Microsoft AZ-700: ExpressRoute i Łączność WAN — Przewodnik do nauki

By Laurynas Brazys · 1 August 2026 · #microsoft #az-700 #certification #exam-prep #study-guide

Część Microsoft Azure Network Engineer AZ-700 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Podstawy ExpressRoute, modele komunikacji równorzędnej i jednostki SKU

ExpressRoute zapewnia prywatne połączenie o wysokiej przepustowości między Twoimi sieciami lokalnymi a globalną siecią szkieletową firmy Microsoft. Istnieją dwa modele wdrożenia: obwody dostarczane przez dostawcę usług (kolokacja w punkcie wymiany ruchu lub za pośrednictwem partnera) oraz ExpressRoute Direct, w którym zamawiasz fizyczne porty od firmy Microsoft (odpowiednie dla scenariuszy 10/100/400 Gb/s). Łączność logiczna z Azure wykorzystuje komunikację równorzędną (peering): prywatna komunikacja równorzędna dla łączności z VNet, komunikacja równorzędna firmy Microsoft dla platformy Azure i punktów końcowych PaaS oraz (tam, gdzie jest to obsługiwane) migracje ze starszej publicznej komunikacji równorzędnej. Wybory projektowe zależą od przepustowości, zasięgu geograficznego i skali anonsowanych tras. Wybierz jednostkę SKU obwodu na podstawie zasięgu i skali tras, a nie czystej przepustowości, i połącz ją z odpowiedniej wielkości bramą sieci wirtualnej lub koncentratorem Virtual WAN, aby zakończyć połączenie.

Lokalna: komunikacja równorzędna ograniczona do metropolii/regionu lokalizacji peeringu; niższy koszt i mniejszy rozmiar tablicy routingu.
Standardowa: łączność ze wszystkimi publicznymi regionami Azure w tej samej lokalizacji geograficznej; średni koszt i skala tras.
Premium (dodatek): rozszerza zasięg na wszystkie regiony globalne i zwiększa obsługiwaną liczbę tras oraz dołączonych sieci VNet; wymagana dla globalnych topologii tranzytowych i wielu połączonych równorzędnie sieci VNet.

Częste pułapki to założenie, że ExpressRoute oznacza nieograniczoną liczbę tras lub automatyczny routing tranzytowy między sieciami VNet; musisz jawnie ocenić limity tras, typy komunikacji równorzędnej oraz to, czy potrzebujesz dodatku Premium dla globalnego zasięgu lub dodatkowych prefiksów.

Cykl życia aprowizacji, wymagane artefakty i szczegóły konfiguracji

Aprowizacja obwodu ExpressRoute to zadanie wymagające koordynacji między Twoim zespołem sieciowym a dostawcą łączności. Po utworzeniu obwodu w Azure otrzymujesz klucz usługi (ServiceKey/Identyfikator klucza usługi), którego dostawca używa do aprowizacji fizycznego połączenia krosowego. Podczas tworzenia obwodu wybierz lokalizację peeringu (metropolia/kolokacja), przepustowość (od 50 Mb/s do wielu Gb/s w zależności od dostawcy i modelu) oraz skonfiguruj komunikację równorzędną (prywatną i/lub firmy Microsoft) i sieci VLAN/podsieci dla BGP. Zakończ połączenie ExpressRoute w sieci VNet za pośrednictwem bramy sieci wirtualnej (lub w koncentratorze Virtual WAN) albo użyj ExpressRoute Direct, aby połączyć się z brzegiem sieci Microsoft w celu uzyskania bardzo wysokiej przepustowości.

Typowa sekwencja aprowizacji:

Utwórz obwód ExpressRoute w Azure i zapisz klucz usługi (Service Key).
Udostępnij klucz usługi dostawcy i skoordynuj fizyczne połączenie krosowe oraz VLAN.
Skonfiguruj komunikację równorzędną (prywatną/firmy Microsoft), adresy IP i numery ASN równorzędnych partnerów BGP po obu stronach.
Połącz obwód z siecią VNet (lub sieciami VNet) za pomocą połączenia ExpressRoute z bramą sieci wirtualnej lub koncentratorem Virtual WAN i zweryfikuj trasy BGP.

Pamiętaj, aby z góry zaplanować wybór numerów ASN dla BGP, adresy IP routerów równorzędnych, nakładające się przestrzenie adresowe IP oraz wymaganą pojemność jednostki SKU bramy.

FastPath, Global Reach, jednostki SKU bram i kompromisy w zakresie wydajności

ExpressRoute FastPath zmniejsza opóźnienia i zwiększa przepustowość, omijając hosta bramy i przesyłając pakiety bezpośrednio między Twoim urządzeniem lokalnym a kartami sieciowymi maszyn wirtualnych/instancji na ścieżce danych VNet. Jest to idealne rozwiązanie dla obciążeń wrażliwych na opóźnienia, ale ma swoje wymagania i ograniczenia: FastPath wymaga prywatnej komunikacji równorzędnej, obwodu ExpressRoute, który go obsługuje, oraz jednostki SKU bramy sieci wirtualnej, która jawnie obsługuje FastPath (bramy w warstwie Podstawowa nie są obsługiwane). FastPath wpływa również na inspekcję i przepływ ruchu: ponieważ pakiety omijają hosta bramy, wszelkie urządzenia zabezpieczające lub scentralizowana inspekcja, które opierają się na ruchu zwrotnym hostowanym na bramie, mogą nie widzieć tego ruchu, chyba że zaprojektujesz przepływ przez urządzenia NVA umieszczone w ścieżce lub za pomocą wymuszonego tunelowania.

