Azure ExpressRoute를 사용하여 Azure에 Azure Stack Hub 연결Connect Azure Stack Hub to Azure using Azure ExpressRoute

이 문서에서는 Microsoft Azure ExpressRoute 직접 연결을 사용 하 여 Azure Stack 허브 가상 네트워크를 Azure 가상 네트워크에 연결 하는 방법을 설명 합니다.This article describes how to connect an Azure Stack Hub virtual network to an Azure virtual network using a Microsoft Azure ExpressRoute direct connection.

이 문서를 자습서로 사용 하 고 예제를 사용 하 여 동일한 테스트 환경을 설정할 수 있습니다.You can use this article as a tutorial and use the examples to set up the same test environment. 또는 고유한 Express 경로 환경을 설정 하는 과정을 안내 하는 연습으로 문서를 읽을 수 있습니다.Or, you can read the article as a walkthrough that guides you through setting up your own ExpressRoute environment.

개요, 가정 및 필수 구성 요소Overview, assumptions, and prerequisites

Azure Express 경로를 사용 하면 연결 공급자가 제공 하는 개인 연결을 통해 온-프레미스 네트워크를 Microsoft 클라우드로 확장할 수 있습니다.Azure ExpressRoute lets you extend your on-premises networks into the Microsoft cloud over a private connection supplied by a connectivity provider. Express 경로는 공용 인터넷을 통한 VPN 연결이 아닙니다.ExpressRoute is not a VPN connection over the public internet.

Azure Express 경로에 대 한 자세한 내용은 express 경로 개요를 참조 하세요.For more information about Azure ExpressRoute, see the ExpressRoute overview.

AssumptionsAssumptions

이 문서에서는 다음을 가정합니다.This article assumes that:

  • Azure에 대 한 실무 지식이 있습니다.You have a working knowledge of Azure.
  • Azure Stack 허브를 기본적으로 이해 하 고 있습니다.You have a basic understanding of Azure Stack Hub.
  • 네트워킹에 대 한 기본적인 이해가 있습니다.You have a basic understanding of networking.

사전 준비 사항Prerequisites

Express 경로를 사용 하 여 Azure Stack 허브와 Azure를 연결 하려면 다음 요구 사항을 충족 해야 합니다.To connect Azure Stack Hub and Azure using ExpressRoute, you must meet the following requirements:

  • 연결 공급자를 통해 프로 비전 된 express 경로 회로A provisioned ExpressRoute circuit through a connectivity provider.
  • Azure에서 Express 경로 회로 및 Vnet을 만들기 위한 Azure 구독.An Azure subscription to create an ExpressRoute circuit and VNets in Azure.
  • 다음 작업을 수행 해야 하는 라우터:A router that must:
    • LAN 인터페이스와 Azure Stack 허브 다중 테 넌 트 게이트웨이 사이에서 사이트 간 VPN 연결을 지원 합니다.Support site-to-site VPN connections between its LAN interface and Azure Stack Hub multi-tenant gateway.
    • Azure Stack 허브 배포에 둘 이상의 테 넌 트가 있는 경우 여러 Vrf (가상 라우팅 및 전달) 만들기를 지원 합니다.Support creating multiple VRFs (Virtual Routing and Forwarding) if there is more than one tenant in your Azure Stack Hub deployment.
  • 다음을 포함 하는 라우터:A router that has:
    • Express 경로 회로에 연결 된 WAN 포트입니다.A WAN port connected to the ExpressRoute circuit.
    • Azure Stack 허브 다중 테 넌 트 게이트웨이에 연결 된 LAN 포트입니다.A LAN port connected to the Azure Stack Hub multi-tenant gateway.

Express 경로 네트워크 아키텍처ExpressRoute network architecture

다음 그림은이 문서의 예제를 사용 하 여 Express 경로 설정을 완료 한 후 Azure Stack 허브 및 Azure 환경을 보여 줍니다.The following figure shows the Azure Stack Hub and Azure environments after you finish setting up ExpressRoute using the examples in this article:

Express 경로 네트워크

다음 그림은 여러 테 넌 트가 Azure Stack Hub 인프라를 통해 Express 경로를 통해 Azure에 연결 하는 방법을 보여 줍니다.The following figure shows how multiple tenants connect from the Azure Stack Hub infrastructure through the ExpressRoute router to Azure:

Express 경로를 사용 하는 다중 테 넌 트 연결

이 문서의 예제에서는 Express 경로 개인 피어 링을 사용 하 여 Azure Stack 허브를 Azure에 연결 하기 위해이 다이어그램에 표시 된 것과 동일한 다중 테 넌 트 아키텍처를 사용 합니다.The example in this article uses the same multi-tenant architecture shown in this diagram to connect Azure Stack Hub to Azure using ExpressRoute private peering. 연결은 Azure Stack 허브의 가상 네트워크 게이트웨이에서 Express 경로 라우터에 대 한 사이트 간 VPN 연결을 사용 하 여 수행 됩니다.The connection is done using a site-to-site VPN connection from the virtual network gateway in Azure Stack Hub to an ExpressRoute router.

이 문서의 단계에서는 Azure Stack Hub의 두 테 넌 트에서 Azure의 해당 Vnet로 두 개의 Vnet 간에 종단 간 연결을 만드는 방법을 보여 줍니다.The steps in this article show you how to create an end-to-end connection between two VNets from two different tenants in Azure Stack Hub to corresponding VNets in Azure. 두 개의 테 넌 트 설정은 선택 사항입니다. 이러한 단계는 단일 테 넌 트에도 사용할 수 있습니다.Setting up two tenants is optional; you can also use these steps for a single tenant.

