Hybride connectiviteit: Connect on-premises met Azure

Dit artikel helpt u bij het kiezen en plannen van de juiste connectiviteitsoptie voor het verbinden van uw on-premises netwerk met Azure virtuele netwerken (VNets).

Wat in dit artikel wordt behandeld

In dit artikel worden de ontwerpbeslissingen beschreven voor het verbinden van on-premises netwerken met Azure VNets met behulp van Azure VPN-gateway of Azure ExpressRoute. U leert wanneer u elke optie gebruikt, hoe deze samenwerken en hoe u uw gateway-implementatie plant. Voor een overzicht op hoog niveau van de hybride connectiviteitsdiensten, zie Wat is hybride connectiviteit?

Wie heeft dit artikel nodig

Lees dit artikel als een of meer van deze voorwaarden van toepassing zijn:

• Uw Azure workloads moeten communiceren met on-premises systemen, gebruikers of datacenters.
• U moet kiezen tussen VPN Gateway en ExpressRoute op basis van bandbreedte, latentie, tolerantie of kosten.
• U hebt een privé- of versleuteld pad nodig voor identiteits-, gegevens-, beheer- of toepassingsafhankelijkheden die buiten Azure blijven.
• U moet de gatewaytopologie, redundantie of co-existentie tussen VPN en ExpressRoute plannen.

Azure services en functies

Azure biedt verschillende services voor hybride connectiviteit. Elke service heeft betrekking op verschillende bandbreedte-, latentie-, kosten- en beveiligingsvereisten.

Hoe VPN Gateway werkt

Azure VPN-gateway maakt een versleutelde IPsec-/IKE-tunnel tussen uw on-premises VPN-apparaat en een Azure virtuele netwerkgateway. De volgende stappen beschrijven het site-to-site (S2S) tunnelopzetproces:

1. Gatewayimplementatie: U implementeert een VPN Gateway-resource in het GatewaySubnet van uw hub-VNet. Azure richt twee of meer gateway-exemplaren in (afhankelijk van de SKU en de actief-actieve configuratie). Het inrichten duurt ongeveer 30–45 minuten.
2. Definitie van lokale netwerkgateway: U maakt een lokale netwerkgatewayresource in Azure die uw on-premises netwerk vertegenwoordigt. Deze resource geeft het openbare IP-adres van uw on-premises VPN-apparaat en de on-premises adresbereiken op die Azure via de tunnel moeten routeren.
3. Het maken van verbindingsresources: U maakt een verbindingsresource die de VPN Gateway koppelt aan de lokale netwerkgateway. U geeft de gedeelde sleutel (vooraf gedeelde sleutel) en IPsec/IKE-parameters voor de tunnel op.
4. IKE Fase 1 (hoofdmodus): De Azure-gateway en uw on-premises apparaat onderhandelen over een beveiligd kanaal. Ze wisselen voorstellen uit voor versleutelingsalgoritmen, integriteitsalgoritmen, Diffie-Hellman groepen en verificatiemethoden. Het resultaat is een IKE Security Association (SA).
5. IKE Fase 2 (Snelle Modus): Door gebruik te maken van het veilige kanaal uit Fase 1, onderhandelen beide partijen over de IPsec SA-parameters: encryptie-algoritme, integriteitsalgoritme en sleutel-levensduur. Dit proces brengt de IPsec-tunnel tot stand.
6. Verkeersstromen: Zodra beide fasen zijn voltooid, is de tunnel actief. Verkeer dat overeenkomt met de gedefinieerde adresbereiken wordt versleuteld, ingekapseld in IPsec ESP-pakketten en verzonden via het openbare internet naar het externe eindpunt.

Voor actief-actief-configuraties richt Azure twee gateway-exemplaren in, elk met een eigen openbaar IP-adres. Uw apparaat op locatie zet tunnels op met beide instanties, wat automatische failover mogelijk maakt als één instantie niet beschikbaar wordt.

