Partager via

Fiabilité dans les passerelles de réseau virtuel Azure

Une passerelle de réseau virtuel Azure fournit une connectivité sécurisée entre un réseau virtuel Azure et d’autres réseaux, soit un réseau local, soit un autre réseau virtuel dans Azure.

Azure fournit deux types de passerelles de réseau virtuel :

En tant que composant Azure, une passerelle de réseau virtuel fournit diverses fonctionnalités pour prendre en charge vos exigences de fiabilité.

Lorsque vous utilisez Azure, la fiabilité est une responsabilité partagée. Microsoft fournit une gamme de fonctionnalités pour prendre en charge la résilience et la récupération. Vous êtes responsable de comprendre le fonctionnement de ces fonctionnalités dans tous les services que vous utilisez et de sélectionner les fonctionnalités dont vous avez besoin pour atteindre vos objectifs métier et vos objectifs de temps d’activité.

Cet article explique comment rendre une passerelle de réseau virtuel résiliente à diverses pannes et problèmes potentiels, notamment les erreurs temporaires, les pannes de zone de disponibilité, les pannes de région et la maintenance planifiée du service. Il met également en évidence des informations clés sur le contrat de niveau de service de passerelle de réseau virtuel (SLA).

Pour afficher des informations sur la passerelle VPN Azure, sélectionnez le type de passerelle de réseau virtuel approprié au début de cette page.

Important

Cet article décrit la fiabilité des passerelles de réseau virtuel ExpressRoute, qui sont les composants Azure du système ExpressRoute.

Toutefois, lorsque vous utilisez ExpressRoute, vous devez concevoir l’ensemble de votre architecture réseau, non seulement la passerelle, pour répondre à vos besoins de résilience. En règle générale, vous utilisez plusieurs sites, également appelés points de peering, et activez la haute disponibilité ainsi qu’un basculement rapide pour vos composants sur site. Pour plus d’informations, consultez Conception et architecture ExpressRoute pour la résilience.

Pour afficher des informations sur les passerelles ExpressRoute, sélectionnez le type de passerelle de réseau virtuel approprié au début de cette page.

Important

Cet article décrit la fiabilité des passerelles de réseau virtuel, composants basés sur Azure du service Passerelle VPN Azure.

Toutefois, lorsque vous utilisez des VPN, vous devez concevoir l’ensemble de votre architecture réseau, pas seulement la passerelle, pour répondre à vos besoins de résilience. Vous êtes responsable de la gestion de la fiabilité de votre côté de la connexion VPN, y compris les appareils clients pour les configurations de point à site et les périphériques VPN distants pour les configurations de site à site. Pour plus d’informations sur la configuration de votre infrastructure pour une haute disponibilité, consultez Concevoir une connectivité de passerelle hautement disponible pour les connexions inter-sites et de réseau virtuel à réseau virtuel.

Azure Well-Architected Framework fournit des recommandations sur la fiabilité, les performances, la sécurité, le coût et les opérations. Pour comprendre comment ces domaines influencent les uns les autres et contribuent à une solution ExpressRoute fiable, consultez les meilleures pratiques d’architecture pour ExpressRoute dans l’infrastructure Well-Architected.

Pour garantir une fiabilité élevée pour vos passerelles de réseau virtuel de production, appliquez les pratiques suivantes :

  • Activez la redondance de zone si vos ressources de passerelle VPN résident dans une région prise en charge. Déployez la passerelle VPN à l’aide de références SKU prises en charge (VpnGw1AZ ou version ultérieure) pour garantir l’accès aux fonctionnalités de redondance de zone.

  • Utilisez des adresses IP publiques SKU Standard.

  • Configurez le mode actif-actif pour une disponibilité plus élevée lorsque vos appareils VPN distants prennent en charge ce mode.

  • Implémentez une supervision appropriée à l’aide d’Azure Monitor pour collecter et afficher les métriques de passerelle VPN.

Vue d’ensemble de l’architecture de fiabilité

Avec ExpressRoute, vous devez déployer des composants dans l’environnement local, les emplacements de peering et dans Azure. Ces composants incluent les éléments suivants :

  • Circuits et connexions : Un circuit ExpressRoute se compose de deux connexions via un emplacement de peering unique à Microsoft Enterprise Edge. Lorsque vous utilisez deux connexions, vous pouvez obtenir une connectivité active-active. Mais cette configuration ne protège pas contre les défaillances au niveau du site.

