Compartilhar via

Confiabilidade em gateways de rede virtual do Azure

Um gateway de rede virtual do Azure fornece conectividade segura entre uma rede virtual do Azure e outras redes, uma rede local ou outra rede virtual no Azure.

O Azure fornece dois tipos de gateways de rede virtual:

Como um componente do Azure, um gateway de rede virtual fornece funcionalidades diversas para dar suporte aos seus requisitos de confiabilidade.

Quando você usa o Azure, a confiabilidade é uma responsabilidade compartilhada. A Microsoft fornece uma variedade de recursos para dar suporte à resiliência e recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar um gateway de rede virtual resiliente a várias possíveis interrupções e problemas, incluindo falhas transitórias, interrupções de zona de disponibilidade, interrupções de região e manutenção planejada do serviço. Ele também realça as principais informações sobre o SLA (contrato de nível de serviço) do gateway de rede virtual.

Para exibir informações sobre o Gateway de VPN do Azure, selecione o tipo de gateway de rede virtual apropriado no início desta página.

Importante

Este artigo aborda a confiabilidade dos gateways de rede virtual do ExpressRoute, que são os componentes baseados no Azure do sistema ExpressRoute.

Mas, ao usar o ExpressRoute, você deve projetar toda a arquitetura de rede, não apenas o gateway, para atender aos seus requisitos de resiliência. Normalmente, você usa vários sites, também conhecidos como locais de emparelhamento, e habilita alta disponibilidade e failover rápido para seus componentes locais. Para obter mais informações, consulte Projetar e arquitetar o ExpressRoute para resiliência.

Para exibir informações sobre gateways do ExpressRoute, selecione o tipo de gateway de rede virtual apropriado no início desta página.

Importante

Este artigo aborda a confiabilidade dos gateways de rede virtual, que são os componentes baseados no Azure do serviço de Gateway de VPN do Azure.

Mas quando você usa VPNs, deve projetar toda a arquitetura de rede, não apenas o gateway, para atender aos requisitos de resiliência. Você é responsável por gerenciar a confiabilidade do seu lado da conexão VPN, incluindo dispositivos cliente para configurações ponto a site e dispositivos VPN remotos para configurações site a site. Para obter mais informações sobre como configurar sua infraestrutura para alta disponibilidade, consulte Design de conectividade de gateway de alta disponibilidade para conexões entre locais físicos e entre rede virtual e locais.

O Azure Well-Architected Framework fornece recomendações sobre confiabilidade, desempenho, segurança, custo e operações. Para entender como essas áreas influenciam umas às outras e contribuem para uma solução confiável do ExpressRoute, consulte as práticas recomendadas de arquitetura para o ExpressRoute no Well-Architected Framework.

Para garantir alta confiabilidade para seus gateways de rede virtual de produção, aplique as seguintes práticas:

  • Habilite a redundância de zona se os recursos do Gateway de VPN residirem em uma região com suporte. Implante o Gateway de VPN usando SKUs com suporte (VpnGw1AZ ou superior) para garantir o acesso aos recursos de redundância de zona.

  • Use endereços IP públicos do SKU Standard.

  • Configure o modo ativo-ativo para maior disponibilidade quando seus dispositivos VPN remotos dão suporte a esse modo.

  • Implemente o monitoramento adequado usando o Azure Monitor para coletar e exibir métricas do Gateway de VPN.

Visão geral da arquitetura de confiabilidade

Com o ExpressRoute, você deve implantar componentes no ambiente local, locais de emparelhamento e no Azure. Esses componentes incluem os seguintes itens:

  • Circuitos e conexões: Um circuito do ExpressRoute consiste em duas conexões por meio de um único local de emparelhamento com o Microsoft Enterprise Edge. Ao usar duas conexões, você pode obter conectividade ativa-ativa. Mas essa configuração não protege contra falhas no nível do site.

  • Equipamento local do cliente (CPE): Esse equipamento inclui roteadores de borda e dispositivos cliente. Verifique se o CPE foi projetado para ser resiliente e pode se recuperar rapidamente quando outras partes da infraestrutura do ExpressRoute tiverem problemas.

  • Localizações: os circuitos são estabelecidos por meio de uma localização, que é um local de emparelhamento físico. Os sites foram projetados para serem altamente disponíveis e têm redundância interna em todas as camadas. Mas os sites representam um único local físico, portanto problemas podem ocorrer. Para atenuar o risco de interrupções de site, o ExpressRoute fornece opções de resiliência de site que têm diferentes níveis de proteção.

