Требования ExpressRoute к NAT

Чтобы подключиться к облачным службам Microsoft через ExpressRoute, необходимо настроить и управлять NAT-ами. Некоторые поставщики услуг подключения предлагают настройку NAT как управляемой службы и управление этой службой. Узнайте у поставщика услуг подключения, предоставляет ли он такую услугу. В противном случае необходимо придерживаться требований, описанных в этой статье.

Общие сведения о различных доменах маршрутизации см. в статье Каналы ExpressRoute и домены маршрутизации. Для выполнения требований об открытых IP-адресах для общедоступного пиринга Azure и пиринга Майкрософт рекомендуем настроить NAT между вашей сетью и Майкрософт. В этом разделе подробно описана инфраструктура NAT, которую вам нужно настроить.

Требования NAT для пирингового соединения Microsoft

Путь пиринга Майкрософт позволяет подключаться к облачным службам Майкрософт. Список служб включает службы Microsoft 365, такие как Exchange Online, SharePoint Online и Microsoft Teams. Корпорация Майкрософт рассчитывает на поддержку двустороннего подключения через пиринг Майкрософт. Перед тем как попасть в сеть Microsoft, трафик, предназначенный для облачных служб Microsoft, должен быть подвергнут SNAT на действительные публичные адреса IPv4. Трафик, направляемый в вашу сеть из облачных служб Microsoft, должен быть подвергнут SNAT преобразованию на границе с Интернетом, чтобы предотвратить асимметричную маршрутизацию. На следующем рисунке представлена общая схема настройки NAT для взаимодействия с Microsoft.

Высокоуровневая схема настройки NAT для пиринга Майкрософт.

Трафик, исходящий из локальной сети и предназначенный для Microsoft

  • Вы должны убедиться, что трафик поступает по пути пиринга Microsoft с действительным публичным адресом IPv4. У Майкрософт должна быть возможность проверить владельца пула адресов IPv4 для NAT по региональному интернет-реестру (RIR) или интернет-реестру маршрутизации (IRR). Проверка выполняется на основе номера AS, с которым выполняется пиринг, и IP-адресов, используемых для NAT. Сведения о реестрах маршрутизации см. в статье Требования ExpressRoute к маршрутизации.

  • IP-адреса, используемые для пиринговой настройки Microsoft и других каналов ExpressRoute, не должны распространяться в Microsoft через сеанс BGP. Нет ограничений на длину префикса IP-адресов NAT, рекламируемого через этот пиринг.

    Внимание

    Пул IP-адресов NAT, сообщаемый Майкрософту, не должен объявляться в Интернете. Это приведет к разрыву подключения к другим службам Microsoft. Мы рекомендуем использовать общедоступный IP-адрес из диапазона, назначенного первичной или вторичной ссылке. Вместо этого следует использовать другой диапазон общедоступных IP-адресов, назначенных вам и зарегистрированных в региональном реестре Интернета (RIR) или реестре маршрутизации Интернета (IRR). В зависимости от объема вызовов этот диапазон может быть маленьким, как один IP-адрес (представленный как "/32" для IPv4 или "/128" для IPv6).

Трафик, исходящий из Майкрософт и предназначенный для вашей сети

  • В некоторых сценариях от Майкрософт требуется запуск подключения к конечным точкам службы, размещенным в вашей сети. В качестве типового примера можно привести подключение Microsoft 365 к серверам ADFS, размещенным в вашей сети. В таких случаях необходима передача соответствующих префиксов из вашей сети в пиринг Майкрософт.
  • Чтобы предотвратить асимметричную маршрутизацию, необходимо выполнить SNAT для трафика Майкрософт на границе с Интернетом для конечных точек службы в вашей сети. Запросы и ответы с IP-адресом назначения, соответствующим маршруту, полученному из ExpressRoute, всегда проходят через ExpressRoute. Асимметричная маршрутизация будет существовать, если запрос, полученный через Интернет, содержит ответ, отправленный через ExpressRoute. Преобразование исходных сетевых адресов входящего трафика Microsoft на границе Интернета принудительно направляет ответный трафик обратно на границу, что решает проблему.

Схема, показывающая асимметричную маршрутизацию с помощью ExpressRoute.

Пул IP-адресов NAT и маршрутная реклама

Необходимо убедиться, что трафик входит в пиринговый путь Azure Microsoft с допустимым общедоступным IPv4-адресом. У Майкрософт должна быть возможность проверить владельца пула адресов IPv4 для NAT по региональному интернет-реестру (RIR) или интернет-реестру маршрутизации (IRR). Проверка выполняется на основе номера AS, с которым выполняется пиринг, и IP-адресов, используемых для NAT. Сведения о реестрах маршрутизации см. в статье Требования ExpressRoute к маршрутизации.

Ограничений на длину префиксов NAT IP-адресов, объявляемых через этот пиринг, нет. Необходимо отслеживать пул NAT и убедиться, что вам хватает сеансов NAT.

Внимание

Пул IP-адресов NAT, рекламируемый для Microsoft, не должен быть доступен в Интернете. Это приведет к разрыву подключения к другим службам Microsoft. Мы рекомендуем использовать общедоступный IP-адрес из диапазона, назначенного первичной или вторичной ссылке. Вместо этого следует использовать другой диапазон общедоступных IP-адресов, назначенных вам и зарегистрированных в региональном реестре Интернета (RIR) или реестре маршрутизации Интернета (IRR). В зависимости от объема вызовов этот диапазон может быть маленьким, как один IP-адрес (представленный как "/32" для IPv4 или "/128" для IPv6).

Следующие шаги

  • Last updated on