Rotte statiche nella WAN virtuale

Questo documento descrive i diversi tipi di route statiche in rete WAN virtuale, casi d'uso comuni e le principali procedure consigliate e limitazioni da considerare durante la progettazione e l'implementazione della rete.

Panoramica delle route statiche

Le route statiche della rete WAN virtuale sono usate per indirizzare il traffico a un hop successivo specifico. Le rotte statiche offrono due principali casi d'uso per il routing.

• Instradare il traffico attraverso un Firewall di Azure distribuito nell'hub rete WAN virtuale.
• Instradare il traffico a un indirizzo IP designato (spesso un servizio di bilanciamento del carico davanti a un'appliance virtuale di rete) distribuito in una rete virtuale spoke connessa all'hub della rete WAN virtuale.

A livello generale, per i due casi d'uso principali indicati in precedenza sono necessarie le configurazioni di route statiche seguenti.

Casi d'uso del routing

Instradamento del traffico verso Firewall di Azure

Configuration

Configurare rete WAN virtuale per instradare il traffico a Firewall di Azure in un hub protetto usando route statiche. Questa configurazione si applica agli hub virtuali protetti con Firewall di Azure dove la finalità di routing non è abilitata. Questa configurazione comporta l'aggiunta di due configurazioni separate alla distribuzione rete WAN virtuale:

• Aggiungere rotte statiche alle tabelle di route dell'hub di rete WAN virtuale, indicando come hop successivo il tuo identificatore di risorsa di Firewall di Azure.
• Configurare le tabelle di route associate e propagate delle connessioni hub della rete WAN virtuale.

Per configurare route statiche e tabelle di route propagate/associate in scenari di hub protetti, utilizzare le procedure consigliate seguenti:

• Procedure consigliate relative alle configurazioni di route statiche e alle tabelle di route:
  • Ridurre al minimo il numero di tabelle di route personalizzate (oltre a defaultRouteTable e noneRouteTable). Le tabelle di route personalizzate devono essere usate per scenari di routing più personalizzati, ad esempio modelli di routing diversi per le reti virtuali.
  • Usare intervalli di aggregazione anziché intervalli specifici in route statiche, quando possibile. In questo modo viene ridotto al minimo il numero di route statiche configurate.
  • Valutare attentamente i progetti multi-hub e usare la finalità di routing quando possibile. Le architetture che usano route statiche per inviare il traffico a Firewall di Azure possono diventare complesse da usare tra più hub e ispezione tra aree tramite Firewall di Azure non sono supportate con configurazioni di route statiche.
• Procedure consigliate per la configurazione di associazioni e propagazioni:
  • Tutti i rami (VPN/ExpressRoute) devono essere associati all'oggetto defaultRouteTable e propagarsi allo stesso set di tabelle di route e etichette di tabella di route.
  • La propagazione delle route di una connessione a una tabella di route implica che tutte le connessioni associate a tale tabella di route possano accedere direttamente alle route propagate. Verificare che la configurazione del routing sia coerente e che venga restituita la simmetria del routing. Ad esempio, se i rami vengono propagati alla tabella di route di una rete virtuale, assicurarsi che le stesse reti virtuali vengano propagate alla tabella di route predefinita. Lo stesso vale se una connessione non viene propagata alla tabella di route di un'altra connessione.
  • Analogamente, la mancata propagazione di una connessione a una tabella di route implica in genere che le connessioni associate alla stessa tabella di route non saranno in grado di accedere a tale connessione. È necessaria una route statica.

Casi d'uso comuni

Un caso d'uso comune per le route statiche in rete WAN virtuale consiste nell'inviare il traffico privato dello stesso hub tramite un Firewall di Azure distribuito nell'hub virtuale. In questa architettura, il firewall funge da prossimo salto per il traffico che altrimenti passerebbe direttamente alla destinazione finale.

Questo modello viene usato per fornire Firewall di Azure ispezione per i seguenti casi d'uso di alto livello:

Altri casi d'uso più complessi includono:

Altri casi d'uso comuni che richiedono approcci alternativi o non sono supportati con route statiche:

Instradare il traffico a un'appliance virtuale di rete in una rete virtuale spoke

Opzioni di configurazione

È possibile configurare il routing a un indirizzo IP in una rete virtuale spoke in due modi:

• Opzione 1: specificare la route statica nella connessione di rete virtuale. Impostare Propagare la route statica su True. In questo modello, la route statica nella connessione di rete virtuale viene propagata automaticamente nella rete WAN virtuale senza che sia necessaria una voce di route statica separata nelle tabelle di route della rete WAN virtuale. Questa configurazione include proprietà di ridimensionamento migliori perché rete WAN virtuale propaga automaticamente le route statiche in base alle tabelle e alle etichette di route propagate del Rete virtuale.
• Option 2: Specificare una route statica in una tabella di route rete WAN virtuale, con l'hop successivo impostato sulla connessione di rete virtuale Hub. In questo modello deve essere presente anche una route statica corrispondente nella connessione di rete virtuale che specifica l'indirizzo IP hop successivo per il prefisso. È inoltre necessario aggiungere una route statica in ogni tabella di route di rete WAN virtuale (inclusi gli hub remoti di rete WAN virtuale) indirizzata alla connessione di rete virtuale dell'hub che deve utilizzare la route statica.

Le due opzioni di configurazione supportano modelli di routing diversi e hanno casi d'uso diversi:

Quando si usano route statiche per instradare il traffico a una connessione Rete virtuale in rete WAN virtuale, tenere presenti le procedure consigliate e le considerazioni seguenti:

• Utilizzare la configurazione option 1 sulla configurazione option 2 quando possibile, come opzione 1 assicura che le route statiche vengano annunciate automaticamente alle tabelle di route rete WAN virtuale pertinenti. Ciò riduce significativamente il sovraccarico operativo della gestione delle route statiche tra più tabelle e hub di route rete WAN virtuale.
• L'impostazione bypass dell'indirizzo IP dell'hop successivo determina il modo in cui viene instradato il traffico destinato agli indirizzi IP nella stessa rete virtuale dell'appliance virtuale di rete. Allineare questa impostazione al modello di rete previsto. Spesso, l'impostazione di questo valore su true è fondamentale per il routing corretto del traffico di gestione dell'appliance virtuale di rete all'interfaccia o all'istanza di appliance virtuale di rete prevista.
• Se sono configurate più route statiche in cui i CIDR di destinazione non si trovano in IANA RFC1918, tutte le route statiche con destinazioni non RFC1918 devono usare lo stesso indirizzo IP hop successivo.
• Per gli scenari in cui l'appliance virtuale di rete viene usata per controllare il traffico tra on-premises e altre reti virtuali, la rete virtuale dell'appliance virtuale di rete verrà in genere associata a una tabella di route personalizzata diversa dai rami o da altre reti virtuali, mentre tutte le altre connessioni verranno propagate alla tabella di route personalizzata della rete virtuale dell'appliance virtuale di rete. Per un esempio, vedere la sezione casi d'uso comuni di seguito.

Casi d'uso comuni

Alcuni casi d'uso comuni che richiedono approcci alternativi o non sono supportati in rete WAN virtuale:

Combinazione di due tipi di route statiche

È anche possibile combinare route statiche che puntano a Firewall di Azure nell'hub virtuale con route statiche che puntano a una connessione di rete virtuale. Questa progettazione è utile quando si desiderano hop successivi diversi per classi di traffico diverse all'interno della stessa distribuzione rete WAN virtuale.

I casi d'uso comuni includono:

Altri casi d'uso comuni che richiedono approcci alternativi o non sono supportati con route statiche: