Ligar uma rede no local ao Azure através do ExpressRouteConnect an on-premises network to Azure using ExpressRoute

Esta arquitetura de referência mostra como ligar uma rede no local a redes virtuais no Azure, com o Microsoft Azure ExpressRoute.This reference architecture shows how to connect an on-premises network to virtual networks on Azure, using Azure ExpressRoute. As ligações do ExpressRoute utilizam uma ligação privada dedicada através de um fornecedor de conectividade de terceiros.ExpressRoute connections use a private, dedicated connection through a third-party connectivity provider. A ligação privada expande a sua rede no local no Azure.The private connection extends your on-premises network into Azure. Implementar esta solução.Deploy this solution.

00

Transferir um ficheiro do Visio desta arquitetura.Download a Visio file of this architecture.

ArquiteturaArchitecture

A arquitetura é composta pelos seguintes componentes.The architecture consists of the following components.

  • Rede empresarial no local.On-premises corporate network. Uma rede de área local privada em execução numa organização.A private local-area network running within an organization.

  • Circuito do ExpressRoute.ExpressRoute circuit. Um circuito de duas ou três camadas disponibilizado pelo fornecedor de conectividade que associa a rede no local ao Azure através dos routers de periferia.A layer 2 or layer 3 circuit supplied by the connectivity provider that joins the on-premises network with Azure through the edge routers. O circuito utiliza a infraestrutura de hardware gerida pelo fornecedor de conectividade.The circuit uses the hardware infrastructure managed by the connectivity provider.

  • Routers de periferia locais.Local edge routers. Os routers que ligam a rede no local ao circuito gerido pelo fornecedor.Routers that connect the on-premises network to the circuit managed by the provider. Consoante a forma como a ligação é aprovisionada, pode ter de fornecer os endereços IP públicos utilizados pelos routers.Depending on how your connection is provisioned, you may need to provide the public IP addresses used by the routers.

  • Routers de periferia da Microsoft.Microsoft edge routers. Dois routers numa configuração de elevada disponibilidade no modo ativo-ativo.Two routers in an active-active highly available configuration. Estes routers permitem que um fornecedor de conectividade ligue os circuitos diretamente ao datacenter.These routers enable a connectivity provider to connect their circuits directly to their datacenter. Consoante a forma como a ligação é aprovisionada, pode ter de fornecer os endereços IP públicos utilizados pelos routers.Depending on how your connection is provisioned, you may need to provide the public IP addresses used by the routers.

  • Redes virtuais (VNets) do Azure.Azure virtual networks (VNets). Cada VNet reside numa única região do Azure e pode alojar várias camadas da aplicação.Each VNet resides in a single Azure region, and can host multiple application tiers. As camadas da aplicação podem ser segmentadas com sub-redes em cada VNet.Application tiers can be segmented using subnets in each VNet.

  • Serviços público do Azure.Azure public services. Os serviços do Azure que podem ser utilizados numa aplicação híbrida.Azure services that can be used within a hybrid application. Estes serviços também estão disponíveis através da Internet, mas o acesso aos mesmos com um circuito do ExpressRoute proporciona uma baixa latência e um desempenho mais previsível, uma vez que o tráfego não passa pela Internet.These services are also available over the Internet, but accessing them using an ExpressRoute circuit provides low latency and more predictable performance, because traffic does not go through the Internet. As ligações são realizadas através do peering público, com endereços pertencentes à sua organização ou fornecidos pelo seu fornecedor de conectividade.Connections are performed using public peering, with addresses that are either owned by your organization or supplied by your connectivity provider.

  • Serviços do Office 365.Office 365 services. Os serviços e as aplicações do Office 365 fornecidos publicamente pela Microsoft.The publicly available Office 365 applications and services provided by Microsoft. As ligações são realizadas através do peering da Microsoft, com endereços pertencentes à sua organização ou fornecidos pelo seu fornecedor de conectividade.Connections are performed using Microsoft peering, with addresses that are either owned by your organization or supplied by your connectivity provider. Também pode ligar-se diretamente ao Microsoft CRM Online através do peering da Microsoft.You can also connect directly to Microsoft CRM Online through Microsoft peering.

