中心辐射型网络拓扑

本文介绍如何在Azure中设计中心辐射型网络。 中心虚拟网络托管共享服务，而隔离的辐射虚拟网络托管单个工作负荷。

本文介绍的内容

本文介绍中心虚拟网络共享服务、辐射隔离和路由模式（标准、直接对等互连和基于标记）。 它还涵盖了用于混合连接的网关传递，以及使用 Azure Virtual Network Manager 扩展中心辐射型拓扑。

谁需要本文

如果满足以下一个或多个条件，请阅读本文：

• 对于多个工作负荷，需要共享网络服务，例如防火墙、DNS、Bastion、VPN 网关或 ExpressRoute。
• 你想要集中流量检查、路由控制或管理，而不是在每个 VNet 中重复这些服务。
• 需要一个可重复的拓扑，用于将共享平台服务与工作负荷 VNet 分离。
• 在将您的拓扑标准化之前，您需要先将中心辐射型拓扑与其他传输模型进行比较。

如果只有单一工作负载且没有共享服务需求，则应改为从平面网络拓扑开始。

Azure服务和功能

下表列出了支持中心辐射型拓扑的Azure服务和功能：

工作原理

在中心辐射拓扑中：

1. 中心虚拟网络充当连接的中心点。 它包含共享网络服务，例如防火墙、网关和 Bastion 主机。
2. 辐射虚拟网络 与中心建立对等互连。 每个分支托管工作负荷：应用程序、团队环境或隔离服务。
3. VNet 对等互连是 非传递 的。 辐射分支可以访问中心，但除非在它们之间配置路由或直接对等互连，否则各辐射分支之间不能通过中心直接互相访问。

枢纽虚拟网络中包含什么

使用下表确定要部署到中心的服务：

中心子网布局

设计良好的中心虚拟网络通常包括以下子网：

有关详细的子网大小调整指南，请参阅 VNet 和子网。

如何选择变体

中心辐射型有三种常见变体。 根据隔离和通信要求进行选择：

标准中心辐射型

此变体是最常见的。 所有分支网络之间的流量都会通过中心防火墙进行检查。 各辐射节点只能通过中心节点进行通信，绝不直接相互通信。

路由模式： 将用户定义的路由 (UDR) 应用于每个分支子网，其中默认路由 (0.0.0.0/0) 指向中心防火墙的私有 IP 地址。 这会强制所有出站流量（包括辐射网之间的流量）都经由防火墙，以进行日志记录和过滤。

对等互连限制： 单个中心虚拟网络最多支持 500 个对等互连连接（标准平台限制）。 如果使用 Azure Virtual Network Manager（AVNM）并采用中心辐射型连接配置，则该限制会提高到 1,000 个辐射网络。

采用直接对等互连的中心辐射型拓扑

在某些体系结构中，特定的辐射对需要低延迟通信，而无需遍历中心防火墙。 对于这些情况，请在两个辐射虚拟网络之间建立直接的 VNet 对等互连，或使用 AVNM 连接组。

在以下情况下使用直接辐射对等互连：

• 两个工作负载交换高吞吐量数据（例如各分支之间的数据库复制）。
• 对于特定的数据路径，防火墙这一跳的延迟不可接受。
• 你确认直接对等互连流量会绕过中央防火墙的检查。

邮票模式（完全隔离）

Stamps 模式是需要严格爆破半径隔离的方案的替代方法。 每个工作负荷部署到完全独立的虚拟网络中，无需中心，也不会与其他工作负荷建立对等互连。

何时使用 Stamps：

• 监管合规要求工作负载之间不得存在网络路径。
• 多租户 SaaS，其中每个租户都有一个独立的堆栈。
• 最大程度的故障隔离：一个实例中的故障无法传播到其他实例。

示例：多租户 SaaS 隔离

SaaS 提供商将每个企业客户托管在独立的专用部署单元中。 每个标记都包含自己的 VNet（10.x.0.0/16）、应用程序网关、计算层和数据库。 各戳记之间不存在 VNet 对等互连，因此，租户 A 的戳记中配置错误的 NSG 或已遭入侵的工作负载无法通过网络访问租户 B 的资源。 提供程序通过Azure 资源管理器模板管理戳记，并将其部署到单独的资源组或大型租户的单独订阅中。 如果需要，跨租户数据交换使用共享Azure 服务总线命名空间。 每个标记都通过专用终结点访问此命名空间。

权衡：

• 没有共享服务。 每个 stamp 都需要自己的防火墙、网关和堡垒主机（如有需要），因此会增加成本。
• 不通过专用网络进行工作负荷间通信。
• 操作开销增加，因为你管理独立网络而不是集中式基础结构。
• 成本会随实例数量线性增长，因为无法实现共享服务带来的成本节约。

