Partnerské vztahy virtuálních sítíVirtual network peering

Partnerský vztah virtuální sítě vám umožní bez problémů připojit Azure virtuálních sítí.Virtual network peering enables you to seamlessly connect Azure virtual networks. Po navázání partnerského vztahu se virtuální sítě pro účely připojení jeví jako jedna síť.Once peered, the virtual networks appear as one, for connectivity purposes. Provoz mezi virtuálními počítači v partnerských virtuálních sítích je směrován přes páteřní infrastrukturu Microsoftu v zásadě stejně jako mezi virtuálními počítači ve stejné virtuální síti pouze přes privátní IP adresy.The traffic between virtual machines in the peered virtual networks is routed through the Microsoft backbone infrastructure, much like traffic is routed between virtual machines in the same virtual network, through private IP addresses only. Azure podporuje:Azure supports:

  • VNet peering – propojení virtuálních sítí ve stejné oblasti AzureVNet peering - connecting VNets within the same Azure region
  • Globální VNet peering – propojení virtuálních sítí z různých oblastí AzureGlobal VNet peering - connecting VNets across Azure regions

Mezi výhody partnerských vztahů virtuálních sítí (místních i globálních) patří:The benefits of using virtual network peering, whether local or global, include:

  • Provoz mezi partnerskými virtuálními sítěmi je privátní.Network traffic between peered virtual networks is private. Provoz mezi virtuálními sítěmi probíhá na páteřní síti Microsoftu.Traffic between the virtual networks is kept on the Microsoft backbone network. Komunikace mezi partnerskými virtuálními sítěmi nevyžaduje veřejný internet, brány ani šifrování.No public Internet, gateways, or encryption is required in the communication between the virtual networks.
  • Nízká latence a velká šířka pásma při propojení prostředků v různých virtuálních sítích.A low-latency, high-bandwidth connection between resources in different virtual networks.
  • Možnost komunikace prostředků v jedné virtuální síti s prostředky v jiné virtuální síti, jakmile je vytvořený partnerský vztah těchto virtuálních sítí.The ability for resources in one virtual network to communicate with resources in a different virtual network, once the virtual networks are peered.
  • Možnost přenášet data mezi předplatnými Azure, modely nasazení a oblastmi Azure.The ability to transfer data across Azure subscriptions, deployment models, and across Azure regions.
  • Možnost navázání partnerského vztahu mezi virtuálními sítěmi vytvořenými prostřednictvím modelu nasazení Azure Resource Manager, nebo mezi jednou virtuální sítí vytvořenou prostřednictvím modelu nasazení Resource Manager a druhou vytvořenou prostřednictvím modelu nasazení Classic.The ability to peer virtual networks created through the Azure Resource Manager or to peer one virtual network created through Resource Manager to a virtual network created through the classic deployment model. Další informace o modelech nasazení Azure najdete v článku Vysvětlení modelů nasazení Azure.To learn more about Azure deployment models, see Understand Azure deployment models.
  • Žádný výpadek prostředků ve virtuálních sítích při vytváření partnerského vztahu ani po jeho vytvoření.No downtime to resources in either virtual network when creating the peering, or after the peering is created.

PřipojeníConnectivity

Po navázání partnerského vztahu mezi virtuálními sítěmi se prostředky v některé z virtuálních sítí můžou přímo připojit k prostředkům v partnerské virtuální síti.After virtual networks are peered, resources in either virtual network can directly connect with resources in the peered virtual network.

Latence sítě mezi virtuálními počítači v partnerských virtuálních sítích ve stejné oblasti je stejná jako latence v rámci jedné virtuální sítě.The network latency between virtual machines in peered virtual networks in the same region is the same as the latency within a single virtual network. Propustnost sítě závisí na šířce pásma, která je pro daný virtuální počítač povolená na základě jeho velikosti.The network throughput is based on the bandwidth that's allowed for the virtual machine, proportionate to its size. S partnerským vztahem zde nejsou žádná další omezení týkající se šířky pásma.There isn't any additional restriction on bandwidth within the peering.

Provoz mezi virtuálními počítači v partnerských virtuálních sítích je směrován přímo přes páteřní infrastrukturu Microsoftu, ne prostřednictvím brány ani přes veřejný internet.The traffic between virtual machines in peered virtual networks is routed directly through the Microsoft backbone infrastructure, not through a gateway or over the public Internet.

Skupiny zabezpečení sítě je možné v obou virtuálních sítích v případě potřeby použít k blokování přístupu do jiných virtuálních sítí nebo podsítí.Network security groups can be applied in either virtual network to block access to other virtual networks or subnets, if desired. Při konfiguraci partnerského vztahu virtuálních sítí můžete otevřít nebo zavřít pravidla skupiny zabezpečení sítě mezi virtuálními sítěmi.When configuring virtual network peering, you can either open or close the network security group rules between the virtual networks. Pokud otevřete úplné propojení mezi partnerskými virtuálními sítěmi (výchozí volba), můžete pomocí skupin zabezpečení sítě u konkrétních podsítí nebo virtuálních počítačů blokovat nebo odepřít specifický přístup.If you open full connectivity between peered virtual networks (which is the default option), you can apply network security groups to specific subnets or virtual machines to block or deny specific access. Další informace o skupinách zabezpečení sítě najdete v tématu Přehled skupin zabezpečení sítě.To learn more about network security groups, see Network security groups overview.

Řetězení služebService chaining

Pokud chcete povolit řetězení služeb, nakonfigurujte uživatelsky definované trasy, které míří k virtuálním počítačům v partnerských virtuálních sítích (jako IP adresy dalšího směrování) nebo k jejich branám.You can configure user-defined routes that point to virtual machines in peered virtual networks as the next hop IP address, or to virtual network gateways, to enable service chaining. Řetězení služeb umožňuje směrovat přenos dat z jedné virtuální sítě do virtuálního zařízení nebo brány virtuální sítě v partnerské virtuální síti prostřednictvím uživatelsky definovaných tras.Service chaining enables you to direct traffic from one virtual network to a virtual appliance, or virtual network gateway, in a peered virtual network, through user-defined routes.

Hvězdicové sítě můžete nasadit, když centrální virtuální síť hostuje součásti infrastruktury, jako je virtuální síťové zařízení nebo služba VPN Gateway.You can deploy hub-and-spoke networks, where the hub virtual network can host infrastructure components such as a network virtual appliance or VPN gateway. Všechny uvedené virtuální sítě pak můžou vytvořit partnerský vztah s centrální virtuální sítí.All the spoke virtual networks can then peer with the hub virtual network. Provoz v centrální virtuální síti probíhá přes virtuální síťové zařízení nebo brány VPN.Traffic can flow through network virtual appliances or VPN gateways in the hub virtual network.

Partnerské vztahy virtuálních sítí umožňují, aby další segment směrování v uživatelsky definované trase byl IP adresou virtuálního počítače v partnerské virtuální síti nebo branou VPN.Virtual network peering enables the next hop in a user-defined route to be the IP address of a virtual machine in the peered virtual network, or a VPN gateway. K vytvoření trasy mezi virtuálními sítěmi ale nemůžete použít uživatelsky definovanou trasu, ve které jako další typ segmentu směrování použijete bránu ExpressRoute.You cannot however, route between virtual networks with a user-defined route specifying an ExpressRoute gateway as the next hop type. Další informace o uživatelsky definovaných trasách najdete v přehledu uživatelsky definovaných tras.To learn more about user-defined routes, see User-defined routes overview. Informace o vytvoření hvězdicové síťové topologie najdete v tématu věnovaném hvězdicové síťové topologii.To learn how to create a hub and spoke network topology, see hub and spoke network topology.

Brány a místní připojeníGateways and on-premises connectivity

Každá virtuální síť, bez ohledu na to, jestli má navázaný partnerský vztah s jinou virtuální sítí, může mít stále svou vlastní bránu a používat ji pro připojení k místní síti.Each virtual network, regardless of whether it is peered with another virtual network, can still have its own gateway and use it to connect to an on-premises network. Můžete také nakonfigurovat připojení mezi virtuálními sítěmi pomocí bran, a to i v situaci, kdy jsou tyto virtuální sítě v partnerském vztahu.You can also configure virtual network-to-virtual network connections by using gateways, even though the virtual networks are peered.

Když jsou nakonfigurovány obě možnosti pro propojení virtuálních sítí, přenos dat mezi těmito sítěmi probíhá s použitím konfigurace partnerského vztahu (t.j. přes páteřní síť Azure).When both options for virtual network interconnectivity are configured, the traffic between the virtual networks flows through the peering configuration (that is, through the Azure backbone).

Když je mezi virtuálními sítěmi navázán partnerský vztah, můžete také v partnerské virtuální síti nakonfigurovat bránu, která bude sloužit jako tranzitní bod pro místní síť.When virtual networks are peered, you can also configure the gateway in the peered virtual network as a transit point to an on-premises network. V tomto případě virtuální síť, která používá vzdálenou bránu, nemůže mít svou vlastní bránu.In this case, the virtual network that is using a remote gateway cannot have its own gateway. Virtuální síť může mít pouze jednu bránu.A virtual network can have only one gateway. Může jí být buď místní brána, nebo vzdálená brána (v partnerské virtuální síti), jak ukazuje následující obrázek:The gateway can be either a local or remote gateway (in the peered virtual network), as shown in the following picture:

přenos dat při partnerských vztazích virtuálních sítí

Průchod branou, je podporován pro VNet Peering i globální VNet Peering.Gateway transit is supported for both VNet Peering and Global VNet Peering. Průchod branou mezi virtuálními sítěmi vytvořenými pomocí různých modelů nasazení (Resource Manager a Klasický model) je podporován pouze v případě, že brána je ve virtuální síti (Resource Manager).Gateway transit between virtual networks created through different deployment models (Resource Manager and classic) is supported only if the gateway is in the virtual network (Resource Manager). Další informace o použití brány k průchodu najdete v tématu o konfiguraci brány VPN pro průchod v partnerském vztahu virtuální sítě.To learn more about using a gateway for transit, see Configure a VPN gateway for transit in a virtual network peering.

Po nastavení partnerského vztahu mezi virtuálními sítěmi sdílejícími jedno připojení Azure ExpressRoute přenos dat prochází skrze partnerský vztah (tj. prostřednictvím páteřní sítě Azure).When the virtual networks that are sharing a single Azure ExpressRoute connection are peered, the traffic between them goes through the peering relationship (that is, through the Azure backbone network). K připojení k místnímu okruhu lze v obou sítích nadále používat místní brány.You can still use local gateways in each virtual network to connect to the on-premises circuit. Alternativním postupem je použití sdílené brány a konfigurace průchodu pro místní připojení.Alternatively, you can use a shared gateway and configure transit for on-premises connectivity.

Řešení potížíTroubleshoot

Pokud chcete partnerský vztah virtuální sítě potvrdit, musíte zkontrolovat platné trasy síťového rozhraní v každé podsíti virtuální sítě.To confirm a virtual network peering, you can check effective routes for a network interface in any subnet in a virtual network. Pokud partnerský vztah virtuální sítě existuje, mají všechny podsítě virtuální sítě trasy s typem dalšího přechodu VNet peering, a to u každého adresního prostoru v každé partnerské virtuální síti.If a virtual network peering exists, all subnets within the virtual network have routes with next hop type VNet peering, for each address space in each peered virtual network.

K řešení problémů s připojením k virtuálnímu počítači v partnerské virtuální síti také můžete použít kontrolu připojení ve službě Network Watcher.You can also troubleshoot connectivity to a virtual machine in a peered virtual network using Network Watcher's connectivity check. Kontrola připojení zobrazí směrování provozu od síťového rozhraní zdrojového virtuálního počítače k síťovému rozhraní cílového virtuálního počítače.Connectivity check lets you see how traffic is routed from a source virtual machine's network interface to a destination virtual machine's network interface.

