Implementando o ExpressRoute para o Microsoft 365

Este artigo se aplica ao Microsoft 365 Enterprise.

O ExpressRoute para Microsoft 365 fornece um caminho de roteamento alternativo para muitos serviços do Microsoft 365 para a Internet. A arquitetura do ExpressRoute para Microsoft 365 baseia-se na publicidade de prefixos IP públicos dos serviços do Microsoft 365 que já estão acessíveis pela Internet em seus circuitos do ExpressRoute provisionados para redistribuição subsequente desses prefixos IP em sua rede. Com o ExpressRoute, você habilita efetivamente vários caminhos de roteamento diferentes, por meio da Internet e por meio do ExpressRoute, para muitos serviços do Microsoft 365. Esse estado de roteamento em sua rede pode representar uma mudança significativa na forma como sua topologia de rede interna é projetada.

Você deve planejar cuidadosamente sua implementação do ExpressRoute para Microsoft 365 para acomodar as complexidades de rede de ter roteamento disponível por meio de um circuito dedicado com rotas injetadas em sua rede principal e na Internet. Se você e sua equipe não realizarem o planejamento e os testes detalhados neste guia, há um alto risco de você experimentar uma perda intermitente ou total de conectividade com os serviços do Microsoft 365 quando o circuito do ExpressRoute estiver habilitado.

Para ter uma implementação bem-sucedida, você precisará analisar seus requisitos de infraestrutura, passar por uma avaliação e projeto de rede detalhados, planejar cuidadosamente a distribuição de maneira preparada e controlada e criar um plano detalhado de validação e teste. Para um ambiente grande e distribuído, não é incomum ver implementações que se estendem por vários meses. Este guia foi desenvolvido para ajudá-lo a planejar com antecedência.

Grandes implantações bem-sucedidas podem levar seis meses no planejamento e geralmente incluem membros da equipe de várias áreas da organização, incluindo rede, administradores de servidores proxy e firewall, administradores do Microsoft 365, segurança, suporte ao usuário final, gerenciamento de projetos e patrocínio executivo. Seu investimento no processo de planejamento reduzirá a probabilidade de falhas de implantação, resultando em tempo de inatividade ou solução de problemas complexos e caros.

Esperamos que os pré-requisitos a seguir sejam concluídos antes que este guia de implementação seja iniciado.

1. Você concluiu uma avaliação de rede para determinar se o ExpressRoute é recomendado e aprovado.

2. Você selecionou um provedor de serviços de rede do ExpressRoute. Encontre detalhes sobre os parceiros do ExpressRoute e locais de emparelhamento.

3. Você já leu e entendeu a documentação do ExpressRoute e sua rede interna é capaz de atender aos pré-requisitos do ExpressRoute de ponta a ponta.

4. Sua equipe leu todas as diretrizes públicas e documentação no Azure ExpressRoute para Microsoft 365 e assistiu à série de Treinamento do Azure ExpressRoute para Microsoft 365 no Canal 9 para obter uma compreensão dos detalhes técnicos críticos, https://azure.microsoft.com/products/expressroute/incluindo:

   • As dependências dos serviços SaaS com a Internet.
   • Como evitar rotas assimétricas e lidar com rotas complexas.
   • Como incorporar segurança de perímetro, disponibilidade e controles de nível de aplicativo.

Comece reunindo requisitos

Comece determinando quais recursos e serviços você planeja adotar em sua organização. Você precisa determinar quais recursos dos diferentes serviços do Microsoft 365 serão usados e quais locais em sua rede hospedarão pessoas usando esses recursos. Com o catálogo de cenários, você precisa adicionar os atributos de rede que cada um desses cenários exige; como fluxos de tráfego de rede de entrada e saída e se os pontos de extremidade do Microsoft 365 estão disponíveis no ExpressRoute ou não.

Para coletar os requisitos da sua organização:

• Catalogue o tráfego de rede de entrada e saída dos serviços do Microsoft 365 que sua organização está usando. Consulte a página de intervalos de endereços IP e URLs do Microsoft 365 para obter a descrição dos fluxos que diferentes cenários do Microsoft 365 exigem.
• Reúna a documentação da topologia de rede existente mostrando detalhes de seu backbone e topologia internos de WAN, conectividade de sites satélites, conectividade de usuário de última milha, roteamento para pontos de saída de perímetro de rede e serviços de proxy.
  • Identifique os pontos de extremidade de serviço de entrada nos diagramas de rede aos quais o Microsoft 365 e outros serviços Microsoft se conectarão, mostrando os caminhos de conexão da Internet e do ExpressRoute propostos.
  • Identifique todos os locais geográficos de usuário e a conectividade WAN entre os locais, juntamente com quais locais atualmente têm uma saída para a Internet e quais locais são propostos para ter uma saída para um local de emparelhamento do ExpressRoute.
  • Identifique todos os dispositivos de borda, como proxies, firewalls e assim por diante, e catalogue sua relação com os fluxos que passam pela Internet e pelo ExpressRoute.
  • Documente se os usuários finais acessarão os serviços do Microsoft 365 por meio do Roteamento Direto ou do proxy de aplicativo indireto para fluxos da Internet e do ExpressRoute.
• Adicione a localização dos locais do locatário e do encontro-me ao diagrama de rede.
• Estime as características de latência e desempenho de rede esperadas e observadas dos principais locais de usuário para o Microsoft 365. Lembre-se de que o Microsoft 365 é um conjunto global e distribuído de serviços, e os usuários se conectarão a locais que podem ser diferentes do local de seu locatário. Por esse motivo, é recomendável medir e otimizar a latência entre o usuário e a borda mais próxima da rede global da Microsoft por meio do ExpressRoute e das conexões com a Internet. Você pode usar suas descobertas da avaliação de rede para ajudar nessa tarefa.
• Liste os requisitos de segurança de rede e alta disponibilidade da empresa que precisam ser atendidos com a nova conexão do ExpressRoute. Por exemplo, como os usuários continuam a obter acesso ao Microsoft 365 no caso de falha no circuito de saída da Internet ou do ExpressRoute?
• Documente quais fluxos de rede de entrada e saída do Microsoft 365 usarão o caminho da Internet e quais usarão o ExpressRoute. As especificidades das localizações geográficas dos usuários e os detalhes da topologia da rede local podem exigir que o plano seja diferente de um local de usuário para outro.

Catalogar o tráfego de rede de saída e entrada

Para minimizar o roteamento e outras complexidades de rede, recomendamos que você use o ExpressRoute para Microsoft 365 apenas para os fluxos de tráfego de rede necessários para passar por uma conexão dedicada devido a requisitos regulatórios ou como resultado da avaliação de rede. Além disso, recomendamos que você prepare o escopo do roteamento do ExpressRoute e aborde os fluxos de tráfego de rede de saída e entrada como estágios diferentes e distintos do projeto de implementação. Implantar o ExpressRoute para Microsoft 365 apenas para fluxos de tráfego de rede de saída iniciados pelo usuário e fluxos de tráfego de rede de entrada pela Internet pode ajudar a controlar o aumento da complexidade topológica e os riscos da introdução de possibilidades adicionais de roteamento assimétrico.

Seu catálogo de tráfego de rede deve conter listagens de todas as conexões de rede de entrada e saída que você terá entre sua rede local e a Microsoft.

