Connectivité hybride : Connecter les sites à Azure

Cet article vous aide à choisir et à planifier l’option de connectivité appropriée pour connecter votre réseau local à des réseaux virtuels Azure.

Présentation de cet article

Cet article décrit les décisions de conception pour connecter des réseaux locaux à des réseaux virtuels Azure à l’aide de Passerelle VPN Azure ou de Azure ExpressRoute. Vous apprenez à utiliser chaque option, comment elles fonctionnent ensemble et comment planifier votre déploiement de passerelle. Pour une vue d’ensemble des services de connectivité hybride, voir Qu’est-ce que la connectivité hybride ?

Qui a besoin de cet article

Lisez cet article si une ou plusieurs de ces conditions s’appliquent :

• Vos charges de travail Azure doivent communiquer avec les systèmes, utilisateurs ou centres de données locaux.
• Vous devez choisir entre passerelle VPN et ExpressRoute en fonction de la bande passante, de la latence, de la résilience ou du coût.
• Vous avez besoin d’un chemin privé ou chiffré pour les dépendances d’identité, de données, de gestion ou d’application qui restent en dehors des Azure.
• Vous devez planifier la topologie de passerelle, la redondance ou la coexistence entre VPN et ExpressRoute.

Azure services et fonctionnalités

Azure fournit plusieurs services pour la connectivité hybride. Chaque service répond à différentes exigences en matière de bande passante, de latence, de coût et de sécurité.

Fonctionnement de passerelle VPN

Passerelle VPN Azure crée un tunnel IPsec/IKE chiffré entre votre périphérique VPN local et une passerelle de réseau virtuel Azure. Les étapes suivantes décrivent le processus de mise en place du tunnel site-à-site (S2S) :

1. Provisionnement de la passerelle : Vous déployez une ressource de passerelle VPN dans le sous-réseau GatewaySubnet de votre réseau virtuel hub. Azure provisionne au moins deux instances de passerelle (en fonction du SKU et de la configuration active-active). L’approvisionnement prend environ 30 à 45 minutes.
2. Définition de passerelle de réseau local : Vous créez une ressource de passerelle de réseau local dans Azure qui représente votre réseau local. Cette ressource spécifie l’adresse IP publique de votre appareil VPN local et les plages d’adresses locales que Azure doivent acheminer via le tunnel.
3. Création de ressources de connexion : Vous créez une ressource de connexion qui lie le passerelle VPN à la passerelle de réseau local. Vous spécifiez les paramètres de clé partagée (clé prédéfinie) et IPsec/IKE pour le tunnel.
4. Phase IKE 1 (mode principal) : La passerelle Azure et votre appareil local négocient un canal sécurisé. Ils échangent des propositions pour les algorithmes de chiffrement, les algorithmes d’intégrité, les groupes Diffie-Hellman et les méthodes d’authentification. Le résultat est une association de sécurité IKE (SA).
5. IKE Phase 2 (Mode Rapide) : En utilisant le canal sécurisé de la phase 1, les deux parties négocient les paramètres de l’API SA IPsec : algorithme de chiffrement, algorithme d’intégrité et durée de vie des clés. Ce processus établit le tunnel IPsec.
6. Flux de trafic : Une fois les deux phases terminées, le tunnel est actif. Le trafic correspondant aux plages d’adresses définies est chiffré, encapsulé dans les paquets ESP IPsec et envoyé sur l’Internet public au point de terminaison distant.

Pour les configurations actives, Azure provisionne deux instances de passerelle, chacune avec sa propre adresse IP publique. Votre appareil local établit des tunnels vers les deux instances, en fournissant un basculement automatique si une instance devient indisponible.

Fonctionnement d’ExpressRoute

Azure ExpressRoute crée une connexion privée entre votre réseau local et Azure via un fournisseur de connectivité. Contrairement au VPN, le trafic ne passe jamais sur l’Internet public. Le modèle de connectivité implique trois périphéries réseau :

• Périphérie client (CE) : Votre routeur local au niveau de votre centre de données ou de votre installation de colocalisation. Cet appareil établit un peering avec le routeur de bordure du fournisseur via BGP.
• Périphérie du fournisseur (PE) : routeur du fournisseur de connectivité situé sur son point d'interconnexion (installation de peering). Le fournisseur configure une connexion de couche 2 ou de couche 3 entre votre CE et leur PE.
• Microsoft Edge (MSEE): routeurs Microsoft Enterprise Edge sur le site de peering. Le fournisseur connecte son PE au MSEE, complétant ainsi le chemin privé vers Azure.

Lorsque vous approvisionnez un circuit ExpressRoute, le fournisseur configure des connexions redondantes entre les trois bords. Azure annonce les préfixes d’adresses de votre VNet à votre routeur CE à l’aide de BGP, et votre CE annonce les routes locales vers Azure. Cet échange d’itinéraire bidirectionnel permet au trafic de circuler sur le chemin privé.

ExpressRoute prend en charge deux types de peering :

• Peering privé Azure : se connecte aux réseaux virtuels Azure (IaaS et PaaS avec des points de terminaison privés). Ce type de peering est le plus courant pour la connectivité hybride.
• Microsoft peering: Permet de se connecter aux services publics Microsoft 365 et Azure (tels que les points de terminaison publics stockage Azure). Nécessite des filtres de routage pour sélectionner des préfixes de service spécifiques.

Comparaison des SKU ExpressRoute

Comparaison des références SKU de passerelle VPN

Comment choisir

Utilisez les tableaux de décision suivants pour sélectionner l’option de connectivité appropriée et déterminer où placer votre passerelle.

passerelle VPN et ExpressRoute

Où se trouve la passerelle ?

Options de résilience ExpressRoute

Le tableau suivant résume comment augmenter la disponibilité d’ExpressRoute. Pour connaître les pourcentages de contrats SLA actuels, consultez Azure contrats de niveau de service.

Décision de déploiement : exemple de placement de passerelle

Prenons l'exemple d'une entreprise dotée d'un réseau hub-and-spoke comprenant trois réseaux virtuels spoke pour les environnements de production, de préproduction et de développement. Les charges de travail de production nécessitent ExpressRoute pour la réplication de base de données à faible latence, tandis que le développement utilise passerelle VPN pour optimiser les coûts.

Placement recommandé :

1. Déployez à la fois une passerelle ExpressRoute et une passerelle VPN dans le GatewaySubnet du hub VNet (nécessite un sous-réseau /26 pour la coexistence).
2. Connectez les spokes de production et de préproduction au hub via le peering de réseaux virtuels, avec le transit de passerelle activé. Ces spokes utilisent le chemin ExpressRoute pour la connectivité aux réseaux locaux.
3. Connectez le spoke de développement au hub avec le transit de passerelle activé. Configurez les tables de routage afin que le trafic de développement utilise de manière privilégiée le tunnel VPN, ce qui réduit les coûts de transfert de données ExpressRoute.
4. Configurez la connexion VPN en tant que chemin de basculement pour la production si le circuit ExpressRoute rencontre une panne de fournisseur.

Cette approche centralise la gestion des passerelles dans un hub unique, minimise le nombre de ressources de passerelle nécessaires et associe chaque branche au niveau de connectivité adapté aux exigences de sa charge de travail.

Considérations relatives aux coûts

passerelle VPN et ExpressRoute ont des modèles tarifaires différents. La compréhension de ces modèles vous permet d’optimiser les dépenses.

Conseils d’optimisation des coûts :

• Utilisez le niveau SKU Local d'ExpressRoute lorsque vos charges de travail se trouvent dans la même zone métropolitaine que l'emplacement de peering. Ce choix élimine les frais de transfert de données sortants.
• Choisissez le plan mesuré pour ExpressRoute si votre transfert de données sortants est inférieur à environ 10 To/mois. Utilisez le plan illimité pour les charges de travail plus volumineuses.
• Déployez une passerelle VPN comme solution de basculement plutôt qu’un deuxième circuit ExpressRoute si vous disposez d’un budget limité tout en ayant besoin de redondance.
• Dimensionner correctement votre référence SKU passerelle VPN. Commencez par VpnGw2AZ pour la plupart des charges de travail de production et n’augmentez la capacité que si vous observez une saturation constante du débit.
• Passez en revue l’utilisation mensuelle de votre passerelle. Les métriques Azure Monitor affichent le débit du tunnel et le nombre de connexions, vous aidant ainsi à identifier les passerelles surdimensionnées.

