Come configurare BGP per il gateway VPN di Azure

Azure portal

1. Creare TestVNet1

Usa Crea una rete virtuale e un gateway VPN per creare TestVNet1 con questi valori:

• Gruppo risorse: TestRG1
• Area: Stati Uniti orientali
• Spazi di indirizzamento: 10.11.0.0/16 e 10.12.0.0/16
• Subnet FrontEnd: 10.11.0.0/24
• Subnet BackEnd: 10.12.0.0/24
• GatewaySubnet: 10.12.255.0/27

2. Creare un gateway TestVNet1 con BGP

Le seguenti impostazioni creano il gateway abilitato BGP mostrato nel Diagramma 2.

Diagramma 2

1. Crea il gateway usando Crea e gestisce un gateway VPN e questi valori:

   • Nome: VNet1GW
   • Area: Stati Uniti orientali
   • Tipo di gateway: VPN
   • Tipo di VPN: Basata su routing
   • SKU: VpnGw2AZ
   • Rete virtuale: TestVNet1
   • Indirizzo IP pubblico: Crea nuovo
   • Nome indirizzo IP pubblico: VNet1GWIP
   • Indirizzo IP pubblico SKU: Standard
   • Assegnazione: statica
   • Abilita la modalità attiva-attiva: Disabilitata
   • Configura BGP: Abilitato
   • ASN: 65010

2. Per un gateway attivo-standby il cui peer locale utilizza APIPA, inserisci un indirizzo univoco, ad esempio 169.254.21.2, per Indirizzo IP BGP APIPA di Azure.

3. Seleziona Rivedi + Crea. Al completamento della convalida selezionare Crea. Il dispiegamento può durare 45 minuti o più.

Per i gateway active-active, il portale mostra i campi per entrambe le istanze del gateway e consente di specificare più indirizzi APIPA personalizzati. Ogni indirizzo deve essere unico e nell'intervallo consentito. Per un esempio di configurazione APIPA active-active avanzata, consulta Configurare connessioni BGP active-active con AWS.

3. Ottenere gli indirizzi IP peer BGP di Azure

1. Vai alla risorsa VNet1GW.
2. Seleziona Configurazione
3. Registra l'ASN, l'indirizzo IP pubblico e l'indirizzo IP BGP Peer. Un gateway attivo-attivo mostra gli indirizzi per entrambe le istanze.

4. Stabilire una connessione S2S cross-premises con BGP

Il diagramma 3 mostra il gateway di rete locale e le impostazioni di connessione.

Diagramma 3

Creare il gateway di rete locale

1. Crea un gateway di rete locale utilizzando Crea una connessione site-to-site.

2. Nella pagina Bases , inserisci questi valori:

   • Nome: Site5
   • Area: Stati Uniti occidentali
   • Indirizzo IP Endpoint: L'indirizzo IP pubblico del dispositivo VPN on-premise, ad esempio 128.9.9.9
   • Spazio di indirizzamento: 10.51.255.254/32

3. Nella pagina Avanzata , inserisci questi valori:

   • Configurare le impostazioni BGP: Sì
   • Numero sistema autonomo (ASN): 65050
   • Indirizzo IP del peer BGP: 10.51.255.254

4. Seleziona Rivedi e crea e quindi seleziona Crea.

L'IP peer ASN e BGP deve corrispondere al dispositivo VPN on-premise. Se questa connessione usa solo BGP, puoi lasciare lo spazio di indirizzamento vuoto. Se non usa BGP, inserisci ogni prefisso di indirizzo richiesto.

Crea o aggiorna la connessione S2S

1. Su VNet1GW, seleziona Connessioni, poi seleziona Aggiungi.
2. Crea la connessione VNet1toSite5, seleziona Site5 come gateway di rete locale, inserisci una chiave condivisa e seleziona Abilita BGP.
3. Per abilitare BGP su una connessione esistente, apri la connessione, seleziona Configurazione, imposta BGP su Abilitato e poi seleziona Salva.

Configura il dispositivo VPN locale con l'ASN di Site5 e l'IP del peer, l'ASN di Azure 65010 e l'IP del peer Azure che hai annotato. Pubblicizza i prefissi on-premises necessari e configura il multihop eBGP se il tuo dispositivo lo richiede.

5. Stabilire una connessione VNet-VNet con BGP

Il diagramma 4 mostra la topologia completata.

