Citrix SD-WAN Center

Microsoft Azure Virtual WAN

Microsoft Azure Virtual WAN und Citrix SD-WAN bieten vereinfachte Netzwerkkonnektivität und zentralisierte Verwaltung über hybride Cloud-Workloads hinweg. Sie können die Konfiguration von Zweiganwendungen automatisieren, um eine Verbindung mit dem Azure-WAN herzustellen und Richtlinien für die Verwaltung von Zweigstellen entsprechend Ihren geschäftlichen Anforderungen konfigurieren. Die integrierte Dashboard-Schnittstelle bietet sofortige Einblicke in die Problembehandlung, die Zeit sparen und Transparenz für große Site-zu-Site-Konnektivität bietet.

Mit Microsoft Azure Virtual WAN können Sie vereinfachte Konnektivität zu Azure Cloud-Arbeitslasten aktivieren und Datenverkehr über das Azure-Backbone-Netzwerk und darüber hinaus weiterleiten. Azure bietet über 54 Regionen und mehrere Anwesenheitspunkte auf der ganzen Welt dienen Azure Regionen als Hubs, die Sie für eine Verbindung mit den Zweigen auswählen können. Nachdem die Zweige verbunden sind, verwenden Sie den Azure-Clouddienst über Hub-zu-Hub-Konnektivität. Sie können die Konnektivität vereinfachen, indem Sie mehrere Azure-Dienste einschließlich Hub-Peering mit Azure VNETs anwenden. Hubs dienen als Verkehrs-Gateways für die Filialen.

Microsoft Azure Virtual WAN bietet folgende Vorteile:

  • Integrierte Konnektivitätslösungen in Hub und Spoke: Automatisieren der Konnektivität und Konfiguration zwischen on-premises und dem Azure Hub aus verschiedenen Quellen, einschließlich verbundener Partnerlösungen.

  • Automatisierte Einrichtung und Konfiguration — Verbinden Sie Ihre virtuellen Netzwerke nahtlos mit dem Azure-Hub.

  • Intuitive Problembehandlung — Sie können den End-to-End-Ablauf in Azure anzeigen und diese Informationen verwenden, um erforderliche Aktionen durchzuführen.

Hub-zu-Hub-Kommunikation

Ab Version 11.1.0 unterstützt Azure Virtual WAN die Hub-zu-Hub-Kommunikation mit der Standardtypmethode.

Azure Virtual WAN-Kunden können jetzt das globale Microsoft-Netzwerk für die regionsübergreifende Kommunikation zwischen Hubs und Hubs nutzen (Architektur mit globalem Transitnetzwerk). Dadurch können Sie Azure, eine Zweigstelle über den Azure Und eine Zweigstelle für Hub-Kommunikation (in allen Azure Regionen) erreichen.

Sie können Azure nur für die regionsübergreifende Kommunikation verwenden, wenn Sie die Standard-SKU für Azure Virtual WAN erwerben. Einzelheiten zur Preisgestaltung finden Sie unter Virtual WAN-Preisgestaltung. Mit der Basic-SKU können Sie das Backbone von Azure nicht für die Kommunikation zwischen Hub und Hub zwischen Regionen verwenden. Weitere Einzelheiten finden Sie unter Global Transit-Netzwerkarchitektur und Virtual WAN.

Hubs werden in einem virtuellen WAN miteinander verbunden. Damit wird bedeutet, dass eine mit einem lokalen Hub verbundene Zweigstelle, ein Benutzer oder ein VNet mit einem anderen Zweigstellen oder VNet über die vollständige Mesh-Architektur der verbundenen Hubs kommunizieren kann.

Mit dem über Einen Hub verbundenen Framework können Sie auch VNets in einem Hub verbinden, der durch den virtuellen Hub übertragen wird, und VNets über einen Hub.

Es gibt zwei Typen des virtuellen WAN:

  • Basic:Mit der Methode “Basic” erfolgt die Kommunikation zwischen Hub und Hub innerhalb einer Region. Mit dem WAN-Typ “Basic” können Sie einen Basic Hub (SKU = Basic) erstellen. Einfache Hubs sind auf die Site-to-Site-VPN-Funktionalität beschränkt.

  • Standard:Bei Verwendung der Standardmethode erfolgt die Kommunikation zwischen Hub und Hub zwischen verschiedenen Regionen. Ein Standard-WAN trägt zur Erstellung eines Standardhubs (SKU = Standard) bei. Standardhubs enthalten ExpressRoute, Benutzer-VPN (P2S), vollständigen Mesh-Hub und VNet-zu-VNet-Übertragung über die Hubs.

    Standard

Erstellen von Azure Virtual WAN Service in Microsoft Azure

Führen Sie folgende Schritte aus, um die Azure Virtual WAN-Ressource zu erstellen:

  1. Melden Sie sich am Azure Portal an und klicken Sie auf Create a resource.

    Erstellen einer Ressource

  2. Suchen Sie “Virtual WAN” und klicken Sie auf “Create”.

  3. Geben Sie unter “Basic”die Werte für die folgenden Felder ein:

    • Subscription:Wählen Sie die Abonnementdetails aus der Dropdownliste aus und geben Sie sie an.

    • Ressourcengruppe:Wählen Sie eine vorhandene Ressourcengruppe oder erstellen Sie eine neue.

      Hinweis

      Wenn Sie den Dienstprinzipal für die Azure-API-Kommunikation erstellen, müssen Sie dieselbe Ressourcengruppe verwenden, die das virtuelle WAN enthält. Andernfalls verfügen SD-WAN Orchestrator nicht über ausreichende Berechtigungen für die Authentifizierung bei Azure Virtual WAN-APIs, die eine automatisierte Konnektivität ermöglichen.

    • Ressourcengruppenstandort:Wählen Sie die Region Azure aus der Dropdownliste aus.

    • Name:Geben Sie den Namen für das neue virtuelle WAN ein.
    • Typ:Wählen Sie Standardtyp, wenn Sie die Hub-zu-Hub-Kommunikation zwischen verschiedenen Regionen verwenden möchten, andernfalls wählen Sie Basic.

    Azure

  4. Klicken Sie auf Überprüfen und erstellen.
  5. Überprüfen Sie die zum Erstellen des virtuellen WAN eingegebenen Informationen und klicken Sie auf Erstellen, um die Erstellung des virtuellen WAN abzuschließen.

Die Bereitstellung der Ressource dauert weniger als eine Minute.

Hinweis

Sie können ein Upgrade von Basic auf Standard durchführen, jedoch nicht von Standard zurück auf Basic. Schritte zum Aktualisieren eines virtuellen WAN finden Sie unter Upgrade eines virtuellen WAN von Basic auf Standard.

Erstellen eines Hubs im Azure Virtual WAN

Führen Sie die folgenden Schritte aus, um einen Hub zu erstellen, um die Verbindung von verschiedenen Endpunkten (z. B. on-premises VPN-Geräte oder SD-WAN-Geräte) zu ermöglichen:

  1. Wählen Sie das zuvor erstellte Azure Virtual WAN aus.
  2. Wählen Sie im Bereich Verbindung die Option Hubs aus und klicken Sie auf +New Hub.

    Hub erstellen

  3. Geben Sie unter “Basic”die Werte für die folgenden Felder ein:

    • Region: Wählen Sie die region Azure aus der Dropdownliste aus.
    • Name: Geben Sie den Namen für den neuen Hub ein.
    • Privater Hub-Adressraum: Geben Sie den Adressbereich in CIDR ein. Wählen Sie ein eindeutiges Netzwerk aus, das nur für den Hub reserviert ist.
  4. Klicken Sie auf “Weiter”: Site zu Site > und geben Sie die Werte für folgende Felder ein:

    • Möchten Sie eine Site zu Site erstellen (VPN-Gateway)? : Wählen Sie “Yes”.
    • Gateway Skalierungseinheiten: Wählen Sie die Skalierungseinheiten nach Bedarf aus der Dropdownliste aus.

      Gateway Skalierungseinheit

  5. Klicken Sie auf Überprüfen und erstellen.
  6. Überprüfen Sie die Einstellungen und klicken Sie auf Erstellen, um die Erstellung des virtuellen Hubs zu starten.

Die Bereitstellung der Ressource kann bis zu 30 Minuten dauern.

Erstellen eines Dienstprinzipals für Azure Virtual WAN und Identifizieren von IDs

Damit SD-WAN Orchestrator sich über Azure Virtual WAN-APIs authentifizieren und die automatische Konnektivität aktivieren können, muss eine registrierte Anwendung erstellt und mit den folgenden Anmeldeinformationen für die Authentifizierung identifiziert werden:

  • Abonnement-ID
  • Client-ID
  • Client Secret
  • Mandanten-ID

Hinweis

Wenn Sie den Dienstprinzipal für die Azure-API-Kommunikation erstellen, müssen Sie dieselbe Ressourcengruppe verwenden, die das virtuelle WAN enthält. Andernfalls verfügen SD-WAN Orchestrator nicht über ausreichende Berechtigungen für die Authentifizierung bei Azure Virtual WAN-APIs, die eine automatisierte Konnektivität ermöglichen.

Führen Sie die folgenden Schritte aus, um eine neue Anwendungsregistrierung zu erstellen:

  1. Navigieren Sie im Azure Portal zu Azure Active Directory.
  2. Wählen Sie unter “Verwalten” die Option “App-Registrierung”.
  3. Klicken Sie auf + Neue Registrierung.

    Neue Azure

  4. Geben Sie Werte für die folgenden Felder zum Registrieren einer Anwendung an:

    • Name: Geben Sie den Namen für die Anwendungsregistrierung an.
    • Unterstützte Kontotypen: Wählen Sie Konten in diesem Organisationsverzeichnis nur (* - Einzelmandanten) aus.
    • Umleitungs-URI (optional): Wählen Sie Web aus der Dropdownliste aus und geben Sie eine zufällige, eindeutige URL ein (z. B. https:// localhost:4980).
    • Klicken Sie auf Registrieren.

    Registrieren einer Anwendung

    Sie können die Anwendungs-ID (Client) und die Verzeichnis- (Mandanten)-ID kopieren und speichern, die in SD-WAN Orchestrator für die Authentifizierung beim Azure-Abonnement für die Verwendung der API verwendet werden können.

    Client- und Mandanten-ID

    Erstellen Sie im nächsten Schritt für die Anwendungsregistrierung einen Dienstprinzipalschlüssel für Authentifizierungszwecke.

    Führen Sie folgende Schritte aus, um den Dienstprinzipalschlüssel zu erstellen:

    1. Navigieren Sie im Azure Portal zu Azure Active Directory.
    2. Navigieren Sie unter “Verwalten”zu “App-Registrierung”.
    3. Wählen Sie die zuvor erstellte registrierte Anwendung aus.
    4. Wählen Sie unter Verwaltendie Option Zertifikate und Geheimnisseaus.
    5. Klicken Sie unter Client secretsauf + New client secret.

      Neues Kundengeheimnis

    6. Geben Sie Werte für die folgenden Felder an, um einen geheimen Clientschlüssel hinzuzufügen:
      • Beschreibung:Geben Sie einen Namen für den Dienstprinzipalschlüssel ein.
      • Ablauf:Wählen Sie die Dauer für den Ablauf nach Bedarf aus.

      Hinzufügen eines geheimen Clientschlüssels

    7. Klicken Sie auf Hinzufügen.
    8. Der geheime Clientschlüssel wird in der Spalte “Wert” deaktiviert. Kopieren Sie den Schlüssel in die Zwischenablage. Dies ist der geheime Clientschlüssel, den Sie in SD-WAN Orchestrator eingeben müssen.

      Geheimer Clientschlüssel

      Hinweis

      Sie müssen den geheimen Schlüssel vor dem erneuten Laden der Seite kopieren und speichern, da er anschließend nicht mehr angezeigt wird.

Führen Sie die folgenden Schritte aus, um die entsprechenden Rollen für den Authentifizierungszweck zuzuweisen:

  1. Navigieren Sie im Azure Portal zu der Ressourcengruppe, in der das virtuelle WAN erstellt wurde.
  2. Navigieren Sie zur Zugriffssteuerung (IAM).
  3. Klicken Sie auf ” Hinzufügen” und wählen Sie “Rollenzuweisung hinzufügen”.

    Hinzufügen von Rollenzuweisung

  4. Geben Sie zum Hinzufügen einer Rollenzuweisung Werte für die folgenden Felder an:

    • Role: Wählen Sie “Besitzer” in der Dropdownliste aus. Diese Rolle ermöglicht die Verwaltung aller Ressourcen, einschließlich des Zugriffs auf Ressourcen.
    • Assign access to: Wählen Sie Azure AD Benutzer, Gruppe oder Dienstprinzipalaus.
    • Select: Geben Sie den Namen der zuvor erstellten registrierten Anwendung an und wählen Sie den entsprechenden Eintrag, wenn er angezeigt wird.
  5. Klicken Sie auf Speichern.

    Hinzufügen von Rollenzuweisung2

Zuletzt müssen Sie die Abonnement-ID für das Azure-Konto abrufen. Sie können Ihre Abonnement-ID identifizieren, indem Sie im Azure Portal nach Abonnements suchen.

Abonnement-ID

Nach dem Erstellen des virtuellen WAN melden Sie sich bei der SD-WAN Center-Benutzeroberfläche > Configuration > Azure > Virtual WANan.

Virtuelles WAN

Wählen Sie zwei verschiedene Sites aus und starten Sie die Bereitstellung. Nachdem die Sites bereitgestellt wurden, können Sie beide Sites zwei verschiedenen Hubs zuordnen.

HINWEIS: Standardmäßig ist Branch-to-Branch und BGP deaktiviert. Sie können eine statische Route erstellen oder BGP (unter “Einstellungen”) und eine Branch-to-Branch-Konnektivität aktivieren.

Aktivieren Sie das Kontrollkästchen BGP und Branch-to-Branch und stellen Sie die Tunnel bereit. Nachdem die Tunnel erfolgreich bereitgestellt wurden, können Sie den Status in Microsoft Azure > Ressourcengruppen überprüfen > die ressourcengruppe auswählen, die Sie erstellt haben, und auf VPN-Sitesklicken.

VPN-Sites

Microsoft Azure Virtual WAN