Migración de un nuevo circuito ExpressRoute

Si quiere cambiar de un circuito ExpressRoute a otro, es posible que quiera hacerlo de forma fluida con una interrupción mínima del servicio. Este documento le ayuda a seguir los pasos para migrar el tráfico de producción sin provocar interrupciones o riesgos importantes. Puede usar este método tanto si va a pasar a una nueva ubicación de emparejamiento o a la misma.

Si tiene el circuito ExpressRoute a través de un proveedor de servicios de nivel 3, cree el nuevo circuito con la suscripción en Azure Portal. Trabaje con su proveedor de servicios para cambiar el tráfico de forma fluida al nuevo circuito. Una vez que el proveedor de servicios haya desaprovisionado el circuito antiguo, elimínelo de Azure Portal.

El resto del artículo se aplica en su caso si tiene el circuito ExpressRoute a través de un proveedor de servicios de nivel 2 o puertos directos de ExpressRoute.

Pasos para la migración de circuitos ExpressRoute de forma fluida

En el diagrama anterior se muestra el proceso de migración desde un circuito ExpressRoute existente, denominado Circuito A, a un nuevo circuito ExpressRoute, denominado Circuito B. El Circuito B puede estar en la misma ubicación de emparejamiento que el Circuito A. El proceso de migración consta de los pasos siguientes:

1. Implementar el Circuito B de forma aislada: mientras el tráfico continúa fluyendo a través del Circuito A, implemente un nuevo Circuito B sin que afecte al entorno de producción.

2. Bloquear el flujo de tráfico de producción a través del Circuito B: impida que el tráfico use el Circuito B hasta que esté totalmente probado y validado.

3. Completar y validar la conectividad de un extremo a otro del Circuito B: asegúrese de que el Circuito B pueda establecer y mantener una conexión estable y segura con todos los puntos de conexión necesarios.

4. Cambiar el tráfico: redirija el flujo de tráfico del Circuito A al Circuito B y bloquee el flujo de tráfico a través del Circuito A.

5. Retirar el Circuito A: quite el Circuito A de la red y libere sus recursos.

Implementación de un nuevo circuito de forma aislada

Siga los pasos descritos en Creación de un circuito con ExpressRoute para crear el nuevo circuito ExpressRoute (Circuito B) en la ubicación de emparejamiento deseada. A continuación, siga los pasos descritos en Tutorial: Configuración del emparejamiento para el circuito ExpressRoute para configurar los tipos de emparejamiento necesarios: privado y Microsoft.

Para evitar que el tráfico de producción de emparejamiento privado use el Circuito B antes de probarlo y validarlo, no vincule la puerta de enlace de red virtual que tenga la implementación de producción con el Circuito B. De forma similar, para evitar que el tráfico de producción de emparejamiento de Microsoft use el Circuito B, no asocie un filtro de ruta a Circuito B.

Bloqueo del flujo de tráfico de producción que pasa por el circuito recién creado

Evite el anuncio de ruta a través del los nuevos emparejamientos en los dispositivos CE.

Para Cisco IOS, puede usar route-map y prefix-list para filtrar las rutas anunciadas a través de un emparejamiento BGP. En el ejemplo siguiente se muestra cómo crear y aplicar route-map y prefix-list para este propósito:

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

router bgp <your_AS_number>
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS out
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS in

Use la directiva de exportación e importación para filtrar las rutas anunciadas y recibidas en los nuevos emparejamientos en los dispositivos Junos. En el siguiente ejemplo se muestra cómo configurar una directiva de exportación e importación para este fin.

user@router>show configuration policy-options policy-statement BLOCK-ALL-ROUTES

term reject-all {

    the reject;
}

protocols {
    bgp {
        group <your_group_name> {
            neighbor <neighbor_IP_address> {
                export [ BLOCK-ALL-ROUTES ];
                import [ BLOCK-ALL-ROUTES ];
            }
        }
    }
}

Validación de la conectividad de un extremo a otro del circuito recién creado

Emparejamiento privado

Siga los pasos descritos en Conexión de una red virtual a un circuito ExpressRoute para vincular el nuevo circuito a la puerta de enlace de una red virtual de prueba y comprobar la conectividad de emparejamiento privado. Después de vincular redes virtuales al circuito, examine la tabla de rutas del emparejamiento privado del circuito y compruebe que el espacio de direcciones de la red virtual está incluido en la tabla. En el ejemplo siguiente se muestra una tabla de rutas del emparejamiento privado de un circuito ExpressRoute en el portal de administración de Azure:

En el diagrama siguiente se muestra una máquina virtual de prueba configurada en una red virtual de prueba y un dispositivo de prueba ubicado en el entorno local para comprobar la conectividad a través del emparejamiento privado de ExpressRoute.

Modifique el mapa de rutas o la configuración de directiva que ha aplicado para filtrar las rutas anunciadas y permitir la dirección IP específica del dispositivo de prueba desde el entorno local. Del mismo modo, permita el espacio de direcciones de la red virtual de prueba desde Azure.

route-map BLOCK ADVERTISEMENTS permit 5
 match ip address prefix-list PERMIT-ROUTE

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list PERMIT-ROUTE seq 10 permit 10.17.1.0/24
ip prefix-list PERMIT-ROUTE seq 20 permit 10.1.18.10/32

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

Para permitir prefijos IP específicos para dispositivos de prueba en Junos, configure una lista de prefijos. A continuación, configure la directiva de importación y exportación de BGP para permitir estos prefijos y rechazar todo lo demás.

user@router>show configuration policy-options policy-statement BLOCK-ADVERTISEMENTS

term PERMIT-ROUTES {
    from {
        prefix-list PERMIT-ROUTE;
    }
    then accept;
}

term reject-all {
    then reject;
}

user@router>show configuration policy-options prefix-list PERMIT-ROUTE

10.1.18.10/32;
10.17.1.0/24;

Compruebe la conectividad de un extremo a otro a través del emparejamiento privado. Por ejemplo, puede hacer ping a la máquina virtual de prueba en Azure desde el dispositivo de prueba local y comprobar los resultados. Para obtener una validación detallada paso a paso, consulte Comprobación de la conectividad de ExpressRoute.

