Conectividad híbrida: Conectar on-premises a Azure

Este artículo le ayuda a elegir y planear la opción de conectividad adecuada para conectar la red local a Azure redes virtuales (VNet).

Lo que trata este artículo

En este artículo se tratan las decisiones de diseño para conectar redes locales a redes virtuales Azure mediante Azure VPN Gateway o Azure ExpressRoute. Aprenderá cuándo usar cada opción, cómo funcionan juntas y cómo planificar la implementación de su puerta de enlace. Para una visión general de los servicios de conectividad híbrida, consulta ¿Qué es la conectividad híbrida?

Quién necesita este artículo

Lea este artículo si se aplican una o varias de estas condiciones:

• Las cargas de trabajo de Azure deben comunicarse con sistemas, usuarios o centros de datos locales.
• Debe elegir entre VPN Gateway y ExpressRoute en función del ancho de banda, la latencia, la resistencia o el costo.
• Necesita una ruta de acceso privada o cifrada para las dependencias de identidad, datos, administración o aplicación que permanecen fuera de Azure.
• Debe planear la topología de puerta de enlace, la redundancia o la coexistencia entre VPN y ExpressRoute.

servicios y características de Azure

Azure proporciona varios servicios para la conectividad híbrida. Cada servicio aborda distintos requisitos de ancho de banda, latencia, costo y seguridad.

Funcionamiento de VPN Gateway

Azure VPN Gateway crea un túnel IPsec/IKE cifrado entre el dispositivo VPN local y una puerta de enlace de red virtual Azure. Los siguientes pasos describen el proceso de instalación de túneles sitio a sitio (S2S):

1. Aprovisionamiento de la puerta de enlace: Se implementa un recurso de VPN Gateway en la subred de puerta de enlace (GatewaySubnet) de su VNet central. Azure aprovisiona dos o más instancias de puerta de enlace (en función de la SKU y de la configuración activa-activa). El aprovisionamiento tarda aproximadamente entre 30 y 45 minutos.
2. Definición de puerta de enlace de red local: Cree un recurso de puerta de enlace de red local en Azure que represente la red local. Este recurso especifica la dirección IP pública del dispositivo VPN local y los intervalos de direcciones locales que Azure deben enrutar a través del túnel.
3. Creación de recursos de conexión: Cree un recurso de conexión que vincule el VPN Gateway a la puerta de enlace de red local. Especifique la clave compartida (clave precompartida) y los parámetros IPsec/IKE para el túnel.
4. Fase 1 de IKE (modo principal): La puerta de enlace Azure y el dispositivo local negocian un canal seguro. Intercambian propuestas para algoritmos de cifrado, algoritmos de integridad, grupos de Diffie-Hellman y métodos de autenticación. El resultado es una asociación de seguridad IKE (SA).
5. IKE Fase 2 (Modo Rápido): Al utilizar el canal seguro de la Fase 1, ambas partes negocian los parámetros de IPsec SA: algoritmo de cifrado, algoritmo de integridad y vida útil de la clave. Este proceso establece el túnel IPsec.
6. Flujos de tráfico: Una vez completadas ambas fases, el túnel está activo. El tráfico que coincide con los intervalos de direcciones definidos se cifra, encapsula en paquetes ESP de IPsec y se envía a través de la red pública de Internet al punto de conexión remoto.

Para las configuraciones activas y activas, Azure aprovisiona dos instancias de puerta de enlace, cada una con su propia dirección IP pública. Su dispositivo local establece túneles con ambas instancias, lo que proporciona una conmutación por error automática si una de las instancias deja de estar disponible.

