Conectividade híbrida: Conecte ambientes locais ao Azure

Este artigo ajuda você a escolher e planejar a opção de conectividade correta para conectar sua rede local a Azure redes virtuais (VNets).

O que este artigo aborda

Este artigo aborda as decisões de design para conectar redes locais a VNets Azure usando Gateway de VPN do Azure ou Azure ExpressRoute. Você aprenderá quando usar cada opção, como elas funcionam juntas e como planejar a implantação do gateway. Para uma visão geral em alto nível dos serviços de conectividade híbrida, veja O que é conectividade híbrida?

Quem precisa deste artigo

Leia este artigo se uma ou mais dessas condições se aplicarem:

• Suas cargas de trabalho Azure devem se comunicar com sistemas locais, usuários ou datacenters.
• Você precisa escolher entre Gateway de VPN e o ExpressRoute com base na largura de banda, latência, resiliência ou custo.
• Você precisa de um caminho privado ou criptografado para dependências de identidade, dados, gerenciamento ou aplicações que permaneçam fora do Azure.
• Você precisa planejar a topologia do gateway, a redundância ou a coexistência entre VPN e ExpressRoute.

Azure serviços e recursos

Azure fornece vários serviços para conectividade híbrida. Cada serviço aborda diferentes requisitos de largura de banda, latência, custo e segurança.

Como Gateway de VPN funciona

Gateway de VPN do Azure cria um túnel IPsec/IKE criptografado entre seu dispositivo VPN local e um gateway de rede virtual Azure. As etapas a seguir descrevem o processo de instalação de túnel site-to-site (S2S):

1. Provisionamento do gateway: você implanta um recurso de Gateway de VPN na sub-rede GatewaySubnet da sua VNet central. O Azure provisiona duas ou mais instâncias de gateway (dependendo da SKU e da configuração ativo-ativo). O provisionamento leva cerca de 30 a 45 minutos.
2. Definição do gateway de rede local: Você cria um recurso de gateway de rede local em Azure que representa sua rede local. Este recurso especifica o endereço IP público do seu dispositivo VPN local e os intervalos de endereços locais que o Azure deve rotear pelo túnel.
3. Criação de recursos de conexão: Você cria um recurso de conexão que vincula o Gateway de VPN ao gateway de rede local. Especifique os parâmetros de chave compartilhada (chave pré-compartilhada) e IPsec/IKE para o túnel.
4. Fase 1 do IKE (Modo Principal): O gateway Azure e seu dispositivo local negociam um canal seguro. Eles trocam propostas por algoritmos de criptografia, algoritmos de integridade, grupos de Diffie-Hellman e métodos de autenticação. O resultado é uma Associação de Segurança IKE (SA).
5. IKE Fase 2 (Modo Rápido): Ao usar o canal seguro da Fase 1, ambos os lados negociam os parâmetros do SA do IPsec: algoritmo de criptografia, algoritmo de integridade e vida útil da chave. Esse processo estabelece o túnel IPsec.
6. Fluxos de tráfego: Depois que ambas as fases forem concluídas, o túnel estará ativo. O tráfego que corresponde aos intervalos de endereços definidos é criptografado, encapsulado em pacotes ESP IPsec e enviado pela Internet pública para o ponto de extremidade remoto.

Para configurações ativas-ativas, o Azure provisiona duas instâncias de gateway, cada uma com seu próprio IP público. Seu dispositivo local estabelece túneis para ambas as instâncias, permitindo failover automático caso uma instância fique indisponível.

Como o ExpressRoute funciona

Azure ExpressRoute cria uma conexão privada entre sua rede local e Azure por meio de um provedor de conectividade. Ao contrário da VPN, o tráfego nunca passa pela Internet pública. O modelo de conectividade envolve três bordas de rede:

• Roteador de borda do cliente (CE): seu roteador local no seu data center ou instalação de colocation. Este dispositivo estabelece emparelhamento com o roteador de borda do provedor usando BGP.
• Edge do provedor (PE): o roteador do provedor de conectividade em seu ponto de encontro (instalação de emparelhamento). O provedor configura uma conexão de Camada 2 ou Camada 3 entre seu CE e o PE.
• Microsoft Edge (MSEE): Roteadores Microsoft Enterprise Edge na instalação de emparelhamento. O provedor conecta o PE ao MSEE, completando o caminho privado até o Azure.

Quando você provisiona um circuito do ExpressRoute, o provedor configura conexões redundantes entre as três bordas. O Azure anuncia os prefixos de endereço da sua VNet para o roteador do seu CE usando BGP, e seu CE anuncia rotas locais de volta para o Azure. Essa troca bidirecional de rotas permite que o tráfego flua pela rota privada.

O ExpressRoute oferece suporte a dois tipos de emparelhamento:

• Emparelhamento privado do Azure: conecta-se a VNets do Azure (IaaS e PaaS com pontos de extremidade privados). Esse tipo de peering é o mais comum para conectividade híbrida.
• Emparelhamento da Microsoft: conecta-se ao Microsoft 365 e aos serviços públicos do Azure (como os pontos de extremidade públicos do Armazenamento do Azure). Requer filtros de rota para selecionar prefixos de serviço específicos.

