Panoramica dei servizi di rete di Azure

I servizi di networking Azure collegano le tue risorse Azure tra loro, alle reti on-premises e a internet. Bilanciano il carico di quel traffico, lo proteggono e lo monitorano. Insieme, questi servizi ti permettono di costruire una rete privata, altamente disponibile e protetta nel cloud senza dover distribuire o mantenere hardware fisico di rete.

Questo articolo è il punto di ingresso alla documentazione di networking di Azure. Raggruppa i servizi in sei categorie, riassume cosa fa ciascun servizio e collega ogni hub di categoria dove puoi esplorare quell'area in profondità.

I servizi di networking Azure si suddividono in sei categorie. Seleziona una categoria per esplorare i suoi servizi:

• Base di rete: connettività core per le tue risorse in Azure - Rete virtuale (VNet), collegamento privato, DNS di Azure, Azure Bastion, Route Server, NAT Gateway e Traffic Manager.
• Bilanciamento del carico e consegna dei contenuti: gestisci, distribuisci e ottimizza le tue applicazioni e i carichi di lavoro - Load Balancer, Application Gateway e Frontdoor di Azure.
• Connettività ibrida: comunicazione sicura da e verso le tue risorse in Azure - Gateway VPN, ExpressRoute, rete WAN virtuale e Peering Service.
• Sicurezza di rete: Proteggi le tue applicazioni web e i servizi IaaS da attacchi DDoS e attori malintenzionati - Firewall Manager, Firewall, Web application firewall e DDoS Protection.
• Gestione e monitoraggio della rete: Gestisci e monitora le tue risorse di rete - Network Watcher, Monitoraggio di Azure e gestione rete virtuale di Azure.
• Rete container: Sicurezza e osservabilità migliorate per carichi di lavoro containerizzati su Servizio Azure Kubernetes (AKS) - Sicurezza della rete container e osservabilità della rete container.

La tabella seguente riassume ogni categoria di rete, i suoi servizi chiave e il suo caso d'uso principale:

Servizi di base di rete di Azure

Questa sezione descrive i servizi che forniscono i blocchi predefiniti per la progettazione e la progettazione di un ambiente di rete in Azure - Rete virtuale (VNet), collegamento privato, DNS di Azure, Azure Bastion, Server di route, gateway NAT e Gestione traffico.

Rete virtuale

Rete virtuale di Azure (VNet) è il blocco predefinito fondamentale per la rete privata in Azure. Usa le reti virtuali per:

• Comunicare tra risorse Azure: Distribuire macchine virtuali e diversi altri tipi di risorse Azure su una rete virtuale, come Servizio app di Azure Environments, Servizio Azure Kubernetes (AKS), e Set di scalabilità di macchine virtuali di Azure. Per visualizzare un elenco completo delle risorse di Azure che è possibile distribuire in una rete virtuale, vedere Integrazione del servizio di rete virtuale.
• Comunicare tra loro: collegare le reti virtuali tra loro, permettendo alle risorse di entrambe le reti virtuali di comunicare tra loro, utilizzando il peering virtuale o gestione rete virtuale di Azure. Le reti virtuali connesse possono essere in aree di Azure uguali o diverse. Per altre informazioni vedere Peering di reti virtuali e Gestione rete virtuale di Azure.
• Comunicare con Internet: per impostazione predefinita tutte le risorse in una rete virtuale possono comunicare in uscita verso Internet. Per la comunicazione in ingresso con una risorsa, è possibile assegnarle un indirizzo IP pubblico o un servizio di bilanciamento del carico pubblico. Puoi anche usare indirizzi IP pubblici o un Load Balancer pubblico per gestire le connessioni in uscita.
• Comunica con reti on-premises: collega i computer e le reti on-premises a una rete virtuale utilizzando Gateway VPN o ExpressRoute.
• Criptare il traffico tra risorse: Usa la crittografia della rete virtuale per cifrare il traffico tra risorse in una rete virtuale.

Gruppi di sicurezza di rete

Filtra il traffico di rete da e verso le risorse Azure in una rete virtuale Azure utilizzando un gruppo di sicurezza di rete. Per altre informazioni, vedere Gruppi di sicurezza di rete.

Endpoint di servizio

Gli endpoint del servizio di rete virtuale (VNet) estendono lo spazio indirizzi privato della rete virtuale e l'identità della rete virtuale ai servizi di Azure tramite una connessione diretta. Gli endpoint consentono di proteggere le risorse critiche del servizio Azure solo nelle reti virtuali. Il traffico che transita dalla rete virtuale al servizio di Azure rimane sempre nella rete backbone di Microsoft Azure.

Collegamento privato di Azure

collegamento privato di Azure ti permette di accedere ai servizi PaaS Azure (ad esempio, Archiviazione di Azure e SQL Database) e ai servizi ospitati da clienti o partner Azure tramite un endpoint privato nella tua rete virtuale. Il traffico tra la rete virtuale e il servizio attraversa la rete backbone di Microsoft. Non è più necessario esporre il servizio alla rete Internet pubblica. È possibile creare un servizio Collegamento privato personale nella rete virtuale e distribuirlo ai clienti.

DNS di Azure

DNS di Azure fornisce hosting e risoluzione DNS utilizzando l'infrastruttura di Microsoft Azure. DNS di Azure è costituito da tre servizi:

• DNS pubblico di Azure è un servizio di hosting per i domini DNS. L'hosting dei domini in Azure consente di gestire i record DNS usando gli stessi strumenti, credenziali, API e fatturazione usati per altri servizi Azure.
• DNS privato di Azure è un servizio DNS per le reti virtuali. DNS privato di Azure gestisce e risolve i nomi di dominio nella rete virtuale senza configurare una soluzione DNS personalizzata.
• DNS di Azure Private Resolver è un servizio per interrogare le zone private DNS di Azure da un ambiente on-premises e viceversa, senza dover distribuire server DNS basati su VM.

Utilizzando DNS di Azure, puoi ospitare e risolvere domini pubblici, gestire la risoluzione DNS nelle tue reti virtuali e abilitare la risoluzione dei nomi tra Azure e le risorse on-premise.

Azure Bastion

Azure Bastion è un servizio che puoi implementare in una rete virtuale per connetterti a una macchina virtuale usando il tuo browser e il portale Azure. Puoi anche connetterti usando il client SSH o RDP nativo già installato sul tuo computer locale. Azure Bastion è un nuovo servizio PaaS completamente gestito dalla piattaforma distribuita all'interno della rete virtuale. Offre connettività RDP/SSH sicura e ininterrotta con le macchine virtuali dal portale di Azure tramite TLS. Quando ti connetti tramite Azure Bastion, le tue macchine virtuali non hanno bisogno di un indirizzo IP pubblico, di un agente o di un software client speciale. Azure Bastion offre quattro livelli DI SKU: Developer, Basic, Standard e Premium. Il livello che scegli influisce sulle caratteristiche disponibili. Per altre informazioni, vedere Informazioni sulle impostazioni di configurazione di Bastion.

Server di route Azure

Il server di route di Azure semplifica il routing dinamico tra l'appliance virtuale di rete (NVA) e la rete virtuale. Puoi scambiare informazioni di routing direttamente tramite il protocollo di routing Border Gateway Protocol (BGP) tra qualsiasi NVA che supporti il protocollo di routing BGP e l'Azure Software Defined Network (SDN) nell'Rete virtuale di Azure (VNet) senza dover configurare o mantenere manualmente le tabelle di instradamento.

Gateway di NAT

NAT Gateway semplifica la connettività internet solo in uscita per le reti virtuali. Quando la configuri su una subnet, tutta la connettività in uscita utilizza gli indirizzi IP pubblici statici specificati. La connettività in uscita è possibile senza bilanciamento del carico o indirizzi IP pubblici collegati direttamente alle macchine virtuali. Per maggiori informazioni, vedi Cos'è il gateway NAT di Azure.

Traffic Manager

Gestione traffico di Azure è un bilanciatore di carico del traffico basato su DNS che distribuisce il traffico in modo ottimale ai servizi tra le regioni Azure globali, offrendo al contempo alta disponibilità e reattività. Traffic Manager fornisce una gamma di metodi di instradamento del traffico per distribuire il traffico, quali priorità, ponderazione, prestazioni, area geografica, multivalore o subnet.

Il diagramma seguente illustra il routing basato su priorità degli endpoint con Gestione traffico:

Per altre informazioni su Gestione traffico, vedere Che cos'è Gestione traffico di Azure?

Azure bilanciamento del carico e servizi di distribuzione dei contenuti

Questa sezione descrive i servizi di rete in Azure che aiutano a fornire applicazioni e carichi di lavoro - Load Balancer, Application Gateway e Frontdoor di Azure.

Bilanciatore di carico

Azure Load Balancer offre prestazioni elevate e bilanciamento del carico di livello 4 a bassa latenza per tutti i protocolli UDP e TCP. Gestisce le connessioni in ingresso e in uscita. È possibile configurare endpoint con carico bilanciato pubblici e interni Puoi definire regole per mappare le connessioni in ingresso alle destinazioni del pool back-end, utilizzando opzioni di verifica dell'integrità TCP e HTTP per gestire la disponibilità del servizio.

Azure Load Balancer è disponibile nelle SKU Standard e Gateway.

Il diagramma seguente mostra un'applicazione multitier rivolta a internet che utilizza sia bilanciatori di carico esterni che interni:

Application Gateway

Application Gateway di Azure è un servizio di bilanciamento del carico del traffico web che puoi utilizzare per gestire il traffico verso alle tue applicazioni web. È un Application Delivery Controller (ADC) come servizio, che offre varie funzionalità di bilanciamento del carico di livello 7 per le tue applicazioni.

Il diagramma seguente mostra il routing basato su percorso URL con Application Gateway.

Frontdoor di Azure

Frontdoor di Azure ti aiuta a definire, gestire e monitorare il routing globale per il tuo traffico web ottimizzando per ottenere le migliori prestazioni e un failover globale istantaneo per un'alta disponibilità. Utilizzando Front Door, puoi trasformare le tue applicazioni globali (multiregione) per consumatori e aziende in applicazioni moderne, API e contenuti personalizzati e robusti che raggiungono un pubblico globale con Azure. Usa Front Door quando hai bisogno di un punto di ingresso globale, di livello 7, che combini cache di rete di distribuzione dei contenuti (CDN), offload SSL e un firewall per applicazioni web (WAF) davanti a backend multiregione.

Servizi di connettività ibrida Azure

Questa sezione descrive i servizi di connettività di rete che collegano in modo sicuro la tua rete on-premises e Azure - Gateway VPN, ExpressRoute, rete WAN virtuale e Peering Service.

Gateway VPN

Gateway VPN aiuta a creare connessioni locali crittografate alla rete virtuale da posizioni locali oppure creare connessioni crittografate tra reti virtuali. Sono disponibili diverse configurazioni per le connessioni Gateway VPN. Alcune delle funzionalità principali includono:

• Connettività VPN da sito a sito
• Connettività VPN da punto a sito
• Connettività VPN VNet-a-VNet

Il diagramma seguente mostra più connessioni VPN da sito a sito alla stessa rete virtuale. Per visualizzare altri diagrammi di connessione vedere Gateway VPN - Progettazione.

ExpressRoute

ExpressRoute estende le tue reti on-premises nel cloud Microsoft tramite una connessione privata facilitata da un fornitore di connettività. Questa connessione è privata. Il traffico non passa da Internet. Utilizzando ExpressRoute, puoi connetterti ai servizi cloud di Microsoft come Microsoft Azure, Microsoft 365 e Dynamics 365.

rete WAN virtuale

Rete WAN virtuale di Azure è un servizio di rete che riunisce molte funzionalità di rete, di sicurezza e di routing per fornire una singola interfaccia operativa. Ti connetti a Azure VNets usando connessioni di rete virtuali. Alcune delle funzionalità principali includono:

• Connettività tra rami (tramite l'automazione da dispositivi partner della rete WAN virtuale, ad esempio SD-WAN o CPE VPN)
• Connettività VPN da sito a sito
• Connettività VPN per utenti remoti (point-to-site)
• Connettività privata (ExpressRoute)
• Connettività intracloud (connettività transitiva per le reti virtuali)
• Connettività tra VPN ed ExpressRoute
• Routing, firewall di Azure e crittografia per la connettività privata

Servizio di peering

Il servizio peering Azure migliora la connettività dei clienti con i servizi cloud Microsoft come Microsoft 365, Dynamics 365, software as a service (SaaS), Azure o qualsiasi servizio servizi Microsoft accessibile tramite internet pubblico. I partner del Peering Service forniscono un routing ottimizzato e affidabile verso il network edge di Microsoft, riducendo latenza e perdita di pacchetti rispetto al tipico transito internet per il traffico destinato ai servizi cloud Microsoft.

Servizi di sicurezza di rete di Azure

Questa sezione descrive i servizi di rete in Azure che proteggono e monitorano le risorse della tua rete - Firewall Manager, Firewall, Web application firewall e DDoS Protection.

Gestore del firewall

Gestione firewall di Azure è un servizio di gestione della sicurezza che fornisce politiche di sicurezza centralizzate e gestione del routing per i perimetri di sicurezza basati su cloud. Firewall Manager può fornire la gestione della sicurezza per due tipi di architettura di rete: hub virtuale sicuro e hub rete virtuale. Usa Gestione firewall di Azure per distribuire più istanze di Firewall di Azure tra regioni Azure e abbonamenti, implementare piani di protezione DDoS, gestire le policy firewall delle applicazioni web e integrare con il partner-security-as-a-service per una sicurezza migliorata.

Firewall di Azure

Firewall di Azure è un servizio di sicurezza di rete gestito basato sul cloud che consente di proteggere le risorse della rete virtuale di Azure. Utilizzando Firewall di Azure, puoi creare, far rispettare e registrare centralmente le politiche di connettività di applicazioni e rete tra abbonamenti e reti virtuali. Firewall di Azure utilizza un indirizzo IP pubblico statico per le risorse della rete virtuale, così i firewall esterni possono identificare il traffico proveniente dalla tua rete virtuale.

