Azure Networking with ExpressRoute

Transcription

1 CDP-003 Azure Networking with ExpressRoute Mobility & Cloud Technology Dept. 飯島徹

2 お題 vnet? Internet 経由常時接続閉域網経由常時接続負荷分散広域負荷分散

3 おさらい

4 vnet Azure IaaS VPC AWS vswitch vsphere 仮想スイッチ Hyper-V

5 Azure IaaS vnet

6 vnet のアイコン

7 必ず含まれる要素 例 アドレス空間 サブネット / /24

8 複数 ok 例アドレス空間 A /16 サブネット /24 サブネット /24 アドレス空間 B /16 サブネット /24 サブネット /24

9 自動ルーティングの範囲 この vnet の中 ( vnet 標準実装の NAT 経由で ) インターネット

10 vnet Gateway は どことの通信に必要? vnet Gateway その vnet 内 インターネット 不要 vnet Gateway 要 オンプレミス(IPsec VPN or ExpressRoute) 他の vnet

11 vnet Gateway 用の特殊なサブネット アドレス空間 A 例 /16 サブネット /24 サブネット /24 ケ ートウェイサフ ネット /28 アドレス空間 B /16 サブネット /24 サブネット /24 各 vnet に 1 つのみ IPsecVPN の場合 /29 ExpressRoute の場合 /28

12 vnet 標準実装 入れ替え 不可 デフォルトゲートウェイ インターネット接続用 NAT DHCP 入れ替え 可 DNS

13 どんなときに DNS を入れ替えるの? 入れ替え 不要 インターネット上の名前解決のみ その他 ごく一部の名前解決にも使えます 詳細は 入れ替え 要 上記以外の場合 たとえばオンプレミスの名前解決

14 どうやって DNS を入れ替えるの? 登録方法 Azure 管理ポータル PowerShell vnet に DNS を登録することで vnet に属する仮想マシンの起動時に その DNS を見に行くようになります

15 設定例

16

17 確認例

18

19 IPsec VPN

20 拡張にパブリッククラウドを活用 オンプレミス環境 Azure

21 米国政府アイオワ 米国西部カリフォルニア 米国中央部アイオワ 米国中南部テキサス 米国中北部イリノイ 米国東部ヴァージニア 米国東部 2 ヴァージニア 米国政府ヴァージニア 北ヨーロッパダブリン 西ヨーロッパアムステルダム インド ( 西 ) TBD 中国 ( 南 ) 上海 インド ( 東 ) TBD 中国 ( 北 ) 北京 東アジア香港 東日本 東京近郊 西日本 大阪近郊 ブラジル南部サンパウロ 東南アジアシンガポール オーストラリア南東部メルボルン オーストラリア東部シドニー 稼働中 開設を発表

22 拠点が 1 つ増える ( だけ ) 九州拠点 大阪拠点横浜データセンター Azure 東京本社

23 どちらでも ok インターネット Azure Microsoft Azure Azure Microsoft Azure オンプレミス オンプレミス IPsec VPN 接続 閉域網接続

24 どちらでも ok インターネット Azure Microsoft Azure Microsoft Azure オンプレミス IPsec VPN 接続

25 固定費を低く抑えたい 既存設備を利用したい

26 IPsec VPN 接続 Azure オンプレミス環境 インターネット vnet Gateway vnet Microsoft Azure VPN 装置

27 簡易表記 Azure Datacenter 名 厳密にはリーシ ョン名 拠点名 インターネット経由 IPsec VPN 接続

28 応用活用例

29 良 : 拠点間もルーティング! 悪 : 香港からが 遅すぎる! 米国西 シリコンハ レー 香港

30 Azure DC 間が高速に! Azure Backbone 経由 IPsec VPN 接続 米国西 東アシ ア シリコンハ レー 香港

31 ロント ン 東京 北欧 東日本 米国西 東アシ ア シリコンハ レー 香港

32 vnet でグローバル WAN 拠点間もルーティングできる Azure DC 間は広帯域低遅延

33 TIPS:Azure DC 間を より高速に IPsec で暗号化しない! ( デフォルト : 暗号化される ) 目的 :IPsec のオーバーヘッド減少 PowerShell コマンド Get-AzureVNetGatewayIPsecParameters Set-AzureVNetGatewayIPsecParameters

