Freigeben über

Informationen zu ExpressRoute-Gateways für virtuelle Netzwerke

  • Artikel

Wenn Sie Ihr virtuelles Azure-Netzwerk und Ihr lokales Netzwerk über ExpressRoute verbinden möchten, müssen Sie zuerst ein Gateway für virtuelle Netzwerke erstellen. Ein Gateway für virtuelle Netzwerke dient zwei Zwecken: dem Austausch von IP-Routen zwischen den Netzwerken und der Weiterleitung des Netzwerkdatenverkehrs.

In diesem Artikel werden verschiedene Gatewaytypen, Gateway-SKUs und die geschätzte Leistung nach SKU erläutert. In diesem Artikel wird auch ExpressRoute FastPath erläutert, ein Feature, das es dem Netzwerkdatenverkehr aus Ihrem lokalen Netzwerk ermöglicht, das virtuelle Netzwerkgateway zu umgehen, um die Leistung zu verbessern.

Gatewaytypen

Beim Erstellen eines Gateways für virtuelle Netzwerke müssen mehrere Einstellungen angegeben werden. Eine dieser erforderlichen Einstellungen (-GatewayType) gibt an, ob das Gateway für ExpressRoute- oder für VPN-Datenverkehr verwendet wird. Die zwei Gatewaytypen sind:

  • Vpn: Verwenden Sie Vpn für -GatewayType, um verschlüsselten Datenverkehr über das öffentliche Internet zu senden (auch als VPN-Gateway bezeichnet). Bei Site-to-Site-, Point-to-Site- und VNet-zu-VNet-Verbindungen wird immer ein VPN Gateway verwendet.

  • ExpressRoute: Verwenden Sie ExpressRoute für -GatewayType, um Netzwerkdatenverkehr über eine private Verbindung zu senden (auch als ExpressRoute-Gateway bezeichnet). Dieser Gatewaytyp wird verwendet, wenn Sie ExpressRoute konfigurieren.

Ein virtuelles Netzwerk kann pro Gatewaytyp immer nur über ein einzelnes virtuelles Netzwerkgateway verfügen. So können Sie beispielsweise ein Gateway für virtuelle Netzwerke mit dem Wert Vpn für -GatewayType und ein Gateway für virtuelle Netzwerke mit dem Wert ExpressRoute für -GatewayType verwenden.

Gateway-SKUs

Beim Erstellen eines Gateways des virtuellen Netzwerks müssen Sie die gewünschte Gateway-SKU angeben. Wenn Sie eine höhere Gateway-SKU auswählen, werden dem Gateway mehr CPUs und eine höhere Netzwerkbandbreite zugewiesen. Dadurch kann das Gateway einen höheren Netzwerkdurchsatz an das virtuelle Netzwerk bewältigen.

Virtuelle ExpressRoute-Netzwerkgateways können folgende SKUs verwenden:

  • ERGwScale (Vorschau)
  • Standard
  • HighPerformance
  • UltraPerformance
  • ErGw1Az
  • ErGw2Az
  • ErGw3Az

Wenn Sie Ihr Gateway auf eine SKU mit höherer Kapazität upgraden möchten, können Sie das Tool für die nahtlose Gatewaymigration im Azure-Portal oder in PowerShell verwenden. Folgende Upgrades werden unterstützt:

  • Nicht VZ-fähige SKU mit Basic-IP zu nicht VZ-fähiger SKU mit Standard-IP
  • Nicht VZ-fähige SKU mit Basic-IP zu VZ-fähiger SKU mit Standard-IP
  • Nicht VZ-fähige SKU mit Standard-IP zu VZ-fähiger SKU mit Standard-IP

Weitere Informationen finden Sie unter Migrieren zu einem verfügbarkeitszonenfähigen Gateway.

Für alle anderen Downgradeszenarien müssen Sie das Gateway löschen und neu erstellen, was zu Ausfallzeiten führen kann.

Erstellen des Gatewaysubnetzes

Bevor Sie ein ExpressRoute-Gateway erstellen, müssen Sie ein Gatewaysubnetz erstellen. Die VMs und Dienste des Gateways für virtuelle Netzwerke verwenden IP-Adressen aus dem Gatewaysubnetz.

