Plan je IP-range en subnets¶
Als je een spoke aanvraagt, geef je aan hoe groot je netwerk moet zijn. Het platformteam wijst het daadwerkelijke bereik toe uit het centrale IP-plan, zodat bereiken nooit overlappen, wat vereist is voor de routering in de hub. Bereiken zijn privé: ze zijn niet bereikbaar vanaf internet.
Groottes¶
Azure reserveert 5 adressen per subnet (de eerste vier en het laatste). Het aantal bruikbare adressen is dus het totaal min 5.
| CIDR | Totaal aantal adressen | Bruikbaar in één subnet |
|---|---|---|
/28 |
16 | 11 |
/27 |
32 | 27 |
/26 |
64 | 59 |
/25 |
128 | 123 |
/24 |
256 | 251 |
Veel Azure-services gebruiken meerdere adressen voor beschikbaarheid en schaling (App Service-integratie, AKS-nodes, private endpoints, Application Gateway). Check de Microsoft Learn-pagina van elke service voor de minimale subnetgrootte en delegation, en houd wat ruimte over voor groei.
Begin met ruimte om te groeien
Een /24 is een gangbare default voor één spoke. Heb je meer nodig, geef dat dan aan in je aanvraag: een groter bereik is
makkelijker aan het begin toe te wijzen dan later toe te voegen. Gebruik binnen het bereik niet alle adressen tegelijk. Laat ruimte
voor nieuwe subnets, want een subnet waar resources in staan kan niet worden aangepast in grootte.
Subnets¶
Je kunt je VNet opdelen in subnets om aparte NSG's en routes toe te passen, bijvoorbeeld één voor databases en één voor web. In de MCP spoke JSON geldt:
- Elk netwerk heeft minimaal één private-link subnet nodig (
isprivatelinksubnet: true) voor private endpoints. De Key Vault en het storage account van de spoke gebruiken het eerste. - Voeg delegations en service endpoints per subnet toe (Spoke JSON).
- Het formaat van subnets waar al resources in staan kan niet worden gewijzigd. Voeg in plaats daarvan een nieuw subnet toe.
Standaardwaarden verschillen per platform
Sommige platforms maken altijd twee standaardsubnets aan (bijvoorbeeld een default- en een private-endpoints-subnet). MCP maakt de subnets aan die in je aanvraag staan. Geef ze de namen die je platformteam vraagt.
Voorbeeld¶
Een /26 VNet (10.97.0.0 tot 10.97.0.63) opgedeeld in vier /28 subnets:
| Subnet | CIDR | Adressen |
|---|---|---|
snet-default |
/28 |
10.97.0.0 tot 10.97.0.15 |
snet-privatelink |
/28 |
10.97.0.16 tot 10.97.0.31 |
snet-app |
/28 |
10.97.0.32 tot 10.97.0.47 |
snet-data |
/28 |
10.97.0.48 tot 10.97.0.63 |
Subnets met speciale eisen¶
Sommige services hebben een eigen subnet nodig, met een minimale grootte en een delegation. Check de Microsoft Learn-pagina van de
service voordat je het bereik plant. Een voorbeeld van een klantplatform: de v2-tiers van API Management met virtual
network-integratie hebben een dedicated subnet nodig dat geen enkele andere resource deelt, minimaal een /27 (met een /24 is er ruimte om
te schalen), gedelegeerd aan Microsoft.Web/serverFarms, met een NSG eraan gekoppeld. Vraag je platformteam of dit geldt voor
de servicetier die je gebruikt.
Network security groups op je subnets¶
Elk subnet krijgt een NSG. Wijzig bij een aanvraag voor NSG-wijzigingen niet de prioriteit van een bestaande regel. Vraag in plaats daarvan een nieuwe regel met een nieuwe naam aan. Zie Hoe wijzig je een spoke.
Later groeien¶
Heb je later meer adressen nodig, dan kan het platformteam je een extra adresruimte of een nieuw VNet geven, omdat het aangrenzende bereik mogelijk al in gebruik is. Dat werkt prima, maar de bereiken zijn dan niet meer aaneengesloten.
Hulpmiddelen¶
- Azure virtual network best practices
- Elke subnetcalculator, bijvoorbeeld CIDR.xyz of IPcalc.
Wat er met het bereik gebeurt als een spoke wordt verwijderd¶
Het bereik blijft gereserveerd in het centrale IP-plan totdat het platformteam het vrijgeeft. Als je een spoke verwijdert, geeft het platformteam het bereik ook vrij, zodat het opnieuw kan worden gebruikt. Zie Een spoke verwijderen.
Zie ook: Hoe vraag je een nieuwe spoke aan, Hoe wijzig je een spoke.