Hybridanslutning: Koppla on-premises till Azure

Den här artikeln hjälper dig att välja och planera rätt anslutningsalternativ för att ansluta ditt lokala nätverk till Azure virtuella nätverk (VNets).

Vad den här artikeln beskriver

Den här artikeln beskriver designbesluten för att ansluta lokala nätverk till Azure virtuella nätverk med hjälp av Azure VPN Gateway eller Azure ExpressRoute. Du lär dig när du ska använda varje alternativ, hur de fungerar tillsammans och hur du planerar gatewaydistributionen. För en övergripande översikt av hybridanslutningstjänsterna, se Vad är hybridanslutning?

Vem behöver den här artikeln

Läs den här artikeln om ett eller flera av dessa villkor gäller:

• Dina Azure arbetsbelastningar måste kommunicera med lokala system, användare eller datacenter.
• Du måste välja mellan VPN Gateway och ExpressRoute baserat på bandbredd, svarstid, återhämtning eller kostnad.
• Du behöver en privat eller krypterad sökväg för identitets-, data-, hanterings- eller programberoenden som är utanför Azure.
• Du måste planera gatewaytopologi, redundans eller samexistens mellan VPN och ExpressRoute.

Azure tjänster och funktioner

Azure tillhandahåller flera tjänster för hybridanslutning. Varje tjänst hanterar olika krav på bandbredd, svarstid, kostnad och säkerhet.

Så här fungerar VPN Gateway

Azure VPN Gateway skapar en krypterad IPsec/IKE-tunnel mellan din lokala VPN-enhet och en Azure virtuell nätverksgateway. Följande steg beskriver processen för att sätta upp tunneln från plats till plats (S2S):

1. Etablering av gateway: Du etablerar en VPN Gateway-resurs i GatewaySubnet för ditt virtuella hubbnätverk. Azure etablerar två eller flera gateway-instanser (beroende på SKU och konfigurationen aktiv/aktiv). Provisioneringen tar cirka 30–45 minuter.
2. Definition av lokal nätverksgateway: Du skapar en lokal nätverksgatewayresurs i Azure som representerar ditt lokala nätverk. Den här resursen anger den offentliga IP-adressen för din lokala VPN-enhet och de lokala adressintervall som Azure ska dirigera genom tunneln.
3. Skapa anslutningsresurs: Du skapar en anslutningsresurs som länkar VPN Gateway till den lokala nätverksgatewayen. Du anger parametrarna delad nyckel (i förväg delad nyckel) och IPsec/IKE för tunneln.
4. IKE Fas 1 (huvudläge): Den Azure gatewayen och din lokala enhet förhandlar om en säker kanal. De utbyter förslag för krypteringsalgoritmer, integritetsalgoritmer, Diffie-Hellman grupper och autentiseringsmetoder. Resultatet är en IKE Security Association (SA).
5. IKE Fas 2 (Snabbläge): Genom att använda den säkra kanalen från Fas 1 förhandlar båda sidor om IPsec SA-parametrarna: krypteringsalgoritm, integritetsalgoritm och nyckellivslängd. Den här processen upprättar IPsec-tunneln.
6. Trafikflöden: När båda faserna är klara är tunneln aktiv. Trafik som matchar de definierade adressintervallen krypteras, kapslas in i IPsec ESP-paket och skickas via det offentliga Internet till fjärrslutpunkten.

För aktiva-aktiva konfigurationer etablerar Azure två gatewayinstanser, var och en med sin egen offentliga IP-adress. Din lokala enhet upprättar tunnlar till båda instanserna, vilket ger automatisk redundans om en instans blir otillgänglig.