Diagramma 4

1. Crea TestVNet2 in TestRG2, nell'Est degli Stati Uniti, con questi valori:

   • Spazi di indirizzo: 10.21.0.0/16 e 10.22.0.0/16
   • Subnet FrontEnd: 10.21.0.0/24
   • Subnet di BackEnd: 10.22.0.0/24
   • GatewaySubnet: 10.22.255.0/27

2. Crea VNet2GW usando la stessa procedura gateway e questi valori:

   • SKU: VpnGw2AZ
   • Nome indirizzo IP pubblico: VNet2GWIP
   • Indirizzo IP pubblico SKU: Standard
   • Assegnazione: statica
   • Configura BGP: Abilitato
   • ASN: 65020

3. Su VNet1GW, crea la connessione VNet1toVNet2. Seleziona VNet-to-VNet come tipo di connessione, seleziona VNet2GW come secondo gateway e seleziona Abilita BGP.

4. In VNet2GW, creare la connessione VNet2toVNet1. Seleziona VNet1GW come secondo gateway e seleziona Abilita BGP.

Azure PowerShell

Esegui questi comandi in Azure Cloud Shell o in una sessione PowerShell locale con il modulo Az. La procedura utilizza New-AzVirtualNetworkGateway, New-AzLocalNetworkGateway e New-AzVirtualNetworkGatewayConnection.

1. Creare TestVNet1

Dichiara le variabili per TestVNet1.

$Sub1 = "Replace_With_Your_Subscription_Name"
$RG1 = "TestRG1"
$Location1 = "East US"
$VNetName1 = "TestVNet1"
$FESubName1 = "FrontEnd"
$BESubName1 = "Backend"
$GWSubName1 = "GatewaySubnet"
$VNetPrefix11 = "10.11.0.0/16"
$VNetPrefix12 = "10.12.0.0/16"
$FESubPrefix1 = "10.11.0.0/24"
$BESubPrefix1 = "10.12.0.0/24"
$GWSubPrefix1 = "10.12.255.0/27"
$VNet1ASN = 65010
$GWName1 = "VNet1GW"
$GWIPName1 = "VNet1GWIP"
$GWIPconfName1 = "gwipconf1"
$Connection12 = "VNet1toVNet2"
$Connection15 = "VNet1toSite5"

Connettiti e crea TestRG1. Questo passaggio è l'unico comando che crea TestRG1 nel flow.

Connect-AzAccount
Select-AzSubscription -SubscriptionName $Sub1
New-AzResourceGroup -Name $RG1 -Location $Location1

Crea TestVNet1 e le sue tre sottoreti.

$fesub1 = New-AzVirtualNetworkSubnetConfig -Name $FESubName1 -AddressPrefix $FESubPrefix1
$besub1 = New-AzVirtualNetworkSubnetConfig -Name $BESubName1 -AddressPrefix $BESubPrefix1
$gwsub1 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName1 -AddressPrefix $GWSubPrefix1

New-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 -Location $Location1 -AddressPrefix $VNetPrefix11,$VNetPrefix12 -Subnet $fesub1,$besub1,$gwsub1

2. Creare un gateway TestVNet1 con BGP usando PowerShell

Diagramma 2

Crea un indirizzo IP pubblico statico standard e la configurazione IP del gateway.

$gwpip1 = New-AzPublicIpAddress -Name $GWIPName1 -ResourceGroupName $RG1 -Location $Location1 -AllocationMethod Static -Sku Standard

$vnet1 = Get-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1
$subnet1 = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet1
$gwipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName1 -Subnet $subnet1 -PublicIpAddress $gwpip1

Crea un gateway VpnGw2AZ di tipo route-based con ASN 65010. Azure assegna al gateway un indirizzo privato di peering BGP dall'intervalloGatewaySubnet.

New-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 -Location $Location1 -IpConfigurations $gwipconf1 -GatewayType Vpn -VpnType RouteBased -GatewaySku VpnGw2AZ -Asn $VNet1ASN -EnableBgp $True

Se il tuo peer BGP on-premises utilizza un indirizzo APIPA, configura un indirizzo APIPA BGP di Azure personalizzato da 169.254.21.0 a 169.254.22.255. Per maggiori informazioni, vedi BGP e routing.

3. Ottenere gli indirizzi IP peer BGP di Azure

Ristabilisci le variabili se la tua sessione Cloud Shell si è esaurita.

$RG1 = "TestRG1"
$GWName1 = "VNet1GW"

Prendi il gateway e registra le sue impostazioni BGP.

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1
$vnet1gw.BgpSettingsText

L'output somiglia a questo esempio.

$vnet1gw.BgpSettingsText
{
   "Asn": 65010,
   "BgpPeeringAddress": "10.12.255.30",
   "PeerWeight": 0
}

Se BgpPeeringAddress è vuoto, attendi che la distribuzione del gateway sia completata e riprova.

