Azure sanal ağlar için IP adresi planlaması

Bu makale, Azure dağıtımları için özel ve genel IP adresi planlamasını kapsar. Adres alanı ayırmayı, çakışan aralıklardan kaçınmayı, doğru genel IP türünü seçmeyi ve IPv6 çift yığın desteğini değerlendirmeyi öğreneceksiniz.

Bu makalenin kapsamı

Bu makale, büyük ölçekli ortamlar için özel adres ayırma stratejilerini, genel IP türlerini ve SKU'ları, çakışan aralıkları önlemek için CIDR planlamasını, IPv6 çift yığınla ilgili konuları ve IP Adresi Yöneticisi'ni (IPAM) kapsar.

Bu makaleye kimin ihtiyacı var?

Aşağıdakiler varsa bu makaleyi okuyun:

  • Azure'de bir sanal ağ (VNet) dağıtıyor ve hangi IP adresi aralıklarının kullanılacağına karar vermeleri gerekiyor.
  • Azure ağlarını şirket içi ortamlara bağlıyorsanız ve adres çakışmalarını önlemeniz gerekiyorsa.
  • Standart Genel IP'ler, Genel IP Ön Ekleri veya kendi IP aralıklarınızı (BYOIP) getirme arasında seçim yapmanız gerekir.
  • IPv6 çift yığınının iş yükleriniz için ne zaman uygun olduğunu anlamak istiyorsunuz.
  • Büyük veya büyümekte olan bir ortamı yönetiyor ve IP tahsislerini büyük ölçekte izlemek için bir stratejiye ihtiyaç duyuyorsunuz.

Lift-and-shift yaklaşımı: VPN veya ExpressRoute yönlendirmesinin adres çevirisi olmadan çalışması için şirket içi ağınızla örtüşmeyen özel IP aralıkları seçin. Önümüzdeki birkaç yıl içinde taşıyacağınız iş yükleri için alan bulunan bir büyük iniş bölgesi bloğu ayırın.

Modernizasyona odaklanın: Etkin-etkin iş yüklerinin daha sonra eşlenebilmesi için, birincil ve yedek bölgeleriniz genelinde çakışmayan bir adres alanı planlayın ve App Service Ortamı ile AKS için uygun boyutta alt ağlar ayırın.

Bulutlar arası odak: Bulutları VPN veya ara bağlantı üzerinden bağlamadan önce zorunlu olan mevcut AWS VPC veya Google Cloud CIDR aralıklarıyla çakışmayan bir genel adres planı oluşturun.

Azure hizmetleri ve özellikleri

Aşağıdaki hizmetler ve özellikler Azure'de IP adresi planlamasını destekler:

Hizmet veya Özellik Ne sağlar? Ne zaman kullanılır?
RFC 1918 özel adres alanları Özel kullanım için üç ayrılmış aralık: 10.0.0.0/8, 172.16.0.0/12 ve 192.168.0.0/16. Azure sanal ağlar iç iletişim için bu aralıkları kullanır. Her zaman: Her VNet, bu adres alanlarından en az bir özel adres aralığı gerektirir.
RFC 6598 paylaşılan adres alanı 100.64.0.0/10: Azure'de özel adres alanı olarak değerlendirilir. Başlangıçta taşıyıcı sınıfı NAT (CGNAT) ortamları için tasarlanmıştır. Kuruluşunuz şirket içi RFC 6598 aralıklarını zaten kullanıyorsa veya RFC 1918 alanı tükendiğinde.
Standart Genel IP Tek bir kaynağa atanmış statik, alanlar arası yedekli genel IP adresi. Gelen trafik varsayılan olarak kapalı olduğundan güvenlidir. Bir kaynağın yük dengeleyici, VPN ağ geçidi veya genel kullanıma yönelik sanal makine gibi benzersiz bir genel uç noktaya ihtiyacı olduğunda.
Genel IP Ön Eki Belirli bir Azure bölgesine ait ayrılmış bitişik bir genel IP adresleri bloğu. NAT Ağ Geçidi, Sanal Makine Ölçek Kümeleri veya dış için öngörülebilir IP aralıklarına ihtiyacınız olduğunda onaylanan listeye ekleyin.
BYOIP / Özel IP Ön Eki Kendi genel IP aralıklarınızı Azure’a dahil edin. Üç aşamalı bir süreç kullanır: sahipliği doğrulama, ön eki tahsis etme ve ardından kullanıma alma. Mevcut IP itibarını korumanız gerektiğinde, dış onaylı liste girdilerini koruyun veya genel IP'leri değiştirmeden iş yüklerini geçirin.
Azure Sanal Ağ Yöneticisi IPAM Azure Sanal Ağ Yöneticisi'da yerleşik bir IP Adresi Yönetimi özelliği. Çoğu bölgede genel olarak kullanılabilir. Abonelikler genelinde merkezi görünürlük ve tahsis takibi sağlar. Birden çok abonelikte çok sayıda VNet’i yönetirken ve adres kullanımını otomatik olarak takip etmeniz gerektiğinde. Bkz. Merkezi ağ yönetimi.

