Este artigo apresenta uma solução para gerenciar o roteamento dinâmico entre NVAs e redes virtuais. No núcleo da solução está o Azure Route Server. Este serviço simplifica a configuração, manutenção e implantação de NVAs em sua rede virtual. Ao usar o Route Server, você não precisa mais atualizar manualmente as tabelas de rotas NVA quando os endereços de rede virtual são alterados.
Arquitetura
Transfira um ficheiro do Visio desta arquitetura.
Fluxo de Trabalho
Esta arquitetura hub-and-spoke tem uma rede virtual de hub e uma rede virtual de um spoke. A rede virtual do hub tem várias sub-redes, cada uma contendo máquinas virtuais (VMs).
O espaço de endereço de cada rede virtual define intervalos de endereços. Para cada um desses intervalos, o Azure cria uma rota com o prefixo de endereço desse intervalo. O Azure adiciona essas rotas às tabelas de rotas. Cada rede virtual tem várias sub-redes e cada sub-rede tem uma placa de interface de rede (NIC) que controla a conectividade. O Azure injeta a tabela de rotas de cada rede virtual nas NICs das sub-redes.
Não é possível criar ou remover essas rotas padrão do sistema. Mas você pode:
- Substitua algumas rotas do sistema por rotas personalizadas.
- Configure o Azure para adicionar rotas padrão opcionais a sub-redes específicas.
As redes locais usam o Gateway de VPN do Azure e um gateway de Rota Expressa para se conectar à rede virtual do hub em uma configuração coexistente. Quando você adiciona o gateway VPN, as rotas com o gateway como a próxima rota são adicionadas às tabelas de rotas. Quando você adiciona a Rota Expressa, as tabelas de rotas também são atualizadas. Essas rotas se propagam para todas as sub-redes.
O protocolo de gateway de fronteira (BGP) possibilita a troca de endereços IP entre componentes locais e do Azure. Este protocolo direciona pacotes entre sistemas autônomos. Tais sistemas são pequenas redes ou enormes pools de roteadores que uma única organização executa.
Existe um emparelhamento de rede virtual entre a rede virtual do hub e a rede virtual falada. Quando você cria o emparelhamento, o Azure atualiza a tabela de rotas. Especificamente, o Azure adiciona uma rota para cada intervalo de endereços que está no espaço de endereço do hub ou no espaço de endereço falado. Essas rotas se propagam para todas as sub-redes.
Uma sub-rede na rede virtual do hub usa um ponto de extremidade de serviço para o Armazenamento do Azure. O Azure adiciona um endereço IP público para Armazenamento à tabela de rotas dessa sub-rede.
A rede virtual do hub contém dois NVAs. Os NVAs podem ser gateways, redes de área ampla definidas por software (SD-WANs) ou firewalls de dispositivos de segurança. O Route Server troca as rotas NVA, aplicativo de rede e gateway por:
- Criar uma instância dos Conjuntos de Escala de Máquina Virtual do Azure. Cada VM no conjunto de escala tem um endereço IP. Assim como acontece com os endereços IP do gateway, o Route Server tem acesso aos endereços IP da VM.
- Estabelecimento de pares BGP entre cada NVA e uma VM no conjunto de escalas.
- Injetar os endereços IP da VM em todas as tabelas de rotas na rede virtual e redes conectadas.
Não é necessário:
- Adicione manualmente rotas definidas pelo usuário.
- Crie tabelas de rotas manualmente.
- Vincule tabelas de rotas à sub-rede para propagar as rotas.
- Atualize as tabelas de rotas quando os endereços IP forem alterados.
Componentes
O Route Server simplifica o roteamento dinâmico entre NVAs que suportam BGP e redes virtuais. Este serviço elimina a sobrecarga administrativa de manutenção de tabelas de rotas.
A Rede Virtual é o bloco de construção fundamental para redes privadas no Azure. Recursos do Azure, como VMs, podem se comunicar com segurança entre si, com a Internet e com redes locais por meio da Rede Virtual.
O emparelhamento de rede virtual conecta duas ou mais redes virtuais do Azure. Os emparelhamentos fornecem conexões de baixa latência e alta largura de banda entre recursos em diferentes redes virtuais. O tráfego entre VMs em redes virtuais emparelhadas usa apenas a rede privada da Microsoft.
