Azure 防火墙和 VPN/ExpressRoute UDR

Question

我有一位客户拥有 Azure 环境，我将过来为他们 future 的 Azure 架构提供评估和指导。他们采用混合配置，将多个本地数据中心连接到通过 S2S VPN 与第三方 NVA 连接的 Azure 中心网络。我还没有看到他们的环境，因为我们从他们那里收到的一些网络图中对此进行了说明，尽管看起来他们总体上遵循了最佳实践。

从设计角度来看，他们目前拥有生产和灾难恢复数据中心，而在 Azure 中，他们仅在美国东部设有办事处。因此，我在进行这次接触时，印象中他们可能会想要第二个存在，我建议在美国西部，因为那将是美国东部的对等区域。

我正在研究如何最好地处理他们的网络配置。由于目标是将大部分工作负载转移到 Azure，并且我假设他们最初需要一些本地网络连接，因此我建议部署 ExpressRoute，因为我的印象是 S2S VPN 可以工作，但我从稳定性的角度来看，我不会把我的工作押在这上面。

我的想法是，如果他们还没有这样做，他们应该设置 UDR，将所有流量从中心和分支 VNET 路由到 NVA 或 Azure 防火墙，以实现入站和出站 Internet 连接。

我的问题是，将来自其数据中心之一的流量路由到 Azure 中的虚拟机时，最佳实践是什么？据我所知，ExpressRoute 无法很好地提供到下一跃(Azure 防火墙)的 0.0.0.0/0 路由。我的想法是，源自 Azure 中的计算机的任何流量都会进入防火墙，然后进入互联网。如果数据中心有一台机器，那么它应该通过任何现有的网络基础设施并穿过那里的防火墙。理想情况下，如果本地计算机需要连接到 Azure 中的计算机，流量将流经防火墙，反之亦然。

是否有人可以在此类场景中分享有关 UDR、Azure 防火墙和 ExpressRoute 的经验？谢谢!

Answer 1

• 首先，我建议您考虑Azure 在虚拟网络、连接的虚拟网络、本地网络和 Internet 内的子网之间成功路由流量。另外，实现 highly available Site-to-Site VPN between on-premises datacenters and Azure is recommended as when deploying a VPN gateway, it consists of two instances in an active-standby configuration .

自 planned maintenance or unplanned disruption to the active instance when happens, failover occurs, and the standby instance takes over automatically. This instance resumes the Site-to-Site or network-to-network connection, and this switchover causes a brief interruption. For planned as well as unplanned maintenance issues, the connection recovery restores between 10 – 15 seconds to 1.5 minutes in the worst case .

• 因此，要详细了解实现 Expressroute 的最佳实践，请参阅下面的文档链接，该链接描述了场景和解决方案，其中包括如何正确使用 Express 路由在本地和 Azure 资源之间进行连接。

<强> https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/migrate/azure-best-practices/migrate-best-practices-networking#best-practice-implement-expressroute-for-mission-critical-connections

关于使用 Azure 防火墙，请考虑引用以下文档链接，以最佳方式使用 Azure 防火墙作为过滤本地和 Azure 环境之间所需流量的方法。

<强> https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/migrate/azure-best-practices/migrate-best-practices-networking#take-advantage-of-azure-security-features-for-networking