Azure ExpressRoute dan VPN Gateway

Saat organisasi memigrasikan beban kerja ke Azure, biasanya organisasi tersebut perlu menghubungkan kantor, pusat data, dan pengguna lokalnya ke sumber daya Azure secara privat — tanpa lalu lintas melewati internet publik. Hal ini diperlukan untuk keamanan (menghindari paparan terhadap ancaman internet), kepatuhan (beberapa peraturan melarang data tertentu melewati jaringan publik), dan kinerja (latensi yang dapat diprediksi tanpa kemacetan internet). Azure menyediakan dua opsi konektivitas: Azure VPN Gateway (terowongan terenkripsi melalui internet) dan Azure ExpressRoute (sirkuit privat khusus).

Azure VPN Gateway adalah sumber daya gateway terkelola yang diterapkan di jaringan virtual dan membuat terowongan IPsec/IKE terenkripsi antara Azure dan jaringan lokal. Gateway ini mendukung dua jenis koneksi: Site-to-Site (S2S) — menghubungkan seluruh jaringan lokal ke VNet Azure, biasanya dari perangkat VPN fisik; dan Point-to-Site (P2S) — klien individual (laptop, mesin pengembang) terhubung ke Azure menggunakan aplikasi klien Azure VPN. S2S digunakan untuk koneksi cabang ke cloud; P2S digunakan untuk pekerja jarak jauh.

VPN Gateway tersedia dalam beberapa SKU dengan bandwidth dan kemampuan fitur yang berbeda. Basic (warisan, maksimum 100 Mbps, tanpa redundansi zona). VpnGw1 (hingga 650 Mbps, mendukung BGP). VpnGw2 (1 Gbps). VpnGw3 (1,25 Gbps). VpnGw5 (10 Gbps). SKU dengan redundansi zona (misalnya VpnGw1AZ) menempatkan gateway di beberapa zona ketersediaan untuk meningkatkan ketersediaan. Pilih SKU berdasarkan kapasitas pemrosesan yang diperlukan dan apakah Anda memerlukan konfigurasi aktif-aktif untuk redundansi.

Koneksi Site-to-Site memerlukan empat komponen: VPN Gateway (di Azure), sumber daya Local Network Gateway (yang mewakili IP publik dan ruang alamat perangkat VPN lokal Anda), perangkat VPN di lingkungan lokal (router, firewall, atau peralatan VPN khusus), dan kunci bersama (rahasia yang dibagikan sebelumnya untuk autentikasi). Setelah koneksi dibuat, gateway Azure dan perangkat lokal menegosiasikan terowongan menggunakan IKEv1 atau IKEv2. Azure menyediakan skrip konfigurasi untuk ratusan model perangkat VPN.

Azure ExpressRoute adalah koneksi privat khusus dari jaringan lokal Anda ke Azure melalui penyedia konektivitas (misalnya Equinix, AT&T, BT). Lalu lintas berjalan melalui jaringan MPLS milik penyedia—tidak pernah melewati internet publik. ExpressRoute menawarkan bandwidth yang dapat diprediksi (dari 50 Mbps hingga 100 Gbps), latensi yang lebih rendah daripada tunnel VPN, keandalan yang lebih tinggi (SLA 99,95%), dan diwajibkan oleh banyak industri yang diatur serta untuk beban kerja berbandwidth tinggi seperti migrasi data massal. Peering Microsoft juga menyediakan akses ke Microsoft 365 dan layanan Azure secara global.

Sirkuit ExpressRoute adalah koneksi logis antara jaringan Anda dan Microsoft melalui penyedia. Sirkuit ini memiliki tingkatan bandwidth (50 Mbps–100 Gbps) dan dua koneksi fisik redundan untuk ketersediaan tinggi. Setiap sirkuit mendukung dua jenis peering: Peering privat—menghubungkan ke jaringan virtual Azure (VNet) dan sumber daya Anda melalui ruang alamat RFC 1918. Peering Microsoft—menghubungkan ke layanan publik Microsoft, termasuk Azure Storage, Azure SQL, dan Microsoft 365 (Exchange Online, Teams, SharePoint).

