Взаимодействие в Azure — анализ плоскости управления

В этой статье описывается анализ плоскости управления тестовой установки. Вы также можете просмотреть настройки и анализ на уровне данных для тестовой конфигурации.

Анализ на уровне управления по сути изучает маршруты между сетями внутри топологии. Анализ уровня управления может помочь понять, как различные сети воспринимают топологию.

Перспектива сетевой архитектуры "концентратор-спица" для виртуальных сетей

На следующем рисунке показана сеть с точки зрения виртуальной сети концентратора и периферийной виртуальной сети (выделенная синим цветом). На рисунке также показан номер автономной системы различных сетей и маршруты, используемые между разными сетями:

ASN шлюза Azure ExpressRoute виртуальной сети отличается от ASN маршрутизаторов Microsoft Enterprise Edge (MSE). Шлюз ExpressRoute использует частный ASN (значение 65515), а MSEE используют общедоступный ASN (значение 12076) глобально. Когда вы настраиваете пиринг ExpressRoute, так как MSEE является кэширующим узлом, в качестве ASN кэширующего узла вы используете 12076. На стороне Azure MSEE устанавливает пиринг eBGP со шлюзом ExpressRoute. Двойной пиринг eBGP, который MSEE устанавливает для каждого пирингового подключения ExpressRoute, прозрачен на уровне управления. Таким образом, при просмотре таблицы маршрутов ExpressRoute вы увидите ASN шлюза ExpressRoute виртуальной сети для префиксов виртуальной сети.

На следующем рисунке показан пример таблицы маршрутов ExpressRoute:

В Azure ASN имеет важное значение только с точки зрения одноранговых соединений. По умолчанию ASN шлюза ExpressRoute и VPN-шлюза Azure имеет значение 65515.

Локальное расположение 1 и перспектива удаленной виртуальной сети через ExpressRoute 1

Локальное расположение 1 и удаленная виртуальная сеть подключены к центральной виртуальной сети через ExpressRoute 1. Они имеют одинаковую схему топологии, как показано на рисунке, приведенном ниже:

Локальное расположение 1 и перспектива виртуальной сети филиала через VPN типа "сеть — сеть"

Локальное расположение 1 и виртуальная сеть филиала подключены к VPN-шлюзу концентратора виртуальной сети через VPN-подключение типа "сеть — сеть". Они имеют одинаковую схему топологии, как показано на рисунке, приведенном ниже:

Схема топологии локального расположения 2

Локальное расположение 2 подключено к центральной виртуальной сети через частный пиринг ExpressRoute 2.

Параллельное использование подключений ExpressRoute и VPN типа "сеть — сеть"

VPN типа "сеть — сеть" через ExpressRoute

Vpn типа "сеть — сеть" можно настроить с помощью пиринга Microsoft ExpressRoute для частного обмена данными между локальной сетью и виртуальная сеть Azure. Такая конфигурация гарантирует конфиденциальность, подлинность и целостность при обмене данными. Обмен данными также защищается от повторов. Дополнительные сведения о настройке VPN IPSec типа "сеть — сеть" в туннельном режиме с использованием пиринга Microsoft ExpressRoute см. в этой статье.

Основным ограничением настройки VPN типа "сеть — сеть" с использованием пиринга Майкрософт является пропускная способность. Пропускная способность туннеля IPsec ограничена емкостью VPN-шлюза. Пропускная способность VPN-шлюза всегда ниже пропускной способности ExpressRoute. В такой ситуации можно оптимизировать использование пропускной способности ExpressRoute, используя туннель IPSec для трафика, требующего высокого уровня безопасности, и частный пиринг для всего остального трафика.

VPN типа "сеть-сеть" в качестве защищенного резервного канала для ExpressRoute

ExpressRoute предоставляется в виде пары каналов, что обеспечивает избыточность и высокий уровень доступности. Вы можете настроить географически избыточное подключение ExpressRoute в разных регионах Azure. Как было продемонстрировано в нашей тестовой конфигурации, вы можете с помощью VPN типа "сеть — сеть" создать резервный путь для подключения ExpressRoute в пределах определенного региона Azure. Если одни и те же префиксы объявляются через ExpressRoute и VPN типа "сеть — сеть", Azure отдает предпочтение ExpressRoute. Чтобы избежать асимметричной маршрутизации между ExpressRoute и VPN типа "сеть – сеть", в локальной сети следует сначала использовать соединение ExpressRoute, прежде чем использовать VPN типа "сеть – сеть".

Дополнительные сведения о настройке совместных подключений для ExpressRoute и VPN между сайтами см. в разделе ExpressRoute и совместимость сайт-сайт.

Расширение серверного подключения к периферийным виртуальным сетям и филиалам

Подключение к виртуальной сети с помощью пиринга виртуальной сети

Архитектура виртуальной сети в формате "узел и спица" широко используется. Концентратор — это виртуальная сеть в Azure, которая выступает в качестве центральной точки подключения между периферийными виртуальными сетями и локальной сетью. Лучи являются виртуальными сетями, которые образуют одноранговое соединение с концентратором и которые можно использовать для изоляции рабочих нагрузок. Трафик передается между локальным центром обработки данных и центральной сетью через подключение ExpressRoute и (или) VPN. Дополнительные сведения об этой архитектуре см. в статье Реализация звездообразной топологии сети в Azure.

В пиринге виртуальной сети в регионе периферийные виртуальные сети могут использовать шлюзы виртуальной сети концентратора (VPN и шлюзы ExpressRoute) для обмена данными с удаленными сетями.

Подключение виртуальных сетей филиала с помощью межсетевого VPN

Может потребоваться, чтобы виртуальные сети филиалов, которые находятся в разных регионах и локальных сетях, взаимодействовали друг с другом через виртуальную сеть концентратора. Родным решением Azure для этой конфигурации является подключение типа сайт-сайт через VPN. Альтернативой может быть использование в центральной сети виртуального сетевого модуля (NVA) для маршрутизации.

Дополнительные сведения см. в статьях Сведения о VPN-шлюзе и Развертывание высокодоступных виртуальных сетевых модулей.

Следующие шаги

Узнайте об анализе плоскости данных конфигурации теста и представлениях возможностей мониторинга сети Azure.

В статье Вопросы и ответы по ExpressRoute представлены следующие сведения:

• Узнайте, сколько каналов ExpressRoute можно подключить к шлюзу ExpressRoute.

• Узнайте, сколько шлюзов ExpressRoute можно подключить к каналу ExpressRoute.

• Узнайте о других ограничениях масштаба для ExpressRoute.