Bei der Erstellung des Gateways des virtuellen Netzwerks, werden Gateway-VMs für das Gatewaysubnetz bereitgestellt und mit den erforderlichen Einstellungen für das ExpressRoute-Gateway konfiguriert. Stellen Sie im Gatewaysubnetz nie etwas anderes bereit. Das Gatewaysubnetz muss als „GatewaySubnet“ bezeichnet werden, damit es ordnungsgemäß funktioniert. Dadurch wird Azure angewiesen, die VMs und Dienste des Gateways für virtuelle Netzwerke in diesem Subnetz bereitzustellen.

Hinweis

  • Benutzerdefinierte Routen mit dem Ziel 0.0.0.0/0 und Netzwerksicherheitsgruppen (NSGs) im Gatewaysubnetz werden nicht unterstützt. Gateways mit dieser Konfiguration können nicht erstellt werden. Gateways benötigen für die ordnungsgemäße Funktion Zugriff auf die Verwaltungscontroller. Die Routenverteilung mit dem Border Gateway Protocol (BGP) sollte im Gatewaysubnetz aktiviert werden, um die Verfügbarkeit des Gateways sicherzustellen. Wenn die BGP-Routenverteilung deaktiviert ist, funktioniert das Gateway nicht.

  • Diagnose, Datenpfad und Steuerungspfad können betroffen sein, wenn sich eine benutzerdefinierte Route mit dem Subnetzbereich des Gateways oder dem öffentlichen IP-Bereich des Gateways überschneidet.

  • Es wird nicht empfohlen, Azure DNS Private Resolver in einem virtuellen Netzwerk einzusetzen, das über ein virtuelles ExpressRoute-Netzwerk-Gateway verfügt, und Wildcard-Regeln festzulegen, um alle Namensauflösungen an einen bestimmten DNS-Server zu leiten. Eine solche Konfiguration kann zu Konnektivitätsproblemen bei der Verwaltung führen.

Bei der Gatewayerstellung geben Sie die Anzahl der im Subnetz enthaltenen IP-Adressen an. Die IP-Adressen im Gatewaysubnetz werden den Gatewaydiensten und -VMs zugeordnet. Einige Konfigurationen erfordern mehr IP-Adressen als andere.

Beziehen Sie sich beim Planen der Größe Ihres Gatewaysubnetzes auf die Dokumentation für die Konfiguration, die Sie erstellen möchten. Beispielsweise erfordert die Konfiguration für die parallele Ausführung von ExpressRoute/VPN Gateway ein größeres Subnetz als die meisten anderen Konfigurationen. Stellen Sie zusätzlich sicher, dass Ihr Gatewaysubnetz über genügend IP-Adressen verfügt, um eventuelle zukünftige Konfigurationen zu ermöglichen.

Es empfiehlt sich, ein Gatewaysubnetz mit /27 oder größer zu erstellen. Wenn Sie 16 ExpressRoute-Leitungen mit Ihrem Gateway verbinden möchten, müssen Sie ein Gatewaysubnetz mit einer Größe von mindestens /26 erstellen. Wenn Sie ein Gatewaysubnetz mit dualem Stapel erstellen, empfiehlt es sich, auch einen IPv6-Bereich von /64 oder größer zu verwenden. Diese Einrichtung ermöglicht die meisten Konfigurationen.

Im folgenden Azure Resource Manager-PowerShell-Beispiel wird ein Gatewaysubnetz mit dem Namen „GatewaySubnet“ gezeigt. Sie erkennen, das mit der CIDR-Notation (Classless Interdomain Routing) die Größe /27 angegeben wird. Dies ist für eine ausreichende Anzahl von IP-Adressen für die meisten derzeit üblichen Konfigurationen groß genug.

Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 10.0.3.0/27

Wichtig

NSGs im Gatewaysubnetz werden nicht unterstützt. Das Zuordnen einer Netzwerksicherheitsgruppe zu diesem Subnetz könnte dazu führen, dass Ihr virtuelles Netzwerkgateway (VPN- und ExpressRoute-Gateways) nicht mehr wie erwartet funktioniert. Weitere Informationen zu Netzwerksicherheitsgruppen finden Sie unter Filtern des Netzwerkdatenverkehrs mit Netzwerksicherheitsgruppen.

Einschränkungen und Leistung des virtuellen Netzwerkgateways

Featureunterstützung nach Gateway-SKU

Die folgende Tabelle zeigt die Features, die von den einzelnen Gatewaytypen unterstützt werden, und die maximale Anzahl von ExpressRoute-Leitungsverbindungen, die jede Gateway-SKU unterstützt.

Gateway-SKU Koexistenz von VPN Gateway und ExpressRoute FastPath Maximale Anzahl von Leitungsverbindungen
Standard-SKU/ERGw1Az Ja Nein 4
Hochleistungs-SKU/ERGw2Az Ja Nein 8
Höchstleistungs-SKU/ErGw3AZ Ja Ja 16
ErGwScale (Vorschau) Ja Ja – mindestens 10 Skalierungseinheiten 4 – mindestens 1 Skalierungseinheit
8 – mindestens 2 Skalierungseinheiten
16 – mindestens 10 Skalierungseinheiten

Hinweis

Die maximale Anzahl von ExpressRoute-Verbindungen vom gleichen Peeringstandort, die eine Verbindung mit demselben virtuellen Netzwerk herstellen können, beträgt 4 für alle Gateways.

Geschätzte Leistungen nach Gateway-SKU

In den folgenden Tabellen finden Sie eine Übersicht über die verschiedenen Arten von Gateways, ihre jeweiligen Einschränkungen und die erwarteten Leistungsmetriken. Diese Werte wurden unter den folgenden Testbedingungen abgeleitet und stellen die maximal unterstützten Grenzwerte dar. Die tatsächliche Leistung kann abhängig davon variieren, wie genau diese Testbedingungen vom Datenverkehr repliziert werden.

Testbedingungen

Gateway-SKU Datenverkehr aus der lokalen Umgebung Anzahl der vom Gateway angekündigten Routen Anzahl der vom Gateway erlernten Routen
Standard/ERGw1Az 1 GBit/s 500 4\.000
Hochleistung/ERGw2Az 2 GBit/s 500 9\.500
Höchstleistung/ErGw3Az 10 GBit/s 500 9\.500
ErGwScale (pro Skalierungseinheit) 1 GBit/s 500 4\.000

Hinweis

ExpressRoute kann bis zu 11.000 Routen unterstützen, die Adressräume virtueller Netzwerke, lokale Netzwerke und relevante Verbindungen für das Peering virtueller Netzwerke umfassen. Um die Stabilität Ihrer ExpressRoute-Verbindung zu gewährleisten, sollten Sie nicht mehr als 11.000 Routen für ExpressRoute anzeigen.

Leistungsergebnisse

Diese Tabelle betrifft sowohl das Azure Resource Manager-Bereitstellungsmodell als auch das klassische Bereitstellungsmodell.

Gateway-SKU Megabits pro Sekunde Pakete pro Sekunde Unterstützte Anzahl der VMs im virtuellen Netzwerk 1 Limit an Datenflüssen
Standard/ERGw1Az 1.000 100.000 2.000 200.000
Hochleistung/ERGw2Az 2\.000 200.000 4\.500 400.000
Höchstleistung/ErGw3Az 10.000 1\.000.000 11.000 1\.000.000
ErGwScale (pro Skalierungseinheit) 1.000 100.000 2.000 100.000 pro Skalierungseinheit

1 Die Werte in der Tabelle sind Schätzungen und variieren je nach CPU-Auslastung des Gateways. Wenn die CPU-Auslastung hoch ist und die Anzahl der unterstützten VMs überschritten wird, beginnt das Gateway mit dem Verwerfen von Paketen.

