Conectividade híbrida: Ligue on-premises ao Azure

Este artigo ajuda-o a escolher e planear a opção certa de conectividade para ligar a sua rede local às redes virtuais Azure (VNets).

O que este artigo aborda

Este artigo aborda as decisões de design para ligar redes on-premises a Azure VNets utilizando Gateway de VPN do Azure ou Azure ExpressRoute. Aprende quando usar cada opção, como funcionam em conjunto e como planear a implementação do seu gateway. Para uma visão geral dos serviços de conectividade híbrida, veja O que é a conectividade híbrida?

Quem precisa deste artigo

Leia este artigo se uma ou mais destas condições se aplicarem:

• As suas workloads do Azure devem comunicar com sistemas no local, utilizadores ou centros de dados.
• Tem de escolher entre Gateway de VPN e ExpressRoute com base na largura de banda, latência, resiliência ou custo.
• Precisa de um caminho privado ou encriptado para identidade, dados, gestão ou dependências de aplicações que permaneçam fora do Azure.
• É necessário planear a topologia do gateway, redundância ou coexistência entre VPN e ExpressRoute.

Serviços e funcionalidades do Azure

O Azure oferece vários serviços para conectividade híbrida. Cada serviço responde a diferentes requisitos de largura de banda, latência, custo e segurança.

Como funciona o Gateway de VPN

O Gateway de VPN do Azure cria um túnel IPsec/IKE encriptado entre o seu dispositivo VPN on-premises e um gateway virtual de rede Azure. Os passos seguintes descrevem o processo de instalação do túnel site-to-site (S2S):

1. Provisão de gateway: Implementas um recurso Gateway de VPN na GatewaySubnet do teu hub VNet. O Azure aprovisiona duas ou mais instâncias de gateway (dependendo do SKU e da configuração ativo-ativo). O abastecimento demora cerca de 30–45 minutos.
2. Definição de gateway de rede local: Crias um recurso de gateway de rede local no Azure que representa a tua rede local. Este recurso especifica o endereço IP público do seu dispositivo VPN on-premises e os intervalos de endereços on-premises que o Azure deve encaminhar através do túnel.
3. Criação de recursos de ligação: Cria-se um recurso de ligação que liga o Gateway de VPN ao gateway de rede local. Especificas a chave partilhada (chave pré-partilhada) e os parâmetros IPsec/IKE para o túnel.
4. IKE Fase 1 (Modo Principal): O gateway Azure e o seu dispositivo local negociam um canal seguro. Trocam propostas para algoritmos de encriptação, algoritmos de integridade, grupos de Diffie-Hellman e métodos de autenticação. O resultado é uma associação de segurança IKE (SA).
5. IKE Fase 2 (Modo Rápido): Ao utilizar o canal seguro da Fase 1, ambos os lados negociam os parâmetros do SA do IPsec: algoritmo de encriptação, algoritmo de integridade e tempo de vida da chave. Este processo estabelece o túnel IPsec.
6. Fluxos de tráfego: Uma vez concluídas ambas as fases, o túnel está ativo. O tráfego que corresponde aos intervalos de endereços definidos é encriptado, encapsulado em pacotes ESP IPsec e enviado através da internet pública para o endpoint remoto.

Para as configurações ativo-ativo, o Azure aprovisiona duas instâncias de gateway, cada uma com o seu próprio IP público. O seu dispositivo no local estabelece túneis com ambas as instâncias, assegurando a comutação automática em caso de falha caso uma das instâncias fique indisponível.

Como funciona o ExpressRoute

O Azure ExpressRoute cria uma ligação privada entre a sua rede local e o Azure através de um fornecedor de conectividade. Ao contrário da VPN, o tráfego nunca passa pela internet pública. O modelo de conectividade envolve três arestas de rede:

• Vantagem do cliente (CE): O seu router local no seu centro de dados ou instalação de colocation. Este dispositivo estabelece uma sessão BGP com o router de borda do fornecedor.
• Vantagem do fornecedor (PE): O router do fornecedor de conectividade está no local de encontro (instalação de peering). O fornecedor configura uma ligação de camada 2 ou camada 3 entre o seu CE e o seu PE.
• Microsoft Edge (MSEE): Routers Microsoft Enterprise Edge na instalação de peering. O fornecedor liga o seu PE ao MSEE, completando o caminho privado para o Azure.

Quando provisionas um circuito ExpressRoute, o fornecedor estabelece ligações redundantes entre as três arestas. O Azure anuncia os prefixos de endereços da sua VNet ao seu router CE através do BGP, e o seu CE anuncia rotas locais de volta ao Azure. Este intercâmbio bidirecional de rotas permite que o tráfego flua pelo caminho privado.

O ExpressRoute suporta dois tipos de peering:

• Azure private peering: Liga-se a Azure VNets (IaaS e PaaS com endpoints privados). Este tipo de peering é o mais comum para conectividade híbrida.
• Microsoft peering: Liga-se aos serviços públicos Microsoft 365 e Azure (como os endpoints públicos do Armazenamento do Azure). Requer que filtros de rota selecionem prefixos de serviço específicos.

