AZ-104實作和管理虛擬網路筆記

Private Networking in the cloud

根據IETF RFC 1918規範私有網路(Private IP)

會根據以下3個IP Address Range來設置，只有VNet的內部才看的到。

Public IP則是網路世界都全看的到，常見有

Static IP =>不會再更動，一直保留同一個IP。

Dynamic IP =>當VM一關機重開就重新分配一個動態IP。

那注意Crate Public IP Address 的SKU根據你選Standard或Basic有差異

世界上每一個私有網路（無論是雲端、內部資料中心 on-prem DC，或家用網路）都會使用這些位址區段，並透過它們的 NAT Gateway（該閘道擁有公開 IP）互相通訊。

NAT 是 Network Address Translation（網路位址轉換）的縮寫。它的功能是把私有 IP 位址轉換成公開 IP 位址，反之亦然。

這也就是為何即便至今已有數兆台裝置，我們仍能用 IPv4 位址來管理的原因。

Virtual Network(虛擬網路)的組成

定義虛擬網路的空間也就是Address Space，VNet就有點像是一個房子，並切分不同空間的Subnet，比方哪裡是客廳哪邊是臥室、浴室....。

那後續你可能還會去跨不同房子去打通、進行溝通。(跨VNet溝通)，常見做法透過VPN Gateway去跟地端的機器打通或是所謂的VNet Peering來跨虛擬網路之間溝通。

規劃Virtual Network常見要注意的細節

VNet是可以支援IPv6的
可以透過不為子網提供對外出站的 NAT Gateway（NATG），來將該子網設為私有。
可以在「安全性（Security）」分頁使用 VNet 加密來加密虛擬網路中資源之間的流量。
可以使用網路安全群組（Network Security Groups，NSG）與應用程式安全群組（Application Security Groups，ASG）的規則來過濾子網之間的流量，這些規則會指定來源與目的 IP 位址、連接埠（port）與協定（protocol）。

NSG(Network Security Group)網路安全群組

ASG(Application Security Group)應用程式安全組

舉例:

為 Web 層和 DB 層分別建立 ASG，並將多台 VM 加入對應的群組。

再建立 NSG（Network Security Group），規定 DB 層只能接受來自 Web 層的流量，不能直接來自 Internet。

Azure Firewall

別於 Network Security Groups (NSGs)只提供Filter traffic at the network layer.

Firewalls: Provide more advanced filtering, including application-layer security.

是一個Stateful Firewall as service並可以跨Region、Network使用。
內建High Availability以及scalability
後續整合LOG跟分析到Azure Monitor
SKUs : 細分為Standard , Premium , Basic
可以使用 Azure Firewall Manager 來跨多個訂閱（subscriptions）集中管理 Azure 防火牆。
Firewall Manager 會使用防火牆政策（firewall policies），將一組共用的網路／應用程式規則與設定套用到租戶中的防火牆。透過Policy設定Rule有開啟才可通過。
Firewall Manager 支援部署在虛擬網路（virtual network）與虛擬 WAN（virtual WAN，Secure Virtual Hub）環境中的防火牆。

Azure FIrewall Standard

Azure Firewall Premium則提供更高階功能:

Azure Firewall Basic

為中小型企業（SMB）設計，用來保護其 Azure 雲端環境。

以經濟可負擔的價格提供中小型企業所需的基本防護。

類似於 Firewall Standard，但具有以下主要限制：

第25個冬天