernät som en tjänstslutpunkt är aktiverad för. Azure-tjänsters offentliga IP-adresser ändras regelbundet. Azure hanterar adresserna i routningstabellen automatiskt när adresserna ändras. Läs mer om tjänstslutpunkter för virtuellt nätverk och för vilka tjänster du kan skapa tjänstslutpunkter.
Kommentar
De nästa hopptyperna VNet-peering och VirtualNetworkServiceEndpoint läggs endast till i undernäts routningstabeller i virtuella nätverk som skapats via distributionsmodellen Azure Resource Manager. Nästa hopptyper läggs inte till i routningstabeller som är associerade med virtuella nätverksundernät som skapats via den klassiska distributionsmodellen. Läs mer om distributionsmodeller i Azure.
Anpassade vägar
Du skapar anpassade vägar genom att antingen skapa användardefinierade vägar, eller genom att utbyta vägar eller utbyta border gateway protocol-vägar (BGP) mellan din lokala nätverksgateway och en virtuell nätverksgateway i Azure.
Användardefinierad
Om du vill anpassa dina trafikvägar bör du inte ändra standardvägarna, men du bör skapa anpassade eller användardefinierade(statiska) vägar som åsidosätter Azures standardsystemvägar. I Azure skapar du en routningstabell och associerar sedan routningstabellen till noll eller flera undernät för virtuella nätverk. Varje undernät kan ha noll eller en associerad routningstabell. Läs om det maximala antalet vägar du kan lägga till i en routningstabell och hur många användardefinierade routningstabeller du kan skapa per Azure-prenumeration i Azure-begränsningar. När du skapar en routningstabell och kopplar den till ett undernät kombineras tabellens vägar med undernätets standardvägar. Om det finns vägtilldelningar i konflikt åsidosätter användardefinierade vägar standardvägarna.
Du kan ange följande nästa hopptyper när du skapar en användardefinierad väg:
Virtuell installation: En virtuell installation är en virtuell dator som vanligtvis kör ett nätverksprogram som en brandvägg. Information om olika förkonfigurerade virtuella nätverksinstallationer som du kan distribuera i ett virtuellt nätverk finns i Azure Marketplace. När du skapar en väg med hopptypen virtuell installation anger du även en nästa hopp-IP-adress. IP-adressen kan vara:
Ett nätverksgränssnitts privata IP-adress som är kopplad till en virtuell dator. Ett nätverksgränssnitt som är kopplat till en virtuell dator som vidarebefordrar nätverkstrafik till en annan adress än sin egen måste ha Azure-alternativet Enable IP forwarding (Aktivera IP-vidarebefordring) aktiverat. Inställningen inaktiverar Azures kontroll av källa och mål för ett nätverksgränssnitt. Läs mer om att aktivera IP-vidarekoppling för ett nätverksgränssnitt. Aktivera IP-vidarebefordran är en Azure-inställning. Du kan behöva aktivera IP-vidarebefordran i den virtuella datorns operativsystem för att enheten ska kunna vidarebefordra trafik mellan privata IP-adresser som tilldelats till Azure-nätverksgränssnitt. Om installationen behöver dirigera trafik till en offentlig IP-adress måste den antingen proxyservern trafik eller utföra nätverksadressöversättning (NAT) från källans privata IP-adress till sin egen privata IP-adress. Azure utför sedan NAT till en offentlig IP-adress innan trafiken skickas till Internet. Information om att fastställa nödvändiga inställningar på den virtuella datorn finns i dokumentationen för operativsystemet eller nätverksprogrammet. Läs mer om utgående anslutningar i Azure i Förstå utgående anslutningar.
Kommentar
Distribuera en virtuell installation till ett annat undernät än de resurser som dirigeras via den virtuella installationen. Att distribuera den virtuella installationen till samma undernät och sedan tillämpa en routningstabell på undernätet som dirigerar trafik genom den virtuella installationen kan resultera i routningsloopar där trafiken aldrig lämnar undernätet.
