Konfigurieren von parallel bestehenden ExpressRoute- und Site-to-Site-Verbindungen mithilfe des Azure-Portals

  • Artikel

In diesem Artikel wird beschrieben, wie Sie parallel bestehende ExpressRoute- und Site-to-Site-VPN-Verbindungen konfigurieren. Die Möglichkeit zum Konfigurieren von Standort-zu-Standort-VPN und ExpressRoute bietet mehrere Vorteile. Sie können ein Site-to-Site-VPN als sicheren Failoverpfad für ExpressRoute konfigurieren oder für Verbindungen mit Websites nutzen, die nicht über ExpressRoute verbunden sind. In diesem Artikel werden die Konfigurationsschritte für beide Szenarien behandelt. Dieser Artikel gilt für das Resource Manager-Bereitstellungsmodell.

Das Konfigurieren paralleler Site-to-Site-VPN- und ExpressRoute-Verbindungen bietet mehrere Vorteile:

  • Sie können ein Site-to-Site-VPN als sicheren Failoverpfad für ExpressRoute konfigurieren.
  • Alternativ hierzu können Sie Site-to-Site-VPNs nutzen, um Standorte zu verbinden, die nicht per ExpressRoute verbunden sind.

Dieser Artikel enthält die Schritte für die Konfiguration beider Szenarien. Sie können ein beliebiges Gateway zuerst konfigurieren. Beim Hinzufügen eines neuen Gateways oder einer Gatewayverbindung treten in der Regel keine Ausfallzeiten auf.

Hinweis

Wenn Sie ein Site-to-Site-VPN über eine ExpressRoute-Verbindung erstellen möchten, finden Sie weitere Informationen unter Site-to-Site über Microsoft-Peering.

Grenzwerte und Einschränkungen

  • Nur das routenbasierte VPN-Gateway wird unterstützt. Sie müssen ein routenbasiertes VPN-Gateway verwenden. Sie können auch ein routenbasiertes VPN-Gateway mit einer VPN-Verbindung verwenden, die für die richtlinienbasierte Datenverkehrsauswahl konfiguriert ist, wie unter Herstellen einer Verbindung mit mehreren richtlinienbasierten VPN-Geräten beschrieben.
  • Die gemeinsame Verwendung von VPN Gateway und ExpressRoute wird in der Basic-SKU nicht unterstützt.
  • Sowohl die ExpressRoute- als auch VPN-Gateways müssen über das BGP miteinander kommunizieren können, um ordnungsgemäß zu funktionieren. Wenn Sie eine benutzerdefinierte Route (UDR) im Gatewaysubnetz verwenden, stellen Sie sicher, dass sie keine Route für den Gatewaysubnetzbereich selbst enthält, da dadurch der BGP-Datenverkehr beeinträchtigt wird.
  • Wenn Sie Transitrouting zwischen ExpressRoute und VPN verwenden möchten, muss die ASN des Azure VPN Gateways auf 65515 festgelegt werden. Azure VPN Gateway unterstützt das BGP-Routingprotokoll. Damit ExpressRoute und Azure-VPN zusammenarbeiten können, müssen Sie die autonome Systemnummer (ASN) Ihres Azure VPN-Gateways mit dem Standardwert „65515“ beibehalten. Wenn Sie zuvor eine andere ASN als „65515“ ausgewählt haben und die Einstellung auf „65515“ ändern, müssen Sie das VPN-Gateway zurücksetzen, damit die Einstellung wirksam wird.
  • Das Präfix des Gatewaysubnetzes muss /27 oder kürzer sein (z. B. /26 oder /25). Andernfalls erhalten Sie eine Fehlermeldung, wenn Sie das Gateway für das virtuelle ExpressRoute-Netzwerk hinzufügen.
  • Koexistenz nur für IPv4-Datenverkehr Die ExpressRoute-Koexistenz mit VPN-Gateway wird unterstützt, aber nur für IPv4-Datenverkehr. IPv6-Datenverkehr wird für VPN-Gateways nicht unterstützt.