  • Fornecedores de conetividade (não mostrados).Connectivity providers (not shown). As empresas que fornecem uma ligação através de uma conectividade de camada 2 ou camada 3 entre o datacenter e um datacenter do Azure.Companies that provide a connection either using layer 2 or layer 3 connectivity between your datacenter and an Azure datacenter.

RecomendaçõesRecommendations

As recomendações seguintes aplicam-se à maioria dos cenários.The following recommendations apply for most scenarios. Siga-as, a não ser que tenha requisitos específicos que as anulem.Follow these recommendations unless you have a specific requirement that overrides them.

Fornecedores de conetividadeConnectivity providers

Selecione um fornecedor de conectividade do ExpressRoute adequado para a sua localização.Select a suitable ExpressRoute connectivity provider for your location. Para obter uma lista de fornecedores de conectividade disponíveis na sua localização, utilize o seguinte comando do Azure PowerShell:To get a list of connectivity providers available at your location, use the following Azure PowerShell command:

Get-AzureRmExpressRouteServiceProvider

Os fornecedores de conectividade do ExpressRoute ligam o seu datacenter à Microsoft das seguintes formas:ExpressRoute connectivity providers connect your datacenter to Microsoft in the following ways:

  • Localizado conjuntamente numa troca de cloud.Co-located at a cloud exchange. Se estiver localizado conjuntamente num local com uma troca de cloud, poderá organizar ligações cruzadas virtuais para o Azure através da troca de Ethernet do fornecedor de localização conjunta.If you're co-located in a facility with a cloud exchange, you can order virtual cross-connections to Azure through the co-location provider’s Ethernet exchange. Os fornecedores de localização conjunta podem oferecer ligações cruzadas de camada 2 ou ligações cruzadas de camada 3 geridas entre a sua infraestrutura na localização conjunta e o Azure.Co-location providers can offer either layer 2 cross-connections, or managed layer 3 cross-connections between your infrastructure in the co-location facility and Azure.
  • Ligações de Ethernet ponto a ponto.Point-to-point Ethernet connections. Pode ligar os datacenters/escritórios no local ao Azure através de ligações de Ethernet ponto a ponto.You can connect your on-premises datacenters/offices to Azure through point-to-point Ethernet links. Os fornecedores de Ethernet ponto a ponto podem oferecer ligações de camada 2 ou ligações de camada 3 geridas entre o seu site e o Azure.Point-to-point Ethernet providers can offer layer 2 connections, or managed layer 3 connections between your site and Azure.
  • Redes qualquer a qualquer (VPN de IP).Any-to-any (IPVPN) networks. Pode integrar a sua rede alargada (WAN) com o Azure.You can integrate your wide area network (WAN) with Azure. Os fornecedores de rede privada virtual de protocolo Internet (VPN de IP) (normalmente uma VPN de comutação de etiqueta multiprotocolo) oferecem uma conectividade qualquer a qualquer entre as suas sucursais e os datacenters.Internet protocol virtual private network (IPVPN) providers (typically a multiprotocol label switching VPN) offer any-to-any connectivity between your branch offices and datacenters. O Azure pode ser interligado à WAN para torná-la mais semelhante a qualquer outra sucursal.Azure can be interconnected to your WAN to make it look just like any other branch office. Os fornecedores de WAN oferecem normalmente uma conectividade de camada 3 gerida.WAN providers typically offer managed layer 3 connectivity.

Para obter mais informações sobre os fornecedores de conectividade, veja a Descrição geral do ExpressRoute.For more information about connectivity providers, see the ExpressRoute introduction.