VPN Gateway é um tipo específico de gateway de rede virtual. Você pode usar o VPN Gateway para enviar tráfego criptografado:
- Entre uma rede virtual do Azure e um local local na Internet pública.
- Entre redes virtuais do Azure através da rede de backbone do Azure.
O ExpressRoute estende as redes locais para a nuvem da Microsoft. Usando um provedor de conectividade, a Rota Expressa estabelece conexões privadas com componentes de nuvem, como os serviços do Azure e o Microsoft 365.
Um ponto de extremidade de serviço fornece conectividade segura e direta a um serviço do Azure a partir de endereços IP privados em uma rede virtual. O ponto de extremidade do serviço fornece a identidade da rede virtual para o serviço do Azure. Portanto, os recursos de rede virtual não precisam de endereços IP públicos para acessar o serviço, e o ponto de extremidade protege o serviço permitindo apenas o tráfego da rede virtual especificada. As conexões usam rotas otimizadas na rede de backbone do Azure.
Um NVA é um dispositivo virtual que oferece recursos de rede, como firewall, segurança e balanceamento de carga.
O Armazenamento do Azure é uma solução de armazenamento em nuvem que inclui armazenamento de objetos, ficheiros, discos, filas e tabelas. Os serviços incluem soluções de armazenamento híbrido e ferramentas para transferência, compartilhamento e backup de dados.
Alternativas
Nesta solução, não é necessário conectar o ponto de extremidade de serviço ao Armazenamento. Em vez disso, você pode usar outros serviços do Azure. Para obter uma lista de serviços que você pode proteger com pontos de extremidade de serviço, consulte Pontos de extremidade de serviço de Rede Virtual.
Em vez de usar o Servidor de Rotas, você pode adicionar rotas definidas pelo usuário à tabela de rotas de cada sub-rede. Para obter mais informações sobre rotas definidas pelo usuário, consulte Definido pelo usuário no roteamento de tráfego de rede virtual.
Detalhes do cenário
Roteamento de rede é o processo de determinar o caminho que o tráfego percorre através das redes para chegar a um destino. As tabelas de rotas listam informações de topologia de rede que são úteis para determinar caminhos de roteamento.
Quando sua rede virtual contém um dispositivo virtual de rede (NVA), você precisa configurar e atualizar manualmente suas tabelas de rotas.
Este artigo apresenta uma solução para gerenciar o roteamento dinâmico entre NVAs e redes virtuais. No núcleo da solução está o Azure Route Server. Este serviço simplifica a configuração, manutenção e implantação de NVAs em sua rede virtual. Ao usar o Route Server, você não precisa mais atualizar manualmente as tabelas de rotas NVA quando os endereços de rede virtual são alterados.
Potenciais casos de utilização
Esta solução aplica-se a cenários que:
- Use redes de hospedagem dupla. Além das topologias de rede hub-and-spoke típicas, o Router Server também suporta topologias de rede dual-homed. Este tipo de configuração emparelha uma rede virtual spoke com duas ou mais redes virtuais de hub. Para obter informações detalhadas, consulte Sobre a rede de hospedagem dupla com o Azure Route Server.
- Conecte NVAs ao Azure ExpressRoute. Algumas redes virtuais contêm o Servidor de Rota, um gateway de Rota Expressa e um NVA. Por padrão, o Route Server não propaga as rotas NVA para a Rota Expressa. O Route Server também não propaga rotas de Rota Expressa para o NVA. Você pode obter o ExpressRoute e o NVA para trocar rotas ativando a funcionalidade de troca de rotas no Route Server. Para obter informações detalhadas, consulte Sobre o suporte do Azure Route Server para ExpressRoute e Azure VPN.
- Use o Azure para se conectar à Internet a partir de um sistema local. As organizações que não têm um bom acesso à Internet podem usar essa configuração. Sistemas que já migraram proxies de internet para o Azure são outras possibilidades. O Route Server torna essa configuração possível.
Considerações
Considere estes pontos ao implementar esta solução:
O Route Server estabelece conexões e troca rotas. Ele não transfere pacotes de dados. Como resultado, as VMs que o Route Server executa em seu back-end não exigem poder de CPU ou poder computacional significativo.
