Conectar o Azure Stack Hub ao Azure usando o Azure ExpressRouteConnect Azure Stack Hub to Azure using Azure ExpressRoute

Este artigo descreve como conectar uma rede virtual do hub de Azure Stack a uma rede virtual do Azure usando uma conexão Microsoft Azure ExpressRoute direta.This article describes how to connect an Azure Stack Hub virtual network to an Azure virtual network using a Microsoft Azure ExpressRoute direct connection.

Você pode usar este artigo como um tutorial e usar os exemplos para configurar o mesmo ambiente de teste.You can use this article as a tutorial and use the examples to set up the same test environment. Ou então, você pode ler o artigo como uma explicação, que orienta você durante a configuração de seu próprio ambiente de ExpressRoute.Or, you can read the article as a walkthrough that guides you through setting up your own ExpressRoute environment.

Visão geral, suposições e pré-requisitosOverview, assumptions, and prerequisites

O Azure ExpressRoute permite que você estenda suas redes locais para a nuvem da Microsoft por meio de uma conexão privada fornecida por um provedor de conectividade.Azure ExpressRoute lets you extend your on-premises networks into the Microsoft cloud over a private connection supplied by a connectivity provider. O ExpressRoute não é uma conexão VPN pela Internet pública.ExpressRoute is not a VPN connection over the public internet.

Para obter mais informações sobre o Azure ExpressRoute, consulte visão geral do expressroute.For more information about Azure ExpressRoute, see the ExpressRoute overview.

SuposiçõesAssumptions

Este artigo supõe que:This article assumes that:

  • Você tem um conhecimento prático do Azure.You have a working knowledge of Azure.
  • Você tem um entendimento básico do hub de Azure Stack.You have a basic understanding of Azure Stack Hub.
  • Você tem uma compreensão básica da rede.You have a basic understanding of networking.

Pré-requisitosPrerequisites

Para conectar Azure Stack Hub e o Azure usando o ExpressRoute, você deve atender aos seguintes requisitos:To connect Azure Stack Hub and Azure using ExpressRoute, you must meet the following requirements:

  • Um circuito do ExpressRoute provisionado por meio de um provedor de conectividade.A provisioned ExpressRoute circuit through a connectivity provider.
  • Uma assinatura do Azure para criar um circuito do ExpressRoute e VNets no Azure.An Azure subscription to create an ExpressRoute circuit and VNets in Azure.
  • Um roteador que deve:A router that must:
    • Suporte a conexões VPN site a site entre sua interface LAN e Azure Stack gateway multilocatário do Hub.Support site-to-site VPN connections between its LAN interface and Azure Stack Hub multi-tenant gateway.
    • Suporte à criação de vários VRFs (roteamento e encaminhamento virtual) se houver mais de um locatário em sua implantação de Hub de Azure Stack.Support creating multiple VRFs (Virtual Routing and Forwarding) if there is more than one tenant in your Azure Stack Hub deployment.
  • Um roteador que tem:A router that has:
    • Uma porta WAN conectada ao circuito do ExpressRoute.A WAN port connected to the ExpressRoute circuit.
    • Uma porta de LAN conectada ao gateway de multilocatário do hub de Azure Stack.A LAN port connected to the Azure Stack Hub multi-tenant gateway.

Arquitetura de rede do ExpressRouteExpressRoute network architecture

A figura a seguir mostra o Hub de Azure Stack e os ambientes do Azure depois de concluir a configuração do ExpressRoute usando os exemplos neste artigo:The following figure shows the Azure Stack Hub and Azure environments after you finish setting up ExpressRoute using the examples in this article:

Rede ExpressRoute

A figura a seguir mostra como vários locatários se conectam da infraestrutura de Hub de Azure Stack por meio do roteador de ExpressRoute para o Azure:The following figure shows how multiple tenants connect from the Azure Stack Hub infrastructure through the ExpressRoute router to Azure:

Conexões multilocatário com ExpressRoute

O exemplo neste artigo usa a mesma arquitetura multilocatário mostrada neste diagrama para se conectar Azure Stack Hub ao Azure usando o emparelhamento privado do ExpressRoute.The example in this article uses the same multi-tenant architecture shown in this diagram to connect Azure Stack Hub to Azure using ExpressRoute private peering. A conexão é feita usando uma conexão VPN site a site do gateway de rede virtual no Hub Azure Stack para um roteador de ExpressRoute.The connection is done using a site-to-site VPN connection from the virtual network gateway in Azure Stack Hub to an ExpressRoute router.

As etapas neste artigo mostram como criar uma conexão de ponta a ponta entre dois VNets de dois locatários diferentes no Hub Azure Stack para o VNets correspondente no Azure.The steps in this article show you how to create an end-to-end connection between two VNets from two different tenants in Azure Stack Hub to corresponding VNets in Azure. A configuração de dois locatários é opcional; Você também pode usar essas etapas para um único locatário.Setting up two tenants is optional; you can also use these steps for a single tenant.

