Projete arquitetura de rede, conectividade, entrega e proteção no Azure
Converta os requisitos da carga em decisões de IP, segmentação, roteamento, conectividade híbrida, entrega de aplicações e defesa em profundidade.
Tempo de estudo sugerido: 82 minutos • Nível intermediário • Reescrita autoral completa com resumo conciso de cada tópico
Por João Ricardo Dutra••Conteúdo autoral completo
1. Converta evidências da carga em decisões de rede
Uma varejista global que leva aplicações internas e públicas para várias regiões do precisa manter o acesso de funcionários e clientes, conectar dependências de aplicação e dados e sustentar serviços prontos para IA. Latência, disponibilidade, segurança, operação e custo precisam ser verificáveis.
Recomendar a conectividade dos recursos do com a internet e com redes locais.
Selecionar topologia e serviços que melhorem desempenho e segurança.
Escolher balanceamento e roteamento de tráfego no escopo e na camada corretos.
Proteger fluxos públicos, privados, e de gerenciamento com controles complementares.
Resumo do tópico
Comece por usuários, locais, protocolos, dependências, limites de confiança, escala, falhas e responsáveis; o produto é consequência desses requisitos.
2. Defina a linha de base dos requisitos
Crie uma convenção de nomes e escolha regiões próximas dos consumidores sem ignorar dados, disponibilidade e recursos oferecidos. Uma pertence a uma região, mas emparelhamento e serviços de trânsito conectam regiões. Defina assinaturas, grupos de recursos e locatários do conforme a propriedade operacional.
Documente espaços privados, sub-redes, interfaces e IPs privados, filtragem, , rotas, entrada, saída, telemetria e cotas. Grupos de segurança de rede e soluções de virtualização de rede controlam fluxos; rotas do sistema criam a conectividade inicial.
Resumo do tópico
A linha de base abrange organização, localização, endereçamento, segmentação, filtragem, roteamento, , limites, observabilidade e propriedade.
3. Planeje espaço de endereços e sub-redes
Cada sub-rede recebe um intervalo exclusivo e não sobreposto dentro da . Reserve endereços da plataforma e espaço para crescimento, pontos de extremidade privados, e novas regiões. Separe front-end, aplicação e banco de dados para aplicar políticas distintas.
Exemplo de segmentação de 10.245.16.0/20.
Sub-rede
Endereços utilizáveis
Uso
DEV-FE-EUS2
10.245.16.0/22
1.019
Máquinas virtuais de front-end ou web
DEV-APP-EUS2
10.245.20.0/22
1.019
Máquinas virtuais da camada de aplicação
DEV-DB-EUS2
10.245.24.0/23
507
Máquinas virtuais de banco de dados
Não atribua a uma um espaço maior que /16: ela admite até 65.536 endereços e o excedente não será aproveitado ali. Não sobreponha intervalos do e locais. Prefira redesenhar; é uma solução limitada para exceções.
Resumo do tópico
Use blocos não sobrepostos, com reservas reais de crescimento e serviços, para manter o roteamento híbrido e multirregional.
4. Hub-spoke centraliza conectividade e segurança compartilhadas
A hub hospeda de ou ExpressRoute, firewalls, e gerenciamento. Redes spoke emparelhadas isolam cargas e suas sub-redes. Hubs e spokes podem ficar em grupos de recursos e assinaturas diferentes, inclusive associados a locatários distintos do quando o emparelhamento é autorizado.
Centralize trânsito e segurança nos hubs e delegue cada spoke à equipe responsável.
Resumo do tópico
Hub-spoke combina propriedade descentralizada das cargas com trânsito, inspeção e serviços compartilhados centralizados.
5. Padrão um: uma única
Uma única atende uma carga limitada a uma região quando escala e propriedade continuam administráveis. Sub-redes criam camadas; limitam fluxos; ASGs simplificam regras para grupos lógicos de interfaces. Uma NVA do Marketplace ou o acrescenta inspeção.
A topologia deve crescer apenas quando isolamento, região, propriedade ou trânsito justificarem.