Azure Stack 허브 구성Configure Azure Stack Hub

첫 번째 테 넌 트에 대 한 Azure Stack 허브 환경을 설정 하려면 다음 단계를 지침으로 사용 합니다.To set up the Azure Stack Hub environment for the first tenant, use the following steps as a guide. 둘 이상의 테 넌 트를 설정 하는 경우 다음 단계를 반복 합니다.If you're setting up more than one tenant, repeat these steps:

참고

이러한 단계는 Azure Stack 허브 포털을 사용 하 여 리소스를 만드는 방법을 보여 주지만 PowerShell을 사용할 수도 있습니다.These steps show how to create resources using the Azure Stack Hub portal, but you can also use PowerShell.

Azure Stack 허브 네트워크 설정

시작하기 전에Before you begin

Azure Stack 허브 구성을 시작 하기 전에 다음이 필요 합니다.Before you start configuring Azure Stack Hub, you need:

Azure Stack 허브에서 네트워크 리소스 만들기Create network resources in Azure Stack Hub

다음 절차를 사용 하 여 테 넌 트의 Azure Stack 허브에 필요한 네트워크 리소스를 만듭니다.Use the following procedures to create the required network resources in Azure Stack Hub for a tenant.

가상 네트워크 및 VM 서브넷 만들기Create the virtual network and VM subnet

  1. Azure Stack 허브 사용자 포털에 로그인 합니다.Sign in to the Azure Stack Hub user portal.

  2. 포털에서 + 리소스 만들기 를 선택합니다.In the portal, select + Create a resource.

  3. Azure Marketplace 에서 네트워킹 을 선택 합니다.Under Azure Marketplace, select Networking.

  4. 추천 에서 가상 네트워크 를 선택 합니다.Under Featured, select Virtual network.

  5. 가상 네트워크 만들기 에서 다음 표에 나와 있는 값을 해당 필드에 입력 합니다.Under Create virtual network, enter the values shown in the following table into the appropriate fields:

    필드Field Value
    이름Name Tenant1VNet1Tenant1VNet1
    주소 공간Address space 10.1.0.0/1610.1.0.0/16
    서브넷 이름Subnet name Tenant1-Sub1Tenant1-Sub1
    서브넷 주소 범위Subnet address range 10.1.1.0/2410.1.1.0/24
  6. 이전에 만든 구독이 구독 필드에 표시 되어야 합니다.You should see the subscription you created earlier populated in the Subscription field. 남은 필드:For the remaining fields:

    • 리소스 그룹 에서 새로 만들기 를 선택 하 여 새 리소스 그룹을 만들거나 이미 있는 경우 기존 항목 사용 을 선택 합니다.Under Resource group, select Create new to create a new resource group or if you already have one, select Use existing.
    • 기본 위치 를 확인 합니다.Verify the default Location.
    • 만들기 를 클릭합니다.Click Create.
    • 필드 대시보드에 고정을 클릭 합니다.(Optional) Click Pin to dashboard.

게이트웨이 서브넷 만들기Create the gateway subnet

  1. 가상 네트워크 에서 Tenant1VNet1 를 선택 합니다.Under Virtual network, select Tenant1VNet1.
  2. 설정 에서 서브넷 을 선택합니다.Under SETTINGS, select Subnets.
  3. + 게이트웨이 서브넷 을 선택 하 여 가상 네트워크에 게이트웨이 서브넷을 추가 합니다.Select + Gateway subnet to add a gateway subnet to the virtual network.
  4. 서브넷의 이름은 GatewaySubnet 이라고 기본으로 설정됩니다.The name of the subnet is set to GatewaySubnet by default. 게이트웨이 서브넷은 특별 한 경우 이며이 이름을 사용 하 여 제대로 작동 해야 합니다.Gateway subnets are a special case and must use this name to function correctly.
  5. 주소 범위가 10.1.0.0/24 인지 확인 합니다.Verify that the Address range is 10.1.0.0/24.
  6. 확인 을 클릭하여 게이트웨이 서브넷을 만듭니다.Click OK to create the gateway subnet.

가상 네트워크 게이트웨이 만들기Create the virtual network gateway

  1. Azure Stack 허브 사용자 포털에서 + 리소스 만들기 를 클릭 합니다.In the Azure Stack Hub user portal, click + Create a resource.
  2. Azure Marketplace 에서 네트워킹 을 선택 합니다.Under Azure Marketplace, select Networking.
  3. 네트워크 리소스 목록에서 가상 네트워크 게이트웨이 를 선택합니다.Select Virtual network gateway from the list of network resources.
  4. 이름 필드에 GW1 을 입력 합니다.In the Name field, enter GW1.
  5. 가상 네트워크 를 선택합니다.Select Virtual network.
  6. 드롭다운 목록에서 Tenant1VNet1 를 선택 합니다.Select Tenant1VNet1 from the drop-down list.
  7. 공용 ip 주소 를 선택 하 고 공용 ip 주소 를 선택한 다음 새로 만들기 를 클릭 합니다.Select Public IP address, then Choose public IP address, and then click Create new.
  8. 이름 필드에 GW1-PiP 를 입력 한 다음 확인 을 클릭 합니다.In the Name field, type GW1-PiP, and then click OK.
  9. VPN 종류Route-based(경로 기반)이 기본으로 선택되어 있습니다.The VPN type should have Route-based selected by default. 이 설정을 유지합니다.Keep this setting.
  10. 구독위치 가 올바른지 확인합니다.Verify that Subscription and Location are correct. 만들기 를 클릭합니다.Click Create.

