À propos des NVA dans un hub Virtual WAN

Les clients peuvent déployer des appliances virtuelles réseau (NVA) sélectionnées directement dans un hub Virtual WAN dans une solution gérée conjointement par Microsoft Azure et des fournisseurs d’appliances virtuelles réseau tiers. Toutes les appliances virtuelles réseau dans la Place de marché Azure ne peuvent pas être déployées dans un hub Virtual WAN. Pour obtenir la liste complète des partenaires disponibles, reportez-vous à la section Partenaires de cet article.

Principaux avantages

Lorsqu’une NVA est déployée dans un hub Virtual WAN, elle peut faire office de passerelle tierce avec diverses fonctionnalités. Elle peut servir de passerelle SD-WAN, de pare-feu ou d’une combinaison des deux.

Le déploiement de NVA dans un hub Virtual WAN offre les avantages suivants :

• Sélection prédéfinie et prétestée des choix d’infrastructure (Unités d’infrastructure NVA) : Microsoft et le partenaire travaillent ensemble pour valider les limites de débit et de bande passante avant la mise à disposition de la solution aux clients.
• Disponibilité et résilience intégrées : les déploiements de NVA Virtual WAN sont compatibles avec la zone de disponibilité et automatiquement configurés pour être hautement disponibles.
• Provisionnement et démarrage automatique fluides : une application managée est préqualifiée pour le provisionnement et le démarrage automatique pour la plateforme Virtual WAN. Cette application managée est disponible via le lien de la Place de marché Azure.
• Routage simplifié : tirez parti des systèmes de routage intelligent Virtual WAN. Les solutions de NVA sont jumelées avec le routeur du hub Virtual WAN et participent au processus de décision de routage Virtual WAN de la même façon que les passerelles Microsoft.
• Prise en charge intégrée : les partenaires disposent d’un contrat de support spécial avec Microsoft Azure Virtual WAN pour diagnostiquer et résoudre rapidement les problèmes rencontrés par les clients.
• Gestion du cycle de vie facultative fournie par la plateforme : les mises à niveau et les correctifs sont gérés soit directement par vous, soit dans le cadre du service Azure Virtual WAN. Pour obtenir les meilleures pratiques relatives à la gestion du cycle de vie des logiciels pour les appliances virtuelles réseau dans Virtual WAN, contactez votre fournisseur NVA ou reportez-vous à sa documentation.
• Intégration avec les fonctionnalités de plateforme : la connectivité de transit avec les réseaux virtuels et les passerelles Microsoft, l’ExpressRoute chiffré (la superposition SD-WAN s’exécutant sur un circuit ExpressRoute) et les tables de routage de hub virtuel interagissent en toute transparence.

Partenaires

Les tableaux suivants décrivent les appliances virtuelles réseau pouvant être déployées dans le hub Virtual WAN et les cas d’usage appropriés (connectivité et/ou pare-feu). La colonne Identificateur du fournisseur NVA Virtual WAN correspond au fournisseur NVA affiché dans le portail Azure lorsque vous déployez une nouvelle appliance virtuelle réseau ou que vous consultez les appliances virtuelles réseau déjà déployées dans le hub virtuel.

Les appliances virtuelles réseau à connectivité SD-WAN suivantes peuvent être déployées dans le hub Virtual WAN.

L’appliance virtuelle réseau de sécurité suivante peut être déployée dans le hub Virtual WAN. Cette appliance virtuelle peut être utilisée pour inspecter tout le trafic Nord-Sud, Est-Ouest et lié à Internet.

Les appliances virtuelles réseau (pare-feu de nouvelle génération) à connectivité et sécurité SD-WAN à double rôle suivantes peuvent être déployées dans le hub Virtual WAN. Ces appliances virtuelles peuvent être utilisées pour inspecter tout le trafic Nord-Sud, Est-Ouest et lié à Internet.

Cas d’usage de base

Connexion universelle

Les clients peuvent déployer une NVA dans chaque région Azure où elles ont une empreinte. Les sites de succursale sont connectés à Azure via des tunnels SD-WAN qui se terminent sur la NVA la plus proche déployée dans un hub Azure Virtual WAN.

Les sites de succursale peuvent alors accéder aux charges de travail dans Azure déployées dans des réseaux virtuels dans la même région ou dans d’autres régions par le biais du réseau principal de Microsoft. Les sites connectés SD-WAN peuvent également communiquer avec d’autres succursales qui sont connectées à Azure via ExpressRoute, un VPN de site à site ou la connectivité des utilisateurs distants.