Resumo do tópico
Use uma para uma presença regional delimitada e imponha fronteiras com sub-redes, , ASGs e firewall quando necessário.
6. Padrão dois: várias Redes Virtuais emparelhadas
Redes separadas isolam aplicações ou regiões e só se comunicam após emparelhamento explícito. Rotas do sistema conectam seus espaços e refinam os controles. O emparelhamento não é transitivo: A–B e B–C não criam A–C.
O modelo distribui a administração, mas aumenta emparelhamentos, políticas, e coordenação de rotas. Introduza um hub de trânsito quando as relações ponto a ponto ficarem difíceis de governar.
Resumo do tópico
O emparelhamento oferece conectividade privada de baixa latência, mas toda relação e todo trânsito precisam ser projetados explicitamente.
7. Padrão três: hubs regionais e spokes de carga
Cada região pode ter um hub ligado aos seus spokes e a outros hubs. Fluxos entre spokes passam por um componente de trânsito de camada 3, como o . Política e de tráfego permitido ou negado ficam nos hubs; o Gerenciador de distribui políticas globais e admite extensões locais controladas.
Resumo do tópico
O multi-hub escala isolamento e inspeção, desde que trânsito, simetria de rotas e herança de políticas sejam validados.
8. Compare conectividade e segmentação
Comparação de topologias.
Aspecto
Uma
Redes emparelhadas
Hub-spoke
Conectividade
Rotas do sistema ligam sub-redes.
Emparelhamento liga redes escolhidas; sem transitividade.
Trânsito pelo hub para fluxos entre spokes.
Filtragem
ou firewall sobre tráfego inicialmente permitido.
em cada rede e fronteira.
Firewall/NVA central nega ou inspeciona trânsito.
Evidências da rede e .
Agregação de várias redes.
do firewall central enviados ao .
Operação
Mais simples e menos isolada.
Propriedade distribuída e custo de emparelhamento.
Equipe de plataforma central e spokes delegados.
Resumo do tópico
Escolha a menor topologia que atenda isolamento, região, trânsito, segurança e limites organizacionais sem relações inadministráveis.
9. Entenda as fontes de rota
O cria rotas do sistema para a , internet e compatíveis. UDRs podem substituí-las ou ampliá-las. Emparelhamento acrescenta prefixos remotos; BGP propaga rotas de um ; um ponto de extremidade de serviço adiciona prefixos do serviço à sub-rede e o os mantém.
A rota efetiva resulta de todas as fontes aplicáveis.
Resumo do tópico
Considere sistema, UDR, BGP, emparelhamento e serviço ao explicar o próximo salto efetivo.
10. Prefixo mais longo e prioridade escolhem a rota
Primeiro vence o prefixo de destino mais específico. Em prefixos iguais, a precedência geral é UDR, depois BGP e por fim rota do sistema. Confira as rotas efetivas da interface. Use UDR para passar por ou NVA, impor tunelamento forçado e definir o próximo salto; habilite encaminhamento e preserve a simetria do retorno.
Resumo do tópico
A seleção usa prefixo mais longo e, no empate, UDR sobre BGP sobre sistema; valide o próximo salto e o caminho de volta.
11. Projete conectividade de saída explícita
Em lançadas após 31 de março de 2026, novas Redes Virtuais usam sub-redes privadas por padrão e precisam de um método explícito para acessar pontos públicos. Escolha , /NVA, público no recurso ou regras de saída do conforme segurança e operação.
Saída explícita oferece endereço, capacidade, política, monitoramento e responsável previsíveis.
: de saída escalável, IPs/prefixos estáticos, configurável e redefinição .
/NVA: inspeção, filtragem, e tunelamento forçado.
público: exposição e ciclo de vida por recurso; restrinja ao caso necessário.
Regras do : saída integrada ao balanceamento com portas planejadas.
Resumo do tópico
Toda sub-rede de produção deve ter política, endereço, capacidade, rota, inspeção e falha de saída intencionais.