Configurar o Hub de Azure StackConfigure Azure Stack Hub

Para configurar o ambiente de Hub de Azure Stack para o primeiro locatário, use as etapas a seguir como guia.To set up the Azure Stack Hub environment for the first tenant, use the following steps as a guide. Se você estiver configurando mais de um locatário, repita estas etapas:If you're setting up more than one tenant, repeat these steps:

Observação

Estas etapas mostram como criar recursos usando o portal do hub de Azure Stack, mas você também pode usar o PowerShell.These steps show how to create resources using the Azure Stack Hub portal, but you can also use PowerShell.

Configuração de rede de Hub de Azure Stack

Antes de começarBefore you begin

Antes de começar a configurar o Hub de Azure Stack, você precisa:Before you start configuring Azure Stack Hub, you need:

Criar recursos de rede no Hub Azure StackCreate network resources in Azure Stack Hub

Use os procedimentos a seguir para criar os recursos de rede necessários no Hub Azure Stack para um locatário.Use the following procedures to create the required network resources in Azure Stack Hub for a tenant.

Criar a rede virtual e sub-rede de VMCreate the virtual network and VM subnet

  1. Entre no portal do usuário do hub de Azure Stack.Sign in to the Azure Stack Hub user portal.

  2. No portal, selecione + criar um recurso.In the portal, select + Create a resource.

  3. Em Azure Marketplace, selecione rede.Under Azure Marketplace, select Networking.

  4. Em em destaque, selecione rede virtual.Under Featured, select Virtual network.

  5. Em criar rede virtual, insira os valores mostrados na tabela a seguir nos campos apropriados:Under Create virtual network, enter the values shown in the following table into the appropriate fields:

    CampoField ValorValue
    NomeName Tenant1VNet1Tenant1VNet1
    Espaço de endereçoAddress space 10.1.0.0/1610.1.0.0/16
    Nome da sub-redeSubnet name Tenant1-Sub1Tenant1-Sub1
    Intervalo de endereços da sub-redeSubnet address range 10.1.1.0/2410.1.1.0/24
  6. Você deve ver a assinatura criada anteriormente preenchida no campo assinatura .You should see the subscription you created earlier populated in the Subscription field. Para os campos restantes:For the remaining fields:

    • Em grupo de recursos, selecione criar novo para criar um novo grupo de recursos ou, se você já tiver um, selecione usar existente.Under Resource group, select Create new to create a new resource group or if you already have one, select Use existing.
    • Verifique o localpadrão.Verify the default Location.
    • Clique em Criar.Click Create.
    • Adicional Clique em fixar no painel.(Optional) Click Pin to dashboard.

Criar a sub-rede de gatewayCreate the gateway subnet

  1. Em rede virtual, selecione Tenant1VNet1.Under Virtual network, select Tenant1VNet1.
  2. Em CONFIGURAÇÕES, selecione Sub-redes.Under SETTINGS, select Subnets.
  3. Selecione + sub-rede de gateway para adicionar uma sub-rede de gateway à rede virtual.Select + Gateway subnet to add a gateway subnet to the virtual network.
  4. O nome da sub-rede é definido como Sub-rede de Gateway por padrão.The name of the subnet is set to GatewaySubnet by default. As sub-redes de gateway são um caso especial e devem usar esse nome para funcionar corretamente.Gateway subnets are a special case and must use this name to function correctly.
  5. Verifique se o intervalo de endereços é 10.1.0.0/24.Verify that the Address range is 10.1.0.0/24.
  6. Clique em OK para criar a sub-rede de gateway.Click OK to create the gateway subnet.

Criar o gateway de rede virtualCreate the virtual network gateway

  1. No portal do usuário do hub de Azure Stack, clique em + criar um recurso.In the Azure Stack Hub user portal, click + Create a resource.
  2. Em Azure Marketplace, selecione rede.Under Azure Marketplace, select Networking.
  3. Selecione Gateway de Rede Virtual na lista de recursos de rede.Select Virtual network gateway from the list of network resources.
  4. No campo nome , insira GW1.In the Name field, enter GW1.
  5. Selecione Rede virtual.Select Virtual network.
  6. Selecione Tenant1VNet1 na lista suspensa.Select Tenant1VNet1 from the drop-down list.
  7. Selecione endereço IP público, escolha endereço IP públicoe, em seguida, clique em criar novo.Select Public IP address, then Choose public IP address, and then click Create new.
  8. No campo nome , digite GW1-Pipe clique em OK.In the Name field, type GW1-PiP, and then click OK.
  9. O Tipo de VPN deve ter Baseado em rota selecionado por padrão.The VPN type should have Route-based selected by default. Mantenha essa configuração.Keep this setting.
  10. Verifique se Assinatura e Local estão corretos.Verify that Subscription and Location are correct. Clique em Criar.Click Create.

Criar o gateway de rede localCreate the local network gateway

O recurso de gateway de rede local identifica o gateway remoto na outra extremidade da conexão VPN.The local network gateway resource identifies the remote gateway at the other end of the VPN connection. Para este exemplo, a extremidade remota da conexão é a subinterface de LAN do roteador de ExpressRoute.For this example, the remote end of the connection is the LAN sub-interface of the ExpressRoute router. Para o locatário 1 no diagrama anterior, o endereço remoto é 10.60.3.255.For Tenant 1 in the previous diagram, the remote address is 10.60.3.255.

  1. Entre no portal do usuário do hub de Azure Stack e selecione + criar um recurso.Sign in to the Azure Stack Hub user portal and select + Create a resource.

