हब-एंड-स्पोक नेटवर्क टोपोलॉजी

hub-and-spoke network topology enterprise environments के लिए recommended Azure network architecture है। इसमें एक central hub VNet होता है, जिसमें shared networking services होस्ट की जाती हैं, और कई spoke VNets होते हैं, जिनमें अलग-अलग workloads होस्ट किए जाते हैं। Spokes, VNet peering के माध्यम से hub से connect होते हैं। यह topology security controls को centralise करती है, network complexity घटाती है और नए workloads जुड़ने पर कुशलता से scale होती है।

hub VNet वह central network है, जिससे सभी spoke VNets connect होते हैं। इसमें आम तौर पर ये शामिल होते हैं:

• Azure Firewall — outbound और east-west traffic का centralised inspection
• VPN Gateway या ExpressRoute Gateway — on-premises connectivity
• Azure बास्टियन — public IPs के बिना VMs तक सुरक्षित RDP/SSH access
• Azure DNS private zones — centralised private DNS resolution
• Network monitoring resources — connection monitors और flow logs

हर spoke VNet में एक workload या आपस में closely related workloads का समूह होस्ट होता है। उदाहरण के लिए: Spoke 1 — production web application; Spoke 2 — data analytics platform; Spoke 3 — dev/test environment। Workloads को अलग-अलग spokes में isolate करने से उनके बीच एक network boundary बनती है। यदि किसी एक workload से समझौता हो जाए, तो attacker hub firewall से गुज़रे बिना सीधे किसी अन्य workload के VNet में pivot नहीं कर सकता।

Hub और spoke VNets VNet peering के माध्यम से connect होते हैं। इससे public internet के माध्यम से traffic भेजे बिना private, low-latency connectivity मिलती है। आपको peerings दोनों दिशाओं में बनानी होंगी: hub-to-spoke और spoke-to-hub। Spoke-to-spoke traffic सीधे route नहीं किया जाता — यह hub से होकर गुजरता है, जिससे hub firewall inter-spoke communication का inspection और control कर सकता है।

डिफ़ॉल्ट रूप से, VNet peering traffic को Azure Firewall के माध्यम से जाने के लिए बाध्य नहीं करती — traffic सीधे VNets के बीच route होता है। Spoke-to-spoke और spoke-to-internet traffic का hub firewall के माध्यम से inspection करने के लिए, आपको प्रत्येक spoke subnet में User Defined Routes (UDRs) configure करनी होंगी, जो default gateway (0.0.0.0/0) को firewall के private IP address की ओर point करें। इससे सुनिश्चित होता है कि spokes से निकलने वाला सारा outbound traffic centralised firewall द्वारा filter किया जाए।

Hub VNet में मौजूद Azure Firewall सभी spokes के लिए centralised network security प्रदान करता है। यह निम्नलिखित का समर्थन करता है:

• Network rules — IP, port और protocol के आधार पर allow या deny
• Application rules — FQDN और HTTP category के आधार पर allow या deny
• DNAT rules — inbound public IPs को private backend IPs में translate करना
• Threat intelligence — ज्ञात malicious IPs और domains से या उनकी ओर जाने वाले traffic को block करना

एक ही Azure Firewall सभी spoke VNets की सेवा कर सकता है, जिससे प्रत्येक spoke के लिए अलग-अलग firewalls Deploy करने की लागत और management overhead घटता है।

Hub-and-spoke architecture में centralised DNS अत्यंत महत्वपूर्ण है। Hub VNet से linked Azure DNS private zones Deploy करें और spoke VNets को hub के DNS servers (या auto-registration वाले Azure-provided DNS) का उपयोग करने के लिए configure करें। इससे सभी spokes में मौजूद VMs एक-दूसरे के names और consistent DNS configuration का उपयोग करके private endpoints के माध्यम से Azure PaaS services के names resolve कर सकते हैं।

Hub-and-spoke का एक प्रमुख लाभ यह है कि on-premises connectivity hub में centralised होती है। Hub VNet में मौजूद एक VPN Gateway या ExpressRoute Gateway सभी spoke workloads को on-premises systems तक पहुँचने के लिए connectivity प्रदान करता है। Spoke workloads को अपने gateways की आवश्यकता नहीं होती — वे peering के माध्यम से hub gateway द्वारा on-premises resources तक पहुँचते हैं, जिससे लागत और complexity काफी घटती है।

Hub-and-spoke का विस्तार स्वाभाविक रूप से होता है: नया workload जोड़ने के लिए नया spoke VNet बनाना, उसे hub से peer करना और hub firewall के माध्यम से route करने के लिए UDR apply करना होता है। Hub services (firewall, gateway, DNS, बास्टियन) सभी spokes में shared रहती हैं। Azure Virtual WAN Microsoft की managed hub-and-spoke service है, जो बहुत बड़े deployments में अनेक spoke VNets के लिए peering, routing और gateway management को automate करती है।

flat network (सब कुछ subnets में रखने वाला एक बड़ा VNet) शुरू करना आसान होता है, लेकिन scale बढ़ने पर इसे manage और secure करना कठिन हो जाता है। Flat network में सभी workloads एक ही address space share करते हैं और केवल NSGs उन्हें अलग करते हैं। Hub-and-spoke अधिक मजबूत isolation (VNet boundaries को पार करना NSG rules की तुलना में कठिन होता है), centralised security controls और अधिक स्पष्ट governance प्रदान करता है, क्योंकि प्रत्येक spoke को स्वतंत्र रूप से manage किया जा सकता है।

Workload resources के अतिरिक्त hub-and-spoke की मुख्य लागतें ये हैं:

• Azure Firewall — प्रत्येक deployment hour और data processing fee के आधार पर शुल्क
• VPN/ExpressRoute Gateway — प्रत्येक gateway hour और bandwidth के आधार पर शुल्क
• VNet peering — peering links पर transfer किए गए प्रत्येक GB data के आधार पर शुल्क

इन लागतों के बावजूद, services को hub में centralise करना आम तौर पर प्रत्येक spoke में अलग-अलग firewalls, gateways और DNS servers Deploy करने से सस्ता होता है।

इस lesson में आपने सीखा: hub-and-spoke topology shared networking services (firewall, gateway, DNS) को hub VNet में centralise करती है और workloads अलग-अलग spoke VNets में रखे जाते हैं; VNet peering spokes को hub से connect करती है और UDRs traffic को hub firewall के माध्यम से route करती हैं; और यह सभी spokes में platform services share करके कुशलता से scale होती है। आगे हम RBAC और Privileged Identity Management के साथ enterprise identity और access design का अध्ययन करेंगे।