Требования ExpressRoute к маршрутизации

Чтобы подключиться к облачным службам Майкрософт с помощью ExpressRoute, необходимо настроить маршрутизацию и управлять ими. Некоторые поставщики услуг подключения предлагают настройку маршрутизации как управляемой службы и управление этой службой. Узнайте у поставщика услуг подключения, предоставляет ли он такую услугу. В противном случае необходимо выполнить требования, указанные ниже:

См. в статье Каналы ExpressRoute и домены маршрутизации описание сеансов маршрутизации, которые необходимо настроить для облегчения подключения.

IP-адреса, используемые для пирингового взаимодействия

Для настройки маршрутизации между сетью и концевыми маршрутизаторами Microsoft Enterprise (MSEE) необходимо зарезервировать несколько блоков IP-адресов. В этом разделе приводится список требований и описание правил получения и использования этих IP-адресов.

IP-адреса, используемые для частного пиринга Azure

Для настройки пиринга можно использовать частные IP-адреса или общедоступные IP-адреса. Диапазон адресов, используемый для настройки маршрутов, не может перекрываться с диапазонами адресов, используемыми для виртуальных сетей в Azure.

• IPv4:
  • Для маршрутизации интерфейсов необходимо зарезервировать подсеть /29 или две подсети /30.
  • В качестве используемых подсетей можно использовать либо частные, либо общедоступные IP-адреса.
  • Подсети не должны конфликтовать с диапазоном, зарезервированным клиентом для использования в облаке Майкрософт.
  • Если используется /29 подсеть, она разделяется на две /30 подсети.
    • Первая подсеть /30 используется в качестве основной ссылки, а вторая подсеть /30 — в качестве дополнительной.
    • Для каждой /30 подсети необходимо использовать первый IP-адрес /30 подсети для маршрутизатора. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /30.
    • Необходимо настроить оба сеанса BGP, чтобы соглашение об уровне обслуживания по доступности считалось действительным.
• IPv6:
  • Для маршрутизации интерфейсов необходимо зарезервировать подсеть /125 или две подсети /126.
  • В качестве используемых подсетей можно использовать либо частные, либо общедоступные IP-адреса.
  • Подсети не должны конфликтовать с диапазоном, зарезервированным клиентом для использования в облаке Майкрософт.
  • Если используется /125 подсеть, она разделяется на две /126 подсети.
    • Первая подсеть /126 используется в качестве основной ссылки, а вторая подсеть /126 — в качестве дополнительной.
    • Для каждой /126 подсети необходимо использовать первый IP-адрес /126 подсети для маршрутизатора. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /126.
    • Необходимо настроить оба сеанса BGP, чтобы соглашение об уровне обслуживания по доступности считалось действительным.

Пример для частного пиринга

Если вы решили использовать a.b.c.d/29 для настройки пиринга, пиринг будет разделен на две /30 подсети. В следующем примере обратите внимание, как используется подсеть a.b.c.d/29.

• a.b.c.d/29 делится на a.b.c.d/30 и a.b.c.d+4/30 и передается Майкрософт через API предоставления.
  • Вы используете a.b.c.d+1 в качестве IP-адреса VRF для основного PE, а Майкрософт использует a.b.c.d+2 в качестве IP-адреса VRF для основного MSEE.
  • Вы используете a.b.c.d+5 в качестве IP-адреса VRF для вторичного PE, а Майкрософт использует a.b.c.d+6 в качестве IP-адреса VRF для вторичного MSEE.

Представьте, что вы выбрали 192.168.100.128/29 для настройки частной пиринговой сети. 192.168.100.128/29 включает адреса в диапазоне от 192.168.100.128 до 192.168.100.135, причем:

• 192.168.100.128/30 назначается link1, где используется поставщик 192.168.100.129 и корпорация Майкрософт 192.168.100.130.
• 192.168.100.132/30 назначается link2, где используется поставщик 192.168.100.133 и корпорация Майкрософт 192.168.100.134.

IP-адреса, используемые для подключения к Microsoft

Для настройки сеансов BGP используйте принадлежащие вам общедоступные IP-адреса. У Майкрософт должна быть возможность проверить владельца IP-адреса по региональному интернет-реестру или интернет-реестру маршрутизации.

