Azure 虛擬網路常見問題 (FAQ)

基本概念

什麼是虛擬網路?

虛擬網路是雲端中您自己的網路表示法,如 Azure 虛擬網絡 服務所提供。 虛擬網路是 Azure 雲端的邏輯隔離,專用於您的訂用帳戶。

您可以透過虛擬網路,在 Azure 中佈建和管理虛擬私人網路 (VPN)。 您可以選擇性地連結虛擬網路與 Azure 中的其他虛擬網路,或使用內部部署 IT 基礎結構連結虛擬網路,以建立混合式或跨單位解決方案。

您建立的每個虛擬網路都有自己的 CIDR 區塊。 只要 CIDR 區塊沒有重疊,您就可以將虛擬網路連結至其他虛擬網路和內部部署網路。 您也可以控制虛擬網路的 DNS 伺服器設定,以及將虛擬網路分割成子網。

使用虛擬網路來:

  • 建立專用、私人、僅限雲端的虛擬網路。 有時候您的解決方案不需要跨單位部署組態。 當您建立虛擬網路時,虛擬網路內的服務和虛擬機可以直接且安全地與雲端中的彼此通訊。 作為解決方案的一部分,您仍然可為以及需要網際網路通訊的 VM 和服務設定端點連線。

  • 安全地擴充數據中心。 透過虛擬網路,您可以建置傳統的站對站 (S2S) VPN,以安全地調整資料中心容量。 S2S VPN 使用 IPsec 來提供公司 VPN 閘道與 Azure 之間的安全連線。

  • 啟用混合式雲端案例。 您可以將雲端式應用程式安全地連線到任何類型的內部部署系統,包括大型主機和 Unix 系統。

要如何開始?

請流覽 Azure 虛擬網絡 檔以開始使用。 此內容提供所有虛擬網路功能的概觀和部署資訊。

是否可以在沒有跨單位聯機的情況下使用虛擬網路?

是。 您可以使用虛擬網路,而不需要將它連線到您的內部部署。 例如,您可以只執行 Azure 虛擬網路中的 Microsoft Windows Server Active Directory 域控制器和 SharePoint 伺服器數位。

我可以在虛擬網路或虛擬網路與內部部署數據中心之間執行WAN優化嗎?

是。 您可以透過 Azure Marketplace,從數個 廠商部署網路虛擬設備以進行 WAN 優化

組態

我使用哪些工具來建立虛擬網路?

您可以使用下列工具來建立或設定虛擬網路:

  • Azure 入口網站
  • PowerShell
  • Azure CLI
  • 網路組態檔netcfg僅適用於傳統虛擬網路)

我可以在虛擬網路中使用哪些位址範圍?

建議您使用 RFC 1918列舉的下列位址範圍。 IETF 已為私人、無法路由傳送的位址空間保留這些範圍。

  • 10.0.0.0 至 10.255.255.255 (10/8 前置詞)
  • 172.16.0.0 至 172.31.255.255 (172.16/12 前綴)
  • 192.168.0.0 至 192.168.255.255 (192.168/16 前綴)

您也可以在 RFC 6598部署保留的共享地址空間,這會被視為 Azure 中的私人 IP 位址空間:

  • 100.64.0.0 至 100.127.255.255 (100.64/10 前綴)

其他地址空間,包括所有其他 IETF 辨識的私人、不可路由位址空間,可能會運作,但有不想要的副作用。

此外,您無法新增下列位址範圍:

  • 224.0.0.0/4 (多播)
  • 255.255.255.255/32 (廣播)
  • 127.0.0.0/8 (回送)
  • 169.254.0.0/16 (鏈接當地)
  • 168.63.129.16/32 (內部 DNS)

我可以在虛擬網路中擁有公用IP位址嗎?

是。 如需公用IP位址範圍的詳細資訊,請參閱 建立虛擬網路。 公用IP位址無法直接從因特網存取。

我的虛擬網路中的子網數目是否有限制?

是。 如需詳細資訊,請參閱 網路限制 。 子網位址空間不能彼此重疊。

在這些子網路內使用 IP 位址是否有任何限制?

是。 Azure 會保留前四個位址和最後一個位址,每個子網內總共有五個IP位址。

例如,192.168.1.0/24 的 IP 位址範圍具有下列保留位址:

  • 192.168.1.0:網路位址。
  • 192.168.1.1:Azure 為預設網關保留。
  • 192.168.1.2、192.168.1.3:由 Azure 保留,以將 Azure DNS IP 位址對應至虛擬網路空間。
  • 192.168.1.255:網路廣播位址。

虛擬網路和子網的大小和大小如何?

支援的最小 IPv4 子網路是 /29,最大則是 /2 (使用 CIDR 子網路定義)。 IPv6 子網路的大小必須正好是 /64。

我可以使用虛擬網路將 VLAN 帶到 Azure 嗎?

否。 虛擬網路是第3層重疊。 Azure 不支援任何第 2 層語意。

我可以在虛擬網路和子網上指定自定義路由原則嗎?

是。 您可以建立路由表,並將它與子網產生關聯。 如需 Azure 中路由的詳細資訊,請參閱 自定義路由

當我在子網上同時套用 NSG 和 UDR 時,行為為何?

