Redes no Azure: topologia hub-spoke explicada

A rede é a fundação silenciosa

Quando algo dá errado na nuvem, muitas vezes a raiz está na rede: tráfego que não deveria fluir, latência inesperada, dificuldade de aplicar segurança de forma consistente. Uma rede bem desenhada é invisível quando funciona e catastrófica quando improvisada. No Azure, o padrão que resolve a maioria dos cenários corporativos é a topologia hub-spoke.

Como parceira Microsoft e CSP, a RHC desenha essas redes para dar segmentação, controle de tráfego e conectividade híbrida sem transformar a operação em um labirinto.

Blocos básicos: VNets e sub-redes

Tudo começa na Virtual Network (VNet), o espaço de endereçamento privado onde seus recursos vivem. Dentro dela, você cria sub-redes para segmentar cargas — web, aplicação, banco de dados — cada uma com suas regras. O tráfego entre sub-redes e de fora é controlado por Network Security Groups (NSGs), que funcionam como firewalls de camada de rede.

Um erro comum é planejar mal o espaço de endereçamento. Faixas de IP mal dimensionadas ou sobrepostas com o ambiente on-premises causam dores de cabeça difíceis de reverter. O planejamento de IP deve considerar crescimento e integração híbrida desde o início.

O modelo hub-spoke

Na topologia hub-spoke, você separa responsabilidades:

• Hub — a VNet central que concentra serviços compartilhados: firewall, gateway de conectividade híbrida, DNS e inspeção de tráfego.
• Spokes — VNets satélite que hospedam as cargas de trabalho, isoladas entre si.

As spokes se conectam ao hub por VNet peering, e todo tráfego sensível passa pelo hub para inspeção. Isso dá um ponto único de controle de segurança e simplifica a governança.

Firewall central e roteamento

O Azure Firewall no hub inspeciona o tráfego que sai para a internet e entre spokes, aplicando regras de forma centralizada. Para forçar o tráfego a passar pelo firewall, usa-se rotas definidas pelo usuário (UDR), que direcionam os pacotes das spokes para o hub antes de seguir adiante. Esse desenho evita que cada carga tenha sua própria saída descontrolada para a internet.

Para proteger aplicações web publicadas, o Application Gateway com WAF (Web Application Firewall) adiciona uma camada de defesa contra ataques comuns na borda.

Conectividade híbrida

Poucas empresas migram tudo de uma vez, então a nuvem precisa conversar com o ambiente local. Há duas opções principais, ancoradas no gateway do hub:

• VPN Site-to-Site — cria um túnel criptografado pela internet. Rápido de implantar e adequado para bandas moderadas.
• ExpressRoute — conexão privada dedicada, sem passar pela internet pública. Oferece latência baixa e previsível e banda alta, ideal para cargas críticas e grandes volumes.

Muitas empresas começam com VPN e evoluem para ExpressRoute conforme a dependência da nuvem cresce.

Segmentação e segurança

A rede é onde se aplica a defesa em profundidade. Práticas essenciais:

1. Isole cargas por spoke e por sub-rede — o banco de dados nunca deve ser diretamente acessível da internet.
2. NSGs restritivos — libere apenas o tráfego necessário, negue o resto.
3. Private Endpoints — acesse serviços PaaS (como bancos gerenciados e storage) por IP privado, tirando-os da exposição pública.
4. Sem IP público desnecessário — cada IP público é uma porta a mais para o atacante.
5. DNS privado para resolução interna consistente.

O conceito de confiança zero se aplica à rede: nada é confiável por padrão, todo acesso é verificado.

Azure Virtual WAN para escala global

Quando a empresa tem muitas filiais e regiões, gerenciar peering e gateways manualmente vira um fardo. O Azure Virtual WAN oferece um hub gerenciado que simplifica a conectividade global, integrando filiais, VPNs, ExpressRoute e spokes em uma malha administrada pela Microsoft. É a evolução natural do hub-spoke para ambientes grandes e distribuídos.

Checklist / Key takeaways

• Planeje o espaço de endereçamento IP considerando crescimento e ambiente híbrido.
• Adote a topologia hub-spoke para centralizar segurança e conectividade.
• Force o tráfego pelo Azure Firewall no hub com rotas definidas pelo usuário.
• Escolha VPN para começar e ExpressRoute para cargas críticas.
• Use NSGs restritivos e Private Endpoints para reduzir exposição.
• Considere Azure Virtual WAN para ambientes globais e multi-filial.

Uma rede bem desenhada é o que permite crescer no Azure com segurança e sem retrabalho. A RHC arquiteta essa fundação alinhada à landing zone e às regras de governança da empresa.