  • Équipement local client (CPE) : Cet équipement comprend des routeurs de périphérie et des appareils clients. Assurez-vous que votre CPE est conçu pour être résilient et peut récupérer rapidement lorsque d’autres parties de votre infrastructure ExpressRoute rencontrent des problèmes.

  • Sites : les circuits sont établis via un site, qui est un emplacement de peering physique. Les sites sont conçus pour être hautement disponibles et disposent d’une redondance intégrée sur toutes les couches. Toutefois, les sites représentent un emplacement physique unique, de sorte que des problèmes peuvent se produire. Pour atténuer le risque de pannes de site, ExpressRoute fournit des options de résilience de site qui ont différents niveaux de protection.

  • Passerelle de réseau virtuel Azure : Dans Azure, vous créez une passerelle de réseau virtuel qui joue le rôle de point d’arrêt pour un ou plusieurs circuits ExpressRoute au sein de votre réseau virtuel Azure.

Le diagramme suivant montre deux configurations ExpressRoute différentes, chacune avec une passerelle de réseau virtuel unique, configurée pour différents niveaux de résilience entre les sites.

Diagramme montrant les options de connexion ExpressRoute entre un réseau local et Azure. Les configurations présentent différents niveaux de résilience.

Un VPN vous oblige à déployer des composants dans l’environnement local et dans Azure :

  • Composants locaux : Les composants que vous déployez dépendent de l’utilisation d’une configuration de point à site ou de site à site.

    • Les configurations de site à site nécessitent un appareil VPN local que vous êtes responsable du déploiement, de la configuration et de la gestion.

    • Les configurations de point à site nécessitent le déploiement d’une application cliente VPN sur un appareil distant, comme un ordinateur portable ou un bureau, et d’importer le profil utilisateur dans le client VPN. Chaque connexion point à site a son propre profil utilisateur. Vous êtes responsable du déploiement et de la configuration des appareils clients.

    Pour plus d’informations sur les différences, consultez la topologie et la conception de passerelle VPN.

  • Passerelle de réseau virtuel Azure : Dans Azure, vous créez une passerelle de réseau virtuel, également appelée passerelle VPN, qui agit comme point d’arrêt pour les connexions VPN.

  • Passerelle de réseau local : Une configuration VPN de site à site nécessite également une passerelle de réseau local, qui représente l’appareil VPN distant. La passerelle de réseau local stocke les informations suivantes :

    • Adresse IP publique de l’appareil VPN local pour établir la phase 1 et la phase 2 des connexions Internet Key Exchange (IKE)

    • Réseaux IP locaux, pour le routage statique

    • Adresse IP BGP (Border Gateway Protocol) de l’homologue distant, pour le routage dynamique

Le diagramme suivant montre les composants clés d’un VPN qui se connecte d’un environnement local à Azure.

Diagramme illustrant une passerelle VPN, des réseaux site à site sur site et des réseaux point à site.

Passerelle de réseau virtuel

Une passerelle ExpressRoute contient deux ou plusieurs machines virtuelles de passerelle, qui sont les machines virtuelles sous-jacentes utilisées par votre passerelle pour traiter le trafic ExpressRoute.

Une passerelle de réseau virtuel VPN contient exactement deux machines virtuelles de passerelle, qui sont les machines virtuelles sous-jacentes utilisées par votre passerelle pour traiter le trafic VPN.

Vous ne voyez pas ou ne gérez pas directement les machines virtuelles de passerelle. La plateforme gère automatiquement la création des machines virtuelles de passerelle, le contrôle de l'intégrité et le remplacement des machines virtuelles de passerelle défectueuses. Pour bénéficier d’une protection contre les défaillances de serveur et de rack de serveur, Azure distribue automatiquement les machines virtuelles de passerelle entre plusieurs domaines d’erreur au sein d’une région. Si un rack de serveur échoue, la plateforme Azure migre automatiquement les machines virtuelles de passerelle sur ce cluster vers un autre cluster.

Vous configurez l'identifiant SKU de la passerelle. Chaque référence SKU prend en charge un niveau de débit différent et un nombre différent de circuits. Lorsque vous utilisez le SKU ErGwScale (préversion), ExpressRoute redimensionne automatiquement la passerelle en ajoutant davantage de machines virtuelles de passerelle. Pour plus d’informations, consultez passerelles de réseau virtuel ExpressRoute.

