Compartilhar via

Confiabilidade em gateways de rede virtual do Azure

Um gateway de rede virtual do Azure é um componente que fornece conectividade segura entre sua VNet (Rede Virtual) do Azure e outras redes, seja sua rede local ou outra VNet no Azure. Há dois tipos de gateways de rede virtual: o gateway do Azure ExpressRoute, que usa conexões privadas que não atravessam a Internet pública e o gateway de VPN do Azure, que usa túneis criptografados pela Internet. Como um serviço do Azure, um gateway de rede virtual fornece uma variedade de recursos para dar suporte aos seus requisitos de confiabilidade.

Quando você usa o Azure, a confiabilidade é uma responsabilidade compartilhada. A Microsoft fornece uma variedade de recursos para dar suporte à resiliência e recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar um gateway de rede virtual resiliente a uma variedade de possíveis interrupções e problemas, incluindo falhas transitórias, interrupções de zona de disponibilidade, interrupções de região e manutenção planejada do serviço. Ele também destaca algumas informações importantes sobre o SLA (contrato de nível de serviço) do gateway de rede virtual.

Para exibir informações sobre o Gateway de VPN, selecione o tipo de gateway de rede virtual apropriado no início desta página.

Importante

Este artigo aborda a confiabilidade dos gateways de rede virtual do ExpressRoute, que são as partes baseadas no Azure do sistema ExpressRoute.

No entanto, quando você usa o ExpressRoute, é fundamental que você projete toda a arquitetura de rede - não apenas o gateway - para atender aos seus requisitos de resiliência. Normalmente, você precisa usar vários sites (locais de emparelhamento), bem como habilitar a alta disponibilidade e o failover rápido para seus componentes locais. Para obter mais informações, consulte Planejar e arquitetar o Azure ExpressRoute visando a resiliência.

Para exibir informações sobre gateways do ExpressRoute, selecione o tipo de gateway de rede virtual apropriado no início desta página.

Importante

Este artigo aborda a confiabilidade dos gateways de rede virtual, que são componentes baseados em Azure do serviço Azure VPN Gateway.

No entanto, quando você usa VPNs, é fundamental que você projete toda a arquitetura de rede - não apenas o gateway - para atender aos seus requisitos de resiliência. Você é responsável por gerenciar a confiabilidade do seu lado da conexão VPN, incluindo dispositivos cliente para configurações ponto a site e dispositivos VPN remotos para configurações site a site. Para obter mais informações sobre como configurar sua infraestrutura para alta disponibilidade, veja Projetar conectividade de gateway altamente disponível para conexões entre instalações e VNet a VNet.

Recomendações de implantação de produção

O Azure Well-Architected Framework fornece recomendações sobre confiabilidade, desempenho, segurança, custo e operações. Para entender como essas áreas influenciam umas às outras e contribuem para uma solução confiável do ExpressRoute, consulte as práticas recomendadas de arquitetura para o Azure ExpressRoute no Azure Well-Architected Framework.

Para garantir alta confiabilidade para seus gateways de rede virtual de produção, recomendamos que você:

  • Habilite a redundância de zona se os recursos do Gateway de VPN do Azure estiverem em uma região com suporte. Implante um Gateway de VPN usando SKUs com suporte (VpnGw1AZ ou superior) para garantir acesso aos recursos de redundância de zona.
  • Use endereços IP públicos do SKU Standard.
  • Configure o modo ativo/ativo para maior disponibilidade, quando houver suporte nos seus dispositivos VPN remotos.
  • Implemente o monitoramento adequado usando as métricas do Gateway de VPN do Azure Monitor.

Visão geral da arquitetura de confiabilidade

Com o ExpressRoute, você deve implantar componentes no ambiente local, locais de emparelhamento e no Azure. Esses componentes incluem:

  • Circuitos e conexões: um circuito do ExpressRoute consiste em duas conexões por meio de um único local de emparelhamento com o Microsoft Enterprise Edge. Ao utilizar duas conexões, é possível obter uma conectividade ativo/ativo. No entanto, essa configuração não protege contra falhas no nível do site.

  • O CPE (equipamento local do cliente) inclui seus roteadores de borda e dispositivos cliente. Você precisa garantir que seu CPE seja projetado para ser resiliente a problemas e que ele possa se recuperar rapidamente quando os problemas ocorrem em outras partes da infraestrutura do ExpressRoute.

