概观

将本地应用程序迁移到Azure为组织提供了安全且经济高效的基础架构的优势，即使应用程序迁移的变化很小。但是，为了充分利用云计算的灵活性，企业必须改进其架构以利用Azure功能。

Microsoft Azure提供具有企业级功能和可靠性的超大规模服务和基础架构。这些服务和基础架构提供了多种混合连接选择，因此客户可以选择通过公共Internet或私有Azure ExpressRoute连接访问它们。 Microsoft合作伙伴还通过提供经过优化以在Azure中运行的安全服务和虚拟设备来提供增强功能。

客户可以选择通过互联网或Azure ExpressRoute访问这些云服务，Azure ExpressRoute提供专用网络连接。借助Microsoft Azure平台，客户可以将其基础架构无缝扩展到云中并构建多层架构。 Microsoft合作伙伴还通过提供经过优化以在Azure中运行的安全服务和虚拟设备来提供增强功能。

什么是虚拟数据中心？

从一开始，云就是一个托管面向公众的应用程序的平台。企业开始了解云的价值，并开始将内部业务线应用程序迁移到云端。这些类型的应用程序带来了额外的安全性，可靠性，性能和成本考虑因素，这需要在提供云服务方面提供额外的灵活性。这为旨在提供这种灵活性的新基础架构和网络服务铺平了道路，同时也为扩展，灾难恢复和其他考虑因素提供了新功能。

云解决方案最初设计用于在公共频谱中托管单个相对隔离的应用程序。这种方法运作良好几年。然后，云解决方案的好处变得明显，并且在云上托管了多个大规模工作负载。解决一个或多个区域中部署的安全性，可靠性，性能和成本问题在整个云服务生命周期中变得至关重要。

以下云部署图显示了红色框中的安全间隙示例。黄色框显示了跨工作负载优化网络虚拟设备的空间。

虚拟数据中心（VDC）的概念源于扩展以支持企业工作负载的必要性，同时平衡处理在公共云中支持大规模应用程序时引入的问题的需求。

VDC实施不仅代表云中的应用程序工作负载，还代表网络，安全性，管理和基础架构（例如，DNS和目录服务）。随着越来越多的企业工作负载转移到Azure，重要的是要考虑这些工作负载所依赖的支持基础架构和对象。仔细考虑资源的结构可以避免必须管理的数百个“工作负载孤岛”的扩散分别具有独立的数据流，安全模型和合规性挑战。

VDC概念是一组建议和最佳实践，用于实现具有共同支持功能，特性和基础结构的单独但相关的实体的集合。通过VDC的镜头查看您的工作负载，您可以实现由于规模经济而降低的成本，通过组件和数据流集中优化的安全性，以及更轻松的操作，管理和合规性审计。

 注意

重要的是要了解VDC不是一个独立的Azure产品，而是各种功能和功能的组合，以满足您的确切要求。 VDC是一种考虑您的工作负载和Azure使用情况的方法，可以最大限度地提高云中的资源和功能。这是一种在Azure中构建IT服务的模块化方法，同时尊重企业的组织角色和职责。

VDC实施可以帮助企业在以下方案中将工作负载和应用程序迁移到Azure中：

1. 托管多个相关工作负载。
2. 将工作负载从本地环境迁移到Azure。
3. 跨工作负载实施共享或集中的安全性和访问要求。
4. 为大型企业适当地混合Azure DevOps和集中式IT。

解锁VDC优势的关键是集中式中心和分支网络拓扑结构，其中包含Azure服务和功能：

• Azure Virtual Network,
• Network security groups,
• Virtual network peering,
• User-defined routes, and
• Azure Identity with role-based access control (RBAC) and optionally Azure Firewall, Azure DNS, Azure Front Door, and Azure Virtual WAN.

谁应该实施虚拟数据中心？

任何决定采用云的Azure客户都可以从配置一组资源的效率中受益，供所有应用程序共同使用。根据规模，即使是单个应用程序也可以从使用用于构建VDC实现的模式和组件中受益。

如果您的组织拥有用于IT，网络，安全性或合规性的集中式团队或部门，那么实施VDC可以帮助实施策略点，职责分离，并确保底层公共组件的一致性，同时为应用程序团队提供尽可能多的自由和控制。适合您的要求。

正在寻找DevOps的组织也可以使用VDC概念来提供授权的Azure资源，并确保他们在该组内具有完全控制权（公共订阅中的订阅或资源组），但网络和安全边界保持合规通过集线器VNet和资源组中的集中策略。

实施虚拟数据中心的注意事项

在设计VDC实施时，需要考虑几个关键问题：

身份和目录服务

身份和目录服务是所有数据中心的关键方面，包括本地和云。身份与VDC实施中的服务访问和授权的所有方面相关。为帮助确保只有授权用户和进程访问Azure帐户和资源，Azure使用多种类型的凭据进行身份验证。其中包括密码（访问Azure帐户），加密密钥，数字签名和证书。 Azure多重身份验证是访问Azure服务的附加安全层。多重身份验证通过一系列简单的验证选项（电话，短信或移动应用程序通知）提供强大的身份验证，并允许客户选择他们喜欢的方法。

任何大型企业都需要定义身份管理流程，该流程描述VDC实施内部或跨VDC实施的个人身份，身份验证，授权，角色和权限的管理。此过程的目标应该是提高安全性和生产力，同时降低成本，停机时间和重复的手动任务。

企业组织可能需要针对不同业务线的高要求的服务组合，并且员工在涉及不同项目时通常具有不同的角色。 VDC要求不同团队之间的良好合作，每个团队都有特定的角色定义，以使系统运行良好的治理。责任，访问和权利矩阵可能很复杂。 VDC中的身份管理是通过Azure Active Directory（Azure AD）和基于角色的访问控制（RBAC）实现的。

目录服务是一种共享信息基础结构，用于定位，管理，管理和组织日常项目和网络资源。这些资源可以包括卷，文件夹，文件，打印机，用户，组，设备和其他对象。目标服务器将网络上的每个资源视为对象。有关资源的信息存储为与该资源或对象关联的属性的集合。

所有Microsoft在线业务服务都依赖Azure Active Directory（Azure AD）来登录和其他身份需求。 Azure Active Directory是一种全面，高度可用的身份和访问管理云解决方案，它结合了核心目录服务，高级身份管理和应用程序访问管理。 Azure AD可以与本地Active Directory集成，以便为所有基于云和本地托管的本地应用程序启用单点登录。本地Active Directory的用户属性可以自动同步到Azure AD。

单个全局管理员不需要在VDC实现中分配所有权限。相反，目录服务中的每个特定部门，用户组或服务都可以拥有在VDC实施中管理自己的资源所需的权限。构建权限需要平衡。权限过多会影响性能效率，权限过少或松散会增加安全风险。 Azure基于角色的访问控制（RBAC）通过为VDC实施中的资源提供细粒度的访问管理，有助于解决此问题。

安全基础设施

安全基础结构是指VDC实现的特定虚拟网段中的流量隔离。该基础结构指定了如何在VDC实现中控制入口和出口。 Azure基于多租户架构，可通过使用VNet隔离，访问控制列表（ACL），负载平衡器，IP过滤器和流量策略来防止部署之间的未授权和无意的流量。网络地址转换（NAT）将内部网络流量与外部流量分开。

Azure结构将基础架构资源分配给租户工作负载，并管理与虚拟机（VM）之间的通信。 Azure虚拟机管理程序强制虚拟机之间的内存和进程分离，并安全地将网络流量路由到客户操作系统租户。

连接到云

VDC实施需要连接到外部网络，以便为客户，合作伙伴和/或内部用户提供服务。这种连接需求不仅指互联网，还指本地网络和数据中心。

客户通过使用Azure防火墙或其他类型的虚拟网络设备（NVA），使用用户定义的路由的自定义路由策略以及使用网络安全组的网络过滤来控制哪些服务可以访问并可从公共Internet访问。我们建议所有面向Internet的资源也受Azure DDoS保护标准的保护。

企业可能需要将其VDC实施连接到本地数据中心或其他资源。在设计有效的体系结构时，Azure与本地网络之间的这种连接是一个至关重要的方面。企业有两种不同的方式来创建这种互连：通过互联网传输或通过私人直接连接。

Azure站点到站点VPN是通过安全加密连接（IPsec / IKE隧道）建立的本地网络和VDC实施之间的Internet上的互连服务。 Azure站点到站点的连接非常灵活，可以快速创建，并且不需要任何进一步的采购，因为所有连接都通过Internet连接。

对于大量VPN连接，Azure虚拟WAN是一种网络服务，可通过Azure提供优化的自动分支到分支连接。虚拟WAN允许您连接和配置分支设备以与Azure通信。连接和配置可以手动完成，也可以通过虚拟WAN伙伴使用首选提供商设备完成。使用首选提供程序设备可以简化使用，简化连接和配置管理。 Azure WAN内置仪表板提供即时故障排除洞察，可帮助您节省时间，并为您提供查看大规模站点到站点连接的简便方法。

ExpressRoute是一种Azure连接服务，可在VDC实施与任何本地网络之间实现专用连接。 ExpressRoute连接不会通过公共Internet，提供更高的安全性，可靠性和更高的速度（高达10 Gbps）以及一致的延迟。 ExpressRoute对VDC实施非​​常有用，因为ExpressRoute客户可以获得与私有连接相关的合规性规则的好处。使用ExpressRoute Direct，您可以以100 Gbps的速度直接连接到Microsoft路由器，以满足具有更大带宽需求的客户。

部署ExpressRoute连接通常涉及与ExpressRoute服务提供商合作。对于需要快速启动的客户，通常最初使用站点到站点VPN在VDC实施和本地资源之间建立连接，然后在与服务提供商的物理互连完成后迁移到ExpressRoute连接。

