Routering van virtueel netwerkverkeer

Meer informatie over hoe Azure verkeer tussen Azure-, on-premises en internetbronnen routeert. Azure maakt automatisch een routetabel voor elk subnet binnen een virtueel Azure-netwerk en voegt standaardroutes van het systeem toe aan de tabel. Zie Virtueel netwerkoverzicht voor meer informatie over virtuele netwerken en subnetten. U kunt een aantal systeemroutes van Azure overschrijven met aangepaste routesen aanvullende aangepaste routes toevoegen aan routetabellen. Azure routeert uitgaand verkeer vanaf een subnet op basis van de routes in de routetabel van een subnet.

Systeemroutes

Azure maakt automatisch systeemroutes en wijst de routes toe aan elk subnet in een virtueel netwerk. U kunt geen systeemroutes maken en u kunt ook geen systeemroutes verwijderen, maar u kunt bepaalde systeemroutes overschrijven met aangepaste routes. Azure maakt standaardsysteemroutes voor elk subnet en voegt extra optionele standaardroutes toe aan specifieke subnetten of elk subnet wanneer u specifieke Azure-mogelijkheden gebruikt.

Standaard

Elke route bevat een adres voorvoegsel en het volgende hoptype. Wanneer verkeer dat een subnet verlaat, wordt verzonden naar een IP-adres binnen het adres voorvoegsel van een route, is de route die het voorvoegsel bevat de route die Azure gebruikt. Meer informatie over hoe Azure een route selecteert wanneer meerdere routes dezelfde voorvoegsels of overlappende voorvoegsels bevatten. Wanneer een virtueel netwerk wordt gemaakt, worden in Azure automatisch de volgende standaardsysteemroutes voor elk subnet binnen het virtuele netwerk gemaakt:

Bron Adres voorvoegsels Volgende hoptype
Standaard Uniek in het virtuele netwerk Virtueel netwerk
Standaard 0.0.0.0/0 Internet
Standaard 10.0.0.0/8 Geen
Standaard 192.168.0.0/16 Geen
Standaard 100.64.0.0/10 Geen

De volgende hoptypen in de vorige tabel geven aan hoe Azure verkeer routeert dat is bestemd voor het vermelde adres. Uitleg voor de volgende hoptypen volgt:

  • Virtueel netwerk:routeer verkeer tussen adresbereiken binnen de adresruimte van een virtueel netwerk. Azure maakt een route met een adres voorvoegsel dat overeenkomt met elk adresbereik dat binnen de adresruimte van een virtueel netwerk is gedefinieerd. Als de virtuele netwerkadresruimte meerdere adresbereiken heeft gedefinieerd, wordt in Azure een afzonderlijke route voor elk adresbereik gemaakt. Azure routes automatisch verkeer tussen subnetten met behulp van de routes die voor elk adresbereik zijn gemaakt. U hoeft geen gateways voor Azure te definiëren om verkeer tussen subnetten te routen. Hoewel een virtueel netwerk subnetten bevat en elk subnet een gedefinieerd adresbereik heeft, maakt Azure geen standaardroutes voor subnetadresbereiken, omdat elk subnetadresbereik zich binnen een adresbereik van de adresruimte van een virtueel netwerk.

  • Internet:Routeer verkeer dat is opgegeven door het adres voorvoegsel naar internet. De standaardroute van het systeem geeft het adresvoorvoegsel 0.0.0.0/0 aan. Als u de standaardroutes van Azure niet overschrijven, wordt het verkeer door Azure gerouteerd voor een adres dat niet is opgegeven door een adresbereik binnen een virtueel netwerk, naar internet, met één uitzondering. Als het doeladres is voor een van de azure-services, wordt het verkeer rechtstreeks door Azure naar de service gerouteerd via het backbonenetwerk van Azure, in plaats van het verkeer naar internet te routeren. Het verkeer tussen Azure-services loopt niet via internet, ongeacht in welke Azure-regio het virtuele netwerk zich bevindt of in welke Azure-regio een exemplaar van de Azure-service wordt geïmplementeerd. U kunt de standaardsysteemroute van Azure voor het adresvoorvoegsel 0.0.0.0/0 overschrijven met een aangepaste route.

  • Geen:Verkeer dat naar het volgende hoptype Geen wordt gerouteerd, wordt niet buiten het subnet gerouteerd. Azure maakt automatisch standaardroutes voor de volgende adresvoorvoegsels:

    • 10.0.0.0/8 en 192.168.0.0/16: Gereserveerd voor privégebruik in RFC 1918.
    • 100.64.0.0/10: Gereserveerd in RFC 6598.

    Als u een van de vorige adresbereiken toewijst binnen de adresruimte van een virtueel netwerk, wordt in Azure automatisch het volgende hoptype voor de route gewijzigd van Geen naar Virtueel netwerk. Als u een adresbereik toewijst aan de adresruimte van een virtueel netwerk dat een van de vier gereserveerde adres voorvoegsels bevat, verwijdert Azure de route voor het voorvoegsel en voegt u een route toe voor het adresprefix dat u hebt toegevoegd, met Virtueel netwerk als het volgende hoptype.