  • Localizações: os circuitos são estabelecidos por meio de uma localização, que é um local de emparelhamento físico. Os sites foram projetados para serem altamente disponíveis e têm redundância interna em todas as camadas, mas como eles representam um único local físico, há a possibilidade de sites terem problemas. Para atenuar o risco de interrupções de site, o ExpressRoute oferece diferentes opções de resiliência de site que variam em seu nível de proteção.

  • Gateway de rede virtual do Azure: No Azure, você cria um gateway de rede virtual que atua como o ponto de terminação para um ou mais circuitos do ExpressRoute em sua rede virtual do Azure.

O diagrama a seguir mostra duas configurações diferentes do ExpressRoute, cada uma com um único gateway de rede virtual, configurada para diferentes níveis de resiliência entre sites:

Diagrama que ilustra as opções de conexão do ExpressRoute entre a rede local e o Azure, mostrando diferentes níveis de resiliência.

Uma VPN requer que os componentes sejam implantados no ambiente local e no Azure:

  • Componentes locais: os componentes que você implanta dependem da implantação de uma configuração ponto a site ou site a site.

    • As configurações site a site exigem um dispositivo VPN local, que é responsável por implantar, configurar e gerenciar.
    • As configurações ponto a site exigem que você implante um aplicativo cliente VPN em um dispositivo remoto, como um laptop ou área de trabalho, e importe o perfil do usuário para o cliente VPN. Cada conexão ponto a site tem seu próprio perfil de usuário. Você é responsável por implantar e configurar os dispositivos cliente.

    Para saber mais sobre as diferenças, consulte a topologia e o design do Gateway de VPN.

  • Gateway de rede virtual do Azure: no Azure, você cria um gateway de rede virtual, também chamado de gateway de VPN, que atua como o ponto de terminação para conexões VPN.

  • Gateway de rede local: Uma configuração de VPN site a site também requer um gateway de rede local, que representa o dispositivo VPN remoto. O gateway de rede local armazena o endereço IP público associado ao dispositivo VPN para estabelecer a fase 1 e a fase 2 do IKE, as redes IP locais (para roteamento estático), o endereço IP BGP do par remoto (em caso de roteamento dinâmico).

    • O endereço IP público do dispositivo VPN local para estabelecer as conexões de fase 1 e 2 do IKE
    • As redes IP locais, para roteamento estático
    • O endereço IP BGP do par remoto para roteamento dinâmico

O diagrama a seguir ilustra alguns dos principais componentes em uma VPN que se conecta de um ambiente local ao Azure:

Diagrama que mostra o Gateway de VPN do Azure, site a site local e redes ponto a site.

Gateway de rede virtual

Um gateway do ExpressRoute contém duas ou mais VMs (máquinas virtuais) de gateway, que são as VMs subjacentes que o gateway usa para processar o tráfego do ExpressRoute.

Um gateway de rede virtual VPN contém exatamente duas VMs (máquinas virtuais) de gateway, que são as VMs subjacentes que seu gateway usa para processar o tráfego VPN.

Você não vê nem gerencia as VMs do gateway diretamente. A plataforma gerencia automaticamente a criação da VM do gateway, o monitoramento de integridade e a substituição de VMs de gateway não íntegras. Para obter proteção contra falhas de servidores e racks de servidor, o Azure distribui automaticamente as VMs de gateway em vários domínios de falha dentro de uma região. Se um rack de servidor falhar, qualquer VM de gateway nesse cluster será migrada automaticamente para outro cluster pela plataforma do Azure.

Configure o SKU do gateway. Cada SKU dá suporte a um nível diferente de taxa de transferência e a um número diferente de circuitos. Quando você usa o SKU do ErGwScale (versão prévia), o ExpressRoute dimensiona automaticamente o gateway adicionando mais VMs de gateway. Para obter mais informações, confira Sobre os gateways de rede virtual do ExpressRoute.

Um gateway opera no modo ativo/ativo por padrão, o que dá suporte à alta disponibilidade do seu circuito. Opcionalmente, você pode alternar para usar o modo ativo-passivo , mas essa configuração aumenta o risco de uma falha que afeta sua conectividade. Para obter mais informações, veja Conexões ativas/ativas.

Normalmente, o tráfego é roteado por meio do gateway de rede virtual. No entanto, se você usar o FastPath, o tráfego do seu ambiente local ignorará o gateway, o que melhora a taxa de transferência e reduz a latência. O gateway ainda é importante, pois é usado para configurar o roteamento do seu tráfego.

Você configura o SKU do gateway. Cada SKU dá suporte a um nível diferente de taxa de transferência e a um número diferente de conexões VPN. Para obter mais informações, confira Sobre SKUs de gateway.

