Configuration requise pour le routage ExpressRoute

Pour vous connecter aux services cloud Microsoft à l’aide d’ExpressRoute, vous devez configurer et gérer le routage. Certains fournisseurs de connectivité proposent la configuration et la gestion du routage comme un service géré. Vérifiez auprès de votre fournisseur de connectivité s’il offre ce service. Si ce n’est pas le cas, vous devez respecter les conditions suivantes :

Pour obtenir une description des sessions de routage qui doivent être configurées afin d’établir la connectivité, reportez-vous à l’article Circuits et domaines de routage.

Adresses IP utilisées pour le peering

Vous devez réserver quelques blocs d’adresses IP pour configurer le routage entre votre réseau et les routeurs Microsoft Enterprise Edge (MSEE). Cette section fournit une liste des conditions requises et décrit les règles relatives à la façon dont ces adresses IP doivent être acquises et utilisées.

Adresses IP utilisées pour le peering privé Azure

Pour configurer le peering, vous pouvez utiliser des adresses IP privées ou publiques. La plage d’adresses utilisée pour configurer des routages ne peut pas chevaucher les plages d’adresses utilisées pour des réseaux virtuels dans Azure.

• IPv4 :
  • Vous devez réserver un sous-réseau /29 ou deux sous-réseaux /30 pour les interfaces de routage.
  • Les sous-réseaux utilisés pour le routage peuvent être des adresses IP privées ou publiques.
  • Les sous-réseaux ne doivent pas entrer en conflit avec la plage réservée par le client pour une utilisation dans le cloud Microsoft.
  • Si un sous-réseau /29 est utilisé, il est divisé en deux sous-réseaux /30.
    • Le premier sous-réseau /30 est utilisé pour la liaison principale, et le second sous-réseau /30 est utilisé pour la liaison secondaire.
    • Pour chacun des sous-réseaux /30, vous devez utiliser la première adresse IP du sous-réseau /30 pour votre routeur. Microsoft utilise la deuxième adresse IP du sous-réseau /30 pour configurer une session BGP.
    • Vous devez configurer les deux sessions BGP pour que le contrat SLA de disponibilité soit valide.
• IPv6 :
  • Vous devez réserver un sous-réseau /125 ou deux sous-réseaux /126 pour les interfaces de routage.
  • Les sous-réseaux utilisés pour le routage peuvent être des adresses IP privées ou publiques.
  • Les sous-réseaux ne doivent pas entrer en conflit avec la plage réservée par le client pour une utilisation dans le cloud Microsoft.
  • Si un sous-réseau /125 est utilisé, il est divisé en deux sous-réseaux /126.
    • Le premier sous-réseau /126 est utilisé pour la liaison principale, et le second sous-réseau /126 est utilisé pour la liaison secondaire.
    • Pour chacun des sous-réseaux /126, vous devez utiliser la première adresse IP du sous-réseau /126 pour votre routeur. Microsoft utilise la deuxième adresse IP du sous-réseau /126 pour configurer une session BGP.
    • Vous devez configurer les deux sessions BGP pour que le contrat SLA de disponibilité soit valide.

Exemple pour le peering privé

Si vous choisissez d’utiliser un sous-réseau a.b.c.d/29 pour configurer le peering, il est divisé en deux sous-réseaux /30. Dans l’exemple suivant, notez que le sous-réseau a.b.c.d/29 est utilisé :

• a.b.c.d/29 est scindé en a.b.c.d/30 et a.b.c.d+4/30, puis transmis à Microsoft via les API d’approvisionnement.
  • Utilisez a.b.c.d+1 comme adresse IP VRF pour le PE principal et Microsoft utilisera a.b.c.d+2 comme adresse IP VRF pour le routeur MSEE principal.
  • Utilisez a.b.c.d+5 comme adresse IP VRF pour le PE secondaire et Microsoft utilisera a.b.c.d+6 comme adresse IP VRF pour le routeur MSEE secondaire.

Imaginez que vous sélectionnez 192.168.100.128/29 pour configurer le peering privé. 192.168.100.128/29 inclut les adresses de 192.168.100.128 à 192.168.100.135, parmi lesquelles :

• 192.168.100.128/30 est attribué à link1, le fournisseur utilisera 192.168.100.129, tandis que Microsoft utilisera 192.168.100.130.
• 192.168.100.132/30 est attribué à link2, le fournisseur utilisera 192.168.100.133, tandis que Microsoft utilisera 192.168.100.134.

Adresses IP utilisées pour le peering Microsoft

Vous devez utiliser des adresses IP publiques que vous possédez pour configurer les sessions BGP. Microsoft doit être en mesure de vérifier la propriété des adresses IP via les Registres Internet de routage régional (RIR) et les Registres Internet de routage (IRR).

