Пиринг виртуальных сетей и конечные точки служб

Ресурсы в разных VNet Azure не могут взаимодействовать друг с другом по умолчанию — даже если они находятся в одном регионе Azure. Однако в крупных организациях часто используется несколько VNet: отдельные VNet для разработки, промежуточного тестирования и рабочей среды либо разные VNet для разных отделов. Пиринг VNet напрямую соединяет два VNet через частную магистральную сеть Microsoft, позволяя ресурсам в обоих VNet взаимодействовать так, словно они находятся в одной сети, — без прохождения трафика через общедоступный интернет и без шлюза VPN.

Пиринг VNet — это нетранзитивное соединение: если для VNet A настроен пиринг с VNet B, а для VNet B — с VNet C, VNet A не сможет взаимодействовать с VNet C, пока не будет создан отдельный пиринг между A и C. Пиринговые соединения двунаправленны, но их необходимо настроить с обеих сторон: создание пиринга от A к B автоматически не создаёт пиринг от B к A. После настройки обеих сторон трафик между пиринговыми VNet передаётся через магистральную сеть Azure с малой задержкой и высокой пропускной способностью, сопоставимыми с взаимодействием между подсетями внутри одного VNet.

Пиринг виртуальных сетей имеет два варианта области действия: локальный пиринг виртуальных сетей соединяет две виртуальные сети в одном и том же регионе Azure. Трафик остаётся внутри региона, и за его передачу взимается небольшая плата за каждый GB. Глобальный пиринг виртуальных сетей соединяет две виртуальные сети в разных регионах Azure; маршрутизация выполняется через глобальную магистральную сеть Microsoft. Это позволяет ресурсам в восточной части US обмениваться данными с ресурсами в Западной Европе по закрытому соединению, не проходя через общедоступный интернет. Глобальный пиринг немного дороже локального по стоимости передачи данных, но всё же значительно дешевле и надёжнее маршрутизации через VPN.

Распространённый корпоративный шаблон использует пиринг виртуальных сетей для реализации топологии «звезда». Центральная виртуальная сеть — центр — содержит общие службы: Azure Firewall, VPN Gateway, DNS-серверы и мониторинг. Несколько виртуальных сетей — лучей (по одной на каждую среду или рабочую нагрузку) — устанавливают пиринг с центром. Маршрутизируя весь трафик лучей через брандмауэр центра, организация получает централизованную проверку безопасности без сложного управления NSG в каждом луче. Поскольку пиринг не является транзитивным, брандмауэр центра маршрутизирует трафик между лучами с помощью маршрутов, определённых пользователем (UDR).

У пиринга виртуальных сетей есть одно критически важное требование: адресные пространства пиринговых виртуальных сетей не должны пересекаться. Если виртуальная сеть A использует 10.0.0.0/16, а виртуальная сеть B также использует 10.0.0.0/16, пиринг завершается ошибкой, поскольку Azure не может маршрутизировать трафик между идентичными диапазонами адресов. Поэтому так важно заранее спланировать непересекающиеся диапазоны CIDR для всех виртуальных сетей и локальных сетей, прежде чем приступать к работе. Изменение адресного пространства виртуальной сети после развертывания ресурсов требует пересоздания виртуальной сети или использования ограниченной возможности добавления и удаления адресных пространств.

Service Endpoint распространяет удостоверение виртуальной сети на службы Azure PaaS, такие как Azure Storage, Azure SQL Database, Azure Key Vault и Cosmos DB. Когда вы включаете Service Endpoint в подсети, трафик от ресурсов этой подсети к указанной службе Azure направляется через магистральную сеть Azure, а не через общедоступный интернет, даже если используется общедоступный IP-адрес службы. После этого служба может ограничить доступ только ресурсами из виртуальных сетей, в которых включён Service Endpoint, что значительно повышает безопасность по сравнению с конечными точками, доступными из интернета.

