Migrar para um novo circuito do ExpressRoute

Se você quiser alternar de um circuito do ExpressRoute para outro, poderá fazê-lo sem problemas com o mínimo de interrupção do serviço. Este documento orienta você pelas etapas para migrar seu tráfego de produção sem causar grandes interrupções ou riscos. Esse método se aplica independentemente de você estar mudando para um novo local de peering ou para o mesmo local.

Se você tiver seu circuito do ExpressRoute por meio de um provedor de serviços de Camada 3, crie o novo circuito em sua assinatura no portal do Azure. Trabalhe com seu provedor de serviços para migrar o tráfego sem interrupções para o novo circuito. Depois que o provedor de serviços tiver desprovisionado seu circuito antigo, exclua-o do portal do Azure.

O restante do artigo se aplica se você tiver seu circuito do ExpressRoute por meio de um provedor de serviços de Camada 2 ou portas diretas do ExpressRoute.

Etapas para a migração perfeita do circuito do ExpressRoute

O diagrama anterior ilustra o processo de migração de um circuito existente do ExpressRoute, conhecido como Circuito A, para um novo circuito do ExpressRoute, conhecido como Circuito B. O circuito B pode estar no mesmo local de emparelhamento ou em um local de emparelhamento diferente do Circuito A. O processo de migração consiste nas seguintes etapas:

1. Implantar o Circuito B isoladamente: enquanto o tráfego continua a fluir pelo Circuito A, implante um novo Circuito B sem afetar o ambiente de produção.

2. Bloqueie o fluxo de tráfego de produção no Circuito B: Impeça que qualquer tráfego use o Circuito B até que ele seja totalmente testado e validado.

3. Conclua e valide a conectividade ponta a ponta do Circuito B: Garanta que o Circuito B possa estabelecer e manter uma conexão estável e segura com todos os pontos de extremidade necessários.

4. Comute o tráfego: Redirecione o fluxo de tráfego do Circuito A para o Circuito B e bloqueie o fluxo de tráfego no Circuito A.

5. Descomissione o Circuito A: remova o Circuito A da rede e libere seus recursos.

Implantar novo circuito de forma isolada

Para uma substituição equivalente que preserve o nível de resiliência do circuito existente, selecione a opção de Resiliência Padrão e siga os passos descritos no guia Criar um circuito com o ExpressRoute para criar seu novo circuito ExpressRoute (Circuito B) na localização de peering desejada. A resiliência padrão é uma configuração de site único e não é recomendada para cargas de trabalho empresariais ou de missão crítica. Se você estiver migrando uma carga de trabalho desse tipo, avalie a resiliência Alta ou Máxima em vez disso. Para obter mais informações, consulte Planejar e arquitetar o Azure ExpressRoute visando a resiliência. Em seguida, siga as etapas em Configurar emparelhamento para circuito de ExpressRoute para configurar os tipos de emparelhamento necessários: privado e Microsoft.

Para impedir que o tráfego de produção de emparelhamento privado use o Circuito B antes de testá-lo e validá-lo, não vincule um gateway de rede virtual que tenha implantação de produção ao Circuito B. Da mesma forma, para evitar que o tráfego de produção emparelhado da Microsoft use o Circuito B, não associe um filtro de rota ao Circuito B.

Bloquear o fluxo de tráfego de produção sobre o circuito recém-criado

Impeça o anúncio de rotas em uma ou mais novas sessões de peering nos dispositivos CE.

No Cisco IOS, você pode usar um route-map e um prefix-list para filtrar as rotas anunciadas por uma sessão BGP. O exemplo a seguir mostra como criar e aplicar um route-map e um prefix-list para essa finalidade:

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

router bgp <your_AS_number>
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS out
 neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS in

Use a política de exportação/importação para filtrar as rotas anunciadas e recebidas na nova sessão de peering em dispositivos Junos. O exemplo a seguir mostra como configurar a política de exportação/importação para essa finalidade:

user@router>show configuration policy-options policy-statement BLOCK-ALL-ROUTES

term reject-all {

    the reject;
}

protocols {
    bgp {
        group <your_group_name> {
            neighbor <neighbor_IP_address> {
                export [ BLOCK-ALL-ROUTES ];
                import [ BLOCK-ALL-ROUTES ];
            }
        }
    }
}

Validar a conectividade de ponta a ponta do circuito recém-criado

Emparelhamento privado

Para vincular o novo circuito ao gateway de uma rede virtual de teste e verificar sua conectividade de emparelhamento privado, siga as etapas em Conectar uma rede virtual a um circuito do ExpressRoute . Depois de vincular as redes virtuais ao circuito, verifique a tabela de rotas do emparelhamento privado para garantir que o espaço de endereçamento da rede virtual esteja incluído. O exemplo a seguir mostra uma tabela de rotas do emparelhamento privado de um circuito de ExpressRoute no Portal de Gerenciamento do Azure:

O diagrama a seguir ilustra uma VM de teste em uma rede virtual de teste e um dispositivo de teste local usado para verificar a conectividade no emparelhamento privado do ExpressRoute.