針對輸入流量,會處理網路安全組 (NSG) 輸入規則。 針對輸出流量,會處理 NSG 輸出規則,後面接著使用者定義的路由 (UDR) 規則。

當我在 NIC 和 VM 的子網上套用 NSG 時,行為為何?

當您在網路介面器 (NIC) 和 VM 的子網上套用 NSG 時:

  • 子網層級 NSG,後面接著 NIC 層級 NSG,會針對輸入流量進行處理。
  • 輸出流量會處理 NIC 層級 NSG,後面接著子網層級 NSG。

虛擬網路是否支援多播或廣播?

否。 不支援多播和廣播。

我可以在虛擬網路中使用哪些通訊協定?

您可以在虛擬網路中使用 TCP、UDP、ESP、AH 和 ICMP TCP/IP 通訊協定。

虛擬網路支援單播。 虛擬網路中會封鎖多播、廣播、IP 內封裝封包和一般路由封裝 (GRE) 封包。 您無法透過單播 (來源埠 UDP/68, 目的地埠 UDP/67) 使用動態主機設定通訊協定 (DHCP)。 UDP 來源埠 65330 已保留給主機。

我可以在虛擬網路中部署 DHCP 伺服器嗎?

Azure 虛擬網路會將 DHCP 服務和 DNS 提供給 VM。 虛擬網路不支援用戶端/伺服器 DHCP 流量(來源埠 UDP/68、目的地埠 UDP/67)。

您無法部署自己的 DHCP 服務來接收和提供虛擬網路內端點的單播或廣播用戶端/伺服器 DHCP 流量。 部署意圖接收單播 DHCP 轉送的 DHCP 伺服器 VM(來源埠 UDP/67、目的地埠 UDP/67)流量也是 不支援 的案例。

我可以在虛擬網路中偵測預設閘道嗎?

否。 Azure 提供的預設閘道不會回應 Ping。 但是您可以使用虛擬網路中的 Ping 來檢查連線能力,以及 VM 之間的疑難解答。

我可以使用 tracert 來診斷連線能力嗎?

是。

我可以在建立虛擬網路之後新增子網嗎?

是。 只要這兩個條件都存在,您就可以隨時將子網新增至虛擬網路:

  • 子網位址範圍不是另一個子網的一部分。
  • 虛擬網路的位址範圍中有可用空間。

我可以在建立子網之後修改子網的大小嗎?

是。 如果其中未部署任何 VM 或服務,您可以新增、移除、展開或壓縮子網。

我可以在建立虛擬網路之後修改虛擬網路嗎?

是。 您可以新增、移除和修改虛擬網路所使用的 CIDR 區塊。

如果我在虛擬網路中執行服務,我可以連線到因特網嗎?

是。 部署在虛擬網路中的所有服務都可以連線到因特網的輸出。 若要深入瞭解 Azure 中的輸出因特網連線,請參閱 使用來源網路位址轉換 (SNAT) 進行輸出連線

如果您想要將輸入連線至透過 Azure Resource Manager 部署的資源,資源必須指派公用 IP 位址給它。 如需詳細資訊,請參閱 建立、變更或刪除 Azure 公用 IP 位址

部署在 Azure 中的每個雲端服務都有一個可公開尋址的虛擬 IP(VIP)指派給它。 您可以定義平臺即服務 (PaaS) 角色的輸入端點,以及虛擬機的端點,讓這些服務能夠接受來自因特網的連線。

虛擬網路是否支援 IPv6?

是。 虛擬網路只能是 IPv4 或雙重堆疊(IPv4 + IPv6)。 如需詳細資訊,請參閱什麼是適用於 Azure 虛擬網絡 的 IPv6?

虛擬網路可以跨越區域嗎?

否。 虛擬網路限制為單一區域。 但虛擬網路確實跨越可用性區域。 若要深入瞭解可用性區域,請參閱 什麼是 Azure 區域和可用性區域?

您可以使用虛擬網路對等互連,連接不同區域中的虛擬網路。 如需詳細資訊,請參閱 虛擬網路對等互連

我可以將虛擬網路連線至 Azure 中的另一個虛擬網路嗎?

是。 您可以使用下列其中一個方式,將一個虛擬網路連線到另一個虛擬網路:

名稱解析 (DNS)

虛擬網路的 DNS 選項為何?

使用 Azure 虛擬網路中資源名稱解析中的決策表,引導您完成可用的 DNS 選項。

我可以指定虛擬網路的 DNS 伺服器嗎?

是。 您可以在虛擬網路設定中指定 DNS 伺服器的 IP 位址。 此設定會套用為虛擬網路中所有 VM 的預設 DNS 伺服器或伺服器。

我可以指定多少部 DNS 伺服器?

請參閱 網路限制

我可以在建立網路之後修改 DNS 伺服器嗎?

是。 您可以隨時變更虛擬網路的 DNS 伺服器清單。

如果您變更 DNS 伺服器清單,您必須對虛擬網路中所有受影響的 VM 執行 DHCP 租用更新。 新的 DNS 設定會在租用更新之後生效。 針對執行 Windows 的 VM,您可以直接在 VM 上輸入 ipconfig /renew 來更新租用。 如需其他 OS 類型,請參閱 DHCP 租用更新的檔。

什麼是 Azure 提供的 DNS,以及它是否可與虛擬網路搭配使用?