Nasıl seçilir?

IP planlama kararlarınızı yönlendirmek için aşağıdaki karar tablolarını kullanın.

IP planlama en iyi yöntemleri

Practice Neden? Example
Büyük bir ana CIDR bloğu (/16) ayırın ve alt bölümlere ayırın İş yükleri büyüdükçe adres tükenmesini önler. Yolları özetlemek daha kolay. 10.1.0.0/16 adres bloğunu üretim ortamına atayın, ardından her iş yükü katmanı için /24 alt ağlar oluşturun.
Her alt ağda en az 30% boşluk bırakın Sanal Makine Ölçek Kümeleri, AKS ve App Service Ortamları gibi ölçeklendirme hizmetleri, ölçeği genişletme sırasında IP'leri hızla kullanır. /24 alt ağı 251 kullanılabilir IP sağlar. Başlangıç dağıtımınız 100 ise, bunu üç katına çıkarma payınız vardır.
Her ortam için bitişik CIDR blokları kullanma Yol özetlemeyi ve güvenlik duvarı kurallarını basitleştirir. Tek bir özet yolu ortamın tamamını temsil eder. Üretim: 10.1.0.0/16. Test ortamı: 10.2.0.0/16. Geliştirme: 10.3.0.0/16.
Azure platformu tarafından ayrılan ve yasaklı aralıklardan kaçının Ayrılmış aralıkların kullanılması yönlendirme hatalarına ve dağıtım hatalarına neden olur. 169.254.0.0/16, 168.63.129.16/32, 224.0.0.0/4, 127.0.0.0/8 veya 255.255.255.255/32 atamayın.
Azure IPAM'de veya bir hesap tablosunda tahsisleri belgeleyin Ortam büyüdükçe çakışmayı önler. Ağ ekipleri için görünürlüğü merkezileştirir. Otomatik izleme için Azure Sanal Ağ Yöneticisi IPAM kullanın veya daha küçük ortamlar için paylaşılan bir elektronik tablo koruyun.

Sanal ağ adres alanının iş yükü katmanları ve ağ geçidi, güvenlik duvarı ve Bastion gibi ayrılmış platform hizmetleri için boyutlandırılmış alt ağlara nasıl bölündüğünü gösteren diyagram.

Genel IP adresi türleri

Türü Bu nedir Ne zaman kullanılır?
Standart Genel IP Ayrı olarak atanan statik genel IP. Kullanılabilirlik alanlarının etkinleştirildiği bölgelerde varsayılan olarak bölge yedeklidir. Varsayılan olarak güvenlidir: NSG veya yük dengeleyici kuralı izin verene kadar tüm gelen trafik engellenir. Genel kullanıma yönelik yük dengeleyiciler, VPN ağ geçitleri, Azure Bastion, uygulama ağ geçitleri veya benzersiz bir genel uç nokta gerektiren herhangi bir kaynak.
Genel IP Ön Eki Belirli bir bölgedeki genel IP'lerin ayrılmış bitişik bloğu. Sıralı adresleri garanti eder. NAT Ağ Geçidi (birden çok giden IP için ön ek gerektirir), Sanal Makine Ölçek Kümeleri veya dış sistemlerin onaylı bir listeye öngörülebilir bir IP aralığı eklemesi gerektiğinde.
BYOIP / Özel IP Ön Eki Müşteriye ait genel IP aralıkları, Azure’a üç aşamalı bir süreçle alınır: doğrulama, sağlama ve devreye alma. Bölgesel önekler yaklaşık 30 dakika içinde sağlanır; küresel önekler ise 3–4 saat sürer. Bulut geçişi sırasında IP itibarını koruma, dış onaylı liste girdilerini koruma veya IP sahipliği için mevzuat gereksinimlerini karşılama. Özel IP Ön Eki'nden türetilen IP'ler Azure DDoS Koruması da kullanabilir.

Note

Temel SKU genel IP'leri 30 Eylül 2025'te kullanımdan kaldırılmıştır. Mevcut Temel IP'ler çalışmaya devam eder, ancak desteklenmez ve SLA'sı yoktur. Tüm yeni dağıtımlar için Standart SKU'ya yükseltin.

IPv6 kararı

Scenario Tavsiye Gerekçe
İş yükü yalnızca IPv4 istemcilerine hizmet eder, yasal IPv6 gereksinimi yoktur Yalnızca IPv4 En basit yapılandırma. Çift yığın yönetimi ek yükünü önler. çoğu Azure hizmeti IPv4'i yerel olarak destekler.
İş yükü IPv6 istemcilerine hizmet etmelidir veya düzenlemeler IPv6 desteği gerektirir Çift yığın (IPv4 + IPv6) Azure sanal ağlar çift yığınlı alt ağları destekler. IPv6'nın yanı sıra IPv4'i de aynı kaynaklara dağıtın.
İş yükü IPv6'ya ihtiyaç duyar ancak Azure Güvenlik Duvarı, Sanal WAN veya Yönlendirme Sunucusu'nu kullanıyor Yalnızca IPv4 (dış IPv6 sonlandırma ile) Azure Güvenlik Duvarı, Sanal WAN ve Yönlendirme Sunucusu şu anda IPv6'yı desteklemez. Trafik bu hizmetlere girmeden önce bir dış yük dengeleyicide veya uç cihazda IPv6'yi sonlandırın. VPN Gateway IPv6 önizlemede kullanılabilir.

Azure'de IPv6 çift yığın

Azure, sanal ağlar arasında IPv6 çift yığın dağıtımlarını destekler. Çift yığını etkinleştirdiğinizde, her alt ağ hem bir IPv4 aralığı hem de bir IPv6 /64 aralığı alır. Kaynaklar her iki aileden de adres alır ve her iki protokol üzerinden aynı anda iletişim kurabilir.

Azure'da IPv6'nın belirli boyutlandırma gereksinimleri vardır. IPv6 alt ağları tam olarak /64 olmalıdır. Diğer hiçbir ön ek uzunluğu desteklenmez. Bir sanal ağa atadığınız IPv6 adres alanı, IPv6 bağlantısı gerektiren her alt ağ için /64 alt ağlarını barındıracak kadar büyük olmalıdır. İlk ağ tasarımı sırasında IPv6 adres ayırmanızı IPv4 aralıklarınızla birlikte planlayın.

Aşağıdaki Azure hizmetleri IPv6 çift yığın yapılandırmalarını destekler:

Service IPv6 desteği
Azure Sanal Ağ /64 IPv6 aralıklarına sahip çift yığınlı alt ağlar
Standart Yük Dengeleyici Genel ve iç IPv6 ön uçları
VPN Ağ Geçidi IPv6 tünel uç noktaları (önizleme; kabul gerektirir)
NAT Ağ Geçidi IPv6 giden çevirisi (yalnızca StandardV2 SKU; Standart SKU yalnızca IPv4'dür)
Genel IP (Standart SKU) IPv6 genel adresleri
Sanal Makine Ölçek Kümeleri IPv6 ağ arabirimleri
Sanal Ağ Eşlemesi Eşlenmiş sanal ağlar arasında IPv6 trafiği
Ağ Güvenlik Grupları Filtreleme için IPv6 kuralları
DNS (Azure DNS) AAAA kayıt desteği

IPv6'yi desteklemeyen önemli hizmetler: Azure Güvenlik Duvarı (yalnızca IPv4 alt ağı gerektirir), Sanal WAN (yalnızca IPv4) ve Yönlendirme Sunucusu (yalnızca IPv4). VPN Gateway, IPv6'yi çift yığın modunda destekler, ancak yalnızca önizleme özelliği olarak (kabul gerektirir). Mimariniz trafik denetimi veya yönlendirme için Azure Güvenlik Duvarı, Sanal WAN veya Route Server'a bağlıysa, ağınızı bu bileşenlere ulaşmadan önce IPv6 trafiğinin işleneceğini tasarlar.

