什么是 Azure 虚拟网络？

Azure 虚拟网络 (VNet) 是 Azure 中专用网络的基本构建块。VNet 使多种类型的 Azure 资源（例如 Azure 虚拟机 (VM)）能够安全地相互通信、Internet 和本地网络。VNet 类似于您在自己的数据中心中运行的传统网络，但它带来了 Azure 基础架构的其他优势，例如规模、可用性和隔离性。

为什么使用 Azure 虚拟网络？

Azure 虚拟网络使 Azure 资源能够安全地相互通信、Internet 和本地网络。可以使用虚拟网络完成的关键方案包括 - Azure 资源与 Internet 的通信、Azure 资源之间的通信、与本地资源的通信、过滤网络流量、路由网络流量以及与 Azure 服务的集成。

与互联网交流

默认情况下，VNet 中的所有资源都可以与 Internet 进行出站通信。您可以通过分配公共 IP 地址或公共负载均衡器来与资源进行入站通信。您还可以使用公共 IP 或公共负载均衡器来管理您的出站连接。若要详细了解 Azure 中的出站连接，请参阅出站连接、公共 IP 地址和负载均衡器。

在 Azure 资源之间进行通信

Azure 资源通过以下方式之一安全地相互通信：

• 通过虚拟网络：您可以将 VM 和其他几种类型的 Azure 资源部署到虚拟网络，例如 Azure 应用服务环境、Azure Kubernetes 服务 (AKS) 和 Azure 虚拟机规模集。若要查看可以部署到虚拟网络中的 Azure 资源的完整列表，请参阅虚拟网络服务集成。
• 通过虚拟网络服务终结点：通过直接连接将虚拟网络专用地址空间和虚拟网络标识扩展到 Azure 服务资源，例如 Azure 存储帐户和 Azure SQL 数据库。服务终结点允许您仅将关键 Azure 服务资源保护到虚拟网络。要了解更多信息，请参阅虚拟网络服务终结点概述。
• 通过 VNet 对等互连：您可以将虚拟网络相互连接，从而使任一虚拟网络中的资源能够使用虚拟网络对等互连相互通信。你连接的虚拟网络可以位于相同或不同的 Azure 区域。要了解更多信息，请参阅虚拟网络对等互连。

为什么使用虚拟网络对等互连？

使用虚拟网络对等互连（无论是本地的还是全局的）的好处包括：

• 不同虚拟网络中资源之间的低延迟、高带宽连接。
• 一个虚拟网络中的资源与不同虚拟网络中的资源进行通信的能力。
• 跨 Azure 订阅、Azure Active Directory 租户、部署模型和 Azure 区域的虚拟网络之间传输数据的能力。
• 通过 Azure 资源管理器创建的对等虚拟网络的能力。
• 将通过资源管理器创建的虚拟网络与通过经典部署模型创建的虚拟网络对等的能力。若要详细了解 Azure 部署模型，请参阅了解 Azure 部署模型。
• 在创建对等互连时或在创建对等互连之后，任何一个虚拟网络中的资源都不会停机。

对等虚拟网络之间的网络流量是私有的。虚拟网络之间的流量保留在 Microsoft 主干网络上。虚拟网络之间的通信不需要公共 Internet、网关或加密。

Azure可选默认路由类型？

默认

每条路由都包含一个地址前缀和下一跳类型。当离开子网的流量发送到路由地址前缀内的 IP 地址时，包含前缀的路由就是 Azure 使用的路由。详细了解当多个路由包含相同前缀或重叠前缀时Azure 如何选择路由。每当创建虚拟网络时，Azure 都会自动为虚拟网络中的每个子网创建以下默认系统路由：

上表中列出的下一跃点类型表示 Azure 如何路由以所列地址前缀为目标的流量。下一个跃点类型的说明如下：

• 虚拟网络：在地址空间内的地址范围之间路由流量的虚拟网络。Azure 创建一个路由，其地址前缀对应于在虚拟网络的地址空间中定义的每个地址范围。如果虚拟网络地址空间定义了多个地址范围，Azure 会为每个地址范围创建一个单独的路由。Azure 使用为每个地址范围创建的路由自动在子网之间路由流量。无需为 Azure 定义网关即可在子网之间路由流量。尽管虚拟网络包含子网，并且每个子网都有定义的地址范围，但 Azure 不会为子网地址范围创建默认路由。这是因为每个子网地址范围都在虚拟网络地址空间的地址范围内。

