Configurare connessioni coesistenti ExpressRoute e da sito a sitoConfigure ExpressRoute and Site-to-Site coexisting connections

La configurazione di connessioni coesistenti di tipo VPN da sito a sito ed ExpressRoute offre diversi vantaggi.Configuring Site-to-Site VPN and ExpressRoute coexisting connections has several advantages. È possibile configurare una VPN da sito a sito come percorso di failover sicuro per ExressRoute oppure usare VPN da sito a sito per connettersi a siti che non sono connessi tramite ExpressRoute.You can configure a Site-to-Site VPN as a secure failover path for ExressRoute, or use Site-to-Site VPNs to connect to sites that are not connected through ExpressRoute. In questo articolo vengono illustrati i passaggi per configurare entrambi questi scenari.We cover the steps to configure both scenarios in this article. Questo articolo si applica al modello di distribuzione di Resource Manager e usa PowerShell.This article applies to the Resource Manager deployment model and uses PowerShell. Questa configurazione non è disponibile nel portale di Azure.This configuration is not available in the Azure portal.

Importante

Per eseguire le istruzioni riportate di seguito devono essere presenti circuiti ExpressRoute preconfigurati.ExpressRoute circuits must be pre-configured before you follow the instructions below. Verificare di aver seguito le guide per la creazione di un circuito ExpressRoute e per la configurazione del routing prima di eseguire questa procedura.Make sure that you have followed the guides to create an ExpressRoute circuit and configure routing before you proceed.

Limiti e limitazioniLimits and limitations

  • L'instradamento del transito non è supportato.Transit routing is not supported. Con Azure non è possibile attivare il routing tra la rete locale connessa tramite la VPN da sito a sito e la rete locale connessa tramite ExpressRoute.You cannot route (via Azure) between your local network connected via Site-to-Site VPN and your local network connected via ExpressRoute.
  • Il gateway SKU Basic non è supportato.Basic SKU gateway is not supported. È necessario usare un gateway SKU non Basic sia per il gateway ExpressRoute che per il gateway VPN.You must use a non-Basic SKU gateway for both the ExpressRoute gateway and the VPN gateway.
  • È supportato solo il gateway VPN basato su route.Only route-based VPN gateway is supported. È necessario usare un gateway VPN basato su route.You must use a route-based VPN Gateway.
  • Deve essere configurata una route statica per il gateway VPN.Static route should be configured for your VPN gateway. Se la rete locale è connessa sia a ExpressRoute che a una VPN da sito a sito, per il routing della connessione VPN da sito a sito alla rete Internet pubblica è necessario che nella rete locale sia configurata una route statica.If your local network is connected to both ExpressRoute and a Site-to-Site VPN, you must have a static route configured in your local network to route the Site-to-Site VPN connection to the public Internet.
  • Il gateway ExpressRoute deve essere prima configurato e collegato a un circuito.ExpressRoute gateway must be configured first and linked to a circuit. È necessario prima creare il gateway ExpressRoute e collegarlo a un circuito prima di aggiungere il gateway VPN da sito a sito.You must create the ExpressRoute gateway first and link it to a circuit before you add the Site-to-Site VPN gateway.

Progetti di configurazioneConfiguration designs

Configurare una VPN da sito a sito come percorso di failover per ExpressRouteConfigure a Site-to-Site VPN as a failover path for ExpressRoute

È possibile configurare una connessione VPN da sito a sito come backup per ExpressRoute.You can configure a Site-to-Site VPN connection as a backup for ExpressRoute. Questo si applica solo alle reti virtuali collegate al percorso di peering privato di Azure.This applies only to virtual networks linked to the Azure private peering path. Non esiste alcuna soluzione di failover basato su VPN per i servizi accessibili tramite i peering pubblico di Azure e Microsoft.There is no VPN-based failover solution for services accessible through Azure public and Microsoft peerings. Il circuito ExpressRoute è sempre il collegamento principale.The ExpressRoute circuit is always the primary link. Il flusso dei dati attraversa il percorso VPN da sito a sito solo se il circuito ExpressRoute ha esito negativo.Data flows through the Site-to-Site VPN path only if the ExpressRoute circuit fails.