Considérations relatives à la conception

Prerequisites

Avant d’implémenter la connectivité hybride, vérifiez que les exigences suivantes sont en place :

• Réseau virtuel avec un gatewaySubnet : Votre réseau virtuel doit inclure un sous-réseau dédié nommé GatewaySubnet avec une taille minimale de /27 (ou /26 si vous envisagez de coexister expressRoute et passerelles VPN). Pour obtenir des conseils sur la planification du réseau virtuel et du sous-réseau, consultez l’article sur les réseaux virtuels et les sous-réseaux.
• Périphérique VPN local (pour passerelle VPN) : appareil VPN compatible prenant en charge IKEv2 et IPsec. Microsoft conserve une liste d’appareils VPN validés.
• Relation du fournisseur de connectivité (pour ExpressRoute) : Un contrat avec un fournisseur de connectivité ExpressRoute ou une allocation de port ExpressRoute Direct. Le provisionnement du fournisseur nécessite un échange d’une clé de service et la mise en place d’une interconnexion physique.
• Planification des adresses IP : Espaces d’adressage non superposés entre les réseaux locaux et Azure. Planifiez les adresses de sous-réseau de passerelle dans le cadre de votre stratégie IP globale. Consultez l’article de planification IP.
• Prise en charge du protocole Border Gateway Protocol (BGP): ExpressRoute nécessite le protocole BGP, et celui-ci est recommandé pour le routage dynamique de passerelle VPN. Vérifiez que votre équipement sur site prend en charge BGP.

Considérations relatives à la sécurité

La connectivité hybride introduit des limites de sécurité qui nécessitent une planification minutieuse. Chaque type de connectivité a différents profils de menace et stratégies d’atténuation.

Le trafic ExpressRoute n’est pas chiffré par défaut

ExpressRoute propose un chemin privé, mais il ne chiffre pas le trafic au niveau réseau par défaut. Ce manque de chiffrement signifie que toute personne ayant un accès physique à l’infrastructure du fournisseur pourrait théoriquement intercepter le trafic. Tenez compte des options de chiffrement suivantes en fonction de votre profil de risque :

• MACsec (couche 2) : Disponible uniquement sur ExpressRoute Direct. Chiffre le trafic sur le lien physique entre vos routeurs de périphérie et la périphérie du réseau Microsoft. Vous devez explicitement activer MACsec après le provisionnement des ports. Cette option fournit un chiffrement à vitesse filaire avec une surcharge de latence minimale.
• IPsec sur ExpressRoute (couche 3) : Exécutez un tunnel VPN via la connexion de peering privé ExpressRoute pour le chiffrement de bout en bout. Cette approche fonctionne avec tout circuit ExpressRoute et chiffre le trafic à la fois sur le réseau du fournisseur et sur le réseau principal de Microsoft. Le SKU passerelle VPN limite le débit.
• Chiffrement de couche application : Utilisez TLS/HTTPS au niveau de l’application. Cette approche est indépendante du type de connectivité et protège les données indépendamment du transport sous-jacent. Il s’agit du chiffrement minimal le plus courant et recommandé pour toutes les charges de travail hybrides.

Pour la plupart des organisations, la combinaison du chemin privé ExpressRoute et du protocole TLS de couche application offre une protection suffisante. Ajoutez MACsec ou IPsec sur ExpressRoute uniquement lorsque les exigences réglementaires imposent le chiffrement de la couche réseau pour les données en transit.

