Expandir uma rede no local com o ExpressRoute

ExpressRoute
Rede Virtual
Máquinas Virtuais

Esta arquitetura de referência mostra como ligar uma rede no local a redes virtuais no Azure, com o Microsoft Azure ExpressRoute.This reference architecture shows how to connect an on-premises network to virtual networks on Azure, using Azure ExpressRoute. As ligações do ExpressRoute utilizam uma ligação privada dedicada através de um fornecedor de conectividade de terceiros.ExpressRoute connections use a private, dedicated connection through a third-party connectivity provider. A ligação privada expande a sua rede no local no Azure.The private connection extends your on-premises network into Azure. Implementar esta solução.Deploy this solution.

00

Transfira um ficheiro do Visio desta arquitetura.Download a Visio file of this architecture.

ArquiteturaArchitecture

A arquitetura é composta pelos seguintes componentes.The architecture consists of the following components.

  • Rede empresarial no local.On-premises corporate network. Uma rede de área local privada em execução numa organização.A private local-area network running within an organization.

  • Circuito ExpressRoute.ExpressRoute circuit. Um circuito de duas ou três camadas disponibilizado pelo fornecedor de conectividade que associa a rede no local ao Azure através dos routers de periferia.A layer 2 or layer 3 circuit supplied by the connectivity provider that joins the on-premises network with Azure through the edge routers. O circuito utiliza a infraestrutura de hardware gerida pelo fornecedor de conectividade.The circuit uses the hardware infrastructure managed by the connectivity provider.

  • Routers de periferia locais.Local edge routers. Os routers que ligam a rede no local ao circuito gerido pelo fornecedor.Routers that connect the on-premises network to the circuit managed by the provider. Consoante a forma como a ligação é aprovisionada, pode ter de fornecer os endereços IP públicos utilizados pelos routers.Depending on how your connection is provisioned, you may need to provide the public IP addresses used by the routers.

  • Routers de periferia da Microsoft.Microsoft edge routers. Dois routers numa configuração de elevada disponibilidade no modo ativo-ativo.Two routers in an active-active highly available configuration. Estes routers permitem que um fornecedor de conectividade ligue os circuitos diretamente ao datacenter.These routers enable a connectivity provider to connect their circuits directly to their datacenter. Consoante a forma como a ligação é aprovisionada, pode ter de fornecer os endereços IP públicos utilizados pelos routers.Depending on how your connection is provisioned, you may need to provide the public IP addresses used by the routers.

  • Redes virtuais (VNets) do Azure.Azure virtual networks (VNets). Cada VNet reside numa única região do Azure e pode alojar várias camadas da aplicação.Each VNet resides in a single Azure region, and can host multiple application tiers. As camadas da aplicação podem ser segmentadas com sub-redes em cada VNet.Application tiers can be segmented using subnets in each VNet.

  • Serviços público do Azure.Azure public services. Os serviços do Azure que podem ser utilizados numa aplicação híbrida.Azure services that can be used within a hybrid application. Estes serviços também estão disponíveis através da Internet, mas o acesso aos mesmos com um circuito do ExpressRoute proporciona uma baixa latência e um desempenho mais previsível, uma vez que o tráfego não passa pela Internet.These services are also available over the Internet, but accessing them using an ExpressRoute circuit provides low latency and more predictable performance, because traffic does not go through the Internet.

  • Serviços Microsoft 365.Microsoft 365 services. As aplicações e serviços microsoft 365 publicamente disponíveis fornecidos pela Microsoft.The publicly available Microsoft 365 applications and services provided by Microsoft. As ligações são realizadas através do peering da Microsoft, com endereços pertencentes à sua organização ou fornecidos pelo seu fornecedor de conectividade.Connections are performed using Microsoft peering, with addresses that are either owned by your organization or supplied by your connectivity provider. Também pode ligar-se diretamente ao Microsoft CRM Online através do peering da Microsoft.You can also connect directly to Microsoft CRM Online through Microsoft peering.

  • Fornecedores de conetividade (não mostrados).Connectivity providers (not shown). As empresas que fornecem uma ligação através de uma conectividade de camada 2 ou camada 3 entre o datacenter e um datacenter do Azure.Companies that provide a connection either using layer 2 or layer 3 connectivity between your datacenter and an Azure datacenter.

RecomendaçõesRecommendations

As recomendações seguintes aplicam-se à maioria dos cenários.The following recommendations apply for most scenarios. Siga-as, a não ser que tenha requisitos específicos que as anulem.Follow these recommendations unless you have a specific requirement that overrides them.