Azure 提供的 DNS 是來自 Microsoft 的多租使用者 DNS 服務。 Azure 會在此服務中註冊所有 VM 和雲端服務角色實例。 此服務提供名稱解析:

  • 依相同雲端服務中 VM 和角色實例的主機名。
  • 透過相同虛擬網路中 VM 和角色實例的完整網域主要 (FQDN) 。

若要深入瞭解 DNS,請參閱 Azure 虛擬網路中資源的名稱解析。

虛擬網路中的前 100 個雲端服務有限制,可透過 Azure 提供的 DNS 進行跨租用戶名稱解析。 如果您使用自己的 DNS 伺服器,則不適用這項限制。

我可以覆寫每個 VM 或雲端服務的 DNS 設定嗎?

是。 您可以為每個 VM 或雲端服務設定 DNS 伺服器,以覆寫預設的網路設定。 不過,我們建議您盡可能使用全網路 DNS。

我可以攜帶自己的 DNS 後綴嗎?

否。 您無法為虛擬網路指定自訂 DNS 後綴。

連線 虛擬機

我可以將 VM 部署到虛擬網路嗎?

是。 所有連結至透過 Resource Manager 部署模型部署的 VM 的網路適配器(NIC)都必須連線到虛擬網路。 您可以選擇性地將透過傳統部署模型部署的 VM 連線到虛擬網路。

我可以指派給 VM 的 IP 位址類型為何?

  • 私用:透過靜態或動態方法,指派給每個 VM 內的每個 NIC。 私人IP位址會從您在虛擬網路的子網設定中指定的範圍指派。

    透過傳統部署模型部署的資源會獲指派私人IP位址,即使它們未連線到虛擬網路也一樣。 根據您使用 Resource Manager 或傳統部署模型來部署資源,配置方法的行為會有所不同:

    • Resource Manager:透過動態或靜態方法指派的私人IP位址仍會指派給虛擬機(Resource Manager),直到刪除資源為止。 差別在於您在使用靜態方法時選取要指派的位址,而 Azure 會在您使用動態方法時選擇 。
    • 傳統:透過動態方法指派的私人IP位址可能會在虛擬機處於已停止(已解除分配)狀態後重新啟動時變更。 如果您需要確保透過傳統部署模型部署之資源的私人IP位址永遠不會變更,請使用靜態方法指派私人IP位址。
  • 公用:選擇性地指派給連結至透過 Resource Manager 部署模型部署之 VM 的 NIC。 您可以使用靜態或動態配置方法來指派位址。

    透過傳統部署模型部署的所有 VM 和 Azure 雲端服務 角色實例都存在於雲端服務中。 雲端服務會指派動態公用VIP位址。 您可以選擇性地將稱為保留IP位址的 公用靜態IP位址指派為VIP。

    您可以將公用IP位址指派給個別 VM,或 雲端服務 透過傳統部署模型部署的角色實例。 這些地址稱為 實例層級公用IP 位址,而且可以動態指派。

我可以為稍後建立的 VM 保留私人 IP 位址嗎?

否。 您無法保留私人 IP 位址。 如果私人IP位址可用,DHCP 伺服器會將它指派給VM或角色實例。 VM 可能或可能不是您想要指派私人 IP 位址的 VM。 不過,您可以將現有 VM 的私人 IP 位址變更為任何可用的私人 IP 位址。

虛擬網路中 VM 的私人 IP 位址是否變更?

要看情況而定。 如果您使用 Resource Manager 部署 VM,則不論您使用靜態或動態配置方法指派位址,IP 位址都無法變更。 如果您使用傳統部署模型部署 VM,當您啟動處於已停止(已解除分配)狀態的 VM 時,動態 IP 位址可能會變更。

當您刪除 VM 時,位址會從透過任一部署模型部署的 VM 釋出。

我可以手動將IP位址指派給VM作業系統內的NIC嗎?

是,但除非有必要,否則不建議這麼做,例如當您將多個IP位址指派給虛擬機時。 如需詳細資訊,請參閱 將多個IP位址指派給虛擬機

如果指派給連結至 VM 的 Azure NIC IP 位址變更,且 VM 作業系統內的 IP 位址不同,您就會失去與 VM 的連線。

如果我停止雲端服務部署位置,或從操作系統內關閉 VM,我的 IP 位址會發生什麼事?

不執行任何動作。 IP 位址(公用VIP、公用和私人)仍會指派給雲端服務部署位置或VM。

我可以將 VM 從一個子網移至虛擬網路中的另一個子網,而不需重新部署嗎?

是。 您可以在將 VM 或角色實例移至不同的子網中找到詳細資訊。

我可以為 VM 設定靜態 MAC 位址嗎?

否。 您無法以靜態方式設定 MAC 位址。

建立 MAC 位址之後,VM 的 MAC 位址是否維持不變?

是。 在您刪除 VM 之前,透過 Resource Manager 和傳統部署模型部署的 VM,MAC 位址會維持不變。

先前,如果您停止或解除分配 VM,就會釋放 MAC 位址。 但現在,當 VM 處於已解除分配狀態時,會保留 MAC 位址。 MAC 位址會維持指派給網路適配器,直到您執行下列其中一項工作:

  • 刪除網路配接器。
  • 變更指派給主要網路適配器主要IP組態的私人IP位址。

我可以從虛擬網路中的 VM 連線到因特網嗎?

