Laboratorio práctico — AZ-700 Microsoft Azure Network Engineer Associate

Descripción general

Requisitos previos

Pasos

1. 1.Proveedor, grupo de recursos, nomenclatura

   Inicio estándar de Azure.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   locals {
     tags = {
       Project   = "certlabpro-az-700"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-az-700-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Construya la VNet de hub con una subred de servicios compartidos

   Aprovisiona:

   • Azure Virtual Network

   La topología de hub-spoke es la topología de referencia AZ-700. El hub centraliza los servicios compartidos (firewall, gateway VPN, resolvedor DNS, monitoreo) y los spokes se emparejan con el hub para acceder a ellos. Construimos el hub en 10.0.0.0/16 con una subred; en un hub real, tendría una GatewaySubnet para la puerta de enlace VPN/ExpressRoute, una AzureFirewallSubnet para Azure Firewall y una subred de servicios compartidos para los puntos de conexión de entrada/salida del resolvedor DNS. El alcance del laboratorio es la forma de la topología; los servicios de gateway están fuera del alcance (alto costo).

   Copiar

   resource "azurerm_virtual_network" "hub" {
     name                = "vnet-hub"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.0.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "hub_shared" {
     name                 = "shared-services"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.hub.name
     address_prefixes     = ["10.0.1.0/24"]
   }

3. 3.Construya la VNet de spoke con una subred de aplicación protegida por NSG

   Aprovisiona:

   • Azure Virtual Network

   El spoke en 10.1.0.0/16 — deliberadamente sin superposición con el hub. El NSG adjunto a la subred de aplicación en producción restringiría la entrada a CIDRs de origen específicos; el laboratorio usa * como origen para que la arquitectura sea comprobable.

   AZ-700 Implementar infraestructura de red central aborda repetidamente la pregunta NSG por subred vs NSG por NIC. Los NSG a nivel de subred (este laboratorio) son la respuesta correcta cuando la pregunta dice "aplicado a todos los recursos en la subred"; el nivel de NIC es la anulación.

   Copiar

   resource "azurerm_virtual_network" "spoke" {
     name                = "vnet-spoke"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.1.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "spoke_app" {
     name                 = "app"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.spoke.name
     address_prefixes     = ["10.1.1.0/24"]
   }
   
   resource "azurerm_network_security_group" "spoke_app" {
     name                = "nsg-spoke-app"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
   
     security_rule {
       name                       = "AllowHttpsFromInternet"
       priority                   = 100
       direction                  = "Inbound"
       access                     = "Allow"
       protocol                   = "Tcp"
       source_port_range          = "*"
       destination_port_range     = "443"
       source_address_prefix      = "*"
       destination_address_prefix = "*"
     }
   
     tags = local.tags
   }
   
   resource "azurerm_subnet_network_security_group_association" "spoke_app" {
     subnet_id                 = azurerm_subnet.spoke_app.id
     network_security_group_id = azurerm_network_security_group.spoke_app.id
   }

4. 4.Empareje el hub y el spoke en ambas direcciones

   Aprovisiona:

   • Azure Virtual Network

   El emparejamiento de VNets es la primitiva de conectividad AZ-700 dentro de una región. Dos propiedades clave que el examen evalúa:

   • Emparejamiento bidireccional — debe crearse en ambos lados (hub-a-spoke Y spoke-a-hub); los emparejamientos de un solo lado no funcionan. Terraform crea ambos recursos aquí.
   • allow_forwarded_traffic — requerido cuando el hub planea reenviar tráfico de un spoke a otro (tránsito a través de un firewall en el hub).
   • use_remote_gateways / allow_gateway_transit — el spoke usa use_remote_gateways = true para usar el gateway VPN/ER del hub. No tenemos un gateway en este laboratorio, pero la forma del atributo es evaluada en el examen.
   Copiar

   resource "azurerm_virtual_network_peering" "hub_to_spoke" {
     name                      = "hub-to-spoke"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.hub.name
     remote_virtual_network_id = azurerm_virtual_network.spoke.id
     allow_forwarded_traffic   = true
     allow_gateway_transit     = true
   }
   
   resource "azurerm_virtual_network_peering" "spoke_to_hub" {
     name                      = "spoke-to-hub"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.spoke.name
     remote_virtual_network_id = azurerm_virtual_network.hub.id
     allow_forwarded_traffic   = true
     # use_remote_gateways    = true # uncomment when a gateway exists in the hub
   }

5. 5.Agregue una zona DNS privada vinculada a ambas VNets

   Aprovisiona:

   • Azure Private DNS

   Las zonas DNS privadas son la respuesta de AZ-700 para Diseñar e implementar la resolución de nombres para la resolución de nombres entre VNets que no depende del DNS predeterminado de Azure. Creamos la zona internal.contoso.com y vinculamos a ella tanto la VNet de hub como la de spoke. Los recursos en cualquiera de las VNets ahora pueden consultar registros en esta zona.

   El flag registration_enabled = true en el enlace del hub permite que los recursos en el hub registren automáticamente sus nombres de host. AZ-700 prueba este registro automático frente a la creación manual de registros A como la pregunta recurrente de "cómo obtengo nombres DNS limpios para mis VMs".

   Copiar

   resource "azurerm_private_dns_zone" "main" {
     name                = "internal.contoso.com"
     resource_group_name = azurerm_resource_group.main.name
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "hub" {
     name                  = "hub-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.hub.id
     registration_enabled  = true # auto-register hub-resident VMs
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "spoke" {
     name                  = "spoke-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.spoke.id
     registration_enabled  = false # spoke resources query but don't register
   
     tags = local.tags
   }

Limpieza