Rede Virtual do Azure: sub-redes, CIDR e endereçamento IP público e privado
Planeje redes isoladas no Azure, divida espaços de endereços, reserve capacidade para serviços, escolha endereçamento público ou privado, associe recursos IP e monte um laboratório hub-spoke com emparelhamento.
Tempo de estudo sugerido: 60 minutos • Nível intermediário • Reescrita autoral baseada no módulo fornecido do Microsoft Learn e atualizada pela documentação vigente de redes do Azure
Por João Ricardo Dutra••Conteúdo autoral completo
1. Projete a rede antes de migrar a carga de trabalho
Uma organização de saúde está transferindo aplicações para o . Seus administradores precisam de comunicação privada entre recursos de nuvem, conectividade protegida com o existente e um plano de endereçamento que cresça sem comprometer a disponibilidade. A fornece o limite de rede isolado; sub-redes, rotas, controles de segurança e recursos determinam o tráfego dentro e fora desse limite.
Este capítulo acompanha toda a decisão, desde o espaço de endereços até um laboratório hub-spoke funcional. Você planejará redes virtuais e sub-redes, escolherá endereços públicos ou privados, associará recursos e distinguirá o comportamento da época do material das regras atuais do .
Descrever recursos, componentes e cenários de conexão da .
Planejar espaços sem sobreposição e sub-redes prontas para serviços.
Escolher endereçamento privado ou público, dinâmico ou estático.
Criar duas redes virtuais, configurar sub-redes e validar o emparelhamento.
Reconhecer os requisitos atuais de saída explícita e do SKU de público.
O plano de endereçamento só funciona quando roteamento, segurança, conectividade e crescimento são projetados em conjunto.
2. A é o limite da rede privada
A , frequentemente abreviada como VNet, é uma rede logicamente isolada no . Cada VNet tem um ou mais prefixos , suas próprias sub-redes e configurações de e roteamento gerenciado pelo entre as sub-redes. Recursos como interfaces de rede de máquinas virtuais recebem endereços da sub-rede escolhida.
Isolamento: uma VNet permanece separada das demais até que você configure uma conexão.
Comunicação: conforme o caminho e a política, os recursos alcançam uns aos outros, a internet, serviços selecionados do ou uma rede local.
Escala e disponibilidade: redes virtuais abrangem zonas de disponibilidade na região do sem exigir switches ou roteadores físicos operados pelo cliente.
Extensão: emparelhamento, ,, tabelas de rotas, soluções de virtualização de rede e serviços permitem evoluir a topologia.
A VNet é o limite de isolamento; a conectividade explícita define o que atravessa esse limite.
3. Três cenários comuns de conectividade
Associe a necessidade de negócio ao padrão de rede.
Cenário
Projeto
Uso típico
Rede privada somente em nuvem
Coloque os recursos do em uma ou mais sub-redes e exponha apenas os pontos de extremidade necessários.
Uma nova carga sem dependência do .
Extensão do
Conecte o ambiente local e o por IPsec site a site ou .
Ondas de migração e operação híbrida com alcance privado.
Aplicação híbrida
Mantenha localmente um componente, como mainframe, host Unix ou banco de dados, enquanto o hospeda outras camadas.
Modernização em que nem toda dependência pode migrar de uma vez.
Uma ponto a site atende clientes individuais; uma site a site e o conectam redes. O emparelhamento de redes virtuais liga VNets pela rede de backbone da Microsoft. Em todos os casos, os espaços que precisam se comunicar não podem se sobrepor.
Comece pelo caminho de comunicação exigido e depois escolha , ExpressRoute ou emparelhamento.
4. Planeje espaços de endereços com e crescimento futuro
O espaço de endereços da VNet usa notação , como 10.1.0.0/16. O comprimento do prefixo informa quantos bits iniciais identificam a rede; um prefixo menor contém mais endereços. Use intervalos privados 1918 para recursos internos e mantenha um inventário único para as redes do e locais.
Use um intervalo único e sem sobreposição para toda rede que possa ser conectada agora ou no futuro.
Reserve capacidade contígua para novas sub-redes, integrações de serviço, aquisições e expansão regional.
Não atribua ao um prefixo já pertencente ao ambiente local só porque ainda não há conexão.
Considere sumarização de rotas e legibilidade operacional em vez de distribuir pequenos prefixos sem plano.