是。 部署在虛擬網路內的所有 VM 和 雲端服務 角色實例都可以連線到因特網。

聯機至虛擬網路的 Azure 服務

我可以搭配虛擬網路使用 Web Apps 嗎?

是。 您可以使用 App Service 環境,在虛擬網路內部署 Azure App 服務 的 Web Apps 功能。 接著,您可以:

  • 連線 應用程式後端到虛擬網路,方法是使用虛擬網路整合。
  • 使用服務端點鎖定您應用程式的輸入流量。

如需詳細資訊,請參閱下列文章:

我可以在虛擬網路中使用 Web 和背景工作角色 (PaaS) 部署 雲端服務 嗎?

是。 您可以在虛擬網路中部署 雲端服務 角色實例。 若要這樣做,您可以在服務組態的網路組態區段中指定虛擬網路名稱和角色/子網對應。 您不需要更新任何二進位檔。

我可以將虛擬機擴展集聯機到虛擬網路嗎?

是。 您必須將虛擬機擴展集連線到虛擬網路。

是否可以將資源從部署至虛擬網路的完整 Azure 服務清單?

是。 如需詳細資訊,請參閱 將專用 Azure 服務部署至虛擬網路

如何限制從虛擬網路存取 Azure PaaS 資源?

透過某些 Azure PaaS 服務部署的資源(例如 Azure 儲存體 和 Azure SQL 資料庫)可以透過使用虛擬網路服務端點或 Azure Private Link 來限制虛擬網路的網路存取。 如需詳細資訊,請參閱 虛擬網路服務端點什麼是 Azure Private Link?

我可以將服務移入和移出虛擬網路嗎?

否。 您無法將服務移入和移出虛擬網路。 若要將資源移至另一個虛擬網路,您必須刪除並重新部署資源。

安全性

虛擬網路的安全性模型為何?

虛擬網路會彼此隔離,以及與 Azure 基礎結構中裝載的其他服務隔離。 虛擬網路是信任界限。

我可以限制連入或輸出流量流向連線至虛擬網路的資源嗎?

是。 您可以將網路安全組套用至虛擬網路內的個別子網、連結至虛擬網路的 NIC 或兩者。

我可以在聯機至虛擬網路的資源之間實作防火牆嗎?

是。 您可以透過 Azure Marketplace 從數個 廠商部署防火牆網路虛擬設備

有關保護虛擬網路的資訊是否可用?

是。 請參閱 Azure 網路安全性概觀

虛擬網路會儲存客戶數據嗎?

否。 虛擬網路不會儲存任何客戶數據。

我可以設定整個訂用帳戶的 FlowTimeoutInMinutes 屬性嗎?

否。 您必須在 虛擬網路上設定 FlowTimeoutInMinutes 屬性。 下列程式代碼可協助您自動為較大的訂用帳戶設定此屬性:

$Allvnet = Get-AzVirtualNetwork
$time = 4 #The value should be 4 to 30 minutes (inclusive) to enable tracking, or null to disable tracking. 
ForEach ($vnet in $Allvnet)
{
    $vnet.FlowTimeoutInMinutes = $time
    $vnet | Set-AzVirtualNetwork
}

API、架構和工具

我可以從程式代碼管理虛擬網路嗎?

是。 您可以在 Azure Resource Manager傳統部署模型中,將 REST API 用於虛擬網路。

是否有虛擬網路的工具支援?

是。 深入瞭解如何使用:

  • 透過 Azure Resource Manager傳統部署模型部署虛擬網路 Azure 入口網站。
  • PowerShell 可管理透過 Resource Manager 部署模型部署的虛擬網路。
  • Azure CLI 或 Azure 傳統 CLI,可部署及管理透過 Resource Manager傳統 部署模型部署的虛擬網路。

虛擬網路對等互連

什麼是虛擬網路對等互連?

虛擬網路對等互連可讓您連線虛擬網路。 虛擬網路之間的對等互連連線可讓您透過 IPv4 位址私下路由傳送流量。

對等互連虛擬網路中的虛擬機可以彼此通訊,就像它們位於相同網路一樣。 這些虛擬網路可以位於相同區域或不同區域(也稱為全域虛擬網路對等互連)。

您也可以跨 Azure 訂用帳戶建立虛擬網路對等互連連線。

我可以在不同區域中建立虛擬網路的對等互連連線嗎?

是。 全域虛擬網路對等互連可讓您對等互連不同區域中的虛擬網路。 全域虛擬網路對等互連適用於所有 Azure 公用區域、中國雲端區域及政府雲端區域。 您無法從 Azure 公用區域全域對等互連到國家雲端區域。

如果兩個區域中的兩個虛擬網路透過全域虛擬網路對等互連進行對等互連,您無法透過負載平衡器的前端IP連線到基本負載平衡器後方的資源。 標準負載平衡器並不存在此限制。

下列資源可以使用基本負載平衡器,這表示您無法透過負載平衡器的前端IP透過全域虛擬網路對等互連連線。 但是,如果允許,您可以使用全域虛擬網路對等互連,直接透過其專用虛擬網路IP來聯機資源。

  • 基本負載平衡器背後的 VM
  • 具有基本負載平衡器的虛擬機擴展集
  • Azure Cache for Redis
  • Azure 應用程式閘道 v1
  • Azure Service Fabric
  • Azure API 管理 stv1
  • Microsoft Entra 網域服務
  • Azure Logic 應用程式
  • Azure HDInsight
  • Azure Batch
  • App Service 環境 v1 和 v2

您可以透過 Azure ExpressRoute 或透過虛擬網路閘道的網路對網路連線來連線到這些資源。

如果我的虛擬網路屬於不同 Microsoft Entra 租使用者的訂用帳戶,是否可以啟用虛擬網路對等互連?

是。 如果您的訂用帳戶屬於不同的 Microsoft Entra 租使用者,可以建立虛擬網路對等互連(無論是本機還是全域)。 您可以透過 Azure 入口網站、PowerShell 或 Azure CLI 來執行此動作。

我的虛擬網路對等互連連線處於起始狀態。 為什麼我無法連線?

如果您的對等互連連線處於 起始 狀態,您只會建立一個連結。 您必須建立雙向連結,才能建立成功的連線。

例如,若要將 VNetA 對等互連至 VNetB,您必須建立從 VNetA 到 VNetB 以及從 VNetB 到 VNetA 的連結。 建立這兩個連結會將狀態變更為 連線

我的虛擬網路對等互連連線處於已中斷聯機的狀態。 為什麼我無法建立對等互連連線?

如果您的虛擬網路對等互連連線處於 已中斷 連線狀態,您建立的其中一個連結已刪除。 若要重新建立對等互連連線,您必須刪除其餘連結並重新建立兩者。

我可以將虛擬網路與位於不同訂用帳戶中的虛擬網路對等互連嗎?

是。 您可以跨訂用帳戶和跨區域對等互連虛擬網路。

我可以對等兩個具有相符或重疊位址範圍的虛擬網路嗎?

否。 如果位址空間重疊,您就無法啟用虛擬網路對等互連。

我可以在兩個對等互連上啟用 [使用遠端網關] 選項,將虛擬網路對等互連至兩個虛擬網路嗎?

否。 您只能在其中一個虛擬網路對等互連上啟用 [ 使用遠端閘道 ] 選項。

建立虛擬網路對等互連連線不需要任何費用。 跨對等互連連線的數據傳輸會收費。 如需詳細資訊,請參閱 Azure 虛擬網絡 定價頁面

虛擬網路對等互連流量是否已加密?

當 Azure 流量在資料中心之間移動時(不是由 Microsoft 或代表 Microsoft 控制的實體界限外),基礎網路硬體會使用 MACsec 數據連結層加密。 此加密適用於虛擬網路對等互連流量。

為什麼我的對等互連連線處於已中斷連線狀態?

刪除一個 虛擬網路對等互連連結時,虛擬網路對等互連聯機會進入中斷 連線狀態。 您必須刪除這兩個連結,才能重新建立成功的對等互連連線。

如果我將 VNetA 對等互連至 VNetB,並將 VNetB 對等互連至 VNetC,這是否表示 VNetA 和 VNetC 已對等互連?

否。 不支援可轉移的對等互連。 您必須手動將 VNetA 對等互連至 VNetC。

對等互連連線是否有任何頻寬限制?

否。 虛擬網路對等互連,無論是本機還是全域,都不會施加任何頻寬限制。 帶寬僅受限於 VM 或計算資源。

如何針對虛擬網路對等互連的問題進行疑難解答?

請嘗試疑難解答指南

虛擬網路 TAP

哪些 Azure 區域可供虛擬網路 TAP 使用?

虛擬網路終端機存取點 (TAP) 的預覽可在所有 Azure 區域中取得。 您必須在相同區域中部署受監視的網路適配器、虛擬網路 TAP 資源,以及收集器或分析解決方案。

虛擬網路 TAP 是否支援鏡像封包上的任何篩選功能?

虛擬網路 TAP 預覽不支持篩選功能。 當您將 TAP 組態新增至網路適配器時,網路適配器上所有輸入和輸出流量的深層複本會串流至 TAP 目的地。

我可以將多個 TAP 組態新增至受監視的網路適配器嗎?

受監視的網路適配器只能有一個 TAP 設定。 請洽詢個別 合作夥伴解決方案 ,以取得將 TAP 流量的多個複本串流至您選擇的分析工具的功能。

相同虛擬網路 TAP 資源是否可以在多個虛擬網路中匯總來自受監視網路適配器的流量?

是。 您可以使用相同的虛擬網路 TAP 資源,從相同訂用帳戶或不同訂用帳戶中對等互連虛擬網路中受監視的網路適配器匯總鏡像流量。

虛擬網路 TAP 資源和目的地負載平衡器或目的地網路適配器必須位於相同的訂用帳戶中。 所有訂用帳戶都必須在相同的 Microsoft Entra 租使用者之下。

如果我在網路適配器上啟用虛擬網路 TAP 設定,生產流量是否有任何效能考慮?

虛擬網路 TAP 處於預覽狀態。 在預覽期間,沒有服務等級協定。 您不應該使用生產工作負載的功能。

當您啟用具有 TAP 設定的虛擬機網路適配器時,配置給虛擬機的 Azure 主機上,用來傳送生產流量的相同資源會用來執行鏡像功能,並傳送鏡像封包。 選取正確的 LinuxWindows 虛擬機大小,以確保有足夠的資源可供虛擬機傳送生產流量和鏡像流量。

虛擬網路 TAP 是否支援適用於 Linux 或 Windows 的加速網路?

