你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

方案:隔离 VNet

使用虚拟 WAN 虚拟中心路由时,有很多可用方案。 在此方案中,目标是要防止 VNet 之间相互通信。 这称为隔离 VNet。 有关虚拟中心路由的信息,请参阅关于虚拟中心路由

设计

在此方案中,某个特定 VNet 内的工作负载保持被隔离状态,无法与其他 VNet 通信。 但是,这些 VNet 需要与所有分支(VPN、ER 和用户 VPN)通信。 为了确定将会需要多少个路由表,可以构建一个连接矩阵。 对于此方案,它将如下表所示,其中每个单元格表示源(行)是否可以与目标(列)通信:

目标 VNet 分支
VNet 直接 直接
分支 直接 直接

上表中的各单元格描述了虚拟 WAN 连接(流的“源”端,行标题)是否与目标前缀(流的“目标”端,斜体形式的列标题)通信。 在此场景中,没有防火墙或网络虚拟设备,因此通信直接通过虚拟 WAN 进行(因此在表中使用“直接”一词)。

此连接矩阵提供了两种不同的行模式,它们会转换为两个路由表。 虚拟 WAN 已经有一个 Default 路由表,所以我们需要有另一个路由表。 在此示例中,我们将该路由表命名为 RT_VNET

VNet 将会与此 RT_VNET 路由表关联。 由于它们需要连接到分支,因此分支需要传播到 RT_VNET(否则 VNet 无法获取分支前缀)。 由于分支始终关联到 Default 路由表,因此 VNet 需要传播到 Default 路由表。 这样,最终设计如下:

  • 虚拟网络:
    • 关联的路由表:RT_VNET
    • 传播到路由表:Default
  • 分支:
    • 关联的路由表:Default
    • 传播到路由表:RT_VNET 和 Default

请注意,由于只有分支传播到 RT_VNET 路由表,因此只有这些才是 VNet 将要获取的前缀,而其他 VNet 的分支则不是。

有关虚拟中心路由的信息,请参阅关于虚拟中心路由

工作流

若要配置此方案,请考虑以下步骤:

  1. 在每个中心创建自定义路由表。 在此示例中,路由表为 RT_VNet。 若要创建路由表,请参阅如何配置虚拟中心路由。 若要详细了解路由表,请参阅关于虚拟中心路由

  2. 创建 RT_VNet 路由表时,请配置以下设置:

    • Association:选择要隔离的 VNet。
    • 传播:为分支选择选项,意味着分支 (VPN/ER/P2S) 连接会将路由传播到此路由表。

隔离的 VNet

后续步骤