Topologie sítě služby Virtual WAN (spravovaná Microsoftem)Virtual WAN network topology (Microsoft-managed)

Prozkoumejte klíčové faktory a doporučení pro vývoj virtuálních sítí WAN v Microsoft Azure.Explore key design considerations and recommendations surrounding virtual wide area networks (Virtual WAN) in Microsoft Azure.

Diagram ilustrující síťovou topologii Virtual WAN

Obrázek 1: síťová topologie sítě WAN.Figure 1: Virtual WAN network topology.

Faktory návrhu:Design considerations:

  • Azure Virtual WAN je řešení spravované Microsoftem, které ve výchozím nastavení poskytuje komplexní, globální a dynamické tranzitní připojení.Azure Virtual WAN is a Microsoft-managed solution that provides end-to-end, global and dynamic transit connectivity by default. Centra Virtual WAN eliminují potřebu ručně konfigurovat připojení k síti.Virtual WAN hubs eliminate the need to manually configure network connectivity. Například není nutné spravovat trasy definované uživatelem (UDR) nebo síťové virtuální zařízení (síťová virtuální zařízení), aby bylo možné povolit globální přenosové připojení.For example, you do not need to manage user-defined routes (UDR) or network virtual appliances (NVAs) to enable global transit connectivity.

  • Virtuální síť WAN usnadňuje kompletní síťové připojení v Azure a Azure z místního prostředí vytvořením síťové architektury hvězdicové sítě.Virtual WAN simplifies end-to-end network connectivity in Azure, and to Azure from on-premises, by creating a hub-and-spoke network architecture. Architekturu je možné snadno škálovat tak, aby podporovala více oblastí Azure a místních umístění (libovolné připojení), jak je znázorněno na následujícím obrázku:The architecture can easily scale to support multiple Azure regions and on-premises locations (any-to-any connectivity) as shown in the following figure:

    Diagram, který znázorňuje globální tranzitní síť s virtuální sítí WAN.

Obrázek 2: globální tranzitní síť s virtuální sítí WAN.Figure 2: Global transit network with Virtual WAN.

  • Přechodná konektivita mezi virtuálními sítěmi WAN podporuje následující cesty (ve stejné oblasti a oblastech):Virtual WAN any-to-any transitive connectivity supports the following paths (within the same region and across regions):

    • Virtuální síť k virtuální sítiVirtual network to virtual network
    • Virtuální síť do větveVirtual network to branch
    • Vytvořit větev do virtuální sítěBranch to virtual network
    • Větev do větveBranch to branch
  • Virtuální rozbočovače sítě WAN jsou omezeny na nasazení spravovaných prostředků společnosti Microsoft.Virtual WAN hubs are restricted to the deployment of Microsoft managed resources. Jediné prostředky, které můžete nasadit v nich, jsou brány virtuální sítě (VPN typu Point-to-site, VPN typu Site-to-site a Azure ExpressRoute), Azure Firewall přes Správce brány firewall, směrovací tabulky a některá síťová virtuální zařízení (síťové virtuální zařízení) pro funkce SD-WAN specifické pro dodavatele.The only resources that you can deploy within them are virtual network gateways (Point-to-Site VPN, Site-to-Site VPN, and Azure ExpressRoute), Azure Firewall via Firewall Manager, route tables and some network virtual appliances (NVA) for vendor-specific SD-WAN capabilities.

  • Virtuální síť WAN je vázána na některá omezení předplatného Azure pro virtuální síť WAN.Virtual WAN is bound to some Azure subscription limits for Virtual WAN.

  • Přenosné připojení typu síťová síť k síti (v rámci oblasti a oblastí přes rozbočovač) je teď obecně dostupné (GA).Network-to-network transitive connectivity (within a region and across regions via hub-to-hub) is now in general availability (GA).

  • Přenosová konektivita mezi virtuálními sítěmi ve standardní virtuální síti WAN je povolená kvůli přítomnosti funkce směrování spravované Microsoftem v každém virtuálním centru.Transit connectivity between the virtual networks in Standard Virtual WAN is enabled due to the presence of a Microsoft-managed routing function in every virtual hub. Každé centrum podporuje agregovanou propustnost až 50 GB/s pro přenos VNet-to-VNet.Each hub supports an aggregate throughput of up to 50 Gbps for VNet-to-VNet traffic.

  • Jedno rozbočovače Azure Virtual WAN může podporovat konkrétní maximální počet úloh virtuálních počítačů napříč všemi přímo připojenými virtuální sítě, které jsou popsány v omezeních Azure Virtual WAN.A single Azure Virtual WAN hub can support a specific maximum number of VM workloads across all directly-attached VNets, which are documented in Azure Virtual WAN limits.

  • Virtuální síť WAN se integruje s různými poskytovateli SD-WAN.Virtual WAN integrates with a variety of SD-WAN providers.