로컬 네트워크 게이트웨이 만들기Create the local network gateway

로컬 네트워크 게이트웨이 리소스는 VPN 연결의 다른 쪽 끝에 있는 원격 게이트웨이를 식별 합니다.The local network gateway resource identifies the remote gateway at the other end of the VPN connection. 이 예에서 연결의 원격 끝은 Express 경로 라우터의 LAN 하위 인터페이스입니다.For this example, the remote end of the connection is the LAN sub-interface of the ExpressRoute router. 이전 다이어그램에 있는 테 넌 트 1의 경우 원격 주소는 10.60.3.255입니다.For Tenant 1 in the previous diagram, the remote address is 10.60.3.255.

  1. Azure Stack 허브 사용자 포털에 로그인 하 고 + 리소스 만들기 를 선택 합니다.Sign in to the Azure Stack Hub user portal and select + Create a resource.

  2. Azure Marketplace 에서 네트워킹 을 선택 합니다.Under Azure Marketplace, select Networking.

  3. 리소스 목록에서 로컬 네트워크 게이트웨이 를 선택합니다.Select local network gateway from the list of resources.

  4. 이름 필드에 GW 을 입력 합니다.In the Name field, type ER-Router-GW.

  5. IP 주소 필드에 대해서는 위의 그림을 참조 하세요.For the IP address field, see the previous figure. 테 넌 트 1에 대 한 Express 경로 라우터 LAN 하위 인터페이스의 IP 주소는 10.60.3.255입니다.The IP address of the ExpressRoute router LAN sub-interface for Tenant 1 is 10.60.3.255. 자신의 환경에 대해 라우터의 해당 인터페이스에 대 한 IP 주소를 입력 합니다.For your own environment, enter the IP address of your router's corresponding interface.

  6. 주소 공간 필드에 Azure에서 연결 하려는 vnet의 주소 공간을 입력 합니다.In the Address Space field, enter the address space of the VNets that you want to connect to in Azure. 테 넌 트 1에 대 한 서브넷은 다음과 같습니다.The subnets for Tenant 1 are as follows:

    • 192.168.2.0/24는 Azure의 허브 VNet입니다.192.168.2.0/24 is the hub VNet in Azure.
    • 10.100.0.0/16은 Azure의 스포크 VNet입니다.10.100.0.0/16 is the spoke VNet in Azure.

    중요

    이 예에서는 Azure Stack 허브 게이트웨이와 Express 경로 라우터 간의 사이트 간 VPN 연결에 대 한 고정 경로를 사용 하 고 있다고 가정 합니다.This example assumes that you are using static routes for the site-to-site VPN connection between the Azure Stack Hub gateway and the ExpressRoute router.

  7. 구독, 리소스 그룹위치가 올바른지 확인 합니다.Verify that your Subscription, Resource Group, and Location are correct. 그런 다음 만들기 를 선택합니다.Then select Create.

연결 만들기Create the connection

  1. Azure Stack 허브 사용자 포털에서 + 리소스 만들기 를 선택 합니다.In the Azure Stack Hub user portal, select + Create a resource.
  2. Azure Marketplace 에서 네트워킹 을 선택 합니다.Under Azure Marketplace, select Networking.
  3. 리소스 목록에서 연결 을 선택합니다.Select Connection from the list of resources.
  4. 기본 에서 연결 형식 으로 사이트 간 (IPSec) 을 선택 합니다.Under Basics, choose Site-to-site (IPSec) as the Connection type.
  5. 구독, 리소스 그룹위치 를 선택 합니다.Select the Subscription, Resource group, and Location. 확인 을 클릭합니다.Click OK.
  6. 설정 에서 가상 네트워크 게이트웨이 를 선택 하 고 GW1 를 선택 합니다.Under Settings, select Virtual network gateway, and then select GW1.
  7. 로컬 네트워크 게이트웨이 를 선택 하 고 ER Router GW 를 선택 합니다.Select Local network gateway, and then select ER Router GW.
  8. 연결 이름 필드에 connecttoazure 를 입력 합니다.In the Connection name field, enter ConnectToAzure.
  9. 공유 키 (PSK) 필드에 abc123 를 입력 한 다음 확인 을 선택 합니다.In the Shared key (PSK) field, enter abc123 and then select OK.
  10. 요약 에서 확인 을 선택 합니다.Under Summary, select OK.

가상 네트워크 게이트웨이 공용 IP 주소 가져오기Get the virtual network gateway public IP address

가상 네트워크 게이트웨이를 만든 후 게이트웨이의 공용 IP 주소를 가져올 수 있습니다.After you create the virtual network gateway, you can get the gateway's public IP address. 나중에 배포 하는 데 필요한 경우이 주소를 기록해 둡니다.Make a note of this address in case you need it later for your deployment. 배포에 따라이 주소는 내부 IP 주소로 사용 됩니다.Depending on your deployment, this address is used as the Internal IP address.

  1. Azure Stack 허브 사용자 포털에서 모든 리소스 를 선택 합니다.In the Azure Stack Hub user portal, select All resources.
  2. 모든 리소스 에서 가상 네트워크 게이트웨이 (예: GW1 )를 선택 합니다.Under All resources, select the virtual network gateway, which is GW1 in the example.
  3. 가상 네트워크 게이트웨이 아래의 리소스 목록에서 개요 를 선택 합니다.Under Virtual network gateway, select Overview from the list of resources. 또는 속성 을 선택할 수 있습니다.Alternatively, you can select Properties.
  4. 확인 하려는 IP 주소는 공용 ip 주소 아래에 나열 됩니다.The IP address that you want to note is listed under Public IP address. 예제 구성의 경우이 주소는 192.68.102.1입니다.For the example configuration, this address is 192.68.102.1.

