ExpressRoute

ExpressRoute — это технология, предоставляемая облачной платформой Microsoft Azure, которая позволяет создавать частные, выделенные сетевые соединения между локальной инфраструктурой организации и центрами обработки данных Azure. В отличие от подключений через общедоступный интернет, ExpressRoute обеспечивает более высокую надёжность, меньшие задержки и гарантированную пропускную способность, а также позволяет обходить интернет-провайдеров для повышения безопасности и производительности.

Общие сведения

ExpressRoute представляет собой гибридное облачное решение, которое соединяет локальную сеть организации (on-premises) с облачной инфраструктурой Microsoft Azure напрямую через партнёров по обмену трафиком (провайдеров сетей связи) или через многоточечные VPN-соединения. Соединение устанавливается на уровне 2 (канальный уровень) или уровне 3 (сетевой уровень) модели OSI, что позволяет маршрутизировать трафик между локальной сетью и виртуальными сетями Azure (VNet) без использования публичных IP-адресов.

Технология была запущена Microsoft в 2014 году как часть платформы Azure. Она предназначена для организаций, которым требуется стабильное и предсказуемое подключение к облаку для критически важных рабочих нагрузок, больших объёмов данных или приложений с низкой задержкой.

Архитектура и компоненты

Каналы ExpressRoute

Основным элементом ExpressRoute является канал (circuit). Канал представляет собой логическое соединение между локальной сетью и Azure, которое проходит через сеть партнёра-провайдера. Каждый канал имеет уникальный идентификатор (Service Key) и может быть настроен на одну из трёх моделей подключения:

• CloudExchange Co-location — организация размещает своё оборудование в дата-центре провайдера, который имеет прямое подключение к Azure. Это обеспечивает минимальные задержки и высокую пропускную способность.
• Point-to-Point Ethernet — организация подключается к Azure через выделенное Ethernet-соединение от провайдера. Подходит для организаций, которые не имеют собственных дата-центров, но нуждаются в частном канале.
• Any-to-Any (IPVPN) — организация использует существующую MPLS-сеть провайдера для подключения к Azure. Это позволяет интегрировать облачные ресурсы в корпоративную сеть с минимальными изменениями.

Партнёры ExpressRoute

Microsoft сотрудничает с рядом операторов связи и провайдеров, которые предоставляют физическую инфраструктуру для подключения. Партнёры ExpressRoute (ExpressRoute Partners) включают такие компании, как Ростелеком, ТрансТелеКом, МТС, «ВымпелКом» (Билайн), а также международных операторов (например, Equinix, Megaport, Colt). Провайдеры обеспечивают соединение от точки присутствия организации до граничных маршрутизаторов Azure (MSEE — Microsoft Enterprise Edge).

Виртуальные шлюзы

Для подключения канала ExpressRoute к виртуальной сети Azure необходимо создать шлюз виртуальной сети (Virtual Network Gateway) типа ExpressRoute. Шлюз выполняет функции маршрутизации и шифрования трафика (опционально). Каждый шлюз может обслуживать до 10 каналов ExpressRoute, а канал может быть подключён к нескольким шлюзам (до 10).

Маршрутизация и BGP

ExpressRoute использует протокол BGP (Border Gateway Protocol) для обмена маршрутами между локальной сетью и Azure. При настройке канала необходимо указать частные IP-адреса (RFC 1918) для пиринга BGP. Azure автоматически объявляет маршруты виртуальных сетей, подключённых к шлюзу, а локальная сторона объявляет свои префиксы. Это позволяет динамически управлять трафиком и обеспечивать отказоустойчивость.

Преимущества и недостатки

Преимущества

• Высокая пропускная способность — каналы ExpressRoute поддерживают скорости от 50 Мбит/с до 10 Гбит/с (и выше при использовании агрегации).
• Низкая задержка — трафик идёт по выделенным линиям, минуя общедоступный интернет, что снижает задержки до 1–10 мс (в зависимости от географической удалённости).
• Надёжность — соединение не зависит от проблем интернет-провайдера; при настройке резервных каналов обеспечивается отказоустойчивость.
• Безопасность — данные не проходят через публичные сети, что снижает риск перехвата и атак.
• Гарантированная пропускная способность — отсутствие конкуренции за трафик с другими пользователями интернета.

