Поделиться через

Надежность шлюзов виртуальной сети Azure

Шлюз виртуальной сети Azure обеспечивает безопасное подключение между виртуальной сетью Azure и другими сетями, локальной или другой виртуальной сетью в Azure.

Azure предоставляет два типа шлюзов виртуальной сети:

В качестве компонента Azure шлюз виртуальной сети предоставляет разнообразные возможности для поддержки требований к надежности.

При использовании Azure надежность является общей ответственностью. Корпорация Майкрософт предоставляет ряд возможностей для поддержки устойчивости и восстановления. Вы несете ответственность за понимание того, как работают эти возможности во всех используемых вами службах, а также за выбор возможностей, необходимых для достижения бизнес-целей и целей бесперебойной работы.

В этой статье описывается, как обеспечить устойчивость шлюза виртуальной сети к различным потенциальным сбоям и проблемам, в том числе временным сбоям, сбоям зоны доступности, сбоям регионов и планового обслуживания. Он также выделяет ключевые сведения о соглашении об уровне обслуживания шлюза виртуальной сети (SLA).

Чтобы просмотреть сведения о VPN-шлюзе Azure, выберите соответствующий тип шлюза виртуальной сети в начале этой страницы.

Это важно

В этой статье описывается надежность шлюзов виртуальной сети ExpressRoute, которые являются компонентами системы ExpressRoute на основе Azure.

Но при использовании ExpressRoute необходимо разработать всю сетевую архитектуру ( не только шлюз), чтобы удовлетворить требования к устойчивости. Как правило, вы используете несколько сайтов, также известных как расположения пиринга, и обеспечиваете высокую доступность и быстрое переключение при отказе для локальных компонентов. Дополнительные сведения см. в разделе "Проектирование и архитектор ExpressRoute" для обеспечения устойчивости.

Чтобы просмотреть сведения о шлюзах ExpressRoute, выберите соответствующий тип шлюза виртуальной сети в начале этой страницы.

Это важно

В этой статье рассматривается надежность шлюзов виртуальной сети, которые являются компонентами службы Azure VPN Gateway.

Но при использовании виртуальных сетей необходимо разработать всю сетевую архитектуру ( не только шлюз), чтобы удовлетворить требования к устойчивости. Вы несете ответственность за управление надежностью VPN-подключения, включая клиентские устройства для конфигураций типа "точка — сеть" и удаленных VPN-устройств для конфигураций типа "сеть — сеть". Дополнительные сведения о настройке инфраструктуры для обеспечения высокой доступности см. в статье "Проектирование подключения шлюза с высоким уровнем доступности" для подключений между локальными и виртуальными сетями к виртуальной сети.

Платформа Azure Well-Architected предоставляет рекомендации по надежности, производительности, безопасности, затратам и операциям. Чтобы понять, как эти области влияют друг на друга и способствуют надежному решению ExpressRoute, ознакомьтесь с рекомендациями по архитектуре ExpressRoute в Well-Architected Framework.

Чтобы обеспечить высокую надежность шлюзов рабочей виртуальной сети, выполните следующие действия.

  • Включите избыточность зоны , если ресурсы VPN-шлюза находятся в поддерживаемом регионе. Разверните VPN-шлюз с помощью поддерживаемых версий SKU (VpnGw1AZ или более поздних версий), чтобы обеспечить доступ к функциям зональной избыточности.

  • Используйте общедоступные IP-адреса стандартного SKU.

  • Настройте режим "активный— активный " для повышения доступности, если удаленные VPN-устройства поддерживают этот режим.

  • Реализуйте надлежащий мониторинг с помощью Azure Monitor для сбора и просмотра метрик VPN-шлюза.

Обзор архитектуры надежности

Используя ExpressRoute, необходимо развернуть компоненты в локальной среде, узлы пиринга и в среде Azure. Эти компоненты включают следующие элементы:

  • Каналы и подключения:Канал ExpressRoute состоит из двух подключений через одну точку пиринга к Microsoft Enterprise Edge. При использовании двух подключений можно достичь активно-активного подключения. Но эта конфигурация не защищает от сбоев на уровне сайта.

