Migrar a un nuevo circuito ExpressRoute

Si quiere cambiar de un circuito ExpressRoute a otro, es posible hacerlo de forma fluida con una interrupción mínima del servicio. Este documento le guiará a seguir los pasos necesarios para migrar el tráfico de producción sin provocar interrupciones o riesgos importantes. Este método se aplica tanto si se pretende pasar a una nueva ubicación de emparejamiento o a la misma.

Si tiene su circuito ExpressRoute a través de un proveedor de servicios de Capa 3, cree el nuevo circuito en su suscripción en el portal de Azure. Trabaje con su proveedor de servicios para cambiar el tráfico de forma fluida al nuevo circuito. Una vez que el proveedor de servicios haya desaprovisionado el circuito antiguo, elimínelo de Azure Portal.

El resto del artículo es válido en caso de tener el circuito ExpressRoute a través de un proveedor de servicios de nivel 2 o puertos directos de ExpressRoute.

Pasos para la migración de circuitos ExpressRoute de forma fluida

En el diagrama anterior se muestra el proceso de migración desde un circuito ExpressRoute existente, denominado Circuito A, a un nuevo circuito ExpressRoute, denominado Circuito B. El Circuito B puede estar en la misma ubicación de emparejamiento que el Circuito A o en una diferente. El proceso de migración consta de los pasos siguientes:

1. Implementar el Circuito B de forma aislada: mientras el tráfico continúa fluyendo a través del Circuito A, implemente un nuevo Circuito B sin que afecte al entorno de producción.

2. Bloquee el flujo de tráfico de producción por el circuito B: Impida que circule tráfico por el circuito B hasta que se haya probado y validado por completo.

3. Completar y validar la conectividad de un extremo a otro del Circuito B: asegúrese de que el Circuito B pueda establecer y mantener una conexión estable y segura con todos los puntos de conexión necesarios.

4. Cambiar el tráfico: redirija el flujo de tráfico del Circuito A al Circuito B y bloquee el flujo de tráfico a través del Circuito A.

5. Desmantelar el Circuito A: Quite el Circuito A de la red y libere sus recursos.

Implementación de un nuevo circuito de forma aislada

Para un reemplazo igual que preserve el nivel de resiliencia del circuito existente, seleccione la opción de Resiliencia Estándar y siga los pasos descritos en la guía Crear un circuito con ExpressRoute para crear su nuevo circuito ExpressRoute (Circuito B) en la ubicación de peering deseada. La resiliencia estándar es una configuración de un solo sitio y no se recomienda para cargas de trabajo críticas ni empresariales. Si vas a migrar una carga de trabajo de ese tipo, evalúa en su lugar la resiliencia alta o máxima. Para más información, consulte Diseño y arquitectura de Azure ExpressRoute para la resiliencia. A continuación, siga los pasos descritos en Configuración del emparejamiento para el circuito ExpressRoute para configurar los tipos de emparejamiento necesarios: privado y Microsoft.

Para evitar que el tráfico de producción del emparejamiento privado circule por el Circuito B antes de probarlo y validarlo, no vincule al Circuito B una puerta de enlace de red virtual con una implementación en producción. Del mismo modo, para evitar que el tráfico de producción del emparejamiento de Microsoft circule por el Circuito B, no asocie un filtro de rutas al Circuito B.

Bloqueo del flujo de tráfico de producción que pasa por el circuito recién creado

Evite el anuncio de ruta a través de uno o varios emparejamientos nuevos en los dispositivos CE.

En Cisco IOS, puede usar un route-map y un prefix-list para filtrar las rutas anunciadas en una sesión BGP. En el ejemplo siguiente se muestra cómo crear y aplicar route-map y prefix-list para este propósito:

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

router bgp <your_AS_number>
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS out
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS in

Use la directiva de exportación e importación para filtrar las rutas anunciadas y recibidas en el nuevo emparejamiento en los dispositivos Junos. En el siguiente ejemplo se muestra cómo configurar una directiva de exportación e importación para este fin.

user@router>show configuration policy-options policy-statement BLOCK-ALL-ROUTES

term reject-all {

    the reject;
}

protocols {
    bgp {
        group <your_group_name> {
            neighbor <neighbor_IP_address> {
                export [ BLOCK-ALL-ROUTES ];
                import [ BLOCK-ALL-ROUTES ];
            }
        }
    }
}

Validación de la conectividad de un extremo a otro del circuito recién creado

Emparejamiento privado

Para vincular el nuevo circuito a la puerta de enlace de una red virtual de prueba y comprobar la conectividad de emparejamiento privado, siga los pasos descritos en Conexión de una red virtual a un circuito ExpressRoute. Después de vincular las redes virtuales al circuito, compruebe la tabla de rutas del emparejamiento privado para asegurarse de que se incluya el espacio de direcciones de la red virtual. En el ejemplo siguiente se muestra una tabla de rutas correspondiente al emparejamiento privado de un circuito ExpressRoute en el portal de administración de Azure:

En el diagrama siguiente, se muestra una máquina virtual de prueba en una red virtual de prueba y un dispositivo de prueba local usado para comprobar la conectividad a través del emparejamiento privado de ExpressRoute.