云中的连接

VNets和VNet对等是VDC实现中的基本网络连接服务。 VNet保证了VDC资源的自然隔离边界，VNet对等允许同一Azure区域内甚至跨区域的不同VNets之间的相互通信。 VNet内部和VNets之间的流量控制需要匹配通过访问控制列表（网络安全组），网络虚拟设备和自定义路由表（用户定义的路由）指定的一组安全规则。

虚拟数据中心概述

拓扑

Hub and spoke是用于为虚拟数据中心实现设计网络拓扑的模型。

如图所示，Azure中可以使用两种类型的中心和辐条设计。用于通信，共享资源和集中安全策略（图中的VNet Hub），或虚拟WAN类型（图中的虚拟WAN），用于大规模分支到分支和分支到Azure通信。

集线器是中央网络区域，用于控制和检查不同区域之间的入口或出口流量：互联网，内部部署和辐条。中心和分支拓扑为IT部门提供了一种在中央位置实施安全策略的有效方法。它还可以减少错误配置和暴露的可能性。

集线器通常包含辐条消耗的公共服务组件。以下示例是常见的中央服务：

1. Windows Active Directory基础结构，用于对从不受信任的网络访问的第三方进行用户身份验证，然后才能访问分支中的工作负载。它包括相关的Active Directory联合身份验证服务（AD FS）。
2. 一种DNS服务，用于解析辐条中工作负载的命名，如果未使用Azure DNS，则访问本地和Internet上的资源。
3. 公钥基础结构（PKI），用于在工作负载上实现单点登录。
4. 辐条网络区域和互联网之间的TCP和UDP流量的流量控制。
5. 辐条和内部部署之间的流量控制。
6. 如果需要，可以在一个辐条和另一个辐条之间进

VDC通过在多个辐条之间使用共享中心基础设施来降低总体成本。

每个辐条的角色可以是托管不同类型的工作负载。辐条还提供了一种模块化方法，可以重复部署相同的工作负载。例如开发和测试，用户验收测试，预生产和生产。辐条还可以隔离并启用组织内的不同组。 Azure DevOps组就是一个例子。在辐条内部，可以部署基本工作负载或复杂的多层工作负载，并在层之间进行流量控制。

订阅限制和多个集线器

在Azure中，每个组件（无论何种类型）都部署在Azure订阅中。在不同Azure订阅中隔离Azure组件可以满足不同LOB的要求，例如设置差异化的访问和授权级别。

单个VDC实施可以扩展到大量辐条，但是，与每个IT系统一样，存在平台限制。中心部署绑定到特定的Azure订阅，该订阅具有限制和限制（例如，最大数量的VNet对等;有关详细信息，请参阅Azure订阅和服务限制，配额和约束）。在限制可能成为问题的情况下，通过将模型从单个集线器辐条扩展到集线器和辐条集群，架构可以进一步扩展。可以使用VNet对等，ExpressRoute，虚拟WAN或站点到站点VPN来连接一个或多个Azure区域中的多个集线器。

多个集线器的引入增加了系统的成本和管理工作量。只有通过可扩展性，系统限制或冗余以及最终用户性能或灾难恢复的区域复制才能证明这一点。在需要多个集线器的场景中，所有集线器都应努力提供相同的服务集，以便于操作。

辐条之间的互连

在单个辐条中，可以实现复杂的多层工作负载。可以使用同一VNet中的子网（每个层一个）实现多层配置，并使用网络安全组过滤流。

架构师可能希望跨多个虚拟网络部署多层工作负载。通过虚拟网络对等，辐条可以连接到同一集线器或不同集线器中的其他辐条。此方案的典型示例是应用程序处理服务器位于一个辐条或虚拟网络中的情况。数据库部署在不同的辐条或虚拟网络中。在这种情况下，很容易将辐条与虚拟网络对等互连，从而避免通过集线器进行转换。应执行仔细的体系结构和安全性检查，以确保绕过集线器不会绕过可能仅存在于集线器中的重要安全性或审核点。

辐条也可以与作为集线器的辐条互连。此方法创建两级层次结构：较高级别（级别0）的轮辐成为层次结构的较低轮辐（级别1）的中心。 VDC实施的辐条需要将流量转发到中央集线器，以便流量可以在本地网络或公共互联网中传输到其目的地。具有两级集线器的体系结构引入了复杂的路由，消除了简单的集线器 - 辐条关系的好处。

虽然Azure允许复杂的拓扑结构，但VDC概念的核心原则之一是可重复性和简单性。为了最大限度地减少管理工作，简单的中心辐条设计是我们推荐的VDC参考架构。

组件

虚拟数据中心由四种基本组件类型组成：基础架构，外围网络，工作负载和监控。

每种组件类型都包含各种Azure功能和资源。您的VDC实现由多个组件类型的实例和相同组件类型的多个变体组成。例如，您可能有许多不同的，逻辑上分离的工作负载实例，它们代表不同的应用程序。您可以使用这些不同的组件类型和实例来最终构建VDC。