Intervalos sobrepostos são o bloqueio clássico de emparelhamento, e ExpressRoute. Renumerar uma rede em produção é muito mais trabalhoso do que reservar espaço adequado durante o projeto.
O prefixo da VNet contém todos os prefixos das sub-redes, sem sobreposição entre elas.
5. Sub-redes criam limites gerenciáveis de segurança e roteamento
Uma sub-rede é uma parte contínua do espaço da VNet expressa em . A VNet precisa de pelo menos uma sub-rede, e cada intervalo deve ficar dentro do intervalo da VNet e ser único nela. Separe camadas quando precisarem de regras de segurança, rotas, delegação de serviço ou propriedade de ciclo de vida distintas.
Por padrão, o roteia o tráfego entre as sub-redes de uma VNet.
Uma tabela de rotas com rotas definidas pelo usuário pode encaminhar tráfego pelo ou por outra solução de virtualização de rede.
Coloque recursos em sub-redes diferentes quando a comunicação precisar atravessar o ponto de inspeção.
Uma sub-rede aceita zero ou um ; suas regras permitem ou negam fluxos de entrada e saída.
Alguns serviços da plataforma exigem sub-rede dedicada ou delegada, com nome ou tamanho mínimo específico.
6. O reserva cinco endereços em cada sub-rede
O não atribui a recursos comuns os quatro primeiros e o último endereço de uma sub-rede. Em 192.168.1.0/24, ficam indisponíveis os endereços de 192.168.1.0 a 192.168.1.3 e 192.168.1.255.
Endereços reservados no exemplo 192.168.1.0/24.
Endereço
Finalidade
192.168.1.0
Endereço da rede.
192.168.1.1
padrão reservado pelo .
192.168.1.2 e 192.168.1.3
Reservados para o mapeamento do .
192.168.1.255
Endereço de broadcast da rede.
Uma /29 contém oito endereços no total, mas apenas três utilizáveis depois das cinco reservas. O cálculo também deve incluir instâncias da plataforma, atualizações, escala e temporários de implantação, não somente as máquinas virtuais atuais.
Sempre subtraia cinco ao estimar a capacidade utilizável de uma sub-rede do .
7. Reserve sub-redes para serviços da plataforma antecipadamente
Orientações atuais representativas; confirme a documentação do serviço antes de implantar.
Serviço
Nome obrigatório ou orientação
Observação de planejamento
GatewaySubnet; recomenda-se /27 ou maior.
Não coloque cargas comuns na sub-rede do .
AzureFirewallSubnet; /26.
Reserve capacidade para expansão.
AzureBastionSubnet; /26 ou maior.
O nome exato é obrigatório.
Route Server
RouteServerSubnet; /26.
Sub-rede dedicada para troca de rotas.
v2
Sub-rede dedicada; recomenda-se /24.
A capacidade deve comportar escala automática e atualizações.
Ponto de extremidade do Resolvedor Privado de
Sub-rede dedicada e delegada; mínimo /28.
Não misture tipos de ponto de extremidade ou recursos sem relação.
Os requisitos podem mudar, e limites de assinatura não são metas de arquitetura. Consulte os limites e requisitos atuais em vez de copiar uma captura do portal ou usar o menor intervalo tecnicamente aceito.
8. Roteamento, segurança e acesso privado resolvem problemas diferentes
Não trate estes controles como equivalentes.
Controle
Função principal
Pergunta de decisão
Rotas do sistema e definidas pelo usuário
Escolher o próximo salto.
Qual caminho o pacote deve seguir?
Permitir ou negar tráfego por regra.
Este fluxo é permitido?
ou solução de virtualização de rede
Aplicar inspeção e política centralizadas.
O fluxo deve atravessar um serviço de inspeção?
Expor um serviço de , parceiro ou cliente por ponto de extremidade privado.
O serviço pode ser acessado de forma privada, sem caminho público de dados?
O insere um ponto de extremidade privado em uma sub-rede e mantém o acesso ao serviço na rede da Microsoft. O precisa resolver o nome para o endereço privado; conectividade isoladamente não corrige um nome público ou sem resolução.
O roteamento escolhe o caminho, as regras permitem o fluxo e o Link Privado altera o ponto de extremidade do serviço.