Optionele standaardroutes

Azure voegt extra standaardsysteemroutes toe voor verschillende Azure-mogelijkheden, maar alleen als u de mogelijkheden inschakelen. Afhankelijk van de mogelijkheid voegt Azure optionele standaardroutes toe aan specifieke subnetten binnen het virtuele netwerk of aan alle subnetten binnen een virtueel netwerk. De extra systeemroutes en volgende hoptypen die Azure kan toevoegen wanneer u verschillende mogelijkheden inschakelen, zijn:

Bron Adres voorvoegsels Volgende hoptype Subnet binnen een virtueel netwerk waar die route aan wordt toegevoegd
Standaard Uniek voor het virtuele netwerk, bijvoorbeeld: 10.1.0.0/16 VNet-peering Alles
Virtuele netwerkgateway Voorvoegsels die worden aangekondigd vanuit on-premises via BGP of geconfigureerd in de lokale netwerkgateway Virtuele netwerkgateway Alles
Standaard Meerdere VirtualNetworkServiceEndpoint Alleen het subnet waar een service-eindpunt voor is ingeschakeld.
  • Virtual network (VNet) peering:Wanneer u een virtueel netwerk peering maakt tussen twee virtuele netwerken, wordt er een route toegevoegd voor elk adresbereik binnen de adresruimte van elk virtueel netwerk waar een peering voor is gemaakt. Meer informatie over virtuele netwerk peering.

  • Virtuele netwerkgateway:Een of meer routes met virtual network gateway die als het volgende hoptype worden vermeld, worden toegevoegd wanneer een virtuele netwerkgateway wordt toegevoegd aan een virtueel netwerk. De bron is ook een virtuele netwerkgateway,omdat de gateway de routes toevoegt aan het subnet. Als uw on-premises network gateway border gateway protocol(BGP)routes met een Azure virtual network gateway uitwisselt, wordt er een route toegevoegd voor elke route die wordt doorgegeven vanuit de on-premises netwerkgateway. U wordt aangeraden on-premises routes samen te vatten naar de grootst mogelijke adresbereiken, zodat het minste aantal routes wordt doorgegeven aan een Azure virtual network gateway. Er zijn limieten voor het aantal routes dat u kunt doorgeven aan een azure virtual network gateway. Zie Azure-limieten voor meer informatie.

  • VirtualNetworkServiceEndpoint:De openbare IP-adressen voor bepaalde services worden door Azure toegevoegd aan de routetabel wanneer u een service-eindpunt inschakelen voor de service. Service-eindpunten zijn ingeschakeld voor afzonderlijke subnetten binnen een virtueel netwerk, zodat de route alleen wordt toegevoegd aan de routetabel van een subnet waar een service-eindpunt voor is ingeschakeld. De openbare IP-adressen van Azure-services worden regelmatig gewijzigd. Azure beheert de adressen in de routetabel automatisch wanneer de adressen worden gewijzigd. Meer informatie over virtuele netwerkservice-eindpuntenen de services waar u service-eindpunten voor kunt maken.

    Opmerking

    De volgende hoptypen VNet peering en VirtualNetworkServiceEndpoint worden alleen toegevoegd aan routetabellen met subnetten binnen virtuele netwerken die zijn gemaakt via het Azure Resource Manager-implementatiemodel. De volgende hoptypen worden niet toegevoegd aan routetabellen die zijn gekoppeld aan virtuele netwerksubnetten die zijn gemaakt via het klassieke implementatiemodel. Meer informatie over Azure-implementatiemodellen.

Aangepaste routes

U maakt aangepaste routes door door de gebruiker gedefinieerde routes te maken of door BGP-routes (Border Gateway Protocol) uit te wisselen tussen uw on-premises netwerkgateway en een Azure Virtual Network Gateway.

Door de gebruiker gedefinieerd

U kunt aangepaste of door de gebruiker gedefinieerde(statische) routes maken in Azure om de standaardsysteemroutes van Azure te overschrijven of om extra routes toe te voegen aan de routetabel van een subnet. In Azure maakt u een routetabel en koppelt u de routetabel aan nul of meer virtuele netwerksubnetten. Aan elk subnet kan een nul- of één routetabel zijn gekoppeld. Zie Azure-limieten voor meer informatie over het maximum aantal routes dat u kunt toevoegen aan een routetabel en het maximum aantal door de gebruiker gedefinieerde routetabellen dat u per Azure-abonnement kunt maken. Als u een routetabel maakt en deze koppelt aan een subnet, worden de routes in het subnet gecombineerd met of overschrijven, worden de standaardroutes die Azure standaard aan een subnet toevoegt, toegevoegd aan een subnet.

U kunt de volgende hoptypen opgeven bij het maken van een door de gebruiker gedefinieerde route:

  • Virtueel apparaat:een virtueel apparaat is een virtuele machine die meestal een netwerktoepassing gebruikt, zoals een firewall. Zie Azure Marketplace voor meer informatie over een groot aantal vooraf geconfigureerde netwerk virtuele apparaten die u kunt implementeren in een virtueel netwerk. Wanneer u een route maakt met het virtuele apparaat hoptype, geeft u ook een ip-adres voor de volgende hop op. Het IP-adres kan het volgende zijn:

    • Het persoonlijke IP-adres van een netwerkinterface die is gekoppeld aan een virtuele computer. Elke netwerkinterface die is gekoppeld aan een virtuele computer waarmee netwerkverkeer wordt doorgestuurd naar een ander adres dan het eigen adres, moet de optie IP-doorsturen van Azure inschakelen hebben ingeschakeld. Met deze instelling schakelt Azure de controle van de bron en bestemming voor een netwerkinterface uit. Meer informatie over het inschakelen van IP-doorsturen voor een netwerkinterface. Hoewel IP-doorsturen inschakelen een Azure-instelling is, moet u mogelijk ook IP-doorsturen binnen het besturingssysteem van de virtuele machine inschakelen zodat het apparaat verkeer kan doorsturen tussen privé-IP-adressen die zijn toegewezen aan Azure-netwerkinterfaces. Als het apparaat verkeer moet doorsturen naar een openbaar IP-adres, moet het een proxy van het verkeer zijn of het netwerkadres het privé-IP-adres van het privé-IP-adres van de bron vertalen naar een eigen privé-IP-adres, dat vervolgens door Azure wordt vertaald naar een openbaar IP-adres, voordat het verkeer naar internet wordt verzonden. Als u de vereiste instellingen binnen de virtuele computer wilt bepalen, bekijkt u de documentatie voor uw besturingssysteem of netwerktoepassing. Zie Outbound connections(Uitgaande verbindingen) voor meer informatie over uitgaande verbindingen in Azure.

      Opmerking

      Een virtueel apparaat implementeren in een ander subnet dan de resources die door het virtuele apparaat lopen, worden geïmplementeerd in. Het implementeren van het virtuele apparaat op hetzelfde subnet en vervolgens een routetabel toepassen op het subnet dat verkeer door het virtuele apparaat routeert, kan leiden tot routeringsluss, waarbij het verkeer het subnet nooit verlaat.

      Een privé-IP-adres voor een volgende hop moet directe verbinding hebben zonder dat u een route moet maken via ExpressRoute Gateway of Virtual WAN. Als u de volgende hop instelt op een IP-adres zonder directe verbinding, resulteert dit in een ongeldige routeringsconfiguratie die door de gebruiker is gedefinieerd.

    • Het privé-IP-adres van een interne Azure-load balancer. Een load balancer wordt vaak gebruikt als onderdeel van een strategie voor hoge beschikbaarheid voor virtuele netwerkapparatuur.

    U kunt een route met 0.0.0.0/0 definiëren als het adres voorvoegsel en een volgend hoptype virtueel apparaat, zodat het apparaat het verkeer kan controleren en kan bepalen of het verkeer moet worden doorgestuurd of neerge zetten. Als u een door de gebruiker gedefinieerde route wilt maken met het adres voorvoegsel 0.0.0.0/0, leest u eerst 0.0.0.0/0 adres voorvoegsel.

  • Virtuele netwerkgateway:geef op wanneer u wilt dat verkeer bestemd is voor specifieke adres voorvoegsels die naar een virtuele netwerkgateway worden gerouteerd. De virtuele netwerkgateway moet worden gemaakt met het type VPN. U kunt geen virtuele netwerkgateway opgeven die is gemaakt als type ExpressRoute in een door de gebruiker gedefinieerde route, omdat u met ExpressRoute BGP moet gebruiken voor aangepaste routes. U kunt virtual network gateways ook niet opgeven als u vpn- en ExpressRoute-verbindingen hebt. U kunt een route definiëren die verkeer dat bestemd is voor het 0.0.0.0/0-adres voorvoegsel naar een virtuele netwerkgateway op basis van route bepaalt. Op uw locatie hebt u mogelijk een apparaat dat het verkeer controleert en bepaalt of u het verkeer wilt doorsturen of neerzetten. Als u een door de gebruiker gedefinieerde route wilt maken voor het 0.0.0.0/0-adres voorvoegsel, leest u eerst 0.0.0.0/0 adres voorvoegsel. In plaats van een door de gebruiker gedefinieerde route te configureren voor het 0.0.0.0/0-adres voorvoegsel, kunt u een route met het 0.0.0.0/0-voorvoegsel via BGP adverteren als u BGP hebt ingeschakeld voor een vpn-virtuele netwerkgateway.

  • Geen:Geef op wanneer u het verkeer wilt neerzetten naar een adres voorvoegsel in plaats van het verkeer door te sturen naar een bestemming. Als u een functie nog niet volledig hebt geconfigureerd, kan Azure geen optie voor een aantal optionele systeemroutes gebruiken. Als u bijvoorbeeld Geen ziet als het volgende hop-IP-adres met een volgende hoptype virtual network gateway of virtueelapparaat, kan dit komen doordat het apparaat niet wordt uitgevoerd of niet volledig is geconfigureerd. Azure maakt systeem standaardroutes voor gereserveerde adresvoorvoegsels met Geen als het volgende hoptype.

  • Virtueel netwerk:geef op wanneer u de standaardroutering binnen een virtueel netwerk wilt overschrijven. Zie Routeringsvoorbeeld, voor een voorbeeld van waarom u een route kunt maken met het type Virtuele netwerkhop.

  • Internet:Geef op wanneer u het verkeer dat is bestemd voor een adres voorvoegsel naar internet expliciet wilt doorvertalen of als u wilt dat verkeer bestemd is voor Azure-services met openbare IP-adressen die binnen het Azure-backbonenetwerk worden bewaard.

U kunt VNet-peering ofVirtualNetworkServiceEndpoint niet opgeven als het volgende hoptype in door de gebruiker gedefinieerde routes. Routes met VNet-peering of VirtualNetworkServiceEndpoint volgende hoptypen worden alleen gemaakt door Azure, wanneer u een virtueel netwerk peering of een service-eindpunt configureert.