Le routage asymétrique perturbe les pare-feu à états

Lorsque vous utilisez plusieurs chemins de connectivité, tels qu’ExpressRoute et VPN, le trafic peut suivre différents chemins entrants et sortants. Les pare-feu avec état suppriment le trafic de retour qui arrive sur une interface différente de la requête d’origine. Planifiez votre routage pour garantir des chemins symétriques ou utilisez des tables de routage et des attributs BGP pour contrôler le flux de trafic.

Les stratégies d’atténuation sont les suivantes :

• Définissez un AS path prepending BGP sur le chemin de secours afin de le rendre moins prioritaire.
• Utilisez des tables de routage (UDR) sur des sous-réseaux pour forcer le trafic via une passerelle spécifique.
• Configurez les communautés BGP et la préférence locale pour influencer la sélection de routage de manière déterministe.
• Testez les scénarios de basculement pour vérifier que le trafic retourne via le même chemin d’accès sur lequel il est arrivé.

Mise en garde concernant le NSG GatewaySubnet

Si vous devez appliquer des groupes de sécurité réseau au GatewaySubnet, autorisez au minimum le trafic provenant de l'étiquette de service GatewayManager et de l'étiquette de service AzureLoadBalancer. Passez en revue la documentation de la passerelle pour obtenir la liste complète des règles requises avant d’apporter des modifications.

Chiffrement VPN site-à-site

IKEv2/IPsec chiffre toujours le trafic VPN site-à-site en transit. Vous configurez les algorithmes de chiffrement et les points forts de clé dans le cadre de la stratégie IPsec/IKE sur la connexion. Utilisez des stratégies personnalisées pour appliquer des algorithmes de chiffrement spécifiques plutôt que de compter sur les valeurs par défaut.

Paramètres de stratégie personnalisés recommandés pour les charges de travail de production :

• IKE Phase 1 : chiffrement AES-256, intégrité SHA-256, groupe DH 14 ou version ultérieure
• IKE Phase 2 (IPsec) : chiffrement AES-256-GCM, groupe PFS 14 ou version ultérieure
• Durée de vie sa par défaut : 28 800 secondes (IKE), 3 600 secondes (IPsec)

Évitez d’utiliser des algorithmes déconseillés (DES, 3DES, MD5, SHA-1, DH Group 1/2), même si Azure les prend toujours en charge pour la compatibilité descendante.

Authentification du VPN point à site

Le VPN P2S prend en charge l’authentification Microsoft Entra ID avec l’intégration de l’authentification multifacteur (MFA). Cette option fournit un contrôle d’accès basé sur l’identité pour les clients individuels qui se connectent à Azure. Le VPN P2S prend également en charge l’authentification basée sur des certificats et l’authentification RADIUS.

Choisissez la méthode d’authentification en fonction de vos besoins :

Articles connexes

• Qu’est-ce que la connectivité hybride ? : Aperçu des services de connectivité hybride Azure et quand utiliser chacun d’eux.
• VNets et sous-réseaux : dimensionnement de GatewaySubnet et prérequis du VNet pour la connectivité hybride.
• Tunneling forcé et contrôle du trafic sortant : comment le tunneling forcé achemine le trafic destiné à Internet d’Azure vers le site local.
• Accès privé aux services PaaS : rendre les points de terminaison privés accessibles à partir de réseaux locaux via une connectivité hybride.
• Accès à distance pour les développeurs et administrateurs : déploiement VPN point-to-site, intégration de l’identité et détails de configuration client.
• Connectivité multicloud et inter-régions : scénarios de portée globale ExpressRoute et de connectivité inter-cloud.
• Topologie hub-and-spoke : placement de la passerelle dans le VNet hub et configuration du routage du spoke.

Learn more

• Qu’est-ce que Passerelle VPN Azure ?
• Qu’est-ce qu’Azure ExpressRoute ?
• À propos d’ExpressRoute Direct
• À propos des paramètres de configuration de la passerelle VPN
• Conception pour une haute disponibilité avec ExpressRoute
• Utiliser un VPN S2S comme sauvegarde pour le peering privé ExpressRoute
• À propos du chiffrement pour ExpressRoute

Étapes suivantes