Hub-and-spoke-nettverkstopologi

Nettverkstopologien hub-and-spoke er den anbefalte Azure-nettverksarkitekturen for virksomhetsmiljøer. Den består av et sentralt hub-VNet som er vert for delte nettverkstjenester, og flere spoke-VNet som er vert for individuelle arbeidsbelastninger. Spokene kobles til huben via VNet-peering. Denne topologien sentraliserer sikkerhetskontrollene, reduserer nettverkskompleksiteten og skalerer effektivt når nye arbeidsbelastninger legges til.

Hub-VNet-et er det sentrale nettverket som alle spoke-VNet kobler seg til. Det inneholder vanligvis:

• Azure Firewall – sentralisert inspeksjon av utgående trafikk og øst–vest-trafikk
• VPN Gateway eller ExpressRoute Gateway – tilkobling til lokale systemer
• Azure Bastion – sikker RDP-/SSH-tilgang til virtuelle maskiner uten offentlige IP-adresser
• Private soner i Azure DNS – sentralisert privat DNS-oppløsning
• Ressurser for nettverksovervåking – tilkoblingsovervåkere og flytlogger

Hvert spoke-VNet er vert for én enkelt arbeidsbelastning eller et nært beslektet sett med arbeidsbelastninger. Eksempler: Spoke 1 – webapplikasjon i produksjon; Spoke 2 – plattform for dataanalyse; Spoke 3 – utviklings-/testmiljø. Når arbeidsbelastninger isoleres i separate spokes, opprettes en nettverksgrense mellom dem. Hvis én arbeidsbelastning kompromitteres, kan angriperen ikke gå direkte videre til en annen arbeidsbelastnings VNet uten å gå gjennom hub-brannmuren.

Hub- og spoke-VNet kobles sammen via VNet-peering, som gir privat tilkobling med kort forsinkelse uten å rute trafikk via det offentlige internett. Peering må opprettes i begge retninger: fra hub til spoke og fra spoke til hub. Trafikk mellom spokes rutes ikke direkte – den går gjennom huben, slik at hub-brannmuren kan inspisere og kontrollere kommunikasjonen mellom spokes.

Som standard tvinger ikke VNet-peering trafikken gjennom Azure Firewall – trafikken rutes direkte mellom VNet-ene. For å inspisere trafikk mellom spokes og trafikk fra spokes til internett gjennom hub-brannmuren må De konfigurere User Defined Routes (UDRs) i hvert subnett i spoke-nettverkene. Rutene skal peke standardgatewayen (0.0.0.0/0) til brannmurens private IP-adresse. Dette sikrer at all utgående trafikk fra spokes filtreres av den sentraliserte brannmuren.

Azure Firewall i hub-VNet-et sørger for sentralisert nettverkssikkerhet for alle spokes. Den støtter:

• Nettverksregler – tillat eller avvis etter IP-adresse, port og protokoll
• Applikasjonsregler – tillat eller avvis etter FQDN og HTTP-kategori
• DNAT-regler – oversett innkommende offentlige IP-adresser til private IP-adresser for backend
• Trusselinformasjon – blokker trafikk til og fra kjente ondsinnede IP-adresser og domener

Én Azure Firewall kan betjene alle spoke-VNet, noe som reduserer kostnadene og administrasjonsarbeidet sammenlignet med å distribuere separate brannmurer for hver spoke.

Sentralisert DNS er avgjørende i en hub-and-spoke-arkitektur. Distribuer private soner i Azure DNS som er koblet til hub-VNet-et, og konfigurer spoke-VNet-ene til å bruke hubens DNS-servere (eller Azure-levert DNS med automatisk registrering). Dette sikrer at virtuelle maskiner i alle spokes kan slå opp navnene til hverandre og navnene på Azure PaaS-tjenester via private endepunkter, ved hjelp av en konsekvent DNS-konfigurasjon.

En viktig fordel med hub-and-spoke er at tilkoblingen til lokale systemer sentraliseres i huben. Én enkelt VPN Gateway eller ExpressRoute Gateway i hub-VNet-et gir alle spoke-arbeidsbelastninger tilgang til lokale systemer. Spoke-arbeidsbelastningene trenger ikke egne gatewayer – de får tilgang til lokale ressurser gjennom hub-gatewayen via peering, noe som reduserer kostnadene og kompleksiteten betydelig.

Hub-and-spoke skalerer naturlig: Når en ny arbeidsbelastning legges til, opprettes et nytt spoke-VNet, det kobles til huben med peering, og UDR-en tas i bruk for å rute trafikken gjennom hub-brannmuren. Hub-tjenestene (brannmur, gateway, DNS og Bastion) deles av alle spokes. Azure Virtual WAN er Microsofts administrerte hub-and-spoke-tjeneste som automatiserer peering, ruting og gatewayadministrasjon for svært store distribusjoner med mange spoke-VNet.

Et flatt nettverk (ett stort VNet med alt organisert i subnett) er enklere å komme i gang med, men blir vanskelig å administrere og sikre i stor skala. I et flatt nettverk deler alle arbeidsbelastninger det samme adresseområdet, og det er bare NSG-er som skiller dem. Hub-and-spoke gir sterkere isolasjon (VNet-grenser er vanskeligere å krysse enn NSG-regler), sentraliserte sikkerhetskontroller og tydeligere styring, siden hver spoke kan administreres uavhengig.

De viktigste kostnadene ved hub-and-spoke utover ressursene for arbeidsbelastningene er:

• Azure Firewall – belastes per distribusjonstime samt et gebyr for databehandling
• VPN-/ExpressRoute Gateway – belastes per gatewaytime samt for båndbredde
• VNet-peering – belastes per GB data som overføres over peering-koblinger

Til tross for disse kostnadene er det vanligvis billigere å sentralisere tjenestene i huben enn å distribuere separate brannmurer, gatewayer og DNS-servere i hver spoke.

I denne leksjonen har De lært at hub-and-spoke-topologien sentraliserer delte nettverkstjenester (brannmur, gateway og DNS) i et hub-VNet, mens arbeidsbelastningene ligger i separate spoke-VNet; at VNet-peering kobler spokes til huben, mens UDR-er ruter trafikken gjennom hub-brannmuren; og at løsningen skalerer effektivt ved å dele plattformtjenester på tvers av alle spokes. Neste tema er utforming av identitet og tilgang for virksomheter med RBAC og Privileged Identity Management.