您可以在連結至已啟用 LinuxWindows 加速網路的虛擬機的網路配接器上新增 TAP 設定。 但是新增 TAP 設定會影響虛擬機上的效能和延遲,因為 Azure 加速網路目前不支援鏡像流量的卸除。

虛擬網路服務端點

將服務端點設定至 Azure 服務的正確作業順序為何?

有兩個步驟可透過服務端點保護 Azure 服務資源:

  1. 開啟 Azure 服務的服務端點。
  2. 在 Azure 服務上設定虛擬網路存取控制清單 (ACL)。

第一個步驟是網路端作業,第二個步驟是服務資源端作業。 相同的系統管理員或不同的系統管理員可以根據授與系統管理員角色的 Azure 角色型訪問控制 (RBAC) 權限來執行這些步驟。

建議您在 Azure 服務端設定虛擬網路 ACL 之前,先開啟虛擬網路的服務端點。 若要設定虛擬網路服務端點,您必須執行上述順序中的步驟。

注意

您必須先完成上述兩項作業,才能將 Azure 服務存取限制為允許的虛擬網路和子網。 只在網路端開啟 Azure 服務的服務端點不會提供有限的存取權。 您也必須在 Azure 服務端設定虛擬網路 ACL。

某些服務(例如 Azure SQL 和 Azure Cosmos DB)允許透過 IgnoreMissingVnetServiceEndpoint 旗標對上述序列的例外狀況。 將 旗標設定為 True之後,您可以在 Azure 服務端設定虛擬網路 ACL,再開啟網路端的服務端點。 Azure 服務會提供此旗標,以協助客戶在 Azure 服務上設定特定 IP 防火牆的情況。

開啟網路端的服務端點可能會導致連線中斷,因為來源IP會從公用IPv4位址變更為私人位址。 在開啟網路端的服務端點之前,先在 Azure 服務端設定虛擬網路 ACL,有助於避免連線中斷。

注意

如果您在某些服務上啟用服務端點,例如 “Microsoft.AzureActiveDirectory”,您可以在登入記錄中看到 IPV6 位址連線。 Microsoft 會針對這種類型的連線使用內部 IPV6 私人範圍。

所有 Azure 服務是否都位於客戶提供的 Azure 虛擬網路中? 虛擬網路服務端點如何與 Azure 服務搭配運作?

並非所有 Azure 服務都位於客戶的虛擬網路中。 大部分的 Azure 數據服務(例如 Azure 儲存體、Azure SQL 和 Azure Cosmos DB)都是可透過公用 IP 位址存取的多租用戶服務。 如需詳細資訊,請參閱 將專用 Azure 服務部署至虛擬網路

當您在網路端開啟虛擬網路服務端點,並在 Azure 服務端設定適當的虛擬網路 ACL 時,存取 Azure 服務會受限於允許的虛擬網路和子網。

虛擬網路服務端點如何提供安全性?

虛擬網路服務端點會限制 Azure 服務對允許虛擬網路和子網的存取。 如此一來,它們就會提供網路層級的安全性和 Azure 服務流量的隔離。

所有使用虛擬網路服務端點的流量都會流過 Microsoft 骨幹,以提供與公用因特網的另一層隔離。 客戶也可以選擇完全移除對 Azure 服務資源的公用因特網存取,並只允許透過 IP 防火牆和虛擬網路 ACL 的組合,從其虛擬網路的流量。 拿掉因特網存取有助於保護 Azure 服務資源免於未經授權的存取。

虛擬網路服務端點保護什麼 - 虛擬網路資源或 Azure 服務資源?

虛擬網路服務端點可協助保護 Azure 服務資源。 虛擬網路資源會透過網路安全組進行保護。

使用虛擬網路服務端點是否有任何成本?

否。 使用虛擬網路服務端點不需要額外費用。

如果虛擬網路和 Azure 服務資源屬於不同的訂用帳戶,我可以開啟虛擬網路服務端點並設定虛擬網路 ACL 嗎?

是的,這是可能的。 虛擬網路和 Azure 服務資源可以位於相同的訂用帳戶或不同的訂用帳戶中。 唯一的需求是虛擬網路和 Azure 服務資源都必須位於相同的 Microsoft Entra 租使用者之下。

如果虛擬網路和 Azure 服務資源屬於不同的 Microsoft Entra 租使用者,我可以開啟虛擬網路服務端點並設定虛擬網路 ACL 嗎?

是,當您針對 Azure 儲存體 和 Azure 金鑰保存庫 使用服務端點時,就有可能。 對於其他服務,Microsoft Entra 租使用者不支援虛擬網路服務端點和虛擬網路 ACL。

內部部署裝置的IP位址是否可透過 Azure 虛擬網路閘道 (VPN) 或 ExpressRoute 閘道透過虛擬網路服務端點存取 Azure PaaS 服務?

根據預設,保護至虛擬網路的 Azure 服務資源無法從內部部署網路連線。 如果您想要允許來自內部部署的流量,您也必須允許來自內部部署或 ExpressRoute 的公用(通常是 NAT) IP 位址。 您可以透過 Azure 服務資源的 IP 防火牆設定來新增這些 IP 位址。

我是否可以使用虛擬網路服務端點,將 Azure 服務保護至虛擬網路內的多個子網,或跨多個虛擬網路?