• IP-адреса, перечисленные на портале в разделе объявленных общедоступных префиксов для пиринга с Microsoft, формируют ACL (списки управления доступом) для основных маршрутизаторов Microsoft, чтобы разрешить входящий трафик из этих IP-адресов.
• Для настройки пиринга BGP для каждой цепи ExpressRoute, если у вас более одной, необходимо использовать уникальную подсеть /29 (IPv4) или /125 (IPv6), или две подсети /30 (IPv4) или /126 (IPv6).
• Если используется /29 подсеть, она разделяется на две /30 подсети.
• Первая подсеть /30 используется в качестве основной ссылки, а вторая подсеть /30 — в качестве дополнительной.
• Для каждой из подсетей /30 необходимо передать в маршрутизатор первый IP-адрес подсети /30. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /30.
• Если используется /125 подсеть, она разделяется на две /126 подсети.
• Первая подсеть /126 используется в качестве основной ссылки, а вторая подсеть /126 — в качестве дополнительной.
• Для каждой из подсетей /126 необходимо передать в маршрутизатор первый IP-адрес подсети /126. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /126.
• Для того чтобы наше соглашение об уровне доступности было действительно, необходимо настроить оба сеанса BGP.

Использование общедоступного IP-адреса

Частный пиринг

Для частного пиринга можно использовать как частные, так и общедоступные адреса IPv4. Мы обеспечиваем полную изоляцию вашего трафика, поэтому перекрытие адресов с другими клиентами невозможно при использовании частного пиринга. Эти адреса не объявляются в Интернете.

Пиринговое соединение с Майкрософт

Путь подключения через пиринг Майкрософт позволяет подключаться к облачным сервисам Майкрософт. В список этих служб входят службы Microsoft 365, такие как Exchange Online, SharePoint Online, Skype для бизнеса и Microsoft Teams. Корпорация Майкрософт поддерживает двустороннее подключение через пиринг Майкрософт. Входящий трафик облачных служб Майкрософт перед попаданием в сеть Майкрософт должен пройти через действительные общедоступные IPv4-адреса.

Убедитесь, что ваш IP-адрес и число AS зарегистрированы на ваше имя в одном из следующих реестров:

• АРИН
• APNIC
• AFRINIC
• ЛАКНИК
• RIPENCC
• RADB
• ALTDB

Если префиксы и номер AS не присвоены вам в предыдущих реестрах, нужно отправить запрос в службу поддержки, чтобы специалисты вручную проверили ваши префиксы и ASN. Им потребуется документация, например доверенность, которая доказывает, что вам разрешено использовать этот префикс.

Использование частного номера AS разрешено при пиринге с Microsoft, но требует ручной проверки. Кроме того, в атрибуте AS PATH для полученных префиксов удаляются частные номера AS. Вследствие этого вы не можете добавлять частные номера AS в AS PATH, чтобы влиять на маршрутизацию для Microsoft Peering. Дополнительно, в пути не допускаются номера AS 64496–64511, зарезервированные IANA для документации.

Динамический обмен маршрутами

Обмен маршрутизацией выполняется по протоколу eBGP. Сессии EBGP устанавливаются между MSEEs и вашими маршрутизаторами. Проверка подлинности сеансов BGP не является обязательным требованием. При необходимости можно настроить хэш MD5. Смотрите разделы Настройка маршрутизации и Рабочие процессы для подготовки каналов и состояния каналов для получения информации о настройке сеансов BGP.

Номера автономных систем (ASN)

Майкрософт использует AS 12076 для общедоступного Azure, частного Azure и пиринга Microsoft. Номера AS с 65515 по 65520 зарезервированы для внутреннего использования. Поддерживаются 16-разрядные и 32-разрядные номера AS.

Требования к симметрии передачи данных не предъявляются. Прямые и обратные пути могут проходить по разным парам маршрутизаторов. С обеих сторон в нескольких парах цепей, принадлежащих вам, должны быть объявлены идентичные маршруты. Метрики маршрутов не обязательно должны быть идентичными.

Агрегация маршрутов и ограничения префиксов

ExpressRoute поддерживает до 4000 префиксов IPv4 и 100 префиксов IPv6, переданных Microsoft через закрытый пиринг Azure. Это ограничение может быть увеличено до 10 000 префиксов IPv4, если надстройка ExpressRoute premium включена. ExpressRoute принимает до 200 префиксов на сеанс BGP для подключения к общедоступному Azure и пиринга с Microsoft.

Если количество префиксов превысит лимит, сеанс BGP будет сброшен. ExpressRoute принимает маршруты по умолчанию только через соединение частного пиринга. Поставщик должен отфильтровывать маршрут по умолчанию и частные IP-адреса (RFC 1918) из путей общедоступного пиринга Azure и пиринга Майкрософт.

