Hub-Spoke-Netzwerktopologie in Azure

Azure
Firewall
Virtual Network
Bastion
VPN Gateway

In dieser Referenzarchitektur wird eine Hub-Spoke-Topologie in Azure erläutert.This reference architecture details a hub-spoke topology in Azure. Das virtuelle Hub-Netzwerk fungiert als zentraler Konnektivitätspunkt zu vielen virtuellen Spoke-Netzwerken.The hub virtual network acts as a central point of connectivity to many spoke virtual networks. Der Hub kann auch als Konnektivitätspunkt zu Ihren lokalen Netzwerken verwendet werden.The hub can also be used as the connectivity point to your on-premises networks. Die virtuellen Spoke-Netzwerke stellen eine Peeringverbindung mit dem Hub her und können zur Isolierung von Workloads verwendet werden.The spoke virtual networks peer with the hub and can be used to isolate workloads.

Zu den Vorteilen der Verwendung einer Hub-and-Spoke-Konfiguration gehören Kosteneinsparungen, die Überwindung von Grenzwerten für Abonnements und die Isolierung von Workloads.The benefits of using a hub and spoke configuration include cost savings, overcoming subscription limits, and workload isolation.

Hub-Spoke-Topologie in Azure

ReferenzbereitstellungReference deployment

Diese Bereitstellung umfasst ein virtuelles Hub-Netzwerk und zwei Spokes mit Peering.This deployment includes one hub virtual network and two peered spokes. Außerdem werden eine Azure Firewall und ein Azure Bastion-Host bereitgestellt.An Azure Firewall and Azure Bastion host are also deployed. Optional kann die Bereitstellung auch virtuelle Computer im ersten Spoke-Netzwerk und ein VPN-Gateway umfassen.Optionally, the deployment can include virtual machines in the first spoke network and a VPN gateway.

Verwenden Sie den folgenden Befehl, um eine Ressourcengruppe für die Bereitstellung zu erstellen.Use the following command to create a resource group for the deployment. Klicken Sie auf die Schaltfläche Testen, um eine eingebettete Shell zu verwenden.Click the Try it button to use an embedded shell.

az group create --name hub-spoke --location eastus

Führen Sie den folgenden Befehl aus, um die Hub-and-Spoke-Netzwerkkonfiguration, VNet-Peerings zwischen Hub und Spoke und einen Bastionhost bereitzustellen.Run the following command to deploy the hub and spoke network configuration, VNet peerings between the hub and spoke, and a Bastion host

az deployment group create --resource-group hub-spoke \
    --template-uri https://raw.githubusercontent.com/mspnp/samples/master/solutions/azure-hub-spoke/azuredeploy.json

Ausführliche Informationen und zusätzliche Bereitstellungsoptionen finden Sie in den ARM-Vorlagen, die für die Bereitstellung dieser Lösung verwendet werden.For detailed information and additional deployment options, see the ARM Templates used to deploy this solution.

AnwendungsfälleUse cases

Typische Einsatzmöglichkeiten für diese Architektur sind:Typical uses for this architecture include:

  • Workloads, die in verschiedenen Umgebungen wie Entwicklungs-, Test- und Produktionsumgebungen eingesetzt werden und gemeinsame Dienste wie DNS, IDS, NTP oder AD DS erfordernWorkloads deployed in different environments, such as development, testing, and production, that require shared services such as DNS, IDS, NTP, or AD DS. Gemeinsame Dienste werden im virtuellen Hubnetzwerk platziert, während die einzelnen Umgebungen in einem Spoke bereitgestellt werden, um die Isolation beizubehalten.Shared services are placed in the hub virtual network, while each environment is deployed to a spoke to maintain isolation.
  • Workloads, bei denen keine Konnektivität untereinander bestehen muss, die jedoch Zugriff auf gemeinsame Dienste erfordernWorkloads that do not require connectivity to each other but require access to shared services.
  • Unternehmen, die auf eine zentrale Steuerung von Sicherheitsmechanismen (z.B. eine Firewall im Hub als DMZ) und eine getrennte Verwaltung von Workloads in den einzelnen Spokes angewiesen sindEnterprises that require central control over security aspects, such as a firewall in the hub as a DMZ, and segregated management for the workloads in each spoke.