Untuk menghubungkan VNet ke sirkuit ExpressRoute, Anda menerapkan Gateway ExpressRoute (jenis khusus Gateway VNet), lalu membuat koneksi yang menautkannya ke sirkuit tersebut. SKU Gateway ExpressRoute (Standard, High Performance, Ultra Performance, ErGw1AZ–ErGw3AZ) menentukan kapasitas bandwidth per gateway. Berbeda dari gateway VPN, gateway ExpressRoute tidak mengenkripsi lalu lintas—enkripsi dilakukan pada tingkat sirkuit oleh penyedia atau melalui IPsec over ExpressRoute jika diwajibkan oleh peraturan.

Pemilihan antara ExpressRoute dan Gateway VPN bergantung pada persyaratan. ExpressRoute menyediakan bandwidth khusus, latensi yang lebih rendah dan lebih dapat diprediksi, serta tidak memiliki overhead enkripsi (dikelola oleh penyedia), tetapi memerlukan waktu berminggu-minggu untuk disediakan dan biayanya jauh lebih tinggi. Gateway VPN dapat diterapkan dalam hitungan menit, biayanya jauh lebih rendah, dan menyediakan enkripsi (IPsec), tetapi bandwidth dibatasi oleh SKU, sedangkan variabilitas internet bersama menambah latensi dan kehilangan paket. Banyak perusahaan menggunakan keduanya: ExpressRoute untuk produksi dan VPN sebagai jalur cadangan failover.

Gateway VPN standar menggunakan satu instans gateway aktif dengan satu IP publik. Dalam mode aktif-aktif, gateway memiliki dua instans gateway yang masing-masing memiliki IP publik sendiri, sehingga membuat dua tunnel IPsec paralel ke perangkat lokal. Jika salah satu instans gagal, lalu lintas secara otomatis mengalir melalui tunnel yang tersisa tanpa intervensi manual. Mode aktif-aktif juga membagi lalu lintas di kedua tunnel, sehingga secara efektif menggandakan bandwidth yang tersedia. Mode ini memerlukan perangkat VPN lokal yang kompatibel dan mendukung BGP serta beberapa titik akhir tunnel.

BGP (Border Gateway Protocol) adalah protokol perutean internet standar yang didukung oleh Azure VPN Gateway dan ExpressRoute. Dengan BGP, informasi rute dipertukarkan secara otomatis antara Azure dan jaringan lokal—subnet baru diiklankan tanpa perlu memperbarui tabel rute statis secara manual. ExpressRoute selalu menggunakan BGP. Gateway VPN mendukung BGP pada tunnel berbasis rute dengan SKU VpnGw1 dan yang lebih tinggi. BGP sangat penting dalam topologi hub-and-spoke ketika Anda memerlukan perutean yang konsisten antara beberapa situs lokal dan beberapa VNet Azure.

Gateway VPN mengirimkan metrik ke Azure Monitor, termasuk Bandwidth Tunnel, Byte Egress/Ingress Tunnel, Paket Puncak Tunnel, dan Status Peer BGP. Anda dapat membuat peringatan metrik untuk memberi tahu Anda ketika sebuah tunnel terputus (status koneksi berubah) atau throughput melebihi tingkat yang diharapkan. Alat Pemecahan masalah koneksi di portal menguji konektivitas antara Gateway VPN dan perangkat lokal, lalu mengembalikan informasi diagnostik tentang kehilangan paket dan kegagalan negosiasi IKE.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa Azure VPN Gateway membuat tunnel IPsec terenkripsi melalui internet untuk konektivitas Site-to-Site dan Point-to-Site dengan biaya lebih rendah, Azure ExpressRoute menyediakan sirkuit privat khusus melalui penyedia konektivitas untuk bandwidth yang dapat diprediksi dan latensi yang lebih rendah, serta keduanya dapat digunakan bersama dengan ExpressRoute sebagai koneksi utama dan VPN sebagai failover. Selanjutnya, kita akan membahas portofolio Azure Stack untuk skenario penerapan luring dan edge.