Dependendo de seus requisitos de alta disponibilidade, você pode configurar seu gateway como ativo em espera, o que significa que uma VM de gateway processa o tráfego e a outra é uma VM de gateway em espera ou como ativa-ativa, o que significa que ambas as VMs do gateway processam o tráfego. A configuração ativo/ativo nem sempre é possível devido à natureza assimétrica dos fluxos de conexão. Para obter mais informações, veja Projetar a conectividade de gateway altamente disponível para conexões entre instalações e de VNet para VNet.

Você pode fornecer proteção contra falhas de zona de disponibilidade distribuindo VMs de gateway em várias zonas, fornecendo failover automático dentro da região e mantendo a conectividade durante a manutenção ou interrupções da zona. Para obter mais informações, consulte Resiliência a falhas de zona de disponibilidade.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes nos componentes. Elas ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. Falhas transitórias se corrigem após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente repetindo solicitações afetadas.

Todos os aplicativos hospedados na nuvem devem seguir as diretrizes transitórias de tratamento de falhas do Azure quando eles se comunicam com qualquer APIs, bancos de dados e outros componentes hospedados na nuvem. Para obter mais informações, confira Recomendações para tratamento de falhas transitórias.

Para aplicativos que se conectam por meio de um gateway de rede virtual, implemente a lógica de tentativas de repetição com recuo exponencial para lidar com possíveis problemas transitórios de conexão. A natureza com estado dos gateways de rede virtual garante que as conexões legítimas sejam mantidas durante breves interrupções da rede.

Em um ambiente de rede distribuída, falhas transitórias podem ocorrer em várias camadas, incluindo:

  • Em seu ambiente local.
  • Em uma localização de borda.
  • Na Internet.
  • No Azure.

O ExpressRoute reduz o efeito de falhas transitórias usando caminhos de conexão redundantes, detecção rápida de falhas e failover automatizado. No entanto, é importante que seus aplicativos e componentes locais sejam configurados corretamente para serem resilientes a uma variedade de problemas. Para obter estratégias abrangentes de tratamento de falhas, consulte Projetando para alta disponibilidade com ExpressRoute.

Se o roteamento de IP no dispositivo local estiver configurado corretamente, o tráfego de dados, como o TCP, flui automaticamente por túneis IPsec ativos no caso de uma desconexão.

Às vezes, falhas transitórias podem afetar túneis IPsec ou fluxos de dados TCP. No caso de uma desconexão, o IKE (Internet Key Exchange) renegocia as Associações de Segurança (SAs) tanto da Fase 1 quanto da Fase 2 para reestabelecer o túnel IPsec.

Resiliência a falhas de zona de disponibilidade

As zonas de disponibilidade são grupos fisicamente separados de datacenters em cada região do Azure. Quando uma zona falha, os serviços podem fazer o failover de uma das zonas restantes.

Os gateways de rede virtual tem redundância de zona automática quando atendem aos requisitos. A redundância de zona elimina qualquer zona única como um ponto de falha e fornece o nível mais alto de resiliência de zona. Os gateways com redundância de zona oferecem failover automático dentro da região e mantêm a conexão durante a manutenção ou interrupções na zona.

As VMs de gateway do ExpressRoute com redundância de zona são distribuídas automaticamente em pelo menos três zonas de disponibilidade.

O seguinte diagrama mostra um gateway de rede virtual com redundância de zona com três VMs de gateway distribuídas entre diferentes zonas de disponibilidade:

Diagrama que mostra um gateway de rede virtual do ExpressRoute com três VMs de gateway distribuídas entre zonas de disponibilidade.

Observação

Não há nenhuma configuração de zona de disponibilidade para circuitos ou conexões. Esses recursos estão localizados em instalações de borda de rede, que não são projetadas para usar zonas de disponibilidade.

No Gateway de VPN do Azure, a redundância de zona significa que as VMs do gateway são distribuídas automaticamente entre várias zonas de disponibilidade.

O seguinte diagrama mostra um gateway de rede virtual com redundância de zona com duas VMs de gateway distribuídas em diferentes zonas de disponibilidade:

Diagrama que mostra um gateway de rede virtual VPN com duas VMs de gateway distribuídas pelas zonas de disponibilidade.

Observação

Não há nenhuma configuração de zona de disponibilidade para gateways de rede local, pois eles são automaticamente resilientes à zona.

Quando você usa um SKU com suporte, qualquer gateway recém-criado tem redundência de zona automática. A redundância de zona é recomendada para todas as cargas de trabalho de produção.

Requirements

  • SKU: Para que um gateway de rede virtual seja com redundância de zona, ele deve usar um SKU que dê suporte à redundância de zona. A tabela a seguir mostra quais SKUs dão suporte à redundância de zona:

    Nome do SKU Dá suporte a zonas de disponibilidade
    Standard Não
    HighPerformance Não
    UltraPerformance Não
    ErGw1Az Yes
    ErGw2Az Yes
    ErGw3Az Yes
    ErGwScale (versão prévia) Yes

  • SKU: Para que um gateway de rede virtual seja com redundância de zona, ele deve usar um SKU que dê suporte à redundância de zona. Todas as camadas do Gateway de VPN do Azure dão suporte à redundância de zona, exceto a SKU Básica, que é apenas para ambientes de desenvolvimento. Para obter mais informações sobre opções de SKU, consulte Sobre SKUs de Gateway

  • Endereços IP públicos: Você também deve usar endereços IP públicos de SKU padrão e configurá-los para serem com redundância de zona.

Custo

Os gateways com redundância de zona para o ExpressRoute exigem SKUs específicos, que podem ter taxas por hora mais altas em comparação com SKUs de gateway padrão devido a funcionalidades aprimoradas e características de desempenho. Para obter informações sobre preços, consulte os preços do Azure ExpressRoute.

Não há custo adicional para um gateway implantado em várias zonas de disponibilidade, desde que você use um SKU com suporte. Para obter informações sobre preços, consulte os preços do Gateway de VPN.

Configurar o suporte à zona de disponibilidade

Esta seção explica como configurar a redundância de zona para seus gateways de rede virtual.

  • Altere a configuração da zona de disponibilidade de um gateway de rede virtual existente. Os gateways de rede virtual que você já criou podem não ter redundância de zona. Você pode migrar um gateway que não é de zona para um gateway com redundância de zona com tempo de inatividade mínimo. Para obter mais informações, consulte Sobre consolidação de SKU &migração.

Comportamento quando todas as zonas estão saudáveis

A seção a seguir descreve o que esperar quando o gateway de rede virtual está configurado para redundância de zona e todas as zonas de disponibilidade estão operacionais.

  • Roteamento de tráfego entre zonas: O tráfego do seu ambiente local é distribuído entre as VMs de gateway em todas as zonas que o gateway usa. Essa configuração ativa-ativa garante o desempenho ideal e a distribuição de carga em condições operacionais normais.

    No entanto, se você usar o FastPath para desempenho otimizado, o tráfego do seu ambiente local ignorará o gateway, o que melhorará a taxa de transferência e reduzirá a latência. Para obter mais informações, consulte Sobre o ExpressRoute FastPath.

  • Replicação de dados entre zonas: Nenhuma replicação de dados ocorre entre zonas porque o gateway de rede virtual não armazena dados persistentes do cliente.

  • Roteamento de tráfego entre zonas: A redundância de zona não afeta a forma como o tráfego é roteado. O tráfego é roteado entre as VMs do seu gateway com base na configuração dos seus clientes. Se o gateway usar a configuração ativo/ativo e usar dois endereços IP públicos, as duas VMs de gateway poderão receber o tráfego e, para a configuração ativo/em espera, o tráfego será roteado para uma só VM de gateway primário selecionada pelo Azure.

  • Replicação de dados entre zonas: O Gateway de VPN do Azure não precisa sincronizar o estado da conexão entre zonas de disponibilidade. No modo ativo-ativo, a VM do gateway que processa a conexão VPN é responsável por gerenciar o estado da conexão.

  • Gerenciamento de VM do gateway: A plataforma seleciona automaticamente as zonas para suas VMs de gateway e gerencia o posicionamento entre as zonas. O monitoramento de integridade garante que apenas as VMs de gateway saudáveis recebam tráfego.

Comportamento durante uma falha de zona

A seção a seguir descreve o que esperar quando o gateway da rede virtual estiver configurado para redundância de zona e ocorre uma interrupção na zona de disponibilidade.

  • Detecção e resposta: A plataforma do Azure detecta e responde a uma falha em uma zona de disponibilidade. Você não precisa iniciar um failover de zona.

  • Solicitações ativas: Todas as solicitações ativas conectadas por meio de VMs de gateway na zona com falha são encerradas. Os aplicativos cliente devem repetir as solicitações seguindo as diretrizes de como lidar com falhas transitórias.

  • Perda de dados esperada: Não é esperado que falhas de zona causem perda de dados porque os gateways de rede virtual não armazenam dados persistentes do cliente.

  • Tempo de inatividade esperado: Durante interrupções de zona, as conexões podem sofrer breves interrupções que normalmente duram até um minuto à medida que o tráfego é redistribuído. Os aplicativos cliente devem repetir as solicitações seguindo as diretrizes de como lidar com falhas transitórias.

  • Redirecionamento de tráfego: A plataforma distribui automaticamente o tráfego para VMs de gateway em zonas íntegras.

    As conexões habilitadas para FastPath mantêm o roteamento otimizado durante todo o processo de failover, garantindo um efeito mínimo no desempenho do aplicativo.

  • Redirecionamento de tráfego: O tráfego redireciona automaticamente para a outra VM de gateway, que está em uma zona de disponibilidade diferente.

Recuperação de zona

Quando a zona de disponibilidade afetada se recupera, o Azure restaura automaticamente todas as VMs de gateway na zona recuperada e retorna à distribuição de tráfego normal em todas as zonas que o gateway usa.

Testar falhas em zonas

A plataforma Azure gerencia o roteamento de tráfego, o failover e o failback para gateways de rede virtual com redundância de zona. Esse recurso é totalmente gerenciado, então você não precisa iniciar ou validar processos de falha de zona de disponibilidade.

Resiliência a falhas em toda a região

Um gateway de rede virtual é um recurso de região única. Se a região ficar indisponível, o gateway também ficará indisponível.

Observação

Você pode usar o SKU do ExpressRoute Premium quando tiver recursos do Azure espalhados por várias regiões. No entanto, o SKU Premium não afeta a forma como o gateway está configurado e ainda é implantado em uma região. Para obter mais informações, consulte o que é o Azure ExpressRoute?.

Soluções personalizadas de várias regiões para resiliência

Você pode criar caminhos de conectividade independentes para seu ambiente do Azure usando uma ou mais das seguintes abordagens:

  • Crie vários circuitos do ExpressRoute, que se conectam a gateways em diferentes regiões do Azure.
  • Use uma VPN site a site como backup para o tráfego de emparelhamento privado.
  • Utilize a conectividade de Internet como backup para o tráfego de peering da Microsoft.

Para obter diretrizes detalhadas, veja Projetar para recuperação de desastres com o emparelhamento privado do ExpressRoute.

Você pode implantar Gateways de VPN separados em duas ou mais regiões diferentes. No entanto, cada gateway é anexado a uma rede virtual diferente e os gateways operam de forma independente. Não há nenhuma interação ou replicação de configuração ou estado entre eles. Você também é responsável por configurar seus clientes e dispositivos remotos para se conectar à VPN correta ou alternar entre VPNs conforme necessário.

Resiliência à manutenção do serviço

O Azure executa manutenção regular em gateways de rede virtual para garantir o desempenho e a segurança ideais. Durante essas janelas de manutenção, algumas interrupções de serviço podem ocorrer, mas o Azure projeta essas atividades para minimizar o efeito em sua conectividade.

Durante operações de manutenção planejadas em gateways de rede virtual, o processo é executado em VMs de gateway sequencialmente, nunca simultaneamente. Esse processo garante que haja sempre uma VM de gateway ativa durante a manutenção, minimizando o impacto em suas conexões ativas.

Você pode configurar janelas de manutenção de gateway para se alinhar aos seus requisitos operacionais, reduzindo a probabilidade de interrupções inesperadas.

Para obter mais informações, consulte Configurar a manutenção controlada pelo cliente para gateways do ExpressRoute.

Para obter mais informações, consulte Configurar janelas de manutenção para seus gateways de VNet.

Contrato de nível de serviço

O acordo de nível de serviço (SLA) dos serviços do Azure descreve a disponibilidade esperada de cada serviço e as condições que sua solução deve atender para alcançar essa expectativa de disponibilidade. Para obter mais informações, consulte SLAs para serviços online.

ExpressRoute fornece um SLA de alta disponibilidade que garante alta disponibilidade para suas conexões. SLAs de disponibilidade diferentes se aplicam caso você implante em múltiplos locais de emparelhamento (sites), utilize o ExpressRoute Metro ou possua uma configuração de site único.

Todos os SKUs de Gateways de VPN que não sejam o Basic são elegíveis para um SLA de maior disponibilidade. O SKU Básico fornece um SLA de menor disponibilidade e recursos limitados e só deve ser usado para teste e desenvolvimento. Para obter mais informações, consulte SKUs de Gateway – Cargas de trabalho de produção versus Dev-Test

Conteúdo relacionado

  • Last updated on