  • Абонентское оконечное оборудование (CPE): Это оборудование включает граничные маршрутизаторы и клиентские устройства. Убедитесь, что CPE предназначен для обеспечения устойчивости и может быстро восстановиться, когда возникают другие проблемы с инфраструктурой ExpressRoute.

  • Сайты: Соединения устанавливаются через площадку, которая является физической площадкой пиринга. Сайты предназначены для обеспечения высокой доступности и имеют встроенную избыточность на всех уровнях. Но сайты представляют собой одно физическое расположение, поэтому могут возникнуть проблемы. Чтобы снизить риск сбоя сайта, ExpressRoute предоставляет параметры устойчивости сайта, имеющие различные уровни защиты.

  • Шлюз виртуальной сети Azure: В Azure вы создадите шлюз виртуальной сети , который выступает в качестве точки завершения для одного или нескольких каналов ExpressRoute в виртуальной сети Azure.

На следующей схеме показаны две разные конфигурации ExpressRoute, каждая из которых имеет один шлюз виртуальной сети, настроенная для различных уровней устойчивости на разных сайтах.

Схема с параметрами подключения ExpressRoute между локальной сетью и Azure. Конфигурации показывают различные уровни устойчивости.

Vpn требует развертывания компонентов как в локальной среде, так и в Azure:

  • Локальные компоненты: Развернутые компоненты зависят от того, используется ли конфигурация типа "точка — сеть" или "сеть — сеть".

    • Конфигурации типа "сеть — сеть" требуют локального VPN-устройства, ответственного за развертывание, настройку и управление ими.

    • Конфигурации типа "точка — сеть" требуют развертывания vpn-клиентского приложения на удаленном устройстве, например ноутбука или рабочего стола, и импорта профиля пользователя в VPN-клиент. Каждое подключение типа "точка — сеть" имеет собственный профиль пользователя. Вы несете ответственность за развертывание и настройку клиентских устройств.

    Дополнительные сведения о различиях см. в разделе топологии и проектирования VPN-шлюза.

  • Шлюз виртуальной сети Azure: В Azure вы создаете шлюз виртуальной сети, который также называется VPN-шлюзом, который выступает в качестве точки завершения VPN-подключений.

  • Шлюз локальной сети: Для конфигурации VPN типа "сеть — сеть" также требуется локальный сетевой шлюз, представляющий удаленное VPN-устройство. Шлюз локальной сети хранит следующие сведения:

    • Общедоступный IP-адрес локального VPN-устройства для установления подключений к Интернет-обмену ключами (IKE) 1 и этапа 2

    • Локальные IP-сети для статической маршрутизации

    • IP-адрес протокола BGP для удаленного однорангового узла для динамической маршрутизации

На следующей схеме показаны ключевые компоненты VPN, которые подключаются из локальной среды к Azure.

Схема, показывающая VPN-шлюз, локальные сети типа

Шлюз виртуальной сети

Шлюз ExpressRoute содержит две или несколько виртуальных машин шлюза, которые являются базовыми виртуальными машинами, которые используется шлюзом для обработки трафика ExpressRoute.

Шлюз виртуальной сети VPN содержит ровно две виртуальные машины шлюза ( виртуальные машины), которые являются базовыми виртуальными машинами, которые используется шлюзом для обработки VPN-трафика.

Вы не видите и не управляете виртуальными машинами шлюза непосредственно. Платформа автоматически управляет созданием виртуальных машин шлюза, мониторингом работоспособности и заменой неработоспособных виртуальных машин шлюза. Чтобы обеспечить защиту от сбоев серверов и серверных стоек, Azure автоматически распределяет виртуальные машины шлюза внутри нескольких доменов сбоя в регионе. Если происходит отказ стойки сервера, платформа Azure автоматически переносит виртуальные машины шлюза из этого кластера в другой кластер.