VM(가상 머신) 만들기Create a virtual machine (VM)

VPN 연결을 통해 데이터 트래픽을 테스트 하려면 Azure Stack 허브 VNet에서 데이터를 보내고 받을 수 있는 Vm이 필요 합니다.To test data traffic over the VPN connection, you need VMs to send and receive data in the Azure Stack Hub VNet. VM을 만들고 가상 네트워크의 VM 서브넷에 배포 합니다.Create a VM and deploy it to the VM subnet for your virtual network.

  1. Azure Stack 허브 사용자 포털에서 + 리소스 만들기 를 선택 합니다.In the Azure Stack Hub user portal, select + Create a resource.

  2. Azure Marketplace 에서 Compute 를 선택 합니다.Under Azure Marketplace, select Compute.

  3. VM 이미지 목록에서 Windows Server 2016 Datacenter Eval 이미지를 선택 합니다.In the list of VM images, select the Windows Server 2016 Datacenter Eval image.

    참고

    이 문서에 사용 된 이미지를 사용할 수 없는 경우 Azure Stack 허브 운영자에 게 다른 Windows Server 이미지를 제공 하도록 요청 합니다.If the image used for this article is not available, ask your Azure Stack Hub operator to provide a different Windows Server image.

  4. 가상 컴퓨터 만들기 에서 기본 을 선택 하 고 이름 으로 v m 01 을 입력 합니다.In Create virtual machine, select Basics, then type VM01 as the Name.

  5. 올바른 사용자 이름 및 암호를 입력 하십시오.Enter a valid user name and password. VM을 만든 후에이 계정을 사용 하 여 VM에 로그인 합니다.You'll use this account to sign in to the VM after it has been created.

  6. 구독, 리소스 그룹위치 를 제공 합니다.Provide a Subscription, Resource group, and a Location. 확인 을 선택합니다.Select OK.

  7. 크기 선택 에서이 인스턴스에 대 한 VM 크기를 선택한 다음 선택 을 선택 합니다.Under Choose a size, select a VM size for this instance, and then select Select.

  8. 설정 아래에서 다음을 확인 합니다.Under Settings, confirm that:

    • 가상 네트워크는 Tenant1VNet1 입니다.The virtual network is Tenant1VNet1.
    • 서브넷은 10.1.1.0/24 로 설정 됩니다.The subnet is set to 10.1.1.0/24.

    기본 설정을 사용하고 확인 을 클릭합니다.Use the default settings and click OK.

  9. 요약 에서 VM 구성을 검토 한 후 확인 을 클릭 합니다.Under Summary, review the VM configuration and then click OK.

테 넌 트를 더 추가 하려면 다음 섹션에서 수행한 단계를 반복 합니다.To add more tenants, repeat the steps you followed in these sections:

예를 들어 테 넌 트 2를 사용 하는 경우 중복을 방지 하려면 IP 주소를 변경 해야 합니다.If you're using Tenant 2 as an example, remember to change the IP addresses to avoid overlaps.

게이트웨이 트래버스를 위해 NAT VM 구성Configure the NAT VM for gateway traversal

중요

이 섹션은 ASDK 배포에만 해당 됩니다.This section is for ASDK deployments only. NAT는 다중 노드 배포에 필요 하지 않습니다.The NAT is not needed for multi-node deployments.

ASDK은 실제 호스트가 배포 된 네트워크와는 독립적 이며 격리 되어 있습니다.The ASDK is self-contained and isolated from the network where the physical host is deployed. 게이트웨이가 연결 된 VIP 네트워크가 외부에 있지 않습니다. NAT (Network Address Translation)를 수행 하는 라우터 뒤에는 숨겨집니다.The VIP network that the gateways are connected to is not external; it is hidden behind a router performing Network Address Translation (NAT).

라우터는 RRAS (라우팅 및 원격 액세스 서비스) 역할을 실행 하는 ASDK 호스트입니다.The router is the ASDK host running the Routing and Remote Access Services (RRAS) role. 사이트 간 VPN 연결이 양쪽 끝에 연결 하도록 하려면 ASDK 호스트에서 NAT를 구성 해야 합니다.You must configure NAT on the ASDK host to enable the site-to-site VPN connection to connect on both ends.

NAT 구성Configure the NAT

  1. 관리자 계정을 사용 하 여 Azure Stack 허브 호스트 컴퓨터에 로그인 합니다.Sign in to the Azure Stack Hub host computer with your admin account.

  2. 관리자 권한 PowerShell ISE에서 스크립트를 실행 합니다.Run the script in an elevated PowerShell ISE. 이 스크립트는 외부 BGPNAT 주소 를 반환 합니다.This script returns your External BGPNAT address.

    Get-NetNatExternalAddress
    
  3. NAT를 구성 하려면 다음 PowerShell 스크립트를 복사 하 여 편집 합니다.To configure the NAT, copy and edit the following PowerShell script. 스크립트를 편집 하 여 External BGPNAT address 및를 Internal IP address 다음 예제 값으로 바꿉니다.Edit the script to replace the External BGPNAT address and Internal IP address with the following example values:

    • EXTERNAL BGPNAT address 의 경우 10.10.0.62를 사용 합니다.For External BGPNAT address use 10.10.0.62
    • 내부 IP 주소 에 대해 192.168.102.1 사용For Internal IP address use 192.168.102.1

    관리자 권한 PowerShell ISE에서 다음 스크립트를 실행 합니다.Run the following script from an elevated PowerShell ISE:

    $ExtBgpNat = 'External BGPNAT address'
    $IntBgpNat = 'Internal IP address'
    