• Les adresses IP répertoriées dans le portail pour les préfixes publics publiés pour le peering Microsoft créent les listes de contrôle d’accès pour les routeurs principaux Microsoft pour autoriser le trafic entrant à partir de ces adresses IP.
• Vous devez utiliser un sous-réseau unique /29 (IPv4) ou /125 (IPv6), ou bien deux sous-réseaux /30 (IPv4) ou /126 (IPv6) afin de configurer le peering BGP pour chaque peering par circuit ExpressRoute, si vous en avez plusieurs.
• Si un sous-réseau /29 est utilisé, il est divisé en deux sous-réseaux /30.
• Le premier sous-réseau /30 est utilisé pour la liaison principale, et le second sous-réseau /30 est utilisé pour la liaison secondaire.
• Pour chacun des sous-réseaux /30, vous devez utiliser la première adresse IP du sous-réseau /30 sur votre routeur. Microsoft utilise la deuxième adresse IP du sous-réseau /30 pour configurer une session BGP.
• Si un sous-réseau /125 est utilisé, il est divisé en deux sous-réseaux /126.
• Le premier sous-réseau /126 est utilisé pour la liaison principale, et le second sous-réseau /126 est utilisé pour la liaison secondaire.
• Pour chacun des sous-réseaux /126, vous devez utiliser la première adresse IP du sous-réseau /126 sur votre routeur. Microsoft utilise la deuxième adresse IP du sous-réseau /126 pour configurer une session BGP.
• Vous devez configurer les deux sessions BGP pour que notre contrat SLA de disponibilité soit valide.

Spécification d’adresse IP publique

Peering privé

Vous pouvez choisir d’utiliser des adresses IPv4 publiques ou privées pour le peering privé. Nous fournissons une isolation de bout en bout du trafic. Ainsi, le chevauchement des adresses avec d’autres clients n’est pas possible pour le peering privé. Ces adresses ne sont pas publiées sur Internet.

Peering Microsoft

Le chemin d’accès de peering Microsoft vous permet de vous connecter aux services de cloud computing Microsoft. La liste des services comprend les services Microsoft 365, notamment Exchange Online, SharePoint Online, Skype Entreprise et Microsoft Teams. Microsoft prend en charge la connectivité bidirectionnelle sur le peering Microsoft. Le trafic destiné aux services de cloud Microsoft doit utiliser des adresses IPv4 publiques valides avant leur entrée sur le réseau Microsoft.

Assurez-vous que votre adresse IP et votre numéro AS sont enregistrés à votre nom dans l’un des registres ci-dessous :

• ARIN
• APNIC
• AFRINIC
• LACNIC
• RIPENCC
• RADB
• ALTDB

Si vos préfixes et le numéro AS ne vous sont pas affectés dans les registres précédents, vous devez ouvrir un dossier de support pour valider manuellement vos préfixes et votre numéro AS. La prise en charge requiert un document, tel qu’une lettre d’autorisation, qui prouve que vous êtes autorisé à utiliser ce préfixe.

Un numéro AS privé est autorisé avec le peering Microsoft, mais nécessite une validation manuelle. Nous supprimons également les numéros AS privés dans le chemin AS PATH pour les préfixes reçus. En conséquence, vous ne pouvez pas ajouter de numéros AS privés au chemin AS PATH pour influencer le routage pour le peering Microsoft. En outre, les numéros AS 64496-64511 réservés par IANA pour la documentation ne sont pas autorisés dans le chemin d’accès.

Échange de routage dynamique

L’échange de routage s’effectue via le protocole eBGP. Des sessions EBGP sont établies entre les MSEE et les routeurs. L’authentification des sessions BGP n’est pas obligatoire. Si nécessaire, un hachage MD5 peut être configuré. Pour plus d’informations sur la configuration des sessions BGP, consultez Configuration du routage et Workflows d’approvisionnement du circuit et états du circuit.

Numéros système autonomes (ASN)

Microsoft utilise le numéro AS 12076 pour les peerings publics Azure, privés Azure et Microsoft. Nous avons réservé les numéros AS 65515 à 65520 pour un usage interne. Les numéros AS 16 bits et 32 bits sont pris en charge.

Il n’existe aucune exigence concernant une symétrie de transfert des données. Les chemins d’envoi et de réception peuvent transiter par différentes paires de routeurs. Les routages identiques doivent être publiés des deux côtés sur plusieurs paires de circuits vous appartenant. Les métriques de routage n’ont pas à être identiques.

Agrégation de routages et limites de préfixes

ExpressRoute prend en charge jusqu’à 4000 préfixes IPv4 et 100 préfixes IPv6 que Microsoft propose via le peering privé Azure. Cette limite peut être augmentée jusqu’à 10 000 préfixes IPv4 si le module complémentaire ExpressRoute premium est activé. ExpressRoute accepte jusqu’à 200 préfixes par session BGP pour les peerings publics Azure et Microsoft.

La session BGP s’arrête si le nombre de préfixes dépasse la limite. ExpressRoute accepte les routages par défaut uniquement sur le lien de peering privé. Le fournisseur doit filtrer les adresses IP de routage et privées par défaut (RFC 1918) des chemins de peering public Azure et Microsoft.

