Com a integração do Azure Virtual Network Manager (AVNM) ao Virtual WAN, organizações que dependem de conectividade transitiva podem simplificar drasticamente o gerenciamento de spokes em arquiteturas hub-and-spoke de larga escala. Em vez de configurar peering e regras de roteamento VNet por VNet, você define grupos lógicos (network groups) — seja por seleção estática ou dinâmica via Azure Policy — e aplica uma única política de conectividade e roteamento a todos eles. O resultado: menos retrabalho, consistência operacional e uma base mais sólida para escalar.
TL;DR: A integração do Azure Virtual Network Manager (AVNM) ao Virtual WAN permite que empresas brasileiras gerenciem a conectividade de centenas de spoke VNets de forma centralizada, eliminando a configuração manual VNet por VNet. Com network groups dinâmicos e connection policies, é possível onboardar novos ambientes automaticamente, aplicar regras de roteamento em lote e reduzir janelas de manutenção. Para quem já utiliza Virtual WAN, essa é uma camada de orquestração que aumenta consistência operacional sem substituir os componentes existentes.
O que é o Azure Virtual Network Manager?
O Azure Virtual Network Manager é um serviço de gerenciamento que permite agrupar, configurar e aplicar políticas de conectividade e segurança em redes virtuais em escala. Em vez de configurar VNet peering e regras de acesso individualmente, você define network groups — coleções lógicas de VNets baseadas em seleção estática ou condições dinâmicas do Azure Policy — e aplica connectivity configurations e security admin rules a esses grupos.
Capacidades principais:
- Topologias hub-and-spoke e mesh — define como as VNets de um network group se conectam a um hub central ou entre si.
- Network groups — agrupa VNets estaticamente ou dinamicamente (usando tags, subscriptions, resource groups ou outras condições do Azure Policy).
- Security admin rules — autor e aplica ACLs em todas as VNets de um grupo, complementando NSGs e firewalls.
- Deployment por região — implanta configurações em regiões específicas, permitindo rollout incremental e controle de blast radius.
O AVNM age como uma camada de orquestração — ele gerencia o peering e as regras sem substituir os componentes de rede subjacentes.
O que é o Azure Virtual WAN?
O Azure Virtual WAN é um serviço gerenciado que reúne roteamento, segurança, VPN, ExpressRoute e conectividade transitiva em uma arquitetura hub-and-spoke. Um hub do Virtual WAN é um recurso regional que centraliza:
- Site-to-site VPN (filiais, dispositivos SD-WAN)
- Point-to-site VPN (usuários remotos)
- ExpressRoute (conectividade on-premises)
- VNet-to-VNet transitivo (spokes)
- Roteamento, firewall e criptografia para tráfego privado
Todos os hubs de um Standard Virtual WAN são conectados em full mesh pela backbone da Microsoft, permitindo conectividade any-to-any entre spokes, filiais e usuários remotos entre regiões. O roteamento é gerenciado pelo roteador integrado do hub, eliminando a necessidade de tabelas de rota manuais e VNets de trânsito.
O que essa integração permite?
Quando você seleciona um hub do Virtual WAN como hub em uma configuração de conectividade do AVNM, o AVNM cuida da ligação spoke-hub automaticamente. Para cada VNet nos network groups selecionados:
- Se a VNet ainda não está conectada ao hub, o AVNM cria a conexão e aplica uma connection policy com as configurações de roteamento.
- Se a VNet já está conectada, o AVNM atualiza a conexão existente para usar as propriedades da connection policy.
Uma connection policy é um recurso do Virtual WAN que define comportamento de roteamento compartilhado: associação e propagação de tabelas de rota, route maps, configurações de segurança de internet e propagated labels. Como a política aplica essas configurações de forma consistente, ela padroniza o roteamento e sobrescreve configurações conflitantes definidas diretamente nas conexões individuais.
Como funciona?
O setup segue o workflow padrão do AVNM:
- Crie um network group. Adicione VNets como membros — estaticamente (seleção manual) ou dinamicamente (usando Azure Policy com condições como tags ou resource group names).
- Crie uma connectivity configuration. Escolha topologia hub-and-spoke, selecione seu hub do Virtual WAN e defina ou selecione uma connection policy.
- Faça o deploy. Commit a configuração para as regiões-alvo. O AVNM conecta todas as VNets dos network groups ao hub e aplica a connection policy em paralelo.
Você também pode habilitar direct connectivity dentro de um network group. Quando ativada, o tráfego VNet-to-VNet dentro do grupo roteia diretamente, sem passar pelo hub — útil para workloads east-west sensíveis à latência ou de alta throughput. Por padrão, a conectividade direta é regional; ative o global mesh para estendê-la entre regiões.
Casos de uso principais
Onboarding em massa de spokes
Conecte dezenas ou centenas de VNets ao hub do Virtual WAN em uma única operação. O AVNM orquestra todas as conexões em paralelo e aplica o roteamento predefinido automaticamente.
Onboarding dinâmico baseado em política
Use Azure Policy para definir condições de membership do network group. Quando uma nova VNet atende aos critérios (ex.: tag env:prod), ela é automaticamente adicionada ao grupo e, no próximo deploy, conectada ao hub com a rota correta.
Atualizações em lote de configuração de roteamento
Aplique mudanças de roteamento em todas as VNets de um network group como uma única operação paralelizada. Isso reduz drasticamente a janela de manutenção e facilita rollback.
Deploy incremental
Segmente sua rede em grupos por ambiente (staging, dev, production) ou região. Deploy connection policies independentes para cada grupo, testando em um subconjunto antes de expandir, minimizando o blast radius.
Mesh para bypass seletivo de inspeção
Se você usa routing intent para enviar todo o tráfego privado por um firewall no hub, fluxos de alta throughput (como replicação de banco de dados) podem se beneficiar do bypass. Habilite direct connectivity no AVNM para criar um mesh entre spokes selecionados — o tráfego VNet-to-VNet roteia diretamente, enquanto o restante continua passando pelo firewall.
Security admin rules em escala
Defina network groups para seus spokes e use as security admin rules do AVNM para criar ACLs centralizadas, adicionando uma camada extra de defesa ao lado dos firewalls de próxima geração no hub.
Como começar
Pré-requisitos:
- Uma instância existente do Azure Virtual Network Manager
- Um Azure Virtual WAN e um hub já provisionados
- Uma ou mais VNets para atuar como spokes
Passos para configurar:
- Acesse seu Network Manager no portal Azure.
- Crie um network group e adicione suas VNets spoke.
- Crie uma connectivity configuration → selecione hub-and-spoke → escolha seu hub do Virtual WAN → selecione ou crie uma connection policy → adicione os network groups.
- Faça o deploy da configuração para as regiões desejadas.
- No recurso do Virtual WAN, verifique se as conexões dos spokes estão no estado "Connected". Reveja as rotas efetivas no hub para confirmar que o comportamento corresponde à connection policy selecionada.
Para instruções detalhadas, consulte Configure Azure Virtual WAN hub for Azure Virtual Network Manager.
Perguntas Frequentes
-
Preciso ter um Virtual WAN existente para usar essa integração?
Sim. A integração exige uma instância do Azure Virtual Network Manager já criada e um Azure Virtual WAN com um hub provisionado. Os VNets que serão spokes também precisam existir. -
Essa integração substitui o roteamento manual do Virtual WAN?
Não substitui, mas automatiza. O AVNM orquestra a criação e atualização das conexões de VNet ao hub, aplicando uma connection policy que define roteamento, associação de tabelas e propagate labels. O roteador do hub continua sendo o responsável pelo encaminhamento. -
É possível fazer deploy incremental por ambiente (dev, staging, prod)?
Sim. Crie network groups separados por ambiente ou região e aplique connectivity configurations independentes. Assim você testa mudanças em um grupo menor antes de expandir para produção, reduzindo o blast radius. -
Como funciona a conectividade direta entre spokes (east-west)?
AVNM permite habilitar direct connectivity dentro de um network group. O tráfego entre VNets do mesmo grupo rota diretamente, sem passar pelo hub. Por padrão é regional, mas pode ser estendido com global mesh para múltiplas regiões.
Artigo originalmente publicado por Jay-Li em Azure Updates - Latest from Azure Charts.