Cómo funciona ExpressRoute

Azure ExpressRoute crea una conexión privada entre la red local y Azure a través de un proveedor de conectividad. A diferencia de vpn, el tráfico nunca pasa por la red pública de Internet. El modelo de conectividad implica tres bordes de red:

• Borde del cliente (CE): Su enrutador local en su centro de datos o instalación de coubicación. Este dispositivo se empareja con el enrutador perimetral del proveedor mediante BGP.
• Punto de conexión del proveedor (PE): El router del proveedor de conectividad situado en su punto de conexión (instalación de peering). El proveedor configura una conexión de capa 2 o de capa 3 entre su CE y su PE.
• Microsoft Edge (MSEE): Enrutadores Microsoft Enterprise Edge en la instalación de interconexión. El proveedor conecta su PE al MSEE, completando la ruta de acceso privada en Azure.

Al aprovisionar un circuito ExpressRoute, el proveedor configura conexiones redundantes entre los tres bordes. Azure anuncia los prefijos de direcciones de tu VNet a tu enrutador CE mediante BGP, y tu CE anuncia las rutas del entorno local de vuelta a Azure. Este intercambio de rutas bidireccionales permite que el tráfico fluya a través de la ruta de acceso privada.

ExpressRoute admite dos tipos de emparejamiento:

• Peering privado de Azure: Se conecta a las VNet de Azure (IaaS y PaaS con puntos de conexión privados). Este tipo de emparejamiento es el más común para la conectividad híbrida.
• Peering de Microsoft: Se conecta a Microsoft 365 y a los servicios públicos de Azure (como los puntos de conexión públicos de Azure Storage). Requiere filtros de ruta para seleccionar prefijos de servicio específicos.

Comparación de SKU de ExpressRoute

comparación de SKU de VPN Gateway

Cómo elegir

Use las siguientes tablas de decisión para seleccionar la opción de conectividad correcta y determinar dónde colocar la puerta de enlace.

VPN Gateway frente a ExpressRoute

¿Dónde se encuentra la puerta de enlace?

Opciones de resistencia de ExpressRoute

En la tabla siguiente se resume cómo aumentar la disponibilidad de ExpressRoute. Para consultar los porcentajes actuales del SLA, consulte Acuerdos de nivel de servicio de Azure.

Decisión de despliegue: Ejemplo de colocación de pasarela

Imaginemos una empresa con una red de tipo hub-and-spoke que cuenta con tres VNet de ramal para producción, entorno de prueba y desarrollo. Las cargas de trabajo de producción requieren ExpressRoute para la replicación de bases de datos de baja latencia, mientras que los entornos de desarrollo usan VPN Gateway por eficiencia de costes.

Ubicación recomendada:

1. Despliega tanto una pasarela ExpressRoute como una VPN Gateway en la GatewaySubnet del hub VNet (requiere una subred /26 para coexistir).
2. Conecta los ramales de producción y de entorno de prueba al centro mediante el emparejamiento de VNet, con el tránsito de puerta de enlace habilitado. Estos ramales utilizan la ruta de ExpressRoute para la conectividad local.
3. Conecta la red de ramal de desarrollo al nodo central con el tránsito de puerta de enlace habilitado. Configure tablas de rutas para que el tráfico de desarrollo use preferentemente el túnel VPN, lo que reduce los costos de transferencia de datos de ExpressRoute.
4. Configura la conexión VPN como ruta de conmutación por error para producción, en caso de que el circuito de ExpressRoute sufra una interrupción del proveedor.

Este enfoque centraliza la gestión de la pasarela en un único núcleo, minimiza el número de recursos necesarios y empareja cada spoke con la capa de conectividad correspondiente a sus requisitos de carga de trabajo.

Consideraciones sobre los costos

VPN Gateway y ExpressRoute tienen diferentes modelos de precios. Comprender estos modelos le ayuda a optimizar el gasto.