Hoe ExpressRoute werkt

Azure ExpressRoute maakt een privéverbinding tussen uw on-premises netwerk en Azure via een connectiviteitsprovider. In tegenstelling tot VPN gaat verkeer nooit via het openbare internet. Het connectiviteitsmodel omvat drie netwerkranden:

• Customer edge (CE): Uw router op uw locatie, bij uw datacenter of colocatiefaciliteit. Dit apparaat is gekoppeld aan de edge-router van de provider met behulp van BGP.
• Edge provider (PE): De router van de connectiviteitsprovider op hun meet-me-locatie (peeringfaciliteit). De provider stelt een Laag 2- of Laag 3-verbinding in tussen uw CE en hun PE.
• Microsoft edge (MSEE): Microsoft Enterprise Edge-routers in de peeringfaciliteit. De serviceprovider verbindt de PE met de MSEE, waarmee het privépad naar Azure wordt voltooid.

Wanneer u een ExpressRoute-circuit inricht, stelt de provider redundante verbindingen tussen alle drie de randen in. Azure adverteert de adresvoorvoegsels van uw VNet via BGP naar uw CE-router, en uw CE adverteert lokale routes naar Azure. Met deze bidirectionele route-uitwisseling kan verkeer via het privépad stromen.

ExpressRoute ondersteunt twee peeringtypen:

• Azure private peering: Verbindt met Azure-VNets (IaaS en PaaS met Private Endpoints). Dit peeringtype is het meest voorkomende voor hybride connectiviteit.
• Microsoft peering: maakt verbinding met Microsoft 365 en Azure openbare services (zoals Azure Storage openbare eindpunten). Vereist routefilters om specifieke servicevoorvoegsels te selecteren.

Vergelijking van ExpressRoute-SKU

Vergelijking van de VPN Gateway-SKU’s

Hoe te kiezen

Gebruik de volgende beslissingstabellen om de juiste connectiviteitsoptie te selecteren en te bepalen waar u uw gateway wilt plaatsen.

VPN Gateway versus ExpressRoute

Waar woont de gateway?

Opties voor ExpressRoute-veerkracht

De volgende tabel bevat een overzicht van het verhogen van de beschikbaarheid van ExpressRoute. Zie Azure serviceovereenkomsten voor actuele SLA-percentages.

Implementatiebeslissing: Gateway-plaatsing voorbeeld

Overweeg een organisatie met een hub-and-spoke-netwerk met drie spoke-VNets voor productie, test en ontwikkeling. Voor de productieworkloads is ExpressRoute vereist voor databasereplicatie met lage latentie, terwijl ontwikkeling gebruikmaakt van VPN Gateway voor kostenefficiëntie.

Aanbevolen plaatsing:

1. Zet zowel een ExpressRoute-gateway als een VPN Gateway in het GatewaySubnet van de hub VNet (vereist een /26-subnet voor co-existentie).
2. Verbind de productie- en staging-spokes via VNet-peering met de hub, met gatewaytransit ingeschakeld. Deze spaken gebruiken de ExpressRoute-route voor on-premises-verbindingen.
3. Verbind de spoke voor ontwikkeling met de hub met gatewaytransit ingeschakeld. Configureer routetabellen zodat ontwikkeling van verkeer met voorkeur gebruikmaakt van de VPN-tunnel, waardoor de kosten voor ExpressRoute-gegevensoverdracht worden verminderd.
4. Configureer de VPN-verbinding als een failoverpad voor productie als het ExpressRoute-circuit te maken heeft met een storing van een provider.

Deze aanpak centraliseert gatewaybeheer in één hub, minimaliseert het aantal benodigde gatewayresources en stemt elke spoke af op het juiste connectiviteitsniveau voor de werklastvereisten.

Kostenoverwegingen

VPN Gateway en ExpressRoute hebben verschillende prijsmodellen. Als u deze modellen begrijpt, kunt u de uitgaven optimaliseren.