Servicelabels voor door de gebruiker gedefinieerde routes (voorbeeld)

U kunt nu een Servicetag opgeven als het adres voor een door de gebruiker gedefinieerde route in plaats van een expliciet IP-bereik. Een servicetag vertegenwoordigt een groep IP-adres voorvoegsels van een bepaalde Azure-service. Microsoft beheert de adres voorvoegsels die worden omschreven door de servicetag en werkt de servicetag automatisch bij wanneer adressen worden gewijzigd, waardoor de complexiteit van veelgebruikte updates voor door de gebruiker gedefinieerde routes wordt geminimaleerd en het aantal routes dat u moet maken wordt beperkt. U kunt momenteel 25 of minder routes maken met Servicelabels in elke routetabel.

Belangrijk

Servicelabels voor door de gebruiker gedefinieerde routes zijn momenteel beschikbaar in de preview-versie. Deze preview-versie wordt geleverd zonder serviceovereenkomst en wordt niet aanbevolen voor productiebelastingen. Bepaalde functies worden mogelijk niet ondersteund of hebben mogelijk beperkte mogelijkheden. Zie Aanvullende gebruiksvoorwaarden voor Microsoft Azure previews voor meer informatie.

Exacte overeenkomst

Als er een exacte voorvoegselmatch is tussen een route met een expliciet IP-voorvoegsel en een route met een Servicetag, wordt de voorkeur gegeven aan de route met het expliciete voorvoegsel. Wanneer meerdere routes met servicelabels overeenkomende IP-voorvoegsels hebben, worden routes in de volgende volgorde geëvalueerd:

  1. Regionale tags (bijvoorbeeld. Storage. EastUS, AppService.AustraliaCentral)
  2. Tags op het hoogste niveau (bijvoorbeeld. Storage, AppService)
  3. AzureCloud-regionale tags (bijvoorbeeld. AzureCloud.canadacentral, AzureCloud.eastasia)
  4. De AzureCloud-tag

Als u deze functie wilt gebruiken, geeft u een servicetagnaam op voor de adresparameter voor de routetabelopdrachten. In Powershell kunt u bijvoorbeeld een nieuwe route maken om verkeer dat naar een ip-voorvoegsel van een Azure Storage wordt verzonden, naar een virtueel apparaat te leiden met behulp van:

New-AzRouteConfig -Name "StorageRoute" -AddressPrefix "Storage" -NextHopType "VirtualAppliance" -NextHopIpAddress "10.0.100.4"

Dezelfde opdracht voor CLI is:

az network route-table route create -g MyResourceGroup --route-table-name MyRouteTable -n StorageRoute --address-prefix Storage --next-hop-type VirtualAppliance --next-hop-ip-address 10.0.100.4

Bekende problemen (april 2021)

Wanneer BGP-routes aanwezig zijn of een Service-eindpunt is geconfigureerd op uw subnet, worden routes mogelijk niet met de juiste prioriteit geëvalueerd. Deze functie werkt momenteel niet voor virtuele netwerken met dubbele stapel (IPv4+IPv6). Er wordt momenteel een oplossing voor deze scenario's uitgevoerd

Opmerking

In openbare preview zijn er verschillende beperkingen. De functie wordt momenteel niet ondersteund in de Azure Portal en is alleen beschikbaar via Powershell en CLI. Er is geen ondersteuning voor gebruik met containers.

Volgende hoptypen in Azure-hulpprogramma's

De naam die voor de volgende hoptypen wordt weergegeven en waarnaar wordt verwezen, verschilt tussen de Azure-portal- en opdrachtregelhulpprogramma's, en de Azure Resource Manager en klassieke implementatiemodellen. De volgende tabel bevat de namen die worden gebruikt om naar elk volgend hoptype te verwijzen met de verschillende hulpprogramma's en implementatiemodellen:

Volgende hoptype Azure CLI en PowerShell (Resource Manager) Klassieke CLI en PowerShell van Azure (klassiek)
Virtuele netwerkgateway VirtualNetworkGateway VPNGateway
Virtueel netwerk VNetLocal VNETLocal (niet beschikbaar in de klassieke CLI in de asm-modus)
Internet Internet Internet (niet beschikbaar in de klassieke CLI in de asm-modus)
Virtueel apparaat VirtualAppliance VirtualAppliance
Geen Geen Null (niet beschikbaar in de klassieke CLI in de asm-modus)
Virtuele netwerk peering VNet-peering Niet van toepassing
Eindpunt virtuele netwerkservice VirtualNetworkServiceEndpoint Niet van toepassing

Border gateway protocol

Een on-premises netwerkgateway kan routes uitwisselen met een Azure Virtual Network Gateway met behulp van het border gateway protocol (BGP). Het gebruik van BGP met een Azure Virtual Network Gateway is afhankelijk van het type dat u hebt geselecteerd toen u de gateway maakte. Als het type dat u hebt geselecteerd het volgende is:

  • ExpressRoute:U moet BGP gebruiken om on-premises routes naar de router Microsoft Edge adverteren. U kunt door de gebruiker gedefinieerde routes niet maken om verkeer naar de virtuele netwerkgateway ExpressRoute te dwingen als u een virtuele netwerkgateway implementeert die is geïmplementeerd als type: ExpressRoute. U kunt door de gebruiker gedefinieerde routes gebruiken om verkeer van de Express-route naar bijvoorbeeld een virtueel netwerkapparaat te dwingen.
  • VPN:U kunt desgewenst BGP gebruiken. Zie BGP met VPN-verbindingen van site naar site voor meer informatie.

