Creación de una conexión a Azure para un MVE con Fortinet SD-WAN

Puede crear una conexión de red desde un MVE (un FortiGate) a Azure ExpressRoute con Virtual Cross Connects (VXCs). Puede crear una conexión privada o una conexión pública (Microsoft).

Importante

Antes de comenzar, cree un MVE (FortiGate) en FortiManager. Para obtener más información, consulte Creación de un MVE integrado con Fortinet.

Hay tres partes para añadir una conexión ExpressRoute a su MVE y FortiManager.

Configure su plan de ExpressRoute y aprovisione el circuito de ExpressRoute en la consola de Azure. Cuando se aprovisiona, obtiene una clave de servicio. Para obtener detalles adicionales, consulte la documentación de Microsoft ExpressRoute documentation.

Para comprobar la latencia y el precio de conectarse a una ubicación de Azure Partner, puede usar el siguiente procedimiento pero en lugar de proporcionar una Microsoft Azure Service Key (Clave de servicio de Microsoft Azure), haga clic en View all Azure Partner locations (Ver todas las ubicaciones de Azure Partner). Puede continuar a la página Detalles de la conexión sin una clave de servicio y revisar los precios del puerto seleccionado. Para realizar un pedido de una conexión de Microsoft Azure, debe proporcionar una clave de servicio.
En el Megaport Portal, cree una conexión (VXC) desde su MVE a su ubicación de ExpressRoute.
En FortiManager, cree una nueva interfaz y añada los detalles de la conexión de ExpressRoute.

Las instrucciones de este tema describen la segunda y la tercera partes.

Nota

MVE para Fortinet SD-WAN requiere pasos de configuración tanto en FortiManager como en el Megaport Portal para todas las conexiones cloud.

Añadir la conexión ExpressRoute en el Megaport Portal

Para configurar la conexión de ExpressRoute, necesita crear la conexión en el Megaport Portal.

Para crear una conexión a ExpressRoute desde el Megaport Portal

En el Megaport Portal, vaya a la página Services (Servicios) y seleccione el MVE que desea usar.
Haga clic en +Connection (Añadir conexión) en el MVE.
Haga clic en el mosaico Cloud.
Seleccione Microsoft Azure como proveedor.
Añada la clave de servicio de ExpressRoute en el campo Microsoft Azure Service Key (Clave de servicio de Microsoft Azure).
El Portal verifica la clave y luego muestra las ubicaciones de puerto disponibles en función de la región de ExpressRoute. Por ejemplo, si su servicio ExpressRoute está aprovisionado en la región Australia East en Sídney, puede seleccionar las ubicaciones de Sídney.
Seleccione el punto de conexión para su primera conexión.
Para desplegar una segunda conexión (y esto es recomendable), puede crear un segundo VXC: introduzca la misma clave de servicio y seleccione la otra ubicación de conexión.

En la pantalla de configuración aparecen algunos enlaces útiles a recursos que incluyen la consola de Azure Resource Manager y algunos videos tutoriales.
Haga clic en Next (Siguiente).
Especifique los detalles de la conexión:
- Connection Name (Nombre de la conexión) – El nombre de su VXC que se mostrará en el Megaport Portal.
- Service Level Reference (Referencia de nivel de servicio) (opcional) – Especifique un número de identificación único para su servicio de Megaport que se utilizará con fines de facturación, como un número de centro de costos, un ID de cliente único o un número de orden de compra. El número de referencia de nivel de servicio aparece para cada servicio en la sección Producto de la factura. También puede editar este campo para un servicio existente.
- Rate Limit (Límite de velocidad) – La velocidad de su conexión en Mbps. El límite de la tasa para el VXC se limitará al máximo permitido en función de la clave de servicio de ExpressRoute.
- VXC State (Estado del VXC) – Seleccione Enabled (Habilitado) o Shut Down (Apagar) para definir el estado inicial de la conexión. Para obtener más información, consulte Apagar un VXC para pruebas de conmutación por error.
  
