Jaringan Virtual dan Subnet

Jaringan Virtual Azure (VNet) adalah jaringan yang terisolasi secara logis di cloud Azure, yang Anda tentukan dan kendalikan. Jaringan ini merupakan blok pembangun dasar jaringan Azure, yang memungkinkan sumber daya Azure seperti mesin virtual, basis data, dan layanan aplikasi berkomunikasi dengan aman satu sama lain, dengan internet, dan dengan jaringan lokal. VNet memiliki cakupan satu wilayah Azure dan ruang alamat CIDR IPv4 tertentu (serta, secara opsional, IPv6) yang Anda tentukan saat membuatnya.

Saat membuat VNet, Anda menetapkan ruang alamat menggunakan notasi CIDR. Notasi CIDR (Classless Inter-Domain Routing) menentukan alamat jaringan dan jumlah bit yang digunakan untuk prefiks jaringan. Misalnya, 10.0.0.0/16 memberi Anda 65.536 alamat IP (10.0.0.0 hingga 10.0.255.255). Ruang alamat harus berupa rentang IP privat (10.0.0.0/8, 172.16.0.0/12, atau 192.168.0.0/16 sesuai RFC 1918). Pilih ruang alamat yang cukup besar untuk menampung semua subnet yang direncanakan dan menyediakan ruang untuk berkembang, tetapi hindari tumpang tindih dengan jaringan lokal jika Anda berencana membuat koneksi hibrida.

Subnet membagi ruang alamat VNet menjadi segmen jaringan yang lebih kecil. Setiap subnet memiliki rentang IP sendiri (bagian dari ruang alamat VNet) dan dapat berisi sumber daya dari berbagai jenis. Subnet memiliki dua tujuan: organisasi (mengelompokkan sumber daya yang berkaitan) dan isolasi (menerapkan aturan keamanan yang berbeda pada kelompok sumber daya yang berbeda). Misalnya, Anda dapat memiliki subnet tingkat web (10.0.1.0/24) untuk server web, subnet tingkat aplikasi (10.0.2.0/24) untuk server aplikasi, dan subnet tingkat data (10.0.3.0/24) untuk basis data.

Dalam setiap subnet, Azure mencadangkan empat alamat IP pertama dan alamat IP terakhir untuk penggunaannya sendiri. Untuk subnet 10.0.1.0/24: 10.0.1.0 (alamat jaringan), 10.0.1.1 (gateway default), 10.0.1.2 dan 10.0.1.3 (dicadangkan untuk Azure DNS), serta 10.0.1.255 (alamat broadcast). Dengan demikian, tersedia 251 IP yang dapat digunakan dalam subnet /24. Perhitungkan pencadangan ini saat menentukan ukuran subnet — subnet /28 hanya memiliki 11 alamat yang dapat digunakan (16 dikurangi 5 alamat yang dicadangkan).

Secara bawaan, sumber daya dalam VNet yang sama dapat berkomunikasi satu sama lain menggunakan alamat IP privatnya, meskipun berada di subnet yang berbeda. Tidak diperlukan konfigurasi tambahan untuk komunikasi intra-VNet. Sumber daya dalam VNet yang berbeda tidak dapat berkomunikasi secara bawaan — Anda harus menghubungkannya secara eksplisit menggunakan Peering VNet. Sumber daya dalam subnet yang sama berbagi segmen jaringan yang sama, sehingga komunikasi di antara sumber daya tersebut menjadi jalur paling langsung yang mungkin dalam lapisan jaringan yang ditentukan perangkat lunak Azure.

VM dalam VNet dapat memulai koneksi keluar ke internet secara bawaan — Azure secara otomatis menyediakan akses internet keluar melalui layanan NAT terkelola. Untuk akses internet masuk, sumber daya memerlukan alamat IP publik yang ditetapkan ke antarmuka jaringannya atau penyeimbang muatan. Selanjutnya, Anda mengendalikan akses masuk menggunakan aturan Network Security Group (NSG) untuk menentukan port dan protokol mana yang diizinkan. Arsitektur umum menempatkan server web di subnet publik dengan IP publik dan server aplikasi di subnet privat yang hanya dapat diakses dari tingkat web.

