你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
本文概述了 Azure VMware 解决方案第 2 代（第 2 代）私有云的关键设计注意事项。 它解释了这一代为基于 VMware 的私有云环境提供的功能，使应用程序能够从本地基础结构和基于 Azure 的资源访问。 在设置 Azure VMware 解决方案第 2 代私有云之前，需要考虑几个注意事项。 本文提供使用私有云类型时可能遇到的用例的解决方案。
注释
第 2 代在特定 Azure 公共区域中可用。 请联系Microsoft帐户团队或Microsoft支持部门确认覆盖范围。
局限性
在此期间，以下功能受到限制。 将来将取消这些限制：
无法删除包含私有云的资源组。 必须先删除私有云，然后才能删除资源组。
每个 Azure 虚拟网络只能部署 1 个私有云。
每个资源组只能创建 1 个私有云。 不支持单个资源组中的多个私有云。
私有云和私有云的虚拟网络必须位于相同的资源组中。
创建私有云后，无法将私有云从一个资源组 移到 另一个资源组。
私有云创建完成后，无法将其从一个租户迁移到另一个租户。
不支持从 Azure VMware 解决方案工作负载直接连接服务终结点。
在连接到 Azure VMware 解决方案的跨区域全局对等互连环境中，不支持使用专用终结点。
支持使用专用终结点的vCloud 控制器。 但是，vCloud Director 不支持使用公共终结点。
不支持 vSAN 拉伸群集。
不支持将公共 IP 向下连接到 VMware NSX Microsoft Edge 以配置 Internet。 可以在“Internet 访问选项”中找到支持哪些 Internet 选项。
在 SDDC 的前四个主机中的任何一个发生计划外维护（例如主机硬件故障）时，某些工作负载可能会出现暂时的北-南网络连接中断，持续时间最长可达 30 秒。 North-South 连接是指 AVS VMware 工作负荷与外部终结点之间的流量，这些流量超出了 NSX-T 第 0 层 （T0） Edge，例如 Azure 服务或本地环境。
与私有云主机虚拟网络关联的网络安全组必须在与私有云及其虚拟网络相同的资源组中创建。
默认情况下不支持从客户虚拟网络到 Azure VMware 解决方案虚拟网络的跨资源组和跨订阅引用。 其中包括以下资源类型：用户定义路由 (UDR)、DDoS 防护计划和其他链接的网络资源。 如果客户的虚拟网络与某个引用相关联，而该引用位于与 Azure VMware 解决方案虚拟网络不同的资源组或订阅中，则网络编程（例如 NSX 段传播）可能会失败。 为了避免问题，客户必须确保 Azure VMware 解决方案虚拟网络未链接到其他资源组或订阅中的资源，并在继续作之前从虚拟网络中分离此类资源（例如 DDoS 保护计划）。
- 若要维护跨资源组引用，请从跨资源组或订阅中创建角色分配，并向“AzS VIS Prod 应用”授予“AVS on Fleet VIS 角色”。 通过角色分配，可以使用参考并将其正确应用于 Azure VMware 解决方案的私有云。
如果 Azure 的某些策略对网络安全组或路由表（例如，特定的命名规则）实施了严格限制，那么 Gen 2 私有云部署可能会失败。 这些政策限制可能会在部署过程中阻碍 Azure VMware 解决方案网络安全组和路由表的创建。 在部署私有云之前，必须从 Azure VMware 解决方案虚拟网络中删除这些策略。 部署私有云后，可将这些策略添加回 Azure VMware 解决方案私有云。
如果对 Azure VMware 解决方案第 2 代私有云使用专用 DNS，则不支持在部署 Azure VMware 解决方案第 2 代私有云的虚拟网络上使用自定义 DNS。 自定义 DNS 中断生命周期操作，例如缩放、升级和修补。
如果要 删除 私有云，并且不会删除某些 Azure VMware 解决方案创建的资源，则可以使用 Azure CLI 重试删除 Azure VMware 解决方案私有云。
Azure VMware 解决方案第 2 代使用 HTTP 代理来区分客户和管理网络流量。 某些 VMware 云服务终结点 可能不遵循与常规 vCenter 托管流量相同的网络路径或代理规则。 示例包括：“scapi.vmware”和“apigw.vmware”。 VAMI 代理控制 vCenter 服务器设备（VCSA）的常规出站 Internet 访问，但并非所有服务终结点交互都流经此代理。 某些交互直接源自用户的浏览器或集成组件，并遵循工作站的代理设置或独立发起连接。 因此，发到 VMware 云服务终结点的流量可能会完全绕过 VCSA 代理。
不支持的集成
不支持以下第一方和第三方集成：
- Zerto DR
第 2 代的委托子网和网络安全组
部署 Azure VMware 解决方案（AVS）第 2 代私有云时，Azure 会自动在私有云的主机虚拟网络中创建多个委托子网。 这些子网用于隔离和保护私有云的管理组件。