前面的VDC高级概念体系结构显示了在轮辐辐射拓扑的不同区域中使用的不同组件类型。该图显示了体系结构各个部分中的基础结构组件。

作为一般的良好实践，访问权限和特权应该是基于组的。处理组而不是单个用户可以通过提供跨团队管理它的一致方式来简化访问策略的维护，并有助于最大限度地减少配置错误。在适当的组中分配和删除用户有助于使特定用户的权限保持最新。

每个角色组的名称都应该有唯一的前缀。此前缀可以轻松识别哪个组与哪个工作负载相关联。例如，托管身份验证服务的工作负载可能具有名为AuthServiceNetOps，AuthServiceSecOps，AuthServiceDevOps和AuthServiceInfraOps的组。集中角色或与特定服务无关的角色可能以公司为前提。例如CorpNetOps。

许多组织使用以下组的变体来提供角色的主要细分：

1. 中央IT集团Corp拥有控制基础架构组件的所有权。网络和安全性的例子。该组需要在订阅，控制中心以及辐条中的网络参与者权限方面担任贡献者。大型组织经常在多个团队之间分配这些管理职责。例如，网络运营CorpNetOps小组专门关注网络和安全运营CorpSecOps小组负责防火墙和安全策略。在这种特定情况下，需要创建两个不同的组来分配这些自定义角色。
2. 开发测试组AppDevOps负责部署应用程序或服务工作负载。该组担任IaaS部署或一个或多个PaaS贡献者角色的虚拟机贡献者角色。请参阅Azure资源的内置角色。可选地，开发/测试团队可能需要对集线器内的安全策略（网络安全组）和路由策略（用户定义的路由）或特定辐条进行可见性。除了工作负载的贡献者角色之外，该组还需要网络阅读器的角色。
3. 运营和维护组CorpInfraOps或AppInfraOps负责管理生产中的工作负载。该组需要成为任何生产订阅中的工作负载的订阅贡献者。一些组织还可能评估他们是否需要一个额外的升级支持团队组，其中包括生产中的订阅贡献者和中心中心订阅。附加组修复了生产环境中的潜在配置问题。

VDC的设计使得为管理集线器的中央IT组创建的组在工作负载级别具有相应的组。除了仅管理中心资源外，中央IT组还能够控制订阅的外部访问和顶级权限。工作负载组还能够独立于中央IT控制其VNet的资源和权限。

VDC被分区以跨不同的业务线（LOB）安全地托管多个项目。所有项目都需要不同的隔离环境（Dev，UAT，生产）。针对每个环境的单独Azure订阅提供了自然隔离。

上图显示了组织的项目，用户和组与部署Azure组件的环境之间的关系。

通常在IT中，环境（或层）是部署和执行多个应用程序的系统。大型企业使用开发环境（进行更改和测试）和生产环境（最终用户使用的环境）。这些环境是分开的，通常在它们之间有几个暂存环境，以便在出现问题时允许分阶段部署（部署），测试和回滚。部署体系结构差别很大，但通常仍然遵循从开发（DEV）开始到生产结束（PROD）的基本过程。

这些类型的多层环境的通用体系结构包括用于开发和测试的Azure DevOps，用于分段的UAT和生产环境。组织可以利用单个或多个Azure AD租户来定义对这些环境的访问权限。上图显示了使用两个不同Azure AD租户的情况：一个用于Azure DevOps和UAT，另一个用于生产。

不同Azure AD租户的存在会强制实现环境之间的分离。同一组用户（例如中央IT）需要使用不同的URI进行身份验证，以访问不同的Azure AD租户，以修改Azure DevOps或项目的生产环境的角色或权限。访问不同环境的不同用户身份验证的存在减少了由人为错误导致的可能中断和其他问题。

组件类型：基础设施

此组件类型是大多数支持基础结构所在的位置。这也是您的集中式IT，安全和合规团队花费大部分时间的地方。

基础设施组件为VDC实施的不同组件提供互连，并且存在于集线器和辐条中。管理和维护基础架构组件的责任通常分配给中央IT和/或安全团队。

IT基础架构团队的主要任务之一是保证整个企业中IP地址架构的一致性。分配给VDC实施的专用IP地址空间必须一致，且不与内部部署网络上分配的专用IP地址重叠。

虽然本地边缘路由器或Azure环境中的NAT可以避免IP地址冲突，但它会增加基础架构组件的复杂性。管理的简单性是VDC的关键目标之一，因此使用NAT来处理IP问题并不是一种推荐的解决方案。