Une passerelle s’exécute en mode actif/actif par défaut, qui prend en charge la haute disponibilité de votre circuit. Vous pouvez éventuellement basculer en mode actif-passif , mais cette configuration augmente le risque d’une défaillance affectant votre connectivité. Pour plus d’informations, consultez Connexions actives-actives.

En règle générale, le trafic est acheminé via votre passerelle de réseau virtuel. Toutefois, si vous utilisez FastPath, le trafic de votre environnement local contourne la passerelle. Cette approche améliore le débit et réduit la latence. La passerelle reste essentielle, car elle configure le routage pour votre trafic.

Vous configurez l'identifiant SKU de la passerelle. Chaque référence SKU prend en charge un niveau de débit différent et un nombre différent de connexions VPN. Pour plus d’informations, consultez l’article Références (SKU) de passerelle.

Selon vos besoins en haute disponibilité, vous pouvez configurer votre passerelle dans l’un des deux modes suivants :

  • Active-standby : Une machine virtuelle de passerelle traite le trafic et l'autre machine virtuelle de passerelle reste en veille.

  • Actif-actif : Les deux machines virtuelles de passerelle traitent le trafic en même temps. Ce mode n’est pas toujours possible, car les flux de connexion peuvent être asymétriques.

Pour plus d'informations, consultez Concevoir une connectivité de passerelle hautement disponible pour les connexions entre des réseaux virtuels et entre des sites.

Vous pouvez vous protéger contre les défaillances de zone de disponibilité en distribuant des machines virtuelles de passerelle sur plusieurs zones. Cette distribution assure un basculement automatique au sein de la région et maintient la connectivité pendant les opérations de maintenance ou les pannes de zone. Pour plus d’informations, consultez Résilience aux échecs de zone de disponibilité.

Résilience aux erreurs temporaires

Les erreurs temporaires sont des défaillances courtes et intermittentes dans les composants. Elles se produisent fréquemment dans un environnement distribué comme le cloud, et font partie intégrante des opérations ordinaires. Les erreurs temporaires se corrigent après une courte période de temps. Il est important que vos applications puissent gérer les erreurs temporaires, généralement en réessayant les requêtes affectées.

Toutes les applications hébergées dans le cloud doivent suivre les instructions de gestion des erreurs temporaires Azure lorsqu’elles communiquent avec toutes les API, bases de données et autres composants hébergés dans le cloud. Pour plus d’informations, consultez Recommandations pour la gestion des erreurs temporaires.

Pour les applications qui se connectent via une passerelle de réseau virtuel, implémentez une logique de nouvelle tentative avec une interruption exponentielle pour gérer les problèmes de connexion temporaires potentiels. La nature avec état des passerelles de réseau virtuel garantit que les connexions légitimes sont maintenues pendant les brèves interruptions du réseau.

Dans un environnement de mise en réseau distribué, des erreurs temporaires peuvent se produire à plusieurs couches, y compris les emplacements suivants :

  • Votre environnement local
  • Un site de périphérie
  • Internet
  • Azur

ExpressRoute réduit l’effet des erreurs temporaires à l’aide de chemins de connexion redondants, de la détection rapide des erreurs et du basculement automatisé. Toutefois, vous devez configurer correctement vos applications et composants locaux pour qu’ils soient résilients à différents problèmes. Pour obtenir des stratégies complètes de gestion des erreurs, consultez Conception pour la haute disponibilité à l’aide d’ExpressRoute.

Si vous configurez correctement le routage d’adresses IP sur l’appareil local, le trafic de données tel que le protocole TCP (Transmission Control Protocol) transite automatiquement par le biais de tunnels IPsec (Internet Protocol Security) actifs lorsqu’une déconnexion se produit.

Les erreurs temporaires peuvent parfois affecter les tunnels IPsec ou les flux de données TCP. Lorsqu’une déconnexion se produit, IKE renégocie les associations de sécurité pour la phase 1 et la phase 2 pour rétablir le tunnel IPsec.

Résilience aux échecs de zone de disponibilité

Les zones de disponibilité sont des groupes physiquement distincts de centres de données au sein d’une région Azure. Lorsqu'une zone tombe en panne, les services peuvent basculer vers l'une des zones restantes.

