Topologia de rede hub and spoke no Azure

Azure
Firewall
Rede Virtual
Bastion
Gateway de VPN

Esta arquitetura de referência detalha uma topologia falada em Azure.This reference architecture details a hub-spoke topology in Azure. A rede virtual do hub funciona como um ponto central de conectividade para muitas redes virtuais faladas.The hub virtual network acts as a central point of connectivity to many spoke virtual networks. O hub também pode ser usado como ponto de conectividade para as suas redes no local.The hub can also be used as the connectivity point to your on-premises networks. As redes virtuais faladas estão em pares com o hub e podem ser usadas para isolar cargas de trabalho.The spoke virtual networks peer with the hub and can be used to isolate workloads.

Os benefícios da utilização de um hub e configuração de fala incluem poupança de custos, superar limites de subscrição e isolamento de carga de trabalho.The benefits of using a hub and spoke configuration include cost savings, overcoming subscription limits, and workload isolation.

Topologia hub-and-spoke no Azure

Implantação de referênciaReference deployment

Esta implementação inclui uma rede virtual de hub e dois porta-vozes.This deployment includes one hub virtual network and two peered spokes. Um hospedeiro Azure Firewall e Azure Bastion também estão implantados.An Azure Firewall and Azure Bastion host are also deployed. Opcionalmente, a implementação pode incluir máquinas virtuais na primeira rede de raios e uma porta de entrada VPN.Optionally, the deployment can include virtual machines in the first spoke network and a VPN gateway.

Utilize o seguinte comando para criar um grupo de recursos para a implantação.Use the following command to create a resource group for the deployment. Clique no botão Tente-o para utilizar uma concha incorporada.Click the Try it button to use an embedded shell.

az group create --name hub-spoke --location eastus

Executar o seguinte comando para implantar o hub e a configuração da rede de raios, os olhos VNet entre o hub e o spoke, e um anfitrião de BastiãoRun the following command to deploy the hub and spoke network configuration, VNet peerings between the hub and spoke, and a Bastion host

az deployment group create --resource-group hub-spoke \
    --template-uri https://raw.githubusercontent.com/mspnp/samples/master/solutions/azure-hub-spoke/azuredeploy.json

Para obter informações detalhadas e opções de implementação adicionais, consulte os modelos ARM utilizados para implementar esta solução.For detailed information and additional deployment options, see the ARM Templates used to deploy this solution.

Casos de utilizaçãoUse cases

Utilizações típicas desta arquitetura:Typical uses for this architecture include:

  • Cargas de trabalho implementadas em ambientes diferentes, tal como o desenvolvimento, o teste e a produção, que precisam de serviços partilhados, tal como DNS, IDS, NTP ou AD DS.Workloads deployed in different environments, such as development, testing, and production, that require shared services such as DNS, IDS, NTP, or AD DS. Os serviços partilhados são colocados na rede virtual do hub, enquanto cada ambiente é implantado para um discurso para manter o isolamento.Shared services are placed in the hub virtual network, while each environment is deployed to a spoke to maintain isolation.
  • Cargas de trabalho que não requerem conectividade entre si, mas exigem acesso a serviços partilhados.Workloads that do not require connectivity to each other but require access to shared services.
  • Empresas que precisam de um controlo central sobre os aspetos de segurança, por exemplo, uma firewall no hub como uma rede de perímetro, e uma gestão separada para as cargas de trabalho em cada spoke.Enterprises that require central control over security aspects, such as a firewall in the hub as a DMZ, and segregated management for the workloads in each spoke.

ArquiteturaArchitecture

A arquitetura é composta pelos seguintes componentes.The architecture consists of the following components.

Rede virtual do hub: A rede virtual do hub é o ponto central de conectividade com a sua rede de instalações e um local para hospedar serviços que podem ser consumidos pelas diferentes cargas de trabalho acolhidas nas redes virtuais faladas.Hub virtual network: The hub virtual network is the central point of connectivity to your on-premises network and a place to host services that can be consumed by the different workloads hosted in the spoke virtual networks.

Redes virtuais faladas: As redes virtuais faladas são usadas para isolar cargas de trabalho nas suas próprias redes virtuais, geridas separadamente de outros porta-vozes.Spoke virtual networks: Spoke virtual networks are used to isolate workloads in their own virtual networks, managed separately from other spokes. Cada carga de trabalho pode incluir várias camadas com várias sub-redes ligadas através de balanceadores de carga do Azure.Each workload might include multiple tiers, with multiple subnets connected through Azure load balancers.

Observação de rede virtual: Duas redes virtuais podem ser ligadas através de uma ligação de espreitar.Virtual network peering: Two virtual networks can be connected using a peering connection. As ligações de perspeção são ligações não transitivas e de baixa latência entre redes virtuais.Peering connections are non-transitive, low latency connections between virtual networks. Uma vez espreitadas, as redes virtuais trocam tráfego utilizando a espinha dorsal do Azure sem a necessidade de um router.Once peered, the virtual networks exchange traffic by using the Azure backbone without the need for a router.

Bastion Host: O Azure Bastion permite-lhe ligar-se de forma segura a uma máquina virtual utilizando o seu navegador e o portal Azure.Bastion Host: Azure Bastion lets you securely connect to a virtual machine using your browser and the Azure portal. Um anfitrião Azure Bastion é implantado dentro de uma Rede Virtual Azure e pode aceder a máquinas virtuais no VNet, ou máquinas virtuais em VNets.An Azure Bastion host is deployed inside an Azure Virtual Network and can access virtual machines in the VNet, or virtual machines in peered VNets.

Firewall Azure: Azure Firewall é uma firewall gerida como um serviço.Azure Firewall: Azure Firewall is a managed firewall as a service. A instância firewall é colocada na sua própria sub-rede.The Firewall instance is placed in its own subnet.

Gateway da rede virtual VPN ou gateway do ExpressRoute.VPN virtual network gateway or ExpressRoute gateway. O gateway de rede virtual permite que a rede virtual se conecte ao dispositivo VPN, ou circuito ExpressRoute, utilizado para a conectividade com a sua rede no local.The virtual network gateway enables the virtual network to connect to the VPN device, or ExpressRoute circuit, used for connectivity with your on-premises network. Para obter mais informações, veja Connect an on-premises network to a Microsoft Azure virtual network (Ligar uma rede no local a uma rede virtual do Microsoft Azure).For more information, see Connect an on-premises network to a Microsoft Azure virtual network.

Dispositivo VPN.VPN device. Um dispositivo ou serviço que fornece conectividade externa à rede no local.A device or service that provides external connectivity to the on-premises network. O dispositivo VPN pode ser um dispositivo de hardware ou uma solução de software como o Serviço de Encaminhamento e Acesso Remoto (RRAS) no Windows Server 2012.The VPN device may be a hardware device or a software solution such as the Routing and Remote Access Service (RRAS) in Windows Server 2012. Para obter mais informações, consulte sobre os dispositivos VPN para ligações VPN Gateway site-to-site.For more information, see About VPN devices for Site-to-Site VPN Gateway connections.

RecomendaçõesRecommendations

As seguintes recomendações aplicam-se à maioria dos cenários.The following recommendations apply to most scenarios. Siga-as, a não ser que tenha requisitos específicos que as anulem.Follow these recommendations unless you have a specific requirement that overrides them.

Grupos de recursosResource groups

A solução de amostra incluída neste documento utiliza um único grupo de recursos Azure.The sample solution included in this document uses a single Azure resource group. Na prática, o hub e cada um dos discursos podem ser implementados em diferentes grupos de recursos e até em diferentes subscrições.In practice, the hub and each spoke can be implemented in different resource groups and even different subscriptions. Ao consultar redes virtuais em diferentes subscrições, ambas as subscrições podem ser associadas ao mesmo ou diferente inquilino do Azure Ative Directory.When you peer virtual networks in different subscriptions, both subscriptions can be associated with the same or different Azure Active Directory tenant. Isto permite uma gestão descentralizada de cada carga de trabalho, partilhando serviços mantidos no centro.This allows for decentralized management of each workload while sharing services maintained in the hub.

