Sanal Ağlar ve Alt Ağlar

Azure Virtual Network (VNet), Azure bulutunda tanımladığınız ve denetlediğiniz, mantıksal olarak yalıtılmış bir ağdır. Azure ağ iletişiminin temel yapı taşıdır ve sanal makineler, veritabanları ve uygulama hizmetleri gibi Azure kaynaklarının birbirleriyle, internetle ve şirket içi ağlarla güvenli bir şekilde iletişim kurmasını sağlar. Bir VNet tek bir Azure bölgesiyle ve oluşturulurken tanımladığınız belirli bir IPv4 (ve isteğe bağlı olarak IPv6) CIDR adres alanıyla sınırlıdır.

Bir VNet oluştururken, CIDR gösterimini kullanarak bir adres alanı atarsınız. CIDR (Sınıfsız Etki Alanları Arası Yönlendirme) gösterimi hem ağ adresini hem de ağ ön eki için kullanılan bit sayısını belirtir. Örneğin 10.0.0.0/16, size 65.536 IP adresi (10.0.0.0 ile 10.0.255.255 arası) sağlar. Adres alanı bir özel IP aralığı olmalıdır (RFC 1918'e göre 10.0.0.0/8, 172.16.0.0/12 veya 192.168.0.0/16). Planlanan tüm alt ağları büyüme payıyla karşılayacak kadar büyük bir adres alanı seçin; ancak karma bağlantı planlıyorsanız şirket içi ağlarla çakışan aralıklardan kaçının.

Bir alt ağ, VNet adres alanını daha küçük ağ segmentlerine böler. Her alt ağın kendi IP aralığı (VNet'in adres alanının bir alt kümesi) vardır ve farklı türlerde kaynaklar içerebilir. Alt ağlar iki amaca hizmet eder: organizasyon (ilişkili kaynakları gruplama) ve yalıtım (farklı kaynak gruplarına farklı güvenlik kuralları uygulama). Örneğin web sunucuları için bir web katmanı alt ağı (10.0.1.0/24), uygulama sunucuları için bir uygulama katmanı alt ağı (10.0.2.0/24) ve veritabanları için bir veri katmanı alt ağı (10.0.3.0/24) oluşturabilirsiniz.

Azure, her alt ağda ilk dört IP adresini ve son IP adresini kendi kullanımı için ayırır. Bir 10.0.1.0/24 alt ağı için: 10.0.1.0 (ağ adresi), 10.0.1.1 (varsayılan ağ geçidi), 10.0.1.2 ve 10.0.1.3 (Azure DNS için ayrılmıştır) ve 10.0.1.255 (yayın adresi). Bu, /24 alt ağında kullanılabilir 251 IP bırakır. Alt ağları boyutlandırırken bu ayırmayı hesaba katın; /28 alt ağında yalnızca 11 kullanılabilir adres vardır (16 adresin 5'i ayrılır).

Varsayılan olarak aynı VNet içindeki kaynaklar, farklı alt ağlarda olsalar bile özel IP adreslerini kullanarak birbirleriyle iletişim kurabilir. VNet içi iletişim için ek yapılandırma gerekmez. Farklı VNet'lerdeki kaynaklar varsayılan olarak iletişim kuramaz; bunları VNet Peering kullanarak açıkça bağlamanız gerekir. Aynı alt ağdaki kaynaklar aynı ağ segmentini paylaşır; bu nedenle aralarındaki iletişim, Azure'ın yazılım tanımlı ağ katmanı içindeki en doğrudan yoldur.

Bir VNet'teki VM'ler varsayılan olarak internete giden bağlantıları başlatabilir; Azure, yönetilen bir NAT hizmeti üzerinden giden internet erişimini otomatik olarak sağlar. İnternetten gelen erişim için bir kaynağın ağ arabirimine veya yük dengeleyicisine atanmış bir Public IP adresi olması gerekir. Ardından, tam olarak hangi bağlantı noktalarına ve protokollere izin verildiğini belirtmek için gelen erişimi Network Security Group (NSG) kurallarını kullanarak denetlersiniz. Yaygın bir mimaride web sunucuları genel IP'lere sahip genel bir alt ağa, uygulama sunucuları ise yalnızca web katmanından erişilebilen özel bir alt ağa yerleştirilir.

