多区域网络设计

本文介绍如何设计跨多个区域的Azure网络。 多区域网络针对区域中断提供高可用性，为地理分布的用户提供较低的延迟，并支持法规数据驻留要求。

本文介绍的内容

本文介绍区域与区域冗余、跨区域路由策略、多区域部署的中心拓扑选择、主动-主动与主动-被动故障转移模式以及复制延迟注意事项。

谁需要本文

如果你的环境符合以下任一条件，请阅读本文：

• 您的工作负载需要具备灾难恢复保护，以防整个 Azure 区域发生故障。
• 可在多个地理位置为用户提供服务，并需要最大程度地减少网络延迟。
• 法规或合规性要求要求要求数据保留在特定的地理边界内。
• 业务连续性目标定义了单个区域无法单独实现的恢复时间目标（RTO）。

如果你的工作负载在单个区域中运行，并且区域冗余部署能够满足你的可用性要求，那么你目前可能还不需要多区域设计。 先在一个区域中采用中心辐射拓扑或虚拟 WAN，之后再扩展。

Azure服务和功能

下表列出了启用多区域网络的Azure服务和功能：

为什么多区域需要多个虚拟网络

虚拟网络（VNet）跨越单个区域。 该 VNet 中的子网跨越区域中的所有可用性区域，但 VNet 本身无法跨区域边界扩展。 因此，多区域网络意味着部署多个 VNet，每个区域一个或多个，并使用跨区域服务连接它们。

此基本约束可塑造每个多区域设计：

• 每个区域都需要自己的 VNet 地址空间（为进行对等互连，不得与其他区域的地址空间重叠）。
• 跨区域流量需要明确的连接机制：全局 VNet 对等互连、虚拟 WAN 中心间互连或基于网关的路由。
• 全局负载均衡服务（流量管理器或 Front Door）将用户定向到正确的区域部署。

有关子网和地址规划指南，请参阅 IP 地址规划。

可用性区域与区域冗余

在设计多区域拓扑之前，请了解Azure中的两个基础结构冗余级别：

从区域冗余开始。 区域冗余部署可防止最常见的故障方案（单一数据中心问题），而无需多区域路由的复杂性。 当您的企业需要防范区域性大范围中断，或需要为地理上分散的用户提供服务时，请启用区域冗余。

区域冗余网络服务参考

下表显示了核心网络服务的区域冗余部署选项。 在运行工作负荷的每个区域中部署这些内容：

如何选择跨区域流量路由方法

使用以下决策表选择正确的服务，以便在区域之间路由流量：

如何选择多区域中心拓扑

决定跨区域扩展网络后，请选择用于管理跨区域连接的中心模式：

有关单一区域内中心辐射型与虚拟 WAN 的详细比较，请参阅中心辐射型拓扑和虚拟 WAN。

设计注意事项

先决条件

在设计多区域网络之前，请确保具备：

• 部署并测试了单区域拓扑。 从中心辐射拓扑或虚拟 WAN开始。
• 已定义的高可用性和灾难恢复要求：RTO、恢复点目标（RPO）以及合规要求。
• 跨所有区域创建了一个不重叠的 IP 地址计划。 请参阅 IP 地址规划。
• 确定了哪些工作负载需要区域冗余，哪些仅需要可用区冗余。

主动-主动型与主动-被动型部署模式

多区域部署模型确定流量在正常操作和区域性故障期间如何流动：

Active-active

这两个区域同时承载流量。 全局负载均衡器（例如流量管理器或 Front Door）基于邻近度、性能或权重跨区域分配请求。

何时使用主动-主动：

• 应用程序可以在没有特定于区域的状态依赖项的任何区域中处理请求。
• 你需要尽可能低的 RTO（故障转移是即时的，因为健康区域已经在承载流量）。
• 您希望在正常运行期间同时使用两个区域的容量（以提高成本效率）。

网络注意事项：

• 这两个区域必须具有相同的网络基础结构，包括防火墙、网关和负载均衡器。
• 区域之间的数据复制必须使两个部署保持最新状态。
• DNS TTL 和运行状况探测间隔决定了流量管理器移动流量的速度。 Front Door 提供更快速的连接级故障转移。

Active-passive

一个区域（主要）处理所有流量。 次要区域保持就绪状态，但在发生故障转移事件之前不会为用户请求提供服务。

何时使用主动-被动：

• 应用程序具有严格的写入区域要求或无法轻松复制状态。
• 成本限制可防止同时在两个区域中运行完整容量。
• 您的 RTO 容忍度允许留出激活辅助区域所需的时间。

网络注意事项：

• 被动区域的网络基础设施在发生故障转移前可采用较低层级或较低容量的配置。
• 自动故障转移需要为健康探测设置适当的阈值（避免频繁切换）。
• 定期测试故障转移。 如果未验证，被动区域中的网络配置可能会偏移。
• 使路由表和 NSG 规则在区域之间保持同步。 使用基础结构即代码模板确保被动区域与主要区域的安全状况匹配。
• 在被动区域中预预配 VPN 或 ExpressRoute 网关。 网关预配可能需要 20-45 分钟。 对于大多数 RTO 目标来说，这太慢了。