    # Designate the external NAT address for the ports that use the IKE authentication.
    Add-NetNatExternalAddress `
       -NatName BGPNAT `
       -IPAddress $Using:ExtBgpNat `
       -PortStart 499 `
       -PortEnd 501
    Add-NetNatExternalAddress `
       -NatName BGPNAT `
       -IPAddress $Using:ExtBgpNat `
       -PortStart 4499 `
       -PortEnd 4501
    # Create a static NAT mapping to map the external address to the Gateway public IP address to map the ISAKMP port 500 for PHASE 1 of the IPSEC tunnel.
    Add-NetNatStaticMapping `
       -NatName BGPNAT `
       -Protocol UDP `
       -ExternalIPAddress $Using:ExtBgpNat `
       -InternalIPAddress $Using:IntBgpNat `
       -ExternalPort 500 `
       -InternalPort 500
    # Configure NAT traversal which uses port 4500 to  establish the complete IPSEC tunnel over NAT devices.
    Add-NetNatStaticMapping `
       -NatName BGPNAT `
       -Protocol UDP `
       -ExternalIPAddress $Using:ExtBgpNat `
       -InternalIPAddress $Using:IntBgpNat `
       -ExternalPort 4500 `
       -InternalPort 4500
    

Azure 구성Configure Azure

Azure Stack Hub 구성을 완료 한 후에는 Azure 리소스를 배포할 수 있습니다.After you finish configuring Azure Stack Hub, you can deploy the Azure resources. 다음 그림은 Azure에 있는 테 넌 트 가상 네트워크의 예를 보여 줍니다.The following figure shows an example of a tenant virtual network in Azure. Azure에서 VNet에 대해 임의의 이름 및 주소 지정 구성표를 사용할 수 있습니다.You can use any name and addressing scheme for your VNet in Azure. 그러나 Azure 및 Azure Stack Hub에서 Vnet의 주소 범위는 고유 해야 하며 중복 되지 않아야 합니다.However, the address range of the VNets in Azure and Azure Stack Hub must be unique and must not overlap:

Azure Vnet

Azure에 배포 하는 리소스는 Azure Stack 허브에 배포 된 리소스와 비슷합니다.The resources you deploy in Azure are similar to the resources you deployed in Azure Stack Hub. 다음 구성 요소를 배포 합니다.You deploy the following components:

  • 가상 네트워크 및 서브넷Virtual networks and subnets
  • 게이트웨이 서브넷A gateway subnet
  • 가상 네트워크 게이트웨이A virtual network gateway
  • 연결A connection
  • Express 경로 회로An ExpressRoute circuit

예제 Azure 네트워크 인프라는 다음과 같이 구성 됩니다.The example Azure network infrastructure is configured as follows:

  • 표준 허브 (192.168.2.0/24) 및 스포크 (10.100.0.0) VNet 모델입니다.A standard hub (192.168.2.0/24) and spoke (10.100.0.0./16) VNet model. 허브-스포크 네트워크 토폴로지에 대 한 자세한 내용은 Azure에서 허브-스포크 네트워크 토폴로지 구현을 참조 하세요.For more information about hub-spoke network topology, see Implement a hub-spoke network topology in Azure.
  • 작업은 스포크 VNet에 배포 되 고 Express 경로 회로는 허브 VNet에 연결 됩니다.The workloads are deployed in the spoke VNet and the ExpressRoute circuit is connected to the hub VNet.
  • 두 Vnet는 VNet 피어 링을 사용 하 여 연결 됩니다.The two VNets are connected using VNet peering.

Azure Vnet 구성Configure the Azure VNets

  1. Azure 자격 증명을 사용 하 여 Azure Portal에 로그인 합니다.Sign in to the Azure portal with your Azure credentials.
  2. 192.168.2.0/24 주소 범위를 사용 하 여 허브 VNet을 만듭니다.Create the hub VNet using the 192.168.2.0/24 address range.
  3. 192.168.2.0/25 주소 범위를 사용 하 여 서브넷을 만들고 192.168.2.128/27 주소 범위를 사용 하 여 게이트웨이 서브넷을 추가 합니다.Create a subnet using the 192.168.2.0/25 address range, and add a gateway subnet using the 192.168.2.128/27 address range.
  4. 10.100.0.0/16 주소 범위를 사용 하 여 스포크 VNet 및 서브넷을 만듭니다.Create the spoke VNet and subnet using the 10.100.0.0/16 address range.

Azure에서 가상 네트워크를 만드는 방법에 대 한 자세한 내용은 가상 네트워크 만들기를 참조 하세요.For more information about creating virtual networks in Azure, see Create a virtual network.

Express 경로 회로 구성Configure an ExpressRoute circuit

  1. Express 경로 전제 조건 & 검사 목록에서 express 경로 구성 요소를 검토 합니다.Review the ExpressRoute prerequisites in ExpressRoute prerequisites & checklist.

  2. Express 경로 회로 만들기 및 수정 의 단계에 따라 Azure 구독을 사용 하 여 express 경로 회로를 만듭니다.Follow the steps in Create and modify an ExpressRoute circuit to create an ExpressRoute circuit using your Azure subscription.

    참고

    회로에 대 한 서비스 키를 서비스에 제공 하 여 끝점에서 Express 경로 회로를 설정할 수 있습니다.Give the service key for your circuit to your service so they can set up your ExpressRoute circuit at their end.

  3. Express 경로 회로에 대 한 피어 링 만들기 및 수정 의 단계에 따라 express 경로 회로에서 개인 피어 링을 구성 합니다.Follow the steps in Create and modify peering for an ExpressRoute circuit to configure private peering on the ExpressRoute circuit.

가상 네트워크 게이트웨이 만들기Create the virtual network gateway

PowerShell을 사용 하 여 express 경로에 대 한 가상 네트워크 게이트웨이 구성 의 단계에 따라 허브 VNet에서 express 경로에 대 한 가상 네트워크 게이트웨이를 만듭니다.Follow the steps in Configure a virtual network gateway for ExpressRoute using PowerShell to create a virtual network gateway for ExpressRoute in the hub VNet.