AufbauArchitecture

Die Architektur umfasst die folgenden Komponenten.The architecture consists of the following components.

Virtuelles Hub-Netzwerk: Das virtuelle Hub-Netzwerk ist der zentrale Konnektivitätspunkt für Ihr lokales Netzwerk, mit dem Sie Dienste hosten, die von den verschiedenen in den virtuellen Spoke-Netzwerken gehosteten Workloads genutzt werden können.Hub virtual network: The hub virtual network is the central point of connectivity to your on-premises network and a place to host services that can be consumed by the different workloads hosted in the spoke virtual networks.

Virtuelle Spoke-Netzwerke: Virtuelle Spoke-Netzwerke können verwendet werden, um Workloads in ihren eigenen virtuellen Netzwerken zu isolieren, die getrennt von anderen Spokes verwaltet werden.Spoke virtual networks: Spoke virtual networks are used to isolate workloads in their own virtual networks, managed separately from other spokes. Jede Workload kann mehrere Schichten umfassen, wobei mehrere Subnetze über Azure Load Balancer verbunden sind.Each workload might include multiple tiers, with multiple subnets connected through Azure load balancers.

Peering virtueller Netzwerke: Zwei virtuelle Netzwerke können über eine Peeringverbindung miteinander verbunden werden.Virtual network peering: Two virtual networks can be connected using a peering connection. Peeringverbindungen sind nicht-transitive Verbindungen zwischen virtuellen Netzwerken mit geringen Wartezeiten.Peering connections are non-transitive, low latency connections between virtual networks. Sobald eine Peeringverbindung hergestellt wurde, tauschen die virtuellen Netzwerke ohne Einsatz eines Routers Datenverkehr über den Azure-Backbone aus.Once peered, the virtual networks exchange traffic by using the Azure backbone without the need for a router.

Bastionhost Mit Azure Bastion können Sie über Ihren Browser und das Azure-Portal eine sichere Verbindung mit einem virtuellen Computer herstellen.Bastion Host: Azure Bastion lets you securely connect to a virtual machine using your browser and the Azure portal. Ein Azure Bastion-Host wird innerhalb eines Azure Virtual Network bereitgestellt und kann auf virtuelle Computer im VNet oder auf virtuelle Computer in VNets mit Peering zugreifen.An Azure Bastion host is deployed inside an Azure Virtual Network and can access virtual machines in the VNet, or virtual machines in peered VNets.

Azure Firewall: Azure Firewall ist eine verwaltete Firewall, die als Dienst eingesetzt wird.Azure Firewall: Azure Firewall is a managed firewall as a service. Die Firewallinstanz befindet sich in einem eigenen Subnetz.The Firewall instance is placed in its own subnet.

VPN-Gateway für ein virtuelles Netzwerk oder ExpressRoute-Gateway:VPN virtual network gateway or ExpressRoute gateway. Über das Gateway für virtuelle Netzwerke kann das virtuelle Netzwerk zur Konnektivität mit Ihrem lokalen Netzwerk eine Verbindung mit dem VPN-Gerät oder eine ExpressRoute-Verbindung herstellen.The virtual network gateway enables the virtual network to connect to the VPN device, or ExpressRoute circuit, used for connectivity with your on-premises network. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit einem Microsoft Azure Virtual Network.For more information, see Connect an on-premises network to a Microsoft Azure virtual network.

VPN-Gerät:VPN device. Ein Gerät oder ein Dienst, das bzw. der externe Konnektivität mit dem lokalen Netzwerk bereitstellt.A device or service that provides external connectivity to the on-premises network. Bei dem VPN-Gerät kann es sich um ein Hardwaregerät oder eine Softwarelösung wie den Routing- und RAS-Dienst (RRAS) unter Windows Server 2012 handeln.The VPN device may be a hardware device or a software solution such as the Routing and Remote Access Service (RRAS) in Windows Server 2012. Weitere Informationen finden Sie unter Informationen zu VPN-Geräten für VPN Gateway-Verbindungen zwischen Standorten.For more information, see About VPN devices for Site-to-Site VPN Gateway connections.