Вы настраиваете SKU шлюза. Каждый номер SKU поддерживает другой уровень пропускной способности и другое количество каналов. При использовании SKU ErGwScale (предварительная версия) ExpressRoute автоматически масштабирует шлюз, добавляя дополнительные виртуальные машины шлюза. Дополнительные сведения см. в статье "Шлюзы виртуальной сети ExpressRoute".

Шлюз работает в режиме активно-активном по умолчанию, который поддерживает высокую доступность вашего канала. При необходимости можно переключиться на активный пассивный режим, но эта конфигурация повышает риск сбоя, влияющего на подключение. Дополнительные сведения см. в разделе "Активно-активные подключения".

Как правило, трафик направляется через шлюз виртуальной сети. Но если вы используете FastPath, трафик из локальной среды проходит шлюз. Этот подход повышает пропускную способность и уменьшает задержку. Шлюз остается важным, так как он настраивает маршрутизацию для трафика.

Вы настраиваете SKU шлюза. Каждый номер SKU поддерживает другой уровень пропускной способности и другое количество VPN-подключений. Дополнительные сведения см. в разделе о номерах SKU шлюзов.

В зависимости от требований к высокой доступности шлюз можно настроить в одном из двух режимов:

  • Активный режим ожидания: Одна виртуальная машина шлюза обрабатывает трафик, а другая виртуальная машина шлюза остается в режиме ожидания.

  • Active-active: Обе виртуальные машины шлюза обрабатывают трафик одновременно. Этот режим не всегда возможен, так как потоки подключения могут быть асимметричными.

Дополнительные сведения см. в разделе "Проектирование высокодоступного подключения шлюза для межсетевых и виртуальных сетевых подключений к виртуальной сети".

Вы можете защититься от сбоев зоны доступности путем распределения виртуальных машин шлюза в нескольких зонах. Это распределенная система обеспечивает автоматическое переключение при отказе в регионе и поддерживает подключение в течение обслуживания зоны или простоя. Дополнительные сведения см. в разделе "Устойчивость к сбоям зоны доступности".

Устойчивость к временным сбоям

Временные ошибки являются короткими, периодическими сбоями в компонентах. Они часто происходят в распределенной среде, такой как облачная платформа, и являются обычной частью операций. Временные ошибки исправляют себя через короткий период времени. Важно, чтобы приложения могли обрабатывать временные ошибки, обычно повторяя затронутые запросы.

Все облачные приложения должны следовать рекомендациям по обработке временных ошибок Azure при обмене данными с любыми размещенными в облаке API, базами данных и другими компонентами. Дополнительные сведения см. в Рекомендациях по обработке временных сбоев.

Для приложений, которые подключаются через шлюз виртуальной сети, реализуйте логику повторных попыток с экспоненциальным обратным выходом для обработки потенциальных временных проблем подключения. Состояние шлюзов виртуальной сети гарантирует, что легитимные подключения сохраняются во время кратковременных прерываний сети.

В распределенной сетевой среде временные ошибки могут возникать на нескольких уровнях, включая следующие расположения:

  • Локальная среда
  • Периферийная площадка
  • Интернету;
  • Лазурный

ExpressRoute снижает влияние преходящих сбоев с помощью избыточных путей подключения, быстрого обнаружения отказов и автоматического переключения. Но необходимо правильно настроить приложения и локальные компоненты, чтобы обеспечить устойчивость к различным проблемам. Сведения о комплексных стратегиях обработки ошибок см. в разделе "Проектирование для обеспечения высокой доступности с помощью ExpressRoute".

При правильной настройке маршрутизации IP-адресов на локальном устройстве трафик данных, например протокол TCP, автоматически передается через активные туннели безопасности протокола Интернета (IPsec) при отключении.

Временные ошибки иногда могут влиять на туннели IPsec или потоки данных TCP. При отключении IKE пересогласовывает ассоциации безопасности (SA) для фазы 1 и фазы 2, чтобы восстановить туннель IPsec.

Устойчивость к сбоям зоны доступности

Зоны доступности — это физически отдельные группы центров обработки данных в регионе Azure. При сбое одной зоны службы могут переключиться на одну из оставшихся зон.

Шлюзы виртуальной сети автоматически устойчивы к отказам в зоне, если соответствуют требованиям. Избыточность зоны устраняет любую отдельную зону как точку сбоя и обеспечивает наивысший уровень устойчивости зоны. Зонально избыточные шлюзы в регионе обеспечивают автоматическую отработку отказа и поддерживают подключение во время зонального обслуживания или сбоев.

Виртуальные машины шлюза ExpressRoute, избыточные между зонами, автоматически распределяются по крайней мере по трем зонам доступности.

На следующей схеме показан зонально-избыточный шлюз виртуальной сети с тремя виртуальными машинами шлюза, распределенными по разным зонам доступности.

Схема с шлюзом виртуальной сети ExpressRoute с тремя виртуальными машинами шлюза, распределенными по трем зонам доступности.

Замечание

Цепи или подключения не включают конфигурацию зоны доступности. Эти ресурсы находятся в сетевых пограничных узлах, которые не предназначены для использования в зонах доступности.

В VPN-шлюзе избыточность зон означает, что виртуальные машины шлюза автоматически распределяются между несколькими зонами доступности.

На следующей схеме показан виртуальный сетевой шлюз с защитой от отказа по зонам, с двумя виртуальными машинами шлюза, распределенными по разным зонам доступности.

Схема, показывающая шлюз виртуальной сети VPN с двумя виртуальными машинами шлюза, распределенными между двумя зонами доступности. Третья зона доступности не имеет виртуальной машины шлюза.

Замечание

Шлюзы локальной сети не требуют конфигурации зоны доступности, так как они автоматически устойчивы к зонам.

При использовании поддерживаемого номера SKU только что созданные шлюзы автоматически избыточны для зоны. Мы рекомендуем зональную избыточность для всех рабочих нагрузок.

Требования

  • Номер SKU: Чтобы шлюз виртуальной сети был избыточным по зонам, он должен использовать номер SKU, поддерживающий зональную избыточность. В следующей таблице показано, какие SKU поддерживают зональную избыточность.

    Номер SKU Поддерживает зоны доступности
    Стандарт нет
    HighPerformance нет
    UltraPerformance нет
    ErGw1Az Да
    ErGw2Az Да
    ErGw3Az Да
    ErGwScale (предварительная версия) Да

  • Номер SKU: Чтобы шлюз виртуальной сети был избыточным по зонам, он должен использовать номер SKU, поддерживающий зональную избыточность. Все уровни VPN-шлюза поддерживают зональную избыточность, кроме уровня "Базовый", который предназначен только для сред разработки. Дополнительные сведения о параметрах SKU см. в разделе Gateway SKU.

  • Общедоступные IP-адреса: Необходимо использовать стандартные общедоступные IP-адреса SKU и настроить их для избыточности между зонами.

Себестоимость

Для шлюзов, избыточных по зонам для ExpressRoute, требуются определенные номера SKU, которые могут иметь более высокие почасовые ставки по сравнению со стандартными номерами SKU шлюзов из-за их расширенных возможностей и характеристик производительности. Дополнительные сведения см. в разделе о ценах ExpressRoute.

Использование поддерживаемого SKU для шлюза, развернутого в нескольких зонах доступности, не требует дополнительных затрат. Дополнительные сведения см. в ценах на VPN-шлюз.

Настройка поддержки зоны доступности

В этом разделе объясняется, как настроить избыточность зоны для шлюзов виртуальной сети.