基础架构组件具有以下功能：

1. 身份和目录服务。 Azure中对每种资源类型的访问权限由存储在目录服务中的标识控制。目录服务不仅存储用户列表，还存储特定Azure订阅中资源的访问权限。这些服务可以仅存在于云中，也可以与存储在Active Directory中的本地标识同步。
2. 虚拟网络。虚拟网络是VDC的主要组件之一，使您能够在Azure平台上创建流量隔离边界。虚拟网络由单个或多个虚拟网段组成，每个网段都有一个特定的IP网络前缀（子网）。虚拟网络定义了一个内部周边区域，IaaS虚拟机和PaaS服务可以在其中建立私人通信。一个虚拟网络中的VM（和PaaS服务）无法直接与不同虚拟网络中的VM（和PaaS服务）通信，即使两个虚拟网络都是由同一客户在同一订阅下创建的。隔离是一项关键属性，可确保客户虚拟机和通信在虚拟网络中保持私密。
3. 用户定义的路由。默认情况下，基于系统路由表路由虚拟网络中的流量。用户定义的路由是自定义路由表，网络管理员可以将其关联到一个或多个子网，以覆盖系统路由表的行为并定义虚拟网络中的通信路径。用户定义路由的存在可确保来自分支的出口流量通过特定的自定义VM或网络虚拟设备以及集线器和辐条中存在的负载平衡器进行传输。
4. 网络安全组。网络安全组是一组安全规则，用作IP源，IP目标，协议，IP源端口和IP目标端口的流量过滤。网络安全组可以应用于子网，与Azure VM关联的虚拟NIC卡，或两者。网络安全组对于在集线器和辐条中实施正确的流量控制至关重要。网络安全组提供的安全级别是您打开的端口以及用于何种目的的功能。客户应该使用基于主机的防火墙（如IPtables或Windows防火墙）应用其他每个VM过滤器。
5. DNS。 VDC实施的VNets中的资源名称解析通过DNS提供。 Azure为公共和专用名称解析提供DNS服务。专用区域在虚拟网络和虚拟网络中提供名称解析。您可以让私有区域不仅跨越同一区域中的虚拟网络，还跨越区域和订阅。对于公共解决方案，Azure DNS为DNS域提供托管服务，使用Microsoft Azure基础结构提供名称解析。通过在Azure中托管您的域，您可以使用与其他Azure服务相同的凭据，API，工具和计费来管理DNS记录。
6. 订阅和资源组管理。订阅定义了在Azure中创建多组资源的自然边界。订阅中的资源在名为“资源组”的逻辑容器中组合在一起。资源组表示组织VDC实现资源的逻辑组。
7. RBAC。通过RBAC，可以映射组织角色以及访问特定Azure资源的权限，从而允许您将用户限制为仅某个操作子集。使用RBAC，您可以通过为相关范围内的用户，组和应用程序分配适当的角色来授予访问权限。角色分配的范围可以是Azure订阅，资源组或单个资源。 RBAC允许继承权限。在父作用域中分配的角色也授予对其中包含的子项的访问权限。使用RBAC，您可以分离职责并仅授予他们执行工作所需的用户访问权限。例如，使用RBAC让一个员工管理订阅中的虚拟机，而另一个员工可以管理同一订阅中的SQL DB。
8. VNet对等。用于创建VDC基础结构的基本功能是VNet Peering，这是一种通过Azure数据中心网络连接同一区域中的两个虚拟网络（VNets）的机制，或跨区域使用Azure全球主干网的机制。

组件类型：周边网络

外围网络组件支持本地或物理数据中心网络之间的网络连接，以及与Internet之间的任何连接。这也是您的网络和安全团队可能花费大部分时间的地方。

传入数据包应在到达辐条中的后端服务器之前流经集线器中的安全设备。例如防火墙，IDS和IPS。在离开网络之前，来自工作负载的互联网数据包也应该流经外围网络中的安全设备。此流程的目的是策略执行，检查和审计。

外围网络组件提供以下功能：

1. 虚拟网络，用户定义的路由和网络安全组
2. 网络虚拟设备
3. Azure负载均衡器
4. 具有Web应用程序防火墙（WAF）的Azure应用程序网关
5. 公共知识产权
6. Azure前门与Web应用程序防火墙（WAF）
7. Azure防火墙

通常，中央IT和安全团队负责外围网络的需求定义和操作。

上图显示了两个可以访问互联网和本地网络的周边的强制执行，两者都驻留在DMZ中心。在DMZ中心，使用Web应用防火墙（WAF）和/或Azure防火墙的多个服务器场，可以扩展到Internet的外围网络以支持大量LOB。在集线器中还允许根据需要通过VPN或ExpressRoute进行连接。