Sécurité fournie par le Pare-feu Azure, ainsi que la NVA de connectivité

Les clients peuvent déployer un Pare-feu Azure en même temps que leurs NVA basées sur la connectivité. Le routage Virtual WAN peut être configuré pour envoyer tout le trafic vers le Pare-feu Azure à des fins d’inspection. Vous pouvez également configurer Virtual WAN pour envoyer tout le trafic Internet vers le Pare-feu Azure à des fins d’inspection.

Sécurité fournie par les pare-feu de NVA

Les clients peuvent également déployer les NVA dans un hub WAN virtuel qui assure à la fois la connectivité SD-WAN et les fonctionnalités de pare-feu de nouvelle génération. Les clients peuvent connecter des appareils locaux à la NVA dans le hub et utiliser la même appliance pour inspecter tout le trafic Nord-Sud, Est-Ouest et Internet. Le routage pour activer ces scénarios peut être configuré via des stratégies de routage et d’intention de routage.

Les partenaires qui prennent en charge ces flux de trafic sont répertoriés en tant qu’appliances virtuelles réseau (pare-feu de nouvelle génération) à sécurité et connectivité SD-WAN à double rôle dans la section Partenaires.

Comment fonctionne-t-il ?

Les NVA disponibles au déploiement directement dans un hub Azure Virtual WAN sont conçues spécifiquement pour être utilisés dans le hub Virtual WAN. L’offre NVA est publiée sur la Place de marché Azure en tant qu’application managée, et les clients peuvent déployer l’offre directement à partir de la Place de marché Azure.

L’offre NVA de chaque partenaire proposera une expérience et des fonctionnalités légèrement différentes en fonction de la configuration requise pour le déploiement.

Application managée

Toutes les offres NVA disponibles au déploiement dans un hub Virtual WAN disposeront d’une application managée disponible dans Place de marché Azure. Les applications managées permettent aux partenaires d’effectuer les opérations suivantes :

• Créer une expérience de déploiement personnalisée pour leur NVA.
• Fournir un modèle Resource Manager spécialisé qui leur permet de créer les NVA directement dans un hub Virtual WAN.
• Facturer des frais de licence logicielle directement ou via Place de marché Azure.
• Exposer des propriétés personnalisées et des compteurs de ressources.

Les partenaires NVA peuvent créer des ressources différentes en fonction du déploiement de l’appliance, des licences de configuration et des besoins de gestion. Lorsqu’un client crée une NVA dans un hub Virtual WAN, comme pour toutes les applications managées, deux groupes de ressources sont créés dans leur abonnement.

• Groupe de ressources du client : contient un espace réservé pour l’application managée. Les partenaires peuvent l’utiliser pour exposer les propriétés du client qu’ils choisissent ici.
• Groupe de ressources managé : les clients ne peuvent pas configurer ni modifier directement les ressources de ce groupe de ressources, car celui-ci est contrôlé par l’éditeur de l’application managée. Ce groupe de ressources contient la ressource NetworkVirtualAppliances.

Autorisations de groupe de ressources managées

Par défaut, tous les groupes de ressources managés disposent d’une affectation Microsoft Entra de type « Refuser tout ». Les attributions de refus empêchent les clients d’appeler des opérations d’écriture sur toutes les ressources du groupe de ressources managées, y compris les ressources de l’appliance virtuelle réseau.

Toutefois, les partenaires peuvent créer des exceptions pour des actions spécifiques que les clients sont autorisés à effectuer sur les ressources déployées dans des groupes de ressources managées.

Les autorisations sur les ressources des groupes de ressources managées existants ne sont pas mises à jour dynamiquement, car de nouvelles actions autorisées sont ajoutées par les partenaires et nécessitent une actualisation manuelle.

Pour actualiser les autorisations sur les groupes de ressources managées, les clients peuvent tirer parti de l’API REST Autorisations d’actualisation .

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Solutions/applications/{applicationName}/refreshPermissions?api-version=2019-07-01&targetVersion={targetVersion}

Unités d’infrastructure NVA

Lorsque vous créez une NVA dans un hub Virtual WAN, vous devez choisir le nombre d’unités d’infrastructure NVA avec lequel vous souhaitez la déployer. Une unité d’infrastructure NVA est une unité de capacité de bande passante agrégée pour une application virtuelle réseau de hub Virtual WAN. Une unité d’infrastructure NVA est similaire à une unité d’échelle de VPN en ce qui concerne la capacité et le dimensionnement.

• Les unités d’infrastructure NVA servent de référence pour estimer la quantité de débit réseau agrégé que l’infrastructure de machines virtuelles sur laquelle les appliances virtuelles réseau sont déployées peut prendre en charge. 1 L’unité d’infrastructure d’appliance virtuelle réseau correspond à 500 Mbits/s de débit agrégé. Ce chiffre de 500 Mbits/s ne prend pas en compte les différences entre les logiciels qui s’exécutent sur les appliances virtuelles réseau. Selon les fonctionnalités activées dans l’appliance virtuelle réseau ou l’implémentation logicielle propre au partenaire, certaines fonctions réseau telles que le chiffrement/déchiffrement, l’encapsulation/désencapsulation ou l’inspection approfondie des paquets peuvent être plus exigeantes. Cela signifie que vous risquez de constater un débit inférieur à celui indiqué par l’unité d’infrastructure NVA. Pour obtenir un mappage des unités d’infrastructure NVA Virtual WAN aux débits attendus, contactez le fournisseur.
• Azure prend en charge les déploiements allant de 2 à 80 unités d’infrastructure NVA pour un déploiement de hub virtuel NVA donné, mais les partenaires peuvent choisir les unités de mise à l’échelle qu’ils prennent en charge. Par conséquent, vous risquez de ne pas pouvoir déployer toutes les configurations d’unités de mise à l’échelle possibles.

Les appliances virtuelles réseau dans Virtual WAN sont déployées pour vous assurer que vous êtes toujours en mesure d’atteindre au minimum les numéros de débit spécifiques au fournisseur pour une unité d’échelle choisie particulière. Pour ce faire, les appliances virtuelles réseau de Virtual WAN sont surapprovisionnés avec une capacité supplémentaire sous la forme de plusieurs instances de manière « n+1 ». Cela signifie qu’à tout moment vous pouvez constater un débit agrégé sur les instances supérieur aux valeurs de débit spécifiques du fournisseur. Cela garantit que si une instance n’est pas saine, la ou les instances « n » restantes peuvent traiter le trafic client et fournir le débit spécifique au fournisseur pour cette unité d’échelle.

Si la quantité totale de trafic qui traverse une appliance virtuelle réseau à un moment donné dépasse les valeurs de débit spécifiques du fournisseur pour l’unité de mise à l’échelle choisie, des événements susceptibles de rendre une instance d’appliance virtuelle réseau indisponible (notamment, mais sans s’y limiter, les activités de maintenance courantes de la plateforme Azure ou les mises à niveau logicielles), peuvent entraîner une interruption du service ou de la connectivité. Pour réduire les interruptions de service, vous devez choisir l’unité d’échelle en fonction de votre profil de trafic de pointe et des numéros de débit spécifiques au fournisseur pour une unité d’échelle particulière, au lieu de vous appuyer sur les meilleurs chiffres de débit observés pendant les tests.

Espace d'adressage du hub

Chaque hub Virtual WAN est déployé avec un espace d’adressage du hub. L’espace d’adressage du hub minimum recommandé est /23. Virtual WAN place automatiquement des sous-réseaux au sein du hub pour déployer différents services au sein du hub Virtual WAN, tels que les pare-feu Azure, les appliances virtuelles réseau et les services de connectivité de passerelle.

Il existe un nombre limité d’adresses IP disponibles dans le hub Virtual WAN que vous pouvez affecter au sous-réseau interne ou externe des déploiements d’appliances réseau virtuelles (NVA). Le nombre d’adresses IP allouées au sous-réseau interne ou externe des NVAs est statique pour tous les hubs Virtual WAN déployés avec une taille d’adresse spécifique, que les clients utilisent ou prévoient d'utiliser tous les services proposés dans le hub Virtual WAN. L’allocation au niveau du service ne peut pas être modifiée.

Le tableau suivant décrit le nombre d’adresses IP disponibles pour les déploiements d’appliance virtuelle réseau de diverses tailles d’adresses hub.

Adresses IP consommées

[REMARQUE] Sélectionnez votre espace d’adressage hub en tenant compte de la scalabilité, car vous ne pouvez pas redimensionner les sous-réseaux alloués aux appliances réseau virtuelles. Les actions telles que le déploiement de plusieurs appliances virtuelles réseau dans le hub ou l’ajout de configurations IP supplémentaires aux appliances virtuelles réseau existantes nécessitent des adresses IP disponibles suffisantes.

Le nombre d’adresses IP consommées par un déploiement d’appliance virtuelle réseau unique est calculé séparément pour les interfaces internes et externes. Les appliances virtuelles réseau déployées dans le même hub consomment des adresses IP à partir du même sous-réseau que d’autres appliances virtuelles réseau. Par conséquent, toutes les appliances virtuelles réseau du même hub contribuent à la limite du hub.

Le tableau suivant indique le nombre d’instances NVA déployées pour différentes unités d’échelle.

Interface interne

• Pour les déploiements de NVA qui ne sont pas compatibles avec le trafic entrant sur Internet, 1 adresse IP est assignée à l’équilibreur de charge interne. 2 adresses IP sont consommées si les déploiements d’appliance virtuelle réseau sont compatibles avec Internet entrant. Consultez Internet entrant pour découvrir la documentation sur la façon de vérifier l’état de compatibilité de votre appliance réseau virtuelle.
• Une adresse IP est consommée par instance d’appliance virtuelle réseau. Cette adresse IP est affectée à chaque carte réseau interne des appliances réseau virtuelles. Vous pouvez ajouter des configurations IP supplémentaires à la carte réseau interne. Une configuration IP supplémentaire entraîne une adresse IP privée supplémentaire consommée par instance NVA.

Exemple :

• Appliance réseau virtuelle de 60 unités d’échelle (4 instances)
• Compatible avec la connectivité Internet entrante
• 3 configurations IP sur l’interface interne.

Dans cet exemple, 14 adresses IP sont consommées dans le sous-réseau interne. 12 adresses IP sont affectées à l’interface interne. 2 adresses IP supplémentaires sont consommées par l’équilibreur de charge.

Interface externe

Une adresse IP est consommée par instance d’appliance virtuelle réseau. Cette adresse IP est affectée à la carte réseau externe dans le cadre d’un tuple IP privé et public. Vous pouvez affecter des configurations IP supplémentaires à la carte réseau externe pour ajouter des tuples IP privés et publics supplémentaires. Une configuration IP supplémentaire entraîne une adresse IP supplémentaire consommée par instance NVA.

Exemple :

• Appliance réseau virtuelle de 60 unités d’échelle (4 instances)
• 2 configurations IP sur l’interface interne.

Dans cet exemple, 8 adresses IP sont consommées dans le sous-réseau externe. 8 adresses IP sont affectées à l’interface interne.

Processus de configuration de l’appliance virtuelle réseau

Les partenaires ont collaboré pour fournir une expérience qui configure automatiquement la NVA dans le cadre du processus de déploiement. Une fois que l’appliance virtuelle réseau est provisionnée dans le hub virtuel, toute configuration supplémentaire qui pourrait être requise pour l’appliance virtuelle réseau doit être effectuée par le biais du portail des partenaires NVA ou de l’application de gestion. L’accès direct à la NVA n’est pas disponible.

Ressources de site et de connexion avec des NVA

Contrairement aux configurations de la passerelle VPN de site à site Virtual WAN, vous n’avez pas besoin de créer de ressources de site, de ressources de connexion site à site ni de ressources de connexion point à site pour connecter vos sites de branche à votre NVA dans un hub Virtual WAN.

Vous devez toujours créer des connexions de hub à réseau virtuel pour connecter votre hub Virtual WAN à vos réseaux virtuels Azure, ainsi que pour connecter des connexions VPN ExpressRoute, VPN de site à site ou d’utilisateurs distants.

Régions prises en charge

La NVA dans le hub virtuel est disponible dans les régions suivantes :

FAQ sur les NVA

Je suis partenaire NVA (appliance virtuelle réseau) et je souhaite obtenir notre appliance virtuelle réseau dans le hub. Puis-je participer à ce programme partenaire ?

Malheureusement, nous n’avons pas la capacité d’accepter les offres de nouveaux partenaires pour le moment. Revenez nous voir à une date ultérieure !

Puis-je déployer n’importe quelle NVA à partir de Place de marché Azure dans le hub Virtual WAN ?