Ao implantar o Route Server, crie uma sub-rede chamada
RouteServerSubnetque use uma máscara de sub-rede IPv4 de/27. Coloque o Servidor de Rotas nessa sub-rede.Nos gateways do Azure, a camada de preço Básico não oferece suporte a conexões coexistentes de Rota Expressa e Gateway VPN. Para outras limitações com configurações coexistentes, consulte Limites e limitações.
Não há limite para o número de pontos de extremidade de serviço que você pode usar em uma rede virtual. Mas alguns serviços do Azure, como o Armazenamento, impõem limites ao número de sub-redes que você pode usar para proteger o recurso. Para obter mais informações, consulte Próximas etapas em Pontos de extremidade de serviço de Rede Virtual.
Ao considerar esta solução, tenha também em mente os pontos nas seções a seguir.
Disponibilidade
O Route Server é um serviço totalmente gerenciado que oferece alta disponibilidade. Para obter a garantia de disponibilidade deste serviço, consulte SLA para o Azure Route Server.
Escalabilidade
A maioria dos componentes desta solução são serviços gerenciados que são dimensionados automaticamente. Mas há algumas exceções:
- O Route Server pode anunciar no máximo 200 rotas para a Rota Expressa ou um gateway VPN.
- O Route Server pode suportar no máximo 2.000 VMs por rede virtual, incluindo redes virtuais emparelhadas.
Segurança
- Para obter orientação sobre como melhorar a segurança de seus aplicativos e dados no Azure, consulte Visão geral do Benchmark de Segurança do Azure (v1).
- Para obter orientações do Azure Security Benchmark versão 1.0 específico para Rede Virtual, consulte Linha de base de segurança do Azure para Rede Virtual.
Resiliência
Esta solução utiliza apenas componentes geridos. A nível regional, todas estas componentes são automaticamente resilientes. O Route Server oferece alta disponibilidade. Quando você implanta o Route Server em uma região do Azure que dá suporte a zonas de disponibilidade, sua implementação tem redundância em nível de zona. Para obter mais informações sobre zonas de disponibilidade, consulte Regiões e zonas de disponibilidade.
Otimização de custos
Para estimar o custo de implementação desta solução, consulte a calculadora de preços do Azure. Para obter informações gerais sobre como reduzir despesas desnecessárias, consulte Visão geral do pilar de otimização de custos.
As seções a seguir discutem informações de preços para os componentes da solução.
Servidor de Rotas
Atualmente, não há custo inicial ou taxa de rescisão para o Route Server. Para obter informações sobre preços, consulte Preços do Azure Route Server.
Rede Virtual
Você pode usar a Rede Virtual gratuitamente. Com uma assinatura do Azure, você pode criar até 50 redes virtuais em todas as regiões. O tráfego que está dentro dos limites de uma rede virtual é gratuito. Como resultado, não há cobrança pela comunicação entre duas VMs na mesma rede virtual.
Gateway de VPN
Quando você usa o VPN Gateway, todo o tráfego de entrada é gratuito. Você será cobrado apenas pelo tráfego de saída. Os custos de largura de banda da Internet aplicam-se ao tráfego de saída da VPN. Para obter mais informações, consulte Preços do gateway VPN.
ExpressRoute
As transferências de dados do ExpressRoute que são recebidas são gratuitas. Para transferência de dados de saída, é cobrada uma taxa predeterminada. Também se aplica uma taxa portuária mensal fixa. Para obter mais informações, consulte Preços do Azure ExpressRoute.
Pontos finais de serviço
O uso de pontos de extremidade de serviço é gratuito.
NVAs
Os NVAs são cobrados com base no aparelho que você usa. Você também é cobrado pelas VMs do Azure que implanta e pelos recursos de infraestrutura subjacentes que consome, como armazenamento e rede. Para obter mais informações, consulte Preços de máquinas virtuais Linux.
Próximos passos
- Guia de início rápido: criar e configurar o Servidor de Rotas usando o portal do Azure
- Sobre o suporte do Azure Route Server para ExpressRoute e Azure VPN
- FAQ do Azure Route Server
- Roteiro do Azure
- Blogue das redes
- SLA para o Azure Route Server
- O que é o Azure Route Server?