Azure ExpressRoute ve VPN Gateway

Bir kuruluş iş yüklerini Azure'a geçirdiğinde, genellikle şirket içi ofislerinin, veri merkezlerinin ve kullanıcılarının Azure kaynaklarıyla özel olarak iletişim kurması gerekir — trafiğin genel internet üzerinden geçmemesi önemlidir. Bu gereklilik güvenlik (internet tehditlerine maruz kalmayı önleme), uyumluluk (bazı düzenlemeler belirli verilerin genel ağlar üzerinden taşınmasını yasaklar) ve performans (internet yoğunluğu olmadan öngörülebilir gecikme) nedenlerinden kaynaklanır. Azure iki bağlantı seçeneği sunar: Azure VPN Gateway (internet üzerinden şifrelenmiş tüneller) ve Azure ExpressRoute (özel tahsis edilmiş devreler).

Azure VPN Gateway, bir sanal ağda dağıtılan ve Azure ile şirket içi ağlar arasında şifrelenmiş IPsec/IKE tünelleri oluşturan yönetilen bir ağ geçidi kaynağıdır. İki bağlantı türünü destekler: Site-to-Site (S2S) — genellikle fiziksel bir VPN cihazı üzerinden şirket içindeki ağın tamamını Azure VNet'e bağlar; Point-to-Site (P2S) — tek tek istemciler (dizüstü bilgisayarlar, geliştirici makineleri) Azure VPN istemci uygulamasını kullanarak Azure'a bağlanır. S2S, şubeden buluta bağlantı için; P2S ise uzaktan çalışanlar içindir.

VPN Gateway, farklı bant genişliği ve özellik yeteneklerine sahip birden fazla SKU ile sunulur. Basic (eski sürüm, en fazla 100 Mbps, bölge yedekliliği yok). VpnGw1 (650 Mbps'ye kadar, BGP'yi destekler). VpnGw2 (1 Gbps). VpnGw3 (1,25 Gbps). VpnGw5 (10 Gbps). Bölge yedekli SKU'lar (örneğin VpnGw1AZ), daha yüksek kullanılabilirlik için ağ geçidini kullanılabilirlik bölgelerine dağıtır. SKU'yu gereken aktarım hızına ve yedeklilik için etkin-etkin yapılandırmaya ihtiyaç duyup duymadığınıza göre seçin.

Bir Site-to-Site bağlantısı dört bileşen gerektirir: VPN Gateway (Azure'da), şirket içi VPN cihazınızın genel IP adresini ve adres alanını temsil eden bir Local Network Gateway kaynağı, şirket içinde bulunan bir VPN device (yönlendirici, güvenlik duvarı veya özel VPN cihazı) ve bir paylaşılan anahtar (kimlik doğrulama için önceden paylaşılan gizli anahtar). Bağlantı oluşturulduktan sonra Azure ağ geçidi ile şirket içi cihaz, IKEv1 veya IKEv2 kullanarak tünel için anlaşır. Azure, yüzlerce VPN cihazı modeli için yapılandırma betikleri sağlar.

Azure ExpressRoute, bir bağlantı sağlayıcısı (ör. Equinix, AT&T, BT) üzerinden şirket içi ağınızdan Azure'a uzanan özel bir bağlantıdır. Trafik, sağlayıcının MPLS ağı üzerinden iletilir ve genel internete hiç çıkmaz. ExpressRoute; öngörülebilir bant genişliği (50 Mbps ile 100 Gbps arası), VPN tünellerine kıyasla daha düşük gecikme, daha yüksek güvenilirlik (%99,95 SLA) sunar ve birçok düzenlemeye tabi sektör ile toplu veri geçişi gibi yüksek bant genişliği gerektiren iş yükleri için zorunludur. Microsoft eşlemesi ayrıca Microsoft 365'e ve Azure hizmetlerine küresel olarak erişim sağlar.

Bir ExpressRoute devresi, ağınız ile Microsoft arasındaki sağlayıcı üzerinden kurulan mantıksal bağlantıdır. Bir bant genişliği katmanına (50 Mbps–100 Gbps) ve yüksek kullanılabilirlik için iki yedekli fiziksel bağlantıya sahiptir. Her devre iki eşleme türünü destekler: Özel eşleme — Azure sanal ağlarınıza (VNet'ler) ve kaynaklarınıza RFC 1918 adres alanı üzerinden bağlanır. Microsoft eşlemesi — Azure Storage, Azure SQL ve Microsoft 365 (Exchange Online, Teams, SharePoint) dahil Microsoft'un genel hizmetlerine bağlanır.