12. criptografa o tráfego híbrido pela internet
O envia tráfego criptografado entre o e redes remotas. Site a site liga ou filial; ponto a site liga usuários; VNet a VNet liga redes por IPsec/IKE. Escolha SKU, ativo-ativo ou ativo-em-espera, zonas, BGP, protocolo e taxa de transferência conforme a carga.
Resumo do tópico
é o caminho gerenciado e criptografado pela internet; resiliência e desempenho dependem da topologia e do SKU.
13. ExpressRoute fornece conexão privada por provedor
estende a rede local à nuvem Microsoft por um provedor, sem atravessar a internet pública. Oferece camada 3, BGP e conexões redundantes na borda Microsoft, com latência e vazão mais consistentes. Para cargas críticas, use circuitos em locais de emparelhamento distintos e combine com como contingência testada.
A decisão combina disponibilidade, desempenho, segurança, provedor e custo.
Resumo do tópico
ExpressRoute é conectividade privada; ainda requer redundância física e lógica, roteamento e contingência testada.
14. oferece trânsito global gerenciado
A substitui hubs operados pelo cliente por hubs virtuais gerenciados e reúne site a site, de usuário ponto a site, ExpressRoute, conexões de e roteamento. A edição Standard interliga hubs pelo backbone Microsoft e permite filial–rede, filial–filial e rede–rede.
Use-a quando muitas filiais, regiões ou tipos de conexão justificarem trânsito automatizado. Para ambientes menores, hub-spoke convencional pode custar menos ou dar mais controle. Hubs protegidos e intenção de roteamento conduzem tráfego privado e de internet pelo ou provedor compatível.
A transforma hubs e trânsito global em serviço gerenciado.
Resumo do tópico
é uma escolha de escala e operação para trânsito any-to-any gerenciado entre muitas filiais e regiões.
15. Enquadre a decisão de entrega de aplicações
Classifique o tráfego como /, / ou dirigido por ; público ou privado; regional ou global. Compare , latência, ,,, roteamento por caminho, afinidade, integridade, isolamento, limites e custo. Uma aplicação pode combinar várias camadas.
Resumo do tópico
Camada de protocolo, exposição, alcance, aceleração, segurança, disponibilidade e custo reduzem as opções de entrega.
16. Use o fluxo de decisão e valide o projeto completo
A árvore cria uma lista curta; a validação escolhe a combinação final.
Web privada regional aponta para ; / regional, para . Web pública global com aceleração, para . Redirecionamento global sem pode usar Gerenciador de Tráfego do junto a serviços regionais. participa quando um de já precisa distribuir back-ends.
Resumo do tópico
A árvore é uma hipótese: valide limites, regiões, segurança, custo e falhas reais da carga.
17. entrega aplicações web na borda global
Standard e Premium são serviços globais de camada 7 para /,, conteúdo dinâmico e . Fornecem entrada anycast, sondas, roteamento por latência, prioridade ou peso, ,, /caminho, afinidade e . Premium conecta origens compatíveis por .
clássico será desativado em 31 de março de 2027; migre para Standard ou Premium. Bloqueie o acesso direto às origens e teste , sondas, certificados, regras, e custos.
Resumo do tópico
Escolha Front Door para entrega web global, aceleração, e segurança na borda; migre perfis clássicos antes da desativação.
18. Gerenciador de Tráfego do direciona clientes por
O Gerenciador de Tráfego do retorna um ponto público conforme prioridade, peso, desempenho, geografia, multivalor ou sub-rede e monitora sua integridade. O cliente se conecta diretamente ao destino: o serviço não é nem processa camada 7. e influenciam o .
Resumo do tópico
Use o Gerenciador de Tráfego para redirecionamento global entre pontos públicos do ou externos.
19. distribui fluxos de camada 4
distribui e com baixa latência entre instâncias íntegras. Front-ends públicos ou internos, sondas, regras e pools atendem aplicações públicas ou privadas e podem participar da saída explícita. Ele não inspeciona nem executa .
Resumo do tópico
Escolha para distribuição / regional ou entre regiões e balanceamento interno sem processamento .