Транзитная и межрегиональная маршрутизация

ExpressRoute нельзя настроить как транзитные маршрутизаторы. Необходимо полагаться на поставщика подключений для служб транзитной маршрутизации.

Объявление маршрутов по умолчанию

На сеансах частного пиринга Azure разрешены только маршруты по умолчанию. В таком случае ExpressRoute направляет весь трафик из связанных виртуальных сетей в сеть. Объявление маршрутов по умолчанию в частный пиринг приводит к блокировке пути к интернету от Azure. Для направления входящего и исходящего интернет-трафика служб, размещенных в Azure, используйте ресурсы своей корпоративной сети.

Некоторые службы недоступны с сетевого периметра вашей компании. Чтобы включить подключение к другим службам Azure и службам инфраструктуры, необходимо использовать определяемую пользователем маршрутизацию, чтобы разрешить подключение к Интернету для каждой подсети, требующей подключения к Интернету для этих служб.

Поддержка сообществ BGP

В этом разделе представлен обзор использования сообществ BGP с ExpressRoute. Майкрософт объявляет маршруты в частных, майкрософтовских и общедоступных (устаревших) путях пиринга с маршрутами, отмеченными соответствующими значениями сообщества. Обоснование этого и подробные сведения о ценностях сообщества описываются следующим образом. Однако корпорация Майкрософт не учитывает никакие значения сообщества, помеченные маршрутами, рекламируемыми Майкрософтом.

Если вы настроите пользовательское значение BGP-сообщества в ваших виртуальных сетях Azure, то увидите это пользовательское значение и региональное значение сообщества BGP на маршрутах Azure, объявляемых в ваши локальные сети через ExpressRoute.

Для пиринга Майкрософт вы подключаетесь к Microsoft, используя ExpressRoute, в одной из точек пиринга в геополитическом регионе. У вас также есть доступ ко всем облачным службам Майкрософт во всех регионах в пределах геополитической границы.

Например, если вы подключены к Microsoft в Амстердаме через ExpressRoute, у вас есть доступ ко всем облачным службам Майкрософт, размещенным в Северной Европе и Западной Европе.

Для получения подробного списка геополитических регионов, связанных регионов Azure и соответствующих пиринговых узлов ExpressRoute см. страницу Партнеры и пиринговые узлы ExpressRoute.

Вы можете приобрести несколько схем ExpressRoute на каждый геополитический регион. Наличие множественных подключений благодаря геоизбыточности предоставляет вам значительные преимущества в плане высокой доступности. В случаях, когда у вас несколько каналов ExpressRoute, вы получаете один и тот же набор префиксов, рекламируемых Microsoft на путях пиринга. Эта конфигурация приводит к нескольким путям из сети в Корпорацию Майкрософт. Эта настройка может привести к тому, что решения о неоптимальной маршрутизации могут приниматься в вашей сети. а значит, подключение к некоторым службам может оказаться недостаточно надежным. Значения сообществ помогут вам правильно сделать выбор и обеспечить своим пользователям оптимальную маршрутизацию.

Все маршруты, объявленные корпорацией Майкрософт, помечены соответствующим значением сообщества.

Значение для сообщества BGP

Помимо тега BGP для каждого региона, корпорация Майкрософт также тегирует префиксы на основе службы, к которой они относятся. Этот тег применяется только к пирингу Майкрософт. В следующей таблице представлено сопоставление услуги со значением сообщества BGP. Вы можете выполнить командлет Get-AzBgpServiceCommunity, чтобы получить полный список последних значений.

(1) Глобальные службы Azure включают только Azure DevOps в настоящее время.

(2) Требуется авторизация от Корпорации Майкрософт. См. Настройка фильтров маршрутов для Microsoft Peering.

(3) Это сообщество также публикует необходимые маршруты для служб Microsoft Teams.

(4) CRM Online поддерживает Dynamics версии 8.2 и ниже. Для более новых версий выберите региональное сообщество для внедрений Dynamics.

(5) Использование Microsoft Peering с услугами PSTN ограничивается определёнными случаями. См. Использование ExpressRoute для служб общедоступной телефонной сети (PSTN) Майкрософт.

Поддержка BGP-сообществ в национальных облачных решениях

• Сообщества Office 365 не поддерживаются через пиринг Microsoft для Microsoft Azure в регионе, управляемом 21Vianet.

Следующие шаги

• Настройте подключение ExpressRoute.

  • Создание и изменение канала
  • Создайте и измените конфигурацию пиринга
  • Связывание виртуальной сети с каналом ExpressRoute