Ayrıntılı IPv6 özellikleri, sınırlamaları ve yapılandırma adımları için bkz. Azure Sanal Ağ için IPv6.

Azure için ayrılmış adresler

Azure her alt ağda beş IP adresi ayırır:

Rezerve adres Purpose
İlk adres (.0) Ağ tanımlayıcısı
İkinci adres (.1) Varsayılan ağ geçidi
Üçüncü adres (.2) Azure DNS eşleme
Dördüncü adres (.3) Azure DNS eşleme
Son adres (yayın) Yayın adresi

Bu beş ayrılmış adresi tüm alt ağ boyutlandırma hesaplamalarına dahil edin. /24 alt ağ toplam 256 adres sağlar; bunların 5’i ayrılmıştır, bu da geriye 251 kullanılabilir ana makine IP adresi bırakır. Desteklenen en küçük IPv4 alt ağı /29'dur (8 adres eksi 5 ayrılmış = 3 kullanılabilir). Desteklenen en büyük IPv4 alt ağı /2'dir.

İpucu

Standart SKU genel IP adresleri, kaynağa bağlı olup olmadıklarına bakılmaksızın ücretlendirilir. IP hijyeninin bir parçası olarak, artık kullanmadığınız genel IP adreslerini düzenli aralıklarla silin ve dışladığınız genel IP ön eklerini serbest bırakın. Atanmamış genel IP adresleri, önlenebilir maliyetlerin ve gereksiz bir saldırı yüzeyinin sık görülen bir kaynağıdır.

Tasarımla ilgili dikkat edilecek noktalar

Lift-and-shift IP planlama ve tasarım odağı

  • İniş bölgesi için tek bir büyük CIDR bloğu ayırın (/16 yaygın bir seçimdir) ve bunu taşınan her uygulama için alt bölümlere ayırarak büyüme için yaklaşık yüzde 20’lik bir pay bırakın.
  • VPN Gateway veya ExpressRoute aracılığıyla bağladığınız şirket içi ağlarla çakışmaz aralıkları seçin; böylece yönlendirme adres çevirisi olmadan çalışır.
  • Azure'un alt ağ başına ayırdığı beş adresi ve GatewaySubnet (/27) ile AzureFirewallSubnet (/26) gibi platform hizmetlerinin gerektirdiği özel alt ağları hesaba katın.
  • Ağların hiçbir zaman eşlendiği durumlarda, adres alanından tasarruf etmek için özel IPv4 aralıklarını kasıtlı olarak yeniden kullanabilirsiniz.

IP planlama tasarım odağını modernleştirme

  • Aktif-aktif iş yüklerinin daha sonra yeniden adresleme gerekmeden global eşlemeyi kullanabilmesi için, birincil ve yedek bölgelerinizde çakışmayan aralıklar ayırın.
  • App Service Ortamı için boyutlandırılmış özel bir alt ağ ayırın (/24 veya maksimum ölçeğe yakın durumlarda /23). CNI Overlay kullanan AKS için alt ağı yalnızca düğümler için boyutlandırın; çünkü pod’lar adresleri ayrı bir overlay CIDR’sinden alır. Bu sayede düğüm alt ağı, düz bir CNI tasarımının gerektirdiğinden çok daha küçük olabilir.
  • PaaS benimsemenin adres planınızı parçalanmaması için özel uç noktalar için ayrılmış bir alt ağ ayırın.
  • Ortamınız ölçeklendikçe ayırmaları izlemek ve otomatikleştirmek için Azure Sanal Ağ Yöneticisi IP adresi yönetimini kullanın.