9. Crie uma rede virtual a partir de um projeto completo
No portal do , crie uma Rede virtual e selecione assinatura, grupo de recursos, nome e região. Em endereços , informe o espaço planejado e defina ao menos uma sub-rede. Revise as integrações de segurança e só crie o recurso depois de confirmar que os prefixos não conflitam com redes conectadas.
Assinatura e grupo de recursos estabelecem cobrança, ciclo de vida e escopo de acesso.
A região determina onde os da VNet e os recursos regionais operam.
O nome deve seguir o padrão da organização.
Espaço de endereços e sub-redes implementam o plano aprovado.
, proteção contra DDoS, criptografia, pontos de extremidade de serviço, delegações e integrações de segurança são escolhas conscientes, não padrões aceitos sem revisão.
10. IPs privados e públicos atendem necessidades diferentes
Escolha o tipo de endereço a partir da comunicação necessária.
Endereço
Alcance
Associações comuns
privado
Dentro da VNet e de redes conectadas por emparelhamento, ou .
Interfaces de rede de VM, front-ends internos do , front-ends privados do e pontos de extremidade privados.
público
Ponto de extremidade voltado à internet ou caminho público para um serviço do .
Interfaces de rede de VM, público, /ExpressRoute, ,,, Bastion, Route Server e .
Um público não torna automaticamente uma aplicação segura nem acessível. IPs públicos Standard permanecem fechados para entrada por padrão; o ou a política do serviço associado deve permitir explicitamente o fluxo necessário.
O endereço privado identifica o recurso dentro da rede; o público fornece um ponto controlado para a internet.
11. Escolha endereço estático somente quando a identidade precisar ser estável
A alocação privada dinâmica é o padrão: o escolhe um endereço disponível quando o recurso é criado ou iniciado. Não há garantia de ser o próximo número da sequência, e ele pode mudar após a desalocação. Na alocação estática, o endereço escolhido, livre e não reservado, fica reservado ao recurso.
Use privado estático para servidores , controladores de domínio, appliances ou dependências que exigem endereço estável.
Use endereço estático quando registros de host, certificados baseados em , listas de permissão de firewall ou modelos de segurança dependem de valor fixo.
Prefira alocação dinâmica para instâncias comuns cuja identidade vem de , ou descoberta de serviço.
Configure o privado estático pelo , não apenas no sistema operacional convidado, para manter plataforma e convidado consistentes.
Em uma sub-rede 10.0.0.0/16, um endereço estático selecionável poderia estar entre 10.0.0.10 e 10.0.255.254, excluindo posições já atribuídas e as reservas do .
12. Recursos de público: SKU, versão, camada e zonas atuais
Ao criar um recurso de Endereço público, escolha assinatura, grupo de recursos, nome, região, versão , SKU, camada, preferência de roteamento e comportamento de zona de disponibilidade. O recurso associado precisa oferecer SKU e camada compatíveis.
Decisões atuais de público.
Propriedade
Comportamento atual
SKU
IPs públicos Basic foram desativados em 30 de setembro de 2025. Use recursos Standard.
Alocação
IPs públicos Standard são estáticos e recebem o endereço na criação.
Segurança
Standard é seguro por padrão; entrada exige uma permissão explícita.
Versão
ou conforme o serviço e o cliente. O público tem cobrança nominal; o público não.
Camada
Regional para recurso regional ou Global para serviços entre regiões compatíveis; corresponda à camada do .
Zonas de disponibilidade
Use comportamento zonal, com redundância de zona ou não zonal quando região e recurso permitirem.
Excluir ou desassociar o consumidor nem sempre define o mesmo ciclo de vida do recurso independente de público. Confirme dependências e remova explicitamente endereços cobrados que não são mais usados.
13. Associe IPs públicos à camada de configuração correta
Local da associação do público.
Recurso do
Ponto de associação
Máquina virtual ou
Configuração da interface de rede.
, do ou
Configuração do .
público, ,, Route Server ou
Configuração do front-end ou serviço.
Configuração de público do Bastion.
O recurso e o consumidor precisam concordar em região, SKU, camada, versão e zonas. Incompatibilidade é erro de projeto, não de roteamento.
Associe o endereço público à configuração do serviço que possui o front-end voltado à internet.
14. Sub-redes privadas agora exigem estratégia explícita de saída
O módulo fornecido antecede uma mudança de plataforma. Em redes virtuais criadas por depois de 31 de março de 2026, novas sub-redes são privadas por padrão e não recebem acesso de saída padrão implícito. O portal do já havia adotado esse padrão mais seguro. O acesso de saída padrão existente também não é um contrato de disponibilidade para produção.
