Cenário: direcionar o tráfego através de um NVA

Ao trabalhar com o roteamento do hub virtual WAN, há bastantes cenários disponíveis. Neste cenário de NVA, o objetivo é rotear o tráfego através de um NVA (Network Virtual Appliance), tanto da filial para a rede virtual quanto da rede virtual para a filial. Para obter informações sobre roteamento de hub virtual, consulte Sobre roteamento de hub virtual.

Design

Neste cenário, usaremos a seguinte convenção de nomenclatura:

• "NVA VNets" para redes virtuais onde os utilizadores implantaram um NVA e conectaram outras redes virtuais como extremidades (VNet 2 e VNet 4 na Figura 2 mais abaixo no artigo).
• "NVA Spokes" para redes virtuais conectadas a uma VNet NVA (VNet 5, VNet 6, VNet 7 e VNet 8 na Figura 2 mais abaixo no artigo).
• "VNets não NVA" para redes virtuais conectadas à WAN Virtual que não têm uma NVA ou outras VNets emparelhadas com elas (VNet 1 e VNet 3 na Figura 2 mais abaixo no artigo).
• "Hubs" para Hubs WAN Virtuais gerenciados pela Microsoft, nos quais as VNets NVA estão conectadas. Os VNets spoke do NVA não precisam estar ligados a hubs virtuais WAN, apenas a VNets do NVA.

A matriz de conectividade a seguir resume os fluxos suportados nesse cenário:

Matriz de conectividade

Cada uma das células na matriz de conectividade descreve como uma VNet ou ramificação (o lado 'Origem' do fluxo, correspondendo aos cabeçalhos de linha na tabela) se comunica com uma VNet ou ramificação de destino (o lado 'Destino' do fluxo, representado pelos cabeçalhos de coluna em itálico na tabela). "Direto" significa que a conectividade é fornecida nativamente pela WAN Virtual, "Emparelhamento" significa que a conectividade é fornecida por uma Rota Definida pelo Utilizador na VNet, "através da NVA na VNet NVA" significa que a conectividade atravessa a NVA implantada na VNet NVA. Considere os seguintes itens:

• Os raios NVA não são geridos pela WAN virtual. Como resultado, os mecanismos com os quais eles se comunicarão com outras redes virtuais ou ramificações são mantidos pelo usuário. A conectividade com a VNet NVA é fornecida por um emparelhamento de VNet, e uma rota padrão para 0.0.0.0/0 apontando para o NVA como próximo salto deve cobrir a conectividade com a Internet, com outros raios e com ramificações
• As VNets NVA sabem sobre seus próprios raios NVA, mas não sobre raios NVA conectados a outras VNets NVA. Por exemplo, na Figura 2 mais abaixo no artigo, a VNet 2 tem conhecimento da VNet 5 e da VNet 6, mas não de outras ramificações, como a VNet 7 e a VNet 8. É necessária uma rota estática para injetar prefixos de outros spokes nos VNets NVA
• Da mesma forma, filiais e VNets que não são NVA não saberão sobre nenhuma ponta NVA, uma vez que as pontas NVA não estão conectadas a hubs WAN virtuais. Como resultado, rotas estáticas também são necessárias aqui.

Levando em conta que os spokes NVA não são geridos pela WAN Virtual, todos os outros registros mostram o mesmo padrão de conectividade. Como resultado, uma única tabela de rotas (a padrão) é:

• Redes virtuais (redes virtuais não hub e redes virtuais de hub do usuário):
  • Tabela de rotas associada: Padrão
  • Propagando para tabelas de rotas: Padrão
• Filiais:
  • Tabela de rotas associada: Padrão
  • Propagando para tabelas de rotas: Padrão

No entanto, neste cenário, precisamos pensar em quais rotas estáticas configurar. Cada rota estática tem dois componentes, uma parte no hub da WAN Virtual informando os componentes da WAN Virtual qual conexão usar para cada ramificação, e outra em outra nessa conexão específica apontando para o endereço IP concreto atribuído ao NVA (ou a um balanceador de carga posicionado na frente de vários NVAs), como mostra a Figura 1:

Gráfico 1

Com isto, as rotas estáticas que precisamos na tabela de Roteamento para enviar tráfego para os spokes NVA associados à VNet NVA são as seguintes:

Agora, essas rotas estáticas serão anunciadas para suas filiais locais e o hub WAN Virtual saberá para qual conexão VNet encaminhar tráfego. No entanto, a conexão VNet precisa saber o que fazer ao receber esse tráfego: é aqui que as tabelas de rotas de conexão são usadas. Aqui usaremos os prefixos mais curtos (/24 em vez do /16 mais longo), para garantir que essas rotas tenham preferência sobre as rotas importadas das VNets NVA (VNet 2 e VNet 4):

Agora, as VNets NVA, as VNets não NVA e as filiais sabem como alcançar todas as extremidades NVA. Para obter mais informações sobre roteamento de hub virtual, consulte Sobre roteamento de hub virtual.

Arquitetura

Na Figura 2, há dois hubs; Hub1 e Hub2.

• Hub1 e Hub2 estão diretamente conectados ao NVA VNets VNet 2 e VNet 4.

• VNet 5 e VNet 6 estão emparelhados com VNet 2.

• VNet 7 e VNet 8 estão interligados com VNet 4.

• As VNets 5,6,7,8 são conexões indiretas, não estão conectadas diretamente a um hub virtual.

Gráfico 2

Considerações

• Para esse cenário, você pode usar um NVA de terceiros ou o Firewall do Azure na VNet 2 e na VNet 4.

• Este cenário não suporta Hubs Seguros com Intenção de Roteamento devido às limitações das políticas de roteamento no que diz respeito a rotas estáticas. No entanto, pode usar a funcionalidade de emparelhamento BGP para integrar conexões indiretas junto com os Secure Hubs e a Intenção de Roteamento.

• Certifique-se de revisar as rotas estáticas colocadas em suas conexões VNet e verifique se ignorar o IP do próximo salto para cargas de trabalho dentro dessa VNet está habilitado para sua conexão.

Fluxo de trabalho do cenário

Para configurar o roteamento via NVA, aqui estão as etapas a serem consideradas:

1. Identifique a ligação de VNet spoke NVA. Na Figura 2, eles são VNet 2 Connection (eastusconn) e VNet 4 Connection (weconn).

   Verifique se há UDRs configurados:

   • De VNet 5 e VNet 6 para VNet 2 NVA IP
   • De VNet 7 e VNet 8 para VNet 4 NVA IP

   Você não precisa conectar VNets 5,6,7,8 diretamente aos hubs virtuais. Certifique-se de que os NSGs em VNets 5,6,7,8 permitam tráfego para filiais (VPN/ER/P2S) ou VNets conectadas a VNets remotas. Por exemplo, as VNets 5, 6 devem garantir que os NSGs permitam tráfego para prefixos de endereço no local, e que as VNets 7, 8 estejam conectadas ao Hub 2 remoto.

A Virtual WAN não suporta um cenário em que as redes virtuais 5 e 6 se conectam ao hub virtual e se comunicam via o IP do NVA da VNet 2; portanto, é necessário conectar as redes virtuais 5 e 6 à VNet 2 e, da mesma forma, as redes virtuais 7 e 8 à VNet 4.

2. Adicione uma entrada de rota estática agregada para VNets 2,5,6 à tabela de rotas padrão do Hub 1.

   

   Nota

   Para simplificar o roteamento e reduzir as alterações nas tabelas de rotas do hub WAN Virtual, recomendamos o novo emparelhamento BGP com hub WAN Virtual. Para obter mais informações, consulte os seguintes artigos:

   • Cenário: emparelhamento BGP com um hub virtual
   • Como criar emparelhamento BGP com hub virtual - Portal do Azure

3. Configure uma rota estática para VNets 5,6 na conexão de rede virtual da VNet 2. Para configurar a configuração de roteamento para uma conexão de rede virtual, consulte Roteamento de hub virtual.

4. Adicione uma entrada de rota estática agregada para VNets 4,7,8 à tabela de rotas padrão do Hub 1.

5. Repita as etapas 2, 3 e 4 para a tabela de rotas padrão do Hub 2.

Isso resulta nas alterações na configuração de roteamento, como mostra a Figura 3.

Gráfico 3

Próximos passos

• Para obter mais informações sobre a WAN Virtual, consulte as Perguntas frequentes.
• Para obter mais informações sobre roteamento de hub virtual, consulte Sobre roteamento de hub virtual.