34 設定例

35

36 コレを オンフ レミス環境の IPsec VPN 装置に 対向側 (Azure 側 ) の IP アドレスとして設定

37 ExpressRoute

38 拡張にパブリッククラウドを活用 オンプレミス環境 Azure

39 米国政府アイオワ 米国西部カリフォルニア 米国中央部アイオワ 米国中南部テキサス 米国中北部イリノイ 米国東部ヴァージニア 米国東部 2 ヴァージニア 米国政府ヴァージニア 北ヨーロッパダブリン 西ヨーロッパアムステルダム インド ( 西 ) TBD 中国 ( 南 ) 上海 インド ( 東 ) TBD 中国 ( 北 ) 北京 東アジア香港 東日本 東京近郊 西日本 大阪近郊 ブラジル南部サンパウロ 東南アジアシンガポール オーストラリア南東部メルボルン オーストラリア東部シドニー 稼働中 開設を発表

40 PaaS, SaaS も閉域網で オンプレから直接 Azure IaaS Azure PaaS, Azure SaaS

41 拠点が 1 つ増える ( だけ ) 九州拠点 大阪拠点横浜データセンター Azure 東京本社

42 どちらでも ok インターネット Azure Microsoft Azure Azure Microsoft Azure オンプレミス オンプレミス IPsec VPN 接続 閉域網接続

43 Azure Microsoft Azure Microsoft Azure オンプレミス 閉域網接続

44 インターネット経由だと Azure インターネット Microsoft Azure オンプレミス (Azure からみた ) 送信量が多い場合

45 パブリッククラウド活用? 気になる事項 セキュリティ対応力の高さ運用コストの安さ導入コストの安さネットワークの安定性可用性 信頼性の高さ 42.9% 40.4% 37.9% 35.0% 33.5% 出典 : 株式会社 MM 総研 国内クラウドサービス市場規模 予測と需要動向 2013 年 10 月 (n = 203)

46 お客様ごとに 占有ネットワークを Azure Microsoft Azure オンプレミス (Azure からみた ) 送信量が多い場合

47 接続形態 オンプレミス環境 Azure ( Equinix, IIJ, etc ) 通信キャリア 国内接続会社 ExpressRoute

48 参考価格 :Exchange Provider モデル 2015 年 5 月 13 日現在 所定の量を超えた送信データ転送は 5.1/GB で課金されます

49 参考価格 :Network Service Provider モデル 2015 年 5 月 13 日現在

50 Q. すべての Azure Service が利用できるの? A. ほとんど利用できます が すべてではありません 利用できるサービスは 順次追加されていく予定です 最新のサポート一覧は ココでご覧いただけます

51 Azure Service を閉域網経由で オンプレミス 閉域網 Azure ルータ Azure Public Services(PaaS, SaaS) とのトラフィック Azure IaaS とのトラフィック Azure IaaS

52 Q. ルーティングプロトコルは何? A. BGP です

53 Q. 冗長化されている? A. はい 完全に二重化されます お客様ルータ Azure ルータ Azure ルータ Azure Compute

54 Q. 東に接続したら 西の vnet にも接続できる? A. はい 接続できます Azure 西日本リージョン Azure 東日本リージョン ExpressRoute 接続

55 Q. 東西間の通信って インターネット経由? A. いいえ Microsoft 専用の極太ネットワークです Azure 西日本リージョン Azure 東日本リージョン ExpressRoute 接続

56 Q. 複数拠点から同一 ExpressRoute 回線経由で同じ vnet に接続できる? A. はい できます Azure 東日本リージョン ExpressRoute 接続

57 Q. 既存の WAN があるのですが A. はい 既存 WAN からもご利用いただけます Azure 東日本リージョン 既存の WAN ExpressRoute 接続

58 Q. ExpressRoute と接続している vnet 上の仮想マシンは Internet への直接アクセスはできる? A. はい できます それがデフォルトです

59 IaaS デフォルトのルーティング Azure Public Services Internet オンプレミス Internet Firewall ExpressRoute

60 Q. ExpressRoute と接続している vnet 上の仮想マシンの Internet への直接アクセスを禁止することはできる? A. はい できます BGP で指定します 指定方法に決まりはありませんが たとえば default router( /0) のルーティングをオンプレミス方向に向ける などが考えられます

61 IaaS BGP ルーティング例 Azure Public Services Internet オンプレミス Internet Firewall ExpressRoute

62 Q. よりセキュリティを高めるために やることある? A. はい あります たとえば デフォルトでは IaaS は以下の Internet からの着信を受け付けます 必要に応じて この着信許可 (Azure 用語で EndPoint) を削除します Windows : Remote Desktop, PowerShell Linux : SSH より細かい制御には NSG(Network Security Group) を利用いただけます

63 NSG = L4 パケットフィルタ 送信トラフィック / 受信トラフィック に対して 送信元 IP/ 送信元ポート番号 / 宛先 IP/ 宛先ポート番号 / プロトコル (TCP or UDP or *) で 通信許可 / 通信不許可 を設定する 受信 送信

64 Azure IaaS Load Balancer

65

66 1 2 送信元 : クラ 宛先 :LB 送信元 : クラ 宛先 : サバ 4 3 LB

67 負荷分散アルゴリズムは ハッシュ 選択肢 1 デフォルト送信元 IP, Port 番号宛先 IP, Port 番号 Protocol 選択肢 2 送信元 IP 宛先 IP Protocol 選択肢 3 送信元 IP 宛先 IP

68 片方でも 両方でも パブリック負荷分散 インターネットからの着信用 内部負荷分散 Azure IaaS 内や オンプレミスからの着信用

69 インターネットからの着信

70 オンプレミスからの着信

71 多層での利用例

72 設定例

73

74 Traffic Manager

75 各拠点では 負荷分散冗長構成完了 広域負荷分散では さらに

76 アルゴリズム 1 アクセスしてくる人に最適な パフォーマンス を提供

77 シナリオ例 ビジネスの世界展開

78 遅っ 快 イラッ

79 快 快 快

80 トラフィックの分散先は? インターネット上の どこでも ok Azure オンプレミス その他 最寄りの Azure DC を 指定することで実現

81 アルゴリズム 2 重み付けで 分散割合も指定できる ラウンドロビン

82 シナリオ例 EC サイトを止めずに Azure に移行 リニューアル前 リニューアル後

83 トラフィック量を 徐々に変えて移行 本社データセンタ 100% Azure 東日本 0%

84 動作確認 本社データセンタ 95% Azure 東日本 5%

85 本社データセンタ ハ フォーマンス調整 70% Azure 東日本 30%

86 本社データセンタ 最終確認 50% Azure 東日本 50%

87 本社データセンタ 0% 移行完了 Azure 東日本 100%

88 アルゴリズム 3 明示的な優先順で フェールオーバー

89 シナリオ例 災害対策

90 優先順に 本社データセンタ Azure 東日本 Azure 西日本

91 設定例

92 快 快 快 たとえば 世界中から にアクセス の場合

93 Web サイトを立ち上げる 東日本 Azure DC 西欧 Azure DC 米国西 Azure DC

94 お名前.com さんに代表される レジストラに 登録 ドメイン名登録 hamboxes.com レコード登録 decode IN CNAME decode.trafficmanager.net.

95 日本付近 西欧付近 米国西海岸付近

96

97 確認例

98 墨田区某所で nslookup 日本の Azure DC に 振り分けられている

99 世界 21 カ所から nslookup

100 アクセス元と自動振り分け先

101 Azure Networking の豆知識

102 Internet を通る? NAT Public IP: ? Azure Web Apps (PaaS) IP: Azure VM (IaaS) IP:

103 問題 1 IaaS, PaaS ともに Azure 東日本 A. Internet を必ず通る B. Azure backbone のみ C. 基本的に Azure backbone だが 部分的に Internet も

104 問題 2 IaaS:Azure 東日本 PaaS:Azure 北欧 A. Internet を必ず通る B. Azure backbone のみ C. 基本的に Azure backbone だが 部分的に Internet も

105 問題 3 Azure backbone は A. Azure 間のトラフィックのみ B. Azure 間のトラフィックが優先的に流されるが Internet のトラフィックも流れる C. Microsoft が引いた回線だが Internet のトラフィックも 普通に 流れている

106 問題 4 負荷分散 の利用料金は? A. 利用した 分 単位の課金 B. データ転送量 GB 単位の課金 C. 追加料金ナシ

107 問題 5 DDoS 攻撃対策 A. 追加料金ナシ :Azure 標準サービス B. 追加料金アリ :Azure 有償サービス

108 問題 6 DDoS 攻撃対策 A. 外部から Azure への攻撃 B. Azure から外部への攻撃 C. Azure から Azure への攻撃 ( 他のお客様による攻撃 )

109 まずは お試しを

110