En privat IP-adress för nästa hopp måste ha direktanslutning utan att behöva dirigeras via ExpressRoute Gateway eller Virtual WAN. Om du ställer in nästa hopp till en IP-adress utan direkt anslutning resulterar det i en ogiltig användardefinierad routningskonfiguration.
Den privata IP-adressen till en intern lastbalanserare i Azure. En lastbalanserare används ofta som en del av en strategi med hög tillgänglighet för virtuella nätverksinstallationer.
Du kan definiera en väg med 0.0.0.0/0 som adressprefix och en nästa hopp-typ av virtuell installation. Med den här konfigurationen kan enheten inspektera trafiken och avgöra om trafiken ska vidarebefordras eller släppas. Om du vill skapa en användardefinierad väg som innehåller adressprefixet 0.0.0.0/0 läser du först adressprefixet 0.0.0.0/0.
Virtuell nätverksgateway: Ange när du vill att trafik till specifika adressprefix dirigeras till en virtuell nätverksgateway. Den virtuella nätverksgatewayen måste skapas med typen VPN. Du kan inte ange en virtuell nätverksgateway som skapats som typen ExpressRoute i en användardefinierad väg eftersom du med ExpressRoute måste använda BGP för anpassade vägar. Du kan inte ange virtuella nätverksgatewayer om du har VPN- och ExpressRoute-samexisterande anslutningar heller. Du kan definiera en väg som dirigerar trafik som är avsedd för adressprefixet 0.0.0.0/0 till en vägbaserad virtuell nätverksgateway. Lokalt kan du ha en enhet som inspekterar trafiken och avgör om den ska vidarebefordras eller tas bort. Om du vill skapa en användardefinierad väg för adressprefixet 0.0.0.0/0 läser du först adressprefixet 0.0.0.0/0. I stället för att konfigurera en användardefinierad väg för adressprefixet 0.0.0.0/0 kan du annonsera en väg med prefixet 0.0.0.0/0 via BGP om BGP för en virtuell VPN-nätverksgateway är aktiverad.
None (Ingen): Ange när du vill ta bort trafik till ett adressprefix, istället för att vidarebefordra trafiken till en destination. Azure kan lista Ingen för några av de valfria systemvägarna om en funktion inte har konfigurerats. Om du till exempel ser Ingen listad som IP-adress för nästa hopp med typen Nästa hopp för virtuell nätverksgateway eller Virtuell installation kan det bero på att enheten inte körs eller inte är helt konfigurerad. Azure skapar systemstandardvägar för reserverade adressprefix med None (Ingen) som nästa hopptyp.
Virtuellt nätverk: Ange alternativet Virtuellt nätverk när du vill åsidosätta standardroutningen i ett virtuellt nätverk. I Exempel på dirigering finns ett exempel på varför du kan skapa en väg med hopptypen Virtuellt nätverk.
Internet: Ange internetalternativet när du uttryckligen vill dirigera trafik som är avsedd för ett adressprefix till Internet, eller om du vill ha trafik som är avsedd för Azure-tjänster med offentliga IP-adresser som lagras i Azure-stamnätverket.
Du kan inte ange Peering för virtuellt nätverk eller VirtualNetworkServiceEndpoint som nästa hopptyp i användardefinierade vägar. Vägar med peering för virtuellt nätverk eller VirtualNetworkServiceEndpoint nästa hopptyper skapas endast av Azure, när du konfigurerar en peering för virtuellt nätverk eller en tjänstslutpunkt.
Tjänsttaggar för användardefinierade vägar
Nu kan du ange en tjänsttagg som adressprefix för en användardefinierad väg i stället för ett explicit IP-intervall. En tjänsttagg representerar en grupp IP-adressprefix från en viss Azure-tjänst. Microsoft hanterar adressprefixen som omfattas av tjänsttaggen och uppdaterar automatiskt tjänsttaggen när adresserna ändras. Därmed minimerar du komplexiteten i frekventa uppdateringar av användardefinierade vägar och minskar antalet vägar som du behöver skapa. Du kan för närvarande skapa 25 eller färre vägar med tjänsttaggar i varje routningstabell. Med den här versionen stöds även användning av tjänsttaggar i routningsscenarier för containrar.