Nota

Mentre il circuito ExpressRoute viene preferito sulla VPN da sito a sito quando entrambe le route sono uguali, Azure userà la corrispondenza di prefisso più lunga per scegliere la route verso la destinazione del pacchetto.While ExpressRoute circuit is preferred over Site-to-Site VPN when both routes are the same, Azure will use the longest prefix match to choose the route towards the packet's destination.

Coesistenza

Configurare una VPN da sito a sito per la connessione a siti non connessi tramite ExpressRouteConfigure a Site-to-Site VPN to connect to sites not connected through ExpressRoute

È possibile configurare una rete in cui alcuni siti si connettono direttamente ad Azure tramite VPN da sito a sito e altri si connettono tramite ExpressRoute.You can configure your network where some sites connect directly to Azure over Site-to-Site VPN, and some sites connect through ExpressRoute.

Coesistenza

Nota

Non è possibile configurare una rete virtuale come router di transito.You cannot configure a virtual network as a transit router.

Selezione dei passaggi da usareSelecting the steps to use

È possibile scegliere tra due set diversi di procedure.There are two different sets of procedures to choose from. La procedura di configurazione scelta dipende dalla disponibilità o meno di una rete virtuale esistente a cui stabilire la connessione oppure dall'esigenza di creare una nuova rete virtuale.The configuration procedure that you select depends on whether you have an existing virtual network that you want to connect to, or you want to create a new virtual network.

  • Non è disponibile una rete virtuale ed è necessario crearne una.I don't have a VNet and need to create one.

    Se non è disponibile una rete virtuale, questa procedura consente la creazione di una nuova rete virtuale e di nuove connessioni ExpressRoute e VPN da sito a sito usando il modello di distribuzione di Resource Manager.If you don’t already have a virtual network, this procedure walks you through creating a new virtual network using Resource Manager deployment model and creating new ExpressRoute and Site-to-Site VPN connections. Per configurare una rete virtuale, seguire la procedura in Per creare una nuova rete virtuale con connessioni coesistenti.To configure a virtual network, follow the steps in To create a new virtual network and coexisting connections.

  • È già disponibile una rete virtuale con modello di distribuzione di Azure Resource Manager.I already have a Resource Manager deployment model VNet.

    E’ possibile che esista già una rete virtuale con una connessione VPN da sito a sito o una connessione ExpressRoute.You may already have a virtual network in place with an existing Site-to-Site VPN connection or ExpressRoute connection. La sezione Per configurare connessioni coesistenti per una rete virtuale esistente illustra come eliminare il gateway e quindi come creare nuove connessioni ExpressRoute e VPN da sito a sito.The To configure coexisting connections for an already existing VNet section walks you through deleting the gateway, and then creating new ExpressRoute and Site-to-Site VPN connections. Durante la creazione di nuove connessioni, è necessario completare i passaggi in un ordine specifico.When creating the new connections, the steps must be completed in a specific order. Non usare le istruzioni in altri articoli per creare gateway e connessioni.Don't use the instructions in other articles to create your gateways and connections.

    In questa procedura, la creazione di connessioni che possono coesistere richiede l'eliminazione del gateway e la configurazione di nuovi gateway.In this procedure, creating connections that can coexist requires you to delete your gateway, and then configure new gateways. Mentre si elimina e si ricrea il gateway e le connessioni, si avrà un tempo di inattività per le connessioni cross-premise, ma non sarà necessario eseguire la migrazione delle macchine virtuali o dei servizi a una nuova rete virtuale.You will have downtime for your cross-premises connections while you delete and recreate your gateway and connections, but you will not need to migrate any of your VMs or services to a new virtual network. Le macchine virtuali e i servizi saranno comunque in grado di comunicare tramite il servizio di bilanciamento del carico mentre si configura il gateway, se sono configurati in questo senso.Your VMs and services will still be able to communicate out through the load balancer while you configure your gateway if they are configured to do so.