Bir VNet'i ExpressRoute devresine bağlamak için bir ExpressRoute Ağ Geçidi (özel bir VNet Ağ Geçidi türü) dağıtmanız ve ardından bunu devreye bağlayan bir bağlantı oluşturmanız gerekir. ExpressRoute Ağ Geçidi SKU'ları (Standard, High Performance, Ultra Performance, ErGw1AZ–ErGw3AZ), ağ geçidi başına bant genişliği kapasitesini belirler. VPN ağ geçitlerinin aksine ExpressRoute ağ geçitleri trafiği şifrelemez; şifreleme, sağlayıcı tarafından devre düzeyinde veya mevzuat gerektiriyorsa ExpressRoute üzerinden IPsec aracılığıyla gerçekleştirilir.

ExpressRoute ile VPN Ağ Geçidi arasındaki seçim gereksinimlere bağlıdır. ExpressRoute özel bant genişliği, daha düşük ve daha öngörülebilir gecikme ve şifreleme ek yükünün olmamasını (sağlayıcı tarafından yönetilir) sağlar; ancak sağlanması haftalar sürer ve maliyeti önemli ölçüde daha yüksektir. VPN Ağ Geçidi dakikalar içinde dağıtılabilir, çok daha düşük maliyetlidir ve şifreleme (IPsec) sağlar; ancak bant genişliği SKU ile sınırlıdır ve paylaşımlı internetin değişkenliği gecikme ile paket kaybına yol açar. Birçok kuruluş her ikisini de kullanır: üretim için ExpressRoute, yük devretme yedek yolu olarak VPN.

Standart bir VPN Ağ Geçidi, tek bir etkin ağ geçidi örneği ve bir genel IP kullanır. Etkin-etkin modda ağ geçidinde, her birinin kendi genel IP'si olan iki ağ geçidi örneği bulunur ve şirket içi cihaza iki paralel IPsec tüneli oluşturulur. Örneklerden biri başarısız olursa trafik, el ile müdahale gerekmeksizin otomatik olarak kalan tünel üzerinden akar. Etkin-etkin mod ayrıca trafiği her iki tünele dağıtarak kullanılabilir bant genişliğini fiilen iki katına çıkarır. Bunun için BGP'yi ve birden çok tünel uç noktasını destekleyen uyumlu bir şirket içi VPN cihazı gerekir.

BGP (Sınır Ağ Geçidi Protokolü), hem Azure VPN Ağ Geçidi hem de ExpressRoute tarafından desteklenen standart internet yönlendirme protokolüdür. BGP ile yol bilgileri Azure ile şirket içi ağ arasında otomatik olarak değiş tokuş edilir; yeni alt ağlar, statik yol tabloları el ile güncellenmeden duyurulur. ExpressRoute her zaman BGP kullanır. VPN Ağ Geçidi, VpnGw1 ve üzeri SKU'lara sahip yol tabanlı tünellerde BGP'yi destekler. Birden çok şirket içi site ile birden çok Azure VNet arasında tutarlı yönlendirmeye ihtiyaç duyduğunuz hub-spoke topolojilerinde BGP kritik öneme sahiptir.

VPN Ağ Geçidi, Tünel Bant Genişliği, Tünel Çıkış/Giriş Baytları, Tünel En Yüksek Paket Sayısı ve BGP Eş Durumu dahil olmak üzere Azure Monitor'a ölçümler gönderir. Bir tünel koptuğunda (bağlantı durumu değiştiğinde) veya aktarım hızı beklenen düzeyleri aştığında sizi bilgilendirmek için ölçüm uyarıları oluşturabilirsiniz. Portalda bulunan Bağlantı sorunlarını giderme aracı, VPN Ağ Geçidi ile şirket içi cihaz arasındaki bağlantıyı test eder ve paket kayıpları ile IKE anlaşması hataları hakkında tanılama bilgileri döndürür.

Bu derste ele alınan Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Azure VPN Ağ Geçidi, Site-to-Site ve Point-to-Site bağlantıları için internet üzerinden daha düşük maliyetle şifreli IPsec tünelleri oluşturur; Azure ExpressRoute, öngörülebilir bant genişliği ve daha düşük gecikme için bir bağlantı sağlayıcısı üzerinden özel devreler sunar ve her ikisi birlikte kullanılabilir; ExpressRoute birincil, VPN ise yük devretme bağlantısı olarak görev yapar. Sırada, çevrim dışı ve uç dağıtım senaryoları için Azure Stack portföyünü inceleyeceğiz.