• Internet：将地址前缀指定的流量路由到 Internet。系统默认路由指定 0.0.0.0/0 地址前缀。如果不覆盖 Azure 的默认路由，Azure 会将虚拟网络中地址范围未指定的任何地址的流量路由到 Internet，但有一个例外。如果目标地址用于 Azure 的一项服务，Azure 会通过 Azure 的骨干网络将流量直接路由到服务，而不是将流量路由到 Internet。Azure 服务之间的流量不会通过 Internet，无论虚拟网络存在于哪个 Azure 区域，或者 Azure 服务的实例部署在哪个 Azure 区域。您可以覆盖 0.0.0.0 的 Azure 默认系统路由。

• 无：路由到无下一跃点类型的流量被丢弃，而不是路由到子网外部。Azure 自动为以下地址前缀创建默认路由：

  • 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16：在 RFC 1918 中保留供私人使用。
  • 100.64.0.0/10：在 RFC 6598 中保留。

  如果您在虚拟网络的地址空间中分配任何先前的地址范围，Azure 会自动将路由的下一个跃点类型从None更改为Virtual network。如果将地址范围分配给包含四个保留地址前缀之一但不相同的虚拟网络的地址空间，Azure 会删除该前缀的路由并为您添加的地址前缀添加一个路由，以虚拟网络作为下一跳类型。

Azure 为不同的 Azure 功能添加了更多默认系统路由，但前提是你启用了这些功能。根据功能，Azure 将可选的默认路由添加到虚拟网络中的特定子网或虚拟网络中的所有子网。启用不同功能时 Azure 可能添加的其他系统路由和下一跃点类型包括：

• 虚拟网络 (VNet) 对等互连：在两个虚拟网络之间创建虚拟网络对等互连时，将为创建对等互连的每个虚拟网络的地址空间内的每个地址范围添加一条路由。了解有关虚拟网络对等互连的更多信息。

• 虚拟网络网关：将虚拟网络网关添加到虚拟网络时，会添加一个或多个路由，其中​​虚拟网络网关列为下一跃点类型。源也是虚拟网络网关，因为网关将路由添加到子网。如果您的本地网络网关交换边界网关协议 ( BGP) 路由与 Azure 虚拟网络网关，为从本地网络网关传播的每个路由添加一个路由。建议您将本地路由汇总到可能的最大地址范围，以便将最少数量的路由传播到 Azure 虚拟网络网关。可以传播到 Azure 虚拟网络网关的路由数量存在限制。有关详细信息，请参阅Azure 限制。

• VirtualNetworkServiceEndpoint：当您为服务启用服务终结点时，Azure 会将某些服务的公共 IP 地址添加到路由表中。为虚拟网络中的各个子网启用服务终结点，因此路由仅添加到启用服务终结点的子网的路由表中。Azure 服务的公共 IP 地址会定期更改。当地址更改时，Azure 会自动管理路由表中的地址。详细了解虚拟网络服务端点，以及您可以为其创建服务端点的服务。

  笔记

  VNet 对等互连和VirtualNetworkServiceEndpoint下一跃点类型仅添加到通过 Azure 资源管理器部署模型创建的虚拟网络内的子网路由表中。下一个跃点类型不会添加到与通过经典部署模型创建的虚拟网络子网关联的路由表中。详细了解 Azure部署模型。

Azure 工具中的下一跃点类型 

Azure 门户和命令行工具以及 Azure 资源管理器和经典部署模型之间显示和引用的下一跃点类型的名称不同。下表列出了用于引用具有不同工具和部署模型的每个下一跃点类型的名称：

Azure 如何选择路由（路由类型及其优先级）

从子网发送出站流量时，Azure 使用最长前缀匹配算法根据目标 IP 地址选择路由。例如，一个路由表有两条路由：一条路由指定 10.0.0.0/24 地址前缀，而另一条路由指定 10.0.0.0/16 地址前缀。Azure 将发往 10.0.0.5 的流量路由到具有 10.0.0.0/24 地址前缀的路由中指定的下一个跃点类型，因为 10.0.0.0/24 是比 10.0.0.0/16 更长的前缀，即使 10.0.0.5位于两个地址前缀内。Azure 将发往 10.0.1.5 的流量路由到具有 10.0.0.0/16 地址前缀的路由中指定的下一个跃点类型，因为 10.0.1.5 不包含在 10.0.0.0/24 地址前缀中，因此具有10.0.0.0/16 地址前缀是匹配的最长前缀。

如果多个路由包含相同的地址前缀，Azure 会根据以下优先级选择路由类型：

1. 用户自定义路线
2. BGP路由
3. 系统路由