Migrace na nový okruh ExpressRoute

Pokud chcete přepnout z jednoho okruhu ExpressRoute na jiný, můžete to udělat hladce s minimálním přerušením služeb. Tento dokument vám pomůže postupovat podle kroků pro migraci produkčního provozu, aniž by to způsobilo významné přerušení nebo rizika. Tuto metodu můžete použít bez ohledu na to, jestli přecházíte na nové nebo stejné umístění partnerského vztahu.

Pokud máte okruh ExpressRoute prostřednictvím poskytovatele služeb vrstvy 3, vytvořte nový okruh v rámci předplatného na webu Azure Portal. S vaším poskytovatelem služeb můžete bezproblémově přepnout provoz na nový okruh. Jakmile poskytovatel služeb zruší zřízení vašeho starého okruhu, odstraňte ho z webu Azure Portal.

Zbytek článku se týká vás, pokud máte okruh ExpressRoute prostřednictvím poskytovatele služeb vrstvy 2 nebo přímých portů ExpressRoute.

Kroky pro bezproblémovou migraci okruhu ExpressRoute

Výše uvedený diagram znázorňuje proces migrace z existujícího okruhu ExpressRoute, označovaného jako Okruh A, na nový okruh ExpressRoute, označovaný jako Okruh B. Okruh B může být ve stejném umístění nebo v jiném umístění partnerského vztahu jako okruh A. Proces migrace se skládá z následujících kroků:

1. Nasazení okruhu B izolovaně: Zatímco provoz pokračuje v toku přes okruh A, nasaďte nový okruh B, aniž by to mělo vliv na produkční prostředí.

2. Zablokujte tok produkčního provozu přes okruh B: Zabrání všem přenosům v používání okruhu B, dokud se plně neotestuje a neověří.

3. Dokončení a ověření kompletního připojení okruhu B: Zajistěte, aby okruh B mohl navázat a udržovat stabilní a zabezpečené připojení se všemi požadovanými koncovými body.

4. Přepnutí provozu: Přesměrujte tok provozu z okruhu A do okruhu B a zablokujte tok provozu přes okruh A.

5. Vyřazení okruhu A z provozu: Odeberte okruh A ze sítě a uvolněte jeho prostředky.

Nasazení nového okruhu v izolaci

Pro nahrazení existujícího okruhu 1:1 vyberte možnost Standardní odolnost a postupujte podle kroků uvedených v průvodci Vytvořit okruh s ExpressRoute a vytvořte nový okruh ExpressRoute (okruh B) v požadovaném umístění partnerského vztahu. Potom postupujte podle kroků v části Konfigurace partnerského vztahu pro okruh ExpressRoute a nakonfigurujte požadované typy peeringu: privátní a Microsoft.

Pokud chcete zabránit tomu, aby privátní partnerský vztah produkčního provozu před testováním a ověřením používal okruh B, nepropojujte bránu virtuální sítě, která má produkční nasazení do okruhu B. Podobně jako vyhýbejte produkčnímu provozu partnerského vztahu Microsoftu při použití okruhu B, nepřidružujte k okruhu B filtr tras.

Blokování toku produkčního provozu přes nově vytvořený okruh

Zabrání inzerování trasy prostřednictvím nových partnerských vztahů na zařízeních CE.

Pro Cisco IOS můžete použít route-map a a prefix-list k filtrování tras inzerovaných přes partnerský vztah protokolu BGP. Následující příklad ukazuje, jak vytvořit a použít a route-map a pro prefix-list tento účel:

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

router bgp <your_AS_number>
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS out
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS in

Pomocí zásad exportu/importu můžete filtrovat trasy inzerované a přijaté na nových partnerských vztazích na zařízeních Junos. Následující příklad ukazuje, jak nakonfigurovat zásady exportu a importu pro tento účel:

user@router>show configuration policy-options policy-statement BLOCK-ALL-ROUTES

term reject-all {

    the reject;
}

protocols {
    bgp {
        group <your_group_name> {
            neighbor <neighbor_IP_address> {
                export [ BLOCK-ALL-ROUTES ];
                import [ BLOCK-ALL-ROUTES ];
            }
        }
    }
}