Exakt matchning
Systemet föredrar vägen med det explicita prefixet när det finns en exakt prefixmatchning mellan en väg med ett explicit IP-prefix och en väg med en tjänsttagg. När flera vägar med tjänsttaggar har matchande IP-prefix utvärderas vägar i följande ordning:
Regionala taggar (till exempel Storage.EastUS, AppService.AustraliaCentral)
Taggar på toppnivå (till exempel Storage, AppService)
Regionala AzureCloud-taggar (till exempel AzureCloud.canadacentral, AzureCloud.eastasia)
AzureCloud-taggen
Om du vill använda den här funktionen anger du ett servicetaggnamn för adressprefixparametern i routningstabellkommandon. I PowerShell kan du till exempel skapa en ny väg för att dirigera trafik som skickas till ett AZURE Storage IP-prefix till en virtuell installation med hjälp av:
$param = @{
Name = 'StorageRoute'
AddressPrefix = 'Storage'
NextHopType = 'VirtualAppliance'
NextHopIpAddress = '10.0.100.4'
}
New-AzRouteConfig @param
Samma kommando för CLI är följande:
az network route-table route create \
--resource-group MyResourceGroup \
--route-table-name MyRouteTable \
--name StorageRoute \
--address-prefix Storage \
--next-hop-type VirtualAppliance \
--next-hop-ip-address 10.0.100.4
Nästa hopptyper i Azure-verktyg
Namnet som visas och refereras för nästa hopptyper är olika för Azure-portalen och kommandoradsverktyg och Azure Resource Manager och klassiska distributionsmodeller. I följande tabell visas de namn som används för att referera till varje nästa hopptyp med olika verktyg och distributionsmodeller:
| Nästa hopptyp | Azure CLI och PowerShell (Resource Manager) | Azures klassiska CLI och PowerShell (klassisk) |
|---|---|---|
| Virtuell nätverksgateway | VirtualNetworkGateway | VPNGateway |
| Virtuellt nätverk | VNetLocal | VNETLocal (inte tillgängligt i det klassiska CLI:et i klassiskt distributionsmodellläge) |
| Internet | Internet | Internet (inte tillgängligt i det klassiska CLI i klassiskt distributionsmodellläge) |
| Virtuell installation | VirtualAppliance | VirtualAppliance |
| Ingen | Ingen | Null (inte tillgängligt i det klassiska CLI i klassiskt distributionsmodellläge) |
| Virtuell nätverkspeering | VNet-peering | Inte tillämpligt |
| Tjänstslutpunkt för virtuellt nätverk | VirtualNetworkServiceEndpoint | Inte tillämpligt |
Border Gateway Protocol
En lokal nätverksgateway kan utbyta vägar med en virtuell nätverksgateway i Azure med BGP (Border Gateway Protocol). Att använda BGP med en virtuell Azure-nätverksgateway är beroende av vilken typ du valde när du skapade gatewayen:
ExpressRoute: Du måste använda BGP för att annonsera lokala vägar till Microsoft Edge-routern. Du kan inte skapa användardefinierade vägar för att tvinga trafik till den virtuella ExpressRoute-nätverksgatewayen om du distribuerar en virtuell nätverksgateway som distribueras som typen: ExpressRoute. Du kan använda användardefinierade vägar för att tvinga trafik från Express Route till exempelvis en virtuell nätverksinstallation.
VPN: Du kan eventuellt använda BGP. Mer information finns i BGP with site-to-site VPN connections (BGP med plats-till-plats-VPN-anslutningar).
När du skickar vägar till Azure med hjälp av BGP läggs en separat väg till i routningstabellen för alla undernät i ett virtuellt nätverk för varje annonserat prefix. Vägen läggs till med Virtuell nätverksgateway angiven som källa och nästa hopptyp.