Service Endpoint и Private Endpoint обеспечивают безопасный доступ к службам Azure PaaS, но работают по-разному: Service Endpoint — направляет трафик через магистральную сеть Azure, но по-прежнему использует общедоступный IP-адрес службы; Service Endpoint существует на уровне подсети. Private Endpoint — назначает службе частный IP-адрес из вашей виртуальной сети; общедоступную конечную точку можно полностью отключить, сделав службу действительно частной. К Private Endpoint также можно обращаться из локальной сети через VPN/ExpressRoute, и они обеспечивают более сильную изоляцию. Для максимальной безопасности предпочтительны Private Endpoint; Service Endpoint — более простой и доступный по стоимости вариант.

После включения Service Endpoint в подсети настройте службу Azure так, чтобы она принимала подключения только из этой подсети. Для учётной записи Storage это означает добавление правила виртуальной сети в настройках брандмауэра учётной записи Storage. После этого только виртуальные машины из указанной подсети смогут обращаться к учётной записи Storage — весь остальной интернет-трафик будет отклоняться. Это быстрый и бесплатный способ значительно повысить безопасность учётной записи Storage по сравнению с открытым доступом из интернета, особенно если в учётной записи хранятся конфиденциальные данные приложения.

Интеграция виртуальной сети (не путайте её с пирингом виртуальных сетей) позволяет приложениям Azure App Service отправлять исходящие запросы к ресурсам внутри виртуальной сети. Без интеграции виртуальной сети исходящий трафик App Service всегда выходит через общедоступный интернет, даже если приложение обращается к таким ресурсам, как Azure SQL или Azure Cache for Redis, в той же виртуальной сети. После включения интеграции виртуальной сети исходящий трафик приложения направляется в виртуальную сеть и может достигать частных ресурсов. Для этого в виртуальной сети требуется выделенная делегированная подсеть с адресным пространством не менее /28.

Поскольку пиринг виртуальных сетей не является транзитивным, соединение более двух виртуальных сетей требует либо прямого пиринга между каждой парой (сложность O(n²)), либо центрального узла маршрутизации. В модели «звезда» виртуальная сеть центра содержит Network Virtual Appliance (NVA) или Azure Firewall, который действует как транзитный маршрутизатор между виртуальными сетями-лучами. В каждой виртуальной сети-луче добавляется UDR, направляющий весь трафик (0.0.0.0/0 или трафик к определённым диапазонам CIDR лучей) на IP-адрес NVA в центре. Затем NVA пересылает трафик в нужную виртуальную сеть-луч, фактически обеспечивая транзитное соединение через центр.

Основные ограничения пиринга виртуальных сетей: необходимы непересекающиеся адресные пространства — тщательно планируйте диапазоны CIDR до создания виртуальных сетей. Пиринг не является транзитивным — пиринг между A и B и между B и C не соединяет A и C. Нельзя изменить размер адресного пространства виртуальной сети, если у неё есть активные пиринговые соединения, не удалив их временно. Транзит через шлюз — виртуальные сети-лучи могут использовать шлюз VPN или ExpressRoute в виртуальной сети центра, если включить параметр «Использовать удалённые шлюзы» в конфигурации пиринга, однако для этого шлюз центра должен быть создан заранее. Понимание этих ограничений важно для проектирования масштабируемых и удобных в обслуживании архитектур с несколькими виртуальными сетями.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900), рассмотренных в этом уроке.

В этом уроке вы узнали следующее: пиринг виртуальных сетей соединяет две виртуальные сети через магистральную сеть Microsoft, обеспечивая частный обмен данными с малой задержкой без VPN, но не является транзитивным; Service Endpoint направляет трафик подсети к службам Azure PaaS через магистральную сеть, не открывая эти службы для общедоступного интернета; Private Endpoint — более защищённая альтернатива, которая назначает службе PaaS частный IP-адрес и позволяет полностью отключить общедоступную конечную точку. Далее мы рассмотрим основы Azure DNS и Load Balancer.