Les passerelles de réseau virtuel sont automatiquement redondantes interzone lorsqu’elles répondent aux exigences. La redondance de zone élimine toute zone unique comme point de défaillance et fournit le niveau de résilience de zone le plus élevé. Les passerelles redondantes interzone fournissent un basculement automatique au sein de la région et maintiennent la connectivité pendant la maintenance ou les pannes de zone.

Les machines virtuelles de passerelle ExpressRoute redondantes interzone sont automatiquement distribuées entre au moins trois zones de disponibilité.

Le diagramme suivant illustre une passerelle de réseau virtuel redondant interzone avec trois machines virtuelles de passerelle réparties entre différentes zones de disponibilité.

Diagramme montrant une passerelle de réseau virtuel ExpressRoute avec trois machines virtuelles de passerelle réparties entre trois zones de disponibilité.

Note

Les circuits ou connexions n’incluent pas la configuration de zone de disponibilité. Ces ressources résident dans des installations de périphérie réseau, qui ne sont pas conçues pour utiliser des zones de disponibilité.

Dans la passerelle VPN, la redondance de zone signifie que les machines virtuelles de passerelle sont automatiquement distribuées entre plusieurs zones de disponibilité.

Le diagramme suivant illustre une passerelle de réseau virtuel redondant interzone avec deux machines virtuelles de passerelle réparties entre différentes zones de disponibilité.

Diagramme montrant une passerelle de réseau virtuel VPN avec deux machines virtuelles de passerelle réparties entre deux zones de disponibilité. Une troisième zone de disponibilité ne dispose pas d’une machine virtuelle de passerelle.

Note

Les passerelles de réseau local ne nécessitent pas de configuration de zone de disponibilité, car elles sont automatiquement résilientes.

Lorsque vous utilisez une référence (SKU) prise en charge, les passerelles nouvellement créées sont automatiquement redondantes entre les zones. Nous vous recommandons la redondance de zone pour toutes les charges de travail de production.

Spécifications

  • SKU: Pour qu’une passerelle de réseau virtuel soit redondante interzone, elle doit utiliser une référence SKU qui prend en charge la redondance de zone. Le tableau suivant indique les références SKU qui prennent en charge la redondance de zone.

    Nom de la référence SKU Prend en charge les zones de disponibilité
    Norme Non
    HighPerformance Non
    UltraPerformance Non
    ErGw1Az Oui
    ErGw2Az Oui
    ErGw3Az Oui
    ErGwScale (préversion) Oui

  • SKU: Pour qu’une passerelle de réseau virtuel soit redondante interzone, elle doit utiliser une référence SKU qui prend en charge la redondance de zone. Tous les niveaux de passerelle VPN prennent en charge la redondance de zone, à l’exception de la référence SKU de base, qui est uniquement destinée aux environnements de développement. Pour plus d’informations sur les options de SKU, consultez les SKU de la passerelle.

  • Adresses IP publiques : Vous devez utiliser des adresses IP publiques de référence SKU standard et les configurer pour qu’elles soient redondantes interzone.

Coûts

Les passerelles redondantes interzone pour ExpressRoute nécessitent des références SKU spécifiques, qui peuvent avoir des taux horaires plus élevés par rapport aux références SKU de passerelle standard en raison de leurs fonctionnalités et caractéristiques de performances améliorées. Pour plus d’informations, consultez la Tarification ExpressRoute.

Il n’existe aucun coût supplémentaire pour une passerelle déployée sur plusieurs zones de disponibilité si vous utilisez une référence SKU prise en charge. Pour plus d’informations, consultez la tarification de la passerelle VPN.

Configurez la prise en charge des zones de disponibilité

Cette section explique comment configurer la redondance de zone pour vos passerelles de réseau virtuel.

  • Modifiez la configuration de la zone de disponibilité d’une passerelle de réseau virtuel existante. Les passerelles de réseau virtuel que vous avez déjà créées peuvent ne pas être redondantes interzone. Vous pouvez migrer une passerelle nonzonale vers une passerelle redondante interzone avec un temps d’arrêt minimal. Pour plus d’informations, consultez Migrer des passerelles ExpressRoute vers des SKU avec des zones de disponibilité.
  • Modifiez la configuration de la zone de disponibilité d’une passerelle de réseau virtuel existante. Les passerelles de réseau virtuel que vous avez déjà créées peuvent ne pas être redondantes interzone. Vous pouvez migrer une passerelle nonzonale vers une passerelle redondante interzone avec un temps d’arrêt minimal. Pour plus d’informations, consultez consolidation et migration de référence SKU.