Du kan inaktivera ER- och VPN Gateway-vägspridning i ett undernät med hjälp av en egenskap i en routningstabell. När du inaktiverar routespridning lägger systemet inte till vägar i routningstabellen för undernät med inaktiverad routningsspridning för virtuell nätverksgateway. Den här processen gäller både statiska vägar och BGP-vägar. Anslutningar via VPN uppnås med hjälp av anpassade vägar där nästa hopp har typen Virtual network gateway (gateway för virtuellt nätverk). Routningsspridning bör inte inaktiveras i GatewaySubnet. Gatewayen fungerar inte när den här inställningen är inaktiverad. Mer information finns i Inaktivera spridning av routning för virtuell nätverksgateway.
Hur Azure väljer en väg
När utgående trafik skickas från ett undernät väljer Azure en väg baserat på mål-IP-adressen med matchningsalgoritmen med det längsta prefixet. Exempel: En routningstabell har två vägar: En väg anger adressprefixet 10.0.0.0/24 och den andra vägen anger adressprefixet 10.0.0.0/16. Azure dirigerar trafik som är avsedd för 10.0.0.5 till nästa hopptyp som anges i vägen med adressprefixet 10.0.0.0/24. Den här processen beror på att 10.0.0.0/24 är ett längre prefix än 10.0.0.0/16, även om 10.0.0.5 ligger inom båda adressprefixen. Azure dirigerar trafik som är avsedd för 10.0.1.5 till nästa hopptyp som anges i vägen med adressprefixet 10.0.0.0/16. Den här processen beror på att 10.0.1.5 inte ingår i adressprefixet 10.0.0.0/24, vilket gör vägen med adressprefixet 10.0.0.0/16 till det längsta matchande prefixet.
Om flera vägar innehåller samma adressprefix väljer Azure vägtyp utifrån följande prioritet:
Användardefinierad väg
BGP-väg
Systemväg
Kommentar
Systemvägar för trafik som är relaterad till virtuella nätverk, peerkopplingar mellan virtuella nätverk eller tjänstslutpunkter för virtuellt nätverk föredras, även om BGP-vägar är mer specifika.
Till exempel innehåller en routningstabell följande vägar:
| Källa | Adressprefix | Nästa hopptyp |
|---|---|---|
| Standardvärde | 0.0.0.0/0 | Internet |
| User | 0.0.0.0/0 | Virtuell nätverksgateway |
När trafik är avsedd för en IP-adress utanför adressprefixen till andra vägar i routningstabellen väljer Azure vägen med källan Användare eftersom användardefinierade vägar har högre prioritet än systemstandardvägar.
I Exempel på dirigering finns en omfattande routningstabell med förklaringar av vägarna i tabellen.
0.0.0.0/0 adressprefix
En väg med adressprefixet 0.0.0.0/0 ger instruktioner till Azure. Azure använder dessa instruktioner för att dirigera trafik som är avsedd för en IP-adress som inte faller inom adressprefixet för någon annan väg i ett undernäts routningstabell. När ett undernät skapas, skapar Azure en standardväg till adressprefixet 0.0.0.0/0 med Internet som nästa hopptyp. Om du inte åsidosätter den här vägen dirigerar Azure all trafik som är avsedd för IP-adresser som inte ingår i adressprefixet för någon annan väg till Internet. Undantaget är att trafik till de offentliga IP-adresserna för Azure-tjänster förblir i Azure-stamnätverket och inte dirigeras till Internet. När du åsidosätter den här vägen med en anpassad väg dirigeras trafik som är avsedd för adresser som inte ligger inom adressprefixen för någon annan väg i routningstabellen. Målet beror på om du anger en virtuell nätverksinstallation eller en virtuell nätverksgateway i den anpassade vägen.