Fornecedores de conetividadeConnectivity providers

Selecione um fornecedor de conectividade do ExpressRoute adequado para a sua localização.Select a suitable ExpressRoute connectivity provider for your location. Para obter uma lista de fornecedores de conectividade disponíveis na sua localização, utilize o seguinte comando do Azure PowerShell:To get a list of connectivity providers available at your location, use the following Azure PowerShell command:

Get-AzExpressRouteServiceProvider

Os fornecedores de conectividade do ExpressRoute ligam o seu datacenter à Microsoft das seguintes formas:ExpressRoute connectivity providers connect your datacenter to Microsoft in the following ways:

  • Co-localizado numa troca de nuvens.Co-located at a cloud exchange. Se estiver co-localizado numa instalação com uma troca de nuvens, pode encomendar ligações cruzadas virtuais ao Azure através da troca de Ethernet do provedor de co-localização.If you're co-located in a facility with a cloud exchange, you can order virtual cross-connections to Azure through the co-location provider's Ethernet exchange. Os fornecedores de localização conjunta podem oferecer ligações cruzadas de camada 2 ou ligações cruzadas de camada 3 geridas entre a sua infraestrutura na localização conjunta e o Azure.Co-location providers can offer either layer 2 cross-connections, or managed layer 3 cross-connections between your infrastructure in the co-location facility and Azure.
  • Ligações Ethernet ponto a ponto.Point-to-point Ethernet connections. Pode ligar os datacenters/escritórios no local ao Azure através de ligações de Ethernet ponto a ponto.You can connect your on-premises datacenters/offices to Azure through point-to-point Ethernet links. Os fornecedores de Ethernet ponto a ponto podem oferecer ligações de camada 2 ou ligações de camada 3 geridas entre o seu site e o Azure.Point-to-point Ethernet providers can offer layer 2 connections, or managed layer 3 connections between your site and Azure.
  • Qualquer rede (IPVPN) ( IPVPN).Any-to-any (IPVPN) networks. Pode integrar a sua rede alargada (WAN) com o Azure.You can integrate your wide area network (WAN) with Azure. Os fornecedores de rede privada virtual de protocolo Internet (VPN de IP) (normalmente uma VPN de comutação de etiqueta multiprotocolo) oferecem uma conectividade qualquer a qualquer entre as suas sucursais e os datacenters.Internet protocol virtual private network (IPVPN) providers (typically a multiprotocol label switching VPN) offer any-to-any connectivity between your branch offices and datacenters. O Azure pode ser interligado à WAN para torná-la mais semelhante a qualquer outra sucursal.Azure can be interconnected to your WAN to make it look just like any other branch office. Os fornecedores de WAN oferecem normalmente uma conectividade de camada 3 gerida.WAN providers typically offer managed layer 3 connectivity.

Para obter mais informações sobre os fornecedores de conectividade, veja a Descrição geral do ExpressRoute.For more information about connectivity providers, see the ExpressRoute introduction.

Circuito do ExpressRouteExpressRoute circuit

Confirme se a sua organização cumpre os requisitos necessários do ExpressRoute para se ligar ao Azure.Ensure that your organization has met the ExpressRoute prerequisite requirements for connecting to Azure.

Se ainda não o fez, adicione uma sub-rede designada GatewaySubnet à VNet do Azure e crie um gateway de rede virtual do ExpressRoute com o serviço de gateway de VPN do Azure.If you haven't already done so, add a subnet named GatewaySubnet to your Azure VNet and create an ExpressRoute virtual network gateway using the Azure VPN gateway service. Para obter mais informações sobre este processo, veja Fluxos de trabalho do ExpressRoute do aprovisionamento do circuito e estados do circuito.For more information about this process, see ExpressRoute workflows for circuit provisioning and circuit states.

Crie um circuito do ExpressRoute da seguinte forma:Create an ExpressRoute circuit as follows:

  1. Execute o seguinte comando do PowerShell:Run the following PowerShell command:

    New-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>> -Location <<location>> -SkuTier <<sku-tier>> -SkuFamily <<sku-family>> -ServiceProviderName <<service-provider-name>> -PeeringLocation <<peering-location>> -BandwidthInMbps <<bandwidth-in-mbps>>
    
  2. Envie a ServiceKey do novo circuito ao fornecedor de serviços.Send the ServiceKey for the new circuit to the service provider.

  3. Aguarde até que o fornecedor aprovisione o circuito.Wait for the provider to provision the circuit. Para verificar o estado de aprovisionamento de um circuito, execute o seguinte comando do PowerShell:To verify the provisioning state of a circuit, run the following PowerShell command:

    Get-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    

    O campo Provisioning state na secção Service Provider da saída vai mudar de NotProvisioned para Provisioned quando o circuito estiver pronto.The Provisioning state field in the Service Provider section of the output will change from NotProvisioned to Provisioned when the circuit is ready.