  2. Em Azure Marketplace, selecione rede.Under Azure Marketplace, select Networking.

  3. Selecione gateway de rede local na lista de recursos.Select local network gateway from the list of resources.

  4. No campo nome , digite er-router-GW.In the Name field, type ER-Router-GW.

  5. Para o campo endereço IP , consulte a figura anterior.For the IP address field, see the previous figure. O endereço IP da subinterface de LAN do roteador do ExpressRoute para o locatário 1 é 10.60.3.255.The IP address of the ExpressRoute router LAN sub-interface for Tenant 1 is 10.60.3.255. Para seu próprio ambiente, insira o endereço IP da interface correspondente do roteador.For your own environment, enter the IP address of your router's corresponding interface.

  6. No campo espaço de endereço , insira o espaço de endereço do VNets ao qual você deseja se conectar no Azure.In the Address Space field, enter the address space of the VNets that you want to connect to in Azure. As sub-redes do locatário 1 são as seguintes:The subnets for Tenant 1 are as follows:

    • 192.168.2.0/24 é a VNet do Hub no Azure.192.168.2.0/24 is the hub VNet in Azure.
    • 10.100.0.0/16 é a VNet do spoke no Azure.10.100.0.0/16 is the spoke VNet in Azure.

    Importante

    Este exemplo pressupõe que você está usando rotas estáticas para a conexão VPN site a site entre o gateway de Hub de Azure Stack e o roteador de ExpressRoute.This example assumes that you are using static routes for the site-to-site VPN connection between the Azure Stack Hub gateway and the ExpressRoute router.

  7. Verifique se sua assinatura, grupo de recursose local estão corretos.Verify that your Subscription, Resource Group, and Location are correct. Em seguida, selecione Criar.Then select Create.

Criar a conexãoCreate the connection

  1. No portal do usuário do Azure Stack Hub, selecione + criar um recurso.In the Azure Stack Hub user portal, select + Create a resource.
  2. Em Azure Marketplace, selecione rede.Under Azure Marketplace, select Networking.
  3. Selecione Conexão na lista de recursos.Select Connection from the list of resources.
  4. Em noções básicas, escolha site a site (IPSec) como o tipo de conexão.Under Basics, choose Site-to-site (IPSec) as the Connection type.
  5. Selecione a assinatura, o grupo de recursose o local.Select the Subscription, Resource group, and Location. Clique em OK.Click OK.
  6. Em configurações, selecione Gateway de rede virtuale, em seguida, selecione GW1.Under Settings, select Virtual network gateway, and then select GW1.
  7. Selecione Gateway de rede locale, em seguida, selecione roteador er GW.Select Local network gateway, and then select ER Router GW.
  8. No campo nome da conexão , digite ConnectToAzure.In the Connection name field, enter ConnectToAzure.
  9. No campo chave compartilhada (PSK) , insira abc123 e, em seguida, selecione OK.In the Shared key (PSK) field, enter abc123 and then select OK.
  10. Em Resumo, selecione OK.Under Summary, select OK.

Obter o endereço IP público do gateway de rede virtualGet the virtual network gateway public IP address

Depois de criar o gateway de rede virtual, você pode obter o endereço IP público do gateway.After you create the virtual network gateway, you can get the gateway's public IP address. Anote esse endereço caso você precise dele posteriormente para sua implantação.Make a note of this address in case you need it later for your deployment. Dependendo da sua implantação, esse endereço é usado como o endereço IP interno.Depending on your deployment, this address is used as the Internal IP address.

  1. No portal do usuário do Azure Stack Hub, selecione todos os recursos.In the Azure Stack Hub user portal, select All resources.
  2. Em todos os recursos, selecione o gateway de rede virtual, que é GW1 no exemplo.Under All resources, select the virtual network gateway, which is GW1 in the example.
  3. Em Gateway de rede virtual, selecione visão geral na lista de recursos.Under Virtual network gateway, select Overview from the list of resources. Como alternativa, você pode selecionar Propriedades.Alternatively, you can select Properties.
  4. O endereço IP que você deseja observar está listado em endereço IP público.The IP address that you want to note is listed under Public IP address. Para a configuração de exemplo, esse endereço é 192.68.102.1.For the example configuration, this address is 192.68.102.1.

Criar uma VM (máquina virtual)Create a virtual machine (VM)

Para testar o tráfego de dados pela conexão VPN, você precisa de VMs para enviar e receber dados na VNet do hub de Azure Stack.To test data traffic over the VPN connection, you need VMs to send and receive data in the Azure Stack Hub VNet. Crie uma VM e implante-a na sub-rede da VM para sua rede virtual.Create a VM and deploy it to the VM subnet for your virtual network.

  1. No portal do usuário do Azure Stack Hub, selecione + criar um recurso.In the Azure Stack Hub user portal, select + Create a resource.

  2. Em Azure Marketplace, selecione computação.Under Azure Marketplace, select Compute.

  3. Na lista de imagens de VM, selecione a imagem de avaliação do Windows Server 2016 datacenter .In the list of VM images, select the Windows Server 2016 Datacenter Eval image.