När du åsidosätter adressprefixet 0.0.0.0/0 sker inte bara utgående trafik från undernätets flöde via den virtuella nätverksgatewayen eller den virtuella installationen, utan följande ändringar sker också med Azures standardroutning:
Azure skickar all trafik till nästa hopptyp som anges i vägen, inklusive trafik till offentliga IP-adresser för Azure-tjänster. När nästa hopptyp för vägen med adressprefixet 0.0.0.0/0 är Internet lämnar aldrig trafik som är avsedd för Azure-tjänsternas offentliga IP-adresser Azures stamnätverk, oavsett vilken Azure-region det virtuella nätverket eller Azure-tjänsten finns i. När du skapar en användardefinierad väg eller BGP-väg med en virtuell nätverksgateway eller en virtuell installation som nästa hopptyp skickas dock all trafik, inklusive trafik som skickats till offentliga IP-adresser till Azure-tjänster du inte har aktiverat tjänstslutpunkter för, till nästa hopptyp som är angiven i vägen. När du aktiverar en tjänstslutpunkt för en tjänst skapar Azure en väg med adressprefix för tjänsten. Trafik till tjänsten dirigeras inte till nästa hopptyp i en väg med adressprefixet 0.0.0.0/0. Adressprefixen för tjänsten är längre än 0.0.0.0/0.
Du kan inte längre komma åt resurser direkt i undernätet från Internet. Du kan komma åt resurser i undernätet indirekt från Internet. Enheten som anges av nästa hopptyp för en väg med adressprefixet 0.0.0.0/0 måste bearbeta inkommande trafik. När trafiken passerar enheten når trafiken resursen i det virtuella nätverket. Om vägen innehåller följande värden för nästa hopptyp:
Virtuell installation: Enheten måste:
Vara tillgänglig från Internet
Ha en offentlig IP-adress tilldelad till sig
Inte ha en regel för nätverkssäkerhetsgrupper kopplad till sig som förhindrar kommunikation till enheten
Inte neka kommunikationen
Kunna nätadressöversätta och vidarebefordra eller skicka trafik via proxy till målresursen i undernätet och leda trafiken tillbaka till Internet.
Virtuell nätverksgateway: Om gatewayen är en virtuell ExpressRoute-nätverksgateway kan en Internet-ansluten enhet lokalt nätadressöversätta och vidarebefordra eller skicka trafik via proxy till målresursen i undernätet via ExpressRoutes privata peering.
Om ditt virtuella nätverk är anslutet till en Azure VPN-gateway ska du inte associera en routningstabell till gatewayundernätet som innehåller en väg med målet 0.0.0.0/0. Om du gör det så förhindrar du gatewayen från att fungera korrekt. Mer information finns i Varför öppnas vissa portar på min VPN-gateway?
Se DMZ mellan Azure och ditt lokala datacenter för implementeringsinformation när du använder virtuella nätverksgatewayer mellan Internet och Azure.
Exempel på dirigering
För att illustrera begreppen i den här artikeln beskrivs i avsnitten som följer:
Ett scenario, med krav
De nödvändiga anpassade vägarna för att uppfylla kraven
Routningstabellen som finns för ett undernät som innehåller standardvägar och anpassade vägar som behövs för att uppfylla kraven
Kommentar
Det här exemplet är inte avsett att vara en rekommenderad implementering eller metodtips. Det visas endast för att illustrera begreppen i den här artikeln.
Krav
Implementera två virtuella nätverk i samma Azure-region och aktivera resurser för att kommunicera mellan virtuella nätverk.
Aktivera ett lokalt nätverk för att kommunicera säkert med de båda virtuella nätverken via en VPN-tunnel över Internet. Det går också att använda en ExpressRoute-anslutning, men i det här exemplet används en VPN-anslutning.
För ett undernät i ett virtuellt nätverk:
Dirigera all utgående trafik från undernätet via en virtuell nätverksinstallation för inspektion och loggning. Undanta trafik till Azure Storage och i undernätet från den här routningen.
Inspektera inte trafik mellan privata IP-adresser i undernätet. trafik kan flöda direkt mellan alla resurser.
Ta bort all utgående trafik som var avsedd för det virtuella nätverket.
Gör det möjligt för utgående trafik till Azure Storage att flöda direkt till Storage, utan att tvinga den genom ett nätverks virtuella installation.