Ověření kompletního připojení nově vytvořeného okruhu

Soukromý peering

Postupujte podle kroků v části Připojení virtuální sítě k okruhu ExpressRoute a propojte nový okruh s bránou testovací virtuální sítě a ověřte připojení privátního partnerského vztahu. Po propojení virtuálních sítí s okruhem prozkoumejte směrovací tabulku privátního partnerského vztahu okruhu a ověřte, že je v tabulce zahrnutý adresní prostor virtuální sítě. Následující příklad ukazuje směrovací tabulku privátního partnerského vztahu okruhu ExpressRoute na portálu pro správu Azure:

Následující diagram znázorňuje testovací virtuální počítač nakonfigurovaný v testovací virtuální síti a testovací zařízení umístěné místně pro ověření připojení přes privátní partnerský vztah ExpressRoute.

Upravte trasovou mapu nebo konfiguraci zásad, kterou jste použili k filtrování inzerovaných tras, a povolte konkrétní IP adresu testovacího zařízení z místního prostředí. Podobně povolte testovací adresní prostor virtuální sítě z Azure.

route-map BLOCK ADVERTISEMENTS permit 5
 match ip address prefix-list PERMIT-ROUTE

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list PERMIT-ROUTE seq 10 permit 10.17.1.0/24
ip prefix-list PERMIT-ROUTE seq 20 permit 10.1.18.10/32

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

Pokud chcete povolit konkrétní ip předpony pro testovací zařízení v Junosu, nakonfigurujte seznam předpon. Pak nakonfigurujte zásadu importu nebo exportu protokolu BGP tak, aby povolala tyto předpony a odmítla všechno ostatní.

user@router>show configuration policy-options policy-statement BLOCK-ADVERTISEMENTS

term PERMIT-ROUTES {
    from {
        prefix-list PERMIT-ROUTE;
    }
    then accept;
}

term reject-all {
    then reject;
}

user@router>show configuration policy-options prefix-list PERMIT-ROUTE

10.1.18.10/32;
10.17.1.0/24;

Ověřte kompletní připojení přes privátní partnerský vztah. Můžete například otestovat virtuální počítač v Azure pomocí příkazu ping z místního testovacího zařízení a zkontrolovat výsledky. Podrobné ověření najdete v tématu Ověření připojení ExpressRoute.

Partnerský vztah s Microsoftem

Ověření partnerského vztahu Microsoftu vyžaduje pečlivé plánování, aby nedošlo k žádnému dopadu na produkční provoz. Abyste zabránili konfliktům směrování mezi těmito dvěma okruhy, musíte pro partnerský vztah Microsoftu okruhu B použít odlišné předpony, které se liší od těch, které se používají pro Okruh A. Musíte také propojit partnerský vztah Microsoftu okruhu B s samostatným filtrem tras, než který je propojený s okruhem A, a to podle kroků při konfiguraci filtrů tras pro partnerský vztah Microsoftu. Kromě toho je potřeba zajistit, aby filtry tras pro oba okruhy neobsazovaly žádné společné trasy inzerované do místní sítě, aby nedocházelo k asymetrickým směrováním mezi okruhem A a okruhem B. Abyste toho dosáhli, můžete:

• vyberte službu nebo oblast Azure pro testování okruhu B, který není používán produkčním provozem v okruhu A, nebo
• minimalizujte překrývání mezi těmito dvěma filtry tras a povolte pouze konkrétnější testovací veřejné koncové body přijaté prostřednictvím okruhu B.