• Os fluxos de tráfego de rede de saída são qualquer cenário em que uma conexão é iniciada a partir de seu ambiente local, como de clientes ou servidores internos, com um destino dos serviços Microsoft. Essas conexões podem ser diretas para o Microsoft 365 ou indiretas, como quando a conexão passa por servidores proxy, firewalls ou outros dispositivos de rede no caminho para o Microsoft 365.
• Os fluxos de tráfego de rede de entrada são qualquer cenário em que uma conexão é iniciada da nuvem da Microsoft para um host local. Essas conexões normalmente precisam passar pelo firewall e por outras infraestruturas de segurança que a política de segurança do cliente exige para fluxos originados externamente.

Leia a seção Garantindo a simetria de rota para determinar quais serviços enviarão tráfego de entrada e procure a coluna marcada como ExpressRoute para Microsoft 365 no artigo de referência Pontos de extremidade do Microsoft 365 para determinar o restante das informações de conectividade.

Para cada serviço que requer uma conexão de saída, você deve descrever a conectividade planejada para o serviço, incluindo roteamento de rede, configuração de proxy, inspeção de pacotes e necessidades de largura de banda.

Para cada serviço que exija uma conexão de entrada, você precisará de algumas informações adicionais. Os servidores na nuvem da Microsoft estabelecerão conexões com sua rede local. Para garantir que as conexões sejam feitas corretamente, você deve descrever todos os aspectos dessa conectividade, incluindo; as entradas DNS públicas para os serviços que aceitarão essas conexões de entrada, os endereços IP IPv4 formatados em CIDR, qual equipamento ISP está envolvido e como o NAT de entrada ou NAT de origem é tratado para essas conexões.

As conexões de entrada devem ser revisadas independentemente de estarem se conectando pela Internet ou pelo ExpressRoute para garantir que o roteamento assimétrico não tenha sido introduzido. Em alguns casos, os pontos de extremidade locais para os quais os serviços do Microsoft 365 iniciam conexões de entrada também podem precisar ser acessados por outros serviços da Microsoft e não Microsoft. É fundamental que a habilitação do roteamento ExpressRoute para esses serviços para fins do Microsoft 365 não interrompa outros cenários. Em muitos casos, os clientes podem precisar implementar alterações específicas em sua rede interna, como NAT baseado na origem, para garantir que os fluxos de entrada da Microsoft permaneçam simétricos após a habilitação do ExpressRoute.

Aqui está um exemplo do nível de detalhe necessário. Nesse caso, o Exchange Híbrido rotearia para o sistema local por meio do ExpressRoute.

Veja um exemplo de um serviço que só é de saída:

Seu design de topologia de rede com conectividade regional

Depois de entender os serviços e os fluxos de tráfego de rede associados, você poderá criar um diagrama de rede que incorpore esses novos requisitos de conectividade e ilustre as alterações feitas para usar o ExpressRoute para Microsoft 365. Seu diagrama deve incluir:

1. Todos os locais de usuário onde o Microsoft 365 e outros serviços serão acessados.
2. Todos os pontos de saída da Internet e do ExpressRoute.
3. Todos os dispositivos de saída e entrada que gerenciam a conectividade dentro e fora da rede, incluindo roteadores, firewalls, servidores proxy de aplicativo e detecção/prevenção de intrusão.
4. Destinos internos para todo o tráfego de entrada, como servidores internos do ADFS que aceitam conexões dos servidores proxy de aplicativo Web do ADFS.
5. Catálogo de todas as sub-redes IP que serão anunciadas
6. Identifique cada local de onde as pessoas acessarão o Microsoft 365 e liste os locais de encontro que serão usados para o ExpressRoute.
7. Locais e partes de sua topologia de rede interna, onde os prefixos IP da Microsoft aprendidos com o ExpressRoute serão aceitos, filtrados e propagados.
8. A topologia de rede deve ilustrar a localização geográfica de cada segmento de rede e como ele se conecta à rede da Microsoft por meio do ExpressRoute e/ou da Internet.

O diagrama a seguir mostra cada local de onde as pessoas usarão o Microsoft 365, juntamente com os anúncios de roteamento de entrada e saída para o Microsoft 365:

Para o tráfego de saída, as pessoas acessam o Microsoft 365 de uma das três maneiras:

1. Por meio de um local de encontro na América do Norte para as pessoas na Califórnia.
2. Por meio de um local de encontro na Região Administrativa Especial de Hong Kong para as pessoas na RAE de Hong Kong.
3. Pela Internet em Bangladesh, onde há menos pessoas e nenhum circuito ExpressRoute provisionado.

Da mesma forma, o tráfego de rede de entrada do Microsoft 365 retorna de uma das três maneiras:

1. Por meio de um local de encontro na América do Norte para as pessoas na Califórnia.
2. Por meio de um local de encontro na Região Administrativa Especial de Hong Kong para as pessoas na RAE de Hong Kong.
3. Pela Internet em Bangladesh, onde há menos pessoas e nenhum circuito ExpressRoute provisionado.

Determinar o local apropriado para me encontrar

A seleção de locais de reunião, que são o local físico em que o circuito do ExpressRoute conecta sua rede à rede da Microsoft, é influenciada pelos locais de onde as pessoas acessarão o Microsoft 365. Como uma oferta de SaaS, o Microsoft 365 não opera sob o modelo regional de IaaS ou PaaS da mesma forma que o Azure. Em vez disso, o Microsoft 365 é um conjunto distribuído de serviços de colaboração, em que os usuários podem precisar se conectar a pontos de extremidade em vários datacenters e regiões, que podem não estar necessariamente no mesmo local ou região em que o locatário do usuário está hospedado.

Isso significa que a consideração mais importante que você precisa fazer ao selecionar locais de encontro para o ExpressRoute para Microsoft 365 é de onde as pessoas em sua organização se conectarão. A recomendação geral para a conectividade ideal do Microsoft 365 é implementar o roteamento, para que as solicitações do usuário aos serviços do Microsoft 365 sejam entregues à rede da Microsoft pelo caminho de rede mais curto, isso também é frequentemente chamado de roteamento de "batata quente". Por exemplo, se a maioria dos usuários do Microsoft 365 estiver em um ou dois locais, a seleção de locais de reunião que estejam mais próximos do local desses usuários criará o design ideal. Se sua empresa tiver grandes populações de usuários em muitas regiões diferentes, considere ter vários circuitos do ExpressRoute e locais de reunião. Para alguns de seus locais de usuário, o caminho mais curto/ideal para a rede da Microsoft e o Microsoft 365 pode não ser por meio de seus pontos de encontro internos da WAN e do ExpressRoute, mas pela Internet.

Muitas vezes, há vários locais de encontro que podem ser selecionados em uma região com relativa proximidade com seus usuários. Preencha a tabela a seguir para orientar suas decisões.

Locais planejados para encontros do ExpressRoute na Califórnia e em Nova York

Depois que a arquitetura de rede global que mostra a região do Microsoft 365, os locais de encontro do provedor de serviços de rede do ExpressRoute e a quantidade de pessoas por local for desenvolvida, ela poderá ser usada para identificar se alguma otimização pode ser feita. Ele também pode mostrar conexões de rede fechadas globais em que o tráfego é roteado para um local distante para obter o local do encontro. Se um hairpin na rede global for descoberto, ele deverá ser corrigido antes de continuar. Encontre outro local de encontro comigo ou use pontos de saída de interrupção seletivos da Internet para evitar o gancho de cabelo.

O primeiro diagrama mostra um exemplo de um cliente com dois locais físicos na América do Norte. Você pode ver as informações sobre locais de escritório, locais de locatário do Microsoft 365 e várias opções de locais de encontro do ExpressRoute. Neste exemplo, o cliente selecionou o local de encontro com base em dois princípios, na ordem:

1. Maior proximidade com as pessoas em sua organização.
2. Mais próximo de um datacenter da Microsoft onde o Microsoft 365 está hospedado.