Use o para de saída escalável e previsível quando não for necessária inspeção.
Use ou solução de virtualização de rede com tabela de rotas quando a saída exigir inspeção centralizada.
Use regra de saída do Standard quando ela combinar com a arquitetura da aplicação.
Um público Standard diretamente na interface de rede atende uma instância deliberadamente pública, mas raramente é o melhor padrão de escala.
Sub-rede privada significa “sem acesso de saída padrão”, não “sem qualquer saída possível”. Escolha e teste um caminho explícito, incluindo , rotas, , capacidade de , monitoramento e comportamento em falhas.
Projetos atuais tornam a saída explícita, sem depender de um endereço implícito da plataforma.
15. Arquitetura do laboratório: app-vnet e hub-vnet
O exercício fornecido migra uma aplicação Web para uma topologia hub-spoke. O spoke, app-vnet, contém as cargas de front-end e back-end. O hub, hub-vnet, reserva uma sub-rede para serviços centralizados de firewall. As redes ficam na mesma região e usam intervalos sem sobreposição para que o emparelhamento as conecte de forma privada.
Plano de endereçamento do laboratório.
Rede
Espaço de endereços
Sub-rede
Prefixo
hub-vnet
10.0.0.0/16
AzureFirewallSubnet
10.0.0.0/26
app-vnet
10.1.0.0/16
10.1.0.0/24
app-vnet
10.1.0.0/16
10.1.1.0/24
app-vnet
10.1.0.0/16
AzureFirewallSubnet (reserva opcional)
10.1.63.0/26
A arquitetura de referência também mostra VMs de front-end e back-end, grupo de segurança de aplicativos, , com privado e público e uma zona Privado, como privatelink.contoso.com, vinculada à VNet. Esses itens formam o contexto-alvo; a prática principal é criar redes, sub-redes e o emparelhamento opcional.
O spoke hospeda as camadas da aplicação; o hub centraliza conectividade e segurança compartilhadas.
16. Exercício: crie app-vnet e as sub-redes da aplicação
Reserve cerca de 30 minutos e use uma assinatura do em que você tenha autorização para criar recursos de rede. Os rótulos do portal podem evoluir, mas o plano de endereçamento continua sendo a fonte de verdade.
Abra Redes virtuais no portal do e crie app-vnet no grupo de recursos e na região escolhidos.
Defina o espaço como 10.1.0.0/16.
Crie com 10.1.0.0/24 e com 10.1.1.0/24.
Opcionalmente, reserve AzureFirewallSubnet como 10.1.63.0/26 ao seguir o desenho completo.
Revise, crie e depois inspecione Espaço de endereços e Sub-redes.
Confirme que não há sobreposição e que a contagem utilizável considera as cinco reservas do .
17. Exercício: crie a rede hub e emparelhe as VNets
Crie hub-vnet na mesma região com espaço 10.0.0.0/16.
Adicione AzureFirewallSubnet com 10.0.0.0/26, usando exatamente o nome reservado.
Em uma VNet, adicione o emparelhamento com a outra e crie o vínculo recíproco.
Permita acesso de rede virtual nos dois sentidos. Habilite tráfego encaminhado, trânsito de ou remotos somente quando a arquitetura exigir.
Verifique se os dois vínculos mostram Conectado e se as rotas efetivas contêm os prefixos remotos.
Se implantar VMs de teste, valide alcance privado considerando e firewall do sistema operacional.
O emparelhamento não é transitivo. Um spoke emparelhado com o hub não alcança automaticamente outro spoke. O roteamento central por ou appliance exige rotas definidas pelo usuário e configurações corretas de tráfego encaminhado.
18. Avaliação: raciocine a partir do requisito
Respostas às nove decisões do módulo original.
Foco da questão
Decisão correta
Motivo
Espaço da nova VNet
Intervalo único, sem sobreposição com o ambiente local ou VNets conectadas.
A sobreposição impede roteamento inequívoco.
Serviço público do
público ou front-end público gerenciado.
Clientes da internet precisam de ponto público.
Servidor do com estável
privado estático.
O registro deve continuar apontando para o mesmo endereço.
Divisão de sub-redes
Intervalos sem sobreposição contidos na VNet.