Jakmile propojili filtr tras, musíte zkontrolovat trasy, které se inzerují a přijímají přes partnerský vztah protokolu BGP na zařízení CE. Pokud chcete filtrovat trasy inzerované a povolit pouze místní předpony partnerského vztahu Microsoftu a konkrétní IP adresu vybraných veřejných koncových bodů Microsoftu pro testování, musíte upravit trasovou mapu nebo konfiguraci zásad Junos, kterou jste použili.

Pokud chcete otestovat připojení ke koncovým bodům Microsoftu 365, postupujte podle kroků v implementaci ExpressRoute pro Microsoft 365 – Sestavte testovací postupy. U veřejných koncových bodů Azure můžete začít základním testováním připojení, jako je trasování z místního prostředí, a ověřit, že požadavek prochází přes koncové body ExpressRoute. Kromě koncových bodů ExpressRoute se zprávy ICMP potlačí přes síť Microsoftu. Kromě základních testů ping můžete také otestovat připojení na úrovni aplikace. Pokud máte například virtuální počítač Azure s veřejnou IP adresou Azure, na které běží webový server, můžete zkusit získat přístup k veřejné IP adrese webového serveru z místní sítě přes připojení ExpressRoute. To vám pomůže potvrdit, že složitější provoz, jako jsou požadavky HTTP, se můžou spojit se službami Azure.

Přepnutí provozu v produkčním prostředí

Soukromý peering

1. Odpojte okruh B od všech testovacích bran virtuální sítě, ke kterým jste ho připojili.
2. Odeberte všechny výjimky, které jste provedli v zásadách Cisco route-maps nebo Junos.
3. Postupujte podle kroků v části Připojení virtuální sítě k okruhu ExpressRoute a připojte okruh B k produkčním branm virtuální sítě.
4. V CE se ujistěte, že jste připraveni inzerovat všechny trasy, které právě inzerujete přes okruh A, přes Okruh B, když odeberete mapu trasy nebo zásady použité pro rozhraní Okruh B v CE. To také zahrnuje zajištění, že rozhraní okruhu B jsou přidružená k příslušné instanci VRF nebo směrování, pokud existuje.
5. Odeberte trasové mapy nebo zásady v rozhraních okruhu B. Pomocí tras map nebo zásad v rozhraních okruhu A zablokujte inzerování trasy prostřednictvím okruhu A. Tím se přepne tok provozu přes okruh B.
6. Ověřte tok provozu přes okruh B. Pokud se ověření nezdaří, vraťte zpět přidružení trasy nebo brány firewall, které jste provedli v předchozím kroku, a přepněte tok provozu zpět přes okruh A.
7. Pokud ověření toku provozu přes okruh B proběhne úspěšně, odstraňte okruh A.

Partnerský vztah s Microsoftem

1. Odeberte okruh B z jakéhokoli testovacího filtru tras Azure, se kterým jste ho propojili.
2. Odeberte všechny výjimky, které jste provedli v mapách tras nebo zásadách.
3. V systému CE se ujistěte, že je rozhraní okruhu B přidružené k příslušné instanci VRF nebo směrování.
4. Ověřte a potvrďte inzerovanou předponu partnerského vztahu Microsoftu.
5. Přidružte partnerský vztah OkruhU B Microsoftu k filtru tras Azure, který je aktuálně přidružený k okruhu A.
6. Odeberte zásady route-maps nebo export/import v rozhraních OkruhU B. Pomocí zásad tras nebo exportu/importu v rozhraních okruhu A zablokujte inzerování tras přes okruh A. Tím se přepne tok provozu přes okruh B.
7. Ověřte tok provozu přes okruh B. Pokud se ověření nezdaří, vraťte zpět přidružení route-map nebo zásad, které jste provedli v předchozím kroku, a přepněte tok provozu zpět přes okruh A.
8. Pokud ověření toku provozu přes okruh B proběhne úspěšně, odstraňte okruh A.

Další krok

Další informace o konfiguraci směrovače naleznete v tématu Ukázky konfigurace směrovače pro nastavení a správu směrování.