  Nota
  
  Si selecciona Shut Down (Apagar), el tráfico no fluirá a través de este servicio y se comportará como si estuviera caído en la red de Megaport. La facturación de este servicio seguirá activa y se le seguirá cobrando por esta conexión.
- A-End vNIC (vNIC del extremo A) – Seleccione una vNIC de A-End en la lista desplegable. Para obtener más información sobre vNICs, consulte Creación de un MVE en el Megaport Portal.
- Preferred A-End VLAN (opcional) (VLAN del extremo A preferida (opcional)) – Especifique un ID de VLAN no utilizado para esta conexión (para ExpressRoute este es el S-Tag). Debe ser un ID de VLAN único en este MVE y puede oscilar entre 2 y 4093. Si especifica un ID de VLAN que ya está en uso, el sistema muestra el siguiente número de VLAN disponible. El ID de VLAN debe ser único para continuar con el pedido. Si no especifica un valor, Megaport asignará uno.
- Minimum Term (Plazo mínimo) – Seleccione Sin plazo mínimo, 12 meses, 24 meses, 36 meses, 48 meses o 60 meses. Los plazos más largos se traducen en una tarifa mensual más baja. 12 meses está seleccionado de forma predeterminada. Tenga en cuenta la información en la pantalla para evitar cargos por terminación anticipada (ETF).
  
  Habilite la opción Renovación del plazo mínimo para servicios con un plazo de 12, 24, 36, 48 o 60 meses para renovar automáticamente el contrato al mismo precio con descuento y con la misma duración del plazo al finalizar el contrato. Si no renueva el contrato, al final del plazo, el contrato pasará automáticamente a un contrato mes a mes para el siguiente período de facturación, al mismo precio, sin descuentos por plazo.
  
  Para obtener más información, consulte Precios y términos de contrato de VXC y Facturación de VXC, Megaport Internet, e IX.
- Resource Tags (Etiquetas de recursos) – Puede usar etiquetas de recursos para añadir sus propios metadatos de referencia a un servicio de Megaport.
  Para añadir una etiqueta:
  1. Haga clic Add Tags (Añadir etiquetas).
  2. Haga clic Add New Tag (Añadir nueva etiqueta).
  3. Introduzca los detalles en los campos:
    - Key (Clave) – cadena de longitud máxima 128. Los valores válidos son a-z 0-9 _ : . / \ -
    - Value (Valor) – cadena de longitud máxima 256. Los valores válidos son a-z A-Z 0-9 _ : . @ / + \ - (espacio)
  4. Haga clic Save (Guardar).
  Si ya tiene etiquetas de recursos para ese servicio, puede administrarlas haciendo clic en Manage Tags (Administrar etiquetas).
  
  Advertencia
  
  Nunca incluya información confidencial en una etiqueta de recurso. La información confidencial incluye comandos que devuelven definiciones de etiquetas existentes e información que identificará a una persona o a una empresa.
- Configure Single Azure Peering VLAN (Configurar VLAN de peering única de Azure) – De forma predeterminada, esta opción está habilitada para MVE y recomendamos encarecidamente mantenerla habilitada con Fortinet SD-WAN.
  Esta opción proporciona una solución de VLAN de etiqueta única. Configura el peering en Azure con la VLAN del MVE (A-End) y la VLAN del peer definida en Azure (B-End). Tenga en cuenta que solo puede tener un tipo de peering (Private o Microsoft) por VXC con esta opción.
  
  Importante
  
  Si no habilita esta opción, el VXC aparece activo pero no reconoce el tráfico.
- Azure Peering VLAN (VLAN de Peering de Azure) – Este valor debe coincidir con la VLAN del A-End para peering de VLAN de etiqueta única. También se puede establecer una VLAN de peering de Azure diferente, si es necesario.
Haga clic en Next (Siguiente) y continúe con el proceso de pedido.

Cuando se complete la configuración del VXC, el icono del VXC estará en verde.

Nuevo VXC

En la consola de Azure Resource Management, el estado del proveedor será Provisioned.

Estado del proveedor de Azure

Una vez aprovisionado, necesita configurar los peerings. Puede configurar peering privado y peering de Microsoft. Haga clic en el peering que desea configurar y proporcione estos detalles:

Peer ASN (ASN del peer) – Introduzca el ASN para el MVE.
IPv4 Subnets (Subredes IPv4) – De cada una de estas subredes, MVE usa la primera IP utilizable y Microsoft usa la segunda IP utilizable para su router.
VLAN ID (ID de VLAN) – Introduzca la VLAN de A-End del MVE. (Tenga en cuenta que el ID de VLAN en la consola de Azure puede ser diferente de la VLAN de A-End).
Shared Key (Clave compartida) – (Opcional) Introduzca una contraseña MD5 para BGP.

Configuración de peering de Azure

Añadir la conexión ExpressRoute a FortiManager

Después de crear la conexión desde su MVE a Azure y configurar la conexión en la consola de Azure, necesita configurarla en FortiManager. Esto implica crear una interfaz y configurar parámetros BGP, ASN, VLAN y valores MD5.