Wanneer u routes met Azure uitwisselt met BGP, wordt een aparte route toegevoegd aan de routetabel van alle subnetten in een virtueel netwerk voor elk aangekondigd voorvoegsel. De route wordt toegevoegd met virtual network gateway die wordt vermeld als bron en het volgende hoptype.

Er- en VPN Gateway-route propagatie kan worden uitgeschakeld op een subnet met behulp van een eigenschap in een routetabel. Wanneer u dit doet, worden routes niet toegevoegd aan de routetabel van alle subnetten met virtual network gateway route propagation disabled (zowel statische routes als BGP-routes). Connectiviteit met VPN-verbindingen wordt bereikt met aangepaste routes met een volgend hoptype virtual network gateway. Doorverdragen van routes mag niet worden uitgeschakeld op het GatewaySubnet. De gateway werkt niet als deze instelling is uitgeschakeld. Zie Virtual network gateway route propagation (Virtual network gateway route propagation) uitschakelen voor meer informatie.

Hoe Azure een route selecteert

Wanneer uitgaand verkeer wordt verzonden vanaf een subnet, selecteert Azure een route op basis van het doel-IP-adres, met behulp van het langste algoritme voor voorvoegsels. Een routetabel heeft bijvoorbeeld twee routes: Met één route wordt het adres voorvoegsel 10.0.0.0/24 opgegeven, terwijl in de andere route het adres voorvoegsel 10.0.0.0/16 wordt opgegeven. Azure routes traffic destined for 10.0.0.5, naar het volgende hoptype dat is opgegeven in de route met het adres voorvoegsel 10.0.0.0/24, omdat 10.0.0.0/24 een langer voorvoegsel is dan 10.0.0.0/16, ook al is 10.0.0.0.5 binnen beide adres voorvoegsels. Azure routes traffic destined to 10.0.1.5, naar het volgende hoptype dat is opgegeven in de route met het adres voorvoegsel 10.0.0.0/16, omdat 10.0.1.5 niet is opgenomen in het adres voorvoegsel 10.0.0.0/24, dus de route met het 10.0.0.0/16-adres voorvoegsel is het langste voorvoegsel dat overeenkomt.

Als meerdere routes hetzelfde adres voorvoegsel bevatten, selecteert Azure het routetype op basis van de volgende prioriteit:

  1. Door de gebruiker gedefinieerde route
  2. BGP-route
  3. Systeemroute

Opmerking

Systeemroutes voor verkeer met betrekking tot virtueel netwerk, virtuele netwerk peerings of eindpunten van virtuele netwerkservice zijn voorkeursroutes, zelfs als BGP-routes specifieker zijn.

Een routetabel bevat bijvoorbeeld de volgende routes:

Bron Adres voorvoegsels Volgende hoptype
Standaard 0.0.0.0/0 Internet
Gebruiker 0.0.0.0/0 Virtuele netwerkgateway

Wanneer verkeer is bestemd voor een IP-adres buiten de adresvoorvoegsels van andere routes in de routetabel, selecteert Azure de route met de gebruikersbron, omdat door de gebruiker gedefinieerde routes een hogere prioriteit hebben dan standaardroutes voor het systeem.

Zie Routing example for a comprehensive routing table with explanations of the routes in the table.

0.0.0.0/0 adres voorvoegsel

Een route met het voorvoegsel 0.0.0.0/0-adres geeft Azure instructies voor het routeren van verkeer dat is bestemd voor een IP-adres dat niet binnen het adres voorvoegsel van een andere route in de routetabel van een subnet valt. Wanneer een subnet wordt gemaakt, maakt Azure een standaardroute naar het adresvoorvoegsel 0.0.0.0/0, met het volgende hoptype internet. Als u deze route niet overschrijven, wordt al het verkeer dat is bestemd voor IP-adressen die niet zijn opgenomen in het adres voorvoegsel van een andere route, door Azure naar internet gerouteerd. De uitzondering is dat verkeer naar de openbare IP-adressen van Azure-services zich op het Azure backbone-netwerk blijft verplaatsen en niet wordt doorgeleid naar internet. Als u deze route overschrijven, met een aangepaste route, wordt verkeer dat is bestemd voor adressen die niet binnen de adres voorvoegsels van een andere route in de routetabel staan, verzonden naar een virtueel netwerkapparaat of virtuele netwerkgateway, afhankelijk van de route die u opgeeft in een aangepaste route.

Wanneer u het adresvoorvoegsel 0.0.0.0/0 overschrijven, vindt er naast uitgaand verkeer vanuit het subnet dat via de virtuele netwerkgateway of virtuele apparaat wordt gestroomd, de volgende wijzigingen plaats met de standaardroutering van Azure:

  • Azure verzendt al het verkeer naar het volgende hoptype dat in de route is opgegeven, inclusief verkeer dat is bestemd voor openbare IP-adressen van Azure-services. Wanneer het volgende hoptype voor de route met het 0.0.0.0/0-adres voorvoegsel Internetis, verlaat verkeer van het subnet dat is bestemd voor de openbare IP-adressen van Azure-services nooit het backbonenetwerk van Azure, ongeacht de Azure-regio waarin het virtuele netwerk of de Azure-serviceresource bestaat. Wanneer u echter een door de gebruiker gedefinieerde of BGP-route maakt met een virtual network gateway of virtual appliance volgende hoptype, wordt al het verkeer, inclusief het verkeer dat wordt verzonden naar openbare IP-adressen van Azure-services waar u geen service-eindpunten voor hebt ingeschakeld, verzonden naar het volgende hoptype dat in de route is opgegeven. Als u een service-eindpunt voor een service hebt ingeschakeld, wordt verkeer naar de service niet doorgeleid naar het volgende hoptype in een route met het voorvoegsel 0.0.0.0/0-adres, omdat adres voorvoegsels voor de service worden opgegeven in de route die Azure maakt wanneer u het service-eindpunt inschakelen en de adres voorvoegsels voor de service langer zijn dan 0,0.0.0/0.