Expandindo esse conceito um pouco mais, o segundo diagrama mostra um exemplo de cliente multinacional que se depara com informações e tomadas de decisão semelhantes. Este cliente tem um pequeno escritório em Bangladesh com apenas uma pequena equipe de 10 pessoas focada em aumentar sua presença na região. Há um local de encontro em Chennai e um datacenter da Microsoft com o Microsoft 365 hospedado em Chennai, então um local de encontro faria sentido; No entanto, para 10 pessoas, a despesa do circuito extra é onerosa. Ao examinar sua rede, você precisará determinar se a latência envolvida no envio do tráfego de rede pela rede é mais eficaz do que gastar o capital para adquirir outro circuito do ExpressRoute.

Como alternativa, as 10 pessoas em Bangladesh podem ter um desempenho melhor com o tráfego de rede enviado pela Internet para a rede da Microsoft do que o roteamento pela rede interna, conforme mostrado nos diagramas introdutórios e reproduzido abaixo.

Criar seu plano de implementação do ExpressRoute para Microsoft 365

Seu plano de implementação deve abranger os detalhes técnicos da configuração do ExpressRoute e os detalhes da configuração da outra infraestrutura em sua rede, como a seguir:

• Planeje quais serviços serão divididos entre o ExpressRoute e a Internet.
• Planeje largura de banda, segurança, alta disponibilidade e failover.
• Projete roteamento de entrada e saída, incluindo otimizações adequadas do caminho de roteamento para diferentes locais
• Decida até que ponto as rotas do ExpressRoute serão anunciadas em sua rede e qual é o mecanismo para os clientes selecionarem o caminho da Internet ou do ExpressRoute; Por exemplo, Roteamento Direto ou Proxy de Aplicativo.
• Planejar alterações no registro DNS, incluindo entradas da Estrutura de Política de Remetente .
• Planeje a estratégia de NAT, incluindo NAT de origem de saída e entrada.

Planejar o roteamento com caminhos de rede da Internet e do ExpressRoute

• Para sua implantação inicial, todos os serviços de entrada, como email de entrada ou conectividade híbrida, são recomendados para usar a Internet.
• Planeje o roteamento LAN do cliente do usuário final, como configurar um arquivo PAC/WPAD, rota padrão, servidores proxy e anúncios de rota BGP.
• Planeje o roteamento de perímetro, incluindo servidores proxy, firewalls e proxies de nuvem.

Planeje sua largura de banda, segurança, alta disponibilidade e failover

Crie um plano para a largura de banda necessária para cada carga de trabalho principal do Microsoft 365. Estime separadamente os requisitos de largura de banda do Exchange Online, SharePoint e Skype for Business Online. Você pode usar as calculadoras de estimativa que fornecemos para o Exchange Online e o Skype for Business como ponto de partida. No entanto, é necessário um teste piloto com uma amostra representativa dos perfis e locais dos usuários para entender completamente as necessidades de largura de banda da sua organização.

Adicione como a segurança é tratada em cada local de saída da Internet e do ExpressRoute ao seu plano, lembre-se de que todas as conexões do ExpressRoute com o Microsoft 365 usam emparelhamento público e ainda devem ser protegidas de acordo com as políticas de segurança da sua empresa de conexão a redes externas.

Adicione detalhes ao seu plano sobre quais pessoas serão afetadas por qual tipo de interrupção e como essas pessoas poderão realizar seu trabalho com capacidade total da maneira mais simples.

Planeje os requisitos de largura de banda, incluindo requisitos do Skype for Business sobre Jitter, Latência, Congestionamento e Headroom

O Skype for Business Online também possui requisitos de rede extras específicos, detalhados no artigo Qualidade de Mídia e Desempenho de Conectividade de Rede no Skype for Business Online.

Leia a seção Planejamento de largura de banda para o Azure ExpressRoute. Ao realizar uma avaliação de largura de banda com seus usuários piloto, você pode usar nosso guia Ajuste de desempenho do Microsoft 365 usando linhas de base e histórico de desempenho.

Planejar os requisitos de alta disponibilidade

Crie um plano de alta disponibilidade para atender às suas necessidades e incorpore-o ao diagrama de topologia de rede atualizado. Leia a seção Alta disponibilidade e failover com o Azure ExpressRoute.

Planejar os requisitos de segurança de rede

Crie um plano para atender aos seus requisitos de segurança de rede e incorpore-o ao seu diagrama de topologia de rede atualizado. Leia a seção Aplicando controles de segurança ao Azure ExpressRoute para cenários do Microsoft 365.

Projetar conectividade de serviço de saída

O ExpressRoute para Microsoft 365 tem requisitos de rede de saída que podem não ser familiares. Especificamente, os endereços IP que representam seus usuários e redes para o Microsoft 365 e atuam como pontos de extremidade de origem para conexões de rede de saída para a Microsoft devem seguir os requisitos específicos descritos abaixo.

1. Os pontos de extremidade devem ser endereços IP públicos registrados para sua empresa ou para a operadora que fornece conectividade ExpressRoute para você.
2. Os pontos de extremidade devem ser anunciados para a Microsoft e validados/aceitos pela ExpressRoute.
3. Os pontos de extremidade não devem ser anunciados para a Internet com a mesma métrica de roteamento ou com métricas de roteamento mais preferenciais.
4. Os pontos de extremidade não devem ser usados para conectividade com serviços Microsoft que não estejam configurados no ExpressRoute.

Se o design de rede não atender a esses requisitos, há um alto risco de os usuários enfrentarem falhas de conectividade com o Microsoft 365 e outros serviços da Microsoft devido ao buraco negro de rota ou roteamento assimétrico. Isso ocorre quando as solicitações para os serviços Microsoft são roteadas pelo ExpressRoute, mas as respostas são roteadas de volta pela Internet ou vice-versa, e as respostas são descartadas por dispositivos de rede com estado, como firewalls.

O método mais comum que você pode usar para atender aos requisitos acima é usar a NAT de origem, implementada como parte de sua rede ou fornecida por sua operadora ExpressRoute. A NAT de origem permite abstrair os detalhes e o endereçamento IP privado de sua rede de Internet do ExpressRoute e; juntamente com anúncios de rota IP adequados, fornecem um mecanismo fácil para garantir a simetria do caminho. Se você estiver usando dispositivos de rede com estado específicos para locais de emparelhamento do ExpressRoute, deverá implementar pools de NAT separados para cada emparelhamento do ExpressRoute para garantir a simetria do caminho.

Leia mais sobre os requisitos de NAT do ExpressRoute.

Adicione as alterações para a conectividade de saída ao diagrama de topologia de rede.

Projetar conectividade de serviço de entrada

A maioria das implantações corporativas do Microsoft 365 pressupõe alguma forma de conectividade de entrada do Microsoft 365 para serviços locais, como para cenários híbridos do Exchange, SharePoint e Skype for Business, migrações de caixa de correio e autenticação usando a infraestrutura ADFS. Quando o ExpressRoute habilita um caminho de roteamento extra entre sua rede local e a Microsoft para conectividade de saída, essas conexões de entrada podem ser afetadas inadvertidamente pelo roteamento assimétrico, mesmo que você pretenda que esses fluxos continuem a usar a Internet. Algumas precauções descritas abaixo são recomendadas para garantir que não haja impacto nos fluxos de entrada baseados na Internet do Microsoft 365 para os sistemas locais.