Modifique o mapa de rotas ou a configuração de política para filtrar as rotas anunciadas e permitir o endereço IP específico do dispositivo de teste local. Da mesma forma, permita o espaço de endereço da rede virtual de teste do Azure.

route-map BLOCK ADVERTISEMENTS permit 5
 match ip address prefix-list PERMIT-ROUTE

route-map BLOCK ADVERTISEMENTS deny 10
 match ip address prefix-list BLOCK-ALL-PREFIXES

ip prefix-list PERMIT-ROUTE seq 10 permit 10.17.1.0/24
ip prefix-list PERMIT-ROUTE seq 20 permit 10.1.18.10/32

ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32

Para permitir prefixos IP específicos para dispositivos de teste no Junos, configure uma lista de prefixos. Em seguida, configure a política de importação/exportação de BGP para permitir esses prefixos e rejeitar todo o resto.

user@router>show configuration policy-options policy-statement BLOCK-ADVERTISEMENTS

term PERMIT-ROUTES {
    from {
        prefix-list PERMIT-ROUTE;
    }
    then accept;
}

term reject-all {
    then reject;
}

user@router>show configuration policy-options prefix-list PERMIT-ROUTE

10.1.18.10/32;
10.17.1.0/24;

Verifique a conectividade de ponta a ponta por meio do peering privado. Por exemplo, você pode executar ping na VM de teste no Azure a partir do seu dispositivo de teste local e verificar os resultados. Para obter validação detalhada passo a passo, consulte Verificando a conectividade do ExpressRoute.

Peering da Microsoft

A verificação do peering da Microsoft requer um planejamento cuidadoso para evitar impactos no tráfego de produção. Siga estas etapas para garantir um processo tranquilo:

1. Usar prefixos distintos: Configure o emparelhamento da Microsoft para o Circuito B com prefixos diferentes dos usados para o Circuito A para evitar conflitos de roteamento. Consulte criar o emparelhamento da Microsoft para obter orientações.
2. Filtros de rota separados: Associe o peering da Microsoft do Circuito B a um filtro de rota diferente do usado no Circuito A. Siga as etapas em configurar filtros de rota para o peering da Microsoft.
3. Evite rotas comuns: verifique se os filtros de rota para ambos os circuitos não compartilham rotas comuns para evitar roteamento assimétrico. Isso pode ser feito por:
   • Selecionar um serviço ou região do Azure para testar o Circuito B que não é usado pelo tráfego de produção do Circuito A.
   • Minimizar a sobreposição entre os dois filtros de rota e permitir apenas endpoints públicos de teste específicos pelo Circuito B.

Depois de vincular um filtro de rota, verifique as rotas anunciadas e recebidas na sessão BGP no dispositivo CE. Modifique o mapa de rotas ou a configuração da política Junos para filtrar as rotas anunciadas, permitindo apenas os prefixos locais do emparelhamento da Microsoft e endereços IP específicos dos endpoints públicos selecionados da Microsoft para teste.

Para testar a conectividade com pontos de extremidade do Microsoft 365, siga as etapas em Implementando o ExpressRoute para Microsoft 365 – Criar seus procedimentos de teste. Para endpoints públicos do Azure, comece com testes básicos de conectividade, como traceroute a partir do ambiente local, para garantir que as solicitações passem pelos endpoints do ExpressRoute. Além dos pontos de extremidade do ExpressRoute, as mensagens ICMP são suprimidas pela rede da Microsoft. Além disso, teste a conectividade no nível do aplicativo. Por exemplo, se você tiver uma VM do Azure com um IP público executando um servidor Web, tente acessar o IP público do servidor Web da rede local por meio da conexão do ExpressRoute. Isso confirma que o tráfego complexo, como solicitações HTTP, pode chegar aos serviços do Azure.

Emparelhamento privado

1. Desconecte o Circuito B de todos os gateways de rede virtual de teste.
2. Remova todas as exceções feitas aos mapas de rotas da Cisco ou à política Junos.
3. Conecte o Circuito B ao gateway de rede virtual de produção seguindo as etapas em Conectar uma rede virtual a um circuito do ExpressRoute.
4. Certifique-se de que o Circuito B esteja pronto para anunciar todas as rotas atualmente anunciadas pelo Circuito A. Verifique se as interfaces do Circuito B estão associadas ao VRF apropriado ou à instância de roteamento apropriada.
5. Remova os mapas de rota ou a política nas interfaces do Circuito B e aplique-os às interfaces do Circuito A para bloquear anúncios de rota no Circuito A, alternando o fluxo de tráfego para o Circuito B.
6. Verifique o fluxo de tráfego no Circuito B. Se a verificação falhar, reverta as alterações e alterne o fluxo de tráfego de volta para o Circuito A.
7. Se a verificação for bem-sucedida, exclua o Circuito A.

Peering da Microsoft

1. Remova Circuit B de qualquer filtro de rota de teste do Azure.
2. Remova todas as exceções feitas aos mapas de rota ou à política.
3. Certifique-se de que as interfaces do Circuito B estejam associadas ao VRF ou à instância de roteamento apropriada.
4. Valide e confirme os prefixos anunciados por meio do peering da Microsoft.
5. Associe o peering da Microsoft do Circuito B ao filtro de rota do Azure atualmente associado ao Circuito A.
6. Remova os mapas de rota ou a política de exportação/importação nas interfaces do Circuito B e aplique-os às interfaces do Circuito A para bloquear anúncios de rota no Circuito A, alternando o fluxo de tráfego para o Circuito B.
7. Verifique o fluxo de tráfego no Circuito B. Se a verificação falhar, reverta as alterações e alterne o fluxo de tráfego de volta para o Circuito A.
8. Se a verificação for bem-sucedida, exclua o Circuito A.

Próxima etapa

Para obter mais informações sobre a configuração do roteador, consulte Exemplos de configuração do roteador para configurar e gerenciar o roteamento.