Domande frequenti su Azure Virtual Network Manager

Questo articolo risponde alle domande frequenti sulle Azure Virtual Network Manager.

Generale

Quali aree di Azure supportano Azure Virtual Network Manager?

Per informazioni aggiornate sul supporto regionale, fare riferimento a Prodotti disponibili in base all'area.

Quali sono i casi d'uso comuni per Azure Virtual Network Manager?

• È possibile creare gruppi di rete per soddisfare i requisiti di sicurezza del proprio ambiente e delle relative funzioni. Ad esempio, è possibile creare gruppi di rete per gli ambienti di produzione e di test per gestire la connettività e le regole di sicurezza su larga scala.

  Per le regole di amministrazione della sicurezza, è possibile creare una configurazione di amministratore della sicurezza con due raccolte regole. Ogni raccolta di regole è destinata rispettivamente ai gruppi di rete di produzione e di test. Dopo la distribuzione, questa configurazione applica un set di regole di amministrazione della sicurezza per le risorse di rete per l'ambiente di produzione e un altro set per l'ambiente di test.

• È possibile applicare configurazioni di connettività per creare una topologia di rete mesh o hub-and-spoke per un numero elevato di reti virtuali tra le sottoscrizioni dell'organizzazione.

• È possibile negare il traffico ad alto rischio. In qualità di amministratore di un'organizzazione, è possibile bloccare protocolli o origini specifici che eseguono l'override di tutte le regole del gruppo di sicurezza di rete che normalmente consentono il traffico.

• È possibile forzare l'autorizzazione del traffico. Ad esempio, è possibile consentire a uno specifico scanner di sicurezza di avere sempre la connettività in ingresso a tutte le risorse, anche se le regole del gruppo di sicurezza di rete sono configurate per negare il traffico.

Qual è il costo dell'uso di Azure Virtual Network Manager?

Gli addebiti di Azure Virtual Network Manager si basano sul numero di reti virtuali con distribuita una configurazione attiva di Virtual Network Manager. Ad esempio, se un ambito di Virtual Network Manager contiene 100 reti virtuali, ma le configurazioni sono state distribuite solo in cinque di queste reti virtuali, verranno addebitati i costi per queste cinque reti virtuali (non tutte le 100). Si noti anche che un addebito per il peering si applica al volume di traffico delle reti virtuali gestite da una configurazione di connettività distribuita (mesh o hub-spoke).

Se in una rete virtuale sono presenti più configurazioni distribuite dalla stessa istanza di Virtual Network Manager, tale rete virtuale comporta solo una singola tariffa di addebito e non duplicerà gli addebiti. Ad esempio, se un Virtual Network Manager distribuisce sia una configurazione di connettività che una configurazione di sicurezza amministrativa nello stesso set di cinque reti virtuali, verranno addebitati i costi per tali cinque reti virtuali, ma non verranno addebitati due volte. Questo costo non tiene conto di più configurazioni a meno che le configurazioni provengano da istanze di Virtual Network Manager diverse.

Prima di febbraio 2025, gli addebiti di Azure Virtual Network Manager sono stati basati per impostazione predefinita sul numero di sottoscrizioni che contenevano una rete virtuale con una configurazione attiva di Virtual Network Manager distribuita. Se hai creato l'istanza di Virtual Network Manager prima di febbraio 2025, puoi scegliere di cambiare il modello di pricing a quello basato sulla rete virtuale.

Azure Virtual Network Manager network verifier addebita una tariffa per ogni esecuzione dell'analisi della raggiungibilità in un'area di lavoro del verificatore di Azure Virtual Network Manager. Questo addebito è separato dagli addebiti Azure Virtual Network Manager.

Azure Virtual Network Manager gestisce ogni indirizzo IP attivo con il suo strumento di gestione degli indirizzi IP a una tariffa oraria. Un indirizzo IP attivo viene definito come qualsiasi indirizzo IP associato a un'interfaccia di rete in una rete virtuale associata a un pool IP. Questo addebito è separato dagli addebiti Azure Virtual Network Manager.

È possibile trovare i prezzi correnti per l'area nella pagina Azure Virtual Network Manager prezzi.

Come si implementa Azure Virtual Network Gestore?

È possibile distribuire e gestire un'istanza e configurazioni Azure Virtual Network Manager tramite vari strumenti, tra cui:

• Portale Azure
• Azure CLI
• Azure PowerShell
• Modello ARM
• Terraform
• Bicep

Tecnici

Una rete virtuale può appartenere a più istanze di Azure Virtual Network Manager?

Sì, una rete virtuale può appartenere a più di un'istanza di Azure Virtual Network Manager.

Le reti virtuali spoke possono essere connesse a un hub Virtual WAN in una configurazione di connettività mesh in modo che tali reti virtuali spoke possano comunicare direttamente?

Sì, le reti virtuali spoke possono connettersi agli hub di Virtual WAN quando sono configurate per la connettività mesh. Tali reti virtuali nel gruppo a maglia hanno connettività diretta tra loro.

Le operazioni sui prefissi IP nelle reti virtuali che fanno parte della mesh Azure Virtual Network Manager vengono propagate automaticamente?

Le reti virtuali nella mesh vengono sincronizzate automaticamente. I prefissi IP verranno aggiornati automaticamente. Ciò significa che il traffico all'interno della mesh funzionerà anche dopo che sono state apportate modifiche ai prefissi IP nelle reti virtuali nella mesh.

Come posso verificare che una configurazione di connettività mesh sia applicata come pianificato?

Vedere la documentazione Come visualizzare le configurazioni applicate. Una configurazione della connettività mesh non connette le reti virtuali con il peering di reti virtuali, quindi non è possibile visualizzare la connettività mesh nei pannelli di peering.

Cosa accade se l'area in cui viene creato il Azure Virtual Network Manager è inattivo? Influisce sulle configurazioni distribuite o impedisce solo le modifiche alla configurazione?

Sarà interessata solo la possibilità di modificare le configurazioni. Dopo che Azure Virtual Network Manager ha programmato la configurazione e hai confermato il commit della configurazione, continuerà a funzionare. Ad esempio, se l'istanza di Azure Virtual Network Manager viene creata nell'area 1 e la topologia mesh viene stabilita nell'area 2, la mesh nell'area 2 continuerà a funzionare anche se l'area 1 non sarà più disponibile.

Che cos'è una topologia di rete mesh globale?

Una rete mesh globale consente alle reti virtuali di tutte le aree di comunicare tra loro. Gli effetti sono simili a quelli del peering della rete virtuale globale.

Esiste un limite al numero di gruppi di rete che è possibile creare?

Non esiste alcun limite al numero di gruppi di rete che è possibile creare.

Come si rimuove la distribuzione di tutte le configurazioni applicate?

È necessario distribuire una configurazione Nessuna in tutte le aree in cui è stata applicata una configurazione.

È possibile aggiungere reti virtuali da un'altra sottoscrizione non gestita?

Sì, se si dispone delle autorizzazioni appropriate per accedere a tali reti virtuali.

In che modo la distribuzione della configurazione differisce tra gruppi di rete con membri aggiunti manualmente e membri aggiunti in modo condizionale?

Consultare le distribuzioni delle configurazioni in Azure Virtual Network Manager.

Come posso eliminare un componente di Azure Virtual Network Manager?

Vedere Lista di controllo per la rimozione e l'aggiornamento dei componenti di Azure Virtual Network Manager.

Azure Virtual Network Manager archivia i dati dei clienti?

No. Azure Virtual Network Manager non archivia i dati dei clienti.

È possibile spostare un'istanza di Azure Virtual Network Manager?