  • U hebt geen rechtstreeks toegang meer tot resources in het subnet vanaf internet. U kunt indirect vanaf internet toegang krijgen tot resources in het subnet als binnenkomende verkeer het apparaat passeert dat is opgegeven door het volgende hoptype voor een route met het 0.0.0.0/0-adres voorvoegsel voordat u de resource in het virtuele netwerk bereikt. Als de route de volgende waarden voor het volgende hoptype bevat:

    • Virtueel apparaat:Het apparaat moet:

      • Toegankelijk zijn vanaf internet
      • Er is een openbaar IP-adres aan toegewezen,
      • Er is geen netwerkbeveiligingsgroepregel aan gekoppeld die communicatie naar het apparaat verhindert
      • De communicatie niet weigeren
      • U kunt het netwerkadres vertalen en doorsturen, of het verkeer proxyn naar de doelresource in het subnet en het verkeer terugsturen naar internet.
    • Virtuele netwerkgateway:als de gateway een virtuele expressRoute-netwerkgateway is, kan een on-premises apparaat met een internetverbinding het netwerkadres vertalen en doorsturen of het verkeer proxyn naar de doelresource in het subnet, via de persoonlijke peeringvan ExpressRoute.

Als uw virtuele netwerk is verbonden met een Azure VPN-gateway, koppelt u geen routetabel aan het gateway subnet met een route met een bestemming van 0.0.0.0/0. Hierdoor kan worden voorkomen dat de gateway correct werkt. Zie de vraag Waarom worden bepaalde poorten geopend op mijn VPN-gateway voor meer informatie in de veelgestelde vragen over VPN Gateway.

Zie DMZ between Azure and your on-premises datacenter for implementation details when using virtual network gateways between the Internet and Azure.

Voorbeeld van routering

Als u de concepten in dit artikel wilt illustreren, worden de volgende secties beschreven:

  • Een scenario, met vereisten
  • De aangepaste routes die nodig zijn om aan de vereisten te voldoen
  • De routetabel die bestaat voor één subnet met de standaard- en aangepaste routes die nodig zijn om aan de vereisten te voldoen

Opmerking

Dit voorbeeld is niet bedoeld als aanbevolen of aanbevolen implementatie. In plaats van deze informatie wordt alleen ter illustratie van concepten in dit artikel verstrekt.

Vereisten

  1. Implementeert twee virtuele netwerken in dezelfde Azure-regio en laat resources communiceren tussen de virtuele netwerken.

  2. Schakel een on-premises netwerk in om veilig te communiceren met beide virtuele netwerken via een VPN-tunnel via internet. U kunt ook een ExpressRoute-verbinding gebruiken, maar in dit voorbeeld wordt een VPN-verbinding gebruikt.

  3. Voor één subnet in één virtueel netwerk:

    • Dwing al het uitgaande verkeer van het subnet, behalve naar Azure Storage en binnen het subnet, om door een virtueel netwerkapparaat te stromen, voor inspectie en logboekregistratie.
    • Controleer geen verkeer tussen privé-IP-adressen binnen het subnet; toestaan dat verkeer rechtstreeks tussen alle resources doorstroomt.
    • Zet uitgaand verkeer neer dat bestemd is voor het andere virtuele netwerk.
    • Schakel uitgaande verkeer naar Azure-opslag in om rechtstreeks naar de opslag te stromen, zonder dat dit wordt geforceert via een virtueel netwerkapparaat.
  4. Alle verkeer tussen alle andere subnetten en virtuele netwerken toestaan.

Implementatie

In de volgende afbeelding ziet u een implementatie via het Azure Resource Manager-implementatiemodel dat voldoet aan de vorige vereisten:

Netwerkdiagram

Pijlen geven de verkeersstroom weer.

Routetabellen

Subnet1

De routetabel voor Subnet1 in de afbeelding bevat de volgende routes:

ID Bron Status Adres voorvoegsels Volgende hoptype Ip-adres volgende hop Door de gebruiker gedefinieerde routenaam
1 Standaard Ongeldig 10.0.0.0/16 Virtueel netwerk
2 Gebruiker Actief 10.0.0.0/16 Virtueel apparaat 10.0.100.4 Within-VNet1
3 Gebruiker Actief 10.0.0.0/24 Virtueel netwerk Within-Subnet1
4 Standaard Ongeldig 10.1.0.0/16 VNet-peering
5 Standaard Ongeldig 10.2.0.0/16 VNet-peering
6 Gebruiker Actief 10.1.0.0/16 Geen ToVNet2-1-Drop
7 Gebruiker Actief 10.2.0.0/16 Geen ToVNet2-2-Drop
8 Standaard Ongeldig 10.10.0.0/16 Virtuele netwerkgateway [X.X.X.X]
9 Gebruiker Actief 10.10.0.0/16 Virtueel apparaat 10.0.100.4 To-On-Prem
10 Standaard Actief [X.X.X.X] VirtualNetworkServiceEndpoint
11 Standaard Ongeldig 0.0.0.0/0 Internet
12 Gebruiker Actief 0.0.0.0/0 Virtueel apparaat 10.0.100.4 Standaard-NVA