1. 虚拟网络。集线器通常构建在具有多个子网的虚拟网络上，以托管不同类型的服务，这些服务通过NVA，WAF和Azure应用程序网关实例过滤和检查进出互联网的流量。
2. 用户定义的路由使用用户定义的路由，客户可以部署防火墙，IDS / IPS和其他虚拟设备，并通过这些安全设备路由网络流量，以实施安全边界策略，审计和检查。可以在集线器和辐条中创建用户定义的路由，以保证流量通过VDC实施使用的特定自定义VM，网络虚拟设备和负载平衡器进行转换。为了保证驻留在分支中的虚拟机生成的流量转移到正确的虚拟设备，需要在分支的子网中设置用户定义的路由，方法是将内部负载均衡器的前端IP地址设置为下一个-跳。内部负载均衡器将内部流量分配给虚拟设备（负载均衡器后端池）。
3. Azure防火墙是一种托管的，基于云的网络安全服务，可保护您的Azure虚拟网络资源。它是一个完全状态的防火墙，具有内置的高可用性和不受限制的云可扩展性。您可以跨订阅和虚拟网络集中创建，实施和记录应用程序和网络连接策略。 Azure防火墙为您的虚拟网络资源使用静态公共IP地址。它允许外部防火墙识别源自您的虚拟网络的流量。该服务与Azure Monitor完全集成，用于记录和分析。
4. 网络虚拟设备。在集线器中，可访问Internet的外围网络通常通过Azure防火墙实例或防火墙或Web应用程序防火墙（WAF）进行管理。
5. 不同的LOB通常使用许多Web应用程序。这些应用程序往往遭受各种漏洞和潜在的攻击。 Web应用程序防火墙是一种特殊类型的产品，用于检测针对Web应用程序（HTTP / HTTPS）的攻击，比通用防火墙更深入。与传统防火墙技术相比，WAF具有一组保护内部Web服务器免受威胁的特定功能。
6. Azure防火墙或NVA防火墙都使用通用管理平面，具有一组安全规则来保护辐条中托管的工作负载，并控制对本地网络的访问。 Azure防火墙内置可扩展性，而NVA防火墙可以在负载均衡器后面手动扩展。通常，与WAF相比，防火墙场具有较少的专用软件，但具有更广泛的应用范围，可以过滤和检查出口和入口中的任何类型的流量。如果使用NVA方法，则可以从Azure市场中找到并部署它们。
7. 对于源自Internet的流量使用一组Azure防火墙（或NVA），对于源自本地的流量使用另一组Azure防火墙（或NVA）。两者仅使用一组防火墙是一种安全风险，因为它在两组网络流量之间不提供安全边界。使用单独的防火墙层可以降低检查安全规则的复杂性，并明确哪些规则对应于哪个传入网络请求。
8. 我们建议您使用一组Azure防火墙实例或NVA来处理源自Internet的流量。使用另一个用于源自本地的流量。两者仅使用一组防火墙是一种安全风险，因为它在两组网络流量之间不提供安全边界。使用单独的防火墙层可降低检查安全规则的复杂性，并明确哪些规则对应于哪个传入网络请求。
9. Azure负载均衡器提供高可用性第4层（TCP，UDP）服务，该服务可以在负载平衡集中定义的服务实例之间分配传入流量。从前端端点（公共IP端点或专用IP端点）发送到负载均衡器的流量可以通过或不使用地址转换重新分配到一组后端IP地址池（例如网络虚拟设备或VM）。
10. Azure负载均衡器也可以探测各种服务器实例的运行状况，当实例无法响应探测时，负载均衡器会停止向不正常的实例发送流量。在VDC中，外部负载平衡器部署到集线器和辐条。在集线器中，负载平衡器用于有效地将流量路由到辐条中的服务，并且在辐条中，负载平衡器用于管理应用程序流量。
11. Azure Front Door（AFD）是Microsoft高度可用且可扩展的Web应用程序加速平台，全局HTTP负载均衡器，应用程序保护和内容交付网络。 AFD在Microsoft全球网络边缘的100多个位置运行，使您能够构建，操作和扩展动态Web应用程序和静态内容。 AFD为您的应用程序提供世界一流的最终用户性能，统一的区域/邮票维护自动化，BCDR自动化，统一的客户端/用户信息，缓存和服务洞察。该平台提供Azure本地开发，运营和支持的性能，可靠性和支持SLA，合规性认证和可审计安全实践。
12. 应用程序网关Microsoft Azure应用程序网关是一种专用虚拟设备，提供应用程序交付控制器（ADC）即服务，为您的应用程序提供各种第7层负载平衡功能。它允许您通过将CPU密集型SSL终止卸载到应用程序网关来优化Web场的生产力。它还提供其他第7层路由功能，包括传入流量的循环分配，基于cookie的会话关联，基于URL路径的路由，以及在单个Application Gateway后面托管多个网站的功能。 Web应用程序防火墙（WAF）也作为应用程序网关WAF SKU的一部分提供。此SKU为Web应用程序提供保护，使其免受常见Web漏洞和漏洞攻击。 Application Gateway可以配置为面向Internet的网关，仅内部网关或两者的组合。
13. 公共知识产权。使用某些Azure功能，您可以将服务端点关联到公共IP地址，以便可以从Internet访问您的资源。此端点使用网络地址转换（NAT）将流量路由到Azure虚拟网络上的内部地址和端口。此路径是外部流量进入虚拟网络的主要方式。您可以配置公共IP地址以确定传入的流量以及将其转换到虚拟网络的方式和位置。
14. Azure DDoS保护标准在基本服务层上提供了专门针对Azure虚拟网络资源进行调整的其他缓解功能。 DDoS Protection Standard易于启用，无需更改应用程序。通过专用流量监控和机器学习算法来调整保护策略。策略应用于与虚拟网络中部署的资源相关联的公共IP地址。示例是Azure负载均衡器，Azure应用程序网关和Azure Service Fabric实例。在攻击期间和历史记录中，可以通过Azure Monitor视图获得实时遥测。可以通过Azure Application Gateway Web应用程序防火墙添加应用程序层保护。为IPv4 Azure公共IP地址提供保护。