如果你的工作负载需要任何共享服务，或需要在不同工作负载之间进行通信，请改用标准中心辐射型架构。

辐条到辐条通信模式

由于 VNet 对等互连是非传递性的，因此辐射虚拟网络之间的通信需要显式路由。 本部分介绍流量如何通过中心防火墙在各辐射网络之间流动。

流量路径：分支 A 到分支 B，经由中心防火墙

以下序列描述数据包如何从辐射 A 中的 VM（10.1.0.4）传送到辐射 B 中的 VM（10.2.0.4）：

1. 辐射 A VM 发送一个发往 10.2.0.4 的数据包。 VM 的有效路由表包含具有 （Azure 防火墙 专用 IP） 的 UDR 0.0.0.0/0 → 10.0.1.4 。
2. 数据包通过 VNet 对等互连链路从辐射网络 A 传输到中心 VNet。 对等连接使流量能够到达防火墙的子网。
3. Azure 防火墙在其内部接口上接收数据包。 它会根据优先级顺序根据网络规则和应用程序规则评估数据包。
4. 如果规则允许流，防火墙会将数据包转发到 10.2.0.4。 数据包通过 Hub 到 Spoke-B 的对等互连链路。
5. 辐条 B 虚拟机接收到该数据包。 返回流量反向遵循相同的路径。 辐条 B 的 UDR 通过防火墙将响应发回。

配置路由表

应用这些路由表以启用上述模式：

1. 为分支子网创建路由表。 如果要防止本地网络路由覆盖用户定义的路由，请关闭 BGP 路由传播。
2. 添加默认路由（0.0.0.0/0），将下一跳类型设置为 VirtualAppliance，并将下一跳地址设置为 Azure 防火墙 专用 IP。
3. 将路由表关联到每个需要访问其他辐条或 Internet 的辐条子网。
4. 创建允许特定辐射到辐射流量的防火墙网络规则。 例如，允许 10.1.0.0/16 → 10.2.0.0/16 通过 443 和 1433 端口。

替代方案：用于直接 Spoke 到 Spoke 的 AVNM 连接组

如果特定辐射网络之间不需要进行防火墙流量检查，AVNM 连接组可提供一种网状连接模型。 同一连接的组中的辐射直接通信，而无需遍历中心。 这样可以降低延迟和防火墙吞吐量要求，但会绕过集中检查。

网关中转

网关传输允许所有辐射共享在中心内部署的单个 VPN 或 ExpressRoute 网关。 如果没有网关传递，每个辐射网络都需要自己的网关才能访问本地网络。

配置步骤

1. 在中心GatewaySubnet。
2. 在中心端对等连接上（中心 → 辐射端）：启用 允许网关传递。
3. 在辐射网络端对等互连连接上（辐射网络 → 中心网络）：启用 “使用远程网关”。
4. 验证路由传播。 配置完成后，检查辐射端虚拟机网卡上的有效路由。 路由表显示了通过中心网关学习到的本地部署前缀，其下一跃点类型为 VNetGlobalPeering 或 VNetPeering。

配置后，由中心网关学习到的路由（例如通过 ExpressRoute 获取的本地前缀）会自动传播到辐射网络的路由表中。

网关传输限制

• 网关传输支持除基本层外的所有 VPN 网关 层级。 如果使用基本VPN 网关，则无法将其与对等虚拟网络共享。
• 辐条虚拟网络只能使用一个远程网关。 不能在与多个中心节点建立对等互连的辐射网络上启用 Use remote gateways。
• 如果使用 UDR 来强制流量通过防火墙，请确保 UDR 不会无意中替代网关传播的本地路由。 根据需要为本地前缀设置更具体的路由。

Azure Virtual Network Manager 大规模应用

当您的环境扩展到超过少数几个辐射网络时，手动管理对等连接和路由表会变得复杂。 AVNM 为中心辐射型拓扑提供自动化支持：

当您需要跨多个区域管理中心辐射拓扑，或需要在新的辐射虚拟网络上线时实现动态成员资格时，AVNM 尤其有价值。

缩放注意事项

随着中心-辐射拓扑的扩展，请考虑以下平台限制和组织模式：

对等互联和连接限制

订阅组织

• 对于拥有 10 个以上辐射型网络的环境，请将各个辐射型网络按工作负载拆分到不同的订阅中。 这会隔离每个工作负荷团队的计费、RBAC 和配额限制。
• 对中心 VNet、网关和防火墙使用专用连接订阅。 这是Azure登陆区域（平台订阅）建议的模式。
• 将订阅归入同一管理组下，以便 AVNM 能够使用 Azure Policy 条件跨多个订阅动态发现和管理辐射虚拟网络。

