Verbinden eines lokalen Netzwerks mit Azure unter Verwendung von ExpressRoute mit VPN-FailoverConnect an on-premises network to Azure using ExpressRoute with VPN failover

Diese Referenzarchitektur zeigt, wie ein lokales Netzwerk unter Verwendung von ExpressRoute mit einem virtuellen Azure-Netzwerk (VNet) verbunden wird, wobei ein Site-to-Site-VPN (Virtual Private Network) als Failoververbindung dient.This reference architecture shows how to connect an on-premises network to an Azure virtual network (VNet) using ExpressRoute, with a site-to-site virtual private network (VPN) as a failover connection. Der Datenverkehr zwischen dem lokalen Netzwerk und dem Azure-VNet wird über eine ExpressRoute-Verbindung übertragen.Traffic flows between the on-premises network and the Azure VNet through an ExpressRoute connection. Wenn die ExpressRoute-Verbindung ausfällt, wird der Datenverkehr über einen IPSec-VPN-Tunnel weitergeleitet.If there is a loss of connectivity in the ExpressRoute circuit, traffic is routed through an IPSec VPN tunnel. Stellen Sie diese Lösung bereit.Deploy this solution.

Beachten Sie, dass die VPN-Route nur Private Peering-Verbindungen behandelt, wenn die ExpressRoute-Verbindung nicht verfügbar ist.Note that if the ExpressRoute circuit is unavailable, the VPN route will only handle private peering connections. Public Peering- und Microsoft-Peering-Verbindungen werden über das Internet geleitet.Public peering and Microsoft peering connections will pass over the Internet.

Referenzarchitektur für eine hochverfügbare Hybrid-Netzwerkarchitektur mit ExpressRoute- und VPN-Gateway

Laden Sie eine Visio-Datei dieser Architektur herunter.Download a Visio file of this architecture.

ArchitectureArchitecture

Die Architektur umfasst die folgenden Komponenten.The architecture consists of the following components.

  • Lokales Netzwerk.On-premises network. Ein in einer Organisation betriebenes privates lokales Netzwerk.A private local-area network running within an organization.

  • VPN-Gerät.VPN appliance. Ein Gerät oder ein Dienst, das bzw. der externe Konnektivität mit dem lokalen Netzwerk bereitstellt.A device or service that provides external connectivity to the on-premises network. Bei dem VPN-Gerät kann es sich um ein Hardwaregerät oder eine Softwarelösung, z.B. den Routing- und RAS-Dienst unter Windows Server 2012, handeln.The VPN appliance may be a hardware device, or it can be a software solution such as the Routing and Remote Access Service (RRAS) in Windows Server 2012. Eine Liste der unterstützten VPN-Geräte und Informationen zur Konfiguration ausgewählter VPN-Geräte für die Verbindung mit Azure finden Sie unter Informationen zu VPN-Geräten für VPN Gateway-Verbindungen zwischen Standorten.For a list of supported VPN appliances and information on configuring selected VPN appliances for connecting to Azure, see About VPN devices for Site-to-Site VPN Gateway connections.

  • ExpressRoute-Verbindung.ExpressRoute circuit. Eine vom Konnektivitätsanbieter bereitgestellte Layer 2- oder Layer 3-Verbindung, die das lokale Netzwerk über die Edgerouter mit Azure verbindet.A layer 2 or layer 3 circuit supplied by the connectivity provider that joins the on-premises network with Azure through the edge routers. Für die Verbindung wird die vom Konnektivitätsanbieter verwaltete Hardwareinfrastruktur verwendet.The circuit uses the hardware infrastructure managed by the connectivity provider.

  • ExpressRoute-Gateway für virtuelle Netzwerke.ExpressRoute virtual network gateway. Das ExpressRoute-Gateway für virtuelle Netzwerke ermöglicht es dem VNet, mit der ExpressRoute-Leitung eine Verbindung herzustellen, die für die Konnektivität mit Ihrem lokalen Netzwerk verwendet wird.The ExpressRoute virtual network gateway enables the VNet to connect to the ExpressRoute circuit used for connectivity with your on-premises network.

  • VPN-Gateway für virtuelle Netzwerke.VPN virtual network gateway. Die VPN-Gateway für virtuelle Netzwerke ermöglicht es dem VNet, eine Verbindung mit dem VPN-Gerät im lokalen Netzwerk herzustellen.The VPN virtual network gateway enables the VNet to connect to the VPN appliance in the on-premises network. Die VPN-Gateway für virtuelle Netzwerke ist so konfiguriert, dass es Anforderungen aus dem lokalen Netzwerk nur über das VPN-Gerät akzeptiert.The VPN virtual network gateway is configured to accept requests from the on-premises network only through the VPN appliance. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit einem Microsoft Azure Virtual Network.For more information, see Connect an on-premises network to a Microsoft Azure virtual network.