Para minimizar os riscos de roteamento assimétrico para fluxos de tráfego de rede de entrada, todas as conexões de entrada devem usar a NAT de origem antes de serem roteadas para segmentos de sua rede, que têm visibilidade de roteamento no ExpressRoute. Se as conexões de entrada forem permitidas em um segmento de rede com visibilidade de roteamento no ExpressRoute sem NAT de origem, as solicitações originadas do Microsoft 365 entrarão pela Internet, mas a resposta que retorna ao Microsoft 365 preferirá o caminho de rede do ExpressRoute de volta para a rede da Microsoft, causando roteamento assimétrico.

Você pode considerar um dos seguintes padrões de implementação para atender a esse requisito:

1. Execute a NAT de origem antes que as solicitações sejam roteadas para sua rede interna usando equipamentos de rede, como firewalls ou balanceadores de carga no caminho da Internet para seus sistemas locais.
2. Verifique se as rotas do ExpressRoute não são propagadas para os segmentos de rede em que residem os serviços de entrada, como servidores front-end ou sistemas proxy reverso, que lidam com conexões com a Internet.

Contabilizar explicitamente esses cenários em sua rede e manter todos os fluxos de tráfego de rede de entrada pela Internet ajuda a minimizar o risco operacional e de implantação de roteamento assimétrico.

Pode haver casos em que você pode optar por direcionar alguns fluxos de entrada por conexões ExpressRoute. Para esses cenários, leve em conta as seguintes considerações adicionais.

1. O Microsoft 365 só pode direcionar pontos de extremidade locais que usam IPs públicos. Isso significa que, mesmo que o ponto de extremidade de entrada local seja exposto apenas ao Microsoft 365 por meio do ExpressRoute, ele ainda precisará ter um IP público associado a ele.
2. Todas as resoluções de nomes DNS que os serviços do Microsoft 365 executam para resolver pontos de extremidade locais ocorrem usando DNS público. Isso significa que você deve registrar o FQDN dos pontos de extremidade de serviço de entrada para mapeamentos de IP na Internet.
3. Para receber conexões de rede de entrada pelo ExpressRoute, as sub-redes IP públicas para esses pontos de extremidade devem ser anunciadas para a Microsoft pelo ExpressRoute.
4. Avalie cuidadosamente esses fluxos de tráfego de rede de entrada para garantir que os controles adequados de segurança e rede sejam aplicados a eles de acordo com as políticas de rede e segurança da sua empresa.
5. Depois que seus pontos de extremidade de entrada locais forem anunciados para a Microsoft por meio do ExpressRoute, o ExpressRoute se tornará efetivamente o caminho de roteamento preferencial para esses pontos de extremidade para todos os serviços Microsoft, incluindo o Microsoft 365. Isso significa que essas sub-redes de ponto de extremidade só devem ser usadas para comunicações com os serviços do Microsoft 365 e nenhum outro serviço na rede da Microsoft. Caso contrário, seu design causará roteamento assimétrico em que as conexões de entrada de outros serviços Microsoft preferem rotear a entrada pelo ExpressRoute, enquanto o caminho de retorno usará a Internet.
6. Caso um circuito do ExpressRoute ou um local de reunião esteja inativo, você precisará garantir que os pontos de extremidade de entrada locais ainda estejam disponíveis para aceitar solicitações por um caminho de rede separado. Isso pode significar o anúncio de sub-redes para esses pontos de extremidade por meio de vários circuitos do ExpressRoute.
7. É recomendável aplicar a NAT de origem para todos os fluxos de tráfego de rede de entrada que entram em sua rede por meio do ExpressRoute, especialmente quando esses fluxos cruzam dispositivos de rede com estado, como firewalls.
8. Alguns serviços locais, como o proxy do ADFS ou a descoberta automática do Exchange, podem receber solicitações de entrada de serviços do Microsoft 365 e de usuários da Internet. Para essas solicitações, o Microsoft 365 terá como destino o mesmo FQDN que as solicitações do usuário pela Internet. Permitir conexões de usuário de entrada da Internet para esses pontos de extremidade locais, ao mesmo tempo em que força as conexões do Microsoft 365 a usar o ExpressRoute, representa uma complexidade de roteamento significativa. Para a maioria dos clientes, a implementação de cenários complexos no ExpressRoute não é recomendada devido a considerações operacionais. Essa sobrecarga adicional inclui o gerenciamento de riscos de roteamento assimétrico e exigirá que você gerencie cuidadosamente anúncios e políticas de roteamento em várias dimensões.

Atualize seu plano de topologia de rede para mostrar como você evitaria rotas assimétricas

Você deseja evitar o roteamento assimétrico para garantir que as pessoas em sua organização possam usar perfeitamente o Microsoft 365, bem como outros serviços importantes na Internet. Existem duas configurações comuns que os clientes têm que causam roteamento assimétrico. Agora é um bom momento para revisar a configuração de rede que você planeja usar e marcar se um desses cenários de roteamento assimétrico pode existir.

Para começar, examinaremos algumas situações diferentes associadas ao diagrama de rede a seguir. Neste diagrama, todos os servidores que recebem solicitações de entrada, como ADFS ou servidores híbridos locais, estão no data center de Nova Jersey e são anunciados para a Internet.

1. Embora a rede de perímetro seja segura, não há NAT de origem disponível para solicitações de entrada.
2. Os servidores no data center de Nova Jersey podem ver as rotas da Internet e do ExpressRoute.

Também temos sugestões sobre como corrigi-los.

Problema 1: Conexão da nuvem com o local pela Internet

O diagrama a seguir ilustra o caminho de rede assimétrico usado quando sua configuração de rede não fornece NAT para solicitações de entrada da nuvem da Microsoft pela Internet.

1. A solicitação de entrada do Microsoft 365 recupera o endereço IP do ponto de extremidade local do DNS público e envia a solicitação para sua rede de perímetro.
2. Nessa configuração com falha, não há NAT de origem configurado ou disponível na rede de perímetro para onde o tráfego é enviado, resultando no endereço IP de origem real sendo usado como o destino de retorno.

• O servidor em sua rede roteia o tráfego de retorno para o Microsoft 365 por meio de qualquer conexão de rede do ExpressRoute disponível.
• O resultado é um caminho assimétrico para esse fluxo para o Microsoft 365, resultando em uma conexão interrompida.

Solução 1a: NAT de origem

A simples adição de um NAT de origem à solicitação de entrada resolve essa rede configurada incorretamente. Neste diagrama:

1. A solicitação de entrada continua a entrar pela rede de perímetro do data center de Nova Jersey. Desta vez, o NAT de origem está disponível.
2. A resposta do servidor roteia de volta para o IP associado ao NAT de origem em vez do endereço IP original, resultando no retorno da resposta ao longo do mesmo caminho de rede.

Solução 1b: escopo de rota

Como alternativa, você pode optar por não permitir que os prefixos BGP do ExpressRoute sejam anunciados, removendo o caminho de rede alternativo para esses computadores. Neste diagrama:

1. A solicitação de entrada continua a entrar pela rede de perímetro do data center de Nova Jersey. Desta vez, os prefixos anunciados da Microsoft no circuito do ExpressRoute não estão disponíveis para o data center de Nova Jersey.
2. A resposta do servidor roteia de volta para o IP associado ao endereço IP original pela única rota disponível, resultando no retorno da resposta ao longo do mesmo caminho de rede.