연결 만들기Create the connection

Express 경로 회로를 허브 VNet에 연결 하려면 express 경로 회로에 가상 네트워크 연결의 단계를 따르세요.To link the ExpressRoute circuit to the hub VNet, follow the steps in Connect a virtual network to an ExpressRoute circuit.

VNet 피어링Peer the VNets

Azure Portal를 사용 하 여 가상 네트워크 피어 링 만들기의 단계를 사용 하 여 허브 및 스포크 vnet를 피어 링 합니다.Peer the hub and spoke VNets using the steps in Create a virtual network peering using the Azure portal. VNet 피어 링을 구성 하는 경우 다음 옵션을 사용 해야 합니다.When configuring VNet peering, make sure you use the following options:

  • 허브에서 스포크로 게이트웨이가 전송 되도록 허용 합니다.From the hub to the spoke, Allow gateway transit.
  • 스포크에서 허브로 원격 게이트웨이를 사용 합니다.From the spoke to the hub, Use remote gateway.

가상 머신 만들기Create a virtual machine

작업 Vm을 스포크 VNet에 배포 합니다.Deploy your workload VMs into the spoke VNet.

각 Express 경로 회로를 통해 Azure에서 연결 하려는 추가 테 넌 트 Vnet 대해 이러한 단계를 반복 합니다.Repeat these steps for any additional tenant VNets you want to connect in Azure through their respective ExpressRoute circuits.

라우터 구성Configure the router

Express 경로 라우터를 구성 하기 위한 가이드로 다음 Express 경로 구성 다이어그램을 사용할 수 있습니다.You can use the following ExpressRoute router configuration diagram as a guide for configuring your ExpressRoute Router. 이 그림은 각 Express 경로 회로를 포함 하는 두 개의 테 넌 트 1 및 테 넌 트 2를 보여 줍니다.This figure shows two tenants (Tenant 1 and Tenant 2) with their respective ExpressRoute circuits. 각 테 넌 트는 Express 경로 라우터의 LAN 및 WAN 쪽에서 자신의 VRF (가상 라우팅 및 전달)에 연결 됩니다.Each tenant is linked to their own VRF (Virtual Routing and Forwarding) in the LAN and WAN side of the ExpressRoute router. 이 구성은 두 테 넌 트 간의 종단 간 격리를 보장 합니다.This configuration ensures end-to-end isolation between the two tenants. 구성 예제에서와 같이 라우터 인터페이스에 사용 된 IP 주소를 기록해 둡니다.Take note of the IP addresses used in the router interfaces as you follow the configuration example.

Express 경로 라우터 구성

IKEv2 VPN 및 BGP를 지 원하는 라우터를 사용 하 여 Azure Stack 허브에서 사이트 간 VPN 연결을 종료할 수 있습니다.You can use any router that supports IKEv2 VPN and BGP to terminate the site-to-site VPN connection from Azure Stack Hub. 동일한 라우터는 Express 경로 회로를 사용 하 여 Azure에 연결 하는 데 사용 됩니다.The same router is used to connect to Azure using an ExpressRoute circuit.

다음 Cisco ASR 1000 시리즈 집계 서비스 라우터 구성 예제는 express 경로 라우터 구성 다이어그램에 표시 된 네트워크 인프라를 지원 합니다.The following Cisco ASR 1000 Series Aggregation Services Router configuration example supports the network infrastructure shown in the ExpressRoute router configuration diagram.