ExpressRoute Global Reach pozwala połączyć co najmniej dwie lokalizacje lokalne za pomocą sieci szkieletowej Microsoft — jest to przydatne, gdy chcesz, aby Microsoft przenosił prywatny ruch między lokalizacjami, zamiast kierować go przez łącza dostawców usług internetowych. Aby używać Global Reach, musisz mieć obwody ExpressRoute w obu lokalizacjach, włączyć Global Reach na tych obwodach i upewnić się, że dostawca to obsługuje. Kompromisy między wydajnością a kosztem są proste: użyj ExpressRoute Direct lub wielu obwodów o wysokiej przepustowości, aby uzyskać dużą przepustowość i odporność; użyj obwodów w warstwie Standardowa/Lokalna dla tańszej łączności tylko w obrębie metropolii; oraz użyj FastPath, gdy liczą się zyski rzędu mikrosekund, ale zaakceptuj zmiany w projekcie dotyczące rozmieszczenia urządzeń NVA i inspekcji pakietów.

Wzorce architektury WAN: Virtual WAN, VPN vs ExpressRoute, routing i typowe pułapki projektowe

Podczas projektowania sieci WAN do Azure wyłaniają się trzy dominujące wzorce: hub-and-spoke z wykorzystaniem Virtual Network Gateway, Virtual WAN (zarządzany hub) ze zintegrowaną łącznością SD-WAN/oddziałów oraz czysta sieć szkieletowa ExpressRoute z peeringiem VNet lub dołączeniami Virtual WAN. Virtual WAN upraszcza łączność z oddziałami i dobrze skaluje się dla wielu tuneli S2S/VPN oraz integracji SD-WAN, ale wiąże się z wyższym bieżącym kosztem i wykorzystuje model routingu huba Virtual WAN. Tradycyjne bramy Virtual Network Gateway (rodziny VpnGw1/2/3) są tańsze dla ograniczonej liczby tuneli, ale wymagają bram dla każdej sieci VNet w scenariuszach tranzytowych. ExpressRoute zapewnia przewidywalne opóźnienia i przepustowość oraz dobrze komponuje się z Virtual WAN, gdy potrzebujesz zarówno łączności przez prywatny szkielet sieci, jak i zarządzanej agregacji oddziałów.

Kluczowe pułapki routingowe i operacyjne obejmują nakładające się przestrzenie adresowe IP między środowiskiem on-premise a sieciami VNet, nieprawidłową konfigurację BGP ASN lub adresu IP peera (musisz włączyć BGP zarówno na Virtual Network Gateway, jak i na swoim urządzeniu brzegowym klienta) oraz niezamierzone reguły UDR lub NSG, które blokują prefiksy nauczone przez BGP. Dodatkowo, należy jasno określić pierwszeństwo routingu: trasy systemowe (BGP/połączone) generalnie mają pierwszeństwo przed UDR, chyba że jawnie skonfigurujesz inaczej następne przeskoki; upewnij się, że wymuszone tunelowanie/wyjścia do internetu oraz punkty inspekcji NVA są przetestowane przy łączeniu ExpressRoute i VPN, a także zweryfikuj obsługiwane limity tras i liczbę tuneli bramy VPN dla wybranej jednostki SKU.

Problem praktyczny: Scenariusz użycia

Scenariusz: Contoso Corp posiada główne centrum danych w Waszyngtonie oraz istniejącą infrastrukturę w Azure z sieciami VNet w regionach East US i East US 2. Contoso ma już obwód ExpressRoute za pośrednictwem dostawcy, połączony w lokalizacji peeringowej w Ashburn, i potrzebuje połączyć drugie centrum danych w Wirginii oraz umożliwić łączność o niskim opóźnieniu między oboma centrami danych a ich sieciami VNet.

Wyzwanie: Potrzebują odpornej, niskopóźnieniowej łączności między centrami danych a Azure, chcą zminimalizować ekspozycję na publiczny internet i wymagają tranzytu przez szkielet sieci Microsoftu między lokalizacjami on-premise bez przebudowy głównego routingu on-premise.

Zalecane podejście:

Zapewnij drugi obwód ExpressRoute w drugim centrum danych i poproś dostawcę o ustanowienie połączenia w tej samej lokalizacji peeringowej (Ashburn). Początkowo użyj obwodu Standard i zaplanuj przejście na Premium, jeśli wymagany będzie globalny zasięg VNet lub zwiększona pojemność tras.
Przekaż dostawcy klucz Service Key każdego obwodu, aby zakończyć połączenia krosowe (cross-connects), a następnie włącz ExpressRoute Global Reach między dwoma obwodami, aby lokalizacje on-premise mogły wymieniać prywatny ruch przez szkielet sieci Microsoftu.
Wdróż lub zaktualizuj Virtual Network Gateway w hubie VNet do jednostki SKU obsługującej ExpressRoute, która wspiera FastPath (unikaj Basic); włącz prywatny peering z BGP, ustaw unikalne lokalne numery ASN i adresy IP peerów, a także rozgłaszaj prefiksy on-premise.
Jeśli istnieją obciążenia wrażliwe na opóźnienia, włącz ExpressRoute FastPath na połączeniu prywatnego peeringu po zweryfikowaniu, że ścieżki inspekcji i urządzenia NVA zostały przeprojektowane, aby uwzględnić ominięcie hosta bramy.

Uzasadnienie: Podwójne obwody z Global Reach zapewniają odporny, prywatny tranzyt przez szkielet sieci Microsoftu między centrami danych a Azure bez wystawiania ruchu na publiczny internet; włączenie FastPath poprawia opóźnienia dla wrażliwych przepływów, ale wymaga wsparcia ze strony jednostki SKU bramy oraz dostosowań projektowych dla inspekcji pakietów i urządzeń NVA.

Wszystkie domeny · Projektowanie Azure Virtual Network →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →