[新产品/新功能] Azure 子网对等连接介绍

<!-- AI_TASK_START: AI标题翻译 --> [新产品/新功能] Azure 子网对等连接介绍 <!-- AI_TASK_END: AI标题翻译 --> <!-- AI_TASK_START: AI竞争分析 --> # 产品功能分析 ## 新功能/新产品概述 Azure Subnet Peering 是对现有 VNET Peering 的扩展，允许用户仅连接特定子网地址空间，而非整个 VNET 地址空间。该功能的核心目标是优化 IPv4 地址空间利用、减少不必要的子网暴露，并支持 IPv6 仅 peering 模式。**Subnet Peering** 适用于需要精细控制网络连接的场景，例如云环境中的 hub and spoke 架构、双栈子网的 IPv6 连接，以及与本地数据中心的网关集成。背景在于，随着云计算需求的增长，用户面临地址空间重叠和安全暴露的问题，该功能针对 Azure 虚拟网络用户群（如企业 IT 管理员和开发人员）提供更灵活的网络互连选项，市场定位聚焦于提升网络效率和安全性。 ## 关键客户价值 - **地址空间优化**：通过仅 peering 特定子网，用户能在重叠地址空间的 VNET 之间实现连接，节省 IPv4 地址资源，避免不必要的广播流量，从而降低潜在的安全风险。该机制在 hub and spoke 模型中特别突出，与传统 VNET Peering 的全地址空间连接相比，减少了暴露面，提升了网络隔离性。 - **IPv6 优先支持**：在双栈子网场景下，用户可选择仅使用 IPv6 进行 peering，促进 IPv6 迁移，减少 IPv4 依赖。该优势在全球 IPv6 采用趋势中体现，帮助客户实现更高效的跨区域连接，但需注意可能受限于 IPv6 兼容性。 - **网关场景控制**：允许管理员仅暴露特定子网给本地数据中心，减少整体网络暴露，提高数据传输的安全性。与竞品如 AWS VPC Peering 相比，Azure 的子网级控制提供更精细的访问管理，但可能在多 peering 场景下面临配置复杂性。 ## 关键技术洞察 - **技术独特性**：**Subnet Peering** 基于 VNET Peering 构建，引入新参数如 **--peer-complete-vnet**（设置为 false 时启用子网级 peering）和 **--enable-only-ipv6**（启用 IPv6 仅模式），允许用户指定本地和远程子网名称进行连接。该技术工作原理是通过 Azure 的网络路由引擎动态评估子网唯一性和地址空间，确保仅选定子网间建立路由表，而非全 VNET 广播。 - **创新点与影响**：创新在于提供子网级粒度控制，提升了网络的灵活性和安全性，例如在高并发环境中减少路由开销，提高资源利用率。但对性能的影响包括：可用性依赖于子网唯一性检查，可能导致 peering 失败；安全性通过限制暴露面增强，但在大规模组网时，管理复杂性上升，可能影响整体可用性。挑战包括子网数量限制（≤400）和 peering 链接的不可变性，Azure 通过更新路由策略（如未来移除非 peering 子网的转发路由）来解决，但当前公测版本需订阅白名单，增加了初始采用门槛。 ## 其他信息 - **实施限制**：子网必须属于唯一地址空间，且每个 peering 链接仅支持一种类型；不支持与 Azure Virtual WAN 或 AVNM 的直接集成，可能导致在混合环境中配置冲突，用户需谨慎管理。 - **配置方式**：通过 Azure CLI 或 API 添加参数，如 `az network vnet peering create --peer-complete-vnet 0 --local-subnet-names subnet1`，需先注册订阅以访问公测功能。 <!-- AI_TASK_END: AI竞争分析 --> <!-- AI_TASK_START: AI全文翻译 --> # Azure 中的子网对等连接介绍 **原始链接:** [https://techcommunity.microsoft.com/blog/azurenetworkingblog/introducing-subnet-peering-in-azure/4383841](https://techcommunity.microsoft.com/blog/azurenetworkingblog/introducing-subnet-peering-in-azure/4383841) **发布时间:** 2025-04-14 **厂商:** AZURE **类型:** TECH-BLOG ---  Azure Networking Blog # Azure 中的子网对等连接介绍 2025 年 4 月 14 日 ## 子网对等连接功能允许用户在本地和远程虚拟网络 (VNETs) 之间对等特定子网，通过重用来节省 IPv4 地址空间，限制非对等子网通过中心网关的不必要暴露，并为双栈子网实现仅 IPv6 对等连接。 子网对等连接 (Subnet Peering) 是连接两个虚拟网络 (VNETs) 的方法，通过链接子网地址空间而不是整个 VNET 地址空间。它让用户指定哪些子网应该参与本地和远程 VNET 之间的对等连接。 