  • Mnoho poskytovatelů spravovaných služeb nabízí spravované služby pro virtuální síť WAN.Many managed service providers offer managed services for Virtual WAN.

  • Brány VPN uživatele (Point-to-site): brány ve virtuální síti WAN můžou škálovat až 20 GB/s agregovanou propustností a 10 000 připojení klientů na virtuální rozbočovač.User VPN (Point-to-Site) gateways in Virtual WAN can scale up to 20 Gbps aggregated throughput and 10,000 client connections per virtual hub.

  • Brány VPN typu Site-to-site ve virtuální síti WAN můžou škálovat až 20 GB/s agregovaná propustnost.Site-to-site VPN gateways in Virtual WAN can scale up to 20 Gbps aggregated throughput.

  • Okruhy ExpressRoute využívající SKU Local, Standard nebo Premium se dají připojit k virtuálnímu centru WAN.ExpressRoute circuits using a Local, Standard, or Premium SKU can be connected to a Virtual WAN hub.

  • ExpressRoute úrovně Standard nebo Premium, které jsou v umístěních podporovaných službou ExpressRoute Global Reach se můžou připojit k virtuální síti WAN ExpressRoute Gateway a využívat všechny možnosti služby Virtual WAN pro přenos dat (VPN-to-VPN, VPN a ExpressRoute Transit).ExpressRoute Standard or Premium circuits that are in locations supported by ExpressRoute Global Reach can connect to a Virtual WAN ExpressRoute gateway and enjoy all Virtual WAN transit capabilities (VPN-to-VPN, VPN, and ExpressRoute transit). Okruhy ExpressRoute Standard nebo Premium, které jsou v umístěních, která se nepodporují, Global Reach se můžou připojit k prostředkům Azure, ale nemůžou používat funkce virtuálních sítí WAN.ExpressRoute Standard or Premium circuits that are in locations not supported by Global Reach can connect to Azure resources, but cannot use Virtual WAN transit capabilities.

  • ExpressRoute Local se podporuje u rozbočovačů Azure Virtual WAN, pokud je paprskový virtuální sítě připojený k virtuálnímu rozbočovači WAN ve stejné oblasti jako virtuální centrum sítě WAN.ExpressRoute Local is supported with Azure Virtual WAN hubs if the spoke VNets connected to a Virtual WAN hub are in the same region as the Virtual WAN hub.

  • Azure Firewall Manager, který je teď všeobecně dostupný, umožňuje nasazení Azure Firewall ve virtuálním centru WAN.Azure Firewall Manager, now generally available, allows the deployment of Azure Firewall in the Virtual WAN hub. Seznamte se s přehledem zabezpečení virtuálních Center a nejnovějších omezenína Azure firewall.Please review the Azure Firewall Manager overview of secured virtual hubs and the latest constraints.

  • Provoz sítě WAN z rozbočovače na rozbočovač prostřednictvím Azure Firewall se momentálně nepodporuje, pokud je Azure Firewall nasazený v samotném virtuálním rozbočovači WAN (zabezpečeném virtuálním rozbočovačem).Virtual WAN hub-to-hub traffic via Azure Firewall is currently not supported when the Azure Firewall is deployed inside of the Virtual WAN hub itself (secured virtual hub). V závislosti na vašich požadavcích existuje několik alternativních alternativních řešení, včetně umístění Azure firewall do virtuální sítě s paprskynebo pomocí skupin zabezpečení sítě pro filtrování přenosů.Several workarounds exist depending on your requirements, including placing the Azure Firewall in a spoke virtual network, or using NSGs for traffic filtering.

Doporučení pro návrh:Design recommendations:

  • Virtual WAN doporučujeme pro nové nasazení rozsáhlých nebo globálních sítí v Azure, kde potřebujete globální tranzitní připojení více oblastí Azure a místních lokalit.We recommend Virtual WAN for new large or global network deployments in Azure where you need global transit connectivity across Azure regions and on-premises locations. Tímto způsobem není nutné ručně nastavovat tranzitivní směrování pro sítě Azure.That way, you do not have to manually set up transitive routing for Azure networking.

    Následující obrázek ukazuje vzor globálního podnikového nasazení s datacentry rozloženými do Evropy a USA.The following figure shows a sample global enterprise deployment with datacenters spread across Europe and the United States. Nasazení má také spoustu poboček v obou oblastech.The deployment also has many branch offices within both regions. Prostředí je globálně připojené přes Azure Virtual WAN a ExpressRoute Global REACH.The environment is globally connected via Azure Virtual WAN and ExpressRoute Global Reach.

    Diagram ukázkové topologie sítě

Obrázek 3: Ukázková topologie sítě.Figure 3: Sample network topology.