Недостатки

• Стоимость — ExpressRoute значительно дороже стандартного VPN-подключения через интернет. Цена складывается из ежемесячной платы за канал (в зависимости от пропускной способности) и платы за передачу данных (в некоторых тарифах).
• Сложность настройки — требуется координация с провайдером, настройка BGP и маршрутизации, что может потребовать квалифицированных специалистов.
• Географические ограничения — доступность канала зависит от наличия точек присутствия партнёров ExpressRoute в регионе.
• Необходимость резервирования — для обеспечения отказоустойчивости рекомендуется использовать два канала (активный и резервный), что увеличивает стоимость.

Применение

ExpressRoute широко используется в сценариях, где требуется стабильное и высокоскоростное подключение к облаку:

• Гибридные облачные архитектуры — объединение локальных серверов (например, Active Directory, SQL Server) с облачными ресурсами Azure для создания единой инфраструктуры.
• Миграция больших объёмов данных — перенос баз данных, файловых хранилищ или архивов в Azure без задержек и потерь.
• Критически важные приложения — работа ERP-систем, финансовых платформ, систем управления производством (MES), где важна минимальная задержка.
• Disaster Recovery (DR) — репликация данных и виртуальных машин в Azure для обеспечения непрерывности бизнеса.
• Медиа и развлечения — передача больших видеофайлов, стриминг или рендеринг в облаке.

Тарифы и модели ценообразования

Microsoft предлагает два основных тарифных плана для ExpressRoute:

• Metered Data — оплата за объём переданных данных (входящий трафик бесплатный, исходящий — по тарифу). Подходит для сценариев с непредсказуемым объёмом трафика.
• Unlimited Data — фиксированная ежемесячная плата за канал без дополнительной оплаты за исходящий трафик. Рекомендуется для постоянной высокой нагрузки.

Цена зависит от пропускной способности канала (например, 50 Мбит/с, 100 Мбит/с, 1 Гбит/с, 10 Гбит/с) и географического региона. Для России тарифы устанавливаются в рублях и могут отличаться в зависимости от партнёра.

Безопасность и соответствие стандартам

ExpressRoute не шифрует трафик по умолчанию, так как соединение считается частным и изолированным. Однако для дополнительной защиты можно включить шифрование на уровне приложений (например, IPsec) или использовать ExpressRoute с VPN-шлюзом (ExpressRoute + VPN). Microsoft гарантирует, что трафик не проходит через общедоступный интернет и не подвергается мониторингу со стороны третьих лиц.

Технология соответствует требованиям многих отраслевых стандартов, включая ISO 27001, SOC 2, HIPAA, GDPR, а также российским требованиям к обработке персональных данных (ФЗ-152) при условии размещения данных в регионе Azure «Россия» (Москва и Санкт-Петербург).

Альтернативы

Основной альтернативой ExpressRoute является подключение через VPN-шлюз Azure (Site-to-Site VPN), которое использует общедоступный интернет и шифрование IPsec. VPN-подключение дешевле, но имеет ограничения по пропускной способности (до 1,25 Гбит/с) и менее стабильно. Для организаций, не требующих высокой производительности, VPN может быть достаточным.

Также существуют решения от других облачных провайдеров: AWS Direct Connect (Amazon Web Services), Google Cloud Interconnect (Google Cloud) и Oracle FastConnect (Oracle Cloud). Все они аналогичны ExpressRoute по принципу работы.

Примечания

• ExpressRoute доступен во всех регионах Azure, включая регионы «Россия» (Москва, Санкт-Петербург) и «Европа».
• Для подключения к ExpressRoute в России необходимо заключить договор с одним из сертифицированных партнёров Microsoft (например, Ростелеком или ТрансТелеКом).
• При использовании ExpressRoute для передачи данных, подпадающих под законодательство РФ о персональных данных, необходимо обеспечить их хранение и обработку в соответствии с требованиями ФЗ-152.

Источники

• Документация Microsoft Azure: «Что такое Azure ExpressRoute?» (learn.microsoft.com)
• Официальный сайт Microsoft Azure: «ExpressRoute: частные подключения к Azure» (azure.microsoft.com)
• Статья «ExpressRoute: архитектура и настройка» (Habr.com, 2021)
• Материалы партнёров ExpressRoute: Ростелеком, ТрансТелеКом, МТС (официальные сайты)
• Книга «Microsoft Azure: архитектура и проектирование» (издательство «Питер», 2020)