Tillåt all trafik mellan alla andra undernät och virtuella nätverk.
Implementering
Följande bild visar en implementering via Azure Resource Manager-distributionsmodellen som uppfyller föregående krav:
Pilarna visar trafikflödet.
Routningstabeller
Subnet1
Routningstabellen för Subnet1 på bilden innehåller följande vägar:
| ID | Källa | Tillstånd | Adressprefix | Nästa hopptyp | Nästa hopp-IP-adress | Namn på användardefinierad väg |
|---|---|---|---|---|---|---|
| 1 | Standardvärde | Ogiltig | 10.0.0.0/16 | Virtuellt nätverk | ||
| 2 | User | Aktiv | 10.0.0.0/16 | Virtuell installation | 10.0.100.4 | Inom-VNet1 |
| 3 | User | Aktiv | 10.0.0.0/24 | Virtuellt nätverk | Inom-Subnet1 | |
| 4 | Standardvärde | Ogiltig | 10.1.0.0/16 | VNet-peering | ||
| 5 | Standardvärde | Ogiltig | 10.2.0.0/16 | VNet-peering | ||
| 6 | User | Aktiv | 10.1.0.0/16 | Ingen | ToVNet2-1-Drop | |
| 7 | User | Aktiv | 10.2.0.0/16 | Ingen | ToVNet2-2-Drop | |
| 8 | Standardvärde | Ogiltig | 10.10.0.0/16 | Virtuell nätverksgateway | [X.X.X.X] | |
| 9 | User | Aktiv | 10.10.0.0/16 | Virtuell installation | 10.0.100.4 | Till lokalt |
| 10 | Standardvärde | Aktiv | [X.X.X.X] | VirtualNetworkServiceEndpoint | ||
| 11 | Standardvärde | Ogiltig | 0.0.0.0/0 | Internet | ||
| 12 | User | Aktiv | 0.0.0.0/0 | Virtuell installation | 10.0.100.4 | Standard-NVA |
En förklaring av varje väg-ID följer:
ID1: Azure lade automatiskt till den här vägen för alla undernät i Virtual-network-1, eftersom 10.0.0.0/16 är det enda adressintervallet som definierats i adressutrymmet för det virtuella nätverket. Om du inte skapar den användardefinierade vägen i väg-ID2 dirigeras trafik som skickas till någon adress mellan 10.0.0.1 och 10.0.255.254 i det virtuella nätverket. Den här processen beror på att prefixet är längre än 0.0.0.0/0 och inte faller inom adressprefixen för andra vägar. Azure ändrade automatiskt tillståndet från Aktiv till Ogiltig, när ID2, en användardefinierad väg, lades till, eftersom den har samma prefix som standardvägen och användardefinierade vägar åsidosätter standardvägar. Vägens tillstånd är fortfarande Aktiv för Subnet2, eftersom routningstabellen som den användardefinierade vägen ID2 finns i inte är kopplad till Subnet2.
ID2: Azure lade till den här vägen när en användardefinierad väg för adressprefixet 10.0.0.0/16 associerades till subnet1-undernätet i det virtuella nätverket Virtual-network-1 . Den användardefinierade vägen anger 10.0.100.4 som IP-adress för den virtuella installationen, eftersom adressen är den privata IP-adress som tilldelats den virtuella installationens virtuella dator. Routningstabellen som den här vägen finns i är inte associerad med Undernät2, så den visas inte i routningstabellen för Undernät2. Den här vägen åsidosätter standardvägen för prefixet 10.0.0.0/16 (ID1), som automatiskt dirigerade trafik adresserad till 10.0.0.1 och 10.0.255.254 i det virtuella nätverket via det virtuella nätverkets nästa hopptyp. Den här vägen finns för att uppfylla krav 3 för att tvinga all utgående trafik via en virtuell installation.