  • Pomocí virtuální sítě WAN na jednu oblast Azure můžete propojit více zón pro vykládku napříč oblastmi Azure prostřednictvím běžné globální služby Azure Virtual WAN.Use a Virtual WAN hub per Azure region to connect multiple landing zones together across Azure regions via a common global Azure Virtual WAN.

  • Využijte funkce Směrování virtuálního rozbočovače k dalšímu segmentování provozu mezi virtuální sítě a větvemi.Use virtual hub routing features to further segment traffic between VNets and branches.

  • Připojení virtuálních sítí WAN k místním datacentrům pomocí ExpressRoute.Connect Virtual WAN hubs to on-premises datacenters by using ExpressRoute.

  • Nasaďte požadované sdílené služby, jako jsou servery DNS, ve vyhrazené virtuální síti rozbočovače.Deploy required shared services, like DNS servers, in a dedicated spoke virtual network. Sdílené prostředky nasazené zákazníkem se nedají nasadit v samotném virtuálním centru WAN.Customer deployed shared resources cannot be deployed inside the Virtual WAN hub itself.

  • Připojte větve a Vzdálená umístění k nejbližšímu virtuálnímu centru WAN prostřednictvím sítě VPN typu Site-to-site nebo povolte připojení větví k virtuální síti WAN prostřednictvím partnerského řešení SD-WAN.Connect branches and remote locations to the nearest Virtual WAN hub via Site-to-Site VPN, or enable branch connectivity to Virtual WAN via an SD-WAN partner solution.

  • Připojte uživatele k virtuální síti WAN pomocí sítě VPN typu Point-to-site.Connect users to the Virtual WAN hub via a Point-to-Site VPN.

  • Dodržujte princip "provozu v Azure zůstává v Azure", takže komunikace mezi prostředky v Azure probíhá přes páteřní síť Microsoftu, a to i v případě, že se prostředky nacházejí v různých oblastech.Follow the principle of "traffic in Azure stays in Azure" so that communication across resources in Azure occurs via the Microsoft backbone network, even when the resources are in different regions.

  • Pro internetovou odchozí ochranu a filtrování zvažte nasazení Azure Firewall ve virtuálním centru.For internet outbound protection and filtering, consider deploying Azure Firewall in the virtual hub.

  • Pokud jsou pro oblast USA a západ nebo pro ochranu a vývoj provozu vyžadovány partnerské síťová virtuální zařízení, protože Azure Virtual WAN neumožňuje nasazovat takové bezpečnostní síťová virtuální zařízeníy ve virtuálním centru, vyhodnoťte, jestli se tyto síťová virtuální zařízení nasazují do samostatné virtuální sítě rozbočovače, a nakonfigurujte statické směrování, jak je popsáno zde , by splňovaly vaše požadavky.If partner NVAs are required for east/west or south/north traffic protection and filtering, as Azure Virtual WAN does not allow deploying such security NVAs in the virtual hub, evaluate whether deploying those NVAs to a separate spoke virtual network and configuring static routing as described here would meet your requirements. Jako alternativu zvažte tradiční síťovou topologii založenou na modelu hvězdicové a Paprskové sítě, protože Partnerská síťová virtuální zařízení se dají nasadit v běžné virtuální síti rozbočovače.As an alternative, consider a traditional network topology based on the hub and spoke model, as partner NVAs can be deployed in a regular hub virtual network.

  • Když nasazujete partnerské síťové technologie a síťová virtuální zařízení, postupujte podle pokynů pro dodavatele partnerského dodavatele a zajistěte, aby nedocházelo ke konfliktům konfigurací v sítích Azure.When you're deploying partner networking technologies and NVAs, follow the partner vendor's guidance to ensure there are no conflicting configurations with Azure networking.

  • V případě scénářů brownfield, kdy migrujete ze síťové topologie centra a paprsků, která není založená na virtuální síti WAN, najdete informace v tématu migrace do Azure Virtual WAN.For brownfield scenarios where you're migrating from a hub-and-spoke network topology not based on Virtual WAN, see Migrate to Azure Virtual WAN.

  • Vytvoření prostředků Azure Virtual WAN a Azure Firewall v rámci předplatného připojení.Create Azure Virtual WAN and Azure Firewall resources within the connectivity subscription.

  • Nevytvářejte více než 500 připojení k virtuální síti na virtuálním rozbočovači WAN.Don't create more than 500 virtual network connections per Virtual WAN virtual hub.

  • Naplánujte pečlivě vaše nasazení a ujistěte se, že vaše síťová architektura je v rámci omezení Azure Virtual WAN.Plan your deployment carefully, and ensure that your network architecture is within the Azure Virtual WAN limits.

  • Pomocí přehledů v Azure monitor pro virtuální síť WAN (Preview) můžete monitorovat kompletní topologii virtuální sítě WAN a také stav a klíčová metriky.Use insights in Azure Monitor for Virtual WAN (preview) to monitor the end-to-end topology of your Virtual WAN as well as status and key metrics.