ip vrf Tenant 1
 description Routing Domain for PRIVATE peering to Azure for Tenant 1
 rd 1:1
!
ip vrf Tenant 2
 description Routing Domain for PRIVATE peering to Azure for Tenant 2
 rd 1:5
!
crypto ikev2 proposal V2-PROPOSAL2
description IKEv2 proposal for Tenant 1
encryption aes-cbc-256
 integrity sha256
 group 2
crypto ikev2 proposal V4-PROPOSAL2
description IKEv2 proposal for Tenant 2
encryption aes-cbc-256
 integrity sha256
 group 2
!
crypto ikev2 policy V2-POLICY2
description IKEv2 Policy for Tenant 1
match fvrf Tenant 1
 match address local 10.60.3.255
 proposal V2-PROPOSAL2
description IKEv2 Policy for Tenant 2
crypto ikev2 policy V4-POLICY2
 match fvrf Tenant 2
 match address local 10.60.3.251
 proposal V4-PROPOSAL2
!
crypto ikev2 profile V2-PROFILE
description IKEv2 profile for Tenant 1
match fvrf Tenant 1
 match address local 10.60.3.255
 match identity remote any
 authentication remote pre-share key abc123
 authentication local pre-share key abc123
 ivrf Tenant 1
!
crypto ikev2 profile V4-PROFILE
description IKEv2 profile for Tenant 2
 match fvrf Tenant 2
 match address local 10.60.3.251
 match identity remote any
 authentication remote pre-share key abc123
 authentication local pre-share key abc123
 ivrf Tenant 2
!
crypto ipsec transform-set V2-TRANSFORM2 esp-gcm 256
 mode tunnel
crypto ipsec transform-set V4-TRANSFORM2 esp-gcm 256
 mode tunnel
!
crypto ipsec profile V2-PROFILE
 set transform-set V2-TRANSFORM2
 set ikev2-profile V2-PROFILE
!
crypto ipsec profile V4-PROFILE
 set transform-set V4-TRANSFORM2
 set ikev2-profile V4-PROFILE
!
interface Tunnel10
description S2S VPN Tunnel for Tenant 1
 ip vrf forwarding Tenant 1
 ip address 11.0.0.2 255.255.255.252
 ip tcp adjust-mss 1350
 tunnel source TenGigabitEthernet0/1/0.211
 tunnel mode ipsec ipv4
 tunnel destination 10.10.0.62
 tunnel vrf Tenant 1
 tunnel protection ipsec profile V2-PROFILE
!
interface Tunnel20
description S2S VPN Tunnel for Tenant 2
 ip vrf forwarding Tenant 2
 ip address 11.0.0.2 255.255.255.252
 ip tcp adjust-mss 1350
 tunnel source TenGigabitEthernet0/1/0.213
 tunnel mode ipsec ipv4
 tunnel destination 10.10.0.62
 tunnel vrf VNET3
 tunnel protection ipsec profile V4-PROFILE
!
interface GigabitEthernet0/0/1
 description PRIMARY ExpressRoute Link to AZURE over Equinix
 no ip address
 negotiation auto
!
interface GigabitEthernet0/0/1.100
description Primary WAN interface of Tenant 1
 description PRIMARY ER link supporting Tenant 1 to Azure
 encapsulation dot1Q 101
 ip vrf forwarding Tenant 1
 ip address 192.168.1.1 255.255.255.252
!
interface GigabitEthernet0/0/1.102
description Primary WAN interface of Tenant 2
 description PRIMARY ER link supporting Tenant 2 to Azure
 encapsulation dot1Q 102
 ip vrf forwarding Tenant 2
 ip address 192.168.1.17 255.255.255.252
!
interface GigabitEthernet0/0/2
 description BACKUP ExpressRoute Link to AZURE over Equinix
 no ip address
 negotiation auto
!
interface GigabitEthernet0/0/2.100
description Secondary WAN interface of Tenant 1
 description BACKUP ER link supporting Tenant 1 to Azure
 encapsulation dot1Q 101
 ip vrf forwarding Tenant 1
 ip address 192.168.1.5 255.255.255.252
!
interface GigabitEthernet0/0/2.102
description Secondary WAN interface of Tenant 2
description BACKUP ER link supporting Tenant 2 to Azure
 encapsulation dot1Q 102
 ip vrf forwarding Tenant 2
 ip address 192.168.1.21 255.255.255.252
!
interface TenGigabitEthernet0/1/0
 description Downlink to ---Port 1/47
 no ip address
!
interface TenGigabitEthernet0/1/0.211
 description LAN interface of Tenant 1
description Downlink to --- Port 1/47.211
 encapsulation dot1Q 211
 ip vrf forwarding Tenant 1
 ip address 10.60.3.255 255.255.255.254
!
interface TenGigabitEthernet0/1/0.213
description LAN interface of Tenant 2
 description Downlink to --- Port 1/47.213
 encapsulation dot1Q 213
 ip vrf forwarding Tenant 2
 ip address 10.60.3.251 255.255.255.254
!
router bgp 65530
 bgp router-id <removed>
 bgp log-neighbor-changes
 description BGP neighbor config and route advertisement for Tenant 1 VRF
 address-family ipv4 vrf Tenant 1
  network 10.1.0.0 mask 255.255.0.0
  network 10.60.3.254 mask 255.255.255.254
  network 192.168.1.0 mask 255.255.255.252
  network 192.168.1.4 mask 255.255.255.252
  neighbor 10.10.0.62 remote-as 65100
  neighbor 10.10.0.62 description VPN-BGP-PEER-for-Tenant 1
  neighbor 10.10.0.62 ebgp-multihop 5
  neighbor 10.10.0.62 activate
  neighbor 10.60.3.254 remote-as 4232570301
  neighbor 10.60.3.254 description LAN peer for CPEC:INET:2112 VRF
  neighbor 10.60.3.254 activate
  neighbor 10.60.3.254 route-map BLOCK-ALL out
  neighbor 192.168.1.2 remote-as 12076
  neighbor 192.168.1.2 description PRIMARY ER peer for Tenant 1 to Azure
  neighbor 192.168.1.2 ebgp-multihop 5
  neighbor 192.168.1.2 activate
  neighbor 192.168.1.2 soft-reconfiguration inbound
  neighbor 192.168.1.2 route-map Tenant 1-ONLY out
  neighbor 192.168.1.6 remote-as 12076
  neighbor 192.168.1.6 description BACKUP ER peer for Tenant 1 to Azure
  neighbor 192.168.1.6 ebgp-multihop 5
  neighbor 192.168.1.6 activate
  neighbor 192.168.1.6 soft-reconfiguration inbound
  neighbor 192.168.1.6 route-map Tenant 1-ONLY out
  maximum-paths 8
 exit-address-family
 !
description BGP neighbor config and route advertisement for Tenant 2 VRF
address-family ipv4 vrf Tenant 2
  network 10.1.0.0 mask 255.255.0.0
  network 10.60.3.250 mask 255.255.255.254
  network 192.168.1.16 mask 255.255.255.252
  network 192.168.1.20 mask 255.255.255.252
  neighbor 10.10.0.62 remote-as 65300
  neighbor 10.10.0.62 description VPN-BGP-PEER-for-Tenant 2
  neighbor 10.10.0.62 ebgp-multihop 5
  neighbor 10.10.0.62 activate
  neighbor 10.60.3.250 remote-as 4232570301
  neighbor 10.60.3.250 description LAN peer for CPEC:INET:2112 VRF
  neighbor 10.60.3.250 activate
  neighbor 10.60.3.250 route-map BLOCK-ALL out
  neighbor 192.168.1.18 remote-as 12076
  neighbor 192.168.1.18 description PRIMARY ER peer for Tenant 2 to Azure
  neighbor 192.168.1.18 ebgp-multihop 5
  neighbor 192.168.1.18 activate
  neighbor 192.168.1.18 soft-reconfiguration inbound
  neighbor 192.168.1.18 route-map VNET-ONLY out
  neighbor 192.168.1.22 remote-as 12076
  neighbor 192.168.1.22 description BACKUP ER peer for Tenant 2 to Azure
  neighbor 192.168.1.22 ebgp-multihop 5
  neighbor 192.168.1.22 activate
  neighbor 192.168.1.22 soft-reconfiguration inbound
  neighbor 192.168.1.22 route-map VNET-ONLY out
  maximum-paths 8
 exit-address-family
!
ip forward-protocol nd
!
ip as-path access-list 1 permit ^$
ip route vrf Tenant 1 10.1.0.0 255.255.0.0 Tunnel10
ip route vrf Tenant 2 10.1.0.0 255.255.0.0 Tunnel20
!
ip prefix-list BLOCK-ALL seq 5 deny 0.0.0.0/0 le 32
!
route-map BLOCK-ALL permit 10
 match ip address prefix-list BLOCK-ALL
!
route-map VNET-ONLY permit 10
 match as-path 1
!