  • VPN-Verbindung.VPN connection. Die Verbindung verfügt über Eigenschaften, die den Verbindungstyp (IPSec) und den Schlüssel angeben, der für das lokale VPN-Gerät freigegeben wird, um Datenverkehr zu verschlüsseln.The connection has properties that specify the connection type (IPSec) and the key shared with the on-premises VPN appliance to encrypt traffic.

  • Azure Virtual Network (VNet) .Azure Virtual Network (VNet). Jedes VNet befindet sich in einer einzelnen Azure-Region und kann mehrere Logikschichten hosten.Each VNet resides in a single Azure region, and can host multiple application tiers. Logikschichten können mithilfe von Subnetzen in jedem VNet segmentiert werden.Application tiers can be segmented using subnets in each VNet.

  • Gatewaysubnetz.Gateway subnet. Die Gateways für virtuelle Netzwerke befinden sich in demselben Subnetz.The virtual network gateways are held in the same subnet.

  • Cloudanwendung.Cloud application. Die in Azure gehostete Anwendung.The application hosted in Azure. Sie kann mehrere Schichten umfassen, wobei mehrere Subnetze über Azure Load Balancer verbunden sind.It might include multiple tiers, with multiple subnets connected through Azure load balancers. Weitere Informationen zur Anwendungsinfrastruktur finden Sie unter Ausführen von Windows-VM-Workloads und Ausführen von Linux-VM-Workloads.For more information about the application infrastructure, see Running Windows VM workloads and Running Linux VM workloads.

EmpfehlungenRecommendations

Die folgenden Empfehlungen gelten für die meisten Szenarios.The following recommendations apply for most scenarios. Sofern Sie keine besonderen Anforderungen haben, die Vorrang haben, sollten Sie diese Empfehlungen befolgen.Follow these recommendations unless you have a specific requirement that overrides them.

VNet und GatewaySubnetVNet and GatewaySubnet

Erstellen Sie eine Verbindung mit dem ExpressRoute-Gateway und dem VPN-Gateway für virtuelle Netzwerke im selben VNet wie ein bereits vorhandenes Gatewayobjekt.Create the ExpressRoute virtual network gateway connection and the VPN virtual network gateway connection in the same VNet with a Gateway object already in place. Diese teilen sich ein Subnetz mit dem Namen GatewaySubnet.They will both share the same subnet named GatewaySubnet.

Wenn das VNet bereits ein Subnetz mit dem Namen GatewaySubnet enthält, stellen Sie sicher, dass es einen /27-Adressraum oder einen größeren Adressraum aufweist.If the VNet already includes a subnet named GatewaySubnet, ensure that it has a /27 or larger address space. Wenn das vorhandene Subnetz zu klein ist, entfernen Sie es mit dem folgenden PowerShell-Befehl:If the existing subnet is too small, use the following PowerShell command to remove the subnet:

$vnet = Get-AzVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup>
Remove-AzVirtualNetworkSubnetConfig -Name GatewaySubnet -VirtualNetwork $vnet

Wenn das VNET kein Subnetz mit dem Namen GatewaySubnet enthält, erstellen Sie mit dem folgenden PowerShell-Befehl ein neues Subnetz:If the VNet does not contain a subnet named GatewaySubnet, create a new one using the following PowerShell command:

$vnet = Get-AzVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup>
Add-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet -AddressPrefix "10.200.255.224/27"
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

VPN- und ExpressRoute-GatewaysVPN and ExpressRoute gateways

Stellen Sie sicher, dass Ihre Organisation die ExpressRoute-Voraussetzungen zum Herstellen der Verbindung mit Azure erfüllt.Verify that your organization meets the ExpressRoute prerequisite requirements for connecting to Azure.

Falls Sie im Azure-VNET bereits über ein VPN-Gateway für virtuelle Netzwerke verfügen, entfernen Sie es mithilfe des folgenden PowerShell-Befehls:If you already have a VPN virtual network gateway in your Azure VNet, use the following PowerShell command to remove it:

Remove-AzVirtualNetworkGateway -Name <yourgatewayname> -ResourceGroupName <yourresourcegroup>

Befolgen Sie die Anweisungen in Implementieren einer sicheren Hybrid-Netzwerkarchitektur mit Azure ExpressRoute, um eine sichere ExpressRoute-Verbindung herzustellen.Follow the instructions in Implementing a hybrid network architecture with Azure ExpressRoute to establish your ExpressRoute connection.

Befolgen Sie die Anweisungen in Implementieren einer sicheren Hybrid-Netzwerkarchitektur mit Azure und lokalem VPN, um eine Verbindung mit dem VPN-Gateway für virtuelle Netzwerke herzustellen.Follow the instructions in Implementing a hybrid network architecture with Azure and On-premises VPN to establish your VPN virtual network gateway connection.