Wichtig

  • Die Anwendungsleistung hängt von mehreren Faktoren ab, z. B. der End-to-End-Latenz und der Anzahl der Datenverkehrsflüsse, die von der Anwendung geöffnet werden. Die Zahlen in der Tabelle stellen die Obergrenze dar, die die Anwendung theoretisch in einer idealen Umgebung erzielen kann. Darüber hinaus führen wir routinemäßige Host- und Betriebssystemwartungen bei ExpressRoute-Gateways für virtuelle Netzwerke aus, um die Zuverlässigkeit des Diensts aufrechtzuerhalten. Während eines Wartungszeitraums werden die Steuerungsebene und die Datenpfadkapazität des Gateways reduziert.
  • Während eines Wartungszeitraums können zeitweilige Konnektivitätsprobleme mit privaten Endpunktressourcen auftreten.
  • ExpressRoute unterstützt eine maximale TCP- und UDP-Paketgröße von 1.400 Bytes. Pakete, die größer als 1.400 Bytes sind, werden fragmentiert.
  • Azure Route Server kann bis zu 4.000 VMs unterstützen. Dieser Grenzwert umfasst VMs in virtuellen Netzwerken, die per Peering miteinander verknüpft sind. Weitere Informationen finden Sie unter Einschränkungen für Azure Route Server.

SKUs für zonenredundante Gateways

Sie können ExpressRoute-Gateways auch in Azure-Verfügbarkeitszonen bereitstellen. Das physische und logische Trennen der Gateways in Verfügbarkeitszonen trägt dazu bei, die Konnektivität Ihrer lokalen Netzwerke mit Azure vor Fehlern auf Zonenebene zu schützen.

Diagramm der Bereitstellung von ExpressRoute-Gateways in Azure-Verfügbarkeitszonen

Zonenredundante Gateways verwenden bestimmte neue Gateway-SKUs für ExpressRoute-Gateway:

  • ErGw1AZ
  • ErGw2AZ
  • ErGw3AZ
  • ErGwScale (Vorschau)

Die neuen Gateway-SKUs unterstützen zudem andere Bereitstellungsoptionen, die Ihre Anforderungen am besten zu erfüllen. Wenn Sie ein Gateway für virtuelle Netzwerke mit den neuen Gateway-SKUs erstellen, können Sie das Gateway in einer bestimmten Zone bereitstellen. Dieser Gatewaytyp wird als zonenbasiertes Gateway bezeichnet. Wenn Sie ein zonenbasiertes Gateway bereitstellen, werden alle Instanzen des Gateways in derselben Verfügbarkeitszone bereitgestellt.

Informationen zum Migrieren eines ExpressRoute-Gateways finden Sie unter Gatewaymigration.

Skalierbares ExpressRoute-Gateway (Vorschau)

Die ErGwScale-SKU für Gateways für virtuelle Netzwerke ermöglicht Ihnen, Konnektivität mit 40 GBit/s für VMs und private Endpunkte im virtuellen Netzwerk zu erzielen. Mit dieser SKU können Sie eine minimale und maximale Skalierungseinheit für die Infrastruktur des Gateways für virtuelle Netzwerke festlegen, die basierend auf der aktiven Bandbreite oder der Anzahl Datenflüsse automatisch skaliert wird. Sie können auch eine feste Skalierungseinheit festlegen, um eine konstante Konnektivität bei einem gewünschten Bandbreitenwert aufrechtzuerhalten.

Bereitstellung von Verfügbarkeitszonen und regionale Verfügbarkeit

ErGwScale unterstützt sowohl zonale als auch zonenredundante Bereitstellungen in Azure-Verfügbarkeitszonen. Weitere Informationen zu diesen Konzepten sind in der Dokumentation Zonale und zonenredundante Dienste enthalten.