ID3: Azure lade till den här vägen när en användardefinierad väg för adressprefixet 10.0.0.0/24 associerades till undernätet Subnet1 . Trafik som är avsedd för adresser mellan 10.0.0.1 och 10.0.0.254 finns kvar i undernätet. Trafiken dirigeras inte till den virtuella installationen som angavs i föregående regel (ID2), eftersom den har ett längre prefix än ID2-vägen. Den här vägen var inte associerad med Undernät2, så vägen visas inte i routningstabellen för Undernät2. Den här vägen åsidosätter effektivt ID2-vägen för trafik i Subnet1. Den här vägen finns för att uppfylla krav 3.
ID4: Azure lade automatiskt till vägarna i ID:n 4 och 5 för alla undernät i Virtual-network-1, när det virtuella nätverket peerkopplades med Virtual-network-2. Virtual-network-2 har två adressintervall i sitt adressutrymme: 10.1.0.0/16 och 10.2.0.0/16, så Azure lade till en väg för varje intervall. Om du inte skapar de användardefinierade vägarna i routnings-ID:n 6 och 7 dirigeras trafik som skickas till någon adress mellan 10.1.0.1-10.1.255.254 och 10.2.0.1-10.2.255.254 till det peerkopplade virtuella nätverket. Den här processen beror på att prefixet är längre än 0.0.0.0/0 och inte faller inom adressprefixen för andra vägar. När du lade till vägarna i ID 6 och 7 ändrade Azure automatiskt tillståndet från Aktiv till Ogiltig. Den här processen beror på att de har samma prefix som vägarna i ID 4 och 5, och användardefinierade vägar åsidosätter standardvägar. Tillståndet för vägarna i ID:erna 4 och 5 är fortfarande aktiva för undernät2, eftersom routningstabellen som de användardefinierade vägarna i ID 6 och 7 finns i inte är associerad med Undernät2. En virtuell nätverkspeering har skapats för att uppfylla krav 1.
ID5: Samma förklaring som ID4.
ID6: Azure lade till den här vägen och vägen i ID7, när användardefinierade vägar för adressprefixen 10.1.0.0/16 och 10.2.0.0/16 associerades till subnet1-undernätet . Azure släpper trafik som är avsedd för adresser mellan 10.1.0.1-10.1.255.254 och 10.2.0.1-10.2.255.254, i stället för att dirigeras till det peerkopplade virtuella nätverket, eftersom användardefinierade vägar åsidosätter standardvägar. Vägarna är inte kopplade till Undernät2, så vägarna visas inte i routningstabellen för Undernät2. Vägarna åsidosätter vägarna ID4 och ID5 för trafik som lämnar Subnet1. Vägarna ID6 och ID7 finns för att uppfylla krav 3 för att ta bort trafik som är avsedd för det andra virtuella nätverket.
ID7: Samma förklaring som ID6.
ID8: Azure lade automatiskt till den här vägen för alla undernät i Virtual-network-1 när en virtuell nätverksgateway av VPN-typ skapades i det virtuella nätverket. Azure la till den offentliga IP-adressen till den virtuella nätverksgatewayen till routningstabellen. Trafik som skickas till alla adresser mellan 10.10.0.1 och 10.10.255.254 dirigeras till den virtuella nätverksgatewayen. Prefixet är längre än 0.0.0.0/0 och är inte inom adressprefixet för någon av de andra vägarna. En virtuell nätverksgateway har skapats för att uppfylla krav 2.
ID9: Azure lade till den här vägen när en användardefinierad väg för adressprefixet 10.10.0.0/16 lades till i routningstabellen som är associerad med Undernät1. Den här vägen åsidosätter ID8. Vägen skickar all trafik till lokala nätverk till en NVA för granskning, istället för att dirigera trafiken lokalt direkt. Den här vägen har skapats för att uppfylla krav 3.
ID10: Azure lade automatiskt till den här vägen i undernätet när en tjänstslutpunkt till en Azure-tjänst aktiverades för undernätet. Azure dirigerar trafik från undernätet till en offentlig IP-adress för tjänsten via nätverket i Azure-infrastrukturen. Prefixet är längre än 0.0.0.0/0 och är inte inom adressprefixet för någon av de andra vägarna. En tjänstslutpunkt skapades för att uppfylla krav 3, för att göra det möjligt för trafik avsedd för Azure Storage att flöda direkt till Azure Storage.