Consejos para optimizar los costes:

• Utiliza la SKU local para ExpressRoute cuando tus cargas de trabajo se encuentren en la misma área metropolitana que la ubicación de emparejamiento. Esta opción elimina los cargos de transferencia de datos salientes.
• Elija el plan medido para ExpressRoute si la transferencia de datos salientes es inferior a aproximadamente 10 TB/mes. Use el plan ilimitado para cargas de trabajo de mayor volumen.
• Despliega VPN Gateway como un conmutador por error en lugar de un segundo circuito ExpressRoute si tienes un presupuesto limitado pero aún necesitas redundancia.
• Ajuste correctamente el tamaño de la SKU de VPN Gateway. Empieza con VpnGw2AZ para la mayoría de las cargas de trabajo de producción y amplía la capacidad solo si observas una saturación constante del rendimiento.
• Revise mensualmente la utilización de la puerta de enlace. Las métricas de Azure Monitor muestran el rendimiento del túnel y el número de conexiones, lo que ayuda a identificar puertas de enlace sobredimensionadas.

Consideraciones de diseño

Prerequisites

Antes de implementar la conectividad híbrida, confirme que se cumplen los siguientes requisitos:

• Red virtual con una GatewaySubnet: Su red virtual debe incluir una subred dedicada denominada GatewaySubnet con un tamaño mínimo de /27 (o de /26 si tiene previsto que coexistan puertas de enlace de ExpressRoute y VPN). Para obtener instrucciones de planeamiento de redes virtuales y subredes, consulte el artículo Redes virtuales y subredes.
• Dispositivo VPN local (para VPN Gateway): un dispositivo VPN compatible que admite IKEv2 e IPsec. Microsoft mantiene una lista de dispositivos VPN validados.
• Relación del proveedor de conectividad (para ExpressRoute): Un contrato con un proveedor de conectividad de ExpressRoute o una asignación de puertos de ExpressRoute Direct. El aprovisionamiento del proveedor requiere un intercambio de claves de servicio y una configuración de conexión cruzada física.
• Planeamiento de direcciones IP: Espacios de direcciones no superpuestos entre redes locales y Azure. Planifica las direcciones de la subred de puerta de enlace como parte de tu estrategia global de IP. Consulte el artículo sobre la planificación de IP.
• Soporte para el Protocolo de Puerta de Enlace de Frontera (BGP): ExpressRoute requiere BGP y se recomienda para enrutamiento dinámico de VPN Gateway. Confirme que el equipo local admite BGP.

Consideraciones de seguridad

La conectividad híbrida presenta límites de seguridad que requieren un planeamiento cuidadoso. Cada tipo de conectividad tiene diferentes perfiles de amenazas y estrategias de mitigación.

El tráfico de ExpressRoute no está cifrado de forma predeterminada

ExpressRoute proporciona una ruta privada, pero no cifra el tráfico a nivel de red por defecto. Esta falta de cifrado significa que cualquiera con acceso físico a la infraestructura del proveedor podría, en teoría, interceptar el tráfico. Tenga en cuenta las siguientes opciones de cifrado en función de su perfil de riesgo:

• MACsec (capa 2): Solo está disponible en ExpressRoute Direct. Cifra el tráfico en el enlace físico entre sus enrutadores perimetrales y la red perimetral de Microsoft. Debes habilitar explícitamente MACsec después de aprovisionar los puertos. Esta opción proporciona cifrado a velocidad de línea con un aumento mínimo de la latencia.
• IPsec sobre ExpressRoute (capa 3): Establezca un túnel VPN a través de la conexión de emparejamiento privado de ExpressRoute para obtener cifrado de extremo a extremo. Este enfoque funciona con cualquier circuito ExpressRoute y cifra el tráfico entre la red del proveedor y la red troncal Microsoft. El SKU VPN Gateway limita el rendimiento.
• Cifrado de capa de aplicación: Use TLS/HTTPS en el nivel de aplicación. Este enfoque es independiente del tipo de conectividad y protege los datos independientemente del transporte subyacente. Es el cifrado mínimo más común y recomendado para todas las cargas de trabajo híbridas.

Para la mayoría de las organizaciones, la combinación de la ruta de acceso privada de ExpressRoute más TLS de capa de aplicación proporciona protección suficiente. Agregue MACsec o IPsec a través de ExpressRoute solo cuando los requisitos normativos exijan el cifrado de la capa de red para los datos en tránsito.