Rede virtual e GatewaySubnetVirtual network and GatewaySubnet

Crie uma sub-rede designada GatewaySubnet, com um intervalo de endereços de /27.Create a subnet named GatewaySubnet, with an address range of /27. O portal de rede virtual requer esta sub-rede.The virtual network gateway requires this subnet. A alocação de 32 endereços para esta sub-rede ajudará a evitar que atinja as limitações de tamanho do gateway no futuro.Allocating 32 addresses to this subnet will help to prevent reaching gateway size limitations in the future.

Para obter mais informações sobre como configurar o gateway, veja as seguintes arquiteturas de referência, consoante o tipo de ligação:For more information about setting up the gateway, see the following reference architectures, depending on your connection type:

Para uma maior disponibilidade, pode utilizar o ExpressRoute e uma VPN para a ativação pós-falha.For higher availability, you can use ExpressRoute plus a VPN for failover. Veja Ligar uma rede no local ao Azure através do ExpressRoute com a ativação pós-falha de VPN.See Connect an on-premises network to Azure using ExpressRoute with VPN failover.

Uma topologia falada por hub também pode ser usada sem um gateway se você não precisar de conectividade com a sua rede no local.A hub-spoke topology can also be used without a gateway if you don't need connectivity with your on-premises network.

Peering de rede virtualVirtual network peering

O espreitamento de rede virtual é uma relação não transitiva entre duas redes virtuais.Virtual network peering is a non-transitive relationship between two virtual networks. Se precisar que os spokes se liguem entre si, considere adicionar uma ligação peering separada entre esses spokes.If you require spokes to connect to each other, consider adding a separate peering connection between those spokes.

No entanto, suponha que têm vários porta-vozes que precisam de se relacionar uns com os outros.However, suppose you have several spokes that need to connect with each other. Nesse caso, ficará sem possíveis ligações de observação muito rapidamente devido à limitação do número de espreitadores de rede virtuais por rede virtual.In that case, you will run out of possible peering connections very quickly due to the limitation on the number of virtual network peerings per virtual network. (Para obter mais informações, consulte os limites de rede.(For more information, see Networking limits. Neste cenário, considere a utilização de rotas definidas pelo utilizador (UDRs) para forçar o tráfego destinado a um porta-voz a ser enviado para a Azure Firewall ou um aparelho virtual de rede que atua como router no centro.In this scenario, consider using user-defined routes (UDRs) to force traffic destined to a spoke to be sent to Azure Firewall or a network virtual appliance acting as a router at the hub. Tal permitirá que os spokes se liguem entre si.This will allow the spokes to connect to each other.

Também pode configurar raios para usar a porta do hub para comunicar com redes remotas.You can also configure spokes to use the hub gateway to communicate with remote networks. Para permitir que o tráfego de gateway flua de falei para o hub e ligar-se a redes remotas, deve:To allow gateway traffic to flow from spoke to hub and connect to remote networks, you must:

  • Configure a ligação de espreitar no centro para permitir o trânsito de gateway.Configure the peering connection in the hub to allow gateway transit.
  • Configure a ligação de espreitar em cada um dos portais de observação para utilizar gateways remotos.Configure the peering connection in each spoke to use remote gateways.
  • Configure todas as ligações de observação para permitir o tráfego reencaminhado.Configure all peering connections to allow forwarded traffic.

Para obter informações adicionais sobre a criação de um espremia de rede virtual, consulte crie os pares VNet.For additional information on creating virtual network peering, see Create VNet peerings.

Conectividade do spokeSpoke connectivity

Se necessitar de conectividade entre os raios, considere a implantação de um Azure Firewall ou outro aparelho virtual de rede e crie rotas para encaminhar o tráfego da fala para o aparelho virtual firewall/rede, que pode então encaminhar para o segundo falou.If you require connectivity between spokes, consider deploying an Azure Firewall or other network virtual appliance and create routes to forward traffic from the spoke to the firewall / network virtual appliance, which can then route to the second spoke. Neste cenário, tem de configurar as ligações de peering para permitir tráfego reencaminhado.In this scenario, you must configure the peering connections to allow forwarded traffic.