Per creare una nuova rete virtuale con connessioni coesistentiTo create a new virtual network and coexisting connections

Questa procedura illustra come creare una rete virtuale e connessioni da sito a sito ed ExpressRoute coesistenti.This procedure walks you through creating a VNet and Site-to-Site and ExpressRoute connections that will coexist.

  1. Installare la versione più recente dei cmdlet di Azure PowerShell.Install the latest version of the Azure PowerShell cmdlets. Per informazioni sull'installazione dei cmdlet, vedere Come installare e configurare Azure PowerShell.For information about installing the cmdlets, see How to install and configure Azure PowerShell. I cmdlet usati per questa configurazione possono essere leggermente diversi da quelli con cui si ha familiarità.The cmdlets that you use for this configuration may be slightly different than what you might be familiar with. Assicurarsi di usare i cmdlet specificati in queste istruzioni.Be sure to use the cmdlets specified in these instructions.
  2. Accedere al proprio account e configurare l'ambiente.Log in to your account and set up the environment.

    login-AzureRmAccount
    Select-AzureRmSubscription -SubscriptionName 'yoursubscription'
    $location = "Central US"
    $resgrp = New-AzureRmResourceGroup -Name "ErVpnCoex" -Location $location
    $VNetASN = 65010
    
  3. Creare una rete virtuale con una subnet del gateway.Create a virtual network including Gateway Subnet. Per altre informazioni sulla configurazione della rete virtuale, vedere l'articolo relativo alla configurazione di una rete virtuale di Azure.For more information about the virtual network configuration, see Azure Virtual Network configuration.

    Importante

    La subnet del gateway deve avere un prefisso /27 o più breve, ad esempio /26 o /25.The Gateway Subnet must be /27 or a shorter prefix (such as /26 or /25).

    Creare una nuova rete virtuale.Create a new VNet.

    $vnet = New-AzureRmVirtualNetwork -Name "CoexVnet" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AddressPrefix "10.200.0.0/16"
    

    Aggiungere le subnet.Add subnets.

    Add-AzureRmVirtualNetworkSubnetConfig -Name "App" -VirtualNetwork $vnet -AddressPrefix "10.200.1.0/24"
    Add-AzureRmVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet -AddressPrefix "10.200.255.0/24"
    

    Salvare la configurazione di rete virtuale.Save the VNet configuration.

    $vnet = Set-AzureRmVirtualNetwork -VirtualNetwork $vnet
    
  4. Creare un gateway ExpressRoute.Create an ExpressRoute gateway. Per altre informazioni sulla configurazione di gateway ExpressRoute, vedere il relativo articolo.For more information about the ExpressRoute gateway configuration, see ExpressRoute gateway configuration. Il valore di GatewaySKU deve essere Standard, HighPerformance o UltraPerformance.The GatewaySKU must be Standard, HighPerformance, or UltraPerformance.

    $gwSubnet = Get-AzureRmVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet
    $gwIP = New-AzureRmPublicIpAddress -Name "ERGatewayIP" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AllocationMethod Dynamic
    $gwConfig = New-AzureRmVirtualNetworkGatewayIpConfig -Name "ERGatewayIpConfig" -SubnetId $gwSubnet.Id -PublicIpAddressId $gwIP.Id
    $gw = New-AzureRmVirtualNetworkGateway -Name "ERGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "ExpressRoute" -GatewaySku Standard
    
  5. Collegare il gateway ExpressRoute al circuito ExpressRoute.Link the ExpressRoute gateway to the ExpressRoute circuit. Dopo aver completato questo passaggio, viene stabilita la connessione tra la rete locale e Azure tramite ExpressRoute.After this step has been completed, the connection between your on-premises network and Azure, through ExpressRoute, is established. Per altre informazioni sull'operazione di collegamento, vedere Collegamento di reti virtuali a circuiti ExpressRoute.For more information about the link operation, see Link VNets to ExpressRoute.

