Требования ExpressRoute к маршрутизации

Чтобы подключиться к облачным службам Майкрософт с помощью ExpressRoute, необходимо настроить маршрутизацию и управлять ими. Некоторые поставщики услуг подключения предлагают настройку маршрутизации как управляемой службы и управление этой службой. Узнайте у поставщика услуг подключения, предоставляет ли он такую услугу. Если они этого не делают, необходимо соблюдать следующие требования.

Описание сеансов маршрутизации, которые необходимо настроить для упрощения подключения, см. в разделе " Каналы" и домены маршрутизации.

IP-адреса, используемые для пирингового взаимодействия

Для настройки маршрутизации между сетью и концевыми маршрутизаторами Microsoft Enterprise (MSEE) необходимо зарезервировать несколько блоков IP-адресов. В этом разделе представлен список требований и описаны правила, касающиеся того, как необходимо получить и использовать эти IP-адреса.

IP-адреса, используемые для частного пиринга Azure

Для настройки пиринга можно использовать частные IP-адреса или общедоступные IP-адреса. Диапазон адресов, используемый для настройки маршрутов, не может перекрываться с диапазонами адресов, используемыми для виртуальных сетей в Azure.

• IPv4:
  • Резервируйте /29 подсеть или две /30 подсети для интерфейсов маршрутизации.
  • Используйте частные IP-адреса или общедоступные IP-адреса для подсетей, используемых для маршрутизации.
  • Подсети не должны конфликтовать с диапазоном, зарезервированным клиентом для использования в облаке Майкрософт.
  • Если вы используете /29 подсеть, разделите ее на две /30 подсети.
    • Используйте первую /30 подсеть для первичной ссылки и второй /30 подсети для вторичной ссылки.
    • Для каждой /30 подсети используйте первый IP-адрес /30 подсети для маршрутизатора. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /30.
    • Необходимо настроить оба сеанса BGP, чтобы соглашение об уровне обслуживания по доступности считалось действительным.
• IPv6:
  • Зарезервируйте /125 подсеть или две /126 подсети для интерфейсов маршрутизации.
  • Используйте частные IP-адреса или общедоступные IP-адреса для подсетей, используемых для маршрутизации.
  • Подсети не должны конфликтовать с диапазоном, зарезервированным клиентом для использования в облаке Майкрософт.
  • Если вы используете /125 подсеть, разделите ее на две /126 подсети.
    • Используйте первую /126 подсеть для первичной ссылки и второй /126 подсети для вторичной ссылки.
    • Для каждой /126 подсети используйте первый IP-адрес /126 подсети для маршрутизатора. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /126.
    • Необходимо настроить оба сеанса BGP, чтобы соглашение об уровне обслуживания по доступности считалось действительным.

Пример для частного пиринга

Если вы решили использовать a.b.c.d/29 для настройки пиринга, разделите его на две /30 подсети. В следующем примере обратите внимание, как используется подсеть a.b.c.d/29.

• Разделение a.b.c.d/29 на a.b.c.d/30 и a.b.c.d+4/30. Передайте эти подсети корпорации Майкрософт через API предоставления.
  • Используйте a.b.c.d+1 в качестве IP-адреса VRF для основного PE и Microsoft использует a.b.c.d+2 в качестве IP-адреса VRF для основного MSEE.
  • Используйте a.b.c.d+5 в качестве IP-адреса VRF для дополнительного PE, а Майкрософт использует a.b.c.d+6 в качестве IP-адреса VRF для дополнительного MSEE.

Представьте, что вы выбрали 192.168.100.128/29 для настройки частной пиринговой сети. 192.168.100.128/29 включает адреса в диапазоне от 192.168.100.128 до 192.168.100.135, причем:

• 192.168.100.128/30 назначается link1, где используется поставщик 192.168.100.129 и корпорация Майкрософт 192.168.100.130.
• 192.168.100.132/30 назначается link2, где используется поставщик 192.168.100.133 и корпорация Майкрософт 192.168.100.134.

IP-адреса, используемые для подключения к Microsoft

Чтобы настроить сеансы BGP, используйте общедоступные IP-адреса, принадлежащие вам. У Майкрософт должна быть возможность проверить владельца IP-адреса по региональному интернет-реестру или интернет-реестру маршрутизации.