Emparejamiento de Microsoft

La comprobación del emparejamiento de Microsoft requiere un cuidadoso planeamiento para evitar cualquier efecto en el tráfico de producción. Debe usar para el emparejamiento de Microsoft del Circuito B prefijos distintos a los usados para el Circuito A, a fin de evitar conflictos de enrutamiento entre los dos circuitos. También debe vincular el emparejamiento de Microsoft del Circuito B con un filtro de ruta distinto que el vinculado al Circuito A, siguiendo los pasos descritos en Configuración de filtros de ruta para el emparejamiento de Microsoft. Además, debe asegurarse de que los filtros de ruta para ambos circuitos no tengan rutas comunes que se anuncien en la red local, para evitar el enrutamiento asimétrico entre el Circuito A y el Circuito B. Para ello, puede:

• seleccione un servicio o una región de Azure para probar el Circuito B que no use el tráfico de producción en el Circuito A; o bien,
• minimice la superposición entre los dos filtros de ruta y permita solo puntos de conexión públicos de prueba más específicos recibidos a través del Circuito B.

Una vez que haya vinculado un filtro de ruta, debe comprobar las rutas que se anuncian y reciben a través del emparejamiento BGP en el dispositivo CE. Para filtrar las rutas anunciadas y permitir solo los prefijos locales del emparejamiento de Microsoft y la dirección IP específica de los puntos de conexión públicos de Microsoft seleccionados para las pruebas, debe modificar la asignación de rutas o la configuración de directivas de Junos que ha aplicado.

Para probar la conectividad a los puntos de conexión de Microsoft365, siga los pasos descritos en Implementación de ExpressRoute para Microsoft 365 - Compilación de los procedimientos de prueba. En el caso de los puntos de conexión públicos de Azure, puede empezar con pruebas de conectividad básicas (mediante el uso de una herramienta como Traceroute desde el entorno local) y comprobar que la solicitud pasa por los puntos de conexión de ExpressRoute. Más allá de los puntos de conexión de ExpressRoute, los mensajes ICMP se suprimen a través de la red de Microsoft. También puede probar la conectividad a nivel de aplicación, además de las pruebas básicas de ping. Por ejemplo, si tiene una máquina virtual de Azure con una dirección IP pública de Azure que ejecuta un servidor web, puede intentar acceder a la dirección IP pública del servidor web desde la red local a través de la conexión ExpressRoute. Esto le ayuda a confirmar que tráfico más complejo, como las solicitudes HTTP, puede llegar a los servicios de Azure.

Cambio del tráfico de producción

Emparejamiento privado

1. Desconecte el Circuito B de las puertas de enlace de red virtual de prueba a las que lo haya conectado.
2. Quite las excepciones que haya realizado en los mapas de ruta de Cisco o en la directiva de Junos.
3. Siga los pasos descritos en Conexión de una red virtual a un circuito ExpressRoute y conecte el Circuito B a puertas de enlace de red virtual de producción.
4. En CE, asegúrese de que está listo para anunciar todas las rutas que está anunciando actualmente a través del Circuito A, a través del Circuito B al quitar el mapa de rutas o mediante la directiva aplicada a las interfaces del Circuito B en CE. Esto también incluye asegurarse de que las interfaces del Circuito B están asociadas con el VRF o la instancia de enrutamiento adecuadas, si existen.
5. Quite los mapas de rutas o la directiva en las interfaces del Circuito B. Aplique las asignaciones de rutas o la directiva de las interfaces del Circuito A para bloquear el anuncio de ruta a través del Circuito A. Esto cambiará el flujo de tráfico a través del Circuito B.
6. Compruebe el flujo de tráfico a través del Circuito B. Si se produce un error en la comprobación, deshaga el mapa de rutas o la asociación de firewall que hizo en el paso anterior y cambie el flujo de tráfico de vuelta al Circuito A.
7. Si la comprobación del flujo de tráfico a través del Circuito B es correcta, elimine el Circuito A.

Emparejamiento de Microsoft

1. Quite el Circuito B de cualquier filtro de ruta de Azure de prueba al que lo haya vinculado.
2. Quite las excepciones que haya realizado en los mapas de ruta o en la directiva.
3. En CE, asegúrese de que la interfaz del Circuito B está asociada al VRF o a la instancia de enrutamiento adecuada.
4. Valide y confirme el prefijo anunciado sobre el emparejamiento de Microsoft.
5. Asocie el emparejamiento de Microsoft del Circuito B al filtro de ruta de Azure que está asociado actualmente al Circuito A.
6. Quite los mapas de rutas o la directiva de exportación e importación de las interfaces del Circuito B. Aplique las asignaciones de rutas o la directiva de exportación e importación de las interfaces del Circuito A para bloquear el anuncio de ruta a través de dicho circuito. De esta forma, cambiará el flujo de tráfico a través del Circuito B.
7. Compruebe el flujo de tráfico a través del Circuito B. Si se produce un error en la comprobación, deshaga el mapa de ruta o la asociación de directiva que hizo en el paso anterior y cambie el flujo de tráfico de vuelta al Circuito A.
8. Si la comprobación del flujo de tráfico a través del Circuito B es correcta, elimine el Circuito A.

Paso siguiente

Para más información sobre la configuración del enrutador, consulte Ejemplos de configuración de enrutadores para configurar y administrar enrutamiento.