    Observação

    Se a imagem usada para este artigo não estiver disponível, peça ao operador de Hub de Azure Stack para fornecer uma imagem diferente do Windows Server.If the image used for this article is not available, ask your Azure Stack Hub operator to provide a different Windows Server image.

  4. Em criar máquina virtual, selecione básicoe, em seguida, digite VM01 como o nome.In Create virtual machine, select Basics, then type VM01 as the Name.

  5. Insira um nome de usuário e uma senha válidos.Enter a valid user name and password. Você usará essa conta para entrar na VM depois que ela tiver sido criada.You'll use this account to sign in to the VM after it has been created.

  6. Forneça uma assinatura, um grupo de recursose um local.Provide a Subscription, Resource group, and a Location. Selecione OK.Select OK.

  7. Em escolher um tamanho, selecione um tamanho de VM para essa instância e selecione selecionar.Under Choose a size, select a VM size for this instance, and then select Select.

  8. Em configurações, confirme que:Under Settings, confirm that:

    • A rede virtual é Tenant1VNet1.The virtual network is Tenant1VNet1.
    • A sub-rede é definida como 10.1.1.0/24.The subnet is set to 10.1.1.0/24.

    Use as configurações padrão e clique em OK.Use the default settings and click OK.

  9. Em Resumo, examine a configuração da VM e clique em OK.Under Summary, review the VM configuration and then click OK.

Para adicionar mais locatários, repita as etapas seguidas nestas seções:To add more tenants, repeat the steps you followed in these sections:

Se você estiver usando o locatário 2 como um exemplo, lembre-se de alterar os endereços IP para evitar sobreposições.If you're using Tenant 2 as an example, remember to change the IP addresses to avoid overlaps.

Configurar a VM NAT para percurso de gatewayConfigure the NAT VM for gateway traversal

Importante

Esta seção destina-se apenas a implantações ASDK.This section is for ASDK deployments only. O NAT não é necessário para implantações de vários nós.The NAT is not needed for multi-node deployments.

O ASDK é independente e isolado da rede onde o host físico é implantado.The ASDK is self-contained and isolated from the network where the physical host is deployed. A rede VIP à qual os gateways estão conectados não é externa; Ele fica oculto atrás de um roteador que executa a NAT (conversão de endereços de rede).The VIP network that the gateways are connected to is not external; it is hidden behind a router performing Network Address Translation (NAT).

O roteador é o host ASDK que executa a função RRAS (serviços de roteamento e acesso remoto).The router is the ASDK host running the Routing and Remote Access Services (RRAS) role. Você deve configurar o NAT no host ASDK para habilitar a conexão VPN site a site para se conectar em ambas as extremidades.You must configure NAT on the ASDK host to enable the site-to-site VPN connection to connect on both ends.

Configurar o NATConfigure the NAT

  1. Entre no computador host do hub de Azure Stack com sua conta de administrador.Sign in to the Azure Stack Hub host computer with your admin account.

  2. Execute o script em um ISE do PowerShell com privilégios elevados.Run the script in an elevated PowerShell ISE. Esse script retorna o endereço BGPNAT externo.This script returns your External BGPNAT address.

    Get-NetNatExternalAddress
    
  3. Para configurar o NAT, copie e edite o seguinte script do PowerShell.To configure the NAT, copy and edit the following PowerShell script. Edite o script para substituir o External BGPNAT address e Internal IP address com os seguintes valores de exemplo:Edit the script to replace the External BGPNAT address and Internal IP address with the following example values:

    • Para o endereço BGPNAT externo , use 10.10.0.62For External BGPNAT address use 10.10.0.62
    • Para o endereço IP interno , use 192.168.102.1For Internal IP address use 192.168.102.1

    Execute o seguinte script de um ISE do PowerShell elevado:Run the following script from an elevated PowerShell ISE:

    $ExtBgpNat = 'External BGPNAT address'
    $IntBgpNat = 'Internal IP address'
    
    # Designate the external NAT address for the ports that use the IKE authentication.
    Add-NetNatExternalAddress `
       -NatName BGPNAT `
       -IPAddress $Using:ExtBgpNat `
       -PortStart 499 `
       -PortEnd 501
    Add-NetNatExternalAddress `
       -NatName BGPNAT `
       -IPAddress $Using:ExtBgpNat `
       -PortStart 4499 `
       -PortEnd 4501
    # Create a static NAT mapping to map the external address to the Gateway public IP address to map the ISAKMP port 500 for PHASE 1 of the IPSEC tunnel.
    Add-NetNatStaticMapping `
       -NatName BGPNAT `
       -Protocol UDP `
       -ExternalIPAddress $Using:ExtBgpNat `
       -InternalIPAddress $Using:IntBgpNat `
       -ExternalPort 500 `
       -InternalPort 500
    # Configure NAT traversal which uses port 4500 to  establish the complete IPSEC tunnel over NAT devices.
    Add-NetNatStaticMapping `
       -NatName BGPNAT `
       -Protocol UDP `
       -ExternalIPAddress $Using:ExtBgpNat `
       -InternalIPAddress $Using:IntBgpNat `
       -ExternalPort 4500 `
       -InternalPort 4500
    