EmpfehlungenRecommendations

Die folgenden Empfehlungen gelten für die meisten Szenarien.The following recommendations apply to most scenarios. Sofern Sie keine besonderen Anforderungen haben, die Vorrang haben, sollten Sie diese Empfehlungen befolgen.Follow these recommendations unless you have a specific requirement that overrides them.

RessourcengruppenResource groups

Die in diesem Dokument enthaltene Beispiellösung verwendet eine einzelne Azure-Ressourcengruppe.The sample solution included in this document uses a single Azure resource group. In der Praxis können der Hub und die einzelnen Spokes in verschiedenen Ressourcengruppen und sogar in verschiedenen Abonnements implementiert werden.In practice, the hub and each spoke can be implemented in different resource groups and even different subscriptions. Wenn Sie eine Peerverbindung zwischen virtuellen Netzwerken in verschiedenen Abonnements herstellen, können beide Abonnements demselben oder einem anderen Azure Active Directory-Mandanten zugeordnet sein.When you peer virtual networks in different subscriptions, both subscriptions can be associated with the same or different Azure Active Directory tenant. Dies ermöglicht nicht nur eine dezentralisierte Verwaltung der einzelnen Workloads, sondern auch die Verwaltung gemeinsamer Dienste im Hub.This allows for decentralized management of each workload while sharing services maintained in the hub.

Virtuelles Netzwerk und GatewaySubnetVirtual network and GatewaySubnet

Erstellen Sie ein Subnetz mit dem Namen GatewaySubnet mit dem Adressbereich „/27“.Create a subnet named GatewaySubnet, with an address range of /27. Das virtuelle Netzwerkgateway erfordert dieses Subnetz.The virtual network gateway requires this subnet. Durch Zuweisung von 32 Adressen zu diesem Subnetz wird eine künftige Überschreitung von Beschränkungen der Gatewaygröße verhindert.Allocating 32 addresses to this subnet will help to prevent reaching gateway size limitations in the future.

Weitere Informationen zum Einrichten des Gateways finden Sie abhängig von Ihrem Verbindungstyp in den folgenden Referenzarchitekturen:For more information about setting up the gateway, see the following reference architectures, depending on your connection type:

Um eine höhere Verfügbarkeit zu erzielen, können Sie ExpressRoute mit einem VPN für Failoverzwecke kombinieren.For higher availability, you can use ExpressRoute plus a VPN for failover. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit Azure unter Verwendung von ExpressRoute mit VPN-Failover.See Connect an on-premises network to Azure using ExpressRoute with VPN failover.

Eine Hub-Spoke-Topologie kann auch ohne Gateway verwendet werden, wenn keine Konnektivität mit Ihrem lokalen Netzwerk erforderlich ist.A hub-spoke topology can also be used without a gateway if you don't need connectivity with your on-premises network.

Peering in virtuellen NetzwerkenVirtual network peering

Beim Peering virtueller Netzwerke wird eine nicht-transitive Beziehung zwischen zwei virtuellen Netzwerken hergestellt.Virtual network peering is a non-transitive relationship between two virtual networks. Wenn Sie eine Verbindung zwischen Spokes herstellen möchten, sollten Sie eventuell eine separate Peeringverbindung zwischen diesen Spokes herstellen.If you require spokes to connect to each other, consider adding a separate peering connection between those spokes.