Comparação de SKU do ExpressRoute

Comparação de SKUs do Gateway de VPN

Como escolher

Use as tabelas de decisão a seguir para selecionar a opção de conectividade correta e determinar onde colocar seu gateway.

Gateway de VPN vs. ExpressRoute

Onde o gateway está hospedado?

Opções de resiliência do ExpressRoute

A tabela a seguir resume como aumentar a disponibilidade do ExpressRoute. Para os percentuais atuais de SLA, consulte Contratos de Nível de Serviço do Azure.

Decisão de implantação: Exemplo de posicionamento de gateway

Considere uma empresa com uma rede hub-and-spoke que tem três VNets spoke para produção, homologação e desenvolvimento. As cargas de trabalho de produção exigem o ExpressRoute para replicação de banco de dados de baixa latência, enquanto o desenvolvimento usa Gateway de VPN para eficiência de custo.

Posicionamento recomendado:

1. Implante tanto um gateway ExpressRoute quanto um Gateway de VPN na GatewaySubnet do hub VNet (requer uma sub-rede /26 para coexistência).
2. Conecte os spokes de produção e de teste ao hub por meio de emparelhamento de VNet, com o trânsito de gateway habilitado. Esses spokes usam o caminho ExpressRoute para conectividade local.
3. Conecte o spoke de desenvolvimento ao hub com o trânsito de gateway habilitado. Configure tabelas de rotas para que o tráfego de desenvolvimento use preferencialmente o túnel VPN, reduzindo os custos de transferência de dados do ExpressRoute.
4. Configure a conexão VPN como uma rota de failover para o ambiente de produção, caso o circuito do ExpressRoute sofra uma interrupção no provedor.

Essa abordagem centraliza o gerenciamento do gateway em um único hub, minimiza o número de recursos de gateway necessários e associa cada spoke à camada de conectividade apropriada, de acordo com os requisitos da sua carga de trabalho.

Considerações de custo

Gateway de VPN e ExpressRoute têm modelos de preços diferentes. Entender esses modelos ajuda você a otimizar os gastos.

Dicas para otimizar custos:

• Use o SKU Local para ExpressRoute quando suas cargas de trabalho estiverem na mesma área metropolitana que o local de emparelhamento. Essa escolha elimina os encargos de transferência de dados de saída.
• Escolha o plano com cobrança por GB para ExpressRoute se sua transferência de dados de saída for inferior a aproximadamente 10 TB/mês. Use o plano ilimitado para cargas de trabalho de maior volume.
• Implante o Gateway de VPN como failover em vez de um segundo circuito ExpressRoute se você tiver um orçamento limitado, mas ainda precisar de redundância.
• Dimensione corretamente a SKU do Gateway de VPN. Comece com o VpnGw2AZ para a maioria das cargas de trabalho de produção e aumente a escala somente se observar saturação consistente da taxa de transferência.
• Examine a utilização mensal do gateway. As métricas do Azure Monitor exibem a taxa de transferência do túnel e o número de conexões, ajudando a identificar gateways superdimensionados.

Considerações sobre o design

Pré-requisitos

Antes de implementar a conectividade híbrida, confirme se os seguintes requisitos estão em vigor:

• Rede virtual com um GatewaySubnet: Sua VNet deve incluir uma sub-rede dedicada nomeada GatewaySubnet com um tamanho mínimo de /27 (ou /26 se você planeja coexistir o ExpressRoute e gateways de VPN). Para obter diretrizes de planejamento de VNet e sub-rede, consulte o artigo de VNets e sub-redes.
• Dispositivo VPN local (para Gateway de VPN): um dispositivo VPN compatível que dá suporte a IKEv2 e IPsec. Microsoft mantém uma lista de dispositivos VPN validados.
• Relação do provedor de conectividade (para o ExpressRoute): Um contrato com um provedor de conectividade do ExpressRoute ou uma alocação de porta do ExpressRoute Direct. O provisionamento do provedor requer uma troca de chaves de serviço e uma configuração de conexão cruzada física.
• Planejamento de endereço IP: Espaços de endereço não sobrepostos entre redes locais e Azure. Planeje endereços de sub-rede de gateway como parte de sua estratégia de IP geral. Consulte o artigo de planejamento de IP.
• Suporte ao Protocolo de Gateway de Fronteira (BGP): ExpressRoute requer BGP e é recomendado para roteamento dinâmico de Gateway de VPN. Confirme se o equipamento local dá suporte ao BGP.

Considerações de segurança

A conectividade híbrida introduz limites de segurança que exigem um planejamento cuidadoso. Cada tipo de conectividade tem diferentes perfis de ameaça e estratégias de mitigação.