• На портале перечислены IP-адреса для рекламируемых общедоступных префиксов для Microsoft Peering. Эти IP-адреса создают списки управления доступом для маршрутизаторов основной сети Майкрософт, чтобы разрешить входящий сетевой трафик из этих IP-адресов.
• Используйте уникальную /29 подсеть (IPv4) или /125 (IPv6) или две /30 (IPv4) или /126 (IPv6) подсети, чтобы настроить пиринг BGP для каждого пирингового канала ExpressRoute, если у вас несколько.
• Если вы используете /29 подсеть, разделите ее на две /30 подсети.
• Используйте первую /30 подсеть для первичной ссылки и второй /30 подсети для вторичной ссылки.
• Для каждой /30 подсети используйте первый IP-адрес /30 подсети на маршрутизаторе. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /30.
• Если вы используете /125 подсеть, разделите ее на две /126 подсети.
• Используйте первую /126 подсеть для первичной ссылки и второй /126 подсети для вторичной ссылки.
• Для каждой /126 подсети используйте первый IP-адрес /126 подсети на маршрутизаторе. Для настройки сеанса BGP Майкрософт использует второй IP-адрес подсети /126.
• Необходимо настроить оба сеанса BGP, чтобы соглашение об уровне обслуживания по доступности считалось действительным.

Использование общедоступного IP-адреса

Частный пиринг

Для частного пиринга можно использовать общедоступные или частные IPv4-адреса. Azure обеспечивает полную изоляцию вашего трафика, поэтому пересечение адресов с другими клиентами невозможно при использовании частного пиринга. Эти адреса не объявляются в Интернете.

Пиринговое соединение с Майкрософт

С помощью пути пиринга Майкрософт можно подключиться к облачным службам Майкрософт. Этот список служб включает службы Microsoft 365, такие как Exchange Online, SharePoint Online и Microsoft Teams. Корпорация Майкрософт поддерживает двустороннее подключение через пиринг Майкрософт. Трафик, предназначенный для облачных служб Майкрософт, должен использовать допустимые общедоступные IPv4-адреса, прежде чем он входит в сеть Майкрософт.

Убедитесь, что вы зарегистрированы в качестве владельца IP-адреса и номера AS в одном из следующих реестров:

• АРИН
• APNIC
• AFRINIC
• ЛАКНИК
• RIPENCC
• RADB
• ALTDB

Если префиксы и номер AS не присвоены вам в предыдущих реестрах, нужно отправить запрос в службу поддержки, чтобы специалисты вручную проверили ваши префиксы и ASN. Им потребуется документация, например доверенность, которая доказывает, что вам разрешено использовать этот префикс.

Вы можете использовать частный номер AS с пирингом Майкрософт, но требуется ручная проверка. Кроме того, Майкрософт удаляет частные номера AS в AS PATH для полученных префиксов. В результате вы не можете добавить частные номера AS в AS PATH, чтобы повлиять на маршрутизацию для пиринга Майкрософт. Кроме того, номера AS 64496–64511, зарезервированные IANA в целях документации, не допускаются в пути.

Динамический обмен маршрутами

Обмен маршрутизацией выполняется по протоколу eBGP. MSEEs и ваши маршрутизаторы устанавливают сеансы eBGP. Проверка подлинности сеансов BGP не требуется. При необходимости можно настроить хэш MD5. Дополнительные сведения о настройке сеансов BGP см. в разделе "Настройкарабочих процессов маршрутизации и подготовки каналов" и состояний канала.

Номера автономных систем (ASN)

Корпорация Майкрософт использует AS 12076 для общедоступной и частной сетей Azure, а также для пиринга с Майкрософт. Корпорация Майкрософт резервирует ASN от 65 515 до 65 520 для внутреннего использования. ExpressRoute поддерживает как 16-разрядные, так и 32-разрядные номера AS.

Требования к симметрии передачи данных не предъявляются. Пути вперед и возврата могут проходить по разным парам маршрутизаторов. Вы должны объявлять идентичные маршруты с обеих сторон через несколько пар цепей, которые принадлежат вам. Метрики маршрутов не должны быть идентичными.

Агрегация маршрутов и ограничения префиксов

ExpressRoute поддерживает до 4000 префиксов IPv4 и 100 префиксов IPv6, анонсированных Microsoft через частный пиринг Azure. Это ограничение можно увеличить до 10 000 префиксов IPv4, включив надстройку ExpressRoute premium. ExpressRoute принимает до 200 префиксов на сеанс BGP для общедоступного пиринга с Azure и пиринга с Microsoft.

Сеанс BGP удаляется, если число префиксов превышает ограничение. ExpressRoute принимает маршруты по умолчанию только для приватного пиринга. Необходимо отфильтровать маршруты по умолчанию и частные IP-адреса (RFC 1918) из маршрутов общедоступного и пирингового соединений Azure и Microsoft.

Транзитная и межрегиональная маршрутизация

Вы не можете настроить ExpressRoute в качестве транзитных маршрутизаторов. Необходимо полагаться на поставщика подключений для служб транзитной маршрутизации.

Объявление маршрутов по умолчанию

Маршруты по умолчанию можно объявлять только в частных сеансах пиринга Azure. В этой конфигурации ExpressRoute направляет весь трафик из связанных виртуальных сетей в сеть. Если вы объявляете маршруты по умолчанию в частный пиринг, вы блокируете путь к Интернету из Azure. Для направления входящего и исходящего интернет-трафика служб, размещенных в Azure, используйте ресурсы своей корпоративной сети.

Вы не можете получить доступ к некоторым службам через периферийную сеть вашей компании. Чтобы включить подключение к другим службам Azure и службам инфраструктуры, необходимо использовать определяемую пользователем маршрутизацию, чтобы разрешить подключение к Интернету для каждой подсети, требующей подключения к Интернету для этих служб.

Поддержка сообществ BGP

В этом разделе представлен обзор работы сообществ BGP с ExpressRoute. Корпорация Майкрософт объявляет маршруты на частных, Microsoft и общедоступных (устаревших) пиринговых путях, помечая их соответствующими значениями сообщества. Обоснование этого и подробные сведения о ценностях сообщества описаны в следующих разделах. Однако корпорация Майкрософт не учитывает какие-либо значения сообщества, помеченные маршрутами, объявленными корпорацией Майкрософт.

Если вы настроите собственное значение сообщества BGP в ваших виртуальных сетях Azure, вы увидите это собственное значение и региональное значение сообщества BGP на маршрутах Azure, объявляемых в вашей локальной сети через ExpressRoute.

Для пирингового соединения с Майкрософт вы подключаетесь к Microsoft через ExpressRoute в любой точке пиринга в пределах геополитического региона. У вас также есть доступ ко всем облачным службам Майкрософт во всех регионах в пределах геополитической границы.

Например, если вы подключаетесь к Microsoft в Амстердаме через ExpressRoute, у вас есть доступ ко всем облачным службам Майкрософт, размещенным в Северной Европе и Западной Европе.

Для получения подробного списка геополитических регионов, связанных регионов Azure и соответствующих пиринговых узлов ExpressRoute см. страницу Партнеры и пиринговые узлы ExpressRoute.

Вы можете приобрести несколько схем ExpressRoute на каждый геополитический регион. Наличие множественных подключений благодаря геоизбыточности предоставляет вам значительные преимущества в плане высокой доступности. В случаях, когда у вас несколько каналов ExpressRoute, вы получаете один и тот же набор префиксов, рекламируемых Microsoft на путях пиринга. Эта конфигурация приводит к нескольким путям из сети в Корпорацию Майкрософт. Эта конфигурация может привести к неоптимальным решениям по маршрутизации в сети. В результате вы можете столкнуться с неоптимальным подключением к различным службам. Значения сообществ помогут вам правильно сделать выбор и обеспечить своим пользователям оптимальную маршрутизацию.

Все маршруты, объявленные корпорацией Майкрософт, включают соответствующий тег значения сообщества.

Значение для сообщества BGP

Помимо тега BGP для каждого региона, корпорация Майкрософт также тегирует префиксы на основе службы, к которой они относятся. Этот тег применяется только к пирингу Майкрософт. В следующей таблице представлено сопоставление услуги со значением сообщества BGP. Можно запустить Get-AzBgpServiceCommunity командлет для полного списка последних значений.

(1) Глобальные службы Azure включают только Azure DevOps в настоящее время.

(2) Требуется авторизация от Корпорации Майкрософт. См. Настройка фильтров маршрутов для Microsoft Peering.

(3) Это сообщество также публикует необходимые маршруты для служб Microsoft Teams.

(4) CRM Online поддерживает Dynamics версии 8.2 и более ранних версий. Для более новых версий выберите региональное сообщество для внедрений Dynamics.

(5) Использование Microsoft Peering с услугами PSTN ограничивается определёнными случаями. См. Использование ExpressRoute для служб общедоступной телефонной сети (PSTN) Майкрософт.

Поддержка BGP community в национальных облачных инфраструктурах

• Сообщества Office 365 не поддерживаются через пиринг Microsoft для Microsoft Azure в регионе, управляемом 21Vianet.

Следующие шаги

• Настройте подключение ExpressRoute.

  • Создание и изменение канала.
  • Создание и редактирование конфигурации пиринга.
  • Связывание виртуальной сети с каналом ExpressRoute.