Požadavky na překlad adres (NAT) služby ExpressRoute

Pokud se chcete připojit ke cloudovým službám Microsoftu pomocí ExpressRoute, musíte nastavit a spravovat NAT (překlad adres). Někteří poskytovatelé připojení nabízejí nastavení a správu NAT jako spravovanou službu. Zeptejte se svého poskytovatele připojení, jestli tuto službu nabízí. Pokud ne, musíte dodržovat požadavky popsané v tomto článku.

Přehled různých domén směrování získáte na stránce Okruhy ExpressRoute a domény směrování. Pokud chcete splnit požadavky na veřejné IP adresy pro veřejný partnerský vztah Azure a partnerský vztah Microsoftu, doporučujeme mezi vaší sítí a Microsoftem zřídit překlad adres NAT. Tato část poskytuje podrobný popis infrastruktury NAT, kterou je potřeba nastavit.

Požadavky NAT pro peering s Microsoftem.

Cesta partnerského vztahu Microsoftu vám umožňuje připojit se ke cloudovým službám Microsoftu. Seznam služeb zahrnuje služby Microsoft 365, jako jsou Exchange Online, SharePoint Online a Microsoft Teams. Microsoft očekává podporu obousměrného připojení na Microsoft peering. Přenosy určené pro cloudové služby Microsoftu musí být před vstupem do sítě Microsoftu přeloženy pomocí SNAT na platné veřejné IPv4 adresy. Přenosy určené do vaší sítě z cloudových služeb Microsoftu musí být na hranici internetu SNATovány, aby se zabránilo asymetrickému směrování. Následující obrázek poskytuje přehledný obrázek toho, jak má být překlad adres (NAT) nastavený pro Microsoft peering.

Základní diagram nastavení překladu adres (NAT) pro partnerský vztah Microsoftu

Přenosy pocházející z vaší sítě určené do Microsoftu

  • Musíte zajistit, aby provoz vstupující do peeringové trasy Microsoft měl platnou veřejnou IPv4 adresu. Microsoft musí být schopna ověřit vlastníka fondu adres IPv4 NAT proti regionálnímu internetovému registru (RIR) nebo internetovému registru IRR. Provádí se kontrola na základě čísla AS, se kterým se provádí peering, a IP adres využívaných pro NAT. Informace o registrech směrování najdete na stránce Požadavky na směrování služby ExpressRoute.

  • IP adresy používané pro Microsoft peering a další okruhy ExpressRoute se nesmí inzerovat na Microsoft prostřednictvím relace protokolu BGP. Délka NAT IP předpony propagovaná prostřednictvím tohoto peeringu není nijak omezená.

    Důležité

    Fond IP adres NAT inzerovaný Microsoftu nesmí být inzerovaný do internetu. Tím by došlo k přerušení připojení k jiným službám Microsoftu. Nedoporučujeme použití veřejné IP adresy z rozsahu přiřazeného primárnímu nebo sekundárnímu připojení. Místo toho byste měli použít jiný rozsah veřejných IP adres, které vám byly přiřazeny a zaregistrovány v regionálním internetovém registru (RIR) nebo v registru směrování internetu (IRR). V závislosti na svazku volání může být tento rozsah malý jako jedna IP adresa (reprezentovaná jako /32 pro IPv4 nebo /128 pro IPv6).

Přenosy pocházející z Microsoftu určené do vaší sítě

  • Některé scénáře vyžadují, aby Microsoft zahájil připojení ke koncovým bodům služby hostovaným v rámci vaší sítě. Typickým příkladem scénáře je připojení k serverům ADFS hostovaným ve vaší síti z Microsoftu 365. V takových případech musíte propagovat příslušné předpony z vaší sítě do Microsoft peeringu.
  • Je nutné provádět SNAT přenosů z Microsoftu na hranici internetu pro služební koncové body ve vaší síti, aby se zabránilo asymetrickému směrování. Požadavky a odpovědi s cílovou IP adresou, která odpovídá trase přijaté z ExpressRoute, vždy procházejí přes ExpressRoute. K asymetrickému směrování dochází v případě, že je požadavek obdržen přes internet a odpověď odeslaná přes ExpressRoute. Překládání příchozího provozu z Microsoftu na okraji internetu pomocí SNATu vynutí návrat odpovědního provozu zpět na internetový okraj, a tím problém vyřeší.

Diagram znázorňující asymetrické směrování pomocí ExpressRoute

Inzerování NAT IP fondu a oznámení tras

Musíte zajistit, aby provoz vstupoval na cestu peeringu Azure Microsoft s platnou veřejnou IPv4 adresou. Microsoft musí být schopný ověřit vlastnictví fondu IPv4 adres NAT proti regionálnímu registru RIR nebo registru IRR. Provede se kontrola, která vychází z čísla AS, s nímž je navázáno spojení, a IP adres používaných pro NAT. Informace o registrech směrování najdete na stránce Požadavky na směrování služby ExpressRoute.

Neexistují žádná omezení délky předpon adres IP pro NAT inzerovaných prostřednictvím tohoto partnerského vztahu. Musíte monitorovat fond překladu adres (NAT) a ujistit se, že nemáte nedostatek relací NAT.

Důležité

Fond IP adres NAT inzerovaný Microsoftu nesmí být inzerovaný do internetu. Tím by došlo k přerušení připojení k jiným službám Microsoftu. Nedoporučujeme použít veřejnou IP adresu z rozsahu přiřazeného primárnímu nebo sekundárnímu propojení. Místo toho byste měli použít jiný rozsah veřejných IP adres, které vám byly přiřazeny a zaregistrovány v regionálním internetovém registru (RIR) nebo v registru směrování internetu (IRR). V závislosti na svazku volání může být tento rozsah malý jako jedna IP adresa (reprezentovaná jako /32 pro IPv4 nebo /128 pro IPv6).

Další kroky

  • Last updated on