ID11: Azure lade automatiskt till den här vägen i routningstabellen för alla undernät i Virtual-network-1 och Virtual-network-2. Adressprefixet 0.0.0.0/0 är det kortaste prefixet. All trafik som skickas till adresser inom ett längre adressprefix dirigeras baserat på andra vägar. Som standard dirigerar Azure all trafik som är avsedd för adresser utöver de adresser som angavs i någon av de andra vägarna till Internet. Azure ändrade automatiskt tillståndet från Aktiv till Ogiltig för undernätet Subnet1 när en användardefinierad väg för adressprefixet 0.0.0.0/0 (ID12) kopplades till undernätet. Tillståndet för den här vägen är fortfarande Aktiv för alla andra undernät i de båda virtuella nätverken, eftersom vägen inte är kopplad till några andra undernät i några andra virtuella nätverk.
ID12: Azure lade till den här vägen när en användardefinierad väg för adressprefixet 0.0.0.0/0 associerades till undernätet Subnet1 . Den användardefinierade vägen anger 10.0.100.4 som IP-adress för den virtuella installationen. Den här vägen är inte associerad med Undernät2, så vägen visas inte i routningstabellen för Undernät2. All trafik för adresser som inte ingår i adressprefixen för någon av de andra vägarna skickas till den virtuella installationen. Tillägget av den här vägen ändrade tillståndet för standardvägen för adressprefixet 0.0.0.0/0 (ID11) från Aktiv till Ogiltig för Subnet1, eftersom en användardefinierad väg åsidosätter en standardväg. Den här vägen finns för att uppfylla det tredje kravet.
Subnet2
Routningstabellen för Subnet2 på bilden innehåller följande vägar:
| Källa | Tillstånd | Adressprefix | Nästa hopptyp | Nästa hopp-IP-adress |
|---|---|---|---|---|
| Standardvärde | Aktiv | 10.0.0.0/16 | Virtuellt nätverk | |
| Standardvärde | Aktiv | 10.1.0.0/16 | Virtuell nätverkspeering | |
| Standardvärde | Aktiv | 10.2.0.0/16 | Virtuell nätverkspeering | |
| Standardvärde | Aktiv | 10.10.0.0/16 | Virtuell nätverksgateway | [X.X.X.X] |
| Standardvärde | Aktiv | 0.0.0.0/0 | Internet | |
| Standardvärde | Aktiv | 10.0.0.0/8 | Ingen | |
| Standardvärde | Aktiv | 100.64.0.0/10 | Ingen | |
| Standardvärde | Aktiv | 192.168.0.0/16 | Ingen |
Routningstabellen för Subnet2 innehåller alla Azure-skapade standardvägar och valfri peering för virtuella nätverk och valfria vägar för virtuell nätverksgateway. Azure la till de valfria vägarna till alla undernät i det virtuella nätverket när gatewayen och peeringen lades till i det virtuella nätverket. Azure tog bort vägarna för adressprefixen 10.0.0.0/8, 192.168.0.0/16 och 100.64.0.0/10 från routningstabellen Subnet1 när den användardefinierade vägen för adressprefixet 0.0.0.0/0 lades till i Subnet1.
Nästa steg
Skapa en användardefinierad routningstabellen med vägar och en virtuell nätverksenhet
Visa alla vägar för ett undernät. En användardefinierad routningstabell visar bara de användardefinierade vägarna och inte standardvägarna och BGP-vägarna för ett undernät. Om du visar alla vägar ser du standardvägarna, GBP- och de användardefinierade vägarna för undernätet som ett nätverksgränssnitt finns i.
Bestäm nästa hopptyp mellan en virtuell dator och en mål-IP-adress. Nästa hopp-funktionen Azure Network Watcher gör att du kan bestämma om trafik som lämnar ett undernät dirigeras dit du önskar.