Creazione di una connessione Azure per un MVE con Fortinet SD-WAN

Puoi creare una connessione di rete da un MVE (un FortiGate) ad Azure ExpressRoute con Virtual Cross Connect (VXC). Puoi creare una connessione privata o pubblica (Microsoft).

Ci sono tre parti per aggiungere una connessione ExpressRoute al tuo MVE e FortiManager.

1. Imposta il tuo piano ExpressRoute e distribuisci il circuito ExpressRoute nella console Azure. Quando è distribuito, ottieni una chiave di servizio. Per ulteriori dettagli, consulta la documentazione Microsoft ExpressRoute.

2. Nel Megaport Portal, crea una connessione (VXC) dal tuo MVE alla tua posizione ExpressRoute.

3. In FortiManager, crea una nuova interfaccia e aggiungi i dettagli della connessione ExpressRoute.

Le istruzioni in questo argomento descrivono la seconda e la terza parte.

Aggiunta della connessione ExpressRoute nel Megaport Portal

Per configurare la connessione ExpressRoute, devi creare la connessione nel Megaport Portal.

Per creare una connessione ad ExpressRoute dal Megaport Portal

1. Nel Megaport Portal, vai alla pagina Servizi e seleziona l’MVE che vuoi utilizzare.

2. Clicca su +Connessione sull’MVE.
   

3. Clicca sulla scheda Cloud.

4. Seleziona Microsoft Azure come provider.
   

5. Aggiungi la chiave di servizio ExpressRoute nel campo Chiave di Servizio Microsoft Azure sulla destra.
   Il Portal verifica la chiave quindi visualizza le posizioni di porta disponibili in base alla regione ExpressRoute. Ad esempio, se il tuo servizio ExpressRoute è distribuito nella regione Australia Est a Sydney, puoi selezionare le posizioni di Sydney.

6. Seleziona il punto di connessione per la tua prima connessione.
   Per distribuire una seconda connessione (e questo è consigliato), puoi creare un secondo VXC - inserisci la stessa chiave di servizio e seleziona l’altra location di connessione.

   Alcuni link utili compaiono sulla schermata di configurazione alle risorse tra cui la console Azure Resource Manager e alcuni video tutorial.

7. Clicca su Avanti.

8. Specifica i dettagli della connessione:

   • Nome Connessione – Il nome del tuo VXC da visualizzare nella Megaport Portal.

   • Riferimento del Livello di Servizio (opzionale) – Specificare un numero identificativo univoco per il tuo servizio Megaport da utilizzare per scopi di fatturazione, come un numero di centro di costo, un ID cliente unico, o un numero di ordine di acquisto. Il numero di riferimento del livello di servizio appare per ogni servizio nella sezione Prodotto della fattura. Puoi anche modificare questo campo per un servizio esistente.

   • Limite di Velocità – La velocità della tua connessione in Mbps. Il limite di velocità per il VXC sarà limitato al massimo consentito sulla base della chiave di servizio ExpressRoute.

   • Stato VXC – Seleziona Abilitato o Arresta per definire lo stato iniziale della connessione. Per ulteriori informazioni, consulta Spegnimento di un VXC per i test di failover.

     Nota

     Se selezioni Arresta, il traffico non passerà attraverso questo servizio e si comporterà come se fosse inattivo sulla rete Megaport. La fatturazione per questo servizio rimarrà attiva e continuerai ancora a pagare per questa connessione.

   • vNIC A-End – Seleziona una vNIC A-End dall’elenco a discesa. Per ulteriori informazioni su vNIC, consulta Creazione di un MVE nel Megaport Portal.

   • VLAN A-End Preferita (facoltativo) – Specifica un ID VLAN inutilizzato per questa connessione (per ExpressRoute questo è l’S-Tag). Deve essere un ID VLAN unico su questo MVE e può variare da 2 a 4093. Se specifichi un ID VLAN già in uso, il sistema mostra il prossimo numero VLAN disponibile. L’ID VLAN deve essere unico per procedere con l’ordine. Se non specifichi un valore, Megaport ne assegnerà uno.