Para añadir la conexión Cloud de Azure en FortiManager

Recopile los detalles de la conexión desde la consola de Azure.
Muestre los detalles de la conexión que creó en Azure para esta conexión. Anote los valores de Peer ASN (ASN del peer), Shared Key (Clave compartida), VLAN ID (ID de VLAN) y IPv4 Primary Subnet (Subred IPv4 principal).
Recopile los detalles de la conexión desde el Megaport Portal.
Haga clic en el icono de engranaje de la conexión de Azure de su MVE y haga clic en la vista Detalles. Anote el valor de A-End VLAN (VLAN del extremo A).
Inicie sesión en FortiManager.

Nota

También puede iniciar sesión en su instancia de MVE: https://<mve-ip-address>
Desde su dispositivo administrado, vaya al menú System (Sistema) y elija Interface (Interfaz).

La página muestra port1 como su interfaz física.
Haga clic en +Create New > Interface (+Crear nuevo > Interfaz) y proporcione esta información:
- Interface Name (Nombre de la interfaz) – Especifique un nombre significativo para la interfaz.
- Alias Name (optional) (Nombre alternativo (opcional)) – Introduzca un nombre alternativo.
- Type (Tipo) – Elija VLAN.
- Interface (Interfaz) – Elija la interfaz padre: port1.
- VLAN ID (ID de VLAN) – Especifique la VLAN de A-End indicada para esta conexión de Azure en el Megaport Portal.
- Role (Rol) – Elija Indefinido.
- Addressing Mode (Modo de direccionamiento) – Seleccione Manual.
- IP/Netmask (IP/Máscara) – Estos valores están disponibles en la consola de Azure. Las direcciones IP y CIDR aparecen en el campo IPv4 Primary Subnet; MVE usa la primera IP utilizable y Azure usa la segunda IP utilizable para su router. Para este campo, introduzca la IP del MVE (primera utilizable).
- Administrative Access (Acceso administrativo) - Especifique cómo desea acceder a esta interfaz, como HTTPS, PING y SSH.
- DHCP Server (Servidor DHCP) - Haga clic en OFF (Apagado).
Haga clic en OK (Aceptar).
La nueva interfaz VLAN aparece junto a su interfaz física port1.

Puede ejecutar un comando execute ping desde FortiOS para verificar la conexión.

Nota

Necesita enviar la configuración al MVE, lo cual sucede cuando tiene AutoUpdate configurado. Si no puede hacer ping correctamente a la conexión, vaya a Administrar dispositivos en FortiManager, seleccione el MVE y elija Refresh Device (Actualizar dispositivo) en el menú Más. Si se le solicita, seleccione AutoUpdate para el Config Status (Estado de configuración).

En este punto, hemos creado la interfaz y a continuación necesitamos crear la sesión BGP.

En FortiManager, vaya a Router > BGP (Enrutador > BGP).
Proporcione esta información:
- Local AS (AS local) – Proporcione el ASN para la conexión del MVE. Use el Peer ASN (ASN del peer) de la consola de Azure.
- Router ID (ID del router) – Introduzca la primera IP utilizable de la IPv4 Primary Subnet (Subred IPv4 principal) de la consola de Azure.
En Neighbors, haga clic en +Create New (+Crear nuevo).
Para la IP (IP) del vecino, añada la segunda IP utilizable de la IPv4 Primary Subnet (Subred IPv4 principal) de la consola de Azure.
Para Remote ASN (ASN remoto), introduzca el ASN del lado de Azure, 12076.
Este es un valor fijo y aparece en los detalles de la conexión en la consola de Azure.
Haga clic en OK (Aceptar).
Haga clic en Apply (Aplicar).
El vecino está configurado, pero necesitamos añadir la información de autenticación BGP si la definió en la consola de Azure. (Esto era opcional). La interfaz web no permite definir esto y necesita usar la línea de comandos para añadir los detalles de BGP.
Conéctese por SSH a la instancia del MVE usando su archivo de clave privada.
Por ejemplo
ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX
Use estos comandos para añadir una contraseña para el vecino BGP.

config router bgp
    config neighbor
        edit "<neighbor ip>"
            set password <auth password>
        next
    end

Pasos de CLI para BGP

Validación de su conexión de Azure

Puede revisar los detalles de la conexión, incluido el estado de la conexión, desde la CLI con estos comandos:

get system interface – Muestra los detalles de configuración y el estado actual de las interfaces del dispositivo.
get router info bgp neighbor <ip-address> – Muestra los detalles de configuración y el estado actual de los vecinos BGP.