4. Stabilire una connessione S2S cross-premises con BGP

Diagramma 3

Dichiara le variabili Site5. Sostituisci $LNGIP5 con l'indirizzo IP pubblico del tuo dispositivo VPN on-premise.

$RG5 = "TestRG5"
$Location5 = "West US"
$LNGName5 = "Site5"
$LNGPrefix50 = "10.51.255.254/32"
$LNGIP5 = "4.3.2.1"
$LNGASN5 = 65050
$BGPPeerIP5 = "10.51.255.254"

Creare il gruppo di risorse.

New-AzResourceGroup -Name $RG5 -Location $Location5

Crea il gateway della rete locale con l'ASN locale e l'indirizzo del peer BGP.

New-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG5 -Location $Location5 -GatewayIpAddress $LNGIP5 -AddressPrefix $LNGPrefix50 -Asn $LNGASN5 -BgpPeeringAddress $BGPPeerIP5

Ottieni entrambi i gateway.

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1
$lng5gw = Get-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG5

Ridichiara le variabili di connessione se necessario.

$Connection15 = "VNet1toSite5"
$Location1 = "East US"

Crea la connessione S2S e abilita BGP.

New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $True

Configura il dispositivo on-premises con questi valori.

- Site5 ASN            : 65050
- Site5 BGP IP         : 10.51.255.254
- Prefixes to announce : (for example) 10.51.0.0/16
- Azure VNet ASN       : 65010
- Azure VNet BGP IP    : 10.12.255.30
- Static route         : Add a route for 10.12.255.30/32, with the next hop set to the VPN tunnel interface
- eBGP Multihop        : Enable eBGP multihop if your device requires it

5. Stabilire una connessione VNet-VNet con BGP

Diagramma 4

Dichiara le variabili TestVNet2.

$RG2 = "TestRG2"
$Location2 = "East US"
$VNetName2 = "TestVNet2"
$FESubName2 = "FrontEnd"
$BESubName2 = "Backend"
$GWSubName2 = "GatewaySubnet"
$VNetPrefix21 = "10.21.0.0/16"
$VNetPrefix22 = "10.22.0.0/16"
$FESubPrefix2 = "10.21.0.0/24"
$BESubPrefix2 = "10.22.0.0/24"
$GWSubPrefix2 = "10.22.255.0/27"
$VNet2ASN = 65020
$GWName2 = "VNet2GW"
$GWIPName2 = "VNet2GWIP"
$GWIPconfName2 = "gwipconf2"
$Connection21 = "VNet2toVNet1"
$Connection12 = "VNet1toVNet2"

Crea TestVNet2 e le sue subnet.

New-AzResourceGroup -Name $RG2 -Location $Location2

$fesub2 = New-AzVirtualNetworkSubnetConfig -Name $FESubName2 -AddressPrefix $FESubPrefix2
$besub2 = New-AzVirtualNetworkSubnetConfig -Name $BESubName2 -AddressPrefix $BESubPrefix2
$gwsub2 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName2 -AddressPrefix $GWSubPrefix2

New-AzVirtualNetwork -Name $VNetName2 -ResourceGroupName $RG2 -Location $Location2 -AddressPrefix $VNetPrefix21,$VNetPrefix22 -Subnet $fesub2,$besub2,$gwsub2

Crea la configurazione standard statica dell'indirizzo IP pubblico e del gateway.

$gwpip2 = New-AzPublicIpAddress -Name $GWIPName2 -ResourceGroupName $RG2 -Location $Location2 -AllocationMethod Static -Sku Standard

$vnet2 = Get-AzVirtualNetwork -Name $VNetName2 -ResourceGroupName $RG2
$subnet2 = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet2
$gwipconf2 = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName2 -Subnet $subnet2 -PublicIpAddress $gwpip2

Crea VNet2GW con ASN 65020.

New-AzVirtualNetworkGateway -Name $GWName2 -ResourceGroupName $RG2 -Location $Location2 -IpConfigurations $gwipconf2 -GatewayType Vpn -VpnType RouteBased -GatewaySku VpnGw2AZ -Asn $VNet2ASN -EnableBgp $True

Ristabilire le variabili se necessario.

$GWName1 = "VNet1GW"
$GWName2 = "VNet2GW"
$RG1 = "TestRG1"
$RG2 = "TestRG2"
$Connection12 = "VNet1toVNet2"
$Connection21 = "VNet2toVNet1"
$Location1 = "East US"
$Location2 = "East US"

Ottenere entrambi i gateway di rete virtuale.

$vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1
$vnet2gw = Get-AzVirtualNetworkGateway -Name $GWName2 -ResourceGroupName $RG2

Crea la connessione da TestVNet1 a TestVNet2.

New-AzVirtualNetworkGatewayConnection -Name $Connection12 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -VirtualNetworkGateway2 $vnet2gw -Location $Location1 -ConnectionType Vnet2Vnet -SharedKey 'AzureA1b2C3' -EnableBgp $True

Crea la connessione TestVNet2-TestVNet1.

New-AzVirtualNetworkGatewayConnection -Name $Connection21 -ResourceGroupName $RG2 -VirtualNetworkGateway1 $vnet2gw -VirtualNetworkGateway2 $vnet1gw -Location $Location2 -ConnectionType Vnet2Vnet -SharedKey 'AzureA1b2C3' -EnableBgp $True

interfaccia della riga di comando di Azure

Usa Azure Cloud Shell o un'installazione locale di interfaccia della riga di comando di Azure. Questa procedura utilizza az network vnet-gateway create, az network local-gateway create e az network vpn-connection creation.

Prerequisiti

• È possibile utilizzare l'ambiente Bash in Azure Cloud Shell. Per altre informazioni, vedere Introduzione a Azure Cloud Shell.

  

• Se preferisci eseguire localmente i comandi di riferimento della CLI, installa la CLI di Azure. Se si esegue in Windows o macOS, è consigliabile eseguire interfaccia della riga di comando di Azure in un contenitore Docker. Per altre informazioni, vedere Come eseguire il interfaccia della riga di comando di Azure in un contenitore Docker.

  • Se usi un'installazione locale, accedi all'interfaccia della riga di comando di Azure usando il comando az login. Per completare il processo di autenticazione, seguire la procedura visualizzata nel terminale. Per altre opzioni di accesso, vedere Eseguire l'autenticazione ad Azure con l'interfaccia della riga di comando di Azure.

  • Quando ti viene richiesto, installa l'estensione interfaccia della riga di comando di Azure al primo utilizzo. Per altre informazioni sulle estensioni, vedere Usare e gestire le estensioni con interfaccia della riga di comando di Azure.

  • Esegui az version per trovare la versione e le librerie dipendenti installate. Per eseguire l'aggiornamento alla versione più recente, avviare az upgrade.

1. Creare TestVNet1

Crea TestRG1.

az group create --name TestRG1 --location eastus

Crea TestVNet1 e la subnet FrontEnd.

az network vnet create -n TestVNet1 -g TestRG1 --address-prefix 10.11.0.0/16 --subnet-name FrontEnd --subnet-prefix 10.11.0.0/24

Aggiungi il secondo spazio di indirizzamento, BackEnd la subnet e GatewaySubnet.

az network vnet update -n TestVNet1 --address-prefixes 10.11.0.0/16 10.12.0.0/16 -g TestRG1

az network vnet subnet create --vnet-name TestVNet1 -n BackEnd -g TestRG1 --address-prefix 10.12.0.0/24

az network vnet subnet create --vnet-name TestVNet1 -n GatewaySubnet -g TestRG1 --address-prefix 10.12.255.0/27

2. Creare un gateway TestVNet1 con BGP usando interfaccia della riga di comando di Azure

Diagramma 2

Crea un indirizzo IP pubblico statico standard.

az network public-ip create -n GWPubIP -g TestRG1 --sku Standard --allocation-method Static

Crea un gateway VpnGw2AZ di tipo route-based con ASN 65010. Azure assegna al gateway un indirizzo privato di peering BGP dall'intervalloGatewaySubnet.

az network vnet-gateway create -n VNet1GW -l eastus --public-ip-address GWPubIP -g TestRG1 --vnet TestVNet1 --gateway-type Vpn --sku VpnGw2AZ --vpn-type RouteBased --asn 65010 --no-wait

Se il peer BGP locale usa un indirizzo APIPA, configura un indirizzo BGP APIPA personalizzato di Azure da 169.254.21.0 a 169.254.22.255. Per maggiori informazioni, vedi BGP e routing.

3. Ottenere gli indirizzi IP peer BGP di Azure

Elenca la configurazione del gateway.

az network vnet-gateway list -g TestRG1

Registra i valori in bgpSettings.

"bgpSettings": {
  "asn": 65010,
  "bgpPeeringAddress": "10.12.255.30",
  "peerWeight": 0
}

Se bgpPeeringAddress è vuoto, attendi che la distribuzione del gateway sia completata e riprova.

