动手实验室 — AZ-700 Microsoft Azure Network Engineer Associate

概述

先决条件

步骤

1. 1.提供商、资源组、命名

   标准的 Azure 开场配置。

   复制

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   locals {
     tags = {
       Project   = "certlabpro-az-700"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-az-700-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.构建带有共享服务子网的中心 VNet

   配置服务：

   • Azure Virtual Network

   中心-辐条是 AZ-700 的参考拓扑结构。中心 VNet 集中共享服务（防火墙、VPN 网关、DNS 解析器、监控），而辐条 VNet 与中心 VNet 对等以访问这些服务。我们以 10.0.0.0/16 构建中心 VNet，其中包含一个子网——在真实的中心 VNet 中，您会有一个用于 VPN/ExpressRoute 网关的 GatewaySubnet，一个用于 Azure 防火墙的 AzureFirewallSubnet，以及一个用于 DNS 解析器入站/出站端点的共享服务子网。实验范围是拓扑结构形状；网关服务不在范围之内（成本高昂）。

   复制

   resource "azurerm_virtual_network" "hub" {
     name                = "vnet-hub"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.0.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "hub_shared" {
     name                 = "shared-services"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.hub.name
     address_prefixes     = ["10.0.1.0/24"]
   }

3. 3.构建带有 NSG 保护的应用子网的辐条 VNet

   配置服务：

   • Azure Virtual Network

   辐条 VNet 的地址空间为 10.1.0.0/16——故意与中心 VNet 不重叠。附加到应用子网的 NSG 在生产环境中会限制入站流量到特定的源 CIDR；本实验将源设置为 * 以便架构可以测试。

   AZ-700 的“实现核心网络基础设施”部分反复涉及 每个子网的 NSG 与每个 NIC 的 NSG 的问题。当问题表示“应用于子网中的所有资源”时，子网级别的 NSG（本实验）是正确的答案；NIC 级别是覆盖选项。

   复制

   resource "azurerm_virtual_network" "spoke" {
     name                = "vnet-spoke"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.1.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "spoke_app" {
     name                 = "app"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.spoke.name
     address_prefixes     = ["10.1.1.0/24"]
   }
   
   resource "azurerm_network_security_group" "spoke_app" {
     name                = "nsg-spoke-app"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
   
     security_rule {
       name                       = "AllowHttpsFromInternet"
       priority                   = 100
       direction                  = "Inbound"
       access                     = "Allow"
       protocol                   = "Tcp"
       source_port_range          = "*"
       destination_port_range     = "443"
       source_address_prefix      = "*"
       destination_address_prefix = "*"
     }
   
     tags = local.tags
   }
   
   resource "azurerm_subnet_network_security_group_association" "spoke_app" {
     subnet_id                 = azurerm_subnet.spoke_app.id
     network_security_group_id = azurerm_network_security_group.spoke_app.id
   }

4. 4.双向对等连接中心和辐条 VNet

   配置服务：

   • Azure Virtual Network

   VNet 对等连接是 AZ-700 在区域内的连接原语。考试会测试两个关键属性：

   • 双向对等连接——必须在两侧（中心到辐条和辐条到中心）创建；单向对等连接不起作用。Terraform 在此处创建了这两个资源。
   • allow_forwarded_traffic——当中心 VNet 计划将流量从一个辐条 VNet 转发到另一个（通过中心 VNet 中的防火墙进行中转）时需要此项。
   • use_remote_gateways / allow_gateway_transit——辐条 VNet 使用 use_remote_gateways = true 来利用中心 VNet 的 VPN/ER 网关。本实验中没有网关，但此属性的形态是考试考查点。
   复制

   resource "azurerm_virtual_network_peering" "hub_to_spoke" {
     name                      = "hub-to-spoke"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.hub.name
     remote_virtual_network_id = azurerm_virtual_network.spoke.id
     allow_forwarded_traffic   = true
     allow_gateway_transit     = true
   }
   
   resource "azurerm_virtual_network_peering" "spoke_to_hub" {
     name                      = "spoke-to-hub"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.spoke.name
     remote_virtual_network_id = azurerm_virtual_network.hub.id
     allow_forwarded_traffic   = true
     # use_remote_gateways    = true # uncomment when a gateway exists in the hub
   }

5. 5.添加一个链接到两个 VNet 的私有 DNS 区域

   配置服务：

   • Azure Private DNS

   私有 DNS 区域是 AZ-700“设计和实现名称解析”中针对不依赖 Azure 默认 DNS 的跨 VNet 名称解析的解决方案。我们创建区域 internal.contoso.com 并将中心 VNet 和辐条 VNet 都链接到它。现在，任一 VNet 中的资源都可以查询此区域中的记录。

   中心 VNet 链接上的 registration_enabled = true 标志允许中心 VNet 中的资源自动注册其主机名。AZ-700 经常测试这种自动注册与手动创建 A 记录之间的区别，作为“如何为我的虚拟机获取干净的 DNS 名称”的常见问题。

   复制

   resource "azurerm_private_dns_zone" "main" {
     name                = "internal.contoso.com"
     resource_group_name = azurerm_resource_group.main.name
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "hub" {
     name                  = "hub-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.hub.id
     registration_enabled  = true # auto-register hub-resident VMs
   
     tags = local.tags
   }
   
   resource "azurerm_private_dns_zone_virtual_network_link" "spoke" {
     name                  = "spoke-link"
     resource_group_name   = azurerm_resource_group.main.name
     private_dns_zone_name = azurerm_private_dns_zone.main.name
     virtual_network_id    = azurerm_virtual_network.spoke.id
     registration_enabled  = false # spoke resources query but don't register
   
     tags = local.tags
   }

清理