Migrar para um novo circuito do ExpressRoute
Se você quiser mudar de um circuito de ExpressRoute para outro, convém fazê-lo sem problemas com o mínimo de interrupção do serviço. Este documento ajuda você a seguir as etapas para migrar seu tráfego de produção sem causar grandes interrupções ou riscos. Você pode usar esse método se estiver mudando para um novo ou mesmo local de emparelhamento.
Se você tiver seu circuito de ExpressRoute por meio de um provedor de serviços de Camada 3, crie o novo circuito em sua assinatura no portal do Azure. Trabalhe com seu provedor de serviços para alternar o tráfego perfeitamente para o novo circuito. Depois que o provedor de serviços tiver desprovisionado seu circuito antigo, exclua-o do portal do Azure.
O restante do artigo se aplica a você se você tiver seu circuito de ExpressRoute por meio de um provedor de serviços de Camada 2 ou portas diretas de ExpressRoute.
Etapas para a migração perfeita do circuito do ExpressRoute
O diagrama acima ilustra o processo de migração de um circuito de ExpressRoute existente, referido como Circuito A, para um novo circuito de ExpressRoute, referido como Circuito B. O Circuito B pode estar no mesmo local de emparelhamento ou em um local de emparelhamento diferente do Circuito A. O processo de migração consiste nas seguintes etapas:
Implantar o Circuito B isoladamente: enquanto o tráfego continua a fluir pelo Circuito A, implante um novo Circuito B sem afetar o ambiente de produção.
Bloquear o fluxo de tráfego de produção no Circuito B: impedir que qualquer tráfego use o Circuito B até que ele seja totalmente testado e validado.
Conclua e valide a conectividade de ponta a ponta do Circuito B:garanta que o Circuito B possa estabelecer e manter uma conexão estável e segura com todos os ponto de extremidades necessários.
Alternar o tráfego: redirecione o fluxo de tráfego do Circuito A para o Circuito B e bloquear o fluxo de tráfego sobre o Circuito A.
Descomissione o Circuito A: remova o Circuito A da rede e libere seus recursos.
Implantar novo circuito de forma isolada
Para uma substituição um-para-um do circuito existente, selecione a opção Resiliência Padrão e siga as etapas descritas no guia Criar um circuito com o ExpressRoute para criar seu novo circuito do ExpressRoute (Circuito B) no local de emparelhamento desejado. Em seguida, siga as etapas em Configurar emparelhamento para circuito de ExpressRoute para configurar os tipos de emparelhamento necessários: privado e Microsoft.
Para impedir que o tráfego de produção de emparelhamento privado use o Circuito B antes de testá-lo e validá-lo, não vincule o gateway de rede virtual que tenha implantação de produção ao Circuito B. Da mesma forma, para evitar que o tráfego de produção de emparelhamento da Microsoft use o Circuito B, não associe um filtro de rota ao Circuito B.
Bloquear o fluxo de tráfego de produção sobre o circuito recém-criado
Impedir o anúncio de rota sobre o(s) novo(s) emparelhamento(s) nos dispositivos CE.
