Partilhar via

Fiabilidade em Azure virtual network gateways

Um gateway de rede virtual Azure fornece conectividade segura entre uma rede virtual Azure e outras redes, seja uma rede local ou outra rede virtual em Azure.

O Azure fornece dois tipos de gateways de rede virtuais:

Como componente Azure, um gateway de rede virtual oferece capacidades diversificadas para suportar os seus requisitos de fiabilidade.

Quando você usa o Azure, a confiabilidade é uma responsabilidade compartilhada. A Microsoft fornece uma variedade de recursos para oferecer suporte à resiliência e à recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar um gateway de rede virtual resiliente a vários potenciais cortes e problemas, incluindo falhas transitórias, interrupções em zonas de disponibilidade, interrupções regionais e manutenção de serviço planeada. Também destaca informações essenciais sobre o acordo de nível de serviço (SLA) do gateway virtual de rede.

Para ver informações sobre o Azure VPN Gateway, selecione o tipo de gateway virtual apropriado no início desta página.

Importante

Este artigo aborda a fiabilidade dos gateways virtuais de rede ExpressRoute, que são os componentes baseados em Azure do sistema ExpressRoute.

Mas quando usa o ExpressRoute, tem de desenhar toda a arquitetura da sua rede — não apenas o gateway — para satisfazer os seus requisitos de resiliência. Normalmente, utiliza-se múltiplos sites, também conhecidos como localizações de peering, e permite alta disponibilidade e failover rápido para os seus componentes on-premises. Para obter mais informações, consulte Design e arquiteto ExpressRoute para resiliência.

Para ver informações sobre gateways ExpressRoute, selecione o tipo de gateway virtual de rede apropriado no início desta página.

Importante

Este artigo aborda a fiabilidade dos gateways de rede virtuais, que são os componentes baseados em Azure do serviço Azure VPN Gateway.

Mas quando usa VPNs, tem de desenhar toda a arquitetura da sua rede — não apenas o gateway — para cumprir os seus requisitos de resiliência. És responsável por gerir a fiabilidade do teu lado da ligação VPN, incluindo dispositivos clientes para configurações ponto a local e dispositivos VPN remotos para configurações site-to-site. Para mais informações sobre como configurar a sua infraestrutura para alta disponibilidade, consulte Conceber conectividade de gateway altamente disponível para conexões entre instalações e de rede virtual para rede virtual.

O Azure Well-Architected Framework fornece recomendações sobre confiabilidade, desempenho, segurança, custo e operações. Para compreender como estas áreas se influenciam mutuamente e contribuem para uma solução fiável do ExpressRoute, consulte as melhores práticas de arquitetura para o ExpressRoute no Well-Architected Framework.

Para garantir elevada fiabilidade para os seus gateways virtuais de rede, aplique as seguintes práticas:

  • Ative a redundância de zona se os recursos do seu Gateway VPN estiverem numa região suportada. Implemente o VPN Gateway utilizando SKUs suportados (VpnGw1AZ ou superior) para garantir o acesso às funcionalidades de redundância de zonas.

  • Use endereços IP públicos de SKU padrão.

  • Configure o modo ativo-ativo para maior disponibilidade quando os seus dispositivos VPN remotos suportarem este modo.

  • Implemente uma monitorização adequada usando o Azure Monitor para recolher e visualizar métricas do VPN Gateway.

Visão geral da arquitetura de confiabilidade

Com o ExpressRoute, deve implementar componentes no ambiente local, em locais de peering e dentro do Azure. Estes componentes incluem os seguintes itens:

  • Circuitos e ligações: Um circuito ExpressRoute é composto por duas ligações através de uma única localização de peering com o Microsoft Enterprise Edge. Quando usa duas ligações, pode alcançar uma conectividade ativa-ativa. Mas esta configuração não protege contra falhas ao nível do local.

  • Equipamento nas instalações do cliente (CPE): Este equipamento inclui roteadores de borda e dispositivos clientes. Certifique-se de que o seu CPE está desenhado para ser resiliente e pode recuperar rapidamente quando outras partes da sua infraestrutura ExpressRoute apresentarem problemas.

  • Locais: Os circuitos são estabelecidos através de um site, que é um local físico de peering. Os sites são desenhados para serem altamente disponíveis e têm redundância incorporada em todas as camadas. Mas os locais representam um único local físico, pelo que podem surgir problemas. Para mitigar o risco de interrupções no local, o ExpressRoute oferece opções de resiliência do local com diferentes níveis de proteção.