   • Durata Minima – Seleziona Nessuna durata minima, 12 Mesi, 24 Mesi, o 36 Mesi. Durate più lunghe comportano una tariffa mensile più bassa. 12 Mesi è selezionato di default. Prendi nota delle informazioni visualizzate sullo schermo per evitare penali per recesso anticipato (ETF).

     Abilita l’opzione Rinnovo Durata Minima per i servizi con una durata di 12, 24 o 36 mesi per rinnovare automaticamente il contratto allo stesso prezzo scontato e durata alla fine del contratto. Se non rinnovi il contratto, alla fine del termine, il contratto si convertirá automaticamente in un contratto a tempo indeterminato per il periodo di fatturazione successivo, allo stesso prezzo, senza sconti di durata.

     Per ulteriori informazioni, consulta Prezzi VXC e termini del contratto e Fatturazione di VXC, Megaport Internet, e IX.

   • Etichette Risorsa – Puoi utilizzare le etichette delle risorse per aggiungere i tuoi metadati di riferimento a un servizio Megaport. Per aggiungere un’etichetta:

     1. Clicca su Aggiungi Etichette.
     2. Clicca su Aggiungi Nuova Etichetta.
     3. Inserisci i dettagli nei campi:
        • Chiave – stringa con lunghezza massima 128. I valori validi sono a-z 0-9 _ : . / \ -
        • Valore – stringa con lunghezza massima 256. I valori validi sono a-z A-Z 0-9 _ : . @ / + \ - (spazio)
     4. Clicca su Salva.

     Se hai già etichette di risorse per quel servizio, puoi gestirle cliccando su Gestisci Etichette.

     Avviso

     Non includere mai informazioni sensibili in un’etichetta di risorsa. Le informazioni sensibili includono comandi che restituiscono definizioni di tag esistenti e informazioni che identificheranno una persona o un’azienda.

   • Configura VLAN di peering Azure singola – Di default, questa opzione è abilitata per MVE e consigliamo vivamente di mantenerla abilitata con Fortinet SD-WAN.
     Questa opzione fornisce una soluzione VLAN con tag singolo. Configuri il peering in Azure con la VLAN MVE (A-End) e la VLAN peer impostata in Azure (B-End). Nota, puoi avere solo un tipo di peering (Privato o Microsoft) per VXC con questa opzione.

     Importante

     Se non abiliti questa opzione, il VXC sembra attivo ma non riconosce il traffico.

   • VLAN di peering Azure – Questo valore deve corrispondere alla VLAN A-End per il peering VLAN con tag singolo. Anche una diversa VLAN di peering Azure può essere impostata, se necessario.
     

9. Clicca su Avanti e prosegui con il processo di ordinazione.

Quando la configurazione del VXC è completata, l’icona del VXC è verde.

Nella console di Azure Resource Management, lo stato del provider sarà Provisioned.

Quando è approvvigionato, devi configurare i peerings. Puoi configurare il peering privato e Microsoft. Clicca sul peer da configurare e fornisci questi dettagli:

• Peer ASN – Inserisci l’ASN per l’MVE.
• Sottoreti IPv4 – Da ciascuna di queste sottoreti, MVE utilizza il primo indirizzo IP utilizzabile e Microsoft utilizza il secondo IP utilizzabile per il suo router.
• ID VLAN – Inserisci la VLAN A-End dall’MVE. (Nota, l’ID VLAN nella console Azure può essere diverso dalla VLAN A-End).
• Chiave condivisa – (Facoltativo) Inserisci una password MD5 per BGP.

Aggiunta della connessione ExpressRoute a FortiManager

Dopo aver creato la connessione dal tuo MVE ad Azure e impostato la connessione nella console Azure, devi configurarla in FortiManager. Questo comporta la creazione di un’interfaccia e la configurazione delle impostazioni BGP, ASN, VLAN e valori MD5.