Para o Cisco IOS, você pode usar um route-map e um prefix-list para filtrar as rotas anunciadas em um emparelhamento BGP. O exemplo a seguir mostra como criar e aplicar um route-map e um prefix-list para essa finalidade:
route-map BLOCK ADVERTISEMENTS deny 10
match ip address prefix-list BLOCK-ALL-PREFIXES
ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32
router bgp <your_AS_number>
neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS out
neighbor <neighbor_IP_address> route-map BLOCK-ADVERTISEMENTS in
Use a política de exportação/importação para filtrar as rotas anunciadas e recebidas no(s) novo(s) emparelhamento(s) nos dispositivos Junos. O exemplo a seguir mostra como configurar a política de exportação/importação para essa finalidade:
user@router>show configuration policy-options policy-statement BLOCK-ALL-ROUTES
term reject-all {
the reject;
}
protocols {
bgp {
group <your_group_name> {
neighbor <neighbor_IP_address> {
export [ BLOCK-ALL-ROUTES ];
import [ BLOCK-ALL-ROUTES ];
}
}
}
}
Validar a conectividade de ponta a ponta do circuito recém-criado
Emparelhamento privado
Siga as etapas em Conectar uma rede virtual a um circuito de ExpressRoute para vincular o novo circuito ao gateway de uma rede virtual de teste e verificar sua conectividade de emparelhamento privado. Depois de vincular redes virtuais ao circuito, examine a tabela de rotas do emparelhamento privado do circuito e verifique se o espaço de endereço da rede virtual está incluído na tabela. O exemplo a seguir mostra uma tabela de rotas do emparelhamento privado de um circuito de ExpressRoute no Portal de Gerenciamento do Azure:
O diagrama a seguir ilustra uma VM de teste configurada em uma rede virtual de teste e um dispositivo de teste localizado no local para verificar a conectividade pelo emparelhamento privado do ExpressRoute.
Modifique o mapa de rotas ou a configuração de política que você aplicou para filtrar as rotas anunciadas e permitir que o endereço IP específico do dispositivo de teste seja local. Da mesma forma, permita o espaço de endereço da rede virtual de teste do Azure.
route-map BLOCK ADVERTISEMENTS permit 5
match ip address prefix-list PERMIT-ROUTE
route-map BLOCK ADVERTISEMENTS deny 10
match ip address prefix-list BLOCK-ALL-PREFIXES
ip prefix-list PERMIT-ROUTE seq 10 permit 10.17.1.0/24
ip prefix-list PERMIT-ROUTE seq 20 permit 10.1.18.10/32
ip prefix-list BLOCK-ALL-PREFIXES seq 10 deny 0.0.0.0/0 le 32
Para permitir prefixos IP específicos para dispositivos de teste no Junos, configure uma lista de prefixos. Em seguida, configure a política de importação/exportação de BGP para permitir esses prefixos e rejeitar todo o resto.
user@router>show configuration policy-options policy-statement BLOCK-ADVERTISEMENTS
term PERMIT-ROUTES {
from {
prefix-list PERMIT-ROUTE;
}
then accept;
}
term reject-all {
then reject;
}
user@router>show configuration policy-options prefix-list PERMIT-ROUTE
10.1.18.10/32;
10.17.1.0/24;
Verifique a conectividade de ponta a ponta sobre o emparelhamento privado. Por exemplo, você pode executar ping na VM de teste no Azure a partir do seu dispositivo de teste local e verificar os resultados. Para obter validação detalhada passo a passo, consulte Verificando a conectividade do ExpressRoute.
Emparelhamento da Microsoft
A verificação do emparelhamento da Microsoft requer um planejamento cuidadoso para evitar qualquer efeito no tráfego de produção. Você precisa usar prefixos distintos para o emparelhamento Microsoft do Circuito B que são diferentes dos usados para o Circuito A, para evitar quaisquer conflitos de roteamento entre os dois circuitos. Você também precisa vincular o emparelhamento Microsoft do Circuito B a um filtro de rota separado daquele vinculado ao Circuito A, seguindo as etapas em configurando filtros de rota para emparelhamento da Microsoft. Além disso, você precisa garantir que os filtros de rota para ambos os circuitos não tenham rotas comuns anunciadas para a rede local, para evitar o roteamento assimétrico entre o Circuito A e o Circuito B. Para conseguir isso, você pode:
- selecione um serviço ou uma região do Azure para testar o Circuito B que não seja usado pelo tráfego de produção no Circuito A, ou
- minimize a sobreposição entre os dois filtros de rota e permita apenas pontos de extremidade públicos de teste mais específicos recebidos por meio do Circuito B
Depois de vincular um filtro de rotas, você precisa verificar as rotas que são anunciadas e recebidas pelo emparelhamento BGP no dispositivo CE. Para filtrar as rotas anunciadas e permitir apenas os prefixos locais do emparelhamento da Microsoft e o endereço IP específico dos pontos de extremidade públicos da Microsoft selecionados para teste, você precisa modificar o mapa de rotas ou a configuração de diretiva Junos que você aplicou.