Problema 2: conexão da nuvem com o local pelo ExpressRoute

O diagrama a seguir ilustra o caminho de rede assimétrico percorrido quando sua configuração de rede não fornece NAT para solicitações de entrada da nuvem da Microsoft por meio do ExpressRoute.

1. A solicitação de entrada do Microsoft 365 recupera o endereço IP do DNS e envia a solicitação para sua rede de perímetro.
2. Nessa configuração com falha, não há NAT de origem configurado ou disponível na rede de perímetro para onde o tráfego é enviado, resultando no endereço IP de origem real sendo usado como o destino de retorno.

• O computador em sua rede roteia o tráfego de retorno para o Microsoft 365 por meio de qualquer conexão de rede do ExpressRoute disponível.
• O resultado é uma conexão assimétrica com o Microsoft 365.

Solução 2: NAT de origem

A simples adição de um NAT de origem à solicitação de entrada resolve essa rede configurada incorretamente. Neste diagrama:

1. A solicitação recebida continua a entrar pela rede de perímetro do data center de Nova York. Desta vez, o NAT de origem está disponível.
2. A resposta do servidor roteia de volta para o IP associado ao NAT de origem em vez do endereço IP original, resultando no retorno da resposta ao longo do mesmo caminho de rede.

Artigo Verifique se o design da rede tem simetria de caminho

Neste ponto, você precisa verificar no papel se seu plano de implementação oferece simetria de rota para os diferentes cenários em que você usará o Microsoft 365. Você identificará a rota de rede específica que deve ser percorrida quando uma pessoa usa diferentes recursos do serviço. Da rede local e roteamento de WAN, aos dispositivos de perímetro e ao caminho de conectividade; ExpressRoute ou a Internet e na conexão com o ponto de extremidade online.

Você precisará fazer isso para todos os serviços de rede do Microsoft 365 que foram identificados anteriormente como serviços que sua organização adotará.

Ajuda fazer este passo a passo de papel de rotas com uma segunda pessoa. Explique a eles de onde se espera que cada salto de rede obtenha sua próxima rota e verifique se você está familiarizado com os caminhos de roteamento. Lembre-se de que o ExpressRoute sempre fornecerá uma rota com mais escopo para endereços IP do servidor Microsoft, oferecendo um custo de rota menor do que uma rota padrão da Internet.

Projetar Configuração de Conectividade do Cliente

Se você estiver usando um servidor proxy para tráfego vinculado à Internet, precisará ajustar todos os arquivos de configuração do PAC ou do cliente para garantir que os computadores cliente em sua rede estejam configurados corretamente para enviar o tráfego do ExpressRoute desejado para o Microsoft 365 sem transitar pelo servidor proxy e o tráfego restante, incluindo algum tráfego do Microsoft 365, seja enviado para o proxy relevante. Leia nosso guia sobre como gerenciar pontos de extremidade do Microsoft 365, por exemplo, arquivos PAC.

Garantir a simetria de rota

Os servidores front-end do Microsoft 365 podem ser acessados na Internet e no ExpressRoute. Esses servidores preferirão rotear de volta para o local por meio de circuitos do ExpressRoute quando ambos estiverem disponíveis. Por causa disso, existe a possibilidade de assimetria de rota se o tráfego da sua rede preferir rotear pelos circuitos da Internet. Rotas assimétricas são um problema porque os dispositivos que executam a inspeção de pacotes com estado podem bloquear o tráfego de retorno que segue um caminho diferente dos pacotes de saída seguidos.

Independentemente de você iniciar uma conexão com o Microsoft 365 pela Internet ou pelo ExpressRoute, a origem deve ser um endereço publicamente roteável. Com muitos clientes fazendo peering diretamente com a Microsoft, não é viável ter endereços privados em que a duplicação é possível entre clientes.

Veja a seguir os cenários em que as comunicações do Microsoft 365 com sua rede local serão iniciadas. Para simplificar o design da rede, recomendamos rotear o seguinte pelo caminho da Internet.

• Serviços SMTP, como email de um locatário do Exchange Online para um host local ou Email do SharePoint enviado do SharePoint para um host local. O protocolo SMTP é usado mais amplamente na rede da Microsoft do que os prefixos de rota compartilhados em circuitos do ExpressRoute e o anúncio de servidores SMTP locais no ExpressRoute causará falhas nesses outros serviços.
• ADFS durante a validação de senha para entrar.
• Implantações híbridas do Exchange Server.
• Pesquisa híbrida federada do SharePoint.
• BCS híbrido do SharePoint.
• Federação do Skype for Business híbrido e/ou Skype for Business.
• Cloud Connector do Skype for Business.

Para que a Microsoft roteie de volta para sua rede para esses fluxos de tráfego bidirecionais, as rotas BGP para seus dispositivos locais devem ser compartilhadas com a Microsoft. Ao anunciar prefixos de rota para a Microsoft por meio do ExpressRoute, você deve seguir estas práticas recomendadas:

1. Não anuncie o mesmo prefixo de rota de endereço IP público para a Internet pública e por meio do ExpressRoute. É recomendável que os anúncios de prefixo de rota BGP de IP para a Microsoft no ExpressRoute sejam de um intervalo que não é anunciado para a Internet. Se isso não for possível devido ao espaço de endereço IP disponível, é essencial garantir que você anuncie um intervalo mais específico no ExpressRoute do que qualquer circuito de Internet.
2. Use pools de IP NAT separados por circuito do ExpressRoute e separados dos seus circuitos de Internet.
3. Qualquer rota anunciada para a Microsoft atrairá tráfego de rede de qualquer servidor na rede da Microsoft, não apenas aqueles para os quais as rotas são anunciadas para sua rede por ExpressRoute. Anuncie apenas rotas para servidores onde os cenários de roteamento são definidos e bem compreendidos por sua equipe. Anuncie prefixos de rota de endereço IP separados em cada um dos vários circuitos do ExpressRoute da sua rede.

Alta disponibilidade e failover com o Azure ExpressRoute

É recomendável provisionar pelo menos dois circuitos ativos de cada saída com o ExpressRoute para o provedor do ExpressRoute. Esse é o local mais comum em que vemos falhas para os clientes e você pode evitá-lo facilmente provisionando um par de circuitos ExpressRoute ativos/ativos. Também recomendamos pelo menos dois circuitos de Internet ativos/ativos porque muitos serviços do Microsoft 365 só estão disponíveis na Internet.

Dentro do ponto de saída da sua rede existem muitos outros dispositivos e circuitos que desempenham um papel crítico na forma como as pessoas percebem a disponibilidade. Essas partes de seus cenários de conectividade não são cobertas pelo ExpressRoute ou pelos SLAs do Microsoft 365, mas desempenham um papel crítico na disponibilidade do serviço de ponta a ponta, conforme percebido pelas pessoas em sua organização.

Concentre-se nas pessoas que usam e operam o Microsoft 365, se uma falha de qualquer componente afetar a experiência das pessoas usando o serviço, procure maneiras de limitar o percentual total de pessoas afetadas. Se um modo de failover for operacionalmente complexo, considere a experiência das pessoas de muito tempo de recuperação e procure modos de failover operacionalmente simples e automatizados.

Fora da sua rede, o Microsoft 365, o ExpressRoute e seu provedor do ExpressRoute têm diferentes níveis de disponibilidade.