Per aggiungere la connessione Cloud Azure in FortiManager

1. Raccogli i dettagli della connessione dalla console Azure.
   Mostra i dettagli della connessione che hai creato in Azure per questa connessione. Nota i valori per il Peer ASN, Chiave condivisa, ID VLAN, e Subnet IPv4 principale.

2. Raccogli i dettagli della connessione dal Megaport Portal.
   Clicca sull’icona a ingranaggio per la connessione Azure dal tuo MVE e clicca sulla vista Dettagli. Nota il valore per la VLAN A-End.

3. Accedi a FortiManager.

   Nota

   Puoi anche accedere alla tua istanza MVE: https://<mve-ip-address>

4. Dal tuo dispositivo gestito, vai al menu Sistema e scegli Interfaccia.
   
   La pagina mostra port1 come tua interfaccia fisica.

5. Clicca su +Crea Nuovo > Interfaccia e fornisci queste informazioni:

   • Nome Interfaccia – Specifica un nome significativo per l’interfaccia.
   • Nome Alias (facoltativo) – Inserisci un nome alternativo.
   • Tipo – Scegli VLAN.
   • Interfaccia – Scegli l’interfaccia madre: port1.
   • ID VLAN – Specifica la VLAN A-End elencata per questa Connessione Azure nel Megaport Portal.
   • Ruolo – Scegli Non definito.
   • Modalità di Indirizzamento – Seleziona Manuale.
   • IP/Maschera di rete – Questi valori sono disponibili nella console Azure. Gli indirizzi IP e il CIDR appaiono nel campo Subnet IPv4 primaria; MVE utilizza il primo indirizzo IP utilizzabile e Azure utilizza il secondo indirizzo IP utilizzabile per il suo router. Per questo campo, inserisci l’indirizzo IP di MVE (il primo utilizzabile).
   • Accesso Amministrativo - Specifica come vuoi accedere a questa interfaccia, ad esempio HTTPS, PING e SSH.
   • Server DHCP - Clicca su OFF.
     

6. Clicca su OK.
   La nuova interfaccia VLAN appare con la tua interfaccia fisica port1.

Puoi eseguire un comando execute ping da FortiOS per verificare la connessione.

A questo punto, abbiamo creato l’interfaccia e successivamente dobbiamo creare la sessione BGP.

1. In FortiManager, vai a Router > BGP.
   

2. Fornisci queste informazioni:

   • AS Locale – Fornisci l’ASN per la connessione MVE. Usa il Peer ASN dalla console Azure.
   • ID Router – Inserisci il primo indirizzo IP utilizzabile dalla Subnet IPv4 Primaria dalla console Azure.
     

3. In Vicini, clicca su +Crea Nuovo.

4. Per l’IP del vicino, aggiungi il secondo indirizzo IP utilizzabile dalla Subnet IPv4 Primaria dalla console Azure.

5. Per ASN Remoto, inserisci l’ASN lato Azure di 12076.
   Questo è un valore fisso e appare nei dettagli di connessione sulla console Azure.

6. Clicca su OK.

7. Clicca su Applica.
   Il vicino è configurato, ma dobbiamo aggiungere le informazioni di autenticazione BGP se hai definito queste nella console Azure. (Questo era facoltativo.) L’interfaccia web non ti permette di definirli e devi utilizzare la linea di comando per aggiungere i dettagli BGP.

8. Accedi all’istanza MVE tramite SSH utilizzando il tuo file di chiave privata.
   Ad esempio
   ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX

9. Usa questi comandi per aggiungere una password per il vicino BGP.

config router bgp
    config neighbor
        edit "<ip vicino>"
            set password <password autentica>
        next
    end

Verifica della tua connessione Azure

Puoi rivedere i dettagli di connessione, compreso lo stato di connessione, dalla CLI con questi comandi:

• get system interface – Mostra i dettagli di configurazione e lo stato attuale per le interfacce del dispositivo.
• get router info bgp neighbor <ip-address> – Mostra i dettagli di configurazione e lo stato attuale per i vicini BGP.