Bulutlar arası IP planlama tasarımı odağı

  • Önce genel bir adres planı oluşturun: yönlendirilmiş VPN veya ara bağlantı için gerekli olan mevcut AWS VPC'leri veya Google Cloud VPC ağlarıyla çakışmayan Azure CIDR bloklarını ayırın.
  • Azure Sanal WAN aracılığıyla özetlenmiş yollar planlamak için her bağlı bulutun ve dalın adres aralıklarını belgeleyin.
  • Sanal WAN hub’ı ve VPN ağ geçidi alt ağları gibi aktarım bileşenleri için, bulut uçları ve şubeler ekledikçe ölçeklendirmeye olanak tanıyacak yeterli adres alanı ayırın.
  • Çakışmaların kaçınılmaz olduğu durumlarda, etkilenen VPN bağlantılarına NAT uygulamayı veya iş yüklerini geçişten sonra değil, geçiş sırasında yeniden adreslemeyi planlayın.

Prerequisites

IP adresi ayırmanızı planlamadan önce:

  • Sanal ağ tasarımı: Var olan veya planlanan bir sanal ağ yapınız var. Sanal ağlarınızı henüz tasarlamıyorsanız, önce sanal ağları ve alt ağları Azure bölümüne bakın.
  • Şirket içi IP envanteri: Şubeler, veri merkezleri veya diğer bulut sağlayıcıları tarafından kullanılan aralıklar dahil olmak üzere mevcut şirket içi adres aralıklarını belgele. Karma bağlantı için çakışmayan adresler gereklidir.
  • Büyüme projeksiyonları: Sonraki 2-3 yıl içinde kaç ek alt ağa ve ana ağa ihtiyacınız olduğunu tahmin edin. Adres alanını önden ayırma işlemi, daha sonra bir sanal ağı genişletmekten daha kolaydır.

Güvenlik konuları

IP planlamasının doğrudan güvenlik etkileri vardır. Riski azaltmak için şu uygulamaları izleyin:

  • Adres çakışmasını engelle: Şirket içi ağlar, Azure sanal ağlar ve eşlenmiş sanal ağlar arasında çakışan IP aralıkları yönlendirme hatalarına neden olur. Trafik yanlış hedefe ulaşabilir veya sessizce bırakılabilir. Her adres aralığının tüm ağınızda benzersiz olduğunu doğrulayın.
  • Yasaklanmış aralıklardan kaçının: Azure platform işlemleri için aşağıdaki aralıkları ayırır. Bunları hiçbir zaman sanal ağ adres alanı olarak kullanmayın:
    • 169.254.0.0/16 (bağlantı-yerel)
    • 168.63.129.16/32 (Azure dahili DNS)
    • 224.0.0.0/4 (çok noktaya yayın)
    • 127.0.0.0/8 (geri döngü)
    • 255.255.255.255/32 (yayın)
  • Belge ve denetim: Tüm IP ayırmalarının geçerli kaydını tutma. Belgelenmemiş aralıklar, yeni iş yükleri dağıtıldığında yanlışlıkla çakışmaya neden olur. Otomatik uyumluluk izleme için Azure Sanal Ağ Yöneticisi IPAM kullanın veya her dağıtım sırasında gözden geçirilmiş paylaşılan bir elektronik tabloyu koruyun.
  • Genel IP'leri koruma: Azure DDoS Korumasını üretim ortamlarındaki genel IP kaynaklarıyla ilişkilendirin. BYOIP aralıkları DDoS Koruması ile de korunabilir.

Bu makaleler IP adresi planlamasıyla etkileşim kuran konuları kapsar:

Daha fazla bilgi edinin

Sonraki Adımlar

İpucu

Kendi başınıza mı keşfedersiniz? Özelliğe göre bir sonraki makalenizi bulmak için genel bakış gezginine dönün.

Lift-and-shift yolculuğunuzdaki bir sonraki adım:

Ağ güvenlik gruplarıyla alt ağlarınızın güvenliğini sağlama: Güvenlik duruşunuzu Azure korumak için mevcut güvenlik duvarı kurallarınızı NSG kuralları olarak yansıtabilirsiniz.

Modernleştirme yolculuğunuzda bir sonraki adım:

Ağ güvenlik gruplarıyla alt ağlarınızın güvenliğini sağlama: Uygulama alt ağlarınıza yalnızca yük dengeleyici trafiğinin ulaşması için katı segmentasyon uygulayın.

Bulutlar arası yolculuğunuzda sonraki adım:

Ağ güvenlik gruplarıyla alt ağlarınızın güvenliğini sağlama: AWS Güvenlik Grupları ve Google Cloud güvenlik duvarı kurallarınızı Azure NSG'ler olarak yansıtabilirsiniz.

  • Last updated on