Een uitleg van elke route-id volgt:

  1. Azure heeft deze route automatisch toegevoegd voor alle subnetten binnen Virtual-network-1,omdat 10.0.0.0/16 het enige adresbereik is dat is gedefinieerd in de adresruimte voor het virtuele netwerk. Als de door de gebruiker gedefinieerde route in route-id2 niet is gemaakt, wordt verkeer dat wordt verzonden naar een adres tussen 10.0.0.1 en 10.0.255.254 binnen het virtuele netwerk doorgestuurd, omdat het voorvoegsel langer is dan 0,0.0.0/0 en niet binnen de adres voorvoegsels van een van de andere routes. Azure heeft de status automatisch gewijzigd van Actief in Ongeldig,wanneer ID2, een door de gebruiker gedefinieerde route, is toegevoegd, omdat het hetzelfde voorvoegsel heeft als de standaardroute en door de gebruiker gedefinieerde routes standaardroutes overschrijven. De status van deze route is nog steeds Actief voor Subnet2,omdat de routetabel die door de gebruiker is gedefinieerd, ID2, niet is gekoppeld aan Subnet2.
  2. Azure heeft deze route toegevoegd wanneer een door de gebruiker gedefinieerde route voor het 10.0.0.0/16-adres voorvoegsel is gekoppeld aan het subnet Subnet1 in het virtuele netwerk-1 virtuele netwerk. De door de gebruiker gedefinieerde route geeft 10.0.100.4 op als het IP-adres van het virtuele apparaat, omdat het adres het persoonlijke IP-adres is dat is toegewezen aan de virtuele machine van het virtuele apparaat. De routetabel waarin deze route bestaat, is niet gekoppeld aan Subnet2,dus wordt niet weergegeven in de routetabel voor Subnet2. Deze route overschrijven de standaardroute voor het voorvoegsel 10.0.0.0/16 (ID1), waarmee het verkeer dat is geadresseerd aan 10.0.0.1 en 10.0.255.254 binnen het virtuele netwerk automatisch wordt gerouteerd via het volgende hoptype van het virtuele netwerk. Deze route bestaat om te voldoen aan vereiste 3, om al het uitgaande verkeer via een virtueel apparaat af te dwingen.
  3. Azure heeft deze route toegevoegd wanneer een door de gebruiker gedefinieerde route voor het 10.0.0.0/24-adres voorvoegsel is gekoppeld aan het subnet Subnet1. Verkeer dat is bestemd voor adressen tussen 10.0.0.1 en 10.0.0.254 blijft binnen het subnet, in plaats van te worden doorgeleid naar het virtuele apparaat dat is opgegeven in de vorige regel (ID2), omdat het een langer voorvoegsel heeft dan de ID2-route. Deze route is niet gekoppeld aan Subnet2,dus de route wordt niet weergegeven in de routetabel voor Subnet2. Met deze route wordt de ID2-route voor verkeer binnen Subnet1 effectief overgenomen. Deze route bestaat om te voldoen aan vereiste 3.
  4. Azure heeft automatisch de routes in IDs 4 en 5 toegevoegd voor alle subnetten binnen Virtual-network-1,wanneer het virtuele netwerk werd ge peered met Virtual-network-2.Virtual-network-2 heeft twee adresbereiken in de adresruimte: 10.1.0.0/16 en 10.2.0.0/16, dus Azure heeft een route voor elk bereik toegevoegd. Als de door de gebruiker gedefinieerde routes in route-IDs 6 en 7 niet zijn gemaakt, wordt het verkeer verzonden naar een adres tussen 10.1.0.1-10.1.255.254 en 10.2.0.1-10.2.255.254, omdat het voorvoegsel langer is dan 0,0.0.0/0 en niet binnen de adres voorvoegsels van een van de andere routes. Azure heeft de status automatisch gewijzigd van Actief in Ongeldig ,wanneer de routes in de IDs 6 en 7 zijn toegevoegd, omdat ze dezelfde voorvoegsels hebben als de routes in de 4 en 5-14 en door de gebruiker gedefinieerde routes, en door de gebruiker gedefinieerde routes standaardroutes overschrijven. De status van de routes in de IDs 4 en 5 is nog steeds Actief voor Subnet2,omdat de routetabel waarin de door de gebruiker gedefinieerde routes in de 6- en 7-2-2-2 zijn opgenomen, niet is gekoppeld aan Subnet2. Er is een virtuele netwerk peering gemaakt om te voldoen aan vereiste 1.
  5. Dezelfde uitleg als ID4.
  6. Azure heeft deze route en de route toegevoegd in ID7, wanneer door de gebruiker gedefinieerde routes voor de 10.1.0.0/16 en 10.2.0.0/16-adres voorvoegsels zijn gekoppeld aan het subnet Subnet1. Verkeer dat is bestemd voor adressen tussen 10.1.0.1-10.1.255.254 en 10.2.0.1-10.2.255.254 wordt door Azure in plaats van doorverrouteerd naar het peered virtual network, omdat door de gebruiker gedefinieerde routes standaardroutes overschrijven. De routes zijn niet gekoppeld aan Subnet2,dus de routes worden niet weergegeven in de routetabel voor Subnet2. De routes overschrijven de ID4- en ID5-routes voor verkeer dat Subnet1 verlaat. De ID6- en ID7-routes voldoen aan vereiste 3 om verkeer te stoppen dat is bestemd voor het andere virtuele netwerk.
  7. Dezelfde uitleg als ID6.
  8. Azure heeft deze route automatisch toegevoegd voor alle subnetten binnen Virtual-network-1 wanneer er een virtuele netwerkgateway van het VPN-type is gemaakt binnen het virtuele netwerk. Azure heeft het openbare IP-adres van de virtuele netwerkgateway toegevoegd aan de routetabel. Verkeer dat wordt verzonden naar een adres tussen 10.10.0.1 en 10.10.255.254, wordt doorgestuurd naar de virtuele netwerkgateway. Het voorvoegsel is langer dan 0.0.0.0/0 en niet binnen de adres voorvoegsels van een van de andere routes. Er is een virtuele netwerkgateway gemaakt om te voldoen aan vereiste 2.
  9. Azure heeft deze route toegevoegd wanneer een door de gebruiker gedefinieerde route voor het adres voor 10.10.0.0/16 is toegevoegd aan de routetabel die is gekoppeld aan Subnet1. Met deze route wordt ID8 overgenomen. De route stuurt al het verkeer dat bestemd is voor het on-premises netwerk naar een NVA voor controle, in plaats van verkeer rechtstreeks on-premises te routeren. Deze route is gemaakt om te voldoen aan vereiste 3.
  10. Azure heeft deze route automatisch toegevoegd aan het subnet wanneer een service-eindpunt voor een Azure-service is ingeschakeld voor het subnet. Azure routes traffic from the subnet to a public IP address of the service, over the Azure infrastructure network. Het voorvoegsel is langer dan 0.0.0.0/0 en niet binnen de adres voorvoegsels van een van de andere routes. Er is een service-eindpunt gemaakt om te voldoen aan vereiste 3, zodat verkeer dat bestemd is Azure Storage rechtstreeks naar de Azure Storage.
  11. Azure heeft deze route automatisch toegevoegd aan de routetabel van alle subnetten binnen Virtual-network-1 en Virtual-network-2. Het 0.0.0.0/0-adres voorvoegsel is het kortste voorvoegsel. Alle verkeer dat naar adressen binnen een langer adres voorvoegsel wordt verzonden, wordt gerouteerd op basis van andere routes. Standaard worden alle verkeer dat is bestemd voor andere adressen dan de adressen die in een van de andere routes zijn opgegeven, door Azure naar internet gerouteerd. Azure heeft de status automatisch gewijzigd van Actief in Ongeldig voor het subnet Subnet1 wanneer een door de gebruiker gedefinieerde route voor het 0.0.0.0/0-adres voorvoegsel (ID12) aan het subnet is gekoppeld. De status van deze route is nog steeds Actief voor alle andere subnetten binnen beide virtuele netwerken, omdat de route niet is gekoppeld aan andere subnetten binnen andere virtuele netwerken.
  12. Azure heeft deze route toegevoegd wanneer een door de gebruiker gedefinieerde route voor het 0.0.0.0/0-adres voorvoegsel is gekoppeld aan het subnet Subnet1. De door de gebruiker gedefinieerde route geeft 10.0.100.4 op als het IP-adres van het virtuele apparaat. Deze route is niet gekoppeld aan Subnet2,dus de route wordt niet weergegeven in de routetabel voor Subnet2. Alle verkeer voor elk adres dat niet is opgenomen in de adres voorvoegsels van een van de andere routes, wordt naar het virtuele apparaat verzonden. De toevoeging van deze route heeft de status van de standaardroute voor het 0.0.0.0/0-adresvoorvoegsel (ID11) gewijzigd van Actief in Ongeldig voor Subnet1,omdat een door de gebruiker gedefinieerde route een standaardroute overschrijven. Deze route bestaat om aan de derde vereiste te voldoen.

