Azure ExpressRoute e VPN Gateway

Quando un'organizzazione esegue la migrazione dei carichi di lavoro in Azure, in genere ha bisogno che gli uffici, i data center e gli utenti locali comunichino con le risorse Azure privatamente, senza che il traffico attraversi Internet. Ciò è necessario per la sicurezza (evitare l'esposizione alle minacce Internet), per la conformità (alcune normative vietano il transito di determinati dati sulle reti pubbliche) e per le prestazioni (latenza prevedibile senza la congestione di Internet). Azure offre due opzioni di connettività: Azure VPN Gateway (tunnel crittografati su Internet) e Azure ExpressRoute (circuiti privati dedicati).

Azure VPN Gateway è una risorsa gateway gestita distribuita in una rete virtuale, che crea tunnel IPsec/IKE crittografati tra Azure e le reti locali. Supporta due tipi di connessione: Site-to-Site (S2S), che collega un'intera rete locale alla VNet Azure, in genere tramite un dispositivo VPN fisico; e Point-to-Site (P2S), con cui singoli client (laptop o macchine degli sviluppatori) si connettono ad Azure usando l'applicazione client Azure VPN. S2S è destinato alle connessioni tra filiali e cloud, mentre P2S ai lavoratori remoti.

VPN Gateway è disponibile in diversi SKU con capacità differenti in termini di larghezza di banda e funzionalità. Basic (legacy, massimo 100 Mbps, senza ridondanza di zona). VpnGw1 (fino a 650 Mbps, supporta BGP). VpnGw2 (1 Gbps). VpnGw3 (1,25 Gbps). VpnGw5 (10 Gbps). Gli SKU con ridondanza di zona (ad esempio VpnGw1AZ) distribuiscono il gateway tra più zone di disponibilità per ottenere una maggiore disponibilità. Scegliete lo SKU in base alla velocità di elaborazione richiesta e alla necessità di una configurazione active-active per la ridondanza.

Una connessione Site-to-Site richiede quattro componenti: il VPN Gateway (in Azure), una risorsa Local Network Gateway (che rappresenta l'indirizzo IP pubblico e lo spazio di indirizzi del dispositivo VPN locale), un dispositivo VPN locale (router, firewall o appliance VPN dedicata) e una chiave condivisa (un segreto precondiviso per l'autenticazione). Dopo la creazione della connessione, il gateway Azure e il dispositivo locale negoziano il tunnel usando IKEv1 o IKEv2. Azure fornisce script di configurazione per centinaia di modelli di dispositivi VPN.

Azure ExpressRoute è una connessione privata dedicata dalla rete locale ad Azure tramite un provider di connettività (ad es. Equinix, AT&T, BT). Il traffico passa sulla rete MPLS del provider e non attraversa mai Internet pubblico. ExpressRoute offre una larghezza di banda prevedibile (da 50 Mbps a 100 Gbps), una latenza inferiore rispetto ai tunnel VPN, una maggiore affidabilità (SLA del 99,95%) ed è richiesto da molti settori regolamentati e per carichi di lavoro che richiedono un'elevata larghezza di banda, come la migrazione di grandi volumi di dati. Il peering Microsoft consente inoltre di accedere globalmente a Microsoft 365 e ai servizi Azure.

Un circuito ExpressRoute è la connessione logica tra la rete dell'organizzazione e Microsoft tramite un provider. Dispone di un livello di larghezza di banda (50 Mbps–100 Gbps) e di due connessioni fisiche ridondanti per garantire un'elevata disponibilità. Ogni circuito supporta due tipi di peering: peering privato — connette alle reti virtuali Azure (VNet) e alle relative risorse utilizzando lo spazio di indirizzi RFC 1918. Peering Microsoft — connette ai servizi pubblici Microsoft, tra cui Azure Storage, Azure SQL e Microsoft 365 (Exchange Online, Teams, SharePoint).

Per connettere una VNet a un circuito ExpressRoute, si distribuisce un Gateway ExpressRoute (un tipo specializzato di Gateway VNet) e si crea quindi una connessione che lo collega al circuito. Gli SKU del Gateway ExpressRoute (Standard, High Performance, Ultra Performance, ErGw1AZ–ErGw3AZ) determinano la capacità di larghezza di banda per gateway. A differenza dei gateway VPN, i gateway ExpressRoute non crittografano il traffico: la crittografia avviene a livello di circuito, a cura del provider, oppure tramite IPsec over ExpressRoute se richiesto dalle normative.

La scelta tra ExpressRoute e Gateway VPN dipende dai requisiti. ExpressRoute offre larghezza di banda dedicata, una latenza inferiore e più prevedibile e nessun sovraccarico di crittografia (gestita dal provider), ma richiede settimane per il provisioning e ha costi significativamente più elevati. Il Gateway VPN può essere distribuito in pochi minuti, ha costi molto inferiori e fornisce la crittografia (IPsec), ma la larghezza di banda è limitata dallo SKU e la variabilità di Internet condiviso aumenta la latenza e la perdita di pacchetti. Molte aziende utilizzano entrambe le soluzioni: ExpressRoute per la produzione e la VPN come percorso di backup per il failover.

Un Gateway VPN standard utilizza una singola istanza gateway attiva con un indirizzo IP pubblico. In modalità attiva-attiva, il gateway dispone di due istanze gateway, ciascuna con il proprio indirizzo IP pubblico, creando due tunnel IPsec paralleli verso il dispositivo locale. Se un'istanza si arresta, il traffico passa automaticamente attraverso il tunnel rimanente senza alcun intervento manuale. La modalità attiva-attiva distribuisce inoltre il traffico tra entrambi i tunnel, raddoppiando di fatto la larghezza di banda disponibile. È necessario un dispositivo VPN locale compatibile che supporti BGP e più endpoint di tunnel.

BGP (Border Gateway Protocol) è il protocollo di routing Internet standard supportato sia da Azure VPN Gateway sia da ExpressRoute. Con BGP, le informazioni sulle route vengono scambiate automaticamente tra Azure e la rete locale: le nuove subnet vengono annunciate senza dover aggiornare manualmente le tabelle di routing statico. ExpressRoute utilizza sempre BGP. VPN Gateway supporta BGP nei tunnel basati su route con gli SKU VpnGw1 e superiori. BGP è essenziale nelle topologie hub-spoke, quando è necessario un routing coerente tra più siti locali e più VNet Azure.

VPN Gateway invia metriche ad Azure Monitor, tra cui Tunnel Bandwidth, Tunnel Egress/Ingress Bytes, Tunnel Peak Packets e BGP Peer Status. È possibile creare avvisi sulle metriche per ricevere una notifica quando un tunnel si disconnette (cambia lo stato della connessione) o quando la velocità effettiva supera i livelli previsti. Lo strumento Connection troubleshoot nel portale verifica la connettività tra VPN Gateway e il dispositivo locale e restituisce informazioni diagnostiche sulle perdite di pacchetti e sugli errori di negoziazione IKE.

Verifichi la propria comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha appreso che: Azure VPN Gateway crea tunnel IPsec crittografati su Internet per la connettività da sito a sito e da punto a sito a un costo inferiore; Azure ExpressRoute fornisce circuiti privati dedicati tramite un provider di connettività, con larghezza di banda prevedibile e latenza inferiore; entrambe le soluzioni possono essere utilizzate insieme, con ExpressRoute come connessione primaria e la VPN come connessione di failover. Prossimamente esploreremo il portafoglio Azure Stack per gli scenari di distribuzione offline ed edge.