Disponibilidade de Serviço

• Os serviços do Microsoft 365 são cobertos por contratos de nível de serviço bem definidos, que incluem métricas de disponibilidade e tempo de atividade para serviços individuais. Um dos motivos pelos quais o Microsoft 365 pode manter níveis de disponibilidade de serviço tão altos é a capacidade de componentes individuais fazerem failover entre os muitos datacenters da Microsoft, usando a rede global da Microsoft. Esse failover se estende do datacenter e da rede para os vários pontos de saída da Internet e permite o failover sem problemas da perspectiva das pessoas que usam o serviço.
• O ExpressRoute fornece um SLA de disponibilidade de 99,9% em circuitos dedicados individuais entre o Microsoft Network Edge e o provedor do ExpressRoute ou infraestrutura de parceiro. Esses níveis de serviço são aplicados no nível do circuito do ExpressRoute, que consiste em duas interconexões independentes entre o equipamento redundante da Microsoft e o equipamento do provedor de rede em cada local de emparelhamento.

Disponibilidade do Provedor

Os acordos de nível de serviço da Microsoft param em seu provedor ou parceiro do ExpressRoute. Este também é o primeiro lugar onde você pode fazer escolhas que influenciarão seu nível de disponibilidade. Você deve avaliar de perto as características de arquitetura, disponibilidade e resiliência que seu provedor do ExpressRoute oferece entre o perímetro de rede e a conexão dos provedores em cada local de emparelhamento da Microsoft. Preste muita atenção aos aspectos lógicos e físicos da redundância, equipamentos de peering, circuitos WAN fornecidos pela operadora e quaisquer serviços extras de valor agregado, como serviços NAT ou firewalls gerenciados.

Projetando seu plano de disponibilidade

É altamente recomendável que você planeje e projete alta disponibilidade e resiliência em seus cenários de conectividade de ponta a ponta para o Microsoft 365. Um design deve incluir;

• Nenhum ponto único de falha, incluindo os circuitos da Internet e do ExpressRoute.
• Minimizar o número de pessoas afetadas e a duração desse impacto para os modos de falha mais previstos.
• Otimizando para um processo de recuperação simples, repetível e automático dos modos de falha mais previstos.
• Suporte a todas as demandas de tráfego e funcionalidade da rede por meio de caminhos redundantes, sem degradação substancial.

Seus cenários de conectividade devem incluir uma topologia de rede otimizada para vários caminhos de rede independentes e ativos para o Microsoft 365. Isso produzirá uma disponibilidade de ponta a ponta melhor do que uma topologia otimizada apenas para redundância no nível do dispositivo ou equipamento individual.

Recomendamos provisionar pelo menos dois circuitos do ExpressRoute com cada circuito conectando-se a um local de emparelhamento geográfico diferente. Você deve provisionar esse par de circuitos ativo-ativo para cada região em que as pessoas usarão a conectividade do ExpressRoute para serviços do Microsoft 365. Isso permite que cada região permaneça conectada durante um desastre que afete um local importante, como um datacenter ou local de emparelhamento. Configurá-los como ativos/ativos permite que o tráfego do usuário final seja distribuído através de vários caminhos de rede. Isso reduz o número de pessoas afetadas durante interrupções de dispositivos ou equipamentos de rede.

Não recomendamos usar um único circuito ExpressRoute com a Internet como backup.

Exemplo: Failover e Alta Disponibilidade

O design multigeográfico da Contoso passou por uma revisão de roteamento, largura de banda, segurança e agora deve passar por uma revisão de alta disponibilidade. A Contoso considera a alta disponibilidade como abrangendo três categorias; resiliência, confiabilidade e redundância.

A resiliência permite que a Contoso se recupere de falhas rapidamente. A confiabilidade permite que a Contoso ofereça um resultado consistente dentro do sistema. A redundância permite que a Contoso se mova entre uma ou mais instâncias espelhadas de infraestrutura.

Em cada configuração de borda, a Contoso tem firewalls, proxies e IDS redundantes. Para a América do Norte, a Contoso tem uma configuração de borda em seu datacenter de Dallas e outra configuração de borda em seu datacenter da Virgínia. O equipamento redundante em cada local oferece resiliência para esse local.

A configuração de rede na Contoso é criada com base em alguns princípios fundamentais:

• Em cada região geográfica, há vários circuitos do Azure ExpressRoute.
• Cada circuito dentro de uma região pode suportar todo o tráfego de rede dentro dessa região.
• O roteamento claramente preferirá um ou outro caminho, dependendo da disponibilidade, localização e assim por diante.
• O failover entre circuitos do Azure ExpressRoute ocorre automaticamente sem configuração ou ação adicional necessária pela Contoso.
• O failover entre circuitos de Internet ocorre automaticamente sem configuração ou ação adicional exigida pela Contoso.

Nessa configuração, com redundância nos níveis físico e virtual, a Contoso é capaz de oferecer resiliência local, resiliência regional e resiliência global de maneira confiável. A Contoso escolheu essa configuração depois de avaliar um único circuito do Azure ExpressRoute por região, bem como a possibilidade de failover para a Internet.

Se a Contoso não pudesse ter vários circuitos do Azure ExpressRoute por região, o roteamento do tráfego originado na América do Norte para o circuito do Azure ExpressRoute na Ásia-Pacífico adicionaria um nível inaceitável de latência, e a configuração necessária do encaminhador DNS adicionaria complexidade.

Não é recomendável usar a Internet como configuração de backup. Isso quebra o princípio de confiabilidade da Contoso, resultando em uma experiência inconsistente usando a conexão. Além disso, a configuração manual seria necessária para fazer failover considerando os anúncios BGP que foram configurados, a configuração da NAT, a configuração do DNS e a configuração do proxy. Essa complexidade adicional de failover aumenta o tempo de recuperação e diminui a capacidade de diagnosticar e solucionar problemas das etapas envolvidas.

Ainda tem dúvidas sobre como planejar e implementar o gerenciamento de tráfego ou o Azure ExpressRoute? Leia o restante de nossas diretrizes de rede e desempenho ou as perguntas frequentes do Azure ExpressRoute.

Aplicando controles de segurança ao Azure ExpressRoute para cenários do Microsoft 365

A proteção da conectividade do Azure ExpressRoute começa com os mesmos princípios da proteção da conectividade com a Internet. Muitos clientes optam por implantar controles de rede e perímetro ao longo do caminho do ExpressRoute conectando sua rede local ao Microsoft 365 e outras nuvens da Microsoft. Esses controles podem incluir firewalls, proxies de aplicativos, prevenção de vazamento de dados, detecção de intrusão, sistemas de prevenção de intrusão e assim por diante. Em muitos casos, os clientes aplicam diferentes níveis de controles ao tráfego iniciado do local para a Microsoft, versus o tráfego iniciado da Microsoft para a rede local do cliente versus o tráfego iniciado do local para um destino geral da Internet.

Aqui estão alguns exemplos de integração de segurança com o modelo de conectividade do ExpressRoute que você escolher implantar.

Alguns provedores de serviços também oferecem funcionalidade gerenciada de segurança/perímetro como parte de suas soluções de integração com o Azure ExpressRoute.

Ao considerar o posicionamento da topologia das opções de perímetro de rede/segurança usadas para conexões do ExpressRoute para Microsoft 365, a seguir estão considerações extras

• A profundidade e o tipo de controles de rede/segurança podem afetar o desempenho e a escalabilidade da experiência do usuário do Microsoft 365.
• Os fluxos de saída (Microsoft-local>) e de entrada (Microsoft-local>) [se habilitado] podem ter requisitos diferentes. Eles provavelmente são diferentes dos destinos de saída para destinos gerais da Internet.
• Os requisitos do Microsoft 365 para portas/protocolos e sub-redes IP necessárias são os mesmos, independentemente de o tráfego ser roteado por meio do ExpressRoute para Microsoft 365 ou pela Internet.
• O posicionamento topológico dos controles de rede/segurança do cliente determina a rede final de ponta a ponta entre o usuário e o serviço Microsoft 365 e pode ter um impacto substancial na latência e no congestionamento da rede.
• Incentivamos os clientes a projetar sua topologia de segurança/perímetro para uso com o ExpressRoute para Microsoft 365 de acordo com as práticas recomendadas para redundância, alta disponibilidade e recuperação de desastre.

Veja um exemplo da Contoso que compara as diferentes opções de conectividade do Azure ExpressRoute com os modelos de segurança de perímetro discutidos acima.

Exemplo: proteger o Azure ExpressRoute

A Contoso está considerando implementar o Azure ExpressRoute e, depois de planejar a arquitetura ideal para o ExpressRoute para Microsoft 365 e depois de usar as diretrizes acima para entender os requisitos de largura de banda, eles estão determinando o melhor método para proteger seu perímetro.

Para a Contoso, uma organização multinacional com locais em vários continentes, a segurança deve abranger todos os perímetros. A opção ideal de conectividade para a Contoso é uma conexão de vários pontos com vários locais de emparelhamento em todo o mundo para atender às necessidades de seus funcionários em cada continente. Cada continente inclui circuitos redundantes do Azure ExpressRoute dentro do continente e a segurança deve abranger todos eles.

A infraestrutura existente da Contoso é confiável e pode lidar com o trabalho extra. Como resultado, a Contoso pode usar a infraestrutura para o Azure ExpressRoute e a segurança do perímetro da Internet. Se esse não fosse o caso, a Contoso poderia optar por comprar mais equipamentos para complementar o equipamento existente ou para lidar com um tipo diferente de conexão.

Planejamento de largura de banda para o Azure ExpressRoute

Cada cliente do Microsoft 365 tem necessidades exclusivas de largura de banda, dependendo do número de pessoas em cada local, da capacidade de cada aplicativo do Microsoft 365 e de outros fatores, como o uso de equipamentos locais ou híbridos e as configurações de segurança de rede.

Ter pouca largura de banda resultará em congestionamento, retransmissões de dados e atrasos imprevisíveis. Ter muita largura de banda resultará em custos desnecessários. Em uma rede existente, a largura de banda geralmente é referida em termos da quantidade de espaço disponível no circuito como uma porcentagem. Ter 10% de espaço livre provavelmente resultará em congestionamento e ter 80% de espaço geralmente significa custos desnecessários. As alocações típicas de headroom são de 20% a 50%.

Para encontrar o nível certo de largura de banda, o melhor mecanismo é testar o consumo de rede existente. Essa é a única maneira de obter uma medida real do uso e da necessidade, pois cada configuração de rede e aplicativos são, de certa forma, exclusivos. Ao medir, você deve prestar muita atenção ao consumo total de largura de banda, latência e congestionamento TCP para entender suas necessidades de rede.

Depois de ter uma linha de base estimada que inclui todos os aplicativos de rede, faça um piloto do Microsoft 365 com um pequeno grupo que compreende os diferentes perfis de pessoas em sua organização para determinar o uso real e use as duas medidas para estimar a quantidade de largura de banda necessária para cada local de escritório. Se houver algum problema de latência ou congestionamento de TCP encontrado em seu teste, talvez seja necessário mover a saída para mais perto das pessoas que usam o Microsoft 365 ou remover a verificação intensiva da rede, como descriptografia/inspeção SSL.

Todas as nossas recomendações sobre o tipo de processamento de rede recomendado se aplicam ao ExpressRoute e aos circuitos da Internet. O mesmo se aplica ao restante das diretrizes em nosso site de ajuste de desempenho.

Compilar seus procedimentos de implantação e teste

Seu plano de implementação deve incluir testes e planejamento de reversão. Se sua implementação não estiver funcionando conforme o esperado, o plano deve ser projetado para afetar o menor número de pessoas antes que os problemas sejam descobertos. A seguir estão alguns princípios de alto nível que seu plano deve considerar.

1. Prepare o segmento de rede e a integração do serviço ao usuário para minimizar a interrupção.

2. Planeje o teste de rotas com traceroute e TCP Connect de um host separado conectado à Internet.

3. Preferencialmente, o teste de serviços de entrada e saída deve ser feito em uma rede de teste isolada com um locatário de teste do Microsoft 365.

   • Como alternativa, o teste poderá ser realizado em uma rede de produção se o cliente ainda não estiver usando o Microsoft 365 ou estiver no piloto.
   • Como alternativa, o teste pode ser realizado durante uma interrupção de produção reservada apenas para teste e monitoramento.
   • Como alternativa, o teste pode ser feito verificando as rotas para cada serviço em cada nó de roteador da camada 3. Esse fallback só deve ser usado se nenhum outro teste for possível, pois a falta de testes físicos apresenta riscos.

Crie seus procedimentos de implantação

Seus procedimentos de implantação devem ser implementados em pequenos grupos de pessoas em estágios para permitir testes antes da implantação em grupos maiores de pessoas. A seguir estão várias maneiras de preparar a implantação do ExpressRoute.

1. Configure o ExpressRoute com emparelhamento da Microsoft e tenha os anúncios de rota encaminhados para um único host somente para fins de teste em estágios.
2. Anuncie rotas para a rede ExpressRoute para um único segmento de rede primeiro e expanda anúncios de rota por segmento de rede ou região.
3. Se estiver implantando o Microsoft 365 pela primeira vez, use a implantação de rede do ExpressRoute como um piloto para algumas pessoas.
4. Se estiver usando servidores proxy, você poderá configurar um arquivo PAC de teste para direcionar algumas pessoas ao ExpressRoute com testes e comentários antes de adicionar mais.

Seu plano de implementação deve listar cada um dos procedimentos de implantação que devem ser executados ou comandos que precisam ser usados para implantar a configuração de rede. Quando chegar o momento da interrupção da rede, todas as alterações feitas deverão ser do plano de implantação escrito que foi escrito com antecedência e revisado por pares. Consulte nossas diretrizes sobre a configuração técnica do ExpressRoute.

• Atualize seus registros TXT SPF se você alterou os endereços IP de algum servidor local que continuará a enviar emails.
• Atualize todas as entradas DNS para servidores locais se você alterou os endereços IP para acomodar uma nova configuração NAT.
• Certifique-se de ter se inscrito no feed RSS para notificações de ponto de extremidade do Microsoft 365 para manter todas as configurações de roteamento ou proxy.

Após a conclusão da implantação do ExpressRoute, os procedimentos no plano de teste devem ser executados. Os resultados de cada procedimento devem ser registrados. Você deve incluir procedimentos para reverter para o ambiente de produção original caso os resultados do plano de teste indiquem que a implementação não foi bem-sucedida.

Crie seus procedimentos de teste

Seus procedimentos de teste devem incluir testes para cada serviço de rede de saída e entrada para o Microsoft 365, tanto que usará o ExpressRoute quanto para os que não usarão. Os procedimentos devem incluir testes de cada local de rede exclusivo, incluindo usuários que não estão no local na LAN corporativa.

