Azure ExpressRoute 和 VPN Gateway

组织将工作负载迁移到 Azure 后，通常需要让本地办公室、数据中心和用户以专用方式与 Azure 资源通信，而不让流量经过公共互联网。出于以下原因，这是必需的：安全性（避免暴露于互联网威胁）、合规性（某些法规禁止特定数据通过公共网络传输）和性能（避免互联网拥塞，以获得可预测的延迟）。Azure 提供两种连接选项：Azure VPN Gateway（通过互联网建立加密隧道）和 Azure ExpressRoute（专用私有线路）。

Azure VPN Gateway 是部署在虚拟网络中的托管网关资源，可在 Azure 与本地网络之间创建加密的 IPsec/IKE 隧道。它支持两种连接类型：Site-to-Site (S2S)——将整个本地网络连接到 Azure VNet，通常通过物理 VPN 设备建立；以及 Point-to-Site (P2S)——单个客户端（笔记本电脑、开发人员计算机）使用 Azure VPN 客户端应用程序连接到 Azure。S2S 适用于分支机构到云的连接；P2S 适用于远程工作人员。

VPN Gateway 提供多个 SKU，带宽和功能各不相同。Basic（旧版，最高 100 Mbps，不支持区域冗余）。VpnGw1（最高 650 Mbps，支持 BGP）。VpnGw2（1 Gbps）。VpnGw3（1.25 Gbps）。VpnGw5（10 Gbps）。区域冗余 SKU（例如 VpnGw1AZ）会将网关分布在多个可用性区域中，以提高可用性。请根据所需吞吐量以及是否需要主动-主动配置来实现冗余，选择合适的 SKU。

站点到站点连接需要四个组件：VPN Gateway（位于 Azure 中）、Local Network Gateway 资源（表示本地 VPN 设备的公共 IP 和地址空间）、本地的VPN 设备（路由器、防火墙或专用 VPN 设备），以及共享密钥（用于身份验证的预共享机密）。创建连接后，Azure 网关和本地设备会使用 IKEv1 或 IKEv2 协商隧道。Azure 为数百种 VPN 设备型号提供配置脚本。

Azure ExpressRoute 是通过连接提供商（例如 Equinix、AT&T、BT）将本地网络连接到 Azure 的专用私有连接。流量通过提供商的 MPLS 网络传输，不会经过公共互联网。ExpressRoute 提供可预测的带宽（从 50 Mbps 到 100 Gbps）、相比 VPN 隧道更低的延迟、更高的可靠性（SLA 为 99.95%），并且许多受监管行业以及批量数据迁移等高带宽工作负载都要求使用它。Microsoft 对等互连还可在全球范围内访问 Microsoft 365 和 Azure 服务。

ExpressRoute 线路是通过提供商在您的网络与 Microsoft 之间建立的逻辑连接。它具有一个带宽层级（50 Mbps–100 Gbps），并配备两个冗余物理连接，以实现高可用性。每条线路支持两种对等互连类型：专用对等互连—通过 RFC 1918 地址空间连接到您的 Azure 虚拟网络（VNet）和资源；Microsoft 对等互连—连接到 Microsoft 的公共服务，包括 Azure 存储、Azure SQL 和 Microsoft 365（Exchange Online、Teams、SharePoint）。

若要将 VNet 连接到 ExpressRoute 线路，您需要部署一个ExpressRoute 网关（一种专用的 VNet 网关），然后创建连接，将其链接到该线路。ExpressRoute 网关 SKU（Standard、High Performance、Ultra Performance、ErGw1AZ–ErGw3AZ）决定每个网关的带宽容量。与 VPN 网关不同，ExpressRoute 网关不会加密流量；加密由提供商在线路级别完成，或者在法规有要求时通过ExpressRoute 上的 IPsec完成。

选择 ExpressRoute 还是 VPN 网关取决于具体要求。ExpressRoute 提供专用带宽、更低且更可预测的延迟以及无需加密开销（由提供商管理），但配置通常需要数周，成本也高得多。VPN 网关可在几分钟内完成部署，成本低得多，并提供加密（IPsec），但带宽受 SKU 限制，而且共享互联网的不稳定性会增加延迟和数据包丢失。许多企业会同时使用两者：ExpressRoute 用于生产环境，VPN 作为故障转移备用路径。

标准 VPN 网关使用一个带有一个公共 IP 的活动网关实例。在主动-主动模式下，网关包含两个网关实例，每个实例都有自己的公共 IP，从而与本地设备建立两条并行的 IPsec 隧道。如果其中一个实例发生故障，流量会自动通过剩余隧道传输，无需手动干预。主动-主动模式还会在两条隧道之间分配流量，从而有效地将可用带宽翻倍。此模式要求本地 VPN 设备兼容，并支持 BGP 和多个隧道终结点。

BGP（边界网关协议）是 Azure VPN 网关和 ExpressRoute 都支持的标准互联网路由协议。借助 BGP，Azure 与本地网络会自动交换路由信息；新增子网会自动发布，无需手动更新静态路由表。ExpressRoute 始终使用 BGP。VPN 网关在基于路由的隧道上支持 BGP，SKU 为 VpnGw1 及更高版本。在中心辐射型拓扑中，如果需要在多个本地站点和多个 Azure VNet 之间保持一致的路由，BGP 就不可或缺。

VPN 网关会向 Azure Monitor 发出指标，包括隧道带宽、隧道出口/入口字节数、隧道峰值数据包数和BGP 对等方状态。您可以创建指标警报，在隧道断开（连接状态发生变化）或吞吐量超过预期水平时收到通知。门户中的连接故障排除工具可以测试 VPN 网关与本地设备之间的连接，并返回有关数据包丢失和 IKE 协商失败的诊断信息。

测试您对本课 Microsoft Azure Fundamentals（AZ-900）概念的理解。

本课中您学习了：Azure VPN 网关通过互联网创建加密的 IPsec 隧道，以较低成本实现站点到站点和点到站点连接；Azure ExpressRoute通过连接提供商提供专用私有线路，以获得可预测的带宽和更低的延迟；两者还可以结合使用，将 ExpressRoute 作为主路径，将 VPN 作为故障转移路径。接下来，我们将探索适用于离线和边缘部署场景的 Azure Stack 产品组合。