Subnet2

De routetabel voor Subnet2 in de afbeelding bevat de volgende routes:

Bron Status Adres voorvoegsels Volgende hoptype Ip-adres volgende hop
Standaard Actief 10.0.0.0/16 Virtueel netwerk
Standaard Actief 10.1.0.0/16 VNet-peering
Standaard Actief 10.2.0.0/16 VNet-peering
Standaard Actief 10.10.0.0/16 Virtuele netwerkgateway [X.X.X.X]
Standaard Actief 0.0.0.0/0 Internet
Standaard Actief 10.0.0.0/8 Geen
Standaard Actief 100.64.0.0/10 Geen
Standaard Actief 192.168.0.0/16 Geen

De routetabel voor Subnet2 bevat alle door Azure gemaakte standaardroutes en de optionele VNet-peering- en Virtual network gateway-optionele routes. Azure heeft de optionele routes toegevoegd aan alle subnetten in het virtuele netwerk wanneer de gateway en peering zijn toegevoegd aan het virtuele netwerk. Azure heeft de routes voor de adresvoegsels 10.0.0.0/8, 192.168.0.0/16 en 100.64.0.0/10 uit de subnet1-routetabel verwijderd wanneer de door de gebruiker gedefinieerde route voor het 0.0.0.0.0/0-adres voorvoegsel is toegevoegd aan Subnet1 .

Volgende stappen