Die Nordlicht Reisen GmbH hat zwei virtuelle Netze: ein Netz hub mit gemeinsamen Diensten und ein Netz spoke-buchung mit dem Buchungsportal. Beide sollen sich über private Adressen erreichen, ohne das Internet zu benutzen. Außerdem soll der Verkehr des Portals durch ein Gerät im Hub laufen, bevor er das Netz verlässt. Die Prüfung nennt das: virtuelles Netzwerk-Peering erstellen und konfigurieren und benutzerdefinierte Netzwerkrouten konfigurieren.
Vorwissen: Adressräume und Subnetze legt Lektion 4.1 an. Dort steht auch, dass sich Adressbereiche nicht überschneiden dürfen. Was Netze und Subnetze sind, steht in „AZ-900 kompakt“, Lektion 2.4. Filter für den Verkehr (NSGs) folgen in Lektion 4.3.
Virtual Network Peering
Peering verbindet zwei virtuelle Netze so, dass sie für die Verbindung wie ein Netz erscheinen. Der Verkehr läuft über das Rückgrat von Microsoft und nur über private IP-Adressen, ohne Internet und ohne Gateway. Microsoft nennt als Vorteile: geringe Verzögerung, hohe Bandbreite und keinen Ausfall der Ressourcen beim Einrichten.
| Art | Netze liegen |
|---|---|
| Peering | in derselben Region |
| Global Peering | in verschiedenen Regionen |
Die Netze dürfen in verschiedenen Abonnements und sogar in verschiedenen Microsoft-Entra-Mandanten liegen. Für Peering braucht man in beiden Abonnements die Rolle Network Contributor. Mit Netzen in anderen Abonnements oder Gruppen geben Sie in CLI und PowerShell die vollständige Ressourcen-ID des Partnernetzes an.
Zwei Verbindungen, ein Zustand
Ein Peering besteht aus zwei Verbindungen (links), je eine pro Richtung. Das Portal legt beim Hinzufügen beide an; mit der CLI führen Sie den Befehl zweimal aus, mit vertauschten Netzen.
| Zustand | Bedeutung |
|---|---|
| Initiated | nur die erste Verbindung existiert; legen Sie die zweite an |
| Connected | beide Verbindungen existieren, Verkehr fließt |
| Disconnected | eine Verbindung wurde gelöscht; löschen Sie die verbleibende und legen Sie beide neu an |
$hub = az network vnet show --resource-group rg-az104-peering --name vnet-hub --query id --output tsv
$spoke = az network vnet show --resource-group rg-az104-peering --name vnet-spoke --query id --output tsv
az network vnet peering create --resource-group rg-az104-peering --vnet-name vnet-hub --name hub-to-spoke --remote-vnet $spoke --allow-vnet-access
az network vnet peering create --resource-group rg-az104-peering --vnet-name vnet-spoke --name spoke-to-hub --remote-vnet $hub --allow-vnet-access
az network vnet peering show --resource-group rg-az104-peering --vnet-name vnet-hub --name hub-to-spoke --query peeringState
Azure PowerShell: Add-AzVirtualNetworkPeering. Im Portal: im virtuellen Netz unter Peerings der Eintrag Add (das Portal heißt je nach Spracheinstellung anders).
Die Einstellungen
Jede Verbindung hat vier Einstellungen. Die ersten beiden gelten für den Verkehr, die anderen für Gateways:
| Einstellung (CLI-Schalter) | Standard | Bedeutung |
|---|---|---|
Zugriff auf das Partnernetz (--allow-vnet-access) |
im Portal an; in der CLI nennen Sie den Schalter ausdrücklich | Ressourcen dieses Netzes erreichen die des Partnernetzes |
Weitergeleiteten Verkehr zulassen (--allow-forwarded-traffic) |
aus | das Netz nimmt Verkehr an, der nicht im Partnernetz entstand, sondern von dort weitergeleitet wird (zum Beispiel über ein Gerät) |
Gateway-Transit (--allow-gateway-transit) |
aus | das Partnernetz darf das Gateway dieses Netzes benutzen |
Entferntes Gateway nutzen (--use-remote-gateways) |
aus | dieses Netz benutzt das Gateway des Partnernetzes; nur bei einem Peering des Netzes möglich und nicht, wenn das Netz selbst ein Gateway hat |
Die Einstellung „weitergeleiteter Verkehr“ erzeugt keine Routen und keine Geräte. Routen und Geräte legen Sie selbst an (siehe unten).
Grenzen
- Die Netze müssen nicht überlappende Adressräume haben. Sonst scheitert das Anlegen.
- Peering ist nicht transitiv: Ist A mit B und B mit C gepeert, sind A und C nicht verbunden. Jedes Paar braucht ein eigenes Peering, oder Sie leiten den Verkehr über ein Gerät im Hub (siehe unten).
- Ein Netz, das Teil eines Peerings ist, lässt sich nicht in eine andere Gruppe oder ein anderes Abonnement verschieben. Löschen Sie zuerst das Peering.
- Ändern Sie den Adressraum eines gepeerten Netzes, müssen Sie das Peering danach synchronisieren (
az network vnet peering sync); sonst kann es in den Zustand Disconnected fallen. - Über Global Peering sind Ressourcen hinter einem Basic-Load-Balancer nicht erreichbar; ein Standard-Load-Balancer funktioniert.
- Die Gebühren für Peering stehen auf der Preisseite von Virtual Network.