Подключение AWS и Azure с помощью VPN-шлюза с поддержкой BGP

В этой статье описано, как настроить подключение с поддержкой BGP между Azure и Amazon Web Services (AWS). Вы будете использовать VPN-шлюз Azure с поддержкой BGP и включенным режимом "активный-активный", а также виртуальный частный шлюз AWS с двумя соединениями "сеть-сеть".

Если вы планируете перенести рабочую нагрузку из AWS в Azure, см. статью Перенос сетевой инфраструктуры из Amazon Web Services (AWS) в Azure, которая включает руководства по миграции, которые могут подойти для вашего сценария.

Архитектура

В этой настройке вы создадите следующие ресурсы:

Azure

• Одна виртуальную сеть
• один виртуальный сетевой шлюз в режиме "активный — активный" со включенным протоколом BGP;
• четыре локальных сетевых шлюза;
• четыре межсайтовых подключения

AWS

• Одно виртуальное частное облако (VPC);
• один виртуальный частный шлюз;
• два клиентских шлюза;
• два подключения "сеть-сеть", у каждого из которых есть два туннеля (всего четыре туннеля).

У соединения "сеть-сеть" в AWS имеются два туннеля, каждый из которых имеет собственный внешний IP-адрес и внутренний CIDR IPv4 (используется для BGP APIPA). VPN-шлюз в режиме активный — пассивный поддерживает только один настраиваемый протокол BGP APIPA. Для подключения к нескольким туннелям AWS необходимо включить режим активный — активный на VPN-шлюзе Azure.

На стороне AWS вы создаете клиентский шлюз и подключение типа "сеть — сеть" для каждого из двух экземпляров VPN-шлюза Azure (всего четыре исходящих туннеля). В Azure необходимо создать четыре шлюза локальной сети и четыре подключения для получения этих четырех туннелей AWS.

Выбор адресов APIPA BGP

В этом руководстве можно использовать следующие значения для конфигурации BGP APIPA.

Вы также можете настроить собственные адреса APIPA. Для AWS требуется внутренний CIDR IPv4 /30 в диапазоне APIPA 169.254.0.0/16 для каждого туннеля. Этот CIDR также должен быть в зарезервированном Azure диапазоне APIPA для VPN то есть в диапазоне от 169.254.21.0 до 169.254.22.255. AWS использует первый IP-адрес /30 внутри CIDR и Azure использует второй. Это означает, что необходимо зарезервировать пространство для двух IP-адресов в AWS /30 CIDR.

Например, если в IPv4 CIDR для AWS задано значение 169.254.21.21.0/30, AWS использует IP-адрес BGP 169.254.21.1, а Azure использует IP-адрес 169.254.21.21.2.

Предварительные требования

У вас должны быть как учетная запись Azure, так и учетная запись AWS с активной подпиской. Если у вас нет подписки Azure, вы можете активировать преимущества для подписчиков MSDN или зарегистрировать бесплатную учетную запись.

Создание активного VPN-шлюза с архитектурой active-active в Azure

Создание виртуальной сети

Создайте виртуальную сеть. Инструкции можно найти в руководстве по Site-to-site. Для этого упражнения мы используем следующие примерные значения:

Создание активно-активного VPN-шлюза с помощью BGP

В этом разделе вы создадите active-active VPN-шлюз. Инструкции можно найти в руководстве по Site-to-site. Когда вы перейдете к разделу "Конфигурация" руководства, используйте следующие параметры, чтобы включить BGP и активно-активный режим. Для этого упражнения мы используем следующие примерные значения:

Создание шлюза часто занимает 45 минут и более, в зависимости от выбранного SKU шлюза. Состояние развертывания можно просмотреть на странице обзора шлюза.

Чтобы просмотреть общедоступные IP-адреса, назначенные шлюзу, перейдите на страницу параметров портала шлюза виртуальной сети .> Свойства.

Подключение к VPN-шлюзу из AWS

В этом разделе описано, как подключиться к VPN-шлюзу Azure из AWS. Обновленные инструкции приведены в официальной документации AWS.

Создание виртуального частного облака

Создайте VPC с помощью следующих значений и последней документации AWS.

Убедитесь, что ваш блок CIDR не пересекается с виртуальной сетью, которую вы создали в Azure.

Создание частного шлюза виртуальной сети

Создайте виртуальный частный шлюз с помощью следующих значений и последней документации ПО AWS.

Если вы решили использовать настраиваемый ASN, убедитесь, что он отличается от ASN, используемого в Azure.

Включение распространения маршрута

Включите распространение маршрута на частном шлюзе виртуальной сети, используя информацию в актуальной версии документации по AWS.

Создание клиентских шлюзов

Создайте два клиентских шлюза с помощью следующих значений и последней документации AWS.

Вы можете найти свой общедоступный IP-адрес и свой второй общедоступный IP-адрес в Azure в разделе Конфигурация шлюза виртуальной сети.

Создание VPN соединений между сетями

Создайте два VPN-подключения типа "сеть — сеть" с помощью следующих значений и последней документации по AWS.

Для внутреннего IPv4 CIDR для туннеля 1 и внутреннего IPv4 CIDR для туннеля 2 для обоих подключений, обратитесь к выбранной конфигурации APIPA.