  • Gateway de rede virtual do Azure: No Azure, você cria um gateway de rede virtual que atua como o ponto de terminação para um ou mais circuitos do ExpressRoute em sua rede virtual do Azure.

O diagrama a seguir mostra duas configurações diferentes do ExpressRoute, cada uma com um único gateway de rede virtual, configuradas para diferentes níveis de resiliência entre sites.

Diagrama que mostra as opções de conexão do ExpressRoute entre uma rede local e o Azure. As configurações mostram diferentes níveis de resiliência.

Uma VPN exige que você implante componentes no ambiente local e no Azure:

  • Componentes locais: Os componentes que você implanta dependem se você usa uma configuração ponto a site ou site a site.

    • As configurações site a site exigem um dispositivo VPN local responsável por implantar, configurar e gerenciar.

    • As configurações ponto a site exigem que você implante um aplicativo cliente VPN em um dispositivo remoto, como um laptop ou área de trabalho, e importe o perfil do usuário para o cliente VPN. Cada conexão ponto a site tem seu próprio perfil de usuário. Você é responsável por implantar e configurar os dispositivos cliente.

    Para obter mais informações sobre as diferenças, consulte topologia e design do Gateway de VPN.

  • Gateway de rede virtual do Azure: No Azure, você cria um gateway de rede virtual, também chamado de gateway de VPN, que atua como o ponto de terminação para conexões VPN.

  • Gateway de rede local: Uma configuração de VPN site a site também requer um gateway de rede local, que representa o dispositivo VPN remoto. O gateway de rede local armazena as seguintes informações:

    • O endereço IP público do dispositivo VPN local para estabelecer as conexões IKE (Internet Key Exchange) fase 1 e fase 2

    • As redes IP locais, para roteamento estático

    • O endereço IP do protocolo BGP (Border Gateway Protocol) do par remoto, para roteamento dinâmico

O diagrama a seguir mostra os principais componentes em uma VPN que se conecta de um ambiente local ao Azure.

Diagrama que mostra o Gateway de VPN, site a site no local e redes ponto-a-site.

Gateway de rede virtual

Um gateway do ExpressRoute contém duas ou mais VMs (máquinas virtuais) de gateway, que são as VMs subjacentes que o gateway usa para processar o tráfego do ExpressRoute.

Um gateway de rede virtual VPN contém exatamente duas VMs (máquinas virtuais) de gateway, que são as VMs subjacentes que seu gateway usa para processar o tráfego VPN.

Você não vê nem gerencia as VMs do gateway diretamente. A plataforma gerencia automaticamente a criação da VM do gateway, o monitoramento de integridade e a substituição de VMs de gateway não íntegras. Para obter proteção contra falhas de servidores e racks de servidor, o Azure distribui automaticamente as VMs de gateway em vários domínios de falha dentro de uma região. Se um rack de servidor falhar, a plataforma do Azure migrará automaticamente VMs de gateway nesse cluster para outro cluster.

Configure o SKU do gateway. Cada SKU dá suporte a um nível diferente de taxa de transferência e um número diferente de circuitos. Quando você usa o SKU do ErGwScale (versão prévia), o ExpressRoute dimensiona automaticamente o gateway adicionando mais VMs de gateway. Para obter mais informações, consulte gateways de rede virtual do ExpressRoute.

Um gateway opera no modo ativo/ativo por padrão, o que dá suporte à alta disponibilidade do seu circuito. Opcionalmente, você pode mudar para o modo ativo-passivo , mas essa configuração aumenta o risco de uma falha que afeta sua conectividade. Para obter mais informações, veja Conexões ativas/ativas.

Normalmente, o tráfego é roteado por meio do gateway de rede virtual. No entanto, se você usar o FastPath, o tráfego do seu ambiente local ignorará o gateway. Essa abordagem melhora a taxa de transferência e reduz a latência. O gateway permanece essencial porque configura o roteamento do seu tráfego.

Configure o SKU do gateway. Cada SKU dá suporte a um nível diferente de taxa de transferência e um número diferente de conexões VPN. Para obter mais informações, confira SKUs de gateway.

Dependendo dos requisitos de alta disponibilidade, você pode configurar o gateway em um dos dois modos:

  • Em espera ativa: Uma VM de gateway processa o tráfego e a outra VM de gateway permanece em espera.

  • Ativo-ativo: Ambas as VMs de gateway processam o tráfego ao mesmo tempo. Esse modo nem sempre é possível porque os fluxos de conexão podem ser assimétricos.

Para obter mais informações, consulte Projete a conectividade de gateway altamente disponível para conexões entre locais e de rede virtual para rede virtual.

Você pode proteger contra falhas de zona de disponibilidade distribuindo VMs de gateway em várias zonas. Essa distribuição fornece failover automático dentro da região e mantém a conectividade durante a manutenção ou interrupções da zona. Para obter mais informações, consulte Resiliência a falhas de zona de disponibilidade.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes nos componentes. Elas ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. Falhas transitórias se corrigem após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente repetindo solicitações afetadas.

Todos os aplicativos hospedados na nuvem devem seguir as diretrizes transitórias de tratamento de falhas do Azure quando eles se comunicam com qualquer APIs, bancos de dados e outros componentes hospedados na nuvem. Para obter mais informações, confira Recomendações para tratamento de falhas transitórias.

Para aplicativos que se conectam por meio de um gateway de rede virtual, implemente a lógica de tentativas de repetição com recuo exponencial para lidar com possíveis problemas transitórios de conexão. A natureza com estado dos gateways de rede virtual garante que as conexões legítimas sejam mantidas durante breves interrupções da rede.

Em um ambiente de rede distribuída, falhas transitórias podem ocorrer em várias camadas, incluindo os seguintes locais:

  • Seu ambiente local
  • Um site de edge
  • A Internet
  • Azul

O ExpressRoute reduz o efeito de falhas transitórias usando caminhos de conexão redundantes, detecção rápida de falhas e failover automatizado. Mas você deve configurar seus aplicativos e componentes locais corretamente para ser resiliente a vários problemas. Para obter estratégias abrangentes de tratamento de falhas, consulte Design para alta disponibilidade usando o ExpressRoute.

Se você configurar o roteamento de endereço IP no dispositivo local corretamente, o tráfego de dados, como o Protocolo de Controle de Transmissão (TCP), flui automaticamente por túneis IPsec (Segurança de Protocolo de Internet) ativos quando ocorre uma desconexão.

Às vezes, falhas transitórias podem afetar túneis IPsec ou fluxos de dados TCP. Quando ocorre uma desconexão, o IKE renegocia as SAs (associações de segurança) para a fase 1 e a fase 2 para restabelecer o túnel IPsec.

Resiliência a falhas de zona de disponibilidade

As zonas de disponibilidade são grupos fisicamente separados de datacenters em uma região do Azure. Quando uma zona falha, os serviços podem fazer o failover de uma das zonas restantes.

Os gateways de rede virtual são automaticamente redundantes por zona quando atendem aos requisitos. A redundância de zona elimina qualquer zona única como um ponto de falha e fornece o nível mais alto de resiliência de zona. Os gateways com redundância de zona oferecem failover automático dentro da região e mantêm a conexão durante a manutenção ou interrupções na zona.

As VMs de gateway do ExpressRoute com redundância de zona são distribuídas automaticamente em pelo menos três zonas de disponibilidade.

O diagrama a seguir mostra um gateway de rede virtual redudante por zona com três máquinas virtuais de gateway distribuídas em diferentes zonas de disponibilidade.

Diagrama que mostra um gateway de rede virtual do ExpressRoute com três VMs de gateway distribuídas em três zonas de disponibilidade.

Observação

Circuitos ou conexões não incluem a configuração da zona de disponibilidade. Esses recursos residem em instalações de borda de rede, que não são projetadas para usar zonas de disponibilidade.

No Gateway de VPN, a redundância de zona significa que as VMs do gateway são distribuídas automaticamente entre várias zonas de disponibilidade.

O diagrama a seguir mostra um gateway virtual redundante entre zonas, com duas VMs de gateway distribuídas em diferentes zonas de disponibilidade.

Diagrama que mostra um gateway de rede virtual VPN com duas VMs de gateway distribuídas em duas zonas de disponibilidade. Uma terceira zona de disponibilidade não tem uma VM de gateway.

Observação

Os gateways de rede local não exigem configuração de zona de disponibilidade porque são automaticamente resilientes à zona.

Quando você usa um SKU com suporte, os gateways recém-criados são redundantes de zona automaticamente. Recomendamos redundância de zona para todas as cargas de trabalho de produção.

