Lokale Rechenzentren direkt an Azure anbinden Azure ExpressRoute Direct: VPN für Azure

Azure ExpressRoute Direct verbindet lokale Infrastrukturen über dedizierte Ports an weltweit verteilten Peeringstandorten mit dem Microsoft-Backbone. Die Lösung eignet sich für umfangreiche Datentransfers, segmentierte Netzarchitekturen und hochregulierte Umgebungen. Der folgende Artikel beleuchtet Funktionsweise, technische Anforderungen und praxisnahe Einsatzszenarien.

Azure ExpressRoute Direct richtet dedizierte 10- oder 100-GBit-Ports ein, die sich mit Microsoft Enterprise Edge- Routern koppeln. Diese Ports bilden ein Aktiv-Aktiv-Paar und liefern eine konsistente Übertragungsleistung über zwei physische Strecken.

Beide Strecken verteilen den Verkehr gleichmäßig, wodurch hohe Durchsatzraten und eine strukturierte Redundanz entstehen. Unternehmen koppeln ihre Infrastruktur an Peeringstandorte, an denen Microsoft-Router betrieben werden. Die Portzuweisung erlaubt die Nutzung mehrerer virtueller Leitungen innerhalb eines Portpaars und schafft damit eine fein abgestufte Segmentierung für unterschiedliche Geschäftseinheiten.

Bildergalerie

Für Unternehmen und Administratoren folgt daraus eine größere Verantwortung für Planung, Betrieb und Kapazitätsführung. Die direkte Kontrolle über Ports und Leitungen ergänzt die bestehende Netzwerkinfrastruktur um einen eigenen Zugangspunkt zum Microsoft-Backbone, der sich präzise steuern lässt. Administratoren definieren VLAN-Zonen, BGP-Sitzungen und Leitungsgrößen ohne Vorgaben eines Providers und strukturieren dadurch interne Mandanten, Entwicklungsbereiche oder regulierte Bereiche mit hoher Trennungstiefe. Gleichzeitig entsteht ein höherer Anspruch an Monitoring, optische Signalprüfung und Routingdesign, da jede Anpassung im eigenen Verantwortungsbereich liegt. Unternehmen gewinnen damit eine Verbindung, die sich eng an interne Sicherheitsvorgaben und Leistungsprofile anpasst, benötigen jedoch erfahrene Teams, die Portzustände, Auslastung und Redundanzmechanismen aktiv verfolgen und optimieren.

Verbindungsmuster im Rechenzentrum

Organisationen entscheiden sich entweder für eine direkte Platzierung eigener Router im Colocation-Standort oder für die Nutzung eines Vermittlers. Die direkte Platzierung bindet ein Kundenrouterpaar im gleichen Standort ein. Eine einfache Glasfaserverbindung zwischen Kundenrack und Microsoft-Rack stellt die L1-Konvergenz her. Die Alternative nutzt Provider wie Megaport, die eigene Hardware im Standort betreiben. Der Kunde führt seine Verbindung bis zum Provider, der die Verbindung zu Microsoft übernimmt. Diese Variante eignet sich für Szenarien, in denen kein Equipment in einer Fremdfläche aufgebaut werden soll. Beide Varianten erzeugen die gleiche technische Qualität, unterscheiden sich jedoch bei Aufwand, Kosten und Betreiberverantwortung.

Portbereitstellung und Kapselung

Die Erstellung einer ExpressRoute Direct Ressource erfolgt über Azure Portal, PowerShell oder CLI. Unternehmen wählen Peeringstandort, Bandbreite und Kapselung. Dot1Q und QinQ beschreiben zwei unterschiedliche Verfahren zur Kennzeichnung von Datenverkehr auf Ethernet-Strecken. Dot1Q nutzt einen einzelnen VLAN-Tag.

Dieser Tag markiert ein Datenpaket eindeutig und legt fest, zu welchem logischen Netz es gehört. Jede Leitung innerhalb des gleichen Portpaars braucht dadurch eine eigene VLAN-ID, was die Zahl möglicher Segmente begrenzt. QinQ ergänzt diesen Mechanismus um einen zweiten Tag. Azure vergibt den äußeren Tag automatisch, der innere Tag wird auf Kundenseite gesetzt. Die Kombination aus beiden Tags trennt Leitungen sauber voneinander, selbst wenn identische VLAN-IDs genutzt werden. QinQ erzeugt damit zusätzliche Struktur und bietet mehr Spielraum für komplexe Designs mit mehreren parallelen Leitungen.

Wesentliche technische Parameter

Die Microsoft Edge-Router stellen 10- und 100-GBit-Ports zur Verfügung. IPv4 und IPv6 sind gleichzeitig nutzbar, die MTU beträgt 1500 Byte. Die Kundenseite muss Dot1Q oder QinQ unterstützen und mehrere BGP-Sitzungen pro Gerät akzeptieren. LACP oder MLAG sind nicht verfügbar. Der Betrieb setzt synthetisch einen stabilen L1-Pfad voraus. Azure zeigt im Portal optische Leistungspegel an. Werte zwischen minus 1 und minus 9 dBm signalisieren eine korrekte Signaleinprägung. Abweichungen deuten auf Patchfehler oder defekte Anschlüsse hin.

Einbindung über Letter of Authorization

Die Erstellung einer Ressource liefert ein Letter of Authorization Dokument, das gegenüber der Colocation-Verwaltung die Berechtigung für den Cross-Connect nachweist. Der Standortbetreiber verbindet beide Seiten über einen zentralen Verteilraum. Erst nach Abschluss dieser Arbeiten wird der Verwaltungsstatus für jeden Port aktiviert. Dieser Schritt startet auch die Abrechnung. Eine Kontrolle der optischen Werte bestätigt, ob die Verbindung korrekt verläuft.

Aufbau der logischen Leitungen

Nach der physischen Bereitstellung folgen die logischen ExpressRoute Leitungen. Diese werden im gleichen Abonnement erzeugt und erhalten eigene SKUs. Die Bandbreite jeder Leitung darf die Gesamtkapazität des Portpaars nicht überschreiten. Kunden können mehrere Leitungen für Produktion, Test und Sonderanwendungen anlegen. Azure verwaltet VLAN-Zuordnungen automatisch. Jede Leitung erhält private Peeringadressen und eine BGP-Konfiguration für beide Ports. Microsoft Peering steht als Option zur Verfügung, wenn zusätzliche Dienste wie SaaS-Plattformen oder PaaS-Komponenten angebunden werden sollen.

Routing und Testbetrieb

Nach dem Einrichten der BGP-Peers beginnt die Weitergabe der lokalen Präfixe und der Azure VNet-Präfixe. Beide Ports halten aktive Sitzungen. Bei einem Portfehler übernimmt die zweite Verbindung ohne sichtbare Unterbrechung. Testpings, Traceroutes und Applikationsprüfungen bestätigen die korrekte Weiterleitung über den privaten Pfad. Der Zugriff auf Azure-VMs erfolgt über die private Route, ohne Kontakt zum öffentlichen Netz. Anschließend werden VNets an den Circuit gebunden.

Ratenbegrenzung zur Stabilisierung komplexer Umgebungen

ExpressRoute Direct erlaubt die Aktivierung einer Ratenbegrenzung pro Leitung. Die Bandbreitenkontrolle verhindert unkontrollierte Lastspitzen und macht die Portnutzung planbarer. Bei Überschreitungen um mehr als zwanzig Prozent auf einem Link reduziert Azure die Rate auf den konfigurierten Wert. Die Funktion eignet sich für Umgebungen mit kritischen Latenzanforderungen oder strengen Kapazitätsvorgaben. Eine Deaktivierung ist jederzeit möglich. Überwachung erfolgt über Metriken wie DroppedInBitsPerSecond und DroppedOutBitsPerSecond.

MACsec im Colocation Umfeld

ExpressRoute Direct ist die einzige Variante im ExpressRoute Portfolio, die MACsec auf Layer 2 anbietet. MACsec verschlüsselt direkte Verbindungen zwischen Kundenrouter und Microsoft Router. Dies erhöht die Sicherheit im Colocation-Standort. Die Verschlüsselung integriert sich ohne Anpassungen in den ExpressRoute Datenpfad.

Vorteile, Einschränkungen und reale Auswirkungen

ExpressRoute Direct kombiniert direkte Kontrolle, fein segmentierbare Multicircuit-Strukturen, hohe Bandbreite und integrierte Verschlüsselung. Die Lösung bietet einen definierbaren Pfad für Lastspitzen, Datensicherung, KI-Datenströme oder VDI-Szenarien. Die volle Verantwortung für Kapazität, L1-Verbindungen und Routerdesign liegt auf Kundenseite. Dieser Punkt führt in manchen Organisationen zu höherem Betriebsaufwand. Bei fehlender Colocation-Infrastruktur oder begrenztem Budget kann ein Provider-Modell praktikabler wirken. Auch die Abschaltung eines Ports während monatlicher Wartungsfenster verlangt ausgeglichene Kapazitätsplanung. Ein falsch dimensionierter Aufbau kann damit zu Engpässen führen.

Praxisnaher Abschluss

In typischen Projekten beginnt der Ablauf mit der Auswahl eines geeigneten Peeringstandorts, gefolgt von der Portbereitstellung im Azure Portal und dem späteren Cross-Connect im Rechenzentrum. Nach der Aktivierung der Ports erfolgt die Konfiguration der Leitungen, die Einrichtung von BGP, das Routing und die Bindung an VNets. Der kontrollierte Aufbau schafft eine private Verbindung, die sich wie eine erweiterte LAN-Struktur anfühlt und große Datenmengen zuverlässig transportiert.

(ID:50682141)