Разработка маршрутизации для Office 365 и Azure Express Route

Question

После прочтения документации Azure я все еще не могу понять, можем ли мы спроектировать маршрутизацию для нашего Express Route способом, описанным ниже.

Мы планируем использовать один прокси-сервер (с одним общедоступным ip) для всего трафика O365. (предназначено только для O365). Очевидно, что часть трафика O365 может и должна использовать ER, но некоторые должны использовать Интернет (CDN, DNS и т. Д.).

Цель состоит в том, чтобы объявить IP-адрес прокси-сервера к ER как / 32, а к Интернету как /22.

.

Меня беспокоит «асимметричная маршрутизация». Может ли этот тип маршрутизации создать проблему, когда Microsoft отправит трафик на наш прокси-сервер через ER, а выходной путь из нашей AS лежит через Интернет?

PS. Мне известно, что часть трафика не должна быть "прокси" или подвергнута DPI. Это требование безопасности.

Answer 1

У вас не должно быть проблем с настройкой. Учитывая, что вы используете 2 разных адресных пространства / CIDR публичных IP-адресов, предоставленных вашим провайдером.

Публичный IP-адрес / 32 будет объявлен Azure Microsoft Peering по экспресс-маршруту через BGP. Azure, с другой стороны, Azure будет рекламировать публичные IP-адреса служб, которые вы используете. Которые можно контролировать с помощью фильтров маршрута. Примечание: ASN и Public IP должны быть проверены для NAT.

Переходя к асимметричному аспекту, который вас беспокоит. Сервисы o365 не будут распространять маршруты на другие сервисы, отличные от O365, такие как Storage / CDN / DNS. Тем не менее, все, что исходит от 22 CIDR, будет обслуживаться службой не-O355 и будет передаваться через Интернет.

Боязнь асимметрии возникает, когда вы используете сервисы O365 через Интернет, а не по экспресс-маршруту. Тогда есть вероятность асимметрии.

Экземпляр 1: CIDR / 22 объявляется для Azure по экспресс-маршруту, и вы случайно пользуетесь услугами O-365 через Интернет. Поскольку в облаке O365 маршрут заполнен для использования экспресс-маршрута, обратный трафик из Azure будет проходить по каналу ExR. Это будет помечено как асимметричный маршрут.

Надеюсь, я прояснил ваши сомнения по поводу архитектуры. Сообщите мне, если у вас возникнут дополнительные вопросы, когда вы приступите к этой конфигурации.