Сеть в нескольких регионах с помощью Azure Route Server

Современные приложения часто требуют развертывания в нескольких регионах Azure для удовлетворения требований к высокой доступности, аварийному восстановлению и производительности. Сервер маршрутизации Azure обеспечивает сложные сетевые архитектуры с несколькими регионами, которые обеспечивают возможности динамической маршрутизации, сохраняя централизованный сетевой контроль с помощью виртуальных сетевых устройств (NVAs).

В этой статье объясняется, как разрабатывать и реализовывать топологии с несколькими регионами с помощью сервера маршрутизации Azure, включая интеграцию с ExpressRoute и рекомендации по предотвращению циклов маршрутизации.

Основные понятия

Сетевая работа с несколькими регионами с Azure Route Server включает в себя несколько важных понятий:

• Динамическое распространение маршрутов: Azure Route Server автоматически обменивается данными о маршрутизации между регионами через протокол BGP, устраняя необходимость ручного управления таблицами маршрутов по мере развития топологии сети.

• Централизованный сетевой контроль: в отличие от прямого пиринга виртуальных сетей между регионами, Сервер маршрутов позволяет трафику передаваться через концентраторные сетевые устройства NVAs, поддерживая политики безопасности и видимость сети в разных регионах.

• Автоматическая адаптация: архитектура автоматически адаптируется к изменениям топологии, таким как добавление новых периферийных сетей или изменение подключения без вмешательства вручную.

Обзор архитектуры

Архитектура с несколькими регионами использует топологию концентратора и периферийной сети в каждом регионе, подключенную через пиринг глобальной виртуальной сети и координируемую экземплярами сервера маршрутизации Azure:

Основные компоненты

Архитектура с несколькими регионами состоит из нескольких ключевых компонентов, которые совместно работают для обеспечения возможностей динамической маршрутизации. Каждый регион содержит центральную виртуальную сеть, в которую размещаются сервер маршрутизации Azure и виртуальные сетевые устройства (NVA) для управления решениями о маршрутизации. Рабочие нагрузки приложений развертываются в периферийных виртуальных сетях в каждом регионе, поддерживая разделение между сетевой инфраструктурой и приложениями. Виртуальные сети концентратора подключаются между регионами с помощью глобального пиринга виртуальных сетей для обеспечения межрегиональной связи. Сетевые устройства взаимодействуют между регионами с помощью безопасных туннелей для поддержания синхронизации сведений о маршрутизации.

Поток трафика

Поток трафика следует структурированной схеме, которая обеспечивает эффективную маршрутизацию в топологии с несколькими регионами. Сервер маршрутизации изучает маршруты как из локальных периферийных сетей, так и виртуальных сетей в пределах региона для создания комплексной таблицы маршрутизации. NVA создают безопасные туннели между регионами для совместного использования сведений о маршрутизации и обеспечения подключения между регионами. Каждый сервер маршрутов распространяет изученные маршруты в локальные периферийные сети, гарантируя, что нагрузки могут достигать пунктов назначения в удаленных регионах. Когда происходят изменения топологии, например добавление новых периферийных сетей или изменение подключения, архитектура автоматически активирует обновления маршрутов во всех регионах, не требуя ручного вмешательства.

Требования настройки

Чтобы успешно реализовать эту архитектуру, настройте следующие компоненты:

Параметры пиринга виртуальной сети

Включите параметр использования шлюза удаленной виртуальной сети или сервера маршрутизации при соединении спицевых сетей с центральными сетями. Эта конфигурация позволяет:

• Сервер маршрутизации для распространения префиксов периферийных сетей в NVAs
• Полученные маршруты для внедрения в таблицы маршрутов удаленных сетей
• Динамическое распространение маршрутов по всей топологии

Конфигурация туннеля NVA

Обеспечение безопасного взаимодействия между NVAs с помощью технологий инкапсуляции:

• Туннели IPsec: обеспечение зашифрованной связи между региональными NVAs
• Наложения VXLAN: Включите расширение уровня 2 в разных регионах

Обработка пути BGP AS

Настройте NVAs для изменения путей BGP AS, чтобы предотвратить циклы маршрутизации:

Распространенные методы пути AS

Предустановка пути AS — делает пути более длинными, чтобы повлиять на решения о маршрутизации:

# Example for Cisco NVA
route-map PREPEND-AS permit 10
 set as-path prepend 65001 65001

Фильтрация путей AS — блокирует маршруты с определенными путями AS:

# Filter specific AS paths
ip as-path access-list 1 deny _65002_
route-map FILTER-AS permit 10
 match as-path 1

Рекомендации по обеспечению высокого уровня доступности

Для обеспечения устойчивости подключения к нескольким регионам:

• Несколько NVAs: развертывание нескольких NVAs в каждом регионе (сервер маршрутизации поддерживает до восьми одноранговых узлов BGP).
• Предустановка пути AS: используйте предустановку пути AS для установления связей NVA "Активный или резервный"
• Избыточные туннели: настройка нескольких соединений между регионами для резервирования

Интеграция ExpressRoute

Архитектуры сервера маршрутизации с несколькими регионами могут интегрироваться с каналами ExpressRoute для расширения подключения к локальным сетям:

Преимущества интеграции ExpressRoute

• Упрощенная маршрутизация: локальные префиксы отображаются только в Azure через объявления NVA
• Централизованный контроль: весь трафик передается через сетевые сети концентратора для согласованного применения политик.
• Оптимизация наложения: канал ExpressRoute поддерживает наложение сетей между NVAs

Рекомендации по проектированию

• Объявление маршрута. Настройка NVAs для объявления локальных маршрутов вместо того, чтобы полагаться исключительно на шлюз ExpressRoute
• Планирование пропускной способности. Убедитесь, что каналы ExpressRoute могут обрабатывать нагрузки трафика между регионами
• Избыточность: рассмотрите несколько каналов ExpressRoute для обеспечения высокой доступности.

Альтернативная конструкция без наложения сетей

Хотя туннели наложения являются рекомендуемым подходом, вы можете реализовать подключение с несколькими регионами без туннелей с помощью определяемых пользователем маршрутов (UDR):

Почему рекомендуется использовать туннели

Туннели наложения обеспечивают необходимую защиту от циклов маршрутизации в архитектурах с несколькими регионами. Без наложения туннелей циклы маршрутизации могут возникать, когда NVA в регионе 1 изучает префиксы из региона 2 и объявляет их локальному серверу маршрутов. Затем сервер маршрутов настраивает эти маршруты в подсетях региона 1, используя NVA как следующий узел. Когда NVA пытается отправить трафик в регион 2, собственные маршруты подсети указывают обратно к себе, создавая цикл маршрутизации, который предотвращает успешное взаимодействие между регионами. Туннели наложения решают эту проблему путем создания логического разделения между подложной сетью (используемой для создания туннеля) и сетью наложения (используемой для трафика приложения), обеспечивая правильное движение трафика между регионами без создания циклов.

Альтернатива на основе UDR

Если туннели наложения в вашей среде недоступны, вы можете использовать альтернативный подход с помощью определяемых пользователем маршрутов. Этот метод требует отключения распространения маршрутов BGP в подсетях NVA, чтобы предотвратить автоматическое обучение маршрутов, которое может вызвать конфликты. Затем необходимо настроить статические маршруты, создав UDR, которые явно направляют трафик между регионами через соответствующие сетевые пути. Хотя этот подход может работать, следует принять операционные расходы на обслуживание этих статических маршрутов вручную при изменении топологии сети с течением времени.

Trade-offs

Дальнейшие шаги

Изучите эти ресурсы для реализации и оптимизации архитектуры сервера маршрутизации с несколькими регионами:

• Поддержка Сервера маршрутизации Azure для ExpressRoute и VPN Azure
• Настройка пиринга между сервером маршрутизации Azure и виртуальным сетевым устройством
• Что такое сервер маршрутизации Azure?
• Мониторинг сервера маршрутов Azure с помощью Azure Monitor