Můžete také zkusit Poradce při potížích pro partnerský vztah virtuální sítě problémy.You can also try the Troubleshooter for virtual network peering issues.

Požadavky a omezeníRequirements and constraints

Pouze když partnerské virtuální sítě jsou globálně platí následující omezení:The following constraints apply only when virtual networks are globally peered:

  • Prostředky v jedné virtuální sítě nemůže komunikovat s front-endovou IP adresu interní load balanceru úrovně Basic v globálním partnerském vztahu virtuální sítě.Resources in one virtual network cannot communicate with the front-end IP address of a Basic internal load balancer in a globally peered virtual network. Podpora pro Load balancer úrovně Basic existuje pouze v rámci stejné oblasti.Support for Basic Load Balancer only exists within the same region. Podpora pro Load balancer úrovně Standard je dostupná pro VNet Peering i globální VNet Peering.Support for Standard Load Balancer exists for both, VNet Peering and Global VNet Peering. Jsou popsány služby, které používají nástroj pro vyrovnávání zatížení Basic, která nebude fungovat za globální VNet Peering tady.Services that use a Basic load balancer which will not work over Global VNet Peering are documented here.

Další informace o požadavcích a omezeních najdete v tématu Požadavky a omezení partnerských vztahů virtuálních sítí.To learn more about requirements and constraints, see Virtual network peering requirements and constraints. Informace o omezeních počtu partnerských vztahů, které pro virtuální síť můžete vytvořit, najdete v tématu popisujícím omezení sítí Azure.To learn about the limits for the number of peerings you can create for a virtual network, see Azure networking limits.

OprávněníPermissions

Informace o oprávněních požadovaných k vytvoření partnerského vztahu virtuálních sítí najdete v tématu popisujícím oprávnění pro partnerské vztahy virtuálních sítí.To learn about permissions required to create a virtual network peering, see Virtual network peering permissions.

CenyPricing

Za příchozí a výchozí přenos využívající partnerské propojení virtuálních sítí se účtuje nominální poplatek.There is a nominal charge for ingress and egress traffic that utilizes a virtual network peering connection. Další informace o cenách partnerských vztahů virtuálních sítí a globálních partnerských vztahů virtuálních sítí najdete na stránce s cenami.For more information on VNet Peering and Global VNet peering pricing, see the pricing page.

Průchod bránou je vlastnost partnerského uzlu, která umožňuje, aby virtuální síť využila bránu VPN v partnerské virtuální síti pro připojení mezi více umístěními nebo virtuálními sítěmi.Gateway transit is a peering property that enables a virtual network to utilize a VPN gateway in a peered virtual network for cross premises or VNet-to-VNet connectivity. Datové přenosy procházející v takové situaci vzdálenou bránou podléhají poplatkům za bránu VPN, ale ne poplatkům za partnerský vztah virtuální sítě.Traffic passing through a remote gateway in this scenario is subject to VPN gateway charges and does not incur VNet peering charges. Například pokud virtuální síť má bránu sítě VPN pro připojení k místním a VNetB je v partnerském vztahu pro virtuální síť s příslušné vlastnosti nakonfigurovat, provoz z VNetB k místnímu je účtovat jenom poplatky za výchozí přenos dat za ceny služby VPN gateway.For example, If VNetA has a VPN gateway for on-premises connectivity and VNetB is peered to VNetA with appropriate properties configured, traffic from VNetB to on-premises is only charged egress per VPN gateway pricing. V této situaci se neúčtují poplatky za partnerský vztah virtuálních sítí.VNet peering charges do not apply. Zjistěte, jak nakonfigurovat průchod bránou VPN pro partnerský vztah virtuální sítě.Learn how to configure VPN gateway transit for virtual network peering.

Další postupNext steps