    $ckt = Get-AzureRmExpressRouteCircuit -Name "YourCircuit" -ResourceGroupName "YourCircuitResourceGroup"
    New-AzureRmVirtualNetworkGatewayConnection -Name "ERConnection" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -VirtualNetworkGateway1 $gw -PeerId $ckt.Id -ConnectionType ExpressRoute
    
  6. Creare quindi il gateway VPN da sito a sito.Next, create your Site-to-Site VPN gateway. Per altre informazioni sulla configurazione del gateway VPN, vedere Configurare rete virtuale con una connessione da sito a sito.For more information about the VPN gateway configuration, see Configure a VNet with a Site-to-Site connection. Il valore di GatewaySKU deve essere Standard, HighPerformance o UltraPerformance.The GatewaySKU must be Standard, HighPerformance, or UltraPerformance. Il valore di VpnType deve essere RouteBased.The VpnType must RouteBased.

    $gwSubnet = Get-AzureRmVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet
    $gwIP = New-AzureRmPublicIpAddress -Name "VPNGatewayIP" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -AllocationMethod Dynamic
    $gwConfig = New-AzureRmVirtualNetworkGatewayIpConfig -Name "VPNGatewayIpConfig" -SubnetId $gwSubnet.Id -PublicIpAddressId $gwIP.Id
    New-AzureRmVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "Vpn" -VpnType "RouteBased" -GatewaySku "Standard"
    

    Il gateway VPN di Azure supporta il protocollo di routing BGP.Azure VPN gateway supports BGP routing protocol. È possibile specificare il codice ASN (Numero AS) per la rete virtuale aggiungendo il parametro -Asn nel comando seguente.You can specify ASN (AS Number) for that Virtual Network by adding the -Asn switch in the following command. Se non si specifica questo parametro, il numero AS predefinito sarà 65515.Not specifying that parameter will default to AS number 65515.

    $azureVpn = New-AzureRmVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -IpConfigurations $gwConfig -GatewayType "Vpn" -VpnType "RouteBased" -GatewaySku "Standard" -Asn $VNetASN
    

    È possibile trovare l'IP del peering BGP e il numero AS usati da Azure per il gateway VPN in $azureVpn.BgpSettings.BgpPeeringAddress e in $azureVpn.BgpSettings.Asn.You can find the BGP peering IP and the AS number that Azure uses for the VPN gateway in $azureVpn.BgpSettings.BgpPeeringAddress and $azureVpn.BgpSettings.Asn. Per altre informazioni, vedere Configurare BGP per il gateway VPN di VPN.For more information, see Configure BGP for Azure VPN gateway.

  7. Creare un'entità gateway VPN del sito locale.Create a local site VPN gateway entity. Questo comando non configura il gateway VPN locale.This command doesn’t configure your on-premises VPN gateway. Consente invece di fornire le impostazioni del gateway locale, ad esempio l'indirizzo IP pubblico e lo spazio indirizzi locale, in modo che il gateway VPN di Azure possa connettersi.Rather, it allows you to provide the local gateway settings, such as the public IP and the on-premises address space, so that the Azure VPN gateway can connect to it.

    Se il dispositivo VPN locale supporta solo il routing statico, è possibile configurare le route statiche nel modo seguente:If your local VPN device only supports static routing, you can configure the static routes in the following way:

    $MyLocalNetworkAddress = @("10.100.0.0/16","10.101.0.0/16","10.102.0.0/16")
    $localVpn = New-AzureRmLocalNetworkGateway -Name "LocalVPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -GatewayIpAddress *<Public IP>* -AddressPrefix $MyLocalNetworkAddress
    

    Se il dispositivo VPN locale supporta BGP e si vuole abilitare il routing dinamico, è necessario conoscere l'IP del peering BGP e il numero AS usati dal dispositivo VPN locale.If your local VPN device supports the BGP and you want to enable dynamic routing, you need to know the BGP peering IP and the AS number that your local VPN device uses.