Nachdem Sie die Verbindung mit dem Gateway für virtuelle Netzwerke hergestellt haben, testen Sie die Umgebung wie folgt:After you have established the virtual network gateway connections, test the environment as follows:

  1. Stellen Sie sicher, dass Sie vom lokalen Netzwerk eine Verbindung mit dem Azure-VNet herstellen können.Make sure you can connect from your on-premises network to your Azure VNet.
  2. Wenden Sie sich an Ihren Anbieter, um die ExpressRoute-Konnektivität zu Testzwecken zu beenden.Contact your provider to stop ExpressRoute connectivity for testing.
  3. Stellen Sie sicher, dass Sie weiterhin über das VPN-Gateway für virtuelle Verbindungen eine Verbindung vom lokalen Netzwerk mit dem Azure-VNet herstellen können.Verify that you can still connect from your on-premises network to your Azure VNet using the VPN virtual network gateway connection.
  4. Wenden Sie sich an Ihren Anbieter, um die ExpressRoute-Konnektivität wiederherzustellen.Contact your provider to reestablish ExpressRoute connectivity.

ÜberlegungenConsiderations

Überlegungen zu ExpressRoute finden Sie im Leitfaden Implementieren einer sicheren Hybrid-Netzwerkarchitektur mit Azure ExpressRoute.For ExpressRoute considerations, see the Implementing a Hybrid Network Architecture with Azure ExpressRoute guidance.

Überlegungen zu Site-to-Site-VPNs finden Sie im Leitfaden Implementieren einer sicheren Hybrid-Netzwerkarchitektur mit Azure und lokalem VPN.For site-to-site VPN considerations, see the Implementing a Hybrid Network Architecture with Azure and On-premises VPN guidance.

Informationen zu allgemeinen Sicherheitsaspekten für Azure finden Sie unter Microsoft-Clouddienste und Netzwerksicherheit.For general Azure security considerations, see Microsoft cloud services and network security.

Bereitstellen der LösungDeploy the solution

VoraussetzungenPrerequisites. Sie müssen über eine lokale Infrastruktur verfügen, die bereits mit einer geeigneten Netzwerkappliance konfiguriert ist.You must have an existing on-premises infrastructure already configured with a suitable network appliance.

Führen Sie die folgenden Schritte aus, um die Lösung bereitzustellen.To deploy the solution, perform the following steps.

  1. Klicken Sie auf den folgenden Link.Click the link below.

    In Azure bereitstellenDeploy to Azure

  2. Warten Sie, bis der Link im Azure-Portal geöffnet wird, und gehen Sie dann folgendermaßen vor:Wait for the link to open in the Azure portal, then follow these steps:

    • Der Name der Ressourcengruppe ist bereits in der Parameterdatei definiert. Wählen Sie also Neu erstellen, und geben Sie im Textfeld ra-hybrid-vpn-er-rg ein.The Resource group name is already defined in the parameter file, so select Create New and enter ra-hybrid-vpn-er-rg in the text box.
    • Wählen Sie im Dropdownfeld Standort die Region aus.Select the region from the Location drop down box.
    • Lassen Sie die Textfelder für den Vorlagenstamm-URI bzw. Parameterstamm-URI unverändert.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Überprüfen Sie die allgemeinen Geschäftsbedingungen, und aktivieren Sie dann das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Klicken Sie auf die Schaltfläche Kaufen.Click the Purchase button.
  3. Warten Sie, bis die Bereitstellung abgeschlossen ist.Wait for the deployment to complete.

  4. Klicken Sie auf den folgenden Link.Click the link below.

    In Azure bereitstellenDeploy to Azure

  5. Warten Sie, bis der Link im Azure-Portal geöffnet wird, und gehen Sie dann folgendermaßen vor:Wait for the link to open in the Azure portal, then enter then follow these steps:

    • Wählen Sie im Abschnitt Ressourcengruppe die Option Vorhandene verwenden aus, und geben Sie im Textfeld ra-hybrid-vpn-er-rg ein.Select Use existing in the Resource group section and enter ra-hybrid-vpn-er-rg in the text box.
    • Wählen Sie im Dropdownfeld Standort die Region aus.Select the region from the Location drop down box.
    • Lassen Sie die Textfelder für den Vorlagenstamm-URI bzw. Parameterstamm-URI unverändert.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Überprüfen Sie die allgemeinen Geschäftsbedingungen, und aktivieren Sie dann das Kontrollkästchen Ich stimme den oben genannten Geschäftsbedingungen zu.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Klicken Sie auf die Schaltfläche Kaufen.Click the Purchase button.