若要將 Azure 服務保護至虛擬網路內的多個子網,或跨多個虛擬網路,請獨立啟用每個子網上網路端的服務端點。 然後,藉由在 Azure 服務端設定適當的虛擬網路 ACL,來保護所有子網的 Azure 服務資源。

如何篩選從虛擬網路到 Azure 服務的輸出流量,以及仍然使用服務端點?

如果您想要從虛擬網路檢查或篩選目的地為 Azure 服務的流量,您可以在虛擬網路內部署網路虛擬設備。 接著,您可以將服務端點套用至網路虛擬設備部署所在的子網,並只透過虛擬網路 ACL 將 Azure 服務資源保護至此子網。

如果您想要使用網路虛擬設備篩選,將來自虛擬網路的 Azure 服務存取限制為特定的 Azure 資源,此案例可能也會很有説明。 如需詳細資訊,請參閱 部署高可用性 NVA

當有人從虛擬網路外部存取已啟用虛擬網路 ACL 的 Azure 服務帳戶時,會發生什麼事?

服務會傳回 HTTP 403 或 HTTP 404 錯誤。

在不同區域中建立的虛擬網路子網是否允許存取另一個區域中的 Azure 服務帳戶?

是。 針對大部分的 Azure 服務,在不同區域中建立的虛擬網路可以透過虛擬網路服務端點存取另一個區域中的 Azure 服務。 例如,如果 Azure Cosmos DB 帳戶位於美國西部或美國東部區域,而虛擬網路位於多個區域,則虛擬網路可以存取 Azure Cosmos DB。

Azure 儲存體 和 Azure SQL 是例外狀況,而且本質上是區域性。 虛擬網路和 Azure 服務都必須位於相同的區域中。

Azure 服務是否可以同時擁有虛擬網路 ACL 和IP防火牆?

是。 虛擬網路 ACL 和IP防火牆可以共存。 這些功能彼此互補,有助於確保隔離和安全性。

如果您刪除已針對 Azure 服務開啟服務端點的虛擬網路或子網,會發生什麼事?

刪除虛擬網路和刪除子網是獨立的作業。 即使您開啟 Azure 服務的服務端點,也支持它們。

如果您為 Azure 服務設定虛擬網路 ACL,當您刪除已開啟虛擬網路服務端點的虛擬網路或子網時,會停用與這些 Azure 服務相關聯的 ACL 資訊。

如果我刪除已開啟虛擬網路服務端點的 Azure 服務帳戶,會發生什麼事?

刪除 Azure 服務帳戶是獨立的作業。 即使您在網路端開啟服務端點,並在 Azure 服務端設定虛擬網路 ACL,仍支援它。

已開啟虛擬網路服務端點的資源來源IP位址(例如子網中的 VM)會發生什麼事?

當您開啟虛擬網路服務端點時,虛擬網路子網中資源的來源IP位址會從使用公用IPv4位址切換為使用 Azure 虛擬網路的私人IP位址,以用於 Azure 服務的流量。 此交換器可能會導致先前在 Azure 服務上設定為公用 IPv4 位址的特定 IP 防火牆失敗。

服務端點路由是否一律優先?

服務端點會新增優先於邊界網關通訊協定 (BGP) 路由的系統路由,並提供服務端點流量的最佳路由。 服務端點一律會直接採用從虛擬網路到 Microsoft Azure 骨幹網路上服務的服務流量。

如需 Azure 如何選取路由的詳細資訊,請參閱 虛擬網路流量路由

服務端點是否可與ICMP搭配運作?

否。 從已啟用服務端點的子網來源的ICMP流量不會將服務通道路徑帶到所需的端點。 服務端點只會處理 TCP 流量。 如果您想要透過服務端點測試端點的延遲或連線能力,ping 和 tracert 之類的工具將不會顯示子網內資源將採用的真實路徑。

子網上的NSG如何與服務端點搭配運作?

若要連線到 Azure 服務,NSG 必須允許輸出連線。 如果您的 NSG 已開啟至所有因特網輸出流量,服務端點流量應該可以運作。 您也可以使用服務標籤,將輸出流量限為僅限服務IP位址。

我需要哪些許可權才能設定服務端點?

如果您有該網路的寫入許可權,您可以在虛擬網路上獨立設定服務端點。

若要保護虛擬網路的 Azure 服務資源,您必須具有 您要新增之子網的 Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action 許可權。 根據預設,此許可權會包含在內建服務管理員角色中,而且可透過建立自定義角色來修改。

如需內建角色和將特定許可權指派給自定義角色的詳細資訊,請參閱 Azure 自定義角色

我是否可以透過服務端點篩選虛擬網路流量至 Azure 服務?

您可以使用虛擬網路服務端點原則來篩選對 Azure 服務的虛擬網路流量,只允許透過服務端點的特定 Azure 服務資源。 端點原則提供從虛擬網路流量到 Azure 服務的細微訪問控制。

若要深入瞭解,請參閱適用於 Azure 儲存體的虛擬網路服務端點原則。

Microsoft Entra ID 是否支援虛擬網路服務端點?