Comparação entre SKUs do ExpressRoute

Comparação de SKUs do Gateway de VPN

Como escolher

Use as seguintes tabelas de decisão para selecionar a opção de conectividade certa e determinar onde colocar o seu gateway.

Gateway de VPN vs. ExpressRoute

Onde fica o gateway?

Opções de resiliência do ExpressRoute

A tabela seguinte resume como aumentar a disponibilidade do ExpressRoute. Para percentagens atuais de SLA, consulte acordos de nível de serviço do Azure.

Decisão de implementação: Exemplo de colocação do Gateway

Considere uma empresa com uma rede hub-and-spoke com três VNets spoke para produção, teste e desenvolvimento. As cargas de trabalho de produção requerem ExpressRoute para replicação de bases de dados de baixa latência, enquanto o desenvolvimento utiliza Gateway de VPN para eficiência de custos.

Colocação recomendada:

1. Implemente tanto um gateway ExpressRoute como um Gateway de VPN no GatewaySubnet do hub VNet (requer uma sub-rede /26 para coexistência).
2. Ligue os spokes de produção e staging ao hub através de peering de VNet, com o trânsito de gateway ativado. Estas spokes utilizam a ligação ExpressRoute para conectividade no local.
3. Liga o spoke de desenvolvimento ao hub com o trânsito de gateway ativado. Configurar tabelas de rotas para que o tráfego de desenvolvimento utilize preferencialmente o túnel VPN, reduzindo os custos de transferência de dados ExpressRoute.
4. Configure a ligação VPN como um caminho de failover para produção caso o circuito ExpressRoute sofra uma falha do fornecedor.

Esta abordagem centraliza a gestão dos gateways num único hub, minimiza o número de recursos de gateway necessários e associa cada spoke ao nível de conectividade adequado em função dos respetivos requisitos de carga de trabalho.

Considerações de custos

Gateway de VPN e ExpressRoute têm modelos de preços diferentes. Compreender estes modelos ajuda-o a otimizar os gastos.

Sugestões de otimização de custos:

• Use o SKU Local para o ExpressRoute quando as suas cargas de trabalho estiverem na mesma área metropolitana do local de peering. Esta escolha elimina as taxas de transferência de dados de saída.
• Escolha o plano com tráfego medido do ExpressRoute se a sua transferência de dados de saída for inferior a aproximadamente 10 TB/mês. Use o plano ilimitado para cargas de trabalho de maior volume.
• Implemente o Gateway de VPN como um failover em vez de um segundo circuito ExpressRoute se tiver um orçamento limitado mas ainda precisar de redundância.
• Ajuste o tamanho correto do seu SKU Gateway de VPN. Comece com VpnGw2AZ para a maioria das cargas de trabalho de produção e aumente a escala apenas se observar uma saturação de débito consistente.
• Revise mensalmente a utilização do seu gateway. As métricas do Azure Monitor mostram o débito dos túneis e o número de ligações, ajudando-o a identificar gateways sobreaprovisionados.

Considerações de design

Pré-requisitos

Antes de implementar a conectividade híbrida, confirme que os seguintes requisitos estão em vigor:

• Rede virtual com um GatewaySubnet: O seu VNet deve incluir uma sub-rede dedicada nomeada GatewaySubnet com um tamanho mínimo de /27 (ou /26 se planeia coexistir entre gateways ExpressRoute e VPN). Para orientações sobre VNet e planeamento de sub-redes, consulte o artigo sobre VNets e sub-redes.
• Dispositivo VPN on-premises (para Gateway de VPN): Um dispositivo VPN compatível que suporta IKEv2 e IPsec. A Microsoft mantém uma lista de dispositivos VPN validados.
• Relação com o fornecedor de conectividade (para ExpressRoute): Um contrato com um fornecedor de conectividade ExpressRoute, ou alocação de portas ExpressRoute Direct. O provisionamento do fornecedor requer uma troca de chaves de serviço e a configuração física de ligação cruzada.
• Planeamento de endereços IP: Espaços de endereçamento não sobrepostos entre redes on-premises e Azure. Planeie endereços de subredes de gateway como parte da sua estratégia global de IP. Consulte o artigo sobre planeamento de PI.
• Suporte ao Protocolo de Gateway de Fronteira (BGP): O ExpressRoute requer BGP e é recomendado para o encaminhamento dinâmico de Gateway de VPN. Confirme que o seu equipamento local suporta BGP.

Considerações de segurança

A conectividade híbrida introduz limites de segurança que exigem um planeamento cuidadoso. Cada tipo de conectividade tem diferentes perfis de ameaça e estratégias de mitigação.