20. controla tráfego regional de aplicação
é um controlador regional de camada 7 com terminação , /caminho, múltiplos sites, afinidade, redirecionamento, escala automática e . Um front-end privado atende uma web interna. Combine-o com Front Door ou Gerenciador de Tráfego quando houver roteamento global.
Produtos globais e regionais cooperam em camadas diferentes.
Resumo do tópico
Use para / regional, , multissite, entrada web privada e opcional.
21. Construa proteção em camadas
Nenhum controle cobre ataques volumétricos, falhas web, fluxos de rede, acesso privado e administração. Combine ,,,,, identidade, criptografia, monitoramento e código seguro.
Cada camada assume uma ameaça e um escopo de tráfego.
Resumo do tópico
Proteja por ameaça e camada de protocolo e garanta que nenhuma rota contorne os controles.
22. mitiga ataques de camada 3 e 4
O serviço monitora IPs públicos compatíveis e ajusta a mitigação. DDoS Network Protection associa um plano a Redes Virtuais e inclui Resposta Rápida, proteção de custos e descontos de . DDoS Protection cobra por protegido e oferece a mitigação central sem esses serviços adicionais.
Projete redundância, reduza exposição, use para camada 7, colete métricas, alertas, relatórios e e ensaie a resposta. Confirme quais recursos são compatíveis.
Resumo do tópico
Escolha Network Protection para cobertura por plano e benefícios de resposta ou Protection para proteção pontual por .
23. Link Privado remove a exposição pública de serviços
usa um ponto de extremidade privado com da para acessar , serviços próprios ou de parceiros pelo backbone Microsoft. Funciona a partir da rede, redes emparelhadas e ambientes híbridos. Configure privado, restrinja acesso público e mantenha identidade e autorização.
Resumo do tópico
Link Privado cria alcance privado; complete-o com , bloqueio público, identidade, autorização e governança dos pontos.
24. , e protegem escopos distintos
Controles complementares.
Controle
Escopo
Capacidades
Tráfego central e .
Regras , /, FQDN, e . Standard amplia controles; Premium inclui , IDPS, e até 100 Gbps.
Aplicações / na camada 7.
Regras , proteção contra SQL injection e e regras por ou atributos da solicitação.
Fluxos de camada 3/4 em sub-rede e NIC.
ACLs de entrada e saída por prioridade, protocolo, endereço, porta, direção e ação.
O Basic oferece proteção essencial a ambientes menores e não deve ser rotulado genericamente como impróprio para produção. Use Standard para filtragem empresarial mais ampla e Premium para inspeção sensível; o Premium inclui inspeção ,, PCI DSS e IDPS com mais de 67.000 regras. Regras padrão do não podem ser excluídas, mas sua baixa prioridade permite substituí-las por regras personalizadas. Combine regras com acesso JIT e use o Gerenciador de em escala.
fornece RDP e SSH gerenciados pelo navegador até IPs privados de VMs, sem publicar portas administrativas. filtram pacotes no plano de dados; para limitar quem pode alterar recursos de rede no plano de gerenciamento, use do e privilégio mínimo.
Resumo do tópico
protegem limites locais, centraliza política e inspeção e bloqueia explorações web; projetos reais costumam combiná-los.
25. Avaliação, registro de decisão e próximos estudos
Resolva o cenário de produção.
Requisito
Serviço recomendado
Motivo
Web privada com balanceamento de entrada.
com front-end privado
Entrega web regional de camada 7 sem ponto público.
Filtrar (S) do ao local e a saída à internet.
Regras centralizadas para fluxos híbridos e públicos.
Conectividade global entre redes e filiais com gestão central.
Hubs gerenciados, trânsito global e integração de /ExpressRoute.
Registre endereços, sub-redes, , fontes de rota, próximos saltos, IPs de saída, protocolos de entrada, sondas, certificados, identidades, filtros, , cotas, regiões, , custo, falhas e testes. Consulte limites e desativações oficiais antes de implementar. O ajuda a comparar e explicar candidatos, mas a decisão ainda exige evidências da carga e revisão arquitetural.