4. Stabilire una connessione S2S cross-premises con BGP

Diagramma 3

Crea TestRG5 e il Site5 gateway della rete locale. Sostituisci l'indirizzo IP pubblico del gateway con quello del tuo dispositivo VPN on-premise.

az group create -n TestRG5 -l westus

az network local-gateway create --gateway-ip-address 23.99.221.164 -n Site5 -g TestRG5 --local-address-prefixes 10.51.255.254/32 --asn 65050 --bgp-peering-address 10.51.255.254

Ottieni l'ID VNet1GW della risorsa.

az network vnet-gateway show -n VNet1GW -g TestRG1

L'output comprende l'ID del gateway e le impostazioni BGP.

{
  "activeActive": false,
  "bgpSettings": {
   "asn": 65010,
   "bgpPeeringAddress": "10.12.255.30",
   "peerWeight": 0
  },
  "enableBgp": true,
  "id": "/subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW"
}

Annota il valore dell'ID.

"id": "/subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW"

Ottieni l'ID Site5 della risorsa.

az network local-gateway show -n Site5 -g TestRG5

Crea la VNet1ToSite5 connessione e usala --enable-bgp per abilitare BGP.

az network vpn-connection create -n VNet1ToSite5 -g TestRG1 --vnet-gateway1 /subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW --enable-bgp -l eastus --shared-key "abc123" --local-gateway2 /subscriptions/<subscription-ID>/resourceGroups/TestRG5/providers/Microsoft.Network/localNetworkGateways/Site5

Configura il dispositivo on-premises con questi valori.

- Site5 ASN            : 65050
- Site5 BGP IP         : 10.51.255.254
- Prefixes to announce : (for example) 10.51.0.0/16
- Azure VNet ASN       : 65010
- Azure VNet BGP IP    : 10.12.255.30
- Static route         : Add a route for 10.12.255.30/32, with the next hop set to the VPN tunnel interface
- eBGP Multihop        : Enable eBGP multihop if your device requires it

5. Stabilire una connessione VNet-VNet con BGP

Diagramma 4

Creare TestRG2.

az group create -n TestRG2 -l eastus

Crea TestVNet2 e la FrontEnd sottorete.

az network vnet create -n TestVNet2 -g TestRG2 --address-prefix 10.21.0.0/16 --subnet-name FrontEnd --subnet-prefix 10.21.0.0/24

Aggiungi il secondo spazio di indirizzamento, BackEnd la subnet e GatewaySubnet.

az network vnet update -n TestVNet2 --address-prefixes 10.21.0.0/16 10.22.0.0/16 -g TestRG2

az network vnet subnet create --vnet-name TestVNet2 -n BackEnd -g TestRG2 --address-prefix 10.22.0.0/24

az network vnet subnet create --vnet-name TestVNet2 -n GatewaySubnet -g TestRG2 --address-prefix 10.22.255.0/27

Crea un indirizzo IP pubblico statico standard.

az network public-ip create -n GWPubIP2 -g TestRG2 --sku Standard --allocation-method Static

Crea VNet2GW con ASN 65020.

az network vnet-gateway create -n VNet2GW -l eastus --public-ip-address GWPubIP2 -g TestRG2 --vnet TestVNet2 --gateway-type Vpn --sku VpnGw2AZ --vpn-type RouteBased --asn 65020 --no-wait

Ottieni l'ID VNet1GW della risorsa.

az network vnet-gateway show -n VNet1GW -g TestRG1

L'ID della risorsa somiglia a questo valore.

"/subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW"

Ottieni l'ID VNet2GW della risorsa.

az network vnet-gateway show -n VNet2GW -g TestRG2

Crea la connessione TestVNet1-TestVNet2.

az network vpn-connection create -n VNet1ToVNet2 -g TestRG1 --vnet-gateway1 /subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW --enable-bgp -l eastus --shared-key "abc123" --vnet-gateway2 /subscriptions/<subscription-ID>/resourceGroups/TestRG2/providers/Microsoft.Network/virtualNetworkGateways/VNet2GW

Crea la connessione da TestVNet2 a TestVNet1.

az network vpn-connection create -n VNet2ToVNet1 -g TestRG2 --vnet-gateway1 /subscriptions/<subscription-ID>/resourceGroups/TestRG2/providers/Microsoft.Network/virtualNetworkGateways/VNet2GW --enable-bgp -l eastus --shared-key "abc123" --vnet-gateway2 /subscriptions/<subscription-ID>/resourceGroups/TestRG1/providers/Microsoft.Network/virtualNetworkGateways/VNet1GW