Comportement lorsque toutes les zones sont saines

La section suivante décrit ce qui doit être attendu lorsque votre passerelle de réseau virtuel est configurée pour la redondance de zone et que toutes les zones de disponibilité sont opérationnelles.

  • Routage du trafic entre les zones : Le trafic provenant de votre environnement local est distribué entre les machines virtuelles de passerelle dans toutes les zones que votre passerelle utilise. Cette configuration active-active garantit des performances et une répartition de charge optimales dans des conditions de fonctionnement normales.

    Si vous utilisez FastPath pour optimiser les performances, le trafic de votre environnement local contourne la passerelle, ce qui améliore le débit et réduit la latence. Pour plus d’informations, consultez ExpressRoute FastPath.

  • Réplication des données entre les zones : Aucune réplication de données ne se produit entre les zones, car la passerelle de réseau virtuel ne stocke pas les données client persistantes.

  • Routage du trafic entre les zones : La redondance de zone n’affecte pas la façon dont le trafic est routé. Le trafic est acheminé entre les machines virtuelles de passerelle de votre passerelle en fonction de la configuration de vos clients. Si votre passerelle utilise la configuration active-active et utilise deux adresses IP publiques, les deux machines virtuelles de passerelle peuvent recevoir du trafic. Pour la configuration active-secours, le trafic est acheminé vers une seule machine virtuelle de passerelle principale sélectionnée par Azure.

  • Réplication des données entre les zones : La passerelle VPN n’a pas besoin de synchroniser l’état de connexion entre les zones de disponibilité. En mode actif/actif, la machine virtuelle de passerelle qui traite la connexion VPN est chargée de gérer l’état de la connexion.

  • Gestion des machines virtuelles de passerelle : La plateforme sélectionne automatiquement les zones de vos machines virtuelles de passerelle et gère l’emplacement entre les zones. Le monitoring de l’intégrité garantit que seules les machines virtuelles de passerelles saines reçoivent du trafic.

Comportement lors d’une défaillance de zone

La section suivante décrit ce qui doit être attendu lorsque votre passerelle de réseau virtuel est configurée pour la redondance de zone et qu’il existe une panne de zone de disponibilité.

  • Détection et réponse : La plateforme Azure détecte et répond à une défaillance dans une zone de disponibilité. Vous n’avez pas besoin de lancer un basculement de zone.
  • Notification : Microsoft ne vous avertit pas automatiquement lorsqu’une zone est en panne. Toutefois, vous pouvez utiliser Azure Resource Health pour surveiller l’intégrité d’une ressource individuelle, et vous pouvez configurer des alertes Resource Health pour vous avertir des problèmes. Vous pouvez également utiliser Azure Service Health pour comprendre l’intégrité globale du service, y compris les défaillances de zone, et vous pouvez configurer des alertes Service Health pour vous avertir des problèmes.

  • Demandes actives : Toutes les demandes actives connectées via des machines virtuelles de passerelle dans la zone défaillante sont arrêtées. Les applications clientes doivent réessayer les demandes en suivant les instructions pour gérer les erreurs temporaires.

  • Perte de données attendue : Les échecs de zone ne doivent pas entraîner de perte de données, car les passerelles de réseau virtuel ne stockent pas de données client persistantes.

  • Temps d’arrêt attendu : Pendant les pannes de zone, les connexions peuvent rencontrer de brèves interruptions qui durent généralement jusqu’à une minute lorsque le trafic est redistribué. Les applications clientes doivent réessayer les demandes en suivant les instructions pour gérer les erreurs temporaires.

  • Réacheminement du trafic : La plateforme distribue automatiquement le trafic aux machines virtuelles de passerelle dans des zones saines.

    Les connexions avec FastPath conservent un routage optimisé tout au long du processus de basculement, ce qui garantit un effet minimal sur les performances des applications.

  • Réacheminement du trafic : Le trafic redirige automatiquement vers l’autre machine virtuelle de passerelle dans une autre zone de disponibilité.