Konfigurationsentwürfe

Konfigurieren eines Standort-zu-Standort-VPN als Failoverpfad für ExpressRoute

Sie können eine Standort-zu-Standort-VPN-Verbindung als Sicherung für ExpressRoute konfigurieren. Diese Verbindung gilt nur für virtuelle Netzwerke, die mit dem privaten Azure-Peeringpfad verknüpft sind. Es gibt keine VPN-basierte Failoverlösung für Dienste, auf die per Azure Microsoft-Peering zugegriffen wird. Die ExpressRoute-Verbindung ist immer der primäre Link. Daten durchlaufen den Pfad des Site-to-Site-VPNs nur, wenn bei der ExpressRoute-Verbindung ein Fehler auftritt. Zur Vermeidung des asymmetrischen Routings sollte für die Konfiguration Ihres lokalen Netzwerks auch die ExpressRoute-Verbindung dem Site-to-Site-VPN vorgezogen werden. Sie können dem ExpressRoute-Pfad Vorrang einräumen, indem Sie für die Routen, die über ExpressRoute verlaufen, einen höheren lokalen Präferenzwert festlegen.

Hinweis

Wenn Sie ExpressRoute-Microsoft-Peering aktiviert haben, können Sie die öffentliche IP-Adresse Ihres Azure VPN-Gateways über die ExpressRoute-Verbindung erhalten. Zum Einrichten der Site-to-Site-VPN-Verbindung als Sicherung müssen Sie Ihr lokales Netzwerk so konfigurieren, dass die VPN-Verbindung an das Internet weitergeleitet wird.

Hinweis

Die ExpressRoute-Verbindung wird dem Site-to-Site-VPN vorgezogen, doch wenn beide Verbindungen identisch sind, verwendet Azure die längste Präfixübereinstimmung, um die Route zum Ziel des Pakets auszuwählen.

Diagramm einer Site-to-Site-VPN-Verbindung, die als Sicherung für ExpressRoute verwendet wird.

Konfigurieren einer Standort-zu-Standort-VPN zum Herstellen einer Verbindung mit Websites, die nicht über ExpressRoute verbunden sind

Sie können Ihr Netzwerk so konfigurieren, dass einige Sites direkt mit Azure über ein Standort-zu-Standort-VPN und andere über ExpressRoute verbunden sind.

Diagramm einer Site-to-Site-VPN-Verbindung, die gleichzeitig mit einer ExpressRoute-Verbindung für zwei verschiedene Standorte vorhanden ist.

Auswählen der zu verwendenden Schritte

Sie haben die Wahl zwischen zwei Vorgehensweisen. Welches Konfigurationsverfahren Sie wählen, hängt davon ab, ob Sie über ein vorhandenes virtuelles Netzwerk verfügen, mit dem Sie eine Verbindung herstellen möchten, oder ob Sie ein neues virtuelles Netzwerk erstellen möchten.

  • Ich verfüge nicht über ein VNET und muss eines erstellen.

    Wenn Sie noch nicht über ein virtuelles Netzwerk verfügen, werden Sie in diesem Verfahren durch die Schritte zum Erstellen eines neuen virtuellen Netzwerks mithilfe des Resource Manager-Bereitstellungsmodells und zum Erstellen neuer ExpressRoute- sowie Site-to-Site-VPN-Verbindungen geführt. Führen Sie zum Konfigurieren eines virtuellen Netzwerks die Schritte in So erstellen Sie ein neues virtuelles Netzwerk und parallele Verbindungen aus.

  • Ich verfüge bereits über ein VNET, das auf dem Resource Manager-Bereitstellungsmodell basiert.