    Nota

    Se estiver a utilizar uma ligação de camada 3, o fornecedor deverá configurar e gerir o encaminhamento por si.If you're using a layer 3 connection, the provider should configure and manage routing for you. Forneça as informações necessárias para ativar o fornecedor para implementar as rotas adequadas.You provide the information necessary to enable the provider to implement the appropriate routes.

  4. Se estiver a utilizar uma ligação de camada 2:If you're using a layer 2 connection:

    1. Reserve duas sub-redes /30 compostas por endereços IP públicos válidos para cada tipo de peering que pretende implementar.Reserve two /30 subnets composed of valid public IP addresses for each type of peering you want to implement. Estas sub-redes /30 vão ser utilizadas para fornecer endereços IP aos routers utilizados para o circuito.These /30 subnets will be used to provide IP addresses for the routers used for the circuit. Se estiver a implementar o peering privado e microsoft, precisará de sub-redes de 4/30 com endereços IP públicos válidos.If you are implementing private and Microsoft peering, you'll need 4 /30 subnets with valid public IP addresses.

    2. Configure o encaminhamento do circuito do ExpressRoute.Configure routing for the ExpressRoute circuit. Execute os seguintes comandos PowerShell para cada tipo de espreguite que pretende configurar (privado e Microsoft).Run the following PowerShell commands for each type of peering you want to configure (private and Microsoft). Para obter mais informações, veja Criar e modificar o encaminhamento de um circuito do ExpressRoute.For more information, see Create and modify routing for an ExpressRoute circuit.

      Set-AzExpressRouteCircuitPeeringConfig -Name <<peering-name>> -ExpressRouteCircuit <<circuit-name>> -PeeringType <<peering-type>> -PeerASN <<peer-asn>> -PrimaryPeerAddressPrefix <<primary-peer-address-prefix>> -SecondaryPeerAddressPrefix <<secondary-peer-address-prefix>> -VlanId <<vlan-id>>
      
      Set-AzExpressRouteCircuit -ExpressRouteCircuit <<circuit-name>>
      
    3. Reserve outro conjunto de endereços IP públicos válidos para usar para tradução de endereços de rede (NAT) para o espreitar da Microsoft.Reserve another pool of valid public IP addresses to use for network address translation (NAT) for Microsoft peering. É recomendado ter um conjunto diferente para cada peering.It is recommended to have a different pool for each peering. Especifique o conjunto para o seu fornecedor de conectividade, para que possa configurar os anúncios do BGP (Border Gateway Protocol) para esses intervalos.Specify the pool to your connectivity provider, so they can configure border gateway protocol (BGP) advertisements for those ranges.

  5. Execute os comandos PowerShell seguintes para ligar as suas VNets privadas ao circuito do ExpressRoute.Run the following PowerShell commands to link your private VNet(s) to the ExpressRoute circuit. Para obter mais informações, consulte link uma rede virtual para um circuito ExpressRoute.For more information, see Link a virtual network to an ExpressRoute circuit.

    $circuit = Get-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    $gw = Get-AzVirtualNetworkGateway -Name <<gateway-name>> -ResourceGroupName <<resource-group>>
    New-AzVirtualNetworkGatewayConnection -Name <<connection-name>> -ResourceGroupName <<resource-group>> -Location <<location> -VirtualNetworkGateway1 $gw -PeerId $circuit.Id -ConnectionType ExpressRoute
    

Pode ligar várias VNets localizadas em regiões diferentes ao mesmo circuito do ExpressRoute, desde que todas as VNets e o circuito do ExpressRoute estejam localizados na mesma região geopolítica.You can connect multiple VNets located in different regions to the same ExpressRoute circuit, as long as all VNets and the ExpressRoute circuit are located within the same geopolitical region.

Resolução de problemasTroubleshooting

Se um circuito do ExpressRoute anteriormente funcional não conseguir agora estabelecer ligação, não tendo ocorrido nenhuma alteração na configuração no local ou na VNet privada, poderá ter de contactar o fornecedor de conectividade e trabalhar com este para corrigir o problema.If a previously functioning ExpressRoute circuit now fails to connect, in the absence of any configuration changes on-premises or within your private VNet, you may need to contact the connectivity provider and work with them to correct the issue. Utilize os seguintes comandos PowerShell para verificar se o circuito ExpressRoute foi provisionado:Use the following PowerShell commands to verify that the ExpressRoute circuit has been provisioned:

Get-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>

O resultado deste comando mostra várias propriedades do circuito, incluindo ProvisioningState, CircuitProvisioningState e ServiceProviderProvisioningState, conforme mostrado abaixo.The output of this command shows several properties for your circuit, including ProvisioningState, CircuitProvisioningState, and ServiceProviderProvisioningState as shown below.