Configurar o AzureConfigure Azure

Depois de concluir a configuração do hub de Azure Stack, você poderá implantar os recursos do Azure.After you finish configuring Azure Stack Hub, you can deploy the Azure resources. A figura a seguir mostra um exemplo de uma rede virtual de locatário no Azure.The following figure shows an example of a tenant virtual network in Azure. Você pode usar qualquer nome e esquema de endereçamento para sua VNet no Azure.You can use any name and addressing scheme for your VNet in Azure. No entanto, o intervalo de endereços do VNets no Azure e no Hub de Azure Stack deve ser exclusivo e não deve se sobrepor:However, the address range of the VNets in Azure and Azure Stack Hub must be unique and must not overlap:

VNets do Azure

Os recursos que você implanta no Azure são semelhantes aos recursos implantados no Hub Azure Stack.The resources you deploy in Azure are similar to the resources you deployed in Azure Stack Hub. Você implanta os seguintes componentes:You deploy the following components:

  • Redes virtuais e sub-redesVirtual networks and subnets
  • Uma sub-rede de gatewayA gateway subnet
  • Um gateway de rede virtualA virtual network gateway
  • Uma conexãoA connection
  • Um circuito do ExpressRouteAn ExpressRoute circuit

A infraestrutura de rede do Azure de exemplo é configurada da seguinte maneira:The example Azure network infrastructure is configured as follows:

  • Um modelo de VNet de Hub padrão (192.168.2.0/24) e spoke (10.100.0.0./16).A standard hub (192.168.2.0/24) and spoke (10.100.0.0./16) VNet model. Para obter mais informações sobre a topologia de rede hub-spoke, consulte implementar uma topologia de rede hub-spoke no Azure.For more information about hub-spoke network topology, see Implement a hub-spoke network topology in Azure.
  • As cargas de trabalho são implantadas na VNet do spoke e o circuito do ExpressRoute é conectado à VNet do Hub.The workloads are deployed in the spoke VNet and the ExpressRoute circuit is connected to the hub VNet.
  • Os dois VNets são conectados usando o emparelhamento VNet.The two VNets are connected using VNet peering.

Configurar o VNets do AzureConfigure the Azure VNets

  1. Entre no portal do Azure com suas credenciais do Azure.Sign in to the Azure portal with your Azure credentials.
  2. Crie a VNet do Hub usando o intervalo de endereços 192.168.2.0/24.Create the hub VNet using the 192.168.2.0/24 address range.
  3. Crie uma sub-rede usando o intervalo de endereços 192.168.2.0/25 e adicione uma sub-rede de gateway usando o intervalo de endereços 192.168.2.128/27.Create a subnet using the 192.168.2.0/25 address range, and add a gateway subnet using the 192.168.2.128/27 address range.
  4. Crie a VNet e a sub-rede do spoke usando o intervalo de endereços 10.100.0.0/16.Create the spoke VNet and subnet using the 10.100.0.0/16 address range.

Para obter mais informações sobre como criar redes virtuais no Azure, consulte criar uma rede virtual.For more information about creating virtual networks in Azure, see Create a virtual network.

Configurar um circuito do ExpressRouteConfigure an ExpressRoute circuit

  1. Examine os pré-requisitos do ExpressRoute nos pré-requisitos do expressroute & lista de verificação.Review the ExpressRoute prerequisites in ExpressRoute prerequisites & checklist.

  2. Siga as etapas em criar e modificar um circuito do expressroute para criar um circuito do expressroute usando sua assinatura do Azure.Follow the steps in Create and modify an ExpressRoute circuit to create an ExpressRoute circuit using your Azure subscription.

    Observação

    Forneça a chave de serviço para seu circuito para o seu serviço para que ele possa configurar o circuito do ExpressRoute no final deles.Give the service key for your circuit to your service so they can set up your ExpressRoute circuit at their end.

  3. Siga as etapas em criar e modificar o emparelhamento de um circuito do expressroute para configurar o emparelhamento privado no circuito do expressroute.Follow the steps in Create and modify peering for an ExpressRoute circuit to configure private peering on the ExpressRoute circuit.

Criar o gateway de rede virtualCreate the virtual network gateway

Siga as etapas em configurar um gateway de rede virtual para o expressroute usando o PowerShell para criar um gateway de rede virtual para o Expressroute na VNet do Hub.Follow the steps in Configure a virtual network gateway for ExpressRoute using PowerShell to create a virtual network gateway for ExpressRoute in the hub VNet.

Criar a conexãoCreate the connection

Para vincular o circuito do ExpressRoute à VNet do Hub, siga as etapas em conectar uma rede virtual a um circuito do expressroute.To link the ExpressRoute circuit to the hub VNet, follow the steps in Connect a virtual network to an ExpressRoute circuit.

Emparelhar as redes virtuaisPeer the VNets

Emparelhar o Hub e o spoke VNets usando as etapas em criar um emparelhamento de rede virtual usando o portal do Azure.Peer the hub and spoke VNets using the steps in Create a virtual network peering using the Azure portal. Ao configurar o emparelhamento VNet, verifique se você usa as seguintes opções:When configuring VNet peering, make sure you use the following options:

  • Do hub para o spoke, permita o trânsito do gateway.From the hub to the spoke, Allow gateway transit.
  • Do spoke ao Hub, use o gateway remoto.From the spoke to the hub, Use remote gateway.

Criar uma máquina virtualCreate a virtual machine

Implante suas VMs de carga de trabalho na VNet do spoke.Deploy your workload VMs into the spoke VNet.

Repita essas etapas para qualquer VNets de locatário adicional que você deseja conectar no Azure por meio de seus respectivos circuitos do ExpressRoute.Repeat these steps for any additional tenant VNets you want to connect in Azure through their respective ExpressRoute circuits.

Configurar o roteadorConfigure the router

Você pode usar o diagrama de configuração do roteador ExpressRoute a seguir como um guia para configurar o roteador do ExpressRoute.You can use the following ExpressRoute router configuration diagram as a guide for configuring your ExpressRoute Router. Esta figura mostra dois locatários (locatário 1 e locatário 2) com seus respectivos circuitos do ExpressRoute.This figure shows two tenants (Tenant 1 and Tenant 2) with their respective ExpressRoute circuits. Cada locatário é vinculado a seu próprio VRF (roteamento virtual e encaminhamento) no lado da LAN e da WAN do roteador de ExpressRoute.Each tenant is linked to their own VRF (Virtual Routing and Forwarding) in the LAN and WAN side of the ExpressRoute router. Essa configuração garante o isolamento de ponta a ponta entre os dois locatários.This configuration ensures end-to-end isolation between the two tenants. Anote os endereços IP usados nas interfaces do roteador enquanto você segue o exemplo de configuração.Take note of the IP addresses used in the router interfaces as you follow the configuration example.

Configuração do roteador do ExpressRoute

Você pode usar qualquer roteador que dê suporte a VPN IKEv2 e BGP para encerrar a conexão VPN site a site do Azure Stack Hub.You can use any router that supports IKEv2 VPN and BGP to terminate the site-to-site VPN connection from Azure Stack Hub. O mesmo roteador é usado para se conectar ao Azure usando um circuito do ExpressRoute.The same router is used to connect to Azure using an ExpressRoute circuit.

O exemplo de configuração de roteador dos serviços de agregação da Cisco ASR 1000 Series a seguir dá suporte à infraestrutura de rede mostrada no diagrama de configuração do roteador ExpressRoute .The following Cisco ASR 1000 Series Aggregation Services Router configuration example supports the network infrastructure shown in the ExpressRoute router configuration diagram.

ip vrf Tenant 1
 description Routing Domain for PRIVATE peering to Azure for Tenant 1
 rd 1:1
!
ip vrf Tenant 2
 description Routing Domain for PRIVATE peering to Azure for Tenant 2
 rd 1:5
!
crypto ikev2 proposal V2-PROPOSAL2
description IKEv2 proposal for Tenant 1
encryption aes-cbc-256
 integrity sha256
 group 2
crypto ikev2 proposal V4-PROPOSAL2
description IKEv2 proposal for Tenant 2
encryption aes-cbc-256
 integrity sha256
 group 2
!
crypto ikev2 policy V2-POLICY2
description IKEv2 Policy for Tenant 1
match fvrf Tenant 1
 match address local 10.60.3.255
 proposal V2-PROPOSAL2
description IKEv2 Policy for Tenant 2
crypto ikev2 policy V4-POLICY2
 match fvrf Tenant 2
 match address local 10.60.3.251
 proposal V4-PROPOSAL2
!
crypto ikev2 profile V2-PROFILE
description IKEv2 profile for Tenant 1
match fvrf Tenant 1
 match address local 10.60.3.255
 match identity remote any
 authentication remote pre-share key abc123
 authentication local pre-share key abc123
 ivrf Tenant 1
!
crypto ikev2 profile V4-PROFILE
description IKEv2 profile for Tenant 2
 match fvrf Tenant 2
 match address local 10.60.3.251
 match identity remote any
 authentication remote pre-share key abc123
 authentication local pre-share key abc123
 ivrf Tenant 2
!
crypto ipsec transform-set V2-TRANSFORM2 esp-gcm 256
 mode tunnel
crypto ipsec transform-set V4-TRANSFORM2 esp-gcm 256
 mode tunnel
!
crypto ipsec profile V2-PROFILE
 set transform-set V2-TRANSFORM2
 set ikev2-profile V2-PROFILE
!
crypto ipsec profile V4-PROFILE
 set transform-set V4-TRANSFORM2
 set ikev2-profile V4-PROFILE
!
interface Tunnel10
description S2S VPN Tunnel for Tenant 1
 ip vrf forwarding Tenant 1
 ip address 11.0.0.2 255.255.255.252
 ip tcp adjust-mss 1350
 tunnel source TenGigabitEthernet0/1/0.211
 tunnel mode ipsec ipv4
 tunnel destination 10.10.0.62
 tunnel vrf Tenant 1
 tunnel protection ipsec profile V2-PROFILE
!
interface Tunnel20
description S2S VPN Tunnel for Tenant 2
 ip vrf forwarding Tenant 2
 ip address 11.0.0.2 255.255.255.252
 ip tcp adjust-mss 1350
 tunnel source TenGigabitEthernet0/1/0.213
 tunnel mode ipsec ipv4
 tunnel destination 10.10.0.62
 tunnel vrf VNET3
 tunnel protection ipsec profile V4-PROFILE
!
interface GigabitEthernet0/0/1
 description PRIMARY ExpressRoute Link to AZURE over Equinix
 no ip address
 negotiation auto
!
interface GigabitEthernet0/0/1.100
description Primary WAN interface of Tenant 1
 description PRIMARY ER link supporting Tenant 1 to Azure
 encapsulation dot1Q 101
 ip vrf forwarding Tenant 1
 ip address 192.168.1.1 255.255.255.252
!
interface GigabitEthernet0/0/1.102
description Primary WAN interface of Tenant 2
 description PRIMARY ER link supporting Tenant 2 to Azure
 encapsulation dot1Q 102
 ip vrf forwarding Tenant 2
 ip address 192.168.1.17 255.255.255.252
!
interface GigabitEthernet0/0/2
 description BACKUP ExpressRoute Link to AZURE over Equinix
 no ip address
 negotiation auto
!
interface GigabitEthernet0/0/2.100
description Secondary WAN interface of Tenant 1
 description BACKUP ER link supporting Tenant 1 to Azure
 encapsulation dot1Q 101
 ip vrf forwarding Tenant 1
 ip address 192.168.1.5 255.255.255.252
!
interface GigabitEthernet0/0/2.102
description Secondary WAN interface of Tenant 2
description BACKUP ER link supporting Tenant 2 to Azure
 encapsulation dot1Q 102
 ip vrf forwarding Tenant 2
 ip address 192.168.1.21 255.255.255.252
!
interface TenGigabitEthernet0/1/0
 description Downlink to ---Port 1/47
 no ip address
!
interface TenGigabitEthernet0/1/0.211
 description LAN interface of Tenant 1
description Downlink to --- Port 1/47.211
 encapsulation dot1Q 211
 ip vrf forwarding Tenant 1
 ip address 10.60.3.255 255.255.255.254
!
interface TenGigabitEthernet0/1/0.213
description LAN interface of Tenant 2
 description Downlink to --- Port 1/47.213
 encapsulation dot1Q 213
 ip vrf forwarding Tenant 2
 ip address 10.60.3.251 255.255.255.254
!
router bgp 65530
 bgp router-id <removed>
 bgp log-neighbor-changes
 description BGP neighbor config and route advertisement for Tenant 1 VRF
 address-family ipv4 vrf Tenant 1
  network 10.1.0.0 mask 255.255.0.0
  network 10.60.3.254 mask 255.255.255.254
  network 192.168.1.0 mask 255.255.255.252
  network 192.168.1.4 mask 255.255.255.252
  neighbor 10.10.0.62 remote-as 65100
  neighbor 10.10.0.62 description VPN-BGP-PEER-for-Tenant 1
  neighbor 10.10.0.62 ebgp-multihop 5
  neighbor 10.10.0.62 activate
  neighbor 10.60.3.254 remote-as 4232570301
  neighbor 10.60.3.254 description LAN peer for CPEC:INET:2112 VRF
  neighbor 10.60.3.254 activate
  neighbor 10.60.3.254 route-map BLOCK-ALL out
  neighbor 192.168.1.2 remote-as 12076
  neighbor 192.168.1.2 description PRIMARY ER peer for Tenant 1 to Azure
  neighbor 192.168.1.2 ebgp-multihop 5
  neighbor 192.168.1.2 activate
  neighbor 192.168.1.2 soft-reconfiguration inbound
  neighbor 192.168.1.2 route-map Tenant 1-ONLY out
  neighbor 192.168.1.6 remote-as 12076
  neighbor 192.168.1.6 description BACKUP ER peer for Tenant 1 to Azure
  neighbor 192.168.1.6 ebgp-multihop 5
  neighbor 192.168.1.6 activate
  neighbor 192.168.1.6 soft-reconfiguration inbound
  neighbor 192.168.1.6 route-map Tenant 1-ONLY out
  maximum-paths 8
 exit-address-family
 !
description BGP neighbor config and route advertisement for Tenant 2 VRF
address-family ipv4 vrf Tenant 2
  network 10.1.0.0 mask 255.255.0.0
  network 10.60.3.250 mask 255.255.255.254
  network 192.168.1.16 mask 255.255.255.252
  network 192.168.1.20 mask 255.255.255.252
  neighbor 10.10.0.62 remote-as 65300
  neighbor 10.10.0.62 description VPN-BGP-PEER-for-Tenant 2
  neighbor 10.10.0.62 ebgp-multihop 5
  neighbor 10.10.0.62 activate
  neighbor 10.60.3.250 remote-as 4232570301
  neighbor 10.60.3.250 description LAN peer for CPEC:INET:2112 VRF
  neighbor 10.60.3.250 activate
  neighbor 10.60.3.250 route-map BLOCK-ALL out
  neighbor 192.168.1.18 remote-as 12076
  neighbor 192.168.1.18 description PRIMARY ER peer for Tenant 2 to Azure
  neighbor 192.168.1.18 ebgp-multihop 5
  neighbor 192.168.1.18 activate
  neighbor 192.168.1.18 soft-reconfiguration inbound
  neighbor 192.168.1.18 route-map VNET-ONLY out
  neighbor 192.168.1.22 remote-as 12076
  neighbor 192.168.1.22 description BACKUP ER peer for Tenant 2 to Azure
  neighbor 192.168.1.22 ebgp-multihop 5
  neighbor 192.168.1.22 activate
  neighbor 192.168.1.22 soft-reconfiguration inbound
  neighbor 192.168.1.22 route-map VNET-ONLY out
  maximum-paths 8
 exit-address-family
!
ip forward-protocol nd
!
ip as-path access-list 1 permit ^$
ip route vrf Tenant 1 10.1.0.0 255.255.0.0 Tunnel10
ip route vrf Tenant 2 10.1.0.0 255.255.0.0 Tunnel20
!
ip prefix-list BLOCK-ALL seq 5 deny 0.0.0.0/0 le 32
!
route-map BLOCK-ALL permit 10
 match ip address prefix-list BLOCK-ALL
!
route-map VNET-ONLY permit 10
 match as-path 1
!