Routage de transit et routage entre régions

ExpressRoute ne peut pas être configuré comme des routeurs de transit. Vous devez compter sur votre fournisseur de connectivité pour les services de routage de transit.

Publication des routages par défaut

Les routages par défaut sont autorisés uniquement sur les sessions de peering privé Azure. Dans cette situation, ExpressRoute achemine tout le trafic des réseaux virtuels associés vers votre réseau. La publication de routages par défaut dans le peering privé entraîne le blocage du chemin Internet à partir d’Azure. Vous devez compter sur votre matériel edge d’entreprise afin d’acheminer le trafic depuis et vers Internet pour les services hébergés dans Azure.

Certains services ne sont pas accessibles à partir de votre périphérie d’entreprise. Pour activer la connectivité à d’autres services Azure et services d’infrastructure, vous devez utiliser le routage défini par l’utilisateur pour autoriser la connectivité Internet pour chaque sous-réseau nécessitant une connectivité Internet pour ces services.

Prise en charge des communautés BGP

Cette section fournit une vue d'ensemble de l'utilisation des communautés BGP avec ExpressRoute. Microsoft publie des routages sur les chemins de peering privés, Microsoft et publics (déconseillé) avec des routages marqués à l’aide des valeurs de communauté appropriées. La logique de cette procédure et les détails concernant les valeurs de la communauté sont décrits ainsi. Cependant, Microsoft ignore toutes les valeurs de communauté marquées pour des itinéraires qui lui sont proposés.

Pour le peering privé, si vous configurez une valeur de communauté BGP personnalisée sur vos réseaux virtuels Azure, vous verrez cette valeur personnalisée et une valeur de communauté BGP régionale sur les itinéraires Azure annoncés sur votre réseau local sur ExpressRoute.

Pour le peering Microsoft, vous vous connectez à Microsoft via ExpressRoute à n’importe quel emplacement de peering au sein d’une région géopolitique. Vous avez également accès à tous les services cloud Microsoft dans toutes les régions dans la limite géopolitique.

Par exemple, si vous êtes connecté à Microsoft à Amsterdam via ExpressRoute, vous avez accès à tous les services de cloud Microsoft hébergés dans les régions Europe Nord et Europe Ouest.

Reportez-vous à la page Partenaires ExpressRoute et emplacements de peering pour obtenir une liste détaillée des régions géopolitiques, des régions Azure associées et des emplacements de peering ExpressRoute correspondants.

Vous pouvez acheter plusieurs circuits ExpressRoute par région géopolitique. Le fait de disposer de plusieurs connexions vous offre des avantages significatifs en termes de haute disponibilité en raison de la redondance géographique. Si vous avez plusieurs circuits ExpressRoute, vous recevez le même jeu de préfixes publiés par Microsoft sur les chemins du Peering Microsoft. Cette configuration entraîne plusieurs chemins d’accès de votre réseau vers Microsoft. Cette configuration risque de vous faire prendre des décisions de routage non optimales au sein de votre réseau. Et par conséquent, vous risquez de rencontrer des problèmes de connectivité non optimale avec différents services. Vous pouvez compter sur les valeurs fournies par la communauté pour prendre les bonnes décisions en matière de routage et offrir un routage optimal aux utilisateurs.

Tous les routages publiés par Microsoft sont marqués avec la valeur de communauté appropriée.

Service associé à la valeur de communauté BGP

En plus de la balise BGP pour chaque région, Microsoft marque également les préfixes en fonction du service auquel ils appartiennent. Ce balisage ne s’applique qu’au peering Microsoft. Le tableau suivant fournit un mappage d’un service à la valeur de communauté BGP. Vous pouvez exécuter l’applet de commande « Get-AzBgpServiceCommunity » pour obtenir la liste complète des valeurs les plus récentes.

(1) Pour le moment, les services globaux Azure incluent uniquement Azure DevOps.

(2) Autorisation requise de Microsoft. Voir Configurer des filtres de routage pour le peering Microsoft.

(3) Cette communauté publie également les itinéraires nécessaires pour les services Microsoft Team.

(4) CRM Online prend en charge Dynamics v8.2 et versions antérieures. Pour les versions ultérieures, sélectionnez la communauté régionale pour vos déploiements Dynamics.

(5) L’utilisation du peering Microsoft avec les services RTC est limitée à des cas d’usage spécifiques. Voir Utilisation d’ExpressRoute pour les services RTC Microsoft.

Support de la communauté BGP dans les clouds nationaux

• Les communautés Office 365 ne sont pas prises en charge sur le peering Microsoft pour la région Microsoft Azure géré par 21Vianet.

Étapes suivantes

• Configurez votre connexion ExpressRoute.

  • Créer et modifier un circuit
  • Créer et modifier une configuration de peering
  • Liaison d’un réseau virtuel à un circuit ExpressRoute