O tráfego ExpressRoute não é encriptado por defeito

O ExpressRoute fornece um caminho privado, mas não encripta o tráfego na camada de rede por defeito. Esta falta de encriptação significa que qualquer pessoa com acesso físico à infraestrutura do fornecedor poderia, teoricamente, intercetar tráfego. Considere as seguintes opções de encriptação com base no seu perfil de risco:

• MACsec (Camada 2): Disponível apenas no ExpressRoute Direct. Encripta o tráfego na ligação física entre os seus routers periféricos e a extremidade da Microsoft. Tens de ativar explicitamente o MACsec após o provisionamento das portas. Esta opção oferece encriptação à velocidade de fio com uma sobrecarga mínima de latência.
• IPsec sobre ExpressRoute (Camada 3): Execute um túnel VPN através da ligação de peering privado do ExpressRoute para obter encriptação de ponta a ponta. Esta abordagem funciona com qualquer circuito ExpressRoute e encripta o tráfego tanto na rede do fornecedor como na backbone da Microsoft. O SKU Gateway de VPN limita o débito.
• Encriptação ao nível de aplicação: Usa TLS/HTTPS ao nível da aplicação. Esta abordagem é independente do tipo de conectividade e protege os dados independentemente do transporte subjacente. É a encriptação mínima mais comum e recomendada para todas as cargas de trabalho híbridas.

Para a maioria das organizações, a combinação do caminho privado ExpressRoute com o TLS da camada de aplicação oferece proteção suficiente. Adicione MACsec ou IPsec sobre ExpressRoute apenas quando os requisitos regulamentares exigem encriptação na camada de rede para dados em trânsito.

O encaminhamento assimétrico compromete os firewalls com monitorização de estado

Quando utiliza múltiplos caminhos de conectividade, como ExpressRoute e VPN, o tráfego pode seguir diferentes caminhos de entrada e saída. Os firewalls com estado descartam o tráfego de retorno quando este chega por uma interface diferente da do pedido inicial. Planeie o seu roteamento para garantir caminhos simétricos, ou use tabelas de rotas e atributos BGP para controlar o fluxo de tráfego.

As estratégias de mitigação incluem:

• Define o caminho BGP AS a prepender no caminho de backup para o tornar menos preferido.
• Use tabelas de roteamento (UDRs) nas sub-redes para forçar o tráfego através de um gateway específico.
• Configure comunidades BGP e preferências locais para influenciar a seleção de rotas de forma determinista.
• Teste cenários de failover para verificar se o tráfego retorna pelo mesmo caminho por onde chegou.

Aviso NSG do GatewaySubnet

Se tiver de aplicar NSGs à GatewaySubnet, permita, no mínimo, tráfego proveniente da etiqueta de serviço GatewayManager e da etiqueta de serviço AzureLoadBalancer. Consulte a documentação do gateway para a lista completa de regras obrigatórias antes de fazer alterações.

Encriptação VPN site-to-site

O IKEv2/IPsec encripta sempre o tráfego VPN site-to-site durante o trânsito. Configuras os algoritmos de encriptação e as forças das chaves como parte da política IPsec/IKE na ligação. Use políticas personalizadas para impor algoritmos criptográficos específicos em vez de depender de defeitos.

Definições recomendadas de políticas personalizadas para cargas de trabalho em produção:

• IKE Fase 1: encriptação AES-256, integridade SHA-256, DH Grupo 14 ou superior
• IKE Fase 2 (IPsec): encriptação AES-256-GCM, PFS Grupo 14 ou superior
• Vida útil padrão do SA: 28.800 segundos (IKE), 3.600 segundos (IPsec)

Evite usar algoritmos obsoletos (DES, 3DES, MD5, SHA-1, DH Group 1/2), mesmo que o Azure ainda os suporte para compatibilidade retroativa.

Autenticação VPN ponto-para-site

A VPN P2S suporta autenticação Microsoft Entra ID com integração de autenticação multifator (MFA). Esta opção oferece controlo de acesso baseado em identidade para clientes individuais que se ligam ao Azure. A VPN P2S também suporta autenticação baseada em certificados e RADIUS.

Escolha o método de autenticação com base nos seus requisitos:

Artigos relacionados

• O que é conectividade híbrida?: Visão geral dos serviços de conectividade híbrida do Azure e quando usar cada um.
• VNets e subredes: dimensionamento da GatewaySubnet e pré-requisitos da VNet para conectividade híbrida.
• Túnel forçado e controlo do tráfego de saída: Como o túnel forçado encaminha o tráfego destinado à Internet do Azure de volta para as instalações locais.
• Acesso privado a serviços PaaS: Tornar os Endpoints Privados acessíveis a partir de redes locais através da conectividade híbrida.
• Acesso remoto para programadores e administradores: implementação de VPN point-to-site, integração de identidade e detalhes de configuração do cliente.
• Conectividade multicloud e entre regiões: ExpressRoute Global Reach e cenários de conectividade entre clouds.
• Topologia hub-and-spoke: Posicionamento do gateway na VNet do hub e configuração de roteamento do spoke.

Saiba mais

• O que é Gateway de VPN do Azure?
• O que é Azure ExpressRoute?
• Sobre o ExpressRoute Direct
• Sobre as definições de configuração do Gateway VPN
• Projetando para alta disponibilidade com o ExpressRoute
• Utilize uma VPN site a site (S2S) como backup para o peering privado do ExpressRoute
• Sobre encriptação para ExpressRoute

Passos seguintes