Modifique la configuración de la route-map o de la directiva para filtrar las rutas anunciadas y permitir la dirección IP específica del dispositivo de prueba en las instalaciones. Del mismo modo, permita el espacio de direcciones de la red virtual de prueba desde Azure.

route-map BLOCK ADVERTISEMENTS permit 5
 match ip address prefix-list PERMIT-ROUTE

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list PERMIT-ROUTE seq 10 permit 10.17.1.0/24
ip prefix-list PERMIT-ROUTE seq 20 permit 10.1.18.10/32

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

Para permitir prefijos IP específicos para dispositivos de prueba en Junos, configure una lista de prefijos. A continuación, configure la directiva de importación y exportación de BGP para permitir estos prefijos y rechazar todo lo demás.

user@router>show configuration policy-options policy-statement BLOCK-ADVERTISEMENTS

term PERMIT-ROUTES {
    from {
        prefix-list PERMIT-ROUTE;
    }
    then accept;
}

term reject-all {
    then reject;
}

user@router>show configuration policy-options prefix-list PERMIT-ROUTE

10.1.18.10/32;
10.17.1.0/24;

Compruebe la conectividad de extremo a extremo a través del peering privado. Por ejemplo, puede hacer ping a la máquina virtual de prueba en Azure desde el dispositivo de prueba local y comprobar los resultados. Para obtener una validación detallada paso a paso, consulte Comprobación de la conectividad de ExpressRoute.

Interconexión con Microsoft

La verificación de su peering de Microsoft requiere una planificación cuidadosa para evitar afectar al tráfico de producción. Siga estos pasos para garantizar un proceso sin problemas:

1. Uso de prefijos distintos: configure el emparejamiento de Microsoft para el Circuito B con prefijos diferentes de los usados para el Circuito A para evitar conflictos de enrutamiento. Consulte Creación de emparejamientos de Microsoft para obtener instrucciones.
2. Filtros de ruta independientes: vincule el emparejamiento de Microsoft del Circuito B con un filtro de ruta diferente al del circuito A. Siga los pasos descritos en Configuración de filtros de ruta para el emparejamiento de Microsoft.
3. Evitar rutas comunes: asegúrese de que los filtros de ruta de ambos circuitos no compartan rutas comunes para evitar el enrutamiento asimétrico. Esto se puede hacer mediante:
   • La selección de un servicio o región de Azure para probar el Circuito B que no use el tráfico de producción del Circuito A.
   • Minimizar la superposición entre los dos filtros de enrutamiento y permitir solo determinados endpoints públicos de prueba a través del Circuito B.

Después de vincular un filtro de ruta, compruebe las rutas anunciadas y recibidas mediante el emparejamiento BGP en el dispositivo CE. Modifique la configuración de directivas de Junos o de asignación de enrutamiento para filtrar las rutas anunciadas, permitiendo solo los prefijos locales del emparejamiento de Microsoft y direcciones IP específicas de los puntos de conexión públicos de Microsoft seleccionados para realizar pruebas.

Para probar la conectividad a los puntos de conexión de Microsoft 365, siga los pasos descritos en Implementación de ExpressRoute para Microsoft 365: compilación de procedimientos de prueba. En el caso de los puntos de conexión públicos de Azure, empiece con pruebas de conectividad básicas, como traceroute desde el entorno local para asegurarse de que las solicitudes pasen por los puntos de conexión de ExpressRoute. Más allá de los puntos de conexión de ExpressRoute, los mensajes ICMP se suprimen a través de la red de Microsoft. De forma adicional, pruebe la conectividad en el nivel de aplicación. Por ejemplo: en caso de tener una máquina virtual de Azure con una dirección IP pública que ejecuta un servidor web, intente acceder a la dirección IP pública del servidor web desde la red local a través de la conexión ExpressRoute. Esto confirmará que el tráfico complejo, como las solicitudes HTTP, llegará a los servicios de Azure.

Emparejamiento privado

1. Desconecte el Circuito B de las puertas de enlace de red virtual de prueba.
2. Elimine cualquier excepción aplicada a los mapas de rutas de Cisco o a la política de Junos.
3. Conecte Circuit B a la puerta de enlace de la red virtual de producción siguiendo los pasos de Conectar una red virtual a un circuito ExpressRoute.
4. Asegúrese de que el Circuito B esté listo para anunciar todas las rutas anunciadas actualmente a través del Circuito A. Compruebe que las interfaces del Circuito B estén asociadas al VRF o a la instancia de enrutamiento adecuada.
5. Quite los mapas de rutas o la política de las interfaces del Circuito B y aplíquelos a las interfaces del Circuito A para bloquear los anuncios de rutas a través del Circuito A, de modo que el tráfico pase al Circuito B.
6. Compruebe el flujo de tráfico del Circuito B. En caso de producirse un error en la comprobación, revierta los cambios y cambie el flujo de tráfico al Circuito A.
7. Si el resultado de la comprobación fuera correcto, elimine el Circuito A.

Interconexión con Microsoft

1. Quite el Circuito B de cualquier filtro de ruta de Azure de prueba.
2. Elimine cualquier excepción aplicada a los mapas de rutas o a la política.
3. Asegúrese de que las interfaces del Circuito B estén asociadas al VRF o a la instancia de enrutamiento adecuados.
4. Validar y confirmar los prefijos anunciados a través del emparejamiento de Microsoft.
5. Asocie el emparejamiento de Microsoft del Circuito B al filtro de ruta de Azure asociado actualmente al Circuito A.
6. Quite los mapas de rutas o las políticas de exportación/importación de las interfaces del Circuito B y aplíquelos a las interfaces del Circuito A para bloquear los anuncios de rutas a través del Circuito A, cambiando el flujo de tráfico al Circuito B.
7. Compruebe el flujo de tráfico del Circuito B. En caso de producirse un error en la comprobación, revierta los cambios y cambie el flujo de tráfico al Circuito A.
8. Si el resultado de la comprobación fuera correcto, elimine el Circuito A.

Paso siguiente

Para más información sobre la configuración del enrutador, consulte Ejemplos de configuración de enrutadores para configurar y administrar enrutamiento.