使用 Azure Policy 强制实施拓扑

使用Azure Policy防止配置偏移：

• 拒绝与非中心 VNet 进行对等互连。 在管理组层级分配一项策略，阻止创建 VNet 对等互连，除非目标是指定的中心 VNet。
• 需要 UDR 关联。 分配一个策略，用于审核（或拒绝）辐射子网，而不使用包含路由的 0.0.0.0/0 → Firewall 路由表。
• 强制执行 AVNM 组成员资格。 使用基于标记的 AVNM 中的动态成员身份规则（例如）， NetworkRole:Spoke以便自动注册新的 VNet。

从扁平架构到中心辐射型架构的迁移路径

如果从 平面网络拓扑 开始，并且环境已发展为需要共享服务或工作负荷间分段，请遵循以下迁移路径：

步骤 1：规划中心 VNet

1. 为中心网络分配一个新的地址空间（例如，10.0.0.0/16），使其不与现有的扁平 VNet 重叠。
2. 确定要部署的共享服务：防火墙、网关、Bastion、DNS 解析程序。
3. 根据 中心子网布局表调整中心子网 的大小。

步骤 2：在中心部署共享服务

1. 创建中心 VNet 并部署Azure 防火墙（或所选 NVA）。
2. 如果需要混合连接，请部署 VPN/ExpressRoute 网关。
3. 部署Azure Bastion以确保 VM 安全访问。
4. 如果使用自定义 DNS，请配置专用 DNS解析程序。

步骤 3：将工作负载迁移到辐射网络

1. 创建辐射型 VNet，并为每个工作负荷分配新的地址空间。 如果无法重新规划 IP 地址，只要这些现有 IP 地址范围不与中心网络重叠，就可以保留它们。
2. 将每个分支对等互连到中心。 在中心端启用网关传递，并在分支端使用远程网关。
3. 使用指向中心防火墙的默认路由将 UDR 应用到分支子网。
4. 将虚拟机和服务从扁平 VNet 迁移到相应的辐射型虚拟网络中，或将其重新部署到其中。 根据工作负荷复杂性，使用Azure 资源转移器或重新部署。
5. 创建防火墙规则 ，以允许之前在平面 VNet 中允许的辐射间和辐射到 Internet 的流量模式。

步骤 4：停用平面 VNet

1. 验证是否可通过新的中心辐射型拓扑访问到所有工作负载。
2. 如果专用 IP 地址已更改，请更新 DNS 记录。
3. 在完成所有流量的迁移并验证后，请删除旧的平面 VNet。

何时应改为考虑使用 虚拟 WAN

如果中心辐射型拓扑的复杂性越来越大，请评估Azure 虚拟 WAN是否更合适：

有关详细比较，请参阅Azure 虚拟 WAN拓扑。

设计注意事项

先决条件

在设计轮辐式网络之前：

• 完成 虚拟网络和子网计划。 了解需要多少个辐射分支，以及每个辐射分支需要哪些子网。
• 定义 IP 地址方案。 中心和分支地址空间不得重叠。
• 请注意，VNet 对等互连是非传递性的：辐射虚拟网络不会通过中心获得与其他辐射虚拟网络的连接。

安全注意事项

中心辐射拓扑将安全实施集中在中心节点。 应用以下原则：

• 将所有辐射分支流量经由中心防火墙路由。 将 UDR 与指向防火墙的默认路由配合使用。 此配置可确保防火墙检查并记录每一条分支到分支以及分支到互联网的流量。
• 在辐射子网上使用 NSG 作为深度防御。 即使有中央防火墙，辐射型子网上的网络安全组仍可提供额外的一层网络分段保护。 在子网级别拒绝意外横向流量。 有关 NSG 设计指南，请参阅 网络安全组和应用程序安全组。
• 谨慎启用网关传输。 网关中转将本地路由提供给所有辐射网络。 确保防火墙规则已考虑到扩展后的网络连通性。
• 删除辐射网络中的 VM 上的公共 IP 地址。 中心内的Azure Bastion提供安全管理访问权限，而无需向 Internet 公开 VM。
• 将每个辐射网络都视为一个安全边界。 默认情况下，不同辐射网络中的工作负载彼此保持隔离。 辐射网络之间的连通需要配置显式的路由和防火墙规则。

相关文章

• 平面网络拓扑：对于不需要共享服务的单个工作负荷
• Azure 虚拟 WAN拓扑：用于大规模托管路由和连接
• 多区域网络：适用于跨多个Azure区域的工作负荷
• VNet 和子网：中心组件的子网大小调整
• IP 地址规划：中心和分支的 CIDR 规划
• 网络安全组和应用程序安全组：辐条子网的纵深防御

Learn more

• Azure 中的枢纽-辐射网络拓扑
• 虚拟网络对等互连
• Azure 防火墙概述
• Azure 虚拟网络管理器概述
• 用于对等互连的VPN 网关传输
• Azure Bastion和VNet对等互连

后续步骤