ProvisioningState                : Succeeded
Sku                              : {
                                     "Name": "Standard_MeteredData",
                                     "Tier": "Standard",
                                     "Family": "MeteredData"
                                   }
CircuitProvisioningState         : Enabled
ServiceProviderProvisioningState : NotProvisioned

Se ProvisioningState não estiver definido como Succeeded depois de ter tentado criar um circuito novo, remova o circuito com o comando abaixo e tente criá-lo novamente.If the ProvisioningState is not set to Succeeded after you tried to create a new circuit, remove the circuit by using the command below and try to create it again.

Remove-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>

Se o circuito já tiver sido aprovisionado pelo e ProvisioningState estiver definido como Failed ou se CircuitProvisioningState não for Enabled, contacte o fornecedor para obter assistência.If your provider had already provisioned the circuit, and the ProvisioningState is set to Failed, or the CircuitProvisioningState is not Enabled, contact your provider for further assistance.

Considerações de escalabilidadeScalability considerations

Os circuitos do ExpressRoute fornecem um caminho de largura de banda alta entre as redes.ExpressRoute circuits provide a high bandwidth path between networks. Geralmente, quanto maior a largura de banda maior o custo.Generally, the higher the bandwidth the greater the cost.

O ExpressRoute oferece dois planos de preços aos clientes, um plano de dados limitado e outro ilimitado.ExpressRoute offers two pricing plans to customers, a metered plan and an unlimited data plan. Os encargos variam de acordo com largura de banda do circuito.Charges vary according to circuit bandwidth. A largura de banda disponível vai, provavelmente, variar de fornecedor para fornecedor.Available bandwidth will likely vary from provider to provider. Utilize o cmdlet Get-AzExpressRouteServiceProvider para ver os fornecedores disponíveis na sua região e as larguras de banda que oferecem.Use the Get-AzExpressRouteServiceProvider cmdlet to see the providers available in your region and the bandwidths that they offer.

Um circuito do ExpressRoute único pode suportar um determinado número de peerings e ligações VNet.A single ExpressRoute circuit can support a certain number of peerings and VNet links. Para obter mais informações, veja Limites do ExpressRoute.See ExpressRoute limits for more information.

Por um custo adicional, o suplemento ExpressRoute Premium fornece algumas capacidades adicionais:For an extra charge, the ExpressRoute Premium add-on provides some additional capability:

  • Limites de rota aumentados para o espreitamento privado.Increased route limits for private peering.
  • Maior número de ligações VNet por circuito do ExpressRoute.Increased number of VNet links per ExpressRoute circuit.
  • Conectividade global para os serviços.Global connectivity for services.

Para obter mais detalhes, veja Preços do ExpressRoute.See ExpressRoute pricing for details.

Os circuitos do ExpressRoute foram concebidos para permitir picos temporários de rede até duas vezes o limite da largura de banda obtido sem custos adicionais,ExpressRoute circuits are designed to allow temporary network bursts up to two times the bandwidth limit that you procured for no additional cost. graças a ligações redundantes.This is achieved by using redundant links. No entanto, nem todos os fornecedores de conectividade suportam esta funcionalidade.However, not all connectivity providers support this feature. Antes de mais, verifique se o seu fornecedor de conectividade permite esta funcionalidade.Verify that your connectivity provider enables this feature before depending on it.

Embora alguns fornecedores permitam que altere a largura de banda, confirme que escolhe uma largura de banda inicial que exceda as suas necessidades e disponibilize espaço para crescimento.Although some providers allow you to change your bandwidth, make sure you pick an initial bandwidth that surpasses your needs and provides room for growth. Se precisar de aumentar a largura de banda no futuro, terá duas opções à escolha:If you need to increase bandwidth in the future, you are left with two options:

  • Aumentar a largura de banda.Increase the bandwidth. Deve evitar esta opção sempre que possível, pois nem todos os fornecedores permitem o aumento da largura de banda de forma dinâmica.You should avoid this option as much as possible, and not all providers allow you to increase bandwidth dynamically. Mas se for necessário um aumento da largura de banda, consulte o seu fornecedor para verificar se suportam a alteração das propriedades de largura de banda ExpressRoute através dos comandos PowerShell.But if a bandwidth increase is needed, check with your provider to verify they support changing ExpressRoute bandwidth properties via PowerShell commands. Se suportar, execute os comandos abaixo.If they do, run the commands below.

