方案:VNet 的自定义隔离
使用虚拟 WAN 虚拟中心路由时,有很多可用方案。 在 VNet 的自定义隔离方案中,目标是防止一组特定的 VNet 访问另一组特定的 VNet。 但是,这些 VNet 需要与所有分支(VPN/ER/用户 VPN)通信。 有关虚拟中心路由的详细信息,请参阅关于虚拟中心路由。
设计
为了确定需要多少个路由表,可以构建一个连接矩阵。 对于此方案,它将如下所示,其中每个单元格表示源(行)是否可以与目标(列)通信:
源 | 到: | 蓝色 VNet | 红色 VNet | 分支 |
---|---|---|---|---|
蓝色 VNet | → | 直接 | 直接 | |
红色 VNet | → | 直接 | 直接 | |
分支 | → | 直接 | 直接 | 直接 |
上表中的各单元格描述了虚拟 WAN 连接(流的“源”端,行标题)是否与目标(流的“目标”端,斜体形式的列标题)通信。 在此场景中,没有防火墙或网络虚拟设备,因此通信直接通过虚拟 WAN 进行(因此在表中使用“直接”一词)。
不同行模式的数量是我们在此方案中需要的路由表的数量。 在本例中,我们将调用三个路由表,RT_BLUE 和 RT_RED 用于虚拟网络,Default 用于分支。 请记住,分支必须始终与 Default 路由表相关联。
分支需要了解来自红色和蓝色 VNet 的前缀,因此,所有 VNet 都需要传播到 Default(除了 RT_BLUE 或 RT_RED 之外)。 蓝色和红色 VNet 需要了解分支的前缀,因此分支会同时传播到路由表 RT_BLUE 和 RT_RED。 这样,最终设计如下:
- 蓝色虚拟网络:
- 关联的路由表:RT_BLUE
- 传播到路由表:RT_BLUE 和 Default
- 红色虚拟网络:
- 关联的路由表:RT_RED
- 传播到路由表:RT_RED 和 Default
- 分支:
- 关联的路由表:默认
- 传播到路由表:RT_BLUE、RT_RED 和 Default
注意
由于所有分支都需要关联到 Default 路由表,并且要传播到同一组路由表,因此所有分支都将具有相同的连接性配置文件。 换句话说,VNet 的红色/蓝色概念不能应用于分支。
注意
如果将虚拟 WAN 部署在多个中心,则需要在每个中心创建 RT_BLUE 和 RT_RED 路由表,并且需要使用传播标签将每个 VNet 连接中的路由传播到每个虚拟中心的路由表。
有关虚拟中心路由的详细信息,请参阅关于虚拟中心路由。
工作流
图 1 中有蓝色和红色 VNet 连接。
- 蓝色连接的 VNet 可以相互联系,还可以访问所有分支 (VPN/ER/P2S) 连接。
- 红色 VNet 可以相互联系,还可以访问所有分支 (VPN/ER/P2S) 连接。
设置路由时,请考虑以下步骤。
- 在 Azure 门户中创建两个自定义路由表:RT_BLUE 和 RT_RED。
- 对于路由表 RT_BLUE,对于以下设置:
- Association:选择所有蓝色 VNet。
- 传播:对于“分支”,请选择适合分支的选项,这意味着分支 (VPN/ER/P2S) 连接会将路由传播到此路由表。
- 对于 RT_RED 路由表,请针对红色 VNet 和分支 (VPN/ER/P2S) 重复相同的步骤。
这会导致路由配置发生更改,如下图所示。
图 1