组件类型：监控

监视组件提供所有其他组件类型的可见性和警报。所有团队都应该有权访问他们可以访问的组件和服务。如果您有一个集中的服务台或运营团队，则需要对这些组件提供的数据进行集成访问。

Azure提供不同类型的日志记录和监视服务，以跟踪Azure托管资源的行为。 Azure中工作负载的治理和控制不仅基于收集日志数据，还基于根据特定报告事件触发操作的能力。

Azure监视器。 Azure包括多个服务，这些服务分别在监视空间中执行特定角色或任务。这些服务共同提供了一个全面的解决方案，用于从您的应用程序和支持它们的Azure资源中收集，分析和处理遥测。他们还可以监视关键的本地资源，以提供混合监视环境。了解可用的工具和数据是为应用程序开发完整监视策略的第一步。

Azure中有两种主要类型的日志：

Azure活动日志（以前称为“操作日志”）提供对Azure订阅中的资源执行的操作的深入了解。这些日志报告订阅的控制平面事件。每个Azure资源都会生成审核日志。

Azure Monitor诊断日志是由资源生成的日志，该资源提供有关该资源操作的丰富，频繁的数据。这些日志的内容因资源类型而异。

跟踪网络安全组的日志非常重要，尤其是以下信息：

事件日志提供有关基于MAC地址应用于VM和实例角色的网络安全组规则的信息。

计数器日志跟踪每个网络安全组规则运行的次数，以拒绝或允许流量。

所有日志都可以存储在Azure存储帐户中，以进行审计，静态分析或备份。将日志存储在Azure存储帐户中时，客户可以使用不同类型的框架来检索，准备，分析和可视化此数据，以报告云资源的状态和运行状况。

大型企业应该已经获得了监控内部系统的标准框架。他们可以扩展该框架以集成由云部署生成的日志。通过使用Azure Log Analytics，组织可以将所有日志记录保留在云中。 Log Analytics作为基于云的服务实施。因此，只需最少的基础设施服务投资，即可快速完成并快速运行。 Log Analytics还与System Center Operations Manager等System Center组件集成，以将您现有的管理投资扩展到云中。

Log Analytics是Azure中的一项服务，可帮助收集，关联，搜索和操作由操作系统，应用程序和基础架构云组件生成的日志和性能数据。它使用集成的搜索和自定义仪表板为客户提供实时操作洞察，以分析VDC实施中所有工作负载的所有记录。

Azure网络观察程序提供了用于监视，诊断和查看指标以及启用或禁用Azure虚拟网络中资源日志的工具。这是一个多方面的服务，允许以下功能和更多：

1. 监视虚拟机和端点之间的通信。
2. 查看虚拟网络中的资源及其关系。
3. 诊断进出VM的网络流量过滤问题。
4. 诊断VM的网络路由问题。
5. 诊断来自VM的出站连接。
6. 从VM捕获数据包。
7. 诊断Azure虚拟网络网关和连接的问题。
8. 确定Azure区域和Internet服务提供商之间的相对延迟。
9. 查看网络接口的安全规则。
10. 查看网络指标。
11. 分析进出网络安全组的流量。
12. 查看网络资源的诊断日志。

Operations Management Suite内部的网络性能监视器解决方案可以提供端到端的详细网络信息。此信息包括Azure网络和本地网络的单个视图。该解决方案具有ExpressRoute和公共服务的特定监视器。

组件类型：工作负载

工作负载组件是实际应用程序和服务所在的位置。它也是您的应用程序开发团队花费大部分时间的地方。

工作量的可能性是无止境的以下是一些可能的工作负载类型：

内部LOB应用程序：业务线应用程序是对企业持续运营至关重要的计算机应用程序。 LOB应用程序有一些共同特征：

互动性。输入数据，并返回结果或报告。

数据驱动 - 数据密集型，频繁访问数据库或其他存储。

与组织内外的其他系统集成提供集成。

面向客户的网站（互联网或内部）：与互联网交互的大多数应用程序都是网站。 Azure提供在IaaS VM或Azure Web Apps站点（PaaS）上运行网站的功能。 Azure Web Apps支持与VNets集成，允许在分支网络区域中部署Web应用程序。面向内部的网站不需要公开公共互联网端点，因为资源可以通过私有VNet的私有非互联网可路由地址访问。

大数据/分析：当数据需要扩展到大容量时，数据库可能无法正确扩展。 Hadoop技术提供了一个在大量节点上并行运行分布式查询的系统。客户可以选择在IaaS VM或PaaS（HDInsight）中运行数据工作负载。 HDInsight支持部署到基于位置的VNet，可以部署到VDC轮辐中的集群。

事件和消息传递：Azure事件中心是一种超大规模的遥测提取服务，可收集，转换和存储数百万个事件。作为分布式流媒体平台，它提供低延迟和可配置的时间保留，使您能够将大量遥测数据摄入Azure并从多个应用程序中读取该数据。使用事件中心，单个流可以支持实时和基于批处理的管道。