Para testar a conectividade com pontos de extremidade do Microsoft 365, siga as etapas em Implementando o ExpressRoute para Microsoft 365 – Crie seus procedimentos de teste. Para pontos de extremidade públicos do Azure, você pode começar com testes básicos de conectividade, como traceroute do local, e verificar se a solicitação ultrapassa os pontos de extremidade do ExpressRoute. Além dos pontos de extremidade do ExpressRoute, as mensagens ICMP são suprimidas pela rede da Microsoft. Você também pode testar a conectividade no nível do aplicativo, além de testes básicos de ping. Por exemplo, se você tiver uma VM do Azure com IP público do Azure executando um servidor Web, poderá tentar acessar o IP público do servidor Web de sua rede local por meio da conexão de ExpressRoute. Isso ajuda a confirmar que o tráfego mais complexo, como solicitações HTTP, pode chegar aos serviços do Azure.
Alternar o tráfego de produção
Emparelhamento privado
- Desconecte o Circuito B de qualquer gateway de rede virtual de teste ao qual você o conectou.
- Remova todas as exceções que você fez aos mapas de rotas da Cisco ou à política Junos.
- Siga as etapas em Conectar uma rede virtual a um circuito de ExpressRoute e conecte o Circuito B ao(s) gateway(s) de rede virtual de produção.
- No CE, certifique-se de que você está pronto para anunciar todas as rotas que você está anunciando atualmente no Circuito A, no Circuito B quando remover o mapa de rotas ou a política aplicada às interfaces do Circuito B no CE. Isso também inclui garantir que as interfaces do Circuito B estejam associadas ao VRF apropriado ou à instância de roteamento, se houver.
- Remova os mapas de rota ou a política nas interfaces do Circuito B. Aplique os mapas de rota ou a política nas interfaces do Circuito A para bloquear o anúncio de rota no Circuito A. Isso mudará o fluxo de tráfego no Circuito B.
- Verifique o fluxo de tráfego no Circuito B. Se a verificação falhar, desfaça a associação de mapa de rota ou firewall que você fez na etapa anterior e alterne o fluxo de tráfego de volta pelo Circuito A.
- Se a verificação do fluxo de tráfego no Circuito B for bem-sucedida, exclua o Circuito A.
Emparelhamento da Microsoft
- Remova o Circuito B de qualquer filtro de rota do Azure de teste ao qual você o vinculou.
- Remova todas as exceções feitas aos mapas de rotas ou à política.
- No CE, verifique se a interface do Circuito B está associada ao VRF ou à instância de roteamento apropriados.
- Valide e confirme o prefixo anunciado sobre o emparelhamento da Microsoft.
- Associe o emparelhamento do Circuito B da Microsoft ao filtro de rotas do Azure atualmente associado ao Circuito A.
- Remova os mapas de rota ou a política de exportação/importação nas interfaces do Circuito B. Aplique os mapas de rota ou a política de exportação/importação nas interfaces do Circuito A para bloquear o anúncio de rota no Circuito A. Isso mudará o fluxo de tráfego no Circuito B.
- Verifique o fluxo de tráfego no Circuito B. Se a verificação falhar, desfaça o mapa de rota ou a associação de política que você fez na etapa anterior e alterne o fluxo de tráfego novamente no Circuito A.
- Se a verificação do fluxo de tráfego no Circuito B for bem-sucedida, exclua o Circuito A.
Próxima etapa
Para obter mais informações sobre a configuração do roteador, consulte Exemplos de configuração do roteador para configurar e gerenciar o roteamento.