方案:VNet 的自定义隔离

使用虚拟 WAN 虚拟中心路由时,有很多可用方案。 在 VNet 的自定义隔离方案中,目标是防止一组特定的 VNet 访问另一组特定的 VNet。 但是,这些 VNet 需要与所有分支(VPN/ER/用户 VPN)通信。 有关虚拟中心路由的详细信息,请参阅关于虚拟中心路由

设计

为了确定需要多少个路由表,可以构建一个连接矩阵。 对于此方案,它将如下所示,其中每个单元格表示源(行)是否可以与目标(列)通信:

到: 蓝色 VNet 红色 VNet 分支
蓝色 VNet 直接 直接
红色 VNet 直接 直接
分支 直接 直接 直接

上表中的各单元格描述了虚拟 WAN 连接(流的“源”端,行标题)是否与目标(流的“目标”端,斜体形式的列标题)通信。 在此场景中,没有防火墙或网络虚拟设备,因此通信直接通过虚拟 WAN 进行(因此在表中使用“直接”一词)。

不同行模式的数量是我们在此方案中需要的路由表的数量。 在本例中,我们将调用三个路由表,RT_BLUERT_RED 用于虚拟网络,Default 用于分支。 请记住,分支必须始终与 Default 路由表相关联。

分支需要了解来自红色和蓝色 VNet 的前缀,因此,所有 VNet 都需要传播到 Default(除了 RT_BLUERT_RED 之外)。 蓝色和红色 VNet 需要了解分支的前缀,因此分支会同时传播到路由表 RT_BLUERT_RED。 这样,最终设计如下:

  • 蓝色虚拟网络:
    • 关联的路由表:RT_BLUE
    • 传播到路由表:RT_BLUEDefault
  • 红色虚拟网络:
    • 关联的路由表:RT_RED
    • 传播到路由表:RT_REDDefault
  • 分支:
    • 关联的路由表:默认
    • 传播到路由表:RT_BLUERT_REDDefault

注意

由于所有分支都需要关联到 Default 路由表,并且要传播到同一组路由表,因此所有分支都将具有相同的连接性配置文件。 换句话说,VNet 的红色/蓝色概念不能应用于分支。

注意

如果将虚拟 WAN 部署在多个中心,则需要在每个中心创建 RT_BLUERT_RED 路由表,并且需要使用传播标签将每个 VNet 连接中的路由传播到每个虚拟中心的路由表。

有关虚拟中心路由的详细信息,请参阅关于虚拟中心路由

工作流

图 1 中有蓝色和红色 VNet 连接。

  • 蓝色连接的 VNet 可以相互联系,还可以访问所有分支 (VPN/ER/P2S) 连接。
  • 红色 VNet 可以相互联系,还可以访问所有分支 (VPN/ER/P2S) 连接。

设置路由时,请考虑以下步骤。

  1. 在 Azure 门户中创建两个自定义路由表:RT_BLUERT_RED
  2. 对于路由表 RT_BLUE,对于以下设置:
    • Association:选择所有蓝色 VNet。
    • 传播:对于“分支”,请选择适合分支的选项,这意味着分支 (VPN/ER/P2S) 连接会将路由传播到此路由表。
  3. 对于 RT_RED 路由表,请针对红色 VNet 和分支 (VPN/ER/P2S) 重复相同的步骤。

这会导致路由配置发生更改,如下图所示。

图 1

figure 1

后续步骤