Circuito do ExpressRouteExpressRoute circuit

Confirme se a sua organização cumpre os requisitos necessários do ExpressRoute para se ligar ao Azure.Ensure that your organization has met the ExpressRoute prerequisite requirements for connecting to Azure.

Se ainda não o fez, adicione uma sub-rede designada GatewaySubnet à VNet do Azure e crie um gateway de rede virtual do ExpressRoute com o serviço de gateway de VPN do Azure.If you haven't already done so, add a subnet named GatewaySubnet to your Azure VNet and create an ExpressRoute virtual network gateway using the Azure VPN gateway service. Para obter mais informações sobre este processo, veja Fluxos de trabalho do ExpressRoute do aprovisionamento do circuito e estados do circuito.For more information about this process, see ExpressRoute workflows for circuit provisioning and circuit states.

Crie um circuito do ExpressRoute da seguinte forma:Create an ExpressRoute circuit as follows:

  1. Execute o seguinte comando do PowerShell:Run the following PowerShell command:

    New-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>> -Location <<location>> -SkuTier <<sku-tier>> -SkuFamily <<sku-family>> -ServiceProviderName <<service-provider-name>> -PeeringLocation <<peering-location>> -BandwidthInMbps <<bandwidth-in-mbps>>
    
  2. Envie a ServiceKey do novo circuito ao fornecedor de serviços.Send the ServiceKey for the new circuit to the service provider.

  3. Aguarde até que o fornecedor aprovisione o circuito.Wait for the provider to provision the circuit. Para verificar o estado de aprovisionamento de um circuito, execute o seguinte comando do PowerShell:To verify the provisioning state of a circuit, run the following PowerShell command:

    Get-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    

    O campo Provisioning state na secção Service Provider da saída vai mudar de NotProvisioned para Provisioned quando o circuito estiver pronto.The Provisioning state field in the Service Provider section of the output will change from NotProvisioned to Provisioned when the circuit is ready.

    Nota

    Se estiver a utilizar uma ligação de camada 3, o fornecedor deverá configurar e gerir o encaminhamento por si.If you're using a layer 3 connection, the provider should configure and manage routing for you. Forneça as informações necessárias para ativar o fornecedor para implementar as rotas adequadas.You provide the information necessary to enable the provider to implement the appropriate routes.

  4. Se estiver a utilizar uma ligação de camada 2:If you're using a layer 2 connection:

    1. Reserve duas sub-redes /30 compostas por endereços IP públicos válidos para cada tipo de peering que pretende implementar.Reserve two /30 subnets composed of valid public IP addresses for each type of peering you want to implement. Estas sub-redes /30 vão ser utilizadas para fornecer endereços IP aos routers utilizados para o circuito.These /30 subnets will be used to provide IP addresses for the routers used for the circuit. Se estiver a implementar o peering privado, público e da Microsoft, vai precisar de seis sub-redes /30 com endereços IP públicos válidos.If you are implementing private, public, and Microsoft peering, you'll need 6 /30 subnets with valid public IP addresses.

    2. Configure o encaminhamento do circuito do ExpressRoute.Configure routing for the ExpressRoute circuit. Execute os comandos do PowerShell seguintes para cada tipo de peering que pretende configurar (privado, público e Microsoft).Run the following PowerShell commands for each type of peering you want to configure (private, public, and Microsoft). Para obter mais informações, veja Criar e modificar o encaminhamento de um circuito do ExpressRoute.For more information, see Create and modify routing for an ExpressRoute circuit.

      Set-AzureRmExpressRouteCircuitPeeringConfig -Name <<peering-name>> -Circuit <<circuit-name>> -PeeringType <<peering-type>> -PeerASN <<peer-asn>> -PrimaryPeerAddressPrefix <<primary-peer-address-prefix>> -SecondaryPeerAddressPrefix <<secondary-peer-address-prefix>> -VlanId <<vlan-id>>
      
      Set-AzureRmExpressRouteCircuit -ExpressRouteCircuit <<circuit-name>>
      
    3. Reserve outro conjunto de endereços IP públicos válidos a utilizar na tradução de endereços de rede (NAT) para o peering público e peering da Microsoft.Reserve another pool of valid public IP addresses to use for network address translation (NAT) for public and Microsoft peering. É recomendado ter um conjunto diferente para cada peering.It is recommended to have a different pool for each peering. Especifique o conjunto para o seu fornecedor de conectividade, para que possa configurar os anúncios do BGP (Border Gateway Protocol) para esses intervalos.Specify the pool to your connectivity provider, so they can configure border gateway protocol (BGP) advertisements for those ranges.

  5. Execute os comandos PowerShell seguintes para ligar as suas VNets privadas ao circuito do ExpressRoute.Run the following PowerShell commands to link your private VNet(s) to the ExpressRoute circuit. Para obter mais informações, veja Ligar uma rede virtual a um circuito do ExpressRoute.For more information,see Link a virtual network to an ExpressRoute circuit.

    $circuit = Get-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    $gw = Get-AzureRmVirtualNetworkGateway -Name <<gateway-name>> -ResourceGroupName <<resource-group>>
    New-AzureRmVirtualNetworkGatewayConnection -Name <<connection-name>> -ResourceGroupName <<resource-group>> -Location <<location> -VirtualNetworkGateway1 $gw -PeerId $circuit.Id -ConnectionType ExpressRoute
    

Pode ligar várias VNets localizadas em regiões diferentes ao mesmo circuito do ExpressRoute, desde que todas as VNets e o circuito do ExpressRoute estejam localizados na mesma região geopolítica.You can connect multiple VNets located in different regions to the same ExpressRoute circuit, as long as all VNets and the ExpressRoute circuit are located within the same geopolitical region.

Resolução de problemasTroubleshooting

Se um circuito do ExpressRoute anteriormente funcional não conseguir agora estabelecer ligação, não tendo ocorrido nenhuma alteração na configuração no local ou na VNet privada, poderá ter de contactar o fornecedor de conectividade e trabalhar com este para corrigir o problema.If a previously functioning ExpressRoute circuit now fails to connect, in the absence of any configuration changes on-premises or within your private VNet, you may need to contact the connectivity provider and work with them to correct the issue. Utilize os comandos do Powershell seguintes para verificar se o circuito do ExpressRoute foi aprovisionado:Use the following Powershell commands to verify that the ExpressRoute circuit has been provisioned:

Get-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>

O resultado deste comando mostra várias propriedades do circuito, incluindo ProvisioningState, CircuitProvisioningState e ServiceProviderProvisioningState, conforme mostrado abaixo.The output of this command shows several properties for your circuit, including ProvisioningState, CircuitProvisioningState, and ServiceProviderProvisioningState as shown below.

ProvisioningState                : Succeeded
Sku                              : {
                                     "Name": "Standard_MeteredData",
                                     "Tier": "Standard",
                                     "Family": "MeteredData"
                                   }
CircuitProvisioningState         : Enabled
ServiceProviderProvisioningState : NotProvisioned

Se ProvisioningState não estiver definido como Succeeded depois de ter tentado criar um circuito novo, remova o circuito com o comando abaixo e tente criá-lo novamente.If the ProvisioningState is not set to Succeeded after you tried to create a new circuit, remove the circuit by using the command below and try to create it again.

Remove-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>

Se o circuito já tiver sido aprovisionado pelo e ProvisioningState estiver definido como Failed ou se CircuitProvisioningState não for Enabled, contacte o fornecedor para obter assistência.If your provider had already provisioned the circuit, and the ProvisioningState is set to Failed, or the CircuitProvisioningState is not Enabled, contact your provider for further assistance.

Considerações de escalabilidadeScalability considerations

Os circuitos do ExpressRoute fornecem um caminho de largura de banda alta entre as redes.ExpressRoute circuits provide a high bandwidth path between networks. Geralmente, quanto maior a largura de banda maior o custo.Generally, the higher the bandwidth the greater the cost.

O ExpressRoute oferece dois planos de preços aos clientes, um plano de dados limitado e outro ilimitado.ExpressRoute offers two pricing plans to customers, a metered plan and an unlimited data plan. Os encargos variam de acordo com largura de banda do circuito.Charges vary according to circuit bandwidth. A largura de banda disponível vai, provavelmente, variar de fornecedor para fornecedor.Available bandwidth will likely vary from provider to provider. Utilize o cmdlet Get-AzureRmExpressRouteServiceProvider para ver os fornecedores disponíveis na sua região e as larguras de banda que oferecem.Use the Get-AzureRmExpressRouteServiceProvider cmdlet to see the providers available in your region and the bandwidths that they offer.

Um circuito do ExpressRoute único pode suportar um determinado número de peerings e ligações VNet.A single ExpressRoute circuit can support a certain number of peerings and VNet links. Para obter mais informações, veja Limites do ExpressRoute.See ExpressRoute limits for more information.

Por um custo adicional, o suplemento ExpressRoute Premium fornece algumas capacidades adicionais:For an extra charge, the ExpressRoute Premium add-on provides some additional capability:

  • Maiores limites de rota para o peering público e privado.Increased route limits for public and private peering.
  • Maior número de ligações VNet por circuito do ExpressRoute.Increased number of VNet links per ExpressRoute circuit.
  • Conectividade global para os serviços.Global connectivity for services.

Para obter mais detalhes, veja Preços do ExpressRoute.See ExpressRoute pricing for details.

Os circuitos do ExpressRoute foram concebidos para permitir picos temporários de rede até duas vezes o limite da largura de banda obtido sem custos adicionais,ExpressRoute circuits are designed to allow temporary network bursts up to two times the bandwidth limit that you procured for no additional cost. graças a ligações redundantes.This is achieved by using redundant links. No entanto, nem todos os fornecedores de conectividade suportam esta funcionalidade.However, not all connectivity providers support this feature. Antes de mais, verifique se o seu fornecedor de conectividade permite esta funcionalidade.Verify that your connectivity provider enables this feature before depending on it.

Embora alguns fornecedores permitam que altere a largura de banda, confirme que escolhe uma largura de banda inicial que exceda as suas necessidades e disponibilize espaço para crescimento.Although some providers allow you to change your bandwidth, make sure you pick an initial bandwidth that surpasses your needs and provides room for growth. Se precisar de aumentar a largura de banda no futuro, terá duas opções à escolha:If you need to increase bandwidth in the future, you are left with two options:

  • Aumentar a largura de banda.Increase the bandwidth. Deve evitar esta opção sempre que possível, pois nem todos os fornecedores permitem o aumento da largura de banda de forma dinâmica.You should avoid this option as much as possible, and not all providers allow you to increase bandwidth dynamically. Porém, se for necessário um aumento da largura de banda, consulte o fornecedor para verificar se este suporta a alteração das propriedades da largura de banda do ExpressRoute através dos comandos do Powershell.But if a bandwidth increase is needed, check with your provider to verify they support changing ExpressRoute bandwidth properties via Powershell commands. Se suportar, execute os comandos abaixo.If they do, run the commands below.

    $ckt = Get-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    $ckt.ServiceProviderProperties.BandwidthInMbps = <<bandwidth-in-mbps>>
    Set-AzureRmExpressRouteCircuit -ExpressRouteCircuit $ckt
    

    Pode aumentar a largura de banda sem perda de conectividade.You can increase the bandwidth without loss of connectivity. A mudança para uma largura de banda de escalão inferior resultará na interrupção da conectividade, uma vez que tem de eliminar o circuito e recriá-lo com a nova configuração.Downgrading the bandwidth will result in disruption in connectivity, because you must delete the circuit and recreate it with the new configuration.

  • Alterar o plano de preços e/ou atualizar para o Premium.Change your pricing plan and/or upgrade to Premium. Para tal, execute os seguintes comandos.To do so, run the following commands. A propriedade Sku.Tier pode ser Standard ou Premium; a propriedade Sku.Name pode ser MeteredData ou UnlimitedData.The Sku.Tier property can be Standard or Premium; the Sku.Name property can be MeteredData or UnlimitedData.

    $ckt = Get-AzureRmExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    
    $ckt.Sku.Tier = "Premium"
    $ckt.Sku.Family = "MeteredData"
    $ckt.Sku.Name = "Premium_MeteredData"
    
    Set-AzureRmExpressRouteCircuit -ExpressRouteCircuit $ckt
    

    Importante

    Verifique se a propriedade Sku.Name corresponde a Sku.Tier e Sku.Family.Make sure the Sku.Name property matches the Sku.Tier and Sku.Family. Se alterar a família e a camada, mas não o nome, a ligação será desativada.If you change the family and tier, but not the name, your connection will be disabled.

    Pode atualizar o SKU sem interrupção, mas não pode mudar de um plano de preços ilimitado para um limitado.You can upgrade the SKU without disruption, but you cannot switch from the unlimited pricing plan to metered. Quando muda para uma SKU de escalão inferior, o consumo da largura de banda tem de permanecer dentro do limite predefinido do SKU padrão.When downgrading the SKU, your bandwidth consumption must remain within the default limit of the standard SKU.

Considerações de disponibilidadeAvailability considerations

O ExpressRoute não suporta protocolos de redundância de router, tal como o protocolo de encaminhamento de reserva ativa (HSRP) e o protocolo de redundância de router (VRRP), para implementar elevada disponibilidade.ExpressRoute does not support router redundancy protocols such as hot standby routing protocol (HSRP) and virtual router redundancy protocol (VRRP) to implement high availability. Em vez disso, utiliza um par de sessões de BGP redundante por peering.Instead, it uses a redundant pair of BGP sessions per peering. Para facilitar as ligações de elevada disponibilidade para a sua rede, o Azure aprovisiona com duas portas redundantes nos dois routers (parte do limite da Microsoft) numa configuração de modo ativo-ativo.To facilitate highly-available connections to your network, Azure provisions you with two redundant ports on two routers (part of the Microsoft edge) in an active-active configuration.

Por predefinição, as sessões de BGP utilizam um valor de tempo limite de inatividade de 60 segundos.By default, BGP sessions use an idle timeout value of 60 seconds. Se uma sessão expirar três vezes (total de 180 segundos), o router será marcado como indisponível e todo o tráfego será redirecionado para os routers restantes.If a session times out three times (180 seconds total), the router is marked as unavailable, and all traffic is redirected to the remaining router. Este tempo limite de 180 segundos pode ser demasiado longo para as aplicações críticas.This 180-second timeout might be too long for critical applications. Se assim for, poderá alterar as definições do tempo limite de BGP no router no local para um valor inferior.If so, you can change your BGP time-out settings on the on-premises router to a smaller value.

Pode configurar a elevada disponibilidade para a ligação do Azure de diversas formas, consoante o tipo de fornecedor que utiliza e o número de circuitos do ExpressRoute e ligações de gateway de rede virtual que está disposto a configurar.You can configure high availability for your Azure connection in different ways, depending on the type of provider you use, and the number of ExpressRoute circuits and virtual network gateway connections you're willing to configure. Veja a seguir um resumo das opções de disponibilidade:The following summarizes your availability options:

  • Se estiver a utilizar uma ligação de camada 2, implemente routers redundantes na rede no local numa configuração de modo ativo-ativo.If you're using a layer 2 connection, deploy redundant routers in your on-premises network in an active-active configuration. Ligue o circuito primário a um router e o circuito secundário a outro.Connect the primary circuit to one router, and the secondary circuit to the other. Beneficiará assim de uma ligação de elevada disponibilidade em ambas as extremidades da ligação.This will give you a highly available connection at both ends of the connection. Tal será necessário se precisar do contrato de nível de serviço (SLA) do ExpressRoute.This is necessary if you require the ExpressRoute service level agreement (SLA). Para obter mais detalhes, veja SLA para o Azure ExpressRoute.See SLA for Azure ExpressRoute for details.

    O diagrama seguinte mostra uma configuração com routers redundantes no local ligados aos circuitos primário e secundário.The following diagram shows a configuration with redundant on-premises routers connected to the primary and secondary circuits. Cada circuito processa o tráfego para um peering público e um peering privado (cada peering recebe um par de espaços de endereços /30, conforme descrito na secção anterior).Each circuit handles the traffic for a public peering and a private peering (each peering is designated a pair of /30 address spaces, as described in the previous section).

    11

  • Se estiver a utilizar uma ligação de camada 3, verifique se esta fornece sessões de BGP redundantes que processam a disponibilidade por si.If you're using a layer 3 connection, verify that it provides redundant BGP sessions that handle availability for you.

  • Ligue a VNet a vários circuitos do ExpressRoute, disponibilizados por fornecedores de serviços diferentes.Connect the VNet to multiple ExpressRoute circuits, supplied by different service providers. Esta estratégia fornece funcionalidades adicionais de elevada disponibilidade e recuperação após desastre.This strategy provides additional high-availability and disaster recovery capabilities.

  • Configure uma Rede de VPNs como um caminho de ativação pós-falha para o ExpressRoute.Configure a site-to-site VPN as a failover path for ExpressRoute. Para obter mais informações sobre esta opção, veja Ligar uma rede no local ao Azure através do ExpressRoute com a ativação pós-falha de VPN.For more about this option, see Connect an on-premises network to Azure using ExpressRoute with VPN failover. Esta opção aplica-se apenas ao peering privado.This option only applies to private peering. Para os serviços do Azure e o Office 365, a Internet é o único caminho de ativação pós-falha.For Azure and Office 365 services, the Internet is the only failover path.

Considerações sobre a capacidade de gestãoManageability considerations

Pode utilizar o Toolkit de Conectividade do Azure (AzureCT) para monitorizar a conectividade entre o datacenter no local e o Azure.You can use the Azure Connectivity Toolkit (AzureCT) to monitor connectivity between your on-premises datacenter and Azure.

Considerações de segurançaSecurity considerations

Pode configurar opções de segurança para a ligação do Azure de diversas formas, consoante as suas questões de segurança e necessidades de conformidade.You can configure security options for your Azure connection in different ways, depending on your security concerns and compliance needs.

O ExpressRoute funciona na camada 3.ExpressRoute operates in layer 3. As ameaças na camada de aplicação podem ser impedidas com uma aplicação de segurança de rede que restringe o tráfego a recursos legítimos.Threats in the application layer can be prevented by using a network security appliance that restricts traffic to legitimate resources. Além disso, as ligações do ExpressRoute com peering público só podem ser iniciadas no local.Additionally, ExpressRoute connections using public peering can only be initiated from on-premises. Tal impede que um serviço atacante aceda e comprometa os dados no local através da Internet.This prevents a rogue service from accessing and compromising on-premises data from the Internet.

Para maximizar a segurança, adicione dispositivos de segurança de rede entre a rede no local e os routers de limite de fornecedor.To maximize security, add network security appliances between the on-premises network and the provider edge routers. Este procedimento ajudará a restringir a entrada de tráfego não autorizado a partir da VNet:This will help to restrict the inflow of unauthorized traffic from the VNet:

22

Para fins de auditoria ou conformidade, pode ser necessário proibir o acesso direto de componentes em execução na VNet à Internet e implementar o túnel forçado.For auditing or compliance purposes, it may be necessary to prohibit direct access from components running in the VNet to the Internet and implement forced tunneling. Nesta situação, o tráfego de Internet deve ser redirecionado através de um proxy em execução no local em que este possa ser auditado.In this situation, Internet traffic should be redirected back through a proxy running on-premises where it can be audited. O proxy pode ser configurado para bloquear o fluxo de tráfego não autorizado e filtrar o tráfego de entrada potencialmente malicioso.The proxy can be configured to block unauthorized traffic flowing out, and filter potentially malicious inbound traffic.

33

Para maximizar a segurança, não ative nenhum endereço IP público para as suas VMs e utilize os NSGs para confirmar que estas VMs não são acessíveis publicamente.To maximize security, do not enable a public IP address for your VMs, and use NSGs to ensure that these VMs aren't publicly accessible. As VMs só devem estar disponíveis através do endereço IP.VMs should only be available using the internal IP address. Estes endereços podem ser tornados acessíveis através da rede do ExpressRoute, permitindo à equipa de DevOps no local a realização da configuração ou manutenção.These addresses can be made accessible through the ExpressRoute network, enabling on-premises DevOps staff to perform configuration or maintenance.

Se tiver de expor pontos finais de gestão de VMs para uma rede externa, utilize NSGs ou listas de controlo de acesso para restringir a visibilidade destas portas a uma lista de permissões de endereços IP ou redes.If you must expose management endpoints for VMs to an external network, use NSGs or access control lists to restrict the visibility of these ports to a whitelist of IP addresses or networks.

Nota

Por predefinição, as VMs do Azure implementadas através do Portal do Azure incluem um endereço IP público que fornece acesso de início de sessão.By default, Azure VMs deployed through the Azure portal include a public IP address that provides login access.

Implementar a soluçãoDeploy the solution

Pré-requisitos.Prerequisites. Tem de possuir uma infraestrutura no local existente já configurada com uma aplicação de rede adequada.You must have an existing on-premises infrastructure already configured with a suitable network appliance.

Para implementar a solução, realize os seguintes passos.To deploy the solution, perform the following steps.

  1. Clique no botão abaixo:Click the button below:

  2. Aguarde até que a ligação abra no portal do Azure e, em seguida, siga estes passos:Wait for the link to open in the Azure portal, then follow these steps:

    • O nome do Grupo de recursos já está definido no ficheiro de parâmetros, por isso, selecione Criar Novo e introduza ra-hybrid-er-rg na caixa de texto.The Resource group name is already defined in the parameter file, so select Create New and enter ra-hybrid-er-rg in the text box.
    • Selecione a região na caixa pendente Localização.Select the region from the Location drop down box.
    • Não edite as caixas de texto Uri da Raiz de Modelo nem Uri da Raiz de Parâmetro.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Reveja os termos e condições e clique na caixa de seleção Aceito os termos e condições acima apresentados.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Clique no botão Comprar.Click the Purchase button.
  3. Aguarde pela conclusão da implementação.Wait for the deployment to complete.

  4. Clique no botão abaixo:Click the button below:

  5. Aguarde até que a ligação abra no portal do Azure e, em seguida, siga estes passos:Wait for the link to open in the Azure portal, then follow these steps:

    • Selecione Utilizar existente, na secção Grupo de recursos, e introduza ra-hybrid-er-rg na caixa de texto.Select Use existing in the Resource group section and enter ra-hybrid-er-rg in the text box.
    • Selecione a região na caixa pendente Localização.Select the region from the Location drop down box.
    • Não edite as caixas de texto Uri da Raiz de Modelo nem Uri da Raiz de Parâmetro.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Reveja os termos e condições e clique na caixa de seleção Aceito os termos e condições acima apresentados.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Clique no botão Comprar.Click the Purchase button.
  6. Aguarde pela conclusão da implementação.Wait for the deployment to complete.