这是在 VNET 对等连接 (VNET Peering) 基础上添加的灵活性，用户可以选择需要跨 VNETs 对等的特定子网。用户可以输入要对等的子网列表。相比之下，在常规 VNET 对等连接中，整个地址空间/子网都会对等。 *注意: 该功能在 TF、CLI、API、ARM、PS 中可用，并覆盖所有区域。该功能正在按需基础向选定客户推出。要使用它，需要将您的订阅列入白名单。请填写此 [表格](https://forms.office.com/r/99J2fSfd9L) 以注册您的订阅。* **关键客户用例：** 1. **对等地址空间重叠的 VNETs 中的子网**（前提是待对等的子网具有唯一地址并属于唯一地址空间 – 下面的典型场景描绘了中心辐射模型）。参考下面的图像：  2. **在双栈子网的情况下，仅通过 IPv6 对等子网** – 通过子网对等连接，用户可以选择在本地和远程 VNETs 中使用双栈子网时，仅通过 IPv6 地址空间进行对等。这将使客户依赖 IPv6 进行对等连接。参考下面的图像：  3. **与本地连接相关的网关场景**，其中管理员希望仅将某些子网暴露给本地环境，而非全部。参考下面的图像：  #### **子网对等连接 - 检查和限制** 我们将讨论本版本中子网对等连接的一些关键方面。考虑以下  子网对等连接插图 关键点如下： 1. 参与的对等子网 **必须是唯一的** 并且 **必须属于唯一的地址空间**。 例如，在上述图中 VNET A 和 VNET C 之间的对等连接（黑色箭头线），VNET A 无法使用 Subnet 1、Subnet 2 和 Subnet 3 与 VNET C 中的任何子网进行子网对等，因为这些 VNET A 的子网属于 10.1.0.0/16 地址空间，而 VNET C 中也有此地址空间。 然而，VNET A 的 Subnet 4（10.0.1.0/24）可以与 VNET C 中的 Subnet 5（10.6.1.0/24）进行子网对等，因为这些子网在 VNETs 之间是唯一的，并且属于唯一的地址空间。请注意，Subnet 4 属于 VNET A 中的 10.0.0.0/16 地址空间，而 Subnet 5 属于 VNET C 中的 10.6.0.0/16 地址空间。 2. **任意两个 VNETs 之间只能有一个对等连接**。如果要添加或删除子网，必须更新相同的对等连接。这也意味着多个独占对等连接是不可能的。 此外，给定对等连接类型不能更改。这意味着，如果 VNET A 和 VNET B 之间存在 VNET 对等连接，而用户想将其更改为子网对等连接，则需要删除现有的 VNET 对等连接，并创建新的对等连接，使用所需的子网对等参数，反之亦然。 3. **参与对等连接的子网数量应小于或等于 400（本地和远程各限 200）**。例如，在 VNET A 和 VNET B 的对等连接中（蓝色箭头线所示），参与对等的子网总数为 4（VNET A 的两个子网和 VNET B 的两个子网）。此数字应 <= 400。 4. 在本版本中（公测和 2025 年 3 月 GA，功能仍需订阅标志），从非对等子网到对等子网的转发路由存在 – 即，在 VNET A 和 VNET B 的对等场景中，即使 VNET A 中的 Subnet 2 未对等，它仍将有到 VNET B 中的 Subnet 1 和 Subnet 2 的路由。 为进一步澄清，在 VNET A 和 VNET B 的子网对等连接中，客户可能期望 VNET A 中的 Subnet 1 和 Subnet 3 仅拥有到远程 VNET B 中的 Subnet 1 和 Subnet 2 的路由，然而，VNET A 中的 Subnet 2 和 Subnet 4（未对等的本地子网）也拥有到远程 VNET B 中的 Subnet 1 和 Subnet 2 的路由，尽管数据包会被丢弃且无法到达虚拟机 (VM)。 此限制将在 GA 后版本中移除。 5. **子网对等连接和 AVNM 连接组** 请注意，如果两个 VNETs 在“连接组”中连接，并且在这些 VNETs 上配置了子网对等连接，则子网对等连接优先，非对等子网之间的连接将被中断。 **AVNM 连接配置** AVNM 目前无法区分 VNET 对等连接和子网对等连接。因此，假设 VNET A 和 VNET B 之间存在子网对等连接，如果 AVNM 用户稍后尝试通过某些连接配置（例如中心辐射部署）在 VNET A 和 VNET B 之间建立 VNET 对等连接，AVNM 会假设 VNET A 和 VNET B 之间的对等连接已存在，并忽略新的对等请求。我们建议用户在使用 AVNM 和子网对等连接时小心处理此类冲突场景。 6. **子网对等连接和 Virtual WAN**：目前 Azure Virtual WAN 不支持子网对等连接。 *注意: 该功能正在按需基础向选定客户推出。* 要使用它，需要将您的订阅列入白名单。请填写此 [表格](https://forms.office.com/r/99J2fSfd9L) 以注册您的订阅。 #### **如何配置子网对等连接？** 在现有的 VNET 对等连接创建过程中，引入了 **几个新的可选参数（参考 A 到 D 以下）**。 下面是每个参数的描述/参考： **A. --peer-complete-vnet** 此参数让用户选择子网对等连接。默认值为 true，表示整个 VNET 对等（所有地址空间/子网跨 VNETs）。要启用子网对等连接，此参数需设置为 false（0/f/n/no）。 接受的值: 0, 1, f, false, n, no, t, true, y, yes 默认值: True ```bash az network vnet peering create --name --remote-vnet --resource-group --vnet-name [--allow-forwarded-traffic {0, 1, f, false, n, no, t, true, y, yes}] [--allow-gateway-transit {0, 1, f, false, n, no, t, true, y, yes}] [--allow-vnet-access {0, 1, f, false, n, no, t, true, y, yes}] [--no-wait {0, 1, f, false, n, no, t, true, y, yes}] [--use-remote-gateways {0, 1, f, false, n, no, t, true, y, yes}] [--peer-complete-vnet {0, 1(default), f, false, n, no, t, true, y, yes}] ``` **B. --local-subnet-names** 此参数让用户输入要与远程子网对等的本地子网名称，前提是已通过设置 “peer-complete-vnet” 参数启用子网对等连接。 **C. --remote-subnet-names** 此参数让用户输入要与远程子网对等的子网名称，前提是已通过设置 “peer-complete-vnet” 参数启用子网对等连接。 *示例 CLI 输入:* ```bash az network vnet peering create -g MyResourceGroup -n MyVnet1ToMyVnet2 --vnet-name MyVnet1 --remote-vnet MyVnet2Id --allow-vnet-access --peer-complete-vnet 0 --local-subnet-names subnet1 subnet2 --remote-subnet-names subnet1 subnet2 ``` **子网对等连接和仅 IPv6 对等连接** *除了上述内容，在双栈子网的情况下，用户还可以配置仅 IPv6 对等连接，其中参与的子网仅通过 IPv6 进行交互。* 在双栈子网的情况下，用户可以选择仅通过 IPv6 地址空间对等子网。以前，在对等前会评估整个 VNET 地址空间，如果重叠检查通过，则整个 VNET 地址空间都会对等（即 IPv4 和 IPv6）。然而，在本版本中，我们在子网对等连接基础上提供了额外灵活性，让用户可以专门选择仅通过 IPv6 地址空间对等。* 注意，目前此功能建立在子网对等连接之上，要使用它，需要在 VNET 对等连接创建过程中将额外参数 “enable-only-ipv6” 设置为 true。* **D. --enable-only-ipv6** 此参数让用户选择仅通过 IPv6 功能进行子网对等连接。默认值为 false，表示默认通过 IPv4 地址进行对等。如果设置为 true，则在双栈子网的情况下，通过 IPv6 进行对等。 *接受的值:* 0, 1, f, false, n, no, t, true, y, yes *示例 CLI 输入:* ```bash az network vnet peering create -g MyResourceGroup -n MyVnet1ToMyVnet2 --vnet-name MyVnet1 --remote-vnet MyVnet2Id --allow-vnet-access --peer-complete-vnet 0 --enable-only-ipv6 1 --local-subnet-names subnet1 subnet2 --remote-subnet-names subnet1 subnet2 ``` 在此情况下，如果提到的子网是双栈（或未来的仅 IPv6 子网），则对等仅通过 IPv6 地址空间进行。 **了解更多：** - [Azure 虚拟网络 - VNET 对等连接](https://learn.microsoft.com/en-us/azure/virtual-network/virtual-network-peering-overview) - [如何配置子网对等连接](https://learn.microsoft.com/en-us/azure/virtual-network/how-to-configure-subnet-peering) - 将您的订阅列入白名单 - 填写此 [表格](https://forms.office.com/r/99J2fSfd9L) 以使用该功能。 - 问题和疑虑: amitmishra@microsoft.com 更新于 2025 年 4 月 14 日 版本 1.0 <!-- AI_TASK_END: AI全文翻译 -->