Tips voor kostenoptimalisering:

• Gebruik de lokale SKU voor ExpressRoute wanneer uw workloads zich in hetzelfde metrogebied bevinden als de peeringlocatie. Deze keuze elimineert uitgaande kosten voor gegevensoverdracht.
• Kies het abonnement met datalimiet voor ExpressRoute als uw uitgaande gegevensoverdracht minder is dan ongeveer 10 TB/maand. Gebruik het onbeperkte abonnement voor workloads met een hoger volume.
• Zet VPN Gateway uit als failover in plaats van als een tweede ExpressRoute-circuit als je een beperkt budget hebt maar toch redundantie nodig hebt.
• Geef uw VPN Gateway SKU de juiste grootte. Start met VpnGw2AZ voor de meeste productieworkloads en schaal alleen op als u merkt dat de doorvoer consequent verzadigd raakt.
• Controleer uw gatewaygebruik maandelijks. Metrische gegevens van Azure Monitor tonen de tunneldoorvoer en het aantal verbindingen, zodat u overgedimensioneerde gateways kunt identificeren.

Ontwerpoverwegingen

Prerequisites

Voordat u hybride connectiviteit implementeert, moet u controleren of aan de volgende vereisten is voldaan:

• Virtueel netwerk met een GatewaySubnet: Uw VNet moet een toegewezen subnet GatewaySubnet bevatten met een minimale grootte van /27 (of /26 als u expressRoute- en VPN-gateways wilt gebruiken). Zie het artikel VNets en subnetten voor richtlijnen voor het plannen van VNets en subnetten.
• On-premises VPN-apparaat (voor VPN Gateway): een compatibel VPN-apparaat dat IKEv2 en IPsec ondersteunt. Microsoft onderhoudt een lijst met gevalideerde VPN-apparaten.
• Connectiviteitsproviderrelatie (voor ExpressRoute): Een contract met een ExpressRoute-connectiviteitsprovider of ExpressRoute Direct-poorttoewijzing. Voor het inrichten van providers is een uitwisseling van servicesleutels en configuratie van fysieke verbindingen vereist.
• Planning van IP-adressen: Niet-overlappende adresbereiken tussen on-premises- en Azure-netwerken. Plan gatewaysubnetadressen als onderdeel van uw algehele IP-strategie. Zie het artikel over IP-planning.
• Border Gateway Protocol (BGP) ondersteuning: ExpressRoute vereist BGP, en het wordt aanbevolen voor dynamische routering van VPN Gateway. Controleer of uw on-premises apparatuur BGP ondersteunt.

Beveiligingsoverwegingen

Hybride connectiviteit introduceert beveiligingsgrenzen waarvoor zorgvuldige planning is vereist. Elk verbindingstype heeft verschillende bedreigingsprofielen en risicobeperkingsstrategieën.

ExpressRoute-verkeer is niet standaard versleuteld

ExpressRoute biedt een privépad, maar versleutelt standaard geen verkeer op de netwerklaag. Dit gebrek aan encryptie betekent dat iedereen met fysieke toegang tot de infrastructuur van de provider theoretisch het verkeer zou kunnen onderscheppen. Houd rekening met de volgende versleutelingsopties op basis van uw risicoprofiel:

• MACsec (laag 2): Alleen beschikbaar op ExpressRoute Direct. Versleutelt verkeer op de fysieke koppeling tussen uw edge-routers en de edge van Microsoft. Je moet MACsec expliciet inschakelen na poortprovisioning. Deze optie biedt versleuteling op lijnsnelheid met minimale extra latentie.
• IPsec via ExpressRoute (laag 3): Voer een VPN-tunnel uit via de persoonlijke ExpressRoute-peeringverbinding voor end-to-end-versleuteling. Deze benadering werkt met elk ExpressRoute-circuit en versleutelt verkeer via zowel het providernetwerk als de Microsoft backbone. De VPN Gateway SKU beperkt de doorvoersnelheid.
• Versleuteling van toepassingslaag: Gebruik TLS/HTTPS op toepassingsniveau. Deze benadering is onafhankelijk van het verbindingstype en beschermt gegevens, ongeacht het onderliggende transport. Dit is de meest voorkomende en aanbevolen minimale versleuteling voor alle hybride workloads.

Voor de meeste organisaties biedt de combinatie van het ExpressRoute-privépad plus TLS op de toepassingslaag voldoende beveiliging. Voeg MACsec of IPsec alleen toe via ExpressRoute wanneer wettelijke vereisten netwerklaagversleuteling vereisen voor gegevens die worden overgedragen.