Microsoft Entra ID 不支援原生服務端點。 如需支援虛擬網路服務端點的完整 Azure 服務清單,請參閱 虛擬網路服務端點

在該清單中,列在支援服務端點的服務底下,會使用 Microsoft.AzureActiveDirectory 標籤來支援 Azure Data Lake 儲存體 Gen1 的服務端點。 Data Lake 儲存體 Gen1 的虛擬網路整合會利用虛擬網路與 Microsoft Entra ID 之間的虛擬網路服務端點安全性,在存取令牌中產生額外的安全性宣告。 這些宣告接著會用來向 Data Lake 儲存體 Gen1 帳戶驗證虛擬網路,並允許存取。

我可以從虛擬網路設定多少個服務端點是否有任何限制?

虛擬網路中的服務端點總數沒有限制。 針對 Azure 服務資源(例如 Azure 儲存體 帳戶),服務可能會針對您用來保護資源的子網數目強制執行限制。 下表顯示一些範例限制:

Azure 服務 虛擬網路規則的限制
Azure 儲存體 200
Azure SQL 128
Azure Synapse Analytics 128
Azure Key Vault 200
Azure Cosmos DB 64
Azure 事件中樞 128
Azure 服務匯流排 128
Azure Data Lake Storage Gen1 100

注意

根據 Azure 服務,限制可能會變更。 如需詳細資訊,請參閱個別的服務檔。

將傳統網路資源移轉至 Resource Manager

什麼是 Azure Service Manager,以及「傳統」一詞的意義為何?

Azure Service Manager 是 Azure 的舊部署模型,負責建立、管理及刪除資源。 網路服務中的傳統是指 Azure Service Manager 模型所管理的資源。 如需詳細資訊,請參閱 部署模型的比較。

什麼是 Azure Resource Manager?

Azure Resource Manager 是 Azure 中負責在 Azure 訂用帳戶中建立、管理及刪除資源的最新部署和管理模型。 如需詳細資訊,請參閱 什麼是 Azure Resource Manager?

在資源認可至 Resource Manager 之後,是否可以還原移轉?

只要資源仍處於備妥狀態,您就可以取消移轉。 在成功透過認可作業移轉資源之後,不支援復原至先前的部署模型。

如果認可作業失敗,我可以還原移轉嗎?

如果認可作業失敗,您無法反轉移轉。 啟動認可作業之後,無法變更所有移轉作業,包括認可作業。 建議您在短時間內重試作業。 如果作業繼續失敗,請提交支援要求。

是否可以驗證我的訂用帳戶或資源,以查看其是否能夠進行移轉?

是。 準備移轉的第一個步驟是驗證是否可以移轉資源。 如果驗證失敗,您將會收到訊息,因為無法完成移轉的所有原因。

應用程式閘道 資源是否移轉為虛擬網路從傳統移轉至 Resource Manager 的一部分?

Azure 應用程式閘道 資源不會在虛擬網路移轉程式中自動移轉。 如果虛擬網路中有一個,移轉將不會成功。 若要將 應用程式閘道 資源移轉至 Resource Manager,您必須在移轉完成後移除並重新建立 應用程式閘道 實例。

VPN 閘道 資源是否在從傳統移轉至 Resource Manager 的虛擬網路時移轉?

Azure VPN 閘道 資源會移轉為虛擬網路移轉程式的一部分。 移轉一次完成一個虛擬網路,不需要其他需求。 移轉步驟與移轉沒有 VPN 閘道的虛擬網路相同。

是否與將傳統 VPN 閘道移轉至 Resource Manager 相關聯的服務中斷?

當您移轉至 Resource Manager 時,不會發生 VPN 連線的任何服務中斷。 在移轉期間,現有的工作負載會繼續以完整的內部部署連線功能運作。

在 VPN 閘道移轉至 Resource Manager 之後,是否需要重新設定內部部署裝置?

在移轉之後,與 VPN 閘道相關聯的公用IP位址會維持不變。 您不需要重新設定內部部署路由器。

從傳統移轉至 Resource Manager 的 VPN 閘道支援案例為何?

從傳統移轉至 Resource Manager 涵蓋大部分常見的 VPN 連線案例。 支援的案例包括:

  • 點對站連線能力。

  • 使用連線至內部部署位置的 VPN 閘道進行站對站連線。

  • 使用 VPN 閘道的兩個虛擬網路之間的網路對網路連線。

  • 多個虛擬網路連線到相同的內部部署位置。

  • 多站台連線能力。

  • 已啟用強制通道的虛擬網路。

從傳統移轉至 Resource Manager 的 VPN 閘道不支援哪些案例?

不支援的案例包括:

  • 具有 ExpressRoute 閘道和 VPN 閘道的虛擬網路。

  • 具有連線至不同訂用帳戶中線路之 ExpressRoute 閘道的虛擬網路。

  • VM 擴充功能連線到內部部署伺服器的傳輸案例。

哪裡可以找到從傳統移轉至 Resource Manager 的詳細資訊?

請參閱 傳統 Azure Resource Manager 移轉的常見問題。

如何回報問題?

您可以將有關移轉問題的問題張貼至 Microsoft Q&A 頁面。 建議您在此論壇上張貼所有問題。 如果您有支援合約,您也可以提出支援要求。