    $ckt = Get-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    $ckt.ServiceProviderProperties.BandwidthInMbps = <<bandwidth-in-mbps>>
    Set-AzExpressRouteCircuit -ExpressRouteCircuit $ckt
    

    Pode aumentar a largura de banda sem perda de conectividade.You can increase the bandwidth without loss of connectivity. A mudança para uma largura de banda de escalão inferior resultará na interrupção da conectividade, uma vez que tem de eliminar o circuito e recriá-lo com a nova configuração.Downgrading the bandwidth will result in disruption in connectivity, because you must delete the circuit and recreate it with the new configuration.

  • Alterar o plano de preços e/ou atualizar para o Premium.Change your pricing plan and/or upgrade to Premium. Para tal, execute os seguintes comandos.To do so, run the following commands. A propriedade Sku.Tier pode ser Standard ou Premium; a propriedade Sku.Name pode ser MeteredData ou UnlimitedData.The Sku.Tier property can be Standard or Premium; the Sku.Name property can be MeteredData or UnlimitedData.

    $ckt = Get-AzExpressRouteCircuit -Name <<circuit-name>> -ResourceGroupName <<resource-group>>
    
    $ckt.Sku.Tier = "Premium"
    $ckt.Sku.Family = "MeteredData"
    $ckt.Sku.Name = "Premium_MeteredData"
    
    Set-AzExpressRouteCircuit -ExpressRouteCircuit $ckt
    

    Importante

    Verifique se a propriedade Sku.Name corresponde a Sku.Tier e Sku.Family.Make sure the Sku.Name property matches the Sku.Tier and Sku.Family. Se alterar a família e a camada, mas não o nome, a ligação será desativada.If you change the family and tier, but not the name, your connection will be disabled.

    Pode atualizar o SKU sem interrupção, mas não pode mudar de um plano de preços ilimitado para um limitado.You can upgrade the SKU without disruption, but you cannot switch from the unlimited pricing plan to metered. Quando muda para uma SKU de escalão inferior, o consumo da largura de banda tem de permanecer dentro do limite predefinido do SKU padrão.When downgrading the SKU, your bandwidth consumption must remain within the default limit of the standard SKU.

Considerações de disponibilidadeAvailability considerations

O ExpressRoute não suporta protocolos de redundância de router, tal como o protocolo de encaminhamento de reserva ativa (HSRP) e o protocolo de redundância de router (VRRP), para implementar elevada disponibilidade.ExpressRoute does not support router redundancy protocols such as hot standby routing protocol (HSRP) and virtual router redundancy protocol (VRRP) to implement high availability. Em vez disso, utiliza um par de sessões de BGP redundante por peering.Instead, it uses a redundant pair of BGP sessions per peering. Para facilitar as ligações de elevada disponibilidade para a sua rede, o Azure aprovisiona com duas portas redundantes nos dois routers (parte do limite da Microsoft) numa configuração de modo ativo-ativo.To facilitate highly-available connections to your network, Azure provisions you with two redundant ports on two routers (part of the Microsoft edge) in an active-active configuration.

Por predefinição, as sessões de BGP utilizam um valor de tempo limite de inatividade de 60 segundos.By default, BGP sessions use an idle timeout value of 60 seconds. Se uma sessão expirar três vezes (total de 180 segundos), o router será marcado como indisponível e todo o tráfego será redirecionado para os routers restantes.If a session times out three times (180 seconds total), the router is marked as unavailable, and all traffic is redirected to the remaining router. Este tempo limite de 180 segundos pode ser demasiado longo para as aplicações críticas.This 180-second timeout might be too long for critical applications. Se assim for, poderá alterar as definições do tempo limite de BGP no router no local para um valor inferior.If so, you can change your BGP time-out settings on the on-premises router to a smaller value. O ExpressRoute também suporta a Deteção Bidirecional de Encaminhamento (BFD) sobre o espreitamento privado.ExpressRoute also supports Bidirectional Forwarding Detection (BFD) over private peering. Ao ativar o BFD sobre o ExpressRoute, pode acelerar a deteção de falhas de ligação entre os dispositivos Microsoft Enterprise edge (MSEE) e os routers em que encerra o circuito ExpressRoute (PE).By enabling BFD over ExpressRoute, you can expedite link failure detection between Microsoft Enterprise edge (MSEE) devices and the routers on which you terminate the ExpressRoute circuit (PE). Pode terminar o ExpressRoute sobre dispositivos de encaminhamento de Borda do Cliente ou dispositivos de encaminhamento Partner Edge (se for com o serviço de ligação gerido da Camada 3).You can terminate ExpressRoute over Customer Edge routing devices or Partner Edge routing devices (if you went with managed Layer 3 connection service).