客户可以使用 Azure 门户或 Azure CLI/PowerShell 中显示的网络安全组（NSG）管理对这些子网的访问。 除了客户可管理的 NSG 之外，AVS 还向关键管理接口应用了其他系统管理的 NSG。 这些系统管理的 NSG 不可供客户查看或编辑，并且存在以确保私有云在默认情况下保持安全。
作为默认安全状况的一部分：
- 除非客户明确启用 Internet 访问，否则私有云将禁用 Internet 访问。
- 仅允许所需的管理流量访问平台服务。
注释
你可能会在 Azure 门户中看到一条警告，指示某些端口似乎向 Internet 公开。 之所以发生这种情况，是因为门户仅评估客户可见的网络安全组（NSG）配置。 但是，Azure VMware 解决方案还应用了系统托管的网络安全组，这些组不会出现在门户中。 除非已通过 Azure VMware 解决方案配置显式启用访问，否则这些系统托管的网络安全组会阻止入站流量。
此设计可确保 AVS 环境是独立且安全的，同时仍允许客户根据其特定要求控制和自定义网络访问。
路由和子网注意事项
Azure VMware 解决方案第 2 代私有云提供可供本地和基于 Azure 的环境或资源的用户和应用程序访问的 VMware 私有云环境。 连接通过标准 Azure 网络提供。 需要特定的网络地址范围和防火墙端口才能启用这些服务。 本部分有助于配置网络以使用 Azure VMware 解决方案。
私有云使用标准 Azure 网络连接到 Azure 虚拟网络。 Azure VMware 解决方案 Gen2 私有云要求至少对子网使用 /22 CIDR 网络地址块。 该网络是对本地网络的补充，因此地址块不应与订阅和本地网络的其他虚拟网络中使用的地址块重叠。 在此地址块中，管理、vMotion 和复制网络会自动预配为虚拟网络中的子网。
注释
地址块的允许范围为 RFC 1918 专用地址空间（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16），172.17.0.0/16 除外。 复制网络不适用于 AV64 节点，并计划在未来某个日期整体停止使用。
避免使用以下为 VMware NSX 使用保留的 IP 架构：
- 169.254.0.0/24 - 用于内部传输网络
- 169.254.2.0/23 - 用于 VRF 间传输网络
- 100.64.0.0/16 - 用于在内部连接 T1 和 T0 网关
- 100.73.x.x – Microsoft 管理网络使用
示例 /22 CIDR 网络地址块 10.31.0.0/22 分为以下子网：
| 网络使用情况 | 子网 | 说明 | 示例 |
|---|---|---|---|
| VMware NSX 网络 | /27 | NSX 管理器网络。 | 10.31.0.0/27 |
| vCSA 网络 | /27 | vCenter Server 网络。 | 10.31.0.32/27 |
| avs-mgmt | /27 | 管理设备（vCenter Server 和 NSX 管理器）位于“avs-mgmt”子网后面，该子网被配置为在此子网上的辅助 IP 范围。 | 10.31.0.64/27 |
| avs-vnet-sync | /27 | Azure VMware 解决方案第 2 代用于将 VMware NSX 中创建的路由编程到虚拟网络中。 | 10.31.0.96/27 |
| avs-services | /27 | 用于 Azure VMware 解决方案第二代提供者服务。 还用于为私有云配置专用 DNS 解析。 | 10.31.0.160/27 |
| avs-nsx-gw、avs-nsx-gw-1 | /28 | 每个边缘的各 T0 网关的子网。 这些子网用于将 VMware NSX 网段编程为辅助 IP 地址。 | 10.31.0.224/28, 10.31.0.240/28 |
| esx-mgmt-vmk1 | /24 | vmk1 是客户用于访问主机的管理接口。 来自 vmk1 接口的 IP 来自这些子网。 所有主机的所有 vmk1 流量都来自此子网范围。 | 10.31.1.0/24 |
| esx-vmotion-vmk2 | /24 | vMotion VMkernel 接口。 | 10.31.2.0/24 |
| esx-vsan-vmk3 | /24 | vSAN VMkernel 接口和节点通信。 | 10.31.3.0/24 |
| 保留 | /27 | 保留的空间。 | 10.31.0.128/27 |
| 保留 | /27 | 保留的空间。 | 10.31.0.192/27 |
后续步骤
首先将 Azure VMware 解决方案服务主体配置为先决条件。 若要了解如何操作，请参阅启用 Azure VMware 解决方案服务主体快速入门。
请按照教程步骤，了解如何创建 Azure VMware Gen 2 私有云