Encaminhamento entre porta-vozes usando Azure Firewall

Você também pode usar uma porta de entrada VPN para encaminhar o tráfego entre os raios, embora isso tenha impacto na latência e na produção.You can also use a VPN gateway to route traffic between spokes, although this will impact latency and throughput. Consulte o trânsito de gateway VPN configurado para procurar detalhes de configuração na rede virtual.See Configure VPN gateway transit for virtual network peering for configuration details.

Considere quais os serviços partilhados no centro para garantir as escalas do hub para um maior número de porta-vozes.Consider what services are shared in the hub to ensure the hub scales for a larger number of spokes. Por exemplo, se o seu hub fornecer serviços de firewall, considere os limites de largura de banda da sua solução de firewall ao adicionar vários raios.For instance, if your hub provides firewall services, consider your firewall solution's bandwidth limits when adding multiple spokes. Pode querer mover alguns destes serviços partilhados para um segundo nível de hubs.You might want to move some of these shared services to a second level of hubs.

Considerações operacionaisOperational considerations

Considere o seguinte ao implementar e gerir o hub e as redes de fala.Consider the following when deploying and managing hub and spoke networks.

Monitorização de redeNetwork monitoring

Utilize o Azure Network Watcher para monitorizar e resolver problemas dos componentes da rede, ferramentas como o Traffic Analytics mostrar-lhe-ão os sistemas nas suas redes virtuais que geram mais tráfego para que possa identificar visualmente estrangulamentos antes que se degenerem em problemas.Use Azure Network Watcher to monitor and troubleshoot the network components, tools like Traffic Analytics will show you the systems in your virtual networks that generate the most traffic so that you can visually identify bottlenecks before they degenerate into problems. O Network Performance Manager é a ferramenta certa para monitorizar informações sobre os circuitos Microsoft ExpressRoute.Network Performance Manager is the right tool to monitor information about Microsoft ExpressRoute circuits. O diagnóstico VPN é outra ferramenta que pode ajudar a resolver as ligações VPN site-to-site que ligam as suas aplicações aos utilizadores no local.VPN diagnostics is another tool that can help troubleshoot site-to-site VPN connections connecting your applications to users on-premises.

Para mais informações, consulte o Observador de Redes Azure no Quadro de Well-Architected Azure.For more information, see Azure Network Watcher in the Azure Well-Architected Framework.

Considerações de custosCost considerations

Considere os seguintes itens relacionados com os custos ao implementar e gerir o hub e as redes de fala.Consider the following cost-related items when deploying and managing hub and spoke networks.

Azure FirewallAzure Firewall

Nesta arquitetura, um Azure Firewall é implantado na rede hub.In this architecture, an Azure Firewall is deployed in the hub network. Quando usado como solução partilhada e consumido por múltiplas cargas de trabalho, um Azure Firewall pode economizar até 30-50% em relação a outros aparelhos virtuais de rede.When used as a shared solution and consumed by multiple workloads, an Azure Firewall can save up to 30-50% over other network virtual appliance. Para obter mais informações, consulte O Azure Firewall vs aparelho virtual de rede.For more information, see Azure Firewall vs network virtual appliance.

Peering de rede virtualVirtual network peering

Pode utilizar a rede virtual que espreita para encaminhar o tráfego entre redes virtuais utilizando endereços IP privados.You can use virtual network peering to route traffic between virtual networks by using private IP addresses. Aqui estão alguns pontos:Here are some points:

  • O tráfego de entradas e saídas é carregado em ambas as extremidades das redes.Ingress and egress traffic is charged at both ends of the peered networks.
  • Diferentes zonas têm taxas de transferência diferentes.Different zones have different transfer rates.

Por exemplo, a transferência de dados de uma rede virtual na zona 1 para outra rede virtual na zona 2, incorrerá na taxa de transferência de saída para a zona 1 e taxa de entrada para a zona 2.For instance, data transfer from a virtual network in zone 1 to another virtual network in zone 2, will incur outbound transfer rate for zone 1 and inbound rate for zone 2. Para obter mais informações, consulte os preços da rede Virtual.For more information, see Virtual network pricing.