    $localVPNPublicIP = "<Public IP>"
    $localBGPPeeringIP = "<Private IP for the BGP session>"
    $localBGPASN = "<ASN>"
    $localAddressPrefix = $localBGPPeeringIP + "/32"
    $localVpn = New-AzureRmLocalNetworkGateway -Name "LocalVPNGateway" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -GatewayIpAddress $localVPNPublicIP -AddressPrefix $localAddressPrefix -BgpPeeringAddress $localBGPPeeringIP -Asn $localBGPASN
    
  8. Configurare il dispositivo VPN locale per la connessione al nuovo gateway VPN di Azure.Configure your local VPN device to connect to the new Azure VPN gateway. Per altre informazioni sulla configurazione del dispositivo VPN, vedere l'articolo relativo alla configurazione del dispositivo VPN.For more information about VPN device configuration, see VPN Device Configuration.
  9. Collegare il gateway VPN da sito a sito in Azure al gateway locale.Link the Site-to-Site VPN gateway on Azure to the local gateway.

    $azureVpn = Get-AzureRmVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName
    New-AzureRmVirtualNetworkGatewayConnection -Name "VPNConnection" -ResourceGroupName $resgrp.ResourceGroupName -Location $location -VirtualNetworkGateway1 $azureVpn -LocalNetworkGateway2 $localVpn -ConnectionType IPsec -SharedKey <yourkey>
    

Per configurare connessioni coesistenti per una rete virtuale esistenteTo configure coexisting connections for an already existing VNet

Se esiste già una rete virtuale, controllare le dimensioni della subnet del gateway.If you have an existing virtual network, check the gateway subnet size. Se la subnet del gateway è pari a/29 o /28, è necessario eliminare prima di tutto il gateway di rete virtuale e aumentare le dimensioni della subnet del gateway.If the gateway subnet is /28 or /29, you must first delete the virtual network gateway and increase the gateway subnet size. I passaggi descritti in questa sezione illustrano come eseguire questa operazione.The steps in this section show you how to do that.

Se la subnet del gateway è /27 o superiore e la rete virtuale è connessa tramite ExpressRoute, è possibile ignorare i passaggi seguenti e andare al "Passaggio 6: Creare un gateway VPN da sito a sito" nella sezione precedente.If the gateway subnet is /27 or larger and the virtual network is connected via ExpressRoute, you can skip the steps below and proceed to "Step 6 - Create a Site-to-Site VPN gateway" in the previous section.

Nota

Quando si elimina il gateway esistente, gli ambienti locali perderanno la connessione alla rete virtuale mentre si lavora a questa configurazione.When you delete the existing gateway, your local premises will lose the connection to your virtual network while you are working on this configuration.

  1. È necessario installare l'ultima versione dei cmdlet di Azure PowerShell.You'll need to install the latest version of the Azure PowerShell cmdlets. Per altre informazioni sull'installazione dei cmdlet, vedere Come installare e configurare Azure PowerShell.For more information about installing cmdlets, see How to install and configure Azure PowerShell. I cmdlet usati per questa configurazione possono essere leggermente diversi da quelli con cui si ha familiarità.The cmdlets that you use for this configuration may be slightly different than what you might be familiar with. Assicurarsi di usare i cmdlet specificati in queste istruzioni.Be sure to use the cmdlets specified in these instructions.
  2. Eliminare il gateway ExpressRoute o VPN da sito a sito esistente.Delete the existing ExpressRoute or Site-to-Site VPN gateway.