El enrutamiento asimétrico impide el funcionamiento de los cortafuegos con estado

Cuando se usan varias rutas de acceso de conectividad, como ExpressRoute y VPN, el tráfico puede seguir diferentes rutas de acceso entrantes y salientes. Los firewalls con estado descartan el tráfico de retorno que llega por una interfaz distinta de aquella por la que se envió la solicitud original. Planee el enrutamiento para garantizar rutas simétricas o use tablas de rutas y atributos BGP para controlar el flujo de tráfico.

Las estrategias de mitigación incluyen:

• Configure el prefijado de ruta AS de BGP en la ruta de respaldo para que tenga menor preferencia.
• Use tablas de rutas (UDRs) en las subredes para forzar el tráfico a través de una puerta de enlace específica.
• Configura las comunidades BGP y la preferencia local para influir de forma determinista en la selección de rutas.
• Prueba escenarios de conmutación por error para verificar que el tráfico regresa por la misma ruta por la que llegó.

Precaución sobre el NSG de GatewaySubnet

Si debes aplicar NSG a la GatewaySubnet, permite como mínimo el tráfico procedente de la GatewayManageretiqueta de servicio y de la AzureLoadBalanceretiqueta de servicio. Revise la documentación de la puerta de enlace para obtener la lista completa de reglas necesarias antes de realizar cambios.

Cifrado VPN sitio a sitio

IKEv2/IPsec siempre cifra el tráfico VPN sitio a sitio en tránsito. Los algoritmos de cifrado y la solidez de las claves se configuran como parte de la directiva IPsec/IKE de la conexión. Use directivas personalizadas para aplicar algoritmos criptográficos específicos en lugar de confiar en los valores predeterminados.

Configuración recomendada de directivas personalizadas para cargas de trabajo de producción:

• Fase 1 de IKE: cifrado AES-256, integridad SHA-256, grupo DH 14 o superior
• Fase 2 de IKE (IPsec): cifrado AES-256-GCM, grupo PFS 14 o superior
• Duración predeterminada de SA: 28 800 segundos (IKE), 3600 segundos (IPsec)

Evite usar algoritmos en desuso (DES, 3DES, MD5, SHA-1, DH Group 1/2), aunque Azure todavía los admita para la compatibilidad con versiones anteriores.

Autenticación VPN punto a sitio

P2S VPN admite la autenticación Microsoft Entra ID con la integración de autenticación multifactor (MFA). Esta opción proporciona control de acceso basado en identidades para clientes individuales que se conectan a Azure. La VPN P2S también soporta autenticación basada en certificados y RADIUS.

Elija el método de autenticación en función de sus requisitos:

Artículos relacionados

• ¿Qué es la conectividad híbrida?: Resumen de los servicios de conectividad híbrida de Azure y cuándo usar cada uno.
• Redes virtuales y subredes: requisitos previos de tamaño y red virtual de GatewaySubnet para la conectividad híbrida.
• Tunelización forzada y control de salida: cómo la tunelización forzada enruta el tráfico enlazado a Internet desde Azure de vuelta al entorno local.
• Acceso privado a los servicios PaaS: hacer que los puntos de conexión privados sean accesibles desde redes locales a través de la conectividad híbrida.
• Acceso remoto para desarrolladores y administradores: despliegue de VPN punto a sitio, integración de identidad y detalles de configuración del cliente.
• Conectividad multinube y interregión: Escenarios de alcance global ExpressRoute y conectividad entre nubes.
• Topología en estrella: Ubicación de la puerta de enlace en la VNet central y configuración de enrutamiento en rama.

Aprende más

• ¿Qué es Azure VPN Gateway?
• ¿Qué es Azure ExpressRoute?
• Acerca de ExpressRoute Direct
• Configuración de VPN Gateway
• Diseño de alta disponibilidad con ExpressRoute
• Utilice una VPN S2S como respaldo para el emparejamiento privado de ExpressRoute
• Acerca del cifrado para ExpressRoute

Pasos siguientes