Angenommen, es muss jedoch zwischen mehreren Spokes eine Verbindung hergestellt werden.However, suppose you have several spokes that need to connect with each other. In diesem Fall werden die möglichen Peeringverbindungen sehr schnell zur Neige gehen, da die Anzahl der Peerings virtueller Netzwerke pro virtuelles Netzwerk begrenzt ist.In that case, you will run out of possible peering connections very quickly due to the limitation on the number of virtual network peerings per virtual network. (Weitere Informationen finden Sie unter Grenzwerte für Netzwerke.)(For more information, see Networking limits. In diesem Szenario sollten Sie die Verwendung von benutzerdefinierten Routen (User Defined Routes, UDRs) in Erwägung ziehen, um zu erzwingen, dass der für einen Spoke vorgesehene Datenverkehr an Azure Firewall oder ein virtuelles Netzwerkgerät gesendet wird, die als Router im Hub fungiert.In this scenario, consider using user-defined routes (UDRs) to force traffic destined to a spoke to be sent to Azure Firewall or a network virtual appliance acting as a router at the hub. Hierdurch können die Spokes miteinander verbunden werden.This will allow the spokes to connect to each other.

Sie können Spokes auch für die Kommunikation mit Remotenetzwerken über das Hubgateway konfigurieren.You can also configure spokes to use the hub gateway to communicate with remote networks. Damit der Gatewaydatenverkehr zwischen den Spokes und dem Hub weitergeleitet und eine Verbindung mit Remotenetzwerken hergestellt werden kann, müssen Sie folgende Schritte durchführen:To allow gateway traffic to flow from spoke to hub and connect to remote networks, you must:

  • Konfigurieren Sie die Peeringverbindung im Hub so, dass Gatewaytransit zugelassen wird.Configure the peering connection in the hub to allow gateway transit.
  • Konfigurieren Sie die Peeringverbindung in den einzelnen Spokes so, dass Remotegateways verwendet werden.Configure the peering connection in each spoke to use remote gateways.
  • Konfigurieren Sie alle Peeringverbindungen so, dass weitergeleiteter Datenverkehr zugelassen wird.Configure all peering connections to allow forwarded traffic.

Weitere Informationen zum Erstellen des Peerings für virtuelle Netzwerke finden Sie unter Erstellen von VNET-Peerings.For additional information on creating virtual network peering, see Create VNet peerings.

Konnektivität zwischen SpokesSpoke connectivity

Wenn Sie Konnektivität zwischen Spokes benötigen, sollten Sie die Bereitstellung einer Azure Firewall oder eines anderen virtuellen Netzwerkgeräts in Betracht ziehen und Routen erstellen, um den Datenverkehr vom Spoke zur Firewall bzw. zum virtuellen Netzwerkgerät weiterzuleiten, die/das dann zum zweiten Spoke weiterleiten kann.If you require connectivity between spokes, consider deploying an Azure Firewall or other network virtual appliance and create routes to forward traffic from the spoke to the firewall / network virtual appliance, which can then route to the second spoke. In diesem Szenario müssen Sie die Peeringverbindungen dahingehend konfigurieren, dass weitergeleiteter Verkehr zugelassen wird.In this scenario, you must configure the peering connections to allow forwarded traffic.

Routing zwischen Spokes mithilfe von Azure Firewall

Sie können auch ein VPN-Gateway verwenden, um Datenverkehr zwischen Spokes weiterzuleiten. Dies wirkt sich jedoch auf die Wartezeit und den Durchsatz aus.You can also use a VPN gateway to route traffic between spokes, although this will impact latency and throughput. Weitere Informationen zur Konfiguration finden Sie unter Konfigurieren des VPN-Gatewaytransits für ein Peering virtueller Netzwerke.See Configure VPN gateway transit for virtual network peering for configuration details.

Berücksichtigen Sie die Dienste, die im Hub gemeinsam genutzt werden, um sicherzustellen, dass sich der Hub für eine größere Anzahl von Spokes skalieren lässt.Consider what services are shared in the hub to ensure the hub scales for a larger number of spokes. Wenn Ihr Hub beispielsweise Firewalldienste bereitstellt, sollten Sie beim Hinzufügen mehrerer Spokes die Bandbreitenbeschränkungen Ihrer Firewalllösung berücksichtigen.For instance, if your hub provides firewall services, consider your firewall solution's bandwidth limits when adding multiple spokes. Es wird empfohlen, einige dieser gemeinsamen Dienste auf eine zweite Hubebene zu verlagern.You might want to move some of these shared services to a second level of hubs.