O tráfego do ExpressRoute não é criptografado por padrão

O ExpressRoute oferece um caminho privado, mas não criptografa o tráfego na camada de rede por padrão. Essa falta de criptografia significa que qualquer pessoa com acesso físico à infraestrutura do provedor poderia, teoricamente, interceptar tráfego. Considere as seguintes opções de criptografia com base em seu perfil de risco:

• MACsec (Camada 2): Disponível somente no ExpressRoute Direct. Criptografa o tráfego no link físico entre seus roteadores de borda e a borda da Microsoft. Você deve ativar explicitamente o MACsec após o provisionamento das portas. Essa opção oferece criptografia em velocidade de linha com sobrecarga mínima de latência.
• IPsec sobre ExpressRoute (Camada 3): execute um túnel VPN sobre a conexão de emparelhamento privado do ExpressRoute para conexão de ponta a ponta. Essa abordagem funciona com qualquer circuito do ExpressRoute e criptografa o tráfego na rede do provedor e no backbone Microsoft. A SKU do Gateway de VPN limita a taxa de transferência.
• Criptografia de camada de aplicativo: Use TLS/HTTPS no nível do aplicativo. Essa abordagem é independente do tipo de conectividade e protege os dados independentemente do transporte subjacente. É a criptografia mínima mais comum e recomendada para todas as cargas de trabalho híbridas.

Para a maioria das organizações, a combinação do caminho privado do ExpressRoute mais o TLS de camada de aplicativo fornece proteção suficiente. Adicione MACsec ou IPsec no ExpressRoute somente quando os requisitos regulatórios exigirem criptografia de camada de rede para dados em trânsito.

O roteamento assimétrico quebra firewalls com estado

Quando você usa vários caminhos de conectividade, como ExpressRoute e VPN, o tráfego pode seguir caminhos de entrada e saída diferentes. Firewalls com monitoramento de estado descartam o tráfego de retorno que chega por uma interface diferente da requisição original. Planeje o roteamento para garantir caminhos simétricos ou use tabelas de rotas e atributos BGP para controlar o fluxo de tráfego.

As estratégias de mitigação incluem:

• Configure o prepending de caminho AS no caminho de backup para torná-lo menos preferencial.
• Use tabelas de rotas (UDRs) nas sub-redes para forçar o tráfego por um gateway específico.
• Configure comunidades BGP e preferência local para influenciar a seleção de rotas deterministicamente.
• Testar cenários de failover para verificar se o tráfego retorna pelo mesmo caminho em que chegou.

Cuidado com o NSG de sub-rede do gateway

Se você precisar aplicar NSGs à GatewaySubnet, permita no mínimo o tráfego das tags de serviço GatewayManager e AzureLoadBalancer. Examine a documentação do gateway para obter a lista completa das regras necessárias antes de fazer alterações.

Criptografia de VPN site-to-site

IKEv2/IPsec sempre criptografa o tráfego VPN site-to-site durante o trânsito. Você configura os algoritmos de criptografia e os pontos fortes de chave como parte da política IPsec/IKE na conexão. Use políticas personalizadas para impor algoritmos criptográficos específicos em vez de depender de padrões.

Configurações de política personalizada recomendadas para cargas de trabalho de produção:

• Fase 1 do IKE: criptografia AES-256, integridade SHA-256, Grupo DH 14 ou superior
• IKE Fase 2 (IPsec): criptografia AES-256-GCM, Grupo PFS 14 ou superior
• Tempo de vida padrão da SA: 28.800 segundos (IKE), 3.600 segundos (IPsec)

Evite usar algoritmos preteridos (DES, 3DES, MD5, SHA-1, GRUPO DH 1/2), embora Azure ainda dê suporte a eles para compatibilidade com versões anteriores.

Autenticação de VPN ponto a site

A VPN P2S dá suporte à autenticação Microsoft Entra ID com integração de MFA (autenticação multifator). Essa opção fornece controle de acesso baseado em identidade para clientes individuais que se conectam a Azure. A VPN P2S também suporta autenticação baseada em certificados e RADIUS.

Escolha o método de autenticação com base em seus requisitos:

Artigos relacionados

• O que é conectividade híbrida?: Visão geral dos serviços de conectividade híbrida do Azure e quando usar cada um.
• VNets e sub-redes: dimensionamento da GatewaySubnet e pré-requisitos da VNet para conectividade híbrida.
• Túnel forçado e controle de saída: como o túnel forçado direciona o tráfego destinado à Internet do Azure de volta para o ambiente local.
• Acesso privado aos serviços de PaaS: tornando os pontos de extremidade privados acessíveis de redes locais por meio da conectividade híbrida.
• Acesso remoto para desenvolvedores e administradores: implantação de VPN point-to-site, integração de identidade e detalhes de configuração do cliente.
• Conectividade multicloud e entre regiões: ExpressRoute Global Reach e cenários de conectividade entre nuvens.
• Topologia hub-and-spoke: posicionamento do gateway na VNet do hub e configuração de roteamento spoke.

Saiba mais

• O que é Gateway de VPN do Azure?
• O que é Azure ExpressRoute?
• Sobre o ExpressRoute Direct
• Sobre as configurações do Gateway de VPN
• Projetando para alta disponibilidade com o ExpressRoute
• Usar VPN S2S como backup para peering privado do ExpressRoute
• Sobre criptografia para ExpressRoute

Próximas Etapas