    Remove-AzureRmVirtualNetworkGateway -Name <yourgatewayname> -ResourceGroupName <yourresourcegroup>
    
  3. Eliminare la subnet del gateway.Delete Gateway Subnet.

    $vnet = Get-AzureRmVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup> Remove-AzureRmVirtualNetworkSubnetConfig -Name GatewaySubnet -VirtualNetwork $vnet
    
  4. Aggiungere una subnet del gateway di /27 o superiore.Add a Gateway Subnet that is /27 or larger.

    Nota

    Se non sono rimasti indirizzi IP sufficienti nella rete virtuale per aumentare le dimensioni della subnet del gateway, è necessario aggiungere altro spazio di indirizzi IP.If you don't have enough IP addresses left in your virtual network to increase the gateway subnet size, you need to add more IP address space.

    $vnet = Get-AzureRmVirtualNetwork -Name <yourvnetname> -ResourceGroupName <yourresourcegroup>
    Add-AzureRmVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet -AddressPrefix "10.200.255.0/24"
    

    Salvare la configurazione di rete virtuale.Save the VNet configuration.

    $vnet = Set-AzureRmVirtualNetwork -VirtualNetwork $vnet
    
  5. A questo punto, si ha una rete virtuale senza gateway.At this point, you have a VNet with no gateways. Per creare nuovi gateway e completare le connessioni, è possibile procedere con il Passaggio 4: Creare un gateway ExpressRoute, disponibile nel set di passaggi precedente.To create new gateways and complete your connections, you can proceed with Step 4 - Create an ExpressRoute gateway, found in the preceding set of steps.

Per aggiungere una configurazione da punto a sito al gateway VPNTo add point-to-site configuration to the VPN gateway

Per aggiungere una configurazione da punto a sito al gateway VPN in una configurazione di coesistenza, è possibile seguire questa procedura.You can follow the steps below to add Point-to-Site configuration to your VPN gateway in a co-existence setup.

  1. Aggiungere un pool di indirizzi client VPN.Add VPN Client address pool.

    $azureVpn = Get-AzureRmVirtualNetworkGateway -Name "VPNGateway" -ResourceGroupName $resgrp.ResourceGroupName
    Set-AzureRmVirtualNetworkGatewayVpnClientConfig -VirtualNetworkGateway $azureVpn -VpnClientAddressPool "10.251.251.0/24"
    
  2. Caricare il certificato radice VPN in Azure per il gateway VPN.Upload the VPN root certificate to Azure for your VPN gateway. In questo esempio si presuppone che il certificato radice sia archiviato nel computer locale in cui vengono eseguiti i cmdlet di PowerShell riportati di seguito.In this example, it's assumed that the root certificate is stored in the local machine where the following PowerShell cmdlets are run.

    $p2sCertFullName = "RootErVpnCoexP2S.cer" 
    $p2sCertMatchName = "RootErVpnCoexP2S" 
    $p2sCertToUpload=get-childitem Cert:\CurrentUser\My | Where-Object {$_.Subject -match $p2sCertMatchName} 
    if ($p2sCertToUpload.count -eq 1){write-host "cert found"} else {write-host "cert not found" exit} 
    $p2sCertData = [System.Convert]::ToBase64String($p2sCertToUpload.RawData) Add-AzureRmVpnClientRootCertificate -VpnClientRootCertificateName $p2sCertFullName -VirtualNetworkGatewayname $azureVpn.Name -ResourceGroupName $resgrp.ResourceGroupName -PublicCertData $p2sCertData
    

Per altre informazioni sulle VPN da punto a sito, vedere Configurare una connessione da punto a sito.For more information on Point-to-Site VPN, see Configure a Point-to-Site connection.

Passaggi successiviNext steps

Per altre informazioni su ExpressRoute, vedere le Domande frequenti su ExpressRoute.For more information about ExpressRoute, see the ExpressRoute FAQ.