Alguns exemplos de atividades de teste incluem o seguinte:

1. Faça ping do roteador local para o roteador da operadora de rede.

2. Valide os 500+ anúncios de endereço IP do Microsoft 365 e do CRM Online recebidos pelo roteador local.

3. Valide se a NAT de entrada e saída está operando entre o ExpressRoute e a rede interna.

4. Valide se as rotas para seu NAT estão sendo anunciadas a partir do seu roteador.

5. Valide se o ExpressRoute aceitou os prefixos anunciados.

   • Use o cmdlet a seguir para verificar anúncios de emparelhamento

   Get-AzureRmExpressRouteCircuitRouteTable -DevicePath Primary -ExpressRouteCircuitName TestER -ResourceGroupName RG -PeeringType MicrosoftPeering
   

6. Valide se o intervalo de IP da NAT pública não é anunciado para a Microsoft por meio de nenhum outro ExpressRoute ou circuito de rede pública da Internet, a menos que seja um subconjunto específico de um intervalo maior, como no exemplo anterior.

7. Os circuitos do ExpressRoute estão emparelhados, valide se ambas as sessões BGP estão em execução.

8. Configure um único host no interior da NAT e use ping, tracert e tcpping para testar a conectividade entre o novo circuito e o host outlook.office365.com. Como alternativa, você pode usar uma ferramenta como o Wireshark ou o Monitor de Rede da Microsoft 3.4 em uma porta espelhada do MSEE para validar se você pode se conectar ao endereço IP associado ao outlook.office365.com.

9. Teste a funcionalidade de nível de aplicativo para o Exchange Online.

• Teste O Outlook consegue se conectar ao Exchange Online e enviar/receber emails.
• O Outlook de teste pode usar o modo online.
• Teste a conectividade do smartphone e a capacidade de envio/recebimento.

1. Testar a funcionalidade de nível de aplicativo para o SharePoint

• Teste o cliente de sincronização do OneDrive for Business.
• Teste o acesso à Web do SharePoint.

11. Teste a funcionalidade de nível de aplicativo para cenários de chamada do Skype for Business:

• Ingressar na teleconferência como usuário autenticado [convite iniciado pelo usuário final].
• Convidar usuário para chamada em conferência [convite enviado do MCU].
• Ingresse na conferência como usuário anônimo usando o aplicativo Web do Skype for Business.
• Participe da chamada a partir de sua conexão de computador com fio, telefone IP e dispositivo móvel.
• Chamada para usuário federado o Chamada para validação PSTN: chamada concluída, qualidade da chamada é aceitável, tempo de conexão é aceitável.
• Verifique se o status de presença dos contatos é atualizado para membros do locatário e usuários federados.

Problemas comuns

O roteamento assimétrico é o problema de implementação mais comum. Aqui estão algumas fontes comuns para procurar:

• Usar uma topologia de roteamento de rede aberta ou simples sem NAT de origem in-loco.
• Não usar o SNAT para rotear para os serviços de entrada por meio de conexões da Internet e do ExpressRoute.
• Não testar os serviços de entrada no ExpressRoute em uma rede de teste antes de implantar amplamente.

Implantando a conectividade do ExpressRoute por meio de sua rede

Prepare sua implantação em um segmento da rede por vez, distribuindo progressivamente a conectividade para diferentes partes da rede com um plano de reversão para cada novo segmento de rede. Se sua implantação estiver alinhada com uma implantação do Microsoft 365, implante primeiro para os usuários piloto do Microsoft 365 e estenda a partir daí.

Primeiro para o teste e depois para a produção:

• Execute as etapas de implantação para habilitar o ExpressRoute.
• Teste a visualização de que as rotas de rede são as esperadas.
• Execute testes em cada serviço de entrada e saída.
• Reverta se você detectar problemas.

Configurar uma conexão de teste para ExpressRoute com um segmento de rede de teste

Agora que você tem o plano completo no papel, é hora de testar em pequena escala. Neste teste, você estabelecerá uma única conexão do ExpressRoute com o Emparelhamento da Microsoft para uma sub-rede de teste em sua rede local. Você pode configurar um locatário de avaliação do Microsoft 365 com conectividade de e para a sub-rede de teste e incluir todos os serviços de saída e entrada que você usará na produção na sub-rede de teste. Configure o DNS para o segmento de rede de teste e estabeleça todos os serviços de entrada e saída. Execute seu plano de teste e certifique-se de estar familiarizado com o roteamento de cada serviço e a propagação da rota.

Executar os planos de implantação e teste

À medida que você concluir os itens descritos acima, marque as áreas concluídas e certifique-se de que você e sua equipe as revisaram antes de executar seus planos de implantação e teste.

• Lista de serviços de saída e entrada que estão envolvidos na alteração de rede.
• Diagrama de arquitetura de rede global mostrando os locais de saída da Internet e de encontro do ExpressRoute.
• Diagrama de roteamento de rede demonstrando os diferentes caminhos de rede usados para cada serviço implantado.
• Um plano de implantação com etapas para implementar as alterações e reversão, se necessário.
• Um plano de teste para testar cada serviço do Microsoft 365 e da rede.
• Validação em papel concluída de rotas de produção para serviços de entrada e saída.
• Um teste concluído em um segmento de rede de teste, incluindo testes de disponibilidade.

Escolha uma janela de interrupção que seja longa o suficiente para ser executada em todo o plano de implantação e no plano de teste, tenha algum tempo disponível para solução de problemas e tempo para reversão, se necessário.

Configurar QoS para o Skype for Business Online

O QoS é necessário para obter benefícios de voz e reuniões para o Skype for Business Online. Você pode configurar a QoS depois de garantir que a conexão de rede do ExpressRoute não bloqueie nenhum outro acesso ao serviço do Microsoft 365. A configuração para QoS é descrita no artigo ExpressRoute e QoS no Skype for Business Online.

Solucionando problemas de implementação

O primeiro lugar a observar é nas etapas deste guia de implementação, alguma foi perdida em seu plano de implementação? Voltar e executar mais pequenos testes de rede, se possível, para replicar o erro e depurá-lo lá.

Identifique quais serviços de entrada ou saída falharam durante o teste. Obtenha especificamente os endereços IP e as sub-redes de cada um dos serviços que falharam. Vá em frente e percorra o diagrama de topologia de rede no papel e valide o roteamento. Valide especificamente onde o roteamento do ExpressRoute é anunciado, teste esse roteamento durante a interrupção, se possível, com rastreamentos.

Execute o PSP com um rastreamento de rede para cada ponto de extremidade do cliente e avalie os endereços IP de origem e destino para validar se eles estão conforme o esperado. Execute o telnet para qualquer host de email que você expor na porta 25 e verifique se o SNAT está ocultando o endereço IP de origem original se isso for esperado.

Lembre-se de que, ao implantar o Microsoft 365 com uma conexão ExpressRoute, você precisará garantir que a configuração de rede do ExpressRoute tenha sido projetada de maneira ideal e que você também tenha otimizado os outros componentes em sua rede, como computadores cliente. Além de usar este guia de planejamento para solucionar as etapas que você pode ter perdido, também escrevemos um Plano de solução de problemas de desempenho para o Microsoft 365.

Conteúdo relacionado

• Avaliando a conectividade de rede do Microsoft 365
• Azure ExpressRoute para Microsoft 365
• Qualidade da mídia e desempenho de conectividade de rede no Skype for Business Online
• Como otimizar a sua rede para o Skype for Business Online
• ExpressRoute e QoS no Skype for Business Online
• Fluxo de chamadas usando o ExpressRoute
• Ajuste de desempenho do Microsoft 365 usando linhas de base e histórico de desempenho
• Plano de solução de problemas de desempenho do Microsoft 365
• URLs e intervalos de endereços IP do Microsoft 365
• Ajuste de desempenho e rede do Microsoft 365