Testar a conexãoTest the connection

Teste a conexão depois de estabelecer a conexão site a site e o circuito do ExpressRoute.Test your connection after you establish the site-to-site connection and the ExpressRoute circuit.

Execute os seguintes testes de ping:Perform the following ping tests:

  • Entre em uma das VMs na VNet do Azure e execute o comando ping na VM que você criou no Hub Azure Stack.Sign in to one of the VMs in your Azure VNet and ping the VM you created in Azure Stack Hub.
  • Entre em uma das VMs que você criou no Hub Azure Stack e execute o comando ping na VM que você criou na VNet do Azure.Sign in to one of the VMs you created in Azure Stack Hub and ping the VM you created in the Azure VNet.

Observação

Para certificar-se de que você está enviando tráfego pelas conexões site a site e ExpressRoute, você deve executar ping no endereço IP dedicado (DIP) da VM em ambas as extremidades e não no endereço VIP da VM.To make sure you are sending traffic over the site-to-site and ExpressRoute connections, you must ping the dedicated IP (DIP) address of the VM at both ends and not the VIP address of the VM.

Permitir ICMP por meio do firewallAllow ICMP in through the firewall

Por padrão, o Windows Server 2016 não permite pacotes ICMP de entrada por meio do firewall.By default, Windows Server 2016 does not allow incoming ICMP packets through the firewall. Para cada VM que você usa para testes de ping, você deve permitir pacotes ICMP de entrada.For every VM that you use for ping tests, you must allow incoming ICMP packets. Para criar uma regra de firewall para ICMP, execute o seguinte cmdlet em uma janela do PowerShell com privilégios elevados:To create a firewall rule for ICMP, run the following cmdlet in an elevated PowerShell window:

# Create ICMP firewall rule.
New-NetFirewallRule `
  -DisplayName "Allow ICMPv4-In" `
  -Protocol ICMPv4

Executar ping na VM do hub de Azure StackPing the Azure Stack Hub VM

  1. Entre no portal do usuário do hub de Azure Stack.Sign in to the Azure Stack Hub user portal.

  2. Localize a VM que você criou e selecione-a.Find the VM that you created and select it.

  3. Selecione Conectar.Select Connect.

  4. Em um prompt de comando do Windows ou PowerShell elevado, insira ipconfig/all.From an elevated Windows or PowerShell command prompt, enter ipconfig /all. Observe o endereço IPv4 retornado na saída.Note the IPv4 address returned in the output.

  5. Execute ping no endereço IPv4 da VM na VNet do Azure.Ping the IPv4 address from the VM in the Azure VNet.

    No ambiente de exemplo, o endereço IPv4 é da sub-rede 10.1.1. x/24.In the example environment, the IPv4 address is from the 10.1.1.x/24 subnet. Em seu ambiente, o endereço pode ser diferente, mas deve estar na sub-rede que você criou para a sub-rede VNet do locatário.In your environment, the address might be different, but it should be in the subnet you created for the tenant VNet subnet.

Exibir estatísticas de transferência de dadosView data transfer statistics

Se você quiser saber a quantidade de tráfego que está passando pela conexão, poderá encontrar essas informações no portal do usuário do hub de Azure Stack.If you want to know how much traffic is passing through your connection, you can find this information on the Azure Stack Hub user portal. A exibição de estatísticas de transferência de dados também é uma boa maneira de descobrir se os dados de teste de ping foram ou não por meio das conexões VPN e ExpressRoute:Viewing data transfer statistics is also a good way to find out whether or not your ping test data went through the VPN and ExpressRoute connections:

  1. Entre no portal do usuário do hub de Azure Stack e selecione todos os recursos.Sign in to the Azure Stack Hub user portal and select All resources.
  2. Navegue até o grupo de recursos para seu gateway de VPN e selecione o tipo de objeto de conexão .Navigate to the resource group for your VPN Gateway and select the Connection object type.
  3. Selecione a conexão ConnectToAzure na lista.Select the ConnectToAzure connection from the list.
  4. Em Connections > visão geraldas conexões, você pode ver as estatísticas de entrada e saídade dados. Você deve ver alguns valores diferentes de zero.Under Connections > Overview, you can see statistics for Data in and Data out. You should see some non-zero values.

Próximas etapasNext steps

Implantar aplicativos no Azure e no Hub de Azure StackDeploy apps to Azure and Azure Stack Hub