Definición de los requisitos de cifrado de red

  • Artículo

En esta sección se analizan las recomendaciones clave para lograr el cifrado de red entre el entorno local y Azure, así como entre regiones de Azure.

Consideraciones de diseño:

  • El costo y el ancho de banda disponible son inversamente proporcionales a la longitud del túnel de cifrado entre los puntos de conexión.

  • Al usar una red privada virtual para conectarse a Azure, el tráfico se cifra a través de Internet mediante los túneles IPsec.

  • Cuando se usa ExpressRoute con el emparejamiento privado, actualmente el tráfico no se cifra.

  • Es posible configurar una conexión VPN de sitio a sitio a través del emparejamiento privado de ExpressRoute.

  • Puede aplicar el cifrado de Seguridad de control de acceso a medios (MACsec) a ExpressRoute Direct para lograr el cifrado de red.

  • Cuando el tráfico de Azure se mueve entre centros de datos (fuera de los límites físicos no controlados por Microsoft o en nombre de Microsoft), se usa el cifrado de capa de vínculo de datos MACsec en el hardware de red subyacente. Esto es aplicable al tráfico de emparejamiento de VNet.

Recomendaciones de diseño:

diagrama que muestra los flujos de cifrado.

Figura 1: Flujos de cifrado.

  • Cuando establece conexiones VPN desde el entorno local a Azure mediante puertas de enlace VPN, el tráfico se cifra en un nivel de protocolo con túneles IPsec. En el diagrama anterior se muestra este cifrado en el flujo A.

  • Cuando use ExpressRoute Direct, configure MACsec para cifrar el tráfico en el nivel de la capa dos entre los enrutadores de la organización y MSEE. El diagrama muestra este cifrado en el flujo B.

  • En el caso de escenarios de Virtual WAN en los que MACsec no sea una opción (por ejemplo, si no se usa ExpressRoute Direct), use la puerta de enlace VPN de Virtual WAN para establecer los túneles IPsec a través del emparejamiento privado de ExpressRoute. El diagrama muestra este cifrado en el flujo C.

  • En el caso de escenarios donde no se use Virtual WAN y en los que MACsec no sea una opción (por ejemplo, donde no se utilice ExpressRoute Direct), las únicas opciones son las siguientes:

  • Si las soluciones nativas de Azure (como se muestra en los flujos B y C en el diagrama) no satisfacen sus requisitos, use aplicaciones virtuales de red de un asociado de Azure para cifrar el tráfico a través del emparejamiento privado de ExpressRoute.