Seuls les partenaires répertoriés dans la section Partenaires peuvent être déployés dans le hub Virtual WAN.

Quel est le coût de la NVA ?

Vous devez acheter une licence pour la NVA auprès du fournisseur NVA. ByOL (Apportez votre propre licence) est le seul modèle de licence pris en charge aujourd’hui. En outre, Microsoft facture les unités d’infrastructure NVA que vous consommez, ainsi que toute autre ressource que vous utilisez. Pour plus d’informations, consultez Concepts de tarification.

Puis-je déployer une NVA sur un hub De base ?

Non, vous devez utiliser un hub Standard si vous souhaitez déployer une appliance virtuelle réseau.

Puis-je déployer une NVA dans un hub sécurisé ?

Oui. Il est possible de déployer des NVA de partenaires dans un hub à l’aide de Pare-feu Azure.

Puis-je connecter n’importe quel appareil de mon bureau distant à mon appliance virtuelle réseau dans le hub ?

Non, Barracuda CloudGen WAN est uniquement compatible avec les appareils périphériques Barracuda. Pour en savoir plus sur les exigences de CloudGen WAN, consultez la page CloudGen WAN de Barracuda. Pour Cisco, il existe plusieurs appareils SD-WAN qui sont compatibles. Consultez la documentation Cisco Cloud OnRamp for Multi-Cloud pour connaître les appareils compatibles. Contacter votre fournisseur pour toute question.

Quels sont les scénarios de routage pris en charge avec une NVA dans le hub ?

Tous les scénarios de routage pris en charge par Virtual WAN sont pris en charge par les NVA dans le hub.

Quelles sont les régions prises en charge ?

Pour les régions prises en charge, consultez Régions prises en charge par les NVA.

Comment faire supprimer mon Appliance virtuelle réseau dans le hub ?

Si la ressource de l’Appliance virtuelle réseau a été déployée via une application managée, supprimez l’application managée. La suppression de l’application managée supprime automatiquement le groupe de ressources managées ainsi que la ressource d’appliance virtuelle réseau associée.

Vous ne pouvez pas supprimer une appliance virtuelle réseau qui est utilisée comme ressource de tronçon suivant dans une stratégie de routage. Pour supprimer l’Appliance virtuelle réseau, commencez par supprimer la stratégie de routage.

Si la ressource d’appliance virtuelle réseau a été déployée via un logiciel d’orchestration de partenaire, reportez-vous à la documentation du partenaire pour supprimer l’appliance virtuelle réseau.

Vous pouvez également exécuter la commande PowerShell suivante pour supprimer votre appliance virtuelle réseau.

1. Recherchez le groupe de ressources Azure de l’appliance virtuelle réseau que vous souhaitez supprimer. Le groupe de ressources Azure est généralement différent du groupe de ressources dans lequel le hub Virtual WAN est déployé. Vérifiez que la propriété Virtual Hub de la ressource NVA correspond à l’appliance virtuelle réseau que vous souhaitez supprimer. L’exemple suivant suppose que toutes les appliances virtuelles réseau de votre abonnement ont des noms distincts. S’il existe plusieurs appliances virtuelles réseau portant le même nom, assurez-vous de collecter les informations associées à l’appliance virtuelle réseau que vous souhaitez supprimer.

   $nva = Get-AzNetworkVirtualAppliance -Name <NVA name>
   $nva.VirtualHub
   

2. Supprimez l’appliance virtuelle réseau.

   Remove-AzNetworkVirtualAppliance -Name $nva.Name -ResourceGroupName $nva.ResourceGroupName
   

La même série d’étapes peut être exécutée à partir d’Azure CLI.

1. Recherchez le groupe de ressources Azure de l’appliance virtuelle réseau que vous souhaitez supprimer. Le groupe de ressources Azure est généralement différent du groupe de ressources dans lequel le hub Virtual WAN est déployé. Vérifiez que la propriété Virtual Hub de la ressource NVA correspond à l’appliance virtuelle réseau que vous souhaitez supprimer.

    az network virtual-appliance list
   

2. Supprimer l’appliance virtuelle réseau

    az network virtual-appliance delete --subscription <subscription name> --resource-group <resource group name> --name <NVA name>
   

Étapes suivantes

Pour plus d’informations sur Virtual WAN, consultez l’article Vue d’ensemble de Virtual WAN.