Asymmetrische routering verstoort firewalls met statusbewaking

Wanneer u meerdere connectiviteitspaden gebruikt, zoals ExpressRoute en VPN, kan verkeer verschillende binnenkomende en uitgaande paden volgen. Stateful firewalls verwijderen retourverkeer dat binnenkomt op een andere interface dan de oorspronkelijke aanvraag. Plan uw routering om symmetrische paden te garanderen of gebruik routetabellen en BGP-kenmerken om de verkeersstroom te beheren.

Risicobeperkingsstrategieën zijn onder andere:

• Configureer BGP AS-path prepending op het back-uppad om ervoor te zorgen dat dit minder de voorkeur krijgt.
• Gebruik routetabellen (UDR's) op subnetten om verkeer via een specifieke gateway af te dwingen.
• Configureer BGP-communities en lokale voorkeur om de routekeuze deterministisch te beïnvloeden.
• Test failoverscenario’s om te controleren of het verkeer terugkeert via hetzelfde pad als waarlangs het is binnengekomen.

Waarschuwing voor GatewaySubnet NSG

Als u NSG's moet toepassen op de GatewaySubnet, sta dan minimaal verkeer van de GatewayManager-servicetag en de AzureLoadBalancer-servicetag toe. Raadpleeg de gatewaydocumentatie voor de volledige lijst met vereiste regels voordat u wijzigingen aanbrengt.

Site-to-site VPN-versleuteling

IKEv2/IPsec versleutelt altijd site-to-site VPN-verkeer tijdens het transport. U configureert de versleutelingsalgoritmen en de belangrijkste sterke punten als onderdeel van het IPsec-/IKE-beleid voor de verbinding. Gebruik aangepaste beleidsregels om specifieke cryptografische algoritmen af te dwingen in plaats van te vertrouwen op standaardwaarden.

Aanbevolen aangepaste beleidsinstellingen voor productieworkloads:

• IKE-fase 1: AES-256-versleuteling, SHA-256-integriteit, DH-groep 14 of hoger
• IKE-fase 2 (IPsec): AES-256-GCM-versleuteling, PFS-groep 14 of hoger
• Standaard SA-levensduur: 28.800 seconden (IKE), 3.600 seconden (IPsec)

Vermijd het gebruik van afgeschafte algoritmen (DES, 3DES, MD5, SHA-1, DH Group 1/2), hoewel Azure ze nog steeds ondersteunt voor achterwaartse compatibiliteit.

Point-to-site VPN-authenticatie

P2S VPN ondersteunt Microsoft Entra ID verificatie met MFA-integratie (MultiFactor Authentication). Deze optie biedt op identiteit gebaseerd toegangsbeheer voor afzonderlijke clients die verbinding maken met Azure. P2S VPN ondersteunt ook certificaatgebaseerde en RADIUS-authenticatie.

Kies de verificatiemethode op basis van uw vereisten:

Verwante artikelen

• Wat is hybride connectiviteit?: Overzicht van Azure hybride connectiviteitsdiensten en wanneer je ze moet gebruiken.
• VNets en subnetten: GatewaySubnet-grootte en VNet-vereisten voor hybride connectiviteit.
• Geforceerde tunneling en beheer van uitgaand verkeer: hoe geforceerde tunneling internetverkeer van Azure terugleidt naar de on-premisesomgeving.
• Privétoegang tot PaaS-services: Privé-eindpunten bereikbaar maken vanuit on-premises netwerken via hybride connectiviteit.
• Externe toegang voor ontwikkelaars en beheerders: Point-to-site VPN-implementatie, identiteitsintegratie en clientconfiguratiedetails.
• Multicloud- en interregionale connectiviteit: ExpressRoute Global Reach en scenario's voor cross-cloudconnectiviteit.
• Hub-and-spoke-topologie: plaatsing van gateways in de hub-VNet- en spoke-routeringsconfiguratie.

Meer informatie

• Wat is een Azure VPN-gateway?
• Wat is Azure ExpressRoute?
• Informatie over ExpressRoute Direct
• Over de configuratie-instellingen van VPN Gateway
• Ontwerpen voor hoge beschikbaarheid met ExpressRoute
• S2S VPN gebruiken als back-up voor persoonlijke ExpressRoute-peering
• Over versleuteling voor ExpressRoute

Volgende stappen