Лабораторная работа — AZ-700 Microsoft Azure Network Engineer Associate

Обзор

Предварительные требования

Шаги

1. 1.Провайдер, группа ресурсов, именование

   Стандартное начало для Azure.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   locals {
     tags = {
       Project   = "certlabpro-az-700"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-az-700-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Создание VNet-хаба с подсетью общих служб

   Создаваемые ресурсы:

   • Azure Virtual Network

   Топология "хаб-спица" является эталонной для AZ-700. Хаб централизует общие службы (брандмауэр, VPN-шлюз, DNS-преобразователь, мониторинг) и спицы пирингуются с хабом для доступа к ним. Мы строим хаб по адресу 10.0.0.0/16 с одной подсетью — в реальном хабе у вас была бы GatewaySubnet для VPN/ExpressRoute Gateway, AzureFirewallSubnet для Azure Firewall и подсеть общих служб для входящих/исходящих конечных точек DNS Resolver. Область действия лабораторной работы — форма топологии; службы шлюза выходят за рамки (высокая стоимость).

   Копировать

   resource "azurerm_virtual_network" "hub" {
     name                = "vnet-hub"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.0.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "hub_shared" {
     name                 = "shared-services"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.hub.name
     address_prefixes     = ["10.0.1.0/24"]
   }

3. 3.Создание VNet-спицы с подсетью приложений, защищенной NSG

   Создаваемые ресурсы:

   • Azure Virtual Network

   Спица по адресу 10.1.0.0/16 — намеренно неперекрывающаяся с хабом. NSG, прикрепленный к подсети приложений, в production ограничивал бы входящий трафик до определенных исходных CIDR; в лабораторной работе используется * для источника, чтобы архитектура была тестируемой.

   AZ-700 Implement core networking infrastructure неоднократно затрагивает вопрос NSG на подсеть против NSG на NIC. NSG на уровне подсети (эта лабораторная работа) являются правильным ответом, когда в вопросе говорится "применяется ко всем ресурсам в подсети"; уровень NIC является переопределением.

   Копировать

   resource "azurerm_virtual_network" "spoke" {
     name                = "vnet-spoke"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.1.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "spoke_app" {
     name                 = "app"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.spoke.name
     address_prefixes     = ["10.1.1.0/24"]
   }
   
   resource "azurerm_network_security_group" "spoke_app" {
     name                = "nsg-spoke-app"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
   
     security_rule {
       name                       = "AllowHttpsFromInternet"
       priority                   = 100
       direction                  = "Inbound"
       access                     = "Allow"
       protocol                   = "Tcp"
       source_port_range          = "*"
       destination_port_range     = "443"
       source_address_prefix      = "*"
       destination_address_prefix = "*"
     }
   
     tags = local.tags
   }
   
   resource "azurerm_subnet_network_security_group_association" "spoke_app" {
     subnet_id                 = azurerm_subnet.spoke_app.id
     network_security_group_id = azurerm_network_security_group.spoke_app.id
   }

4. 4.Пиринг хаба и спицы в обоих направлениях

   Создаваемые ресурсы:

   • Azure Virtual Network

   Пиринг VNet — это примитив подключения AZ-700 в пределах региона. Два ключевых свойства, которые проверяются на экзамене:

   • Двунаправленный пиринг — должен быть создан с обеих сторон (хаб-к-спице И спица-к-хабу); односторонние пиринги не работают. Terraform создает оба ресурса здесь.
   • allow_forwarded_traffic — требуется, когда хаб планирует перенаправлять трафик от одной спицы к другой (транзит через брандмауэр в хабе).
   • use_remote_gateways / allow_gateway_transit — спица использует use_remote_gateways = true для использования VPN/ER шлюза хаба. В этой лабораторной работе у нас нет шлюза, но форма атрибута тестируется на экзамене.
   Копировать

   resource "azurerm_virtual_network_peering" "hub_to_spoke" {
     name                      = "hub-to-spoke"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.hub.name
     remote_virtual_network_id = azurerm_virtual_network.spoke.id
     allow_forwarded_traffic   = true
     allow_gateway_transit     = true
   }
   
   resource "azurerm_virtual_network_peering" "spoke_to_hub" {
     name                      = "spoke-to-hub"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.spoke.name
     remote_virtual_network_id = azurerm_virtual_network.hub.id
     allow_forwarded_traffic   = true
     # use_remote_gateways    = true # uncomment when a gateway exists in the hub
   }

5. 5.Добавление частной зоны DNS, связанной с обеими VNet

   Создаваемые ресурсы:

   • Azure Private DNS

   Частные зоны DNS — это ответ AZ-700 в разделе Проектирование и реализация разрешения имен для разрешения имен между VNet, которое не зависит от DNS Azure по умолчанию. Мы создаем зону internal.contoso.com и связываем с ней как VNet-хаб, так и VNet-спицу. Ресурсы в любой из VNet теперь могут запрашивать записи в этой зоне.

   Флаг registration_enabled = true на ссылке хаба позволяет ресурсам в хабе автоматически регистрировать свои имена хостов. AZ-700 тестирует эту автоматическую регистрацию по сравнению с ручным созданием A-записей как повторяющийся вопрос "как получить чистые DNS-имена для моих VM".

   Копировать

   resource "azurerm_private_dns_zone" "main" {
     name                = "internal.contoso.com"
     resource_group_name = azurerm_resource_group.main.name
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "hub" {
     name                  = "hub-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.hub.id
     registration_enabled  = true # auto-register hub-resident VMs
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "spoke" {
     name                  = "spoke-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.spoke.id
     registration_enabled  = false # spoke resources query but don't register
   
     tags = local.tags
   }

Очистка ресурсов