Requirements

  • SKU: Para que um gateway de rede virtual seja com redundância de zona, ele deve usar um SKU que dê suporte à redundância de zona. A tabela a seguir mostra quais SKUs dão suporte à redundância de zona.

    Nome do SKU Dá suporte a zonas de disponibilidade
    Standard Não
    HighPerformance Não
    UltraPerformance Não
    ErGw1Az Yes
    ErGw2Az Yes
    ErGw3Az Yes
    ErGwScale (versão prévia) Yes

  • SKU: Para que um gateway de rede virtual seja com redundância de zona, ele deve usar um SKU que dê suporte à redundância de zona. Todas as camadas do Gateway de VPN suportam a redundância de zona, exceto a SKU Básica, que é apenas para uso em ambientes de desenvolvimento. Para obter mais informações sobre opções de SKU, consulte SKUs de Gateway.

  • Endereços IP públicos: Você deve usar endereços IP públicos de SKU padrão e configurá-los para serem redundantes por zona.

Custo

Os gateways com redundância de zona para ExpressRoute exigem SKUs específicas, que podem ter taxas por hora mais altas em comparação com SKUs de gateway padrão devido a suas funcionalidades aprimoradas e características de desempenho. Para obter mais informações, consulte Preços do ExpressRoute.

Não haverá custo adicional para um gateway implantado em várias zonas de disponibilidade se você usar uma SKU compatível. Para obter mais informações, consulte os preços do Gateway de VPN.

Configurar o suporte à zona de disponibilidade

Esta seção explica como configurar a redundância de zona para seus gateways de rede virtual.

  • Altere a configuração da zona de disponibilidade de um gateway de rede virtual existente. Os gateways de rede virtual que você já criou podem não ser redundantes por zona. Você pode migrar um gateway não zonal para um gateway redundante de zona com mínima interrupção. Para obter mais informações, consulte consolidação e migração de SKU.

Comportamento quando todas as zonas estão saudáveis

A seção a seguir descreve o que esperar quando o gateway de rede virtual está configurado para redundância de zona e todas as zonas de disponibilidade estão operacionais.

  • Roteamento de tráfego entre zonas: O tráfego do seu ambiente local é distribuído entre VMs de gateway em todas as zonas que o gateway usa. Essa configuração ativa-ativa garante o desempenho ideal e a distribuição de carga em condições operacionais normais.

    Se você usar o FastPath para desempenho otimizado, o tráfego do ambiente local ignorará o gateway, o que melhora a taxa de transferência e reduz a latência. Para obter mais informações, consulte ExpressRoute FastPath.

  • Replicação de dados entre zonas: Nenhuma replicação de dados ocorre entre zonas porque o gateway de rede virtual não armazena dados persistentes do cliente.

  • Roteamento de tráfego entre zonas: A redundância de zona não afeta a forma como o tráfego é roteado. O tráfego é roteado entre as VMs do seu gateway com base na configuração dos seus clientes. Se o gateway usar a configuração ativa-ativa e usar dois endereços IP públicos, ambas as VMs do gateway poderão receber tráfego. Para a configuração de espera ativa, o tráfego é roteado para uma única VM de gateway primário selecionada pelo Azure.

  • Replicação de dados entre zonas: O Gateway de VPN não precisa sincronizar o estado da conexão entre zonas de disponibilidade. No modo ativo-ativo, a VM do gateway que processa a conexão VPN é responsável por gerenciar o estado da conexão.

  • Gerenciamento de VM do gateway: A plataforma seleciona automaticamente as zonas para suas VMs de gateway e gerencia o posicionamento entre as zonas. O monitoramento de integridade garante que apenas as VMs de gateway saudáveis recebam tráfego.

Comportamento durante uma falha de zona

A seção a seguir descreve o que esperar quando o gateway da rede virtual estiver configurado para redundância de zona e ocorre uma interrupção na zona de disponibilidade.

  • Detecção e resposta: A plataforma do Azure detecta e responde a uma falha em uma zona de disponibilidade. Você não precisa iniciar um failover de zona.

  • Solicitações ativas: Todas as solicitações ativas conectadas por meio de VMs de gateway na zona com falha são encerradas. Os aplicativos cliente devem repetir as solicitações seguindo as diretrizes para lidar com falhas transitórias.

  • Perda de dados esperada: Falhas de zona não devem causar perda de dados porque os gateways de rede virtual não armazenam dados persistentes do cliente.

  • Tempo de inatividade esperado: Durante interrupções de zona, as conexões podem sofrer breves interrupções que normalmente duram até um minuto quando o tráfego é redistribuído. Os aplicativos cliente devem repetir as solicitações seguindo as diretrizes para lidar com falhas transitórias.

  • Redirecionamento de tráfego: A plataforma distribui automaticamente o tráfego para VMs de gateway em zonas íntegras.

    As conexões habilitadas para FastPath mantêm o roteamento otimizado durante todo o processo de failover, o que garante um efeito mínimo no desempenho do aplicativo.

  • Redirecionamento de tráfego: O tráfego redireciona automaticamente para a outra VM de gateway em uma zona de disponibilidade diferente.

Recuperação de zona

Quando a zona de disponibilidade afetada se recupera, o Azure restaura automaticamente as VMs do gateway na zona recuperada e retorna à distribuição de tráfego normal em todas as zonas que o gateway usa.

Testar falhas em zonas

A plataforma Azure gerencia o roteamento de tráfego, o failover e o failback para gateways de rede virtual com redundância de zona. Esse recurso é totalmente gerenciado, então você não precisa iniciar ou validar processos de falha de zona de disponibilidade.

Resiliência a falhas em toda a região

Um gateway de rede virtual é um recurso de região única. Se a região ficar indisponível, o gateway também ficará indisponível.

Observação

Você pode usar o SKU do ExpressRoute Premium quando os recursos do Azure são distribuídos em várias regiões. Mas o SKU Premium não afeta a forma como o gateway está configurado e ainda é implantado em uma região. Para obter mais informações, consulte a visão geral do ExpressRoute.

Soluções personalizadas de várias regiões para resiliência

Você pode criar caminhos de conectividade independentes para seu ambiente do Azure usando uma ou mais das seguintes abordagens:

  • Crie vários circuitos do ExpressRoute que se conectam a gateways em diferentes regiões do Azure.

  • Use uma VPN site a site como backup para o tráfego de emparelhamento privado.

  • Use a conectividade com a internet como backup para o tráfego de emparelhamento da Microsoft.

Para mais informações, consulte Planejamento para recuperação de desastres usando o emparelhamento privado do ExpressRoute.

Você pode implantar gateways de VPN separados em duas ou mais regiões diferentes. Cada gateway é anexado a uma rede virtual diferente e os gateways operam de forma independente. Não há nenhuma interação ou replicação de configuração ou estado entre eles. Você também é responsável por configurar seus clientes e dispositivos remotos para se conectar à VPN correta ou alternar entre VPNs quando necessário.

Resiliência à manutenção do serviço

O Azure faz manutenção regular em gateways de rede virtual para garantir o desempenho e a segurança ideais. Durante essas janelas de manutenção, algumas interrupções de serviço podem ocorrer, mas o Azure projeta essas atividades para minimizar o efeito sobre a conectividade.

Durante operações de manutenção planejadas em gateways de rede virtual, o processo é executado em VMs de gateway sequencialmente, não simultaneamente. Esse processo garante que uma VM de gateway sempre permaneça ativa durante a manutenção, o que minimiza o impacto em suas conexões ativas.

Para reduzir a probabilidade de interrupções inesperadas, você pode configurar janelas de manutenção de gateway para se alinhar aos seus requisitos operacionais.

Para obter mais informações, consulte Configurar a manutenção controlada pelo cliente para gateways do ExpressRoute.

Para obter mais informações, consulte Configurar janelas de manutenção para seus gateways de rede virtual.

Contrato de nível de serviço

O acordo de nível de serviço (SLA) dos serviços do Azure descreve a disponibilidade esperada de cada serviço e as condições que sua solução deve atender para alcançar essa expectativa de disponibilidade. Para obter mais informações, consulte SLAs para serviços online.

ExpressRoute fornece um SLA de alta disponibilidade que garante alta disponibilidade para suas conexões. SLAs de disponibilidade diferentes se aplicam caso você implante em múltiplos locais de emparelhamento (sites), utilize o ExpressRoute Metro ou possua uma configuração de site único.

Todas as SKUs de Gateway de VPN, exceto a SKU Básica, são elegíveis para um SLA de maior disponibilidade. O SKU Básico fornece um SLA de menor disponibilidade e recursos limitados, e você só deve usá-lo para teste e desenvolvimento. Para obter mais informações, consulte SKUs de Gateway: Cargas de trabalho de produção versus desenvolvimento e teste

Conteúdo relacionado

  • Last updated on