Varsayılan olarak Azure yönlendirmeyi otomatik olarak yönetir: alt ağlar arasındaki trafik VNet içinde kalır, giden internet trafiğine NAT uygulanır ve Azure hizmetlerine giden trafik Azure omurgasını kullanır. Bunu bir Route Table içindeki User-Defined Routes (UDRs) ile geçersiz kılabilirsiniz. Yaygın bir kullanım, giden tüm internet trafiğini merkezi inceleme için hub VNet'teki bir Network Virtual Appliance (NVA) veya Azure Firewall üzerinden geçirmeye zorlamaktır. Bunu uygulamak için bir yönlendirme tablosu oluşturur, yönlendirme girdileri ekler ve tabloyu bir veya daha fazla alt ağla ilişkilendirirsiniz.

Azure App Service (VNet Integration), Azure Kubernetes Service, Azure SQL Managed Instance ve Azure Databricks gibi bazı Azure hizmetleri, bu hizmete yetkilendirilmiş özel bir alt ağ gerektirir. Yetkilendirilmiş alt ağ, Azure'ın hizmete özgü kaynakları (ağ arabirimleri, dahili IP adresleri) sizin adınıza bu alt ağa ekleyebilmesi anlamına gelir. Yetkilendirilmiş bir alt ağa başka kaynak türlerini dağıtamazsınız; bu alt ağ yalnızca ilgili Azure hizmetine ayrılmıştır. Yetkilendirme gerektiren hizmetleri kullanmayı planlarken her zaman yeterli IP alanına sahip özel bir alt ağ ayırın.

VNet tasarımı için temel en iyi uygulamalar: VNet'i oluşturmadan önce adres alanınızı planlayın — kaynakları yeniden oluşturmadan bunu değiştiremezsiniz. Farklı güvenlik ilkeleri uygulamak için her uygulama katmanı için ayrı alt ağlar kullanın. VPN veya ExpressRoute üzerinden bağlanmayı planlıyorsanız şirket içi ağlarla örtüşen adres alanlarından kaçının. Ölçeklendirme gerektiren hizmetler (ör. AKS düğüm havuzları) için daha büyük alt ağlar ayırın. Büyük ölçekli yönetimi kolaylaştırmak için kaynakları açık biçimde adlandırın (ör. vnet-prod-eastus-001). İyi tasarlanmış bir VNet'in güvenliğini sağlamak ve sorunlarını gidermek, gelişigüzel oluşturulmuş bir VNet'e göre çok daha kolaydır.

Azure VNet'leri şirket içi ağlara iki mekanizma üzerinden bağlanabilir: VPN Gateway — genel internet üzerinden şifrelenmiş bir IPsec/IKE tüneli; orta düzey bant genişliği gereksinimleri için uygun maliyetlidir. Azure ExpressRoute — bir ağ sağlayıcısı iş ortağı üzerinden sağlanan özel ve ayrılmış fiber bağlantı; VPN'e kıyasla daha yüksek bant genişliği, daha düşük gecikme ve daha öngörülebilir performans sunar. Hassas iş yükleri veya garantili bant genişliği gerektiren senaryolar için ExpressRoute tercih edilir; ancak maliyeti önemli ölçüde daha yüksektir ve tedarik süresi daha uzundur.

Bir VNet'in adres alanını boyutlandırmak, mevcut ve gelecekteki gereksinimler için planlama yapmayı gerektirir. Yaygın bir kurumsal model şöyledir: VNet adres alanı: /16 (65.536 adres). Alt ağlar: her iş yükü katmanı için /24 (her biri 251 kullanılabilir adres). Bir /16 VNet, çoğu ortam için fazlasıyla yeterli olan 256 adet /24 alt ağ içerebilir. Çok büyük ortamlar için /8 kullanın veya birden fazla örtüşmeyen aralık talep edin. Her zaman büyüme payı bırakın: gelecek yıl /22'ye ihtiyaç duyabileceğiniz halde bugün /24 ayırmak, daha sonra zahmetli bir yeniden adresleme çalışmasına yol açar.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Azure VNet'i, tanımlanmış bir CIDR adres alanına sahip ve tek bir bölgeyle sınırlı, mantıksal olarak yalıtılmış bir ağdır; alt ağlar, düzenleme ve güvenlik ilkesi yalıtımı için VNet'i bölümlere ayırır; ayrıca Azure her alt ağ için 5 IP adresi ayırır ve aynı VNet içindeki kaynaklar, ek yapılandırma olmadan varsayılan olarak özel iletişim kurar. Sırada, trafik filtreleme için Network Security Groups ve Application Security Groups konusunu inceleyeceğiz.