No. Azure Virtual Network Manager attualmente non supporta la possibilità di spostare l'istanza in un'altra area, in un gruppo di risorse o in una sottoscrizione diversa. Se è necessario spostare un'istanza, è consigliabile eliminarla e usare il modello di Azure Resource Manager per crearne un altro nella posizione desiderata.

È possibile spostare una sottoscrizione con un Azure Virtual Network Manager in un altro tenant?

No, lo spostamento della sottoscrizione in cui l'istanza di Azure Virtual Network Manager esiste in un altro tenant non è supportata. Per altre informazioni, vedere Limitations con Azure Virtual Network Manager.

Come è possibile visualizzare le configurazioni applicate per favorire la risoluzione dei problemi?

È possibile visualizzare le impostazioni di Azure Virtual Network Manager in Network Manager per una rete virtuale. Le impostazioni mostrano le configurazioni applicate. Per altre informazioni, vedere configurazioni di View applicate da Azure Virtual Network Manager.

Cosa accade quando tutte le zone si trovano in un'area con un'istanza di Azure Virtual Network Manager?

Se si verifica un'interruzione a livello di area, tutte le configurazioni applicate alle risorse di rete virtuali gestite correnti rimangono intatte durante l'interruzione. Durante l'interruzione non è possibile creare nuove configurazioni o modificare quelle esistenti. Dopo aver risolto l'interruzione, è possibile continuare a gestire le risorse di rete virtuale come prima.

È possibile eseguire il peering di una rete virtuale gestita da Azure Virtual Network Manager a una rete virtuale non gestita?

Sì. Azure Virtual Network Manager è completamente compatibile con topologie hub-spoke preesistenti create con peering manuale. Non è necessario eliminare connessioni con peering esistenti tra le reti virtuali del gruppo a ruota. La migrazione avviene senza alcun tempo di inattività della rete.

È possibile eseguire la migrazione di una topologia hub-spoke esistente a Azure Virtual Network Manager?

Sì. La migrazione di reti virtuali esistenti alla topologia hub-spoke in Azure Virtual Network Manager è semplice. È possibile creare una configurazione di connettività con topologia hub-and-spoke. Quando si distribuisce questa configurazione, Azure Virtual Network Manager crea automaticamente i peering necessari. Tutti i peering preesistenti rimangono intatti, quindi non c'è tempo di inattività.

In che modo i gruppi connessi differiscono dal peering di rete virtuale per stabilire la connettività tra reti virtuali?

In Azure, il peering di rete virtuale e i gruppi connessi sono due metodi per stabilire la connettività tra reti virtuali. Il peering di rete virtuale funziona creando una corrispondenza uno-a-uno tra reti virtuali, mentre i gruppi connessi utilizzano un nuovo sistema che permette la connettività senza tale corrispondenza.

In un gruppo connesso, tutte le reti virtuali sono connesse senza relazioni di peering individuali. Ad esempio, se tre reti virtuali fanno parte dello stesso gruppo connesso, la connettività viene abilitata tra ogni rete virtuale senza la necessità di relazioni di peering individuali.

L'effetto di ogni metodo è lo stesso, in cui viene stabilita la connettività bidirezionale tra reti virtuali. Tuttavia, i gruppi connessi semplificano la gestione della connettività consentendo di gestire più reti virtuali come singola entità e di ottenere una scalabilità più elevata della connettività oltre i limiti di peering.

Quando si gestiscono reti virtuali tramite il peering di rete virtuale, si finisce per pagare due volte le spese per il peering con Azure Virtual Network Manager?

Non è previsto alcun secondo o doppio addebito per il peering. Il tuo gestore della rete virtuale rispetta tutti i peering delle reti virtuali creati in precedenza ed esegue la migrazione di tali connessioni. Tutte le risorse di peering, create all'interno di un gestore di rete virtuale o all'esterno, comportano un singolo addebito di peering.

È possibile creare eccezioni alle regole di amministratore della sicurezza?