  • Измените конфигурацию зоны доступности существующего шлюза виртуальной сети. Шлюзы виртуальной сети, которые вы уже создали, могут не иметь зональной избыточности. Вы можете с минимальным временем простоя перенести незональный шлюз в зонально-избыточный шлюз. Дополнительные сведения см. в разделе "Миграция шлюзов ExpressRoute на SKU с поддержкой зоны доступности".
  • Измените конфигурацию зоны доступности существующего шлюза виртуальной сети. Шлюзы виртуальной сети, которые вы уже создали, могут не иметь зональной избыточности. Вы можете с минимальным временем простоя перенести незональный шлюз в зонально-избыточный шлюз. Дополнительные сведения см. в статье о консолидации и миграции SKU.

Поведение, когда все зоны работоспособны

В следующем разделе описывается, что ожидать, когда шлюз виртуальной сети настроен для зональной избыточности и все зоны доступности функционируют.

  • Маршрутизация трафика между зонами: Трафик из локальной среды распределяется между виртуальными машинами шлюза во всех зонах, которые использует шлюз. Эта конфигурация active-active обеспечивает оптимальную производительность и распределение нагрузки в обычных условиях работы.

    Если вы используете FastPath для оптимизированной производительности, трафик из локальной среды проходит шлюз, что повышает пропускную способность и снижает задержку. Дополнительные сведения см. в статье ExpressRoute FastPath.

  • Репликация данных между зонами: Репликация данных между зонами не происходит, так как шлюз виртуальной сети не хранит постоянные данные клиента.

  • Маршрутизация трафика между зонами: Избыточность зоны не влияет на маршрутизацию трафика. Трафик перенаправляется через виртуальные машины шлюза, исходя из конфигурации клиентов. Если шлюз использует конфигурацию active-active и использует два общедоступных IP-адреса, обе виртуальные машины шлюза могут получать трафик. Для конфигурации с активным резервным трафиком направляется на одну виртуальную машину первичного шлюза, которую azure выбирает.

  • Репликация данных между зонами: VPN-шлюз не требует синхронизации состояния подключения между зонами доступности. В активном режиме виртуальная машина шлюза, обрабатывающая VPN-подключение, отвечает за управление состоянием подключения.

  • Управление виртуальными машинами шлюза: Платформа автоматически выбирает зоны для виртуальных машин шлюза и управляет размещением в зонах. Мониторинг работоспособности гарантирует, что только работоспособные виртуальные машины шлюза получают трафик.

Поведение во время сбоя зоны

В следующем разделе описывается, чего ожидать при настройке шлюза виртуальной сети для обеспечения зональной избыточности и при сбое зоны доступности.

  • Обнаружение и ответ: Платформа Azure обнаруживает и реагирует на сбой в зоне доступности. Вам не нужно инициировать отработку отказа зоны.

  • Активные запросы: Все активные запросы, подключенные через виртуальные машины шлюза в зоне сбоя, завершаются. Клиентские приложения должны повторить запросы, следуя инструкциям по обработке временных сбоев.

  • Ожидаемая потеря данных: Сбои зоны не должны привести к потере данных, так как шлюзы виртуальной сети не хранят постоянные данные клиента.

  • Ожидаемое время простоя: Во время сбоев в зонах подключения могут возникать короткие прерывания, которые обычно длятся до одной минуты при перераспределении трафика. Клиентские приложения должны повторить запросы, следуя инструкциям по обработке временных сбоев.

  • Перенаправка трафика: Платформа автоматически распределяет трафик на виртуальные машины шлюза в здоровых зонах.

    Соединения с функцией FastPath поддерживают оптимальную маршрутизацию на протяжении всего процесса переключения в случае отказа, что гарантирует минимальное воздействие на производительность приложения.

  • Перенаправка трафика: Трафик автоматически перенаправляется на другую виртуальную машину шлюза в другой зоне доступности.

Восстановление зоны

При восстановлении затронутой зоны доступности Azure автоматически восстанавливает виртуальные машины шлюза в восстановленной зоне и возвращает нормальное распределение трафика по всем зонам, которые использует шлюз.