您可以通过Azure Service Bus在应用程序和服务之间实现高度可靠的云消息传递服务。它提供客户端和服务器之间的异步代理消息传递，结构化先进先出（FIFO）消息传递以及发布和订阅功能。

使VDC高度可用：多个VDC

到目前为止，本文主要关注单个VDC的设计，描述了有助于弹性的基本组件和体系结构。 Azure负载均衡器，NVA，可用性集，规模集等Azure功能以及其他机制有助于您在生产服务中构建可靠的SLA级别的系统。

但是，由于单个VDC通常在单个区域内实施，因此可能容易受到影响整个区域的任何重大中断的影响。需要高SLA的客户必须通过在位于不同区域的两个（或更多）VDC实施中部署相同项目来保护服务。

除了SLA问题之外，还有几种常见的场景，其中部署多个VDC实现是有意义的：

• 区域或全球存在。
• 灾难恢复。
• 一种在数据中心之间转移流量的机制。

区域/全球存在

Azure数据中心遍布全球众多地区。选择多个Azure数据中心时，客户需要考虑两个相关因素：地理距离和延迟。要提供最佳用户体验，请评估每个VDC实施之间的地理距离以及每个VDC实施与最终用户之间的距离。

托管VDC实施的区域必须符合贵组织运营的任何法律管辖区制定的监管要求。

灾难恢复

灾难恢复计划的设计取决于工作负载的类型以及在不同VDC实现之间同步这些工作负载状态的能力。理想情况下，大多数客户需要快速故障转移机制，这可能需要在运行多个VDC实施的部署之间进行应用程序数据同步。但是，在设计灾难恢复计划时，重要的是要考虑大多数应用程序对此数据同步可能导致的延迟敏感。

不同VDC实现中的应用程序的同步和心跳监视要求它们通过网络进行通信。可以通过以下方式连接不同区域的两个VDC实现：

• VNet对等 -  VNet对等可以跨区域连接集线器。
• 当每个VDC实现中的集线器连接到同一ExpressRoute电路时，ExpressRoute私有对等。
• 多个ExpressRoute电路通过您的公司骨干网和连接到ExpressRoute电路的多个VDC实现连接。
• 每个Azure区域中VDC实施的集线器区域之间的站点到站点VPN连接。

通常，VNet对等或ExpressRoute连接是首选的网络连接类型，因为在通过Microsoft骨干网传输时具有更高的带宽和一致的延迟级别。

我们建议客户运行网络资格测试以验证这些连接的延迟和带宽，并根据结果确定同步或异步数据复制是否合适。鉴于最佳恢复时间目标（RTO），权衡这些结果也很重要。

灾难恢复：将流量从一个地区转移到另一个地区

Azure流量管理器定期检查不同VDC实施中公共端点的服务运行状况，如果这些端点发生故障，它将使用域名系统（DNS）自动路由到辅助VDC。

由于它使用DNS，因此Traffic Manager仅用于Azure公共端点。该服务通常用于在VDC实施的健康实例中控制或转移到Azure VM和Web Apps的流量。即使在整个Azure区域出现故障的情况下，流量管理器也具有弹性，并且可以根据多个条件控制不同VDC中服务端点的用户流量分布。例如，特定VDC实施中的服务失败，或选择具有最低网络延迟的VDC实施。

摘要

虚拟数据中心是一种数据中心迁移方法，可在Azure中创建可扩展的体系结构，从而最大限度地利用云资源，降低成本并简化系统治理。 VDC基于中心和分支网络拓扑，在集线器中提供通用共享服务，并允许辐条中的特定应用程序和工作负载。 VDC还匹配公司角色的结构，其中不同的部门（如中央IT，DevOps，运营和维护）在执行其特定角色时协同工作。 VDC满足“提升和转移”迁移的要求，但也为本机云部署提供了许多优势。

参考

本文档讨论了以下功能。点击链接了解更多信息。

Network Features	Load Balancing	Connectivity
Azure Virtual Networks Network Security Groups Network Security Group Logs User-Defined Routes Network Virtual Appliances Public IP Addresses Azure DDoS Azure Firewall Azure DNS	Azure Front Door Azure Load Balancer (L3) Application Gateway (L7) [Web Application Firewall][WAF] Azure Traffic Manager	VNet Peering Virtual Private Network Virtual WAN ExpressRoute ExpressRoute Direct

Identity	Monitoring	Best Practices
Azure Active Directory Multi-Factor Authentication Role Base Access Controls Default Azure AD Roles	Network Watcher Azure Monitor Activity Logs Diagnostic Logs Microsoft Operations Management Suite Network Performance Monitor	Perimeter Networks Best Practices Subscription Management Resource Group Management Azure Subscription Limits

Other Azure Services
Azure Web Apps HDInsights (Hadoop) Event Hubs Service Bus

 

原文：https://docs.microsoft.com/en-us/azure/architecture/vdc/networking-virtual-datacenter

本文：https://jiagoushi.pro/azure-virtual-datacenter-network-perspective

讨论：请加入知识星球【首席架构师圈】