    Möglicherweise haben Sie bereits ein virtuelles Netzwerk mit einer vorhandenen Standort-zu-Standort-VPN-Verbindung oder einer ExpressRoute-Verbindung. Bei diesem Szenario müssen Sie das vorhandene Gateway löschen, wenn das Gatewaysubnetzpräfix /28 oder länger (/29, /30 usw.) ist. Im Abschnitt So konfigurieren Sie parallele Verbindungen für ein bereits vorhandenes VNET werden Sie durch die Schritte zum Löschen des Gateways und zum anschließenden Erstellen neuer ExpressRoute- und Site-to-Site-VPN-Verbindungen geführt.

    Wenn Sie Ihr Gateway löschen und neu erstellen, kommt es für Ihre standortübergreifenden Verbindungen zu Ausfallzeiten. Ihre VMs und Dienste sind aber trotzdem noch in der Lage, über den Load Balancer zu kommunizieren, während Sie Ihr Gateway konfigurieren, wenn sie dafür konfiguriert sind.

So erstellen Sie ein neues virtuelles Netzwerk und parallele Verbindungen

Dieses Verfahren führt Sie durch das Erstellen eines VNETs sowie durch das Erstellen paralleler Site-to-Site- und ExpressRoute-Verbindungen.

  1. Melden Sie sich beim Azure-Portal an.

  2. Wählen Sie links oben auf dem Bildschirm + Ressource erstellen aus, und suchen Sie nach Virtuelles Netzwerk.

  3. Wählen Sie Erstellen aus, um mit dem Konfigurieren des virtuellen Netzwerks zu beginnen.

    Screenshot der Seite zum Erstellen eines virtuellen Netzwerks.

  4. Wählen Sie auf der Registerkarte Grundlagen eine Ressourcengruppe zum Speichern des virtuellen Netzwerks aus, oder erstellen Sie eine neue Ressourcengruppe. Geben Sie dann den Namen ein, und wählen Sie die Region aus, in der das virtuelle Netzwerk bereitgestellt werden soll. Wählen Sie Weiter: IP-Adressen > aus, um den Adressraum und die Subnetze zu konfigurieren.

    Screenshot der Registerkarte „Grundlagen“ zum Erstellen eines virtuellen Netzwerks.

  5. Konfigurieren Sie auf der Registerkarte IP-Adressen den Adressraum des virtuellen Netzwerks. Definieren Sie dann die Subnetze, die Sie erstellen möchten, einschließlich des Gatewaysubnetzes. Wählen Sie Überprüfen und erstellen und dann Erstellen* aus, um das virtuelle Netzwerk bereitzustellen. Weitere Informationen zum Erstellen von virtuellen Netzwerken finden Sie unter Create a virtual network (Erstellen eines virtuellen Netzwerks). Weitere Informationen zum Erstellen von Subnetzen finden Sie unter Erstellen eines Subnetzes.

    Wichtig

    Das Gatewaysubnetz muss die Größe /27 haben oder ein kürzeres Präfix aufweisen (z.B. /26 oder /25).

    Screenshot der Registerkarte „IP-Adressen“ zum Erstellen eines virtuellen Netzwerks.

  6. Erstellen Sie das Site-to-Site-VPN-Gateway und das lokale Netzwerkgateway. Weitere Informationen zur VPN Gateway-Konfiguration finden Sie unter Erstellen eines VNet mit einer Site-to-Site-Verbindung mithilfe von PowerShell. Die GatewaySku wird nur für die VPN-Gateways VpnGw1, VpnGw2, VpnGw3, Standard und HighPerformance unterstützt. Die gemeinsame Verwendung von VPN Gateway und ExpressRoute wird in der Basic-SKU nicht unterstützt. Für VpnType muss RouteBased verwendet werden.

  7. Konfigurieren Sie Ihr lokales VPN-Gerät für die Verbindung zum neuen Azure VPN Gateway. Weitere Informationen zu VPN-Gerätekonfiguration finden Sie unter VPN-Gerätekonfiguration.