Cada endereço pertence a uma única sub-rede.
privado estático de VM
Endereço livre da sub-rede da interface dessa VM.
Endereço de outra sub-rede é inválido.
Endereço do servidor
Estático.
Clientes e encaminhadores dependem de destino estável.
Primeiro planejamento da VNet
Definir o espaço de endereços .
Sub-redes e conectividade dependem dele.
Conectar redes locais pela internet
site a site.
Cria túnel criptografado entre redes.
Melhorar segmentação e gestão
Usar sub-redes.
Elas criam limites de rota, segurança e serviço.
19. Solucione problemas por camada
Sintomas comuns e a primeira evidência a verificar.
Sintoma
Verificação
Correção provável
Não é possível criar o emparelhamento
Prefixos das VNets e redes conectadas.
Renumere espaços sobrepostos.
Host privado inacessível
, rotas efetivas, fluxo do , política do appliance e firewall convidado.
Corrija a primeira camada com falha.
Sub-rede sem endereços
Capacidade utilizável, reservas, escala e margem de atualização.
Crie ou redimensione uma sub-rede bem planejada, quando houver suporte.
Serviço público inacessível
Associação do , compatibilidade de SKU/zona, e listener.
Alinhe propriedades e permita apenas a entrada necessária.
Sub-rede privada sem saída
/firewall/, rota, e capacidade .
Configure método explícito de saída.
Ponto de extremidade privado resolve publicamente
Zona Privado, registros, vínculo com VNet e caminho do resolvedor.
Corrija a integração .
20. Armadilhas da AZ-104 e correções de plataforma
O espaço da VNet contém as sub-redes; uma sub-rede não pode ultrapassá-lo.
Todos os intervalos de redes conectadas precisam ser únicos e sem sobreposição.
O reserva cinco endereços em cada sub-rede, independentemente do tamanho.
O roteia entre sub-redes por padrão; isolamento exige , rotas ou inspeção.
A alocação privada dinâmica não promete o próximo endereço da sequência.
público Basic foi desativado em 30/09/2025; o Standard atual é estático e seguro por padrão.
Após 31/03/2026, sub-redes de VNets criadas por são privadas por padrão e precisam de saída explícita.
Emparelhamento é privado e não transitivo; e resolvem conexões diferentes.
Use estático porque uma dependência exige estabilidade, não como regra universal.
21. Revisão compacta de todos os tópicos
Use esta tabela como a versão resumida do capítulo.
Tópico
O que lembrar
Rede privada regional e logicamente isolada com , sub-redes, , rotas e conexões deliberadas.
Conectividade
Nuvem, /ExpressRoute híbridos e VNets emparelhadas exigem prefixos sem sobreposição.
Sub-redes
Intervalos contidos e não sobrepostos que criam limites de rota, segurança, delegação e serviço.
Capacidade
Subtraia cinco reservas e deixe margem para escala, atualizações e sub-redes dedicadas.
privado
Usado em redes privadas conectadas; dinâmico é padrão, estático atende dependências estáveis.
público
Use recursos Standard atuais para pontos públicos intencionais; a entrada precisa ser permitida.
Saída
Sub-redes privadas precisam de , firewall/appliance, regra do ou outro caminho explícito.
Hub-spoke
Coloque aplicações nos spokes e conectividade/segurança compartilhadas no hub; configure rotas e políticas.
22. Resumo, recuperação ativa e recursos oficiais
A fornece um domínio isolado de endereçamento e roteamento. Um bom projeto começa com CIDRs únicos, divide-os em sub-redes com capacidade, reserva redes de serviço, separa escolha de rota de permissão de tráfego e atribui endereços públicos ou privados segundo o alcance. Projetos atuais usam público Standard e saída explícita, não SKU Basic desativado nem saída implícita.
Perguntas de recuperação ativa
Explique e sub-redes a uma pessoa não técnica usando o exemplo 10.1.0.0/16.
Desenhe as etapas mínimas para criar VNet, sub-redes e emparelhamento.
Identifique quais recursos de uma topologia realmente precisam de estático privado ou público.
Calcule endereços utilizáveis em /24, /27, /28 e /29 após as reservas do .
Explique por que uma sub-rede privada ainda pode ter saída e cite três opções explícitas.
Reproduza o plano de app-vnet e hub-vnet sem consultar a tabela.