如何在主动-主动和主动-被动网络之间进行选择

主动-主动和主动-被动网络之间的选择会影响网络大小调整、成本和操作复杂性：

数据复制和延迟

跨区域复制引入了影响应用程序设计的网络延迟。 Azure 在同一地理区域内的区域之间，针对相近区域对（例如，中国东部 2 到中国东部 2）的往返延迟通常为 1-10 毫秒，而对于距离较远的区域对（例如，中国东部 2 到中国北部），通常为 30-70 毫秒。 跨大西洋或跨太平洋的区域对之间的延迟可能超过 100 毫秒。

关键设计注意事项：

• 复制拓扑： 仅对延迟较低（< 10 毫秒以下）的区域对选择同步复制。 对远程对使用异步复制，以避免应用程序性能下降。
• 带宽规划： 估算复制吞吐量需求，并将全局 VNet 对等互连的每 GB 数据传输成本考虑在内。 远程区域之间的大容量复制可能会产生大量出口费用。
• 冲突解决： 具有双向写入的活动-主动模式需要在应用程序或数据库层采用冲突解决策略。 网络提供连接，但应用程序必须处理写入冲突。
• PaaS 复制的专用终结点：在跨区域复制Azure SQL、Cosmos DB 或存储时，请使用每个区域中的专用终结点将复制流量保留在Microsoft主干上，并避免公共 Internet 公开。

成本注意事项

多区域网络通过重复的基础结构和跨区域数据传输增加成本。 围绕这些主要成本驱动因素规划预算：

• 跨区域数据传输：全局 VNet 对等互连和 虚拟 WAN 中心间流量对于跨区域边界传输的数据按每 GB 收费。 在同一区域内，已对等互连的 VNet 之间的区域内流量在同一可用区时无额外费用，跨可用区时则按较低费率收费。
• 重复的网络设备： 每个区域都需要自己的防火墙、负载均衡器和网关实例。 主动-主动部署将这些成本翻了一番。 主动-被动部署可以通过在备用区域使用较低规格的层级，并在故障转移期间向上扩展来降低成本。
• 全局负载均衡费用： 流量管理器和 Front Door 均按 DNS 查询数或处理的请求数收费。 Front Door 还收取从边缘 PoP 到后端的数据传输费用。
• ExpressRoute 和VPN 网关：多区域设计通常需要每个区域中的网关实例。 连接多个区域的 ExpressRoute 线路会产生每月端口费用以及按每 GB 计量的数据费用。
• 使用流量区域进行优化： 设计应用程序层以最大程度地减少跨区域调用。 将只读副本与各区域中的计算资源部署在同一位置，以减少复制所需带宽并降低延迟敏感型查询的延迟。

安全注意事项

多区域网络在单区域部署之外引入了安全注意事项：

• 流量保持在微软主干网络内。 通过 Global VNet 对等互连或 虚拟 WAN 中心间连接传输的所有跨区域流量均经由 Microsoft 骨干网络，而非公共互联网。
• 在每个区域中部署区域冗余防火墙。 每个区域中心都需要各自的防火墙实例来进行流量检测。 跨可用性区域部署防火墙，以在区域故障期间保持安全性。
• Front Door WAF 提供边缘安全性。 使用 Front Door 时，其集成的 Web 应用程序防火墙会在流量到达任何区域部署之前对其进行检查。 这在网络边缘提供第一层防御。
• 请仔细规划 DNS 故障转移。 流量管理器故障转移取决于 DNS TTL 值。 较短的 TTL 可以实现更快的故障转移，但会增加 DNS 查询量。 Front Door 提供连接级故障转移，无需依赖客户端 DNS 缓存过期。
• ExpressRoute Global Reach 流量保持私密。 通过 Global Reach 连接的本地站点之间的流量永远不会接触公共 Internet。 它在线路之间保持通过 Microsoft 主干网络传输。
• 保护跨区域复制通道。 默认情况下，通过全局 VNet 对等互连传输的后端复制流量是私有的，但对于传输中的敏感数据，应应用网络安全组并启用加密。

相关文章

如果多区域设计涉及本指南其他位置涵盖的特定方案，请参阅：

• 中心辐射拓扑：用于多区域部署的每区域一个中心设计模式。
• 虚拟 WAN：具有自动中心间路由的 虚拟 WAN 多中心模式。
• 跨区域连接：有关对等互连、Global Reach 和中心间连接选项的详细指南。
• VNet 和子网：每个区域的 VNet 设计和子网规划。
• IP 地址规划：跨区域不重叠的地址空间。
• Azure 防火墙 和流量检查：在每个区域中心部署区域冗余防火墙。

Learn more

有关本文中讨论的服务和概念的详细信息，请参阅以下资源：

• 流量管理器概述
• Azure Front Door 概述
• 虚拟网络对等互连概述
• 虚拟 WAN全局传输网络体系结构
• Azure 区域和可用性区域

后续步骤