Подключение к шлюзам клиентов AWS из Azure

Затем вы подключаете туннели AWS к Azure. Для каждого из четырех туннелей будет использоваться как локальный сетевой шлюз, так и подключение типа "сеть — сеть".

Создание шлюзов локальной сети

Создайте каждый шлюз локальной сети с помощью следующих значений. Инструкции см. в разделе "Создание шлюза локальной сети". Убедитесь, что для каждого туннеля используется правильный внешний IP-адрес и IP-адрес однорангового BGP в соответствии с выбранной конфигурацией APIPA, и повторите эти шаги для создания каждого шлюза локальной сети.

Создание подключений

В этом разделе вы создадите подключение между сетями для каждого из ваших туннелей AWS. При создании подключения необходимо выбрать шлюз локальной сети, соответствующий туннелю, к которому вы подключаетесь, а также ввести правильный IP-адрес однорангового узла BGP на основе конфигурации APIPA, которую вы выбрали. Инструкции см. в разделе "Создание подключения".

Повторите эти действия, чтобы создать каждое из необходимых подключений.

1. На странице "Основы" выполните следующие параметры:

   Страница "Основные сведения"	Ценность
   Тип подключения	Сеть — сеть (IPsec)
   Имя	Введите имя для подключения. Пример: AWSTunnel1toAzureInstance0.

2. На странице "Параметры" заполните следующие параметры:

   Страница параметров	Ценность
   Шлюз виртуальной сети	Выберите VPN-шлюз.
   шлюз локальной сети	Выберите созданный шлюз локальной сети.
   Общий ключ (PSK)	Введите общий ключ, соответствующий предварительно предоставленному ключу, который вы указали при создании подключений AWS.
   Включение BGP	Выберите, чтобы включить.
   Активировать пользовательские адреса BGP	Выберите, чтобы включить.

3. В разделе "Пользовательские адреса BGP":

   • Введите настраиваемый адрес BGP на основе выбранной конфигурации APIPA.
   • Настраиваемый адрес BGP (внутренний CIDR IPv4 в AWS) должен совпадать с IP-адресом (внешним IP-адресом в AWS), который вы указали в шлюзе локальной сети, используемом для этого подключения.
   • Будет использоваться только один из двух настраиваемого адресов BGP в зависимости от того, для какой туннеля вы его указываете.
   • При подключении из AWS к первому общедоступному IP-адресу VPN-шлюза (экземпляр 0) используется только основной пользовательский адрес BGP .
   • При подключении из AWS к второму общедоступному IP-адресу VPN-шлюза (экземпляр 1) используется только дополнительный пользовательский адрес BGP .
   • Оставьте другой настраиваемый адрес BGP в качестве значения по умолчанию.

   Если вы использовали конфигурацию APIPA по умолчанию, можно использовать следующие адреса:

   Туннель	Основной настраиваемый адрес BGP	Дополнительный настраиваемый адрес BGP
   Туннель AWS 1 к экземпляру Azure 0	169.254.21.2	Не используется (выберите 169.254.21.6)
   Туннель AWS 2 к инстансу Azure 0	169.254.22.2	Не используется (выберите 169.254.21.6)
   Туннель AWS 1 к экземпляру Azure 1	Не используется (выберите 169.254.21.2)	169.254.21.6
   Туннель AWS 2 к инстансу Azure 1	Не используется (выберите 169.254.21.2)	169.254.22.6

4. Настройте следующие параметры:

   Setting	Ценность
   FastPath	Оставьте значение по умолчанию (deselected).
   Политика IPsec / IKE	По умолчанию
   Использование селектора трафика на основе политики	Отключить
   Время ожидания DPD в секундах	Оставьте значение по умолчанию.
   Режим подключения	Вы можете выбрать любой из доступных параметров (по умолчанию, только инициатор, только ответчик). Дополнительные сведения см. в разделе Параметры VPN-шлюз — режимы подключения.

5. Сохраните параметры, просмотрите конфигурацию и создайте подключение. Повторите эти действия, чтобы создать дополнительные подключения.

6. Прежде чем перейти к следующему разделу, убедитесь, что у вас есть шлюз локальной сети и подключение для каждого из четырех туннелей AWS.

Проверка состояния подключений

Эти действия являются необязательными, но могут быть полезны для проверки правильности работы подключений.

Проверка состояния подключений в Azure

1. Откройте страницу шлюза виртуальной сети и перейдите на страницу "Подключения ".

2. Убедитесь, что все 4 подключения отображаются как подключены.

   

Проверьте состояние одноранговых узлов BGP в Azure

1. Откройте страницу шлюза виртуальной сети и перейдите на страницу одноранговых узлов BGP .

2. В таблице Одноранговые узлы BGP убедитесь, что все подключения с указанным вами адресом однорангового узлаподключены и обмениваются маршрутами.

   

Проверка состояния подключений в AWS

1. Откройте консоль Amazon VPC.
2. В области навигации выберите VPN-подключения типа "сеть — сеть".
3. Выберите первое подключение, а затем перейдите на вкладку Tunnel Details (Сведения о туннеле).
4. Убедитесь, значение Status (Состояние) для обоих туннелей равно UP (Работает).
5. Убедитесь, что в области Details (Сведения) в обоих туннелях есть один или несколько маршрутов BGP.

Следующие шаги

Дополнительные сведения о VPN-шлюз см. в разделе часто задаваемых вопросов.