Secara bawaan, Azure menangani perutean secara otomatis — lalu lintas antar-subnet tetap berada di dalam VNet, lalu lintas internet keluar menggunakan NAT, dan lalu lintas ke layanan Azure menggunakan backbone Azure. Anda dapat menggantinya dengan Rute yang Ditentukan Pengguna (UDR) dalam Tabel Rute. Salah satu penggunaan umum adalah memaksa seluruh lalu lintas internet keluar melewati Network Virtual Appliance (NVA) atau Azure Firewall dalam VNet hub untuk pemeriksaan terpusat. Anda membuat tabel rute, menambahkan entri rute, lalu mengaitkan tabel tersebut dengan satu subnet atau lebih untuk menerapkannya.

Beberapa layanan Azure — seperti Azure App Service (Integrasi VNet), Layanan Azure Kubernetes, Azure SQL Managed Instance, dan Azure Databricks — memerlukan subnet khusus yang didelegasikan kepada layanan tersebut. Subnet yang didelegasikan berarti Azure dapat menyisipkan sumber daya khusus layanan (antarmuka jaringan, alamat IP internal) ke dalam subnet tersebut atas nama Anda. Anda tidak dapat menerapkan jenis sumber daya lain ke subnet yang didelegasikan — subnet tersebut dicadangkan secara eksklusif untuk layanan Azure itu. Selalu alokasikan subnet khusus dengan ruang IP yang memadai saat merencanakan penggunaan layanan yang memerlukan delegasi.

Praktik terbaik utama untuk desain VNet: Rencanakan ruang alamat Anda sebelum membuat VNet — Anda tidak dapat mengubahnya tanpa membuat ulang sumber daya. Gunakan subnet terpisah untuk setiap tingkat aplikasi agar dapat menerapkan kebijakan keamanan yang berbeda. Hindari ruang alamat yang tumpang tindih dengan jaringan lokal jika Anda berencana terhubung melalui VPN atau ExpressRoute. Sediakan subnet yang lebih besar untuk layanan yang memerlukan penskalaan (misalnya, kumpulan simpul AKS). Beri nama sumber daya dengan jelas (misalnya, vnet-prod-eastus-001) untuk membantu pengelolaan berskala besar. VNet yang dirancang dengan baik jauh lebih mudah diamankan dan ditelusuri masalahnya daripada VNet yang dibuat tanpa perencanaan.

VNet Azure dapat terhubung ke jaringan lokal melalui dua mekanisme: VPN Gateway — terowongan IPsec/IKE terenkripsi melalui internet publik; hemat biaya untuk kebutuhan bandwidth sedang. Azure ExpressRoute — koneksi serat optik khusus dan privat melalui mitra penyedia jaringan; menyediakan bandwidth lebih tinggi, latensi lebih rendah, dan kinerja yang lebih dapat diprediksi daripada VPN. Untuk beban kerja sensitif atau skenario yang memerlukan bandwidth terjamin, ExpressRoute adalah pilihan yang lebih disarankan, meskipun biayanya jauh lebih tinggi dan waktu penyediaannya lebih lama.

Penentuan ukuran ruang alamat VNet memerlukan perencanaan untuk kebutuhan saat ini dan masa mendatang. Pola umum di perusahaan adalah: ruang alamat VNet: /16 (65.536 alamat). Subnet: /24 untuk setiap tingkat beban kerja (masing-masing 251 alamat yang dapat digunakan). VNet /16 dapat berisi 256 subnet /24 — lebih dari cukup untuk sebagian besar lingkungan. Untuk lingkungan yang sangat besar, gunakan /8 atau minta beberapa rentang yang tidak tumpang tindih. Selalu sisakan ruang untuk pertumbuhan: mengalokasikan /24 hari ini ketika Anda mungkin memerlukan /22 tahun depan akan menyebabkan pekerjaan pengalamatan ulang yang merepotkan di kemudian hari.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: Azure VNet adalah jaringan yang terisolasi secara logis dengan ruang alamat CIDR yang ditentukan dan tercakup dalam satu wilayah, subnet membagi VNet menjadi beberapa segmen untuk pengaturan dan isolasi kebijakan keamanan, serta Azure mencadangkan 5 alamat IP per subnet, dan sumber daya dalam VNet yang sama berkomunikasi secara privat secara default tanpa konfigurasi tambahan. Selanjutnya kita akan membahas Network Security Groups dan Application Security Groups untuk penyaringan lalu lintas.