연결 테스트Test the connection

사이트 간 연결 및 Express 경로 회로를 설정한 후 연결을 테스트 합니다.Test your connection after you establish the site-to-site connection and the ExpressRoute circuit.

다음 ping 테스트를 수행 합니다.Perform the following ping tests:

  • Azure VNet의 Vm 중 하나에 로그인 하 고 Azure Stack Hub에서 만든 VM을 ping 합니다.Sign in to one of the VMs in your Azure VNet and ping the VM you created in Azure Stack Hub.
  • Azure Stack Hub에서 만든 vm 중 하나에 로그인 하 고 Azure VNet에서 만든 VM을 ping 합니다.Sign in to one of the VMs you created in Azure Stack Hub and ping the VM you created in the Azure VNet.

참고

사이트 간 및 Express 경로 연결을 통해 트래픽을 전송 하 고 있는지 확인 하려면 VM의 VIP 주소가 아니라 양쪽 끝에서 VM의 DIP (전용 IP) 주소를 ping 해야 합니다.To make sure you are sending traffic over the site-to-site and ExpressRoute connections, you must ping the dedicated IP (DIP) address of the VM at both ends and not the VIP address of the VM.

방화벽을 통해에서 ICMP 허용Allow ICMP in through the firewall

기본적으로 Windows Server 2016에서는 방화벽을 통해 들어오는 ICMP 패킷을 허용 하지 않습니다.By default, Windows Server 2016 does not allow incoming ICMP packets through the firewall. Ping 테스트에 사용 하는 모든 VM에 대해 들어오는 ICMP 패킷을 허용 해야 합니다.For every VM that you use for ping tests, you must allow incoming ICMP packets. ICMP에 대 한 방화벽 규칙을 만들려면 관리자 권한 PowerShell 창에서 다음 cmdlet을 실행 합니다.To create a firewall rule for ICMP, run the following cmdlet in an elevated PowerShell window:

# Create ICMP firewall rule.
New-NetFirewallRule `
  -DisplayName "Allow ICMPv4-In" `
  -Protocol ICMPv4

Azure Stack 허브 VM PingPing the Azure Stack Hub VM

  1. Azure Stack 허브 사용자 포털에 로그인 합니다.Sign in to the Azure Stack Hub user portal.

  2. 만든 VM을 찾아 선택 합니다.Find the VM that you created and select it.

  3. 연결 을 선택합니다.Select Connect.

  4. 관리자 권한 Windows 또는 PowerShell 명령 프롬프트에서 ipconfig/all 을 입력 합니다.From an elevated Windows or PowerShell command prompt, enter ipconfig /all. 출력에서 반환 된 IPv4 주소를 확인 합니다.Note the IPv4 address returned in the output.

  5. Azure VNet의 VM에서 IPv4 주소를 Ping 합니다.Ping the IPv4 address from the VM in the Azure VNet.

    예제 환경에서 IPv4 주소는 10.1.1/24 서브넷에 있습니다.In the example environment, the IPv4 address is from the 10.1.1.x/24 subnet. 사용자 환경에서 주소는 다를 수 있지만 테 넌 트 VNet 서브넷에 대해 만든 서브넷에 있어야 합니다.In your environment, the address might be different, but it should be in the subnet you created for the tenant VNet subnet.

데이터 전송 통계 보기View data transfer statistics

연결을 통해 전달 되는 트래픽 양을 확인 하려면 Azure Stack 허브 사용자 포털에서이 정보를 찾을 수 있습니다.If you want to know how much traffic is passing through your connection, you can find this information on the Azure Stack Hub user portal. 또한 데이터 전송 통계를 보면 ping 테스트 데이터가 VPN 및 Express 경로 연결을 통해 수행 되었는지 여부를 확인 하는 좋은 방법입니다.Viewing data transfer statistics is also a good way to find out whether or not your ping test data went through the VPN and ExpressRoute connections:

  1. Azure Stack 허브 사용자 포털에 로그인 하 고 모든 리소스 를 선택 합니다.Sign in to the Azure Stack Hub user portal and select All resources.
  2. VPN Gateway에 대 한 리소스 그룹으로 이동 하 고 연결 개체 유형을 선택 합니다.Navigate to the resource group for your VPN Gateway and select the Connection object type.
  3. 목록에서 Connecttoazure 연결을 선택 합니다.Select the ConnectToAzure connection from the list.
  4. 연결 > 개요 에서 데이터데이터 출력 에 대 한 통계를 볼 수 있습니다. 0이 아닌 일부 값이 표시 됩니다.Under Connections > Overview, you can see statistics for Data in and Data out. You should see some non-zero values.

다음 단계Next steps

Azure 및 Azure Stack Hub에 앱 배포Deploy apps to Azure and Azure Stack Hub