Så fungerar ExpressRoute

Azure ExpressRoute skapar en privat anslutning mellan ditt lokala nätverk och Azure via en anslutningsleverantör. Till skillnad från VPN går trafiken aldrig över det offentliga Internet. Anslutningsmodellen omfattar tre nätverkskanter:

• Kundgräns (CE): Din lokala router i ditt datacenter eller din samlokaliseringsanläggning. Den här enheten upprättar en BGP-session med leverantörens edge-router.
• Provider edge (PE): Anslutningsleverantörens router på deras meet-me-plats (peering-anläggning). Providern konfigurerar en Layer 2- eller Layer 3-anslutning mellan din CE och deras PE.
• Microsoft edge (MSEE): Microsoft Enterprise Edge-routrar på peering-anläggningen. Leverantören ansluter sin PE till MSEE och fullbordar den privata anslutningen till Azure.

När du etablerar en ExpressRoute-krets konfigurerar providern redundanta anslutningar mellan alla tre kanterna. Azure annonserar dina VNet-adressprefix till din CE-router med hjälp av BGP, och din CE-router annonserar rutter i det lokala nätverket tillbaka till Azure. Det här dubbelriktade utbytet av rutter gör att trafik kan flöda över den privata förbindelsen.

ExpressRoute har stöd för två peeringtyper:

• Azure privat peering: Ansluter till Azure virtuella nätverk (IaaS och PaaS med privata slutpunkter). Den här peeringtypen är den vanligaste för hybridanslutning.
• Microsoft peering: Ansluter till Microsoft 365 och Azure offentliga tjänster (till exempel Azure Storage offentliga slutpunkter). Kräver ruttfilter för att välja specifika prefix för tjänster.

Jämförelse av ExpressRoute-SKU:er

VPN Gateway SKU-jämförelse

Så här väljer du

Använd följande beslutstabeller för att välja rätt anslutningsalternativ och avgöra var gatewayen ska placeras.

VPN Gateway jämfört med ExpressRoute

Var bor gatewayen?

Återhämtningsalternativ för ExpressRoute

I följande tabell sammanfattas hur du ökar ExpressRoute-tillgängligheten. Aktuella SLA-procentsatser finns i Azure serviceavtal.

Driftsättningsbeslut: exempel på gateway-placering

Tänk dig ett företag med ett hub and spoke-nätverk som har tre spoke-VNet för produktion, test och utveckling. Produktionsarbetsbelastningarna kräver ExpressRoute för databasreplikering med låg svarstid, medan utveckling använder VPN Gateway för kostnadseffektivitet.

Rekommenderad placering:

1. Distribuera både en ExpressRoute-gateway och en VPN Gateway i hubben VNets GatewaySubnet (kräver ett /26-subnät för samexistens).
2. Anslut produktions- och staging-spoke till hubben via VNet-peering, med gatewaytransit aktiverat. Dessa spoke-nätverk använder ExpressRoute-sökvägen för anslutning till lokala miljöer.
3. Anslut utvecklingsekern till hubben med gatewayöverföring aktiverat. Konfigurera routningstabeller så att utvecklingstrafiken företrädesvis använder VPN-tunneln, vilket minskar kostnaderna för ExpressRoute-dataöverföring.
4. Konfigurera VPN-anslutningen som en redundanssökväg för produktion om ExpressRoute-kretsen skulle få ett leverantörsfel.

Denna metod centraliserar hanteringen av gatewayar till en enda hubb, minimerar antalet gatewayresurser som behövs och matchar varje spoke med rätt anslutningsnivå utifrån arbetsbelastningens krav.

Kostnadsöverväganden

VPN Gateway och ExpressRoute har olika prismodeller. Att förstå dessa modeller hjälper dig att optimera utgifterna.