Die öffentliche Vorschau ist in den folgenden Regionen verfügbar:

  • Australien (Osten)
  • Brasilien Süd
  • Kanada, Mitte
  • East US
  • Asien, Osten
  • Frankreich, Mitte
  • Deutschland, Westen-Mitte
  • Indien, Mitte
  • Italien, Norden
  • Nordeuropa
  • Norwegen, Osten
  • Schweden, Mitte
  • Vereinigte Arabische Emirate, Norden
  • UK, Süden
  • USA, Westen 2
  • USA, Westen 3

Automatische Skalierung im Vergleich zu festen Skalierungseinheiten

Die Infrastruktur des Gateways für virtuelle Netzwerke skaliert automatisch zwischen der minimalen und der maximalen Skalierungseinheit, die Sie basierend auf der Bandbreitenauslastung oder der Anzahl Datenflüsse konfigurieren. Skalierungsvorgänge können bis zu 30 Minuten dauern. Wenn Sie eine feste Konnektivität mit einem bestimmten Bandbreitenwert erzielen möchten, können Sie eine feste Skalierungseinheit konfigurieren, indem Sie die minimale Skalierungseinheit und die maximale Skalierungseinheit auf denselben Wert festlegen.

Begrenzungen

  • Basic-IP: ErGwScale unterstützt die Basic-IP-SKU nicht. Sie müssen eine Standard IP-SKU verwenden, um ErGwScale zu konfigurieren.
  • Minimale und maximale Skalierungseinheiten: Sie können die Skalierungseinheit für ErGwScale zwischen 1 und 40 konfigurieren. Die minimale Skalierungseinheit darf nicht niedriger als 1 sein, und die maximale Skalierungseinheit darf nicht höher als 40 sein.
  • Migrationsszenarien: Sie können in der Vorschau nicht von Standard/ErGw1Az oder HighPerf/ErGw2Az/UltraPerf/ErGw3Az zu ErGwScale migrieren.

Preise

ErGwScale ist während der Vorschau kostenlos. Informationen zu ExpressRoute-Preisen finden Sie unter Azure ExpressRoute-Preise.

Unterstützte Leistung pro Skalierungseinheit

Skalierungseinheit Bandbreite (GBit/s) Pakete pro Sekunde Verbindungen pro Sekunde Maximale VM-Verbindungen 1 Maximale Anzahl der Flows
1 - 10 1 100.000 7\.000 2,000 100.000
11-40 1 100.000 7\.000 1\.000 100.000

Beispielleistung mit Skalierungseinheit

Skalierungseinheit Bandbreite (GBit/s) Pakete pro Sekunde Verbindungen pro Sekunde Maximale VM-Verbindungen 1 Maximale Anzahl der Flows
10 10 1\.000.000 70.000 20.000 1\.000.000
20 20 2\.000.000 140.000 30.000 2\.000.000
40 40 4\.000.000 280 000 50.000 4\.000.000

1 Maximale VM-Verbindungen werden ab 10 Skalierungseinheiten anders skaliert. Die ersten 10 Skalierungseinheiten bieten Kapazität für 2.000 VMs pro Skalierungseinheit. Die Skalierungseinheiten 11 und höher bieten 1.000 mehr VM-Kapazität pro Skalierungseinheit.

VNet-zu-VNet- und VNet-zu-Virtual WAN-Konnektivität

Standardmäßig ist die VNet-zu-VNet- und VNet-zu-Virtual WAN-Konnektivität über eine ExpressRoute-Leitung für alle Gateway-SKUs deaktiviert. Um diese Konnektivität zu aktivieren, müssen Sie das ExpressRoute-VNet-Gateway so konfigurieren, dass dieser Datenverkehr zugelassen wird. Weitere Informationen finden Sie unter Konnektivität zwischen virtuellen Netzwerken über ExpressRoute. Weitere Informationen zum Aktivieren dieses Datenverkehrs finden Sie unter Aktivieren oder Deaktivieren von VNet-zu-VNet- oder VNet-zu-Virtual WAN-Konnektivität über ExpressRoute.

FastPath

Das ExpressRoute-Gateway für virtuelle Netzwerke wurde entwickelt, um Netzwerkrouten auszutauschen und den Netzwerkdatenverkehr zu steuern. FastPath wurde entwickelt, um die Datenpfadleistung zwischen Ihrem lokalen und dem virtuellen Netzwerk zu verbessern. Wenn FastPath aktiviert ist, wird der Netzwerkdatenverkehr direkt an VMs im virtuellen Netzwerk gesendet und dabei das Gateway umgangen.

Weitere Informationen zu FastPath, einschließlich Einschränkungen und Anforderungen, finden Sie unter Informationen zu FastPath.

Verbindung zu privaten Endpunkten

Das virtuelle Netzwerkgateway mit ExpressRoute unterstützt die Konnektivität mit privaten Endpunkten, die im gleichen virtuellen Netzwerk wie das virtuelle Netzwerkgateway und über das Peering virtueller Netzwerke bereitgestellt werden.

Wichtig

  • Der Durchsatz und die Kapazität auf Steuerungsebene für Verbindungen mit privaten Endpunktressourcen können im Vergleich zu Verbindungen mit Ressourcen, die keine privaten Endpunkte sind, um die Hälfte reduziert sein.
  • Während eines Wartungszeitraums können zeitweilige Konnektivitätsprobleme mit privaten Endpunktressourcen auftreten.
  • Sie müssen sicherstellen, dass die lokale Konfiguration (einschließlich Router- und Firewalleinstellungen) korrekt ist, damit Pakete für das IP-5-Tupel über einen einzigen nächsten Hop (Microsoft Enterprise Edge-Router) übertragen werden, sofern kein Wartungsereignis vorliegt. Wenn Ihre lokale Firewall- oder Routerkonfiguration dazu führt, dass dasselbe IP-5-Tupel häufig zwischen den nächsten Hops wechselt, treten Konnektivitätsprobleme auf.

Private Endpunktkonnektivität und geplante Wartungsereignisse

Verbindungen mit privaten Endpunkten sind zustandsbehaftet. Wenn eine Verbindung mit einem privaten Endpunkt über das private ExpressRoute-Peering hergestellt wird, werden ein- und ausgehende Verbindungen über eine der Back-End-Instanzen der Gatewayinfrastruktur weitergeleitet. Während eines Wartungsereignisses werden Back-End-Instanzen der Infrastruktur des Gateways für virtuelle Netzwerke einzeln neu gestartet, was zu Problemen durch unterbrochene Verbindungen führen kann.

Um Konnektivitätsprobleme mit privaten Endpunkten während Wartungsarbeiten zu vermeiden oder zu minimieren, wird empfohlen, den TCP-Timeout-Wert für Ihre lokalen Anwendungen auf einen Wert zwischen 15 und 30 Sekunden festzulegen. Testen und konfigurieren Sie den optimalen Wert auf der Grundlage Ihrer Anwendungsanforderungen.

REST-APIs und PowerShell-Cmdlets

Zusätzliche technische Ressourcen und spezielle Syntaxanforderungen beim Verwenden von REST-APIs und PowerShell-Cmdlets für Konfigurationen für Gateways für virtuelle Netzwerke finden Sie auf den folgenden Seiten:

Klassisch Ressourcen-Manager
PowerShell PowerShell
REST-API REST-API

VNet-to-VNet-Konnektivität

Standardmäßig sind die Verbindungen zwischen virtuellen Netzwerken aktiviert, wenn Sie mehrere virtuelle Netzwerke mit demselben ExpressRoute-Schaltkreis verknüpfen. Es wird empfohlen, Ihre ExpressRoute-Leitung nicht für die Kommunikation zwischen virtuellen Netzwerken zu verwenden. Sie sollten stattdessen das Peering virtueller Netzwerke verwenden. Weitere Informationen dazu, warum die VNet-zu-VNet-Konnektivität über ExpressRoute nicht empfohlen wird, finden Sie unter Konnektivität zwischen virtuellen Netzwerken über ExpressRoute.

Peering in virtuellen Netzwerken

Ein virtuelles Netzwerk mit einem ExpressRoute-Gateway kann Peering virtueller Netzwerke mit bis zu 500 anderen virtuellen Netzwerken nutzen. Das Peering virtueller Netzwerke ohne ExpressRoute-Gateway kann eine höhere Peeringeinschränkung aufweisen.

Zugehöriger Inhalt