Topologia de rede hub-and-spoke

A topologia de rede hub e spokes é a arquitetura de rede recomendada do Azure para ambientes empresariais. Ela consiste em uma VNet de hub central, que hospeda serviços de rede compartilhados, e várias VNets spoke, que hospedam cargas de trabalho individuais. Os spokes se conectam ao hub por meio do emparelhamento de VNets. Essa topologia centraliza os controles de segurança, reduz a complexidade da rede e é dimensionada de forma eficiente à medida que novas cargas de trabalho são adicionadas.

A VNet do hub é a rede central à qual todas as VNets spoke se conectam. Normalmente, ela contém:

• Azure Firewall — inspeção centralizada do tráfego de saída e entre redes
• VPN Gateway ou ExpressRoute Gateway — conectividade com o ambiente local
• Azure Bastion — acesso seguro por RDP/SSH a VMs sem IPs públicos
• zonas privadas do Azure DNS — resolução centralizada de DNS privado
• recursos de monitoramento de rede — monitores de conexão e registros de fluxo

Cada VNet spoke hospeda uma única carga de trabalho ou um conjunto de cargas de trabalho estreitamente relacionadas. Por exemplo: Spoke 1 — aplicativo Web de produção; Spoke 2 — plataforma de análise de dados; Spoke 3 — ambiente de desenvolvimento/teste. Isolar as cargas de trabalho em spokes separados cria um limite de rede entre elas. Se uma carga de trabalho for comprometida, o invasor não poderá passar diretamente para a VNet de outra carga de trabalho sem atravessar o firewall do hub.

As VNets do hub e dos spokes são conectadas por meio do emparelhamento de VNets, que fornece conectividade privada e de baixa latência sem encaminhar o tráfego pela Internet pública. É necessário criar emparelhamentos nas duas direções: do hub para o spoke e do spoke para o hub. O tráfego entre spokes não é encaminhado diretamente — ele passa pelo hub, permitindo que o firewall do hub inspecione e controle a comunicação entre spokes.

Por padrão, o emparelhamento de VNets não força o tráfego a passar pelo Azure Firewall — ele o encaminha diretamente entre as VNets. Para inspecionar o tráfego entre spokes e dos spokes para a Internet por meio do firewall do hub, é necessário configurar rotas definidas pelo usuário (UDRs) em cada sub-rede spoke, apontando o gateway padrão (0.0.0.0/0) para o endereço IP privado do firewall. Isso garante que todo o tráfego de saída dos spokes seja filtrado pelo firewall centralizado.

O Azure Firewall na VNet do hub fornece segurança de rede centralizada para todos os spokes. Ele oferece suporte a:

• regras de rede — permitir ou negar por IP, porta e protocolo
• regras de aplicativo — permitir ou negar por FQDN e categoria HTTP
• regras DNAT — traduzir IPs públicos de entrada para IPs privados de back-end
• informações de inteligência contra ameaças — bloquear tráfego de e para IPs e domínios mal-intencionados conhecidos

Um único Azure Firewall pode atender a todas as VNets spoke, reduzindo o custo e o esforço de gerenciamento de implantar firewalls individuais em cada spoke.

O DNS centralizado é essencial em uma arquitetura hub e spokes. Implante zonas privadas do Azure DNS vinculadas à VNet do hub e configure as VNets spoke para usar os servidores DNS do hub (ou o DNS fornecido pelo Azure com registro automático). Isso garante que as VMs em todos os spokes possam resolver os nomes umas das outras e os nomes dos serviços PaaS do Azure por meio de pontos de extremidade privados, usando uma configuração de DNS consistente.

Uma grande vantagem do modelo hub e spokes é que a conectividade com o ambiente local é centralizada no hub. Um único VPN Gateway ou ExpressRoute Gateway na VNet do hub fornece conectividade para que todas as cargas de trabalho spoke acessem os sistemas locais. As cargas de trabalho spoke não precisam de seus próprios gateways — elas acessam os recursos locais por meio do gateway do hub, através do emparelhamento, reduzindo significativamente o custo e a complexidade.

O modelo hub e spokes é naturalmente dimensionável: adicionar uma nova carga de trabalho significa criar uma nova VNet spoke, estabelecer o emparelhamento com o hub e aplicar a UDR para encaminhar o tráfego pelo firewall do hub. Os serviços do hub (firewall, gateway, DNS e Bastion) são compartilhados por todos os spokes. O Azure Virtual WAN é o serviço gerenciado de hub e spokes da Microsoft que automatiza o emparelhamento, o roteamento e o gerenciamento de gateways em implantações muito grandes com muitas VNets spoke.

Uma rede plana (uma única VNet grande com tudo em sub-redes) é mais simples no início, mas se torna difícil de gerenciar e proteger em grande escala. Em uma rede plana, todas as cargas de trabalho compartilham o mesmo espaço de endereçamento, separadas apenas por NSGs. O modelo hub e spokes oferece isolamento mais forte (é mais difícil atravessar limites de VNet do que regras de NSG), controles de segurança centralizados e governança mais clara, pois cada spoke pode ser gerenciado de forma independente.

Os principais custos do modelo hub e spokes, além dos recursos das cargas de trabalho, são:

• Azure Firewall — cobrança por hora de implantação, além de uma tarifa de processamento de dados
• VPN/ExpressRoute Gateway — cobrança por hora de gateway, além da largura de banda
• emparelhamento de VNets — cobrança por GB de dados transferidos pelos links de emparelhamento

Apesar desses custos, centralizar os serviços no hub geralmente é mais barato do que implantar firewalls, gateways e servidores DNS separados individualmente em cada spoke.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, você aprendeu que a topologia de hub e spokes centraliza os serviços de rede compartilhados (firewall, gateway e DNS) em uma VNet de hub, enquanto as cargas de trabalho ficam em VNets spoke separadas; o emparelhamento de VNets conecta os spokes ao hub, com UDRs encaminhando o tráfego pelo firewall do hub; e ela é dimensionada de forma eficiente ao compartilhar serviços de plataforma entre todos os spokes. A seguir, exploraremos o design de identidade e acesso empresarial com RBAC e Privileged Identity Management.