Tips för kostnadsoptimering:

• Använd Local SKU för ExpressRoute när dina arbetsbelastningar finns i samma storstadsområde som peeringplatsen. Det här valet eliminerar avgifter för utgående dataöverföring.
• Välj den uppmätta planen för ExpressRoute om din utgående dataöverföring är mindre än cirka 10 TB/månad. Använd den obegränsade planen för arbetsbelastningar med högre volym.
• Distribuera VPN Gateway som en failover istället för en andra ExpressRoute-krets om du har en begränsad budget men fortfarande behöver redundans.
• Anpassa storleken på din VPN Gateway-SKU. Börja med VpnGw2AZ för de flesta produktionsarbetsbelastningar och skala upp endast om du observerar konsekvent genomflödesmättnad.
• Granska gatewayanvändningen varje månad. Azure Monitor mått visar tunneldataflöde och antal anslutningar, vilket hjälper dig att identifiera överetablerade gatewayer.

Designöverväganden

Förutsättningar

Innan du implementerar hybridanslutning kontrollerar du att följande krav är uppfyllda:

• Virtuellt nätverk med ett GatewaySubnet: Ditt virtuella nätverk måste innehålla ett dedikerat undernät med namnet GatewaySubnet med en minsta storlek på /27 (eller /26 om du planerar att samexistera ExpressRoute- och VPN-gatewayer). Information om planering av virtuella nätverk och undernät finns i artikeln om virtuella nätverk och undernät.
• Lokal VPN-enhet (för VPN Gateway): En kompatibel VPN-enhet som stöder IKEv2 och IPsec. Microsoft har en lista över verifierade VPN-enheter.
• Anslutningsleverantörsrelation (för ExpressRoute): Ett kontrakt med en ExpressRoute-anslutningsleverantör eller ExpressRoute Direct-portallokering. Provideretablering kräver ett utbyte av tjänstnycklar och en fysisk konfiguration för korsanslutning.
• Planering av IP-adress: Icke-överlappande adressutrymmen mellan lokala och Azure nätverk. Planera gateway-undernätsadresser som en del av din övergripande IP-strategi. Se artikeln om IP-planering.
• Stöd för Border Gateway Protocol (BGP): ExpressRoute kräver BGP, och det rekommenderas för dynamisk VPN Gateway-ruttning. Bekräfta att din lokala utrustning stöder BGP.

Säkerhetsfrågor

Hybridanslutning introducerar säkerhetsgränser som kräver noggrann planering. Varje anslutningstyp har olika hotprofiler och riskreduceringsstrategier.

ExpressRoute-trafik krypteras inte som standard

ExpressRoute tillhandahåller en privat väg, men krypterar inte trafiken på nätverkslagret som standard. Denna brist på kryptering innebär att vem som helst med fysisk tillgång till leverantörens infrastruktur teoretiskt sett skulle kunna avlyssna trafik. Överväg följande krypteringsalternativ baserat på din riskprofil:

• MACsec (lager 2): Endast tillgängligt på ExpressRoute Direct. Krypterar trafik på den fysiska länken mellan dina edge-routrar och Microsofts gräns. Du måste uttryckligen aktivera MACsec efter portprovisionering. Det här alternativet ger kryptering med trådhastighet med minimala svarstider.
• IPsec över ExpressRoute (Layer 3): Kör en VPN-tunnel över den privata ExpressRoute-peeringanslutningen för kryptering från slutpunkt till slutpunkt. Den här metoden fungerar med alla ExpressRoute-kretsar och krypterar trafik i både providernätverket och Microsoft stamnätet. VPN Gateway SKU begränsar genomströmningen.
• Kryptering på programnivå: Använd TLS/HTTPS på programnivå. Den här metoden är oberoende av anslutningstypen och skyddar data oavsett den underliggande transporten. Det är den vanligaste och rekommenderade lägsta krypteringen för alla hybridarbetsbelastningar.

För de flesta organisationer ger kombinationen av den privata ExpressRoute-sökvägen plus TLS på programnivå tillräckligt skydd. Lägg bara till MACsec eller IPsec via ExpressRoute när regelkrav kräver kryptering på nätverksnivå för data under överföring.