Pode configurar a elevada disponibilidade para a ligação do Azure de diversas formas, consoante o tipo de fornecedor que utiliza e o número de circuitos do ExpressRoute e ligações de gateway de rede virtual que está disposto a configurar.You can configure high availability for your Azure connection in different ways, depending on the type of provider you use, and the number of ExpressRoute circuits and virtual network gateway connections you're willing to configure. Veja a seguir um resumo das opções de disponibilidade:The following summarizes your availability options:

  • Se estiver a utilizar uma ligação de camada 2, implemente routers redundantes na rede no local numa configuração de modo ativo-ativo.If you're using a layer 2 connection, deploy redundant routers in your on-premises network in an active-active configuration. Ligue o circuito primário a um router e o circuito secundário a outro.Connect the primary circuit to one router, and the secondary circuit to the other. Beneficiará assim de uma ligação de elevada disponibilidade em ambas as extremidades da ligação.This will give you a highly available connection at both ends of the connection. Tal será necessário se precisar do contrato de nível de serviço (SLA) do ExpressRoute.This is necessary if you require the ExpressRoute service level agreement (SLA). Para obter mais detalhes, veja SLA para o Azure ExpressRoute.See SLA for Azure ExpressRoute for details.

    O diagrama seguinte mostra uma configuração com routers redundantes no local ligados aos circuitos primário e secundário.The following diagram shows a configuration with redundant on-premises routers connected to the primary and secondary circuits. Cada circuito trata do tráfego para o espremiamento privado (cada espreitamento é designado um par de /30 espaços de endereço, conforme descrito na secção anterior).Each circuit handles the traffic for private peering (each peering is designated a pair of /30 address spaces, as described in the previous section).

    11

  • Se estiver a utilizar uma ligação de camada 3, verifique se esta fornece sessões de BGP redundantes que processam a disponibilidade por si.If you're using a layer 3 connection, verify that it provides redundant BGP sessions that handle availability for you.

  • Ligue a VNet a vários circuitos do ExpressRoute, disponibilizados por fornecedores de serviços diferentes.Connect the VNet to multiple ExpressRoute circuits, supplied by different service providers. Esta estratégia fornece funcionalidades adicionais de elevada disponibilidade e recuperação após desastre.This strategy provides additional high-availability and disaster recovery capabilities.

  • Configure uma Rede de VPNs como um caminho de ativação pós-falha para o ExpressRoute.Configure a site-to-site VPN as a failover path for ExpressRoute. Para obter mais informações sobre esta opção, veja Ligar uma rede no local ao Azure através do ExpressRoute com a ativação pós-falha de VPN.For more about this option, see Connect an on-premises network to Azure using ExpressRoute with VPN failover. Esta opção aplica-se apenas ao peering privado.This option only applies to private peering. Para os serviços Azure e Microsoft 365, a Internet é o único caminho de falha.For Azure and Microsoft 365 services, the Internet is the only failover path.

Considerações de segurançaSecurity considerations

Pode configurar opções de segurança para a ligação do Azure de diversas formas, consoante as suas questões de segurança e necessidades de conformidade.You can configure security options for your Azure connection in different ways, depending on your security concerns and compliance needs.

O ExpressRoute funciona na camada 3.ExpressRoute operates in layer 3. As ameaças na camada de aplicação podem ser impedidas com uma aplicação de segurança de rede que restringe o tráfego a recursos legítimos.Threats in the application layer can be prevented by using a network security appliance that restricts traffic to legitimate resources.

Para maximizar a segurança, adicione dispositivos de segurança de rede entre a rede no local e os routers de limite de fornecedor.To maximize security, add network security appliances between the on-premises network and the provider edge routers. Este procedimento ajudará a restringir a entrada de tráfego não autorizado a partir da VNet:This will help to restrict the inflow of unauthorized traffic from the VNet:

22

Para fins de auditoria ou conformidade, pode ser necessário proibir o acesso direto de componentes em execução na VNet à Internet e implementar o túnel forçado.For auditing or compliance purposes, it may be necessary to prohibit direct access from components running in the VNet to the Internet and implement forced tunneling. Nesta situação, o tráfego da Internet deve ser redirecionado para trás através de um representante que funciona no local onde possa ser auditado.In this situation, Internet traffic should be redirected back through a proxy running on-premises where it can be audited. O proxy pode ser configurado para bloquear o fluxo de tráfego não autorizado e filtrar o tráfego de entrada potencialmente malicioso.The proxy can be configured to block unauthorized traffic flowing out, and filter potentially malicious inbound traffic.