In genere, le regole di amministratore della sicurezza vengono definite per bloccare il traffico tra reti virtuali. Tuttavia, in alcuni casi determinate reti virtuali e le relative risorse devono consentire il traffico per la gestione o altri processi. Per questi scenari, è possibile creare eccezioni dove necessario. Informazioni su come bloccare le porte ad alto rischio con eccezioni per questi scenari.

Come è possibile distribuire più configurazioni di amministratore della sicurezza in un'area?

È possibile distribuire una sola configurazione di amministratore della sicurezza in un'area. Tuttavia, in un'area possono esistere più configurazioni di connettività. Per distribuire più set di regole di amministrazione della sicurezza in un'area, creare più raccolte di regole in una configurazione dell'amministratore della sicurezza.

Le regole di amministratore della sicurezza si applicano agli endpoint privati Azure?

Attualmente, le regole di amministratore della sicurezza non si applicano a Azure endpoint privati che rientrano nell'ambito di una rete virtuale gestita da Azure Virtual Network Manager.

Un hub Azure Virtual WAN può far parte di un gruppo di rete?

No, un hub Azure Virtual WAN non può trovarsi in un gruppo di rete al momento.

È possibile usare un'istanza di Azure Virtual WAN come hub in una configurazione di connettività hub-spoke Azure Virtual Network Manager?

No, un hub Azure Virtual WAN non è supportato come hub in una topologia hub-spoke in questo momento.

La rete virtuale non riceve le configurazioni previste. Come si risolvono i problemi?

Usare le seguenti domande per trovare possibili soluzioni.

La configurazione è stata distribuita nell'area della rete virtuale?

Le configurazioni in Azure Virtual Network Manager non diventano effettive finché non vengono distribuite. Creare una distribuzione nell'area della rete virtuale con le configurazioni appropriate.

La rete virtuale rientra nell'ambito?

A un gestore di rete viene delegato solo l'accesso necessario per applicare le configurazioni alle reti virtuali all'interno del proprio ambito. Se una risorsa si trova nel gruppo di rete ma non rientra nell'ambito, non riceve alcuna configurazione.

Si applicano regole di sicurezza a una rete virtuale che contiene istanze gestite?

Azure SQL Managed Instance presenta alcuni requisiti di rete. Questi requisiti vengono applicati tramite criteri di finalità di rete ad alta priorità i cui scopi sono in conflitto con le regole di amministratore della sicurezza. Per impostazione predefinita, l'applicazione della regola di amministrazione viene ignorata nelle reti virtuali che contengono uno qualsiasi di questi criteri di finalità. Poiché le regole Consenti non comportano alcun rischio di conflitto, è possibile scegliere di applicare le regole Consenti solo impostando AllowRulesOnly su securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices.

Si applicano regole di sicurezza a una rete virtuale o a una subnet che contiene servizi che bloccano le regole di configurazione della sicurezza?

Alcuni servizi richiedono requisiti di rete specifici per funzionare correttamente. Per impostazione predefinita, le regole di amministrazione della sicurezza non vengono applicate alle reti virtuali contenenti Azure SQL Managed Instance o Azure Databricks. Inoltre, le regole di amministratore della sicurezza non vengono applicate a livello di subnet per servizi come Azure Application Gateway, Azure Bastion, Azure Firewall, Azure Route Server, Azure VPN Gateway, Azure Virtual WAN e Azure ExpressRoute Gateway. Per l'elenco completo, vedere Nonapplicazione delle regole di amministrazione della sicurezza. Per la mancata applicazione a livello di rete virtuale, poiché Allow regole non comportano rischi di conflitto, è possibile scegliere di applicare Allow Only impostando il campo AllowRulesOnly delle configurazioni di sicurezza nella classe securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices .NET.

Limiti

Quali sono le limitazioni del servizio di Azure Virtual Network Manager?

Per informazioni più aggiornate, vedere Limitations con Azure Virtual Network Manager.

Passaggi successivi

• Creare un'istanza Azure Virtual Network Manager usando il portale di Azure.