Тестирование на сбои в зоне

Платформа Azure управляет маршрутизацией трафика, переключением на резерв и возвратом после восстановления для шлюзов виртуальной сети с избыточностью между зонами. Эта функция полностью управляется, поэтому не требуется инициировать или проверять процессы сбоя зоны доступности.

Устойчивость к сбоям на уровне региона

Шлюз виртуальной сети — это ресурс, который предназначен для одного региона. Если регион становится недоступным, шлюз также недоступен.

Замечание

Номер SKU ExpressRoute класса Premium можно использовать, когда ресурсы Azure распределяются по нескольким регионам. Но номер SKU уровня "Премиум" не влияет на настройку шлюза, и он по-прежнему развертывается в одном регионе. Дополнительные сведения см. в обзоре ExpressRoute.

Индивидуальные решения для нескольких регионов для повышения устойчивости

Вы можете создать независимые пути подключения к среде Azure с помощью одного или нескольких следующих подходов:

  • Создайте несколько каналов ExpressRoute, которые подключаются к шлюзам в разных регионах Azure.

  • Используйте VPN типа "сеть — сеть" в качестве резервной копии для частного пиринга трафика.

  • Используйте подключение к Интернету в качестве резервного канала для пирингового трафика Microsoft.

Дополнительные сведения см. в "Проектирование восстановления после сбоев с применением частного пиринга ExpressRoute".

Вы можете развернуть отдельные VPN-шлюзы в двух или нескольких разных регионах. Каждый шлюз подключен к другой виртуальной сети, и шлюзы работают независимо. Между ними нет взаимодействия или репликации конфигурации или состояния. Вы также несете ответственность за настройку клиентов и удаленных устройств для подключения к правильному VPN или переключения между виртуальными сетями при необходимости.

Устойчивость к обслуживанию служб

Azure выполняет регулярное обслуживание шлюзов виртуальной сети, чтобы обеспечить оптимальную производительность и безопасность. Во время этих периодов обслуживания некоторые нарушения службы могут возникнуть, но Azure разрабатывает эти действия, чтобы свести к минимуму влияние на подключение.

Во время запланированных операций обслуживания в шлюзах виртуальной сети процесс выполняется на виртуальных машинах шлюза последовательно, а не одновременно. Этот процесс гарантирует, что одна виртуальная машина шлюза всегда остается активной во время обслуживания, что сводит к минимуму влияние на активные подключения.

Чтобы снизить вероятность непредвиденных сбоев, можно настроить периоды обслуживания шлюза в соответствии с вашими операционными требованиями.

Дополнительные сведения см. в разделе "Настройка обслуживания, управляемого клиентом" для шлюзов ExpressRoute.

Дополнительные сведения см. в разделе "Настройка окон обслуживания" для шлюзов виртуальной сети.

Соглашение об уровне обслуживания

Соглашение об уровне обслуживания (SLA) для служб Azure описывает ожидаемую доступность каждой службы и условия, которые должно соответствовать вашему решению для достижения этого ожидания доступности. Для получения дополнительной информации см. Соглашения об уровне обслуживания для онлайн-сервисов.

ExpressRoute предоставляет строгое соглашение об уровне обслуживания доступности, которое гарантирует высокий уровень доступности для подключений. Разные соглашения об уровне обслуживания доступности применяются при развертывании в нескольких расположениях пиринга (сайтах), если используется ExpressRoute Metro или если у вас есть конфигурация с одним сайтом.

Все SKU VPN-шлюзов, кроме SKU "Базовый", соответствуют более высокому SLA доступности. SKU "Базовый" обеспечивает более низкий уровень SLA и ограниченные возможности, и его следует использовать только для тестирования и разработки. Дополнительные сведения см. в разделе SKU шлюза: рабочие нагрузки для разработки и тестирования

Связанный контент

  • Last updated on