33

Para maximizar a segurança, não ative nenhum endereço IP público para as suas VMs e utilize os NSGs para confirmar que estas VMs não são acessíveis publicamente.To maximize security, do not enable a public IP address for your VMs, and use NSGs to ensure that these VMs aren't publicly accessible. As VMs só devem estar disponíveis através do endereço IP.VMs should only be available using the internal IP address. Estes endereços podem ser tornados acessíveis através da rede do ExpressRoute, permitindo à equipa de DevOps no local a realização da configuração ou manutenção.These addresses can be made accessible through the ExpressRoute network, enabling on-premises DevOps staff to perform configuration or maintenance.

Se tiver de expor os pontos finais de gestão dos VMs a uma rede externa, utilize NSGs ou listas de controlo de acesso para restringir a visibilidade destas portas a uma lista permitida de endereços ou redes IP.If you must expose management endpoints for VMs to an external network, use NSGs or access control lists to restrict the visibility of these ports to an allowed list of IP addresses or networks.

Nota

Os VMs Azure implantados através do portal Azure podem incluir um endereço IP público que fornece acesso de login.Azure VMs deployed through the Azure portal can include a public IP address that provides login access. No entanto, é uma boa prática não permitir isso.However, it is a best practice not to permit this.

Considerações de DevOpsDevOps considerations

Utilize o processo de Infraestrutura como Código (IAC) para implantação da infraestrutura.Use the Infrastructure as Code (IaC) process for deploying the infrastructure. Nesta arquitetura, usamos um conjunto de modelos personalizados Azure Building Blocks implantados usando o portal Azure.In this architecture, we've used a set of Azure Building Blocks custom templates deployed using the Azure portal. Para automatizar a implementação da infraestrutura, pode utilizar o Azure DevOps Services ou outras soluções CI/CD.To automate infrastructure deployment, you can use Azure DevOps Services or other CI/CD solutions. O processo de implantação também é idempotente.The deployment process is also idempotent.

Para um determinado recurso, pode haver outros recursos que devem existir antes de o recurso ser implantado.For a given resource, there can be other resources that must exist before the resource is deployed. Os modelos Azure Building Blocks também são bons para o rastreio da dependência porque permitem definir dependências para recursos que são implantados no mesmo modelo.Azure Building Blocks templates are also good for dependency tracking because they allow you to define dependencies for resources that are deployed in the same template.

Monitorização de redeNetwork monitoring

Utilize o Monitor de Rede para monitorizar e resolver problemas dos componentes da rede, ferramentas como o Traffic Analytics mostrar-lhe-ão os sistemas nas suas redes virtuais que geram mais tráfego, para que possa identificar visualmente estrangulamentos antes que se degenerem em problemas.Use the Network Watcher to monitor and troubleshoot the network components, tools like Traffic Analytics will show you the systems in your virtual networks that generate most traffic, so that you can visually identify bottlenecks before they degenerate into problems. O Network Performance Manager tem a capacidade de monitorizar informações sobre os circuitos Microsoft ExpressRoute.Network Performance Manager has the ability to monitor information about Microsoft ExpressRoute circuits.

Também pode utilizar o Azure Connectivity Toolkit (AzureCT) para monitorizar a conectividade entre o datacenter no local e o Azure.You also can use the Azure Connectivity Toolkit (AzureCT) to monitor connectivity between your on-premises datacenter and Azure.

Para mais informações, consulte a secção DevOps no Microsoft Azure Well-Architected Framework.For more information, see the DevOps section in Microsoft Azure Well-Architected Framework. Para obter informações específicas para a monitorização, consulte Monitoring For DevOps.For information specific to monitoring, see Monitoring For DevOps.

Considerações de custosCost considerations

Utilize a calculadora de preços do Azure para prever os custos.Use the Azure pricing calculator to estimate costs. Para obter considerações gerais, consulte a secção Custo no Quadro de Well-Architected Microsoft Azure.For general considerations, see the Cost section in Microsoft Azure Well-Architected Framework.

Os serviços utilizados nesta arquitetura são cobrados da seguinte forma:The services used in this architecture are charged as follows:

Azure ExpressRouteAzure ExpressRoute

Nesta arquitetura, um circuito ExpressRoute é usado para se juntar à rede no local com a Azure através dos routers de borda.In this architecture, an ExpressRoute circuit is used to join the on-premises network with Azure through the edge routers.

Há dois planos principais.There are two main plans. No plano De Dados Medidos, toda a transferência de dados de entrada é gratuita.In the Metered Data plan, all inbound data transfer is free. Toda a transferência de dados de saída é cobrada com base numa taxa pré-determinada.All outbound data transfer is charged based on a pre-determined rate.

Também pode optar pelo plano de Dados Ilimitados no qual toda a transferência de dados de entrada e saída é gratuita.You can also opt for the Unlimited Data plan in which all inbound and outbound data transfer is free. Os utilizadores são cobrados uma taxa de porta mensal fixa com base em portas duplas de alta disponibilidade.Users are charged a fixed monthly port fee based on high availability dual ports.

