ExpressRoute: cos’è e quando sceglierlo

ExpressRoute stabilisce una connessione privata e dedicata tra la rete on-premises e Microsoft, senza transitare su internet pubblico. Rispetto a una site-to-site VPN offre banda molto maggiore, latenza più bassa e prevedibile, e un SLA sulla disponibilità del circuito. In AZ-700 la risposta punta su ExpressRoute quando i requisiti citano banda elevata e costante, throughput garantito, traffico che non deve mai attraversare internet, o accesso privato a servizi Microsoft.

Il trade-off è che ExpressRoute richiede un connectivity provider (o ExpressRoute Direct per un collegamento diretto ai router Microsoft), tempi di provisioning più lunghi e costi superiori. La VPN resta l’opzione rapida ed economica per banda modesta o per un backup. Attenzione: il traffico ExpressRoute non è cifrato di default; se serve confidenzialità si aggiunge una site-to-site VPN sopra il private peering, oppure MACsec su ExpressRoute Direct.

Circuiti, SKU e connectivity model

Un circuito