  • Azure virtual network gateway: No Azure, cria-se um gateway de rede virtual que atua como ponto de terminação para um ou mais circuitos ExpressRoute dentro da sua rede virtual Azure.

O diagrama seguinte mostra duas configurações diferentes de ExpressRoute, cada uma com um único gateway de rede virtual, configurado para diferentes níveis de resiliência entre os locais.

Diagrama que mostra as opções de ligação ExpressRoute entre uma rede local e o Azure. As configurações mostram diferentes níveis de resiliência.

Uma VPN exige que implemente componentes tanto no ambiente local como no Azure:

  • Componentes locais: Os componentes que implementares dependem se utilizares uma configuração ponto-a-site ou site-a-site.

    • As configurações site-to-site requerem um dispositivo VPN local que seja responsável por implementar, configurar e gerir.

    • As configurações point-to-site exigem que implemente uma aplicação cliente VPN num dispositivo remoto, como um portátil ou desktop desktop, e importe o perfil de utilizador para o cliente VPN. Cada conexão ponto-a-site tem o seu próprio perfil. És responsável por implementar e configurar os dispositivos clientes.

    Para mais informações sobre as diferenças, consulte Topologia e design do VPN Gateway.

  • Azure virtual network gateway: No Azure, cria-se um gateway de rede virtual, também chamado gateway VPN, que funciona como ponto de terminação para as ligações VPN.

  • Gateway de rede local: Uma configuração VPN site-to-site também requer um gateway de rede local, que representa o dispositivo VPN remoto. O gateway de rede local armazena a seguinte informação:

    • O endereço IP público do dispositivo VPN nas instalações para estabelecer as conexões da fase 1 e fase 2 do Internet Key Exchange (IKE)

    • As redes IP locais, para encaminhamento estático

    • O endereço IP do Border Gateway Protocol (BGP) do par remoto, utilizado para roteamento dinâmico.

O diagrama seguinte mostra componentes-chave numa VPN que se liga de um ambiente local ao Azure.

Diagrama que mostra o VPN Gateway, redes localmente site-to-site e point-to-site.

Gateway de rede virtual

Um gateway ExpressRoute contém duas ou mais máquinas virtuais (VMs) de gateway, que são as VMs subjacentes que o seu gateway utiliza para processar o tráfego ExpressRoute.

Um gateway virtual de rede VPN contém exatamente duas máquinas virtuais (VMs) gateway, que são as VMs subjacentes que o seu gateway utiliza para processar o tráfego VPN.

Não vês nem geres diretamente as VMs do gateway. A plataforma gere automaticamente a criação de VMs de gateway, a monitorização de saúde e a substituição de VMs de gateway pouco saudáveis. Para garantir proteção contra falhas de servidores e racks de servidores, o Azure distribui automaticamente as VMs de gateway por múltiplos domínios de falha dentro de uma região. Se um rack de servidores falhar, a plataforma Azure migra automaticamente as VMs de gateway desse cluster para outro cluster.

Configuras o SKU do gateway. Cada SKU suporta um nível diferente de largura de banda e um número diferente de circuitos. Quando usa o SKU ErGwScale (versão prévia), o ExpressRoute escala automaticamente o gateway ao adicionar mais Máquinas Virtuais de gateway. Para mais informações, consulte gateways de rede virtuais ExpressRoute.

Um gateway, por padrão, funciona em modo ativo-ativo, o que suporta a alta disponibilidade do seu circuito. Pode, opcionalmente, mudar para o modo ativo-passivo , mas esta configuração aumenta o risco de falha afetar a sua conectividade. Para mais informações, consulte Conexões ativas-ativas.

Normalmente, o tráfego passa pelo seu gateway de rede virtual. Mas se usares o FastPath, o tráfego do teu ambiente local contorna o gateway. Esta abordagem melhora o débito e reduz a latência. O gateway continua a ser essencial porque configura o encaminhamento do seu tráfego.

Configuras o SKU do gateway. Cada SKU suporta um nível diferente de throughput e um número diferente de ligações VPN. Para obter mais informações, consulte SKUs de gateway.

Dependendo dos seus requisitos de alta disponibilidade, pode configurar o seu gateway em dois modos:

  • Ativa-em-espera: Uma gateway VM processa o tráfego, enquanto a outra gateway VM permanece de reserva.

  • Ativo-ativo: Ambas as VMs de gateway processam o tráfego ao mesmo tempo. Este modo nem sempre é possível porque os fluxos de ligação podem ser assimétricos.

Para mais informações, consulte Projetar conectividade de gateway altamente disponível para conexões entre instalações e entre redes virtuais.

Pode proteger-se contra falhas em zonas de disponibilidade distribuindo VMs de gateway por várias zonas. Esta distribuição fornece comutação automática dentro da região e mantém a conectividade durante a manutenção da zona ou interrupções. Para mais informações, veja Resiliência a falhas em zonas de disponibilidade.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes em componentes. Eles ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. As falhas transitórias corrigem-se após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente tentando novamente as solicitações afetadas.

Todos os aplicativos hospedados na nuvem devem seguir as diretrizes de tratamento de falhas transitórias do Azure quando se comunicam com quaisquer APIs, bancos de dados e outros componentes hospedados na nuvem. Para obter mais informações, consulte Recomendações para o tratamento de falhas transitórias.

Para aplicações que se conectam através de um gateway de rede virtual, implemente uma lógica de reintento com backoff exponencial para gerir potenciais problemas de conexão transitórios. A natureza com estado dos gateways de rede virtuais garante que as ligações legítimas são mantidas durante breves interrupções de rede.

Num ambiente de rede distribuída, falhas transitórias podem ocorrer em múltiplas camadas, incluindo as seguintes localizações:

  • O seu ambiente local
  • Um sítio de borda
  • A Internet
  • Azure

O ExpressRoute reduz o efeito das falhas transitórias ao utilizar caminhos de ligação redundantes, deteção rápida de falhas e failover automático. Mas deve configurar corretamente as suas aplicações e componentes locais para ser resiliente a vários problemas. Para estratégias abrangentes de tratamento de falhas, consulte Design para alta disponibilidade utilizando o ExpressRoute.

Se configurar corretamente o encaminhamento do endereço IP no dispositivo local, o tráfego de dados como os fluxos do Protocolo de Controlo de Transmissão (TCP) transita automaticamente por túneis ativos de Segurança de Protocolo de Internet (IPsec) quando ocorre uma desconexão.

Falhas transitórias podem, por vezes, afetar túneis IPsec ou fluxos de dados TCP. Quando ocorre uma desconexão, o IKE renegocia as associações de segurança (SAs) tanto para a fase 1 como para a fase 2 para restabelecer o túnel IPsec.

Resiliência a falhas na zona de disponibilidade

As zonas de disponibilidade são grupos fisicamente separados de centros de dados dentro de uma região Azure. Quando uma zona falha, os serviços podem ser transferidos para uma das zonas restantes.

Gateways de rede virtuais tornam-se automaticamente redundantes por zona quando cumprem os requisitos. A redundância de zonas elimina qualquer zona isolada como ponto de falha e proporciona o mais alto nível de resiliência de zona. Portais redundantes de zona fornecem failover automático dentro da região e mantêm a conectividade durante manutenções ou interrupções na zona.

As VMs de gateway ExpressRoute redundantes de zona são automaticamente distribuídas por pelo menos três zonas de disponibilidade.

O diagrama seguinte mostra um gateway virtual de rede redundante por zona, com três VMs de gateway distribuídas por diferentes zonas de disponibilidade.

Diagrama que mostra um gateway de rede virtual ExpressRoute com três VMs de gateway distribuídas por três zonas de disponibilidade.

Observação

Circuitos ou ligações não incluem configuração de zonas de disponibilidade. Estes recursos residem em instalações na fronteira da rede, que não são concebidas para usar zonas de disponibilidade.

No VPN Gateway, redundância de zonas significa que as VMs do gateway são automaticamente distribuídas por múltiplas zonas de disponibilidade.

O diagrama seguinte mostra um gateway virtual de rede redundante por zona, com duas VMs de gateway distribuídas por diferentes zonas de disponibilidade.

Diagrama que mostra um gateway virtual de rede VPN com duas VMs de gateway distribuídas pelas duas zonas de disponibilidade. A terceira zona de disponibilidade não tem uma VM de gateway.

Observação

Gateways de rede local não requerem configuração de zonas de disponibilidade porque são automaticamente resilientes à zona.

Quando usas um SKU suportado, gateways recém-criados tornam-se automaticamente redundantes por zona. Recomendamos redundância de zonas para todas as cargas de trabalho de produção.

Requerimentos

  • SKU: Para que um gateway de rede virtual seja redundante por zona, deve usar um SKU que suporte redundância por zona. A tabela seguinte mostra quais os SKUs que suportam a redundância de zonas.

    Nome da SKU Suporta zonas de disponibilidade
    Standard Não
    HighPerformance Não
    UltraPerformance Não
    ErGw1Az Yes
    ErGw2Az Yes
    ErGw3Az Yes
    ErGwScale (Pré-visualização) Yes

  • SKU: Para que um gateway de rede virtual seja redundante por zona, deve usar um SKU que suporte redundância por zona. Todos os níveis de VPN Gateway suportam redundância de zonas, exceto o SKU Básico, que é apenas para ambientes de desenvolvimento. Para mais informações sobre as opções de SKUs, consulte SKUs Gateway.

  • Endereços IP públicos: Deve usar endereços IP públicos padrão SKU e configurá-los para serem redundantes por zona.

Custo

Gateways redundantes de zona para ExpressRoute requerem SKUs específicos, que podem ter taxas horárias mais elevadas em comparação com os SKUs de gateway padrão devido às suas capacidades e características de desempenho melhoradas. Para obter mais informações, consulte Preços da Rota Expressa.

Não há custo extra para um gateway implementado em múltiplas zonas de disponibilidade se usares um SKU suportado. Para mais informações, consulte preços do VPN Gateway.

Configurar o suporte à zona de disponibilidade

Esta secção explica como configurar a redundância de zonas para os seus gateways de rede virtual.

  • Alterar a configuração da zona de disponibilidade de um gateway de rede virtual existente. Gateways de rede virtuais que já criaste podem não ser redundantes por zona. Podes migrar um gateway não zoneado para um gateway com redundância zonal com tempo de inatividade mínimo. Para mais informações, consulte Migrar gateways ExpressRoute para SKUs habilitados por zonas de disponibilidade.
  • Alterar a configuração da zona de disponibilidade de um gateway de rede virtual existente. Gateways de rede virtuais que já criaste podem não ser redundantes por zona. Podes migrar um gateway não zoneado para um gateway com redundância zonal com tempo de inatividade mínimo. Para mais informações, consulte consolidação e migração de SKUs.

Comportamento quando todas as zonas estão íntegras

A secção seguinte descreve o que esperar quando o seu gateway de rede virtual está configurado para redundância de zonas e todas as zonas de disponibilidade estão operacionais.

  • Encaminhamento do tráfego entre zonas: O tráfego do seu ambiente local é distribuído entre as VMs do gateway em todas as zonas que o seu gateway utiliza. Esta configuração ativa-ativa garante um desempenho ideal e uma distribuição de carga em condições normais de operação.

    Se usar o FastPath para otimizar o desempenho, o tráfego do seu ambiente local contorna o gateway, o que melhora o débito e reduz a latência. Para mais informações, consulte ExpressRoute FastPath.

  • Replicação de dados entre zonas: Não ocorre replicação de dados entre zonas porque o gateway de rede virtual não armazena dados persistentes dos clientes.

  • Encaminhamento do tráfego entre zonas: A redundância de zonas não afeta a forma como o tráfego é encaminhado. O tráfego é encaminhado entre as VMs de gateway do seu gateway com base na configuração dos seus clientes. Se o seu gateway usar configuração ativa-ativa e usar dois endereços IP públicos, ambas as VMs de gateway podem receber tráfego. Para configuração ativa-standby, o tráfego é encaminhado para uma única VM principal de gateway que o Azure seleciona.

  • Replicação de dados entre zonas: O VPN Gateway não precisa de sincronizar o estado da ligação entre zonas de disponibilidade. Em modo ativo-ativo, a VM gateway que processa a ligação VPN é responsável por gerir o estado da ligação.

  • Gestão de VMs Gateway: A plataforma seleciona automaticamente as zonas para as suas VMs de gateway e gere a colocação entre as zonas. A monitorização da integridade assegura que apenas VMs de gateway saudáveis recebem tráfego.

Comportamento durante uma falha de zona

A secção seguinte descreve o que esperar quando o seu gateway de rede virtual está configurado para redundância de zona e há uma falha na zona de disponibilidade.

  • Deteção e resposta: A plataforma Azure deteta e responde a uma falha numa zona de disponibilidade. Não é necessário iniciar um failover de zona.

  • Pedidos ativos: Quaisquer pedidos ativos ligados através de VMs de gateway na zona de falha são terminados. As aplicações cliente devem tentar novamente os pedidos seguindo as orientações para lidar com falhas transitórias.

  • Perda de dados esperada: Falhas de zona não devem causar perda de dados porque gateways de rede virtuais não armazenam dados persistentes dos clientes.

  • Tempo de inatividade previsto: Durante interrupções de zona, as ligações podem sofrer interrupções breves que normalmente duram até um minuto quando o tráfego é redistribuído. As aplicações cliente devem tentar novamente os pedidos seguindo as orientações para lidar com falhas transitórias.

  • Redirecionamento de tráfego: A plataforma distribui automaticamente o tráfego para VMs de gateway em zonas saudáveis.

    As ligações com FastPath mantêm o encaminhamento otimizado ao longo do processo de failover, o que garante um efeito mínimo no desempenho das aplicações.

  • Redirecionamento de tráfego: O tráfego é automaticamente redirecionado para a outra VM gateway numa zona de disponibilidade diferente.

Recuperação de zona

Quando a zona de disponibilidade afetada recupera, o Azure restaura automaticamente as VMs de gateway na zona recuperada e regressa à distribuição normal do tráfego entre todas as zonas que o gateway utiliza.

Teste de falhas de zona

A plataforma Azure gere o encaminhamento de tráfego, failover e failback para gateways virtuais de rede redundantes por zona. Esse recurso é totalmente gerenciado, portanto, você não precisa iniciar ou validar processos de falha na zona de disponibilidade.

Resiliência a falhas em toda a região

Um gateway de rede virtual é um recurso de uma única região. Se a região ficar indisponível, seu gateway também ficará indisponível.

Observação

Pode usar o SKU Premium ExpressRoute quando os seus recursos Azure estão distribuídos por várias regiões. Mas o SKU Premium não afeta a configuração do teu gateway, e continua a ser implementado numa única região. Para mais informações, consulte a visão geral do ExpressRoute.

Soluções personalizadas de várias regiões para resiliência

Pode criar caminhos de conectividade independentes para o seu ambiente Azure utilizando uma ou mais das seguintes abordagens:

  • Crie múltiplos circuitos ExpressRoute que se liguem a gateways em diferentes regiões Azure.

  • Use uma VPN site-to-site como backup para tráfego de peering privado.

  • Use a conectividade à internet como backup para o tráfego de peering da Microsoft.

Para mais informações, consulte Conceção para a recuperação de desastres usando o peering privado do ExpressRoute.

Pode implementar gateways VPN separados em duas ou mais regiões diferentes. Cada gateway está ligado a uma rede virtual diferente, e os gateways operam de forma independente. Não há interação ou replicação de configuração ou estado entre eles. Também és responsável por configurar os teus clientes e dispositivos remotos para se ligarem à VPN correta ou alternarem entre VPNs quando necessário.

Resiliência à manutenção de serviços

O Azure realiza manutenção regular em gateways de rede virtuais para garantir desempenho e segurança ótimos. Durante estas janelas de manutenção, podem ocorrer algumas interrupções nos serviços, mas o Azure desenha estas atividades para minimizar o efeito na conectividade.

Durante operações de manutenção programada nos gateways de rede virtuais, o processo é executado nas Máquinas Virtuais de gateway de forma sequencial, não simultaneamente. Este processo garante que uma VM gateway permanece sempre ativa durante a manutenção, minimizando o impacto nas suas ligações ativas.

Para reduzir a probabilidade de interrupções inesperadas, pode configurar as janelas de manutenção do gateway para alinharem com os seus requisitos operacionais.

Para mais informações, consulte Configurar manutenção controlada pelo cliente para gateways ExpressRoute.

Para mais informações, consulte Configurar janelas de manutenção para os seus gateways de rede virtuais.

Contrato de nível de serviço

O contrato de nível de serviço (SLA) para serviços do Azure descreve a disponibilidade esperada de cada serviço e as condições que sua solução deve atender para atingir essa expectativa de disponibilidade. Para obter mais informações, consulte Acordos de Nível de Serviço (SLAs) para serviços online.

A ExpressRoute oferece um SLA de forte disponibilidade que garante alta disponibilidade para as suas ligações. Diferentes SLAs de disponibilidade aplicam-se se implementares em vários locais de peering (sites), se usares o ExpressRoute Metro ou se tiveres uma configuração de local único.

Todos os SKUs de VPN Gateway, exceto o SKU Básico, são elegíveis para um SLA de maior disponibilidade. O SKU Básico oferece um SLA de menor disponibilidade e capacidades limitadas, e deve usá-lo apenas para testes e desenvolvimento. Para mais informações, veja SKUs Gateway: Cargas de trabalho de produção versus de teste de desenvolvimento

Conteúdo relacionado

  • Last updated on