Überlegungen zur VerwendungOperational considerations

Beachten Sie bei der Bereitstellung und Verwaltung von Hub-and-Spoke-Netzwerken Folgendes.Consider the following when deploying and managing hub and spoke networks.

NetzwerküberwachungNetwork monitoring

Nutzen Sie Azure Network Watcher für die Überwachung und Problembehandlung der Netzwerkkomponenten. Mit Tools wie Traffic Analytics werden die Systeme Ihrer virtuellen Netzwerke angezeigt, die den meisten Datenverkehr generieren. Auf diese Weise können Sie Engpässe visuell identifizieren, bevor diese zu Problemen führen.Use Azure Network Watcher to monitor and troubleshoot the network components, tools like Traffic Analytics will show you the systems in your virtual networks that generate the most traffic so that you can visually identify bottlenecks before they degenerate into problems. Der Netzwerkleistungs-Manager ist das richtige Tool zum Überwachen der Informationen zu Microsoft ExpressRoute-Leitungen.Network Performance Manager is the right tool to monitor information about Microsoft ExpressRoute circuits. Die VPN-Diagnose ist ein weiteres Tool für die Problembehandlung von Site-to-Site-VPN-Verbindungen, die Ihre Anwendungen mit lokalen Benutzern verbinden.VPN diagnostics is another tool that can help troubleshoot site-to-site VPN connections connecting your applications to users on-premises.

Weitere Informationen finden Sie in der Dokumentation zum Azure Well-Architected Framework unter Azure Network Watcher.For more information, see Azure Network Watcher in the Azure Well-Architected Framework.

KostenbetrachtungCost considerations

Beachten Sie bei der Bereitstellung und Verwaltung von Hub-and-Spoke-Netzwerken die folgenden kostenbezogenen Punkte.Consider the following cost-related items when deploying and managing hub and spoke networks.

Azure FirewallAzure Firewall

In dieser Architektur wird eine Azure Firewall im Hub-Netzwerk bereitgestellt.In this architecture, an Azure Firewall is deployed in the hub network. Wenn sie als freigegebene Lösung verwendet und von mehreren Workloads genutzt wird, kann eine Azure Firewall im Vergleich zu anderen virtuellen Netzwerkgeräten zwischen 30 und 50 % einsparen.When used as a shared solution and consumed by multiple workloads, an Azure Firewall can save up to 30-50% over other network virtual appliance. Weitere Informationen finden Sie unter Azure Firewall im Vergleich zum virtuellen Netzwerkgerät.For more information, see Azure Firewall vs network virtual appliance.

Peering in virtuellen NetzwerkenVirtual network peering

Sie können das Peering virtueller Netzwerke nutzen, um Datenverkehr zwischen virtuellen Netzwerken über private IP-Adressen weiterzuleiten.You can use virtual network peering to route traffic between virtual networks by using private IP addresses. Hier sind einige Punkte aufgeführt:Here are some points:

  • Eingehender und ausgehender Datenverkehr wird an beiden Enden der mittels Peering verknüpften Netzwerke in Rechnung gestellt.Ingress and egress traffic is charged at both ends of the peered networks.
  • Unterschiedliche Zonen verfügen über unterschiedliche Übertragungsraten.Different zones have different transfer rates.

Bei einer Datenübertragung aus einem virtuellen Netzwerk in Zone 1 in ein anderes virtuelles Netzwerk in Zone 2 fällt beispielsweise für Zone 1 die Gebühr für die ausgehende Übertragung und für Zone 2 die Gebühr für die eingehende Übertragung an.For instance, data transfer from a virtual network in zone 1 to another virtual network in zone 2, will incur outbound transfer rate for zone 1 and inbound rate for zone 2. Weitere Informationen finden Sie unter Virtual Network – Preise.For more information, see Virtual network pricing.