  8. Überspringen Sie die Schritte 8 und 9, und fahren Sie mit Schritt 10 fort, wenn Sie eine vorhandene ExpressRoute-Verbindung verwenden. Konfigurieren Sie ExpressRoute-Verbindungen. Weitere Informationen zum Konfigurieren von ExpressRoute-Verbindungen finden Sie unter Erstellen und Ändern einer ExpressRoute-Verbindung mit PowerShell.

  9. Konfigurieren Sie das private Azure-Peering über die ExpressRoute-Verbindung. Weitere Informationen zur Konfiguration des privaten Azure-Peerings über die ExpressRoute-Verbindung finden Sie unter Konfigurieren des Peerings.

  10. Wählen Sie + Ressource erstellen aus, und suchen Sie nach Gateway für virtuelle Netzwerke. Klicken Sie anschließend auf Erstellen.

  11. Wählen Sie den ExpressRoute-Gatewaytyp, die entsprechende SKU und das virtuelle Netzwerk aus, in dem das Gateway bereitgestellt werden soll.

    Screenshot: Erstellen eines Gateways für virtuelle Netzwerke für ExpressRoute.

  12. Verknüpfen Sie das ExpressRoute-Gateway mit dem ExpressRoute-Schaltkreis. Nachdem dieser Schritt abgeschlossen ist, wird die Verbindung zwischen dem lokalen Netzwerk und Azure durch ExpressRoute eingerichtet. Weitere Informationen zum Verknüpfungsvorgang finden Sie unter Verknüpfen von VNETs mit ExpressRoute.

So konfigurieren Sie parallele Verbindungen für ein bereits vorhandenes VNET

Wenn Sie über ein virtuelles Netzwerk mit nur einem zugehörigen Gateway (Site-to-Site-VPN-Gateway) verfügen und ein weiteres Gateway eines anderen Typs (z. B. ExpressRoute-Gateway) hinzufügen möchten, überprüfen Sie die Größe des Gateway-Subnetzes. Bei einer Gateway-Subnetzgröße von mindestens /27 können Sie die folgenden Schritte überspringen und die Schritte im vorherigen Abschnitt ausführen, um entweder ein Site-to-Site-VPN-Gateway oder ein ExpressRoute-Gateway hinzuzufügen. Wenn das Gatewaysubnetz die Größe /28 oder /29 hat, müssen Sie zunächst das Gateway des virtuellen Netzwerks löschen, um die Größe des Gatewaysubnetzes zu erhöhen. Führen Sie dazu die in diesem Abschnitt beschriebenen Schritte aus.

  1. Löschen Sie das vorhandene ExpressRoute- oder Site-to-Site-VPN Gateway.

  2. Löschen Sie das Gatewaysubnetz, und erstellen Sie es neu, um das Präfix /27 oder kürzer zu erhalten.

  3. Konfigurieren Sie ein VNET mit einer Site-to-Site-Verbindung und anschließend das ExpressRoute-Gateway.

  4. Nachdem das ExpressRoute-Gateway bereitgestellt wurde, können Sie das virtuelle Netzwerk mit der ExpressRoute-Verbindung verknüpfen.

So fügen Sie dem VPN Gateway eine Punkt-zu-Standort-Konfiguration hinzu

Sie können eine Point-to-Site-Konfiguration zu Ihrer vorhandenen Konstellation hinzufügen, indem Sie die Anweisungen zum Konfigurieren einer Point-to-Site-VPN-Verbindung mithilfe der Azure-Zertifikatauthentifizierung befolgen.

So aktivieren Sie das Transitrouting zwischen ExpressRoute und Azure VPN

Wenn Sie die Konnektivität zwischen einem Ihrer lokalen Netzwerke, das mit ExpressRoute verbunden ist, und einem anderen Ihrer lokalen Netzwerke, das mit einer Site-to-Site-VPN-Verbindung verbunden ist, aktivieren möchten, müssen Sie Azure Route Server einrichten.

Nächste Schritte

Weitere Informationen über ExpressRoute finden Sie unter ExpressRoute – FAQ.