Récupération de la zone

Lorsque la zone de disponibilité affectée récupère, Azure restaure automatiquement les machines virtuelles de passerelle dans la zone récupérée et retourne à la distribution normale du trafic entre toutes les zones que la passerelle utilise.

Tester les pannes de zone

La plateforme Azure gère le routage du trafic, le basculement et la restauration automatique des passerelles de réseau virtuel interzone. Cette fonctionnalité est entièrement gérée. Vous n’avez donc pas besoin de lancer ou de valider les processus d’échec de zone de disponibilité.

Résilience aux défaillances à l’échelle de la région

Une passerelle de réseau virtuel est une ressource pour une seule région. Si la région devient indisponible, votre passerelle n’est pas disponible également.

Note

Vous pouvez utiliser la référence SKU ExpressRoute Premium lorsque vos ressources Azure sont réparties entre plusieurs régions. Toutefois, la référence SKU Premium n’affecte pas la configuration de votre passerelle, et elle est toujours déployée dans une région. Pour plus d’informations, consultez la vue d’ensemble d’ExpressRoute.

Solutions multirégions personnalisées pour la résilience

Vous pouvez créer des chemins de connectivité indépendants pour votre environnement Azure à l’aide d’une ou plusieurs des approches suivantes :

  • Créez plusieurs circuits ExpressRoute qui se connectent à des passerelles dans différentes régions Azure.

  • Utilisez un VPN de site à site comme sauvegarde pour le trafic de peering privé.

  • Utilisez la connectivité Internet comme sauvegarde pour le trafic de peering Microsoft.

Pour plus d’informations, consultez Conception pour la récupération d’urgence à l’aide du peering privé ExpressRoute.

Vous pouvez déployer des passerelles VPN distinctes dans deux ou plusieurs régions différentes. Chaque passerelle est attachée à un réseau virtuel différent et les passerelles fonctionnent indépendamment. Il n’existe aucune interaction ou réplication de la configuration ou de l’état entre eux. Vous êtes également responsable de la configuration de vos clients et appareils distants pour vous connecter au VPN approprié ou basculer entre les VPN si nécessaire.

Résilience à la maintenance du service

Azure effectue une maintenance régulière sur des passerelles de réseau virtuel pour garantir des performances et une sécurité optimales. Pendant ces fenêtres de maintenance, certaines interruptions de service peuvent se produire, mais Azure conçoit ces activités pour réduire l’effet sur la connectivité.

Pendant les opérations de maintenance planifiées sur des passerelles de réseau virtuel, le processus s’exécute sur des machines virtuelles de passerelle de manière séquentielle, et non simultanément. Ce processus garantit qu’une machine virtuelle de passerelle reste toujours active pendant la maintenance, ce qui réduit l’impact sur vos connexions actives.

Pour réduire la probabilité d’interruptions inattendues, vous pouvez configurer des fenêtres de maintenance de passerelle pour s’aligner sur vos besoins opérationnels.

Pour plus d’informations, consultez Configurer la maintenance contrôlée par le client pour les passerelles ExpressRoute.

Pour plus d’informations, consultez Configurer les fenêtres de maintenance pour vos passerelles de réseau virtuel.

Contrat de niveau de service

Le contrat de niveau de service (SLA) pour les services Azure décrit la disponibilité attendue de chaque service et les conditions que votre solution doit respecter pour atteindre cette attente de disponibilité. Pour plus d’informations, consultez les contrats SLA pour les services en ligne.

ExpressRoute fournit un contrat SLA de haute disponibilité qui garantit une durée de fonctionnement élevée pour vos connexions. Différents contrats SLA de disponibilité s’appliquent si vous déployez sur plusieurs emplacements de peering (sites), si vous utilisez ExpressRoute Metro ou si vous avez une configuration à site unique.

Toutes les références SKU de passerelle VPN autres que la référence SKU de base sont éligibles à un contrat SLA de disponibilité plus élevé. La référence SKU de base fournit un contrat SLA de disponibilité plus faible et des fonctionnalités limitées, et vous devez l’utiliser uniquement pour les tests et le développement. Pour plus d’informations, consultez Références (SKU) de passerelle : charges de travail de production vs développement/test

Contenu connexe

  • Last updated on