Azure ExpressRoute erweitert das Firmennetz über eine private Verbindung in die Microsoft Cloud. Die Leitung stellt ein Konnektivitätsanbieter bereit, etwa ein Netzbetreiber oder ein Rechenzentrum mit Anschluss an Microsoft. Über ExpressRoute erreichen Unternehmen Dienste in Microsoft Azure und, für bestimmte Szenarien, Microsoft 365.
Weil der Verkehr nicht über das Internet läuft, verspricht Microsoft mehr Zuverlässigkeit, gleichmäßigere Latenzen und höhere Geschwindigkeit als bei einer Internetverbindung.
Wie funktioniert ExpressRoute?
Kern ist der sogenannte Circuit, eine logische Verbindung zwischen dem Firmennetz und Microsoft. Jeder Circuit hat eine Kennung, den Service Key, und ist einem Anbieter und einem Peering-Standort zugeordnet. Er besteht aus zwei Verbindungen zu zwei Microsoft-Routern am Peering-Standort. Die Routen werden per BGP ausgetauscht.
Die Anbindung kann auf drei Arten erfolgen: über ein IP-VPN des Anbieters, über eine Punkt-zu-Punkt-Ethernet-Verbindung oder über eine virtuelle Querverbindung in einem Rechenzentrum. Mit ExpressRoute Direct schließen sich große Organisationen direkt mit 10, 100 oder 400 Gbit/s an das Netz von Microsoft an.
Peering: was über die Leitung erreichbar ist
- Private Peering: verbindet das Firmennetz mit virtuellen Netzwerken in Azure. Server sind über ihre privaten IP-Adressen erreichbar.
- Microsoft Peering: verbindet mit öffentlichen Microsoft-Diensten wie Microsoft 365 und Azure-PaaS-Diensten. Dafür sind eigene öffentliche IP-Adressen nötig. Microsoft empfiehlt ExpressRoute für Microsoft 365 nur in bestimmten Fällen, weil die Dienste für den Zugriff über das Internet gebaut sind.
Bandbreiten, SKUs und Abrechnung
Über Anbieter sind Bandbreiten von 50 Mbit/s bis 10 Gbit/s buchbar. Die SKU Local ist für Azure-Regionen in der Nähe des Peering-Standorts gedacht, die Datenübertragung ist im Portpreis enthalten. Standard erreicht alle Regionen innerhalb einer geopolitischen Region. Premium öffnet den Zugriff auf Regionen weltweit und erhöht die Grenzen für Routen und verbundene Netzwerke. Abgerechnet wird entweder mit unbegrenztem Datenvolumen oder nach ausgehendem Datenvolumen.
Ausfallsicherheit und Verschlüsselung
Ein Circuit ist durch seine zwei Verbindungen redundant, endet aber an einem Peering-Standort. Für höchste Ausfallsicherheit empfiehlt Microsoft zwei Circuits an zwei Standorten. Eine VPN-Verbindung über das Azure VPN Gateway kann zusätzlich als Ausweichpfad dienen.
Wichtig: Privat heißt nicht verschlüsselt. Der Verkehr über ExpressRoute ist standardmäßig nicht verschlüsselt. Bei ExpressRoute Direct lässt sich MACsec einschalten. Für eine Ende-zu-Ende-Verschlüsselung kann ein IPsec-Tunnel über das Private Peering laufen, etwa zwischen Azure VPN Gateway und einer lokalen Firewall wie einer FortiGate.
Wann passt ExpressRoute?
ExpressRoute lohnt sich, wenn große Datenmengen regelmäßig zwischen Rechenzentrum und Azure fließen, wenn Anwendungen gleichbleibende Latenz brauchen oder wenn Vorgaben eine Anbindung ohne Internet verlangen. Für kleinere Standorte reicht meist ein VPN. Für die Administration der Server in Azure kommt unabhängig vom Leitungsweg Azure Bastion in Frage.
Welche Anbindung passt, klärt TOMORIS im Rahmen der Cloud-Kompetenz mit Blick auf Anwendungen, Standorte und Betrieb.