Calcule a sua utilização e escolha um plano de faturação em conformidade.Calculate your utilization and choose a billing plan accordingly. O plano de dados ilimitados é recomendado se exceder cerca de 68% da utilização.The Unlimited Data plan is recommended if you exceed about 68% of utilization.

Para mais informações, consulte os preços da Azure ExpressRoute.For more information, see Azure ExpressRoute pricing.

Rede Virtual do AzureAzure Virtual Network

Todos os níveis de aplicação estão hospedados numa única rede virtual e são segmentados utilizando sub-redes.All application tiers are hosted in a single virtual network and are segmented using subnets.

A Rede Virtual do Azure é gratuita.Azure Virtual Network is free. Todas as subscrições podem criar até 50 redes virtuais em todas as regiões.Every subscription is allowed to create up to 50 virtual networks across all regions. Todo o tráfego que ocorre dentro dos limites de uma rede virtual é gratuito.All traffic that occurs within the boundaries of a virtual network is free. Assim, a comunicação entre duas VMs na mesma rede virtual é gratuita.So, communication between two VMs in the same virtual network is free.

Máquina virtual e equilibradores internos de cargaVirtual machine and internal load balancers

Nesta arquitetura, os equilibradores de carga internos são usados para carregar o tráfego de equilíbrio dentro de uma rede virtual.In this architecture, internal load balancers are used to load balance traffic inside a virtual network. O equilíbrio básico de carga entre máquinas virtuais que residem na mesma rede virtual é gratuito.Basic load balancing between virtual machines that reside in the same virtual network is free.

Os conjuntos de escala de máquina virtual estão disponíveis em todos os tamanhos Linux e Janelas VM.Virtual machine scale sets are available on all Linux and windows VM sizes. Você é cobrado apenas para os VMs Azure que você implanta e recursos de infraestrutura subjacentes consumidos, tais como armazenamento e networking.You are only charged for the Azure VMs you deploy and underlying infrastructure resources consumed such as storage and networking. Não existem custos incrementais para o serviço de conjuntos de escala de máquina virtual.There are no incremental charges for the virtual machine scale sets service.

Para mais informações, consulte os preços da Azure VM.For more information, see Azure VM pricing.

Implementar a soluçãoDeploy the solution

Pré-requisitos.Prerequisites. Tem de possuir uma infraestrutura no local existente já configurada com uma aplicação de rede adequada.You must have an existing on-premises infrastructure already configured with a suitable network appliance.

Para implementar a solução, realize os seguintes passos.To deploy the solution, perform the following steps.

  1. Clique no link abaixo.Click the link below.

    Implementar no AzureDeploy to Azure

  2. Aguarde até que a ligação abra no portal do Azure e, em seguida, siga estes passos:Wait for the link to open in the Azure portal, then follow these steps:

    • O nome do Grupo de recursos já está definido no ficheiro de parâmetros, por isso, selecione Criar Novo e introduza ra-hybrid-er-rg na caixa de texto.The Resource group name is already defined in the parameter file, so select Create New and enter ra-hybrid-er-rg in the text box.
    • Selecione a região na caixa pendente Localização.Select the region from the Location drop down box.
    • Não edite as caixas de texto Uri da Raiz de Modelo nem Uri da Raiz de Parâmetro.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Reveja os termos e condições e clique na caixa de seleção Aceito os termos e condições acima apresentados.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Clique no botão Comprar.Click the Purchase button.
  3. Aguarde pela conclusão da implementação.Wait for the deployment to complete.

  4. Clique no link abaixo.Click the link below.

    Implementar no AzureDeploy to Azure

  5. Aguarde até que a ligação abra no portal do Azure e, em seguida, siga estes passos:Wait for the link to open in the Azure portal, then follow these steps:

    • Selecione Utilizar existente, na secção Grupo de recursos, e introduza ra-hybrid-er-rg na caixa de texto.Select Use existing in the Resource group section and enter ra-hybrid-er-rg in the text box.
    • Selecione a região na caixa pendente Localização.Select the region from the Location drop down box.
    • Não edite as caixas de texto Uri da Raiz de Modelo nem Uri da Raiz de Parâmetro.Do not edit the Template Root Uri or the Parameter Root Uri text boxes.
    • Reveja os termos e condições e clique na caixa de seleção Aceito os termos e condições acima apresentados.Review the terms and conditions, then click the I agree to the terms and conditions stated above checkbox.
    • Clique no botão Comprar.Click the Purchase button.
  6. Aguarde pela conclusão da implementação.Wait for the deployment to complete.