Asymmetrisk routning bryter tillståndskänsliga brandväggar

När du använder flera anslutningsvägar, till exempel ExpressRoute och VPN, kan trafiken följa olika inkommande och utgående sökvägar. Tillståndsbaserade brandväggar blockerar svarstrafik som kommer in via ett annat gränssnitt än det som den ursprungliga begäran skickades via. Planera routningen för att säkerställa symmetriska sökvägar eller använd routningstabeller och BGP-attribut för att styra trafikflödet.

Åtgärdsstrategier omfattar:

• Ange BGP AS-sökvägen som väntar på säkerhetskopieringssökvägen så att den blir mindre prioriterad.
• Använd routningstabeller (UDR) i undernät för att tvinga trafik via en specifik gateway.
• Konfigurera BGP-communities och lokala inställningar för att påverka vägval deterministiskt.
• Testa failover-scenarier för att verifiera att trafiken går tillbaka via samma väg som den kom in på.

Varning för GatewaySubnet-NSG

Om du måste tillämpa NSG:er på GatewaySubnet ska du åtminstone tillåta trafik från tjänsttaggen GatewayManager och tjänsttaggen AzureLoadBalancer. Granska gateway-dokumentationen för en fullständig lista över obligatoriska regler innan du gör ändringar.

Site-to-site VPN-kryptering

IKEv2/IPsec krypterar alltid site-to-site VPN-trafik under överföring. Du konfigurerar krypteringsalgoritmerna och nyckelstyrkorna som en del av IPsec/IKE-principen för anslutningen. Använd anpassade principer för att framtvinga specifika kryptografiska algoritmer i stället för att förlita sig på standardvärden.

Rekommenderade anpassade principinställningar för produktionsarbetsbelastningar:

• IKE Fas 1: AES-256-kryptering, SHA-256-integritet, DH-grupp 14 eller senare
• IKE Fas 2 (IPsec): AES-256-GCM-kryptering, PFS-grupp 14 eller senare
• Standardlivslängd för SA: 28 800 sekunder (IKE), 3 600 sekunder (IPsec)

Undvik att använda inaktuella algoritmer (DES, 3DES, MD5, SHA-1, DH Group 1/2) även om Azure fortfarande stöder dem för bakåtkompatibilitet.

Punkt-till-plats VPN-autentisering

P2S VPN stöder Microsoft Entra ID-autentisering med MFA-integrering (multifaktorautentisering). Det här alternativet ger identitetsbaserad åtkomstkontroll för enskilda klienter som ansluter till Azure. P2S VPN stöder också certifikatbaserad och RADIUS-autentisering.

Välj autentiseringsmetod baserat på dina krav:

Relaterade artiklar

• Vad är hybridanslutning?: Översikt över Azure:s hybridanslutningstjänster och när man ska använda dem.
• VNet och undernät: GatewaySubnet-storleksändring och VNet-krav för hybridanslutning.
• Tvingad tunneltrafik och utgående kontroll: Hur tvingad tunneltrafik dirigerar internetbunden trafik från Azure tillbaka till den lokala miljön.
• Privat åtkomst till PaaS-tjänster: Gör privata slutpunkter nåbara från lokala nätverk via hybridanslutning.
• Fjärråtkomst för utvecklare och administratörer: Punkt-till-plats VPN-distribution, identitetsintegration och klientkonfigurationsdetaljer.
• Multicloud- och anslutning mellan regioner: ExpressRoute Global Reach och anslutningsscenarier mellan moln.
• Topologi för nav och ekrar: Gateway-placering i hubbens VNet- och ekerdirigeringskonfiguration.

Learn more

• Vad är Azure VPN Gateway?
• Vad är Azure ExpressRoute?
• Om ExpressRoute Direct
• Om konfigurationsinställningar för VPN Gateway
• Designa för hög tillgänglighet med ExpressRoute
• Använda S2S VPN som en säkerhetskopia för privat ExpressRoute-peering
• Om kryptering för ExpressRoute

Nästa steg