Firewall per applicazioni web

Web application firewall di Azure (WAF) protegge le tue applicazioni web da comuni exploit web e vulnerabilità come l'iniezione SQL e lo scripting cross-site. Azure WAF fornisce protezione pronta all'uso dalle vulnerabilità OWASP Top 10 tramite regole gestite. Inoltre, puoi configurare regole personalizzate per fornire una protezione aggiuntiva in base all'intervallo di IP di origine e agli attributi delle richieste come intestazioni, cookie, campi dati form o parametri della stringa di query.

Puoi distribuire Azure WAF con Application Gateway, che fornisce protezione regionale a entità in spazi di indirizzamento pubblico e privato. Puoi anche distribuire Azure WAF con Front Door, che fornisce protezione al margine della rete verso endpoint pubblici.

Protezione DDoS

Protezione DDoS di Azure garantisce contromisure contro le minacce DDoS più sofisticate. Il servizio offre funzionalità avanzate di mitigazione DDoS per le applicazioni e le risorse distribuite nelle reti virtuali. Inoltre, con Azure DDoS Protection, hai accesso al supporto DDoS Rapid Response per coinvolgere esperti DDoS durante un attacco attivo.

La protezione DDoS di Azure è costituita da due livelli:

• Protezione della rete DDoS, insieme alle procedure consigliate per la progettazione delle applicazioni fornisce funzionalità avanzate di mitigazione DDoS per difendersi dagli attacchi DDoS. Viene ottimizzato automaticamente per proteggere le risorse di Azure specifiche in una rete virtuale.
• Protezione dell’IP DDoS è un modello IP con pagamento in base ala protezione fornita. Protezione IP DDoS contiene le stesse funzionalità di progettazione di base di Protezione della rete DDoS, ma differisce nei servizi a valore aggiunto seguenti: supporto di risposta rapida DDoS, protezione dei costi e sconti su WAF.

Servizi di gestione e monitoraggio di rete Azure

Questa sezione descrive i servizi di gestione e monitoraggio della rete in Azure - Network Watcher, Monitoraggio di Azure e Azure Rete virtuale Manager.

Azure Network Watcher

Azure Network Watcher fornisce gli strumenti per il monitoraggio, la diagnostica, la visualizzazione delle metriche e l'abilitazione o la disabilitazione dei log per le risorse in una rete virtuale di Azure.

Monitoraggio di Azure

Monitoraggio di Azure ottimizza la disponibilità e le prestazioni delle applicazioni in uso offrendo una soluzione completa per raccogliere e analizzare la telemetria e intervenire di conseguenza dal cloud e dagli ambienti locali. È utile per ottenere informazioni sulle prestazioni delle applicazioni e identificare in modo proattivo i problemi delle applicazioni e delle risorse da cui dipendono.

Gestione rete virtuale di Azure

gestione rete virtuale di Azure è un servizio di gestione che utilizzi per raggruppare, configurare, distribuire e gestire reti virtuali a livello globale tra abbonamenti. Utilizzando programma di traduzione, puoi definire gruppi di rete per identificare e segmentare logicamente le tue reti virtuali. Successivamente è possibile determinare la connettività e le configurazioni di sicurezzadesiderate e applicarle contemporaneamente in tutte le reti virtuali selezionate nei gruppi di rete.

Servizi di rete per contenitori di Azure

Questa sezione descrive i servizi che proteggono e monitorano il traffico di rete per carichi di lavoro containerizzati che girano su Servizio Azure Kubernetes (AKS) - Sicurezza della rete dei container e osservabilità della rete dei container. Entrambi i servizi fanno parte di Advanced Container Networking Services.

Sicurezza di rete dei contenitori

La sicurezza della rete container offre un controllo migliorato sulla sicurezza della rete AKS. Utilizzando funzionalità come il filtraggio full qualified domain name (FQDN), i cluster che utilizzano Azure CNI Powered by Cilium possono implementare policy di rete basate su FQDN per ottenere un'architettura di sicurezza Zero Trust in AKS.

Osservabilità della rete dei contenitori

L'osservabilità della rete container utilizza il piano di controllo di Hubble per fornire una visibilità completa della rete e delle prestazioni AKS. Offre informazioni dettagliate in tempo reale su metriche a livello di nodo, a livello di pod, TCP e DNS, garantendo un monitoraggio approfondito dell'infrastruttura di rete.

Contenuti correlati

• Servizi di base di rete di Azure
• Azure bilanciamento del carico e servizi di distribuzione dei contenuti
• Servizi di connettività ibrida Azure
• Azure network security services
• Servizi di gestione e monitoraggio di rete Azure
• Servizi di rete dei contenitori avanzati
• Crea la tua prima rete virtuale
• Configurare una connessione VPN da punto a sito
• Crea un bilanciatore di carico rivolto a internet