AlpineApps muss einschränken, welche Microsoft-Dienste über ihre ExpressRoute Microsoft Peering-Sitzung erreichbar sind. Sie planen, Routenfilter mit BGP-Communities zu verwenden. Wie wird diese Filterung korrekt implementiert?

Die korrekte Methode zur Einschränkung von Microsoft-Diensten über ExpressRoute Microsoft Peering ist die Verwendung von Routenfiltern. Sie erstellen eine Routenfilter-Ressource in Azure und fügen die spezifischen BGP-Community-Werte der Microsoft-Dienste hinzu, die Sie zulassen möchten. Diese Community-Tags werden von Microsoft veröffentlicht und identifizieren bestimmte Dienstpräfixe. Anschließend ordnen Sie diesen Routenfilter dem Microsoft Peering Ihres ExpressRoute-Circuits zu. Dadurch werden nur die Präfixe der ausgewählten Dienste über das Peering beworben. Die Option, RFC1918-Routenpräfixe zu konfigurieren, ist falsch, da RFC1918 private IP-Adressbereiche sind und nicht zur Filterung öffentlicher Microsoft-Dienste verwendet werden können, noch übersetzt ein Routenfilter diese automatisch in Dienst-Communities. Das Anwenden von eingehenden ACLs auf dem Azure Virtual Network Gateway ist ineffizient und umgeht den Zweck von Routenfiltern, die speziell für dieses Szenario entwickelt wurden. Azure Firewall ist eine Firewall-Lösung und nicht die primäre Methode zur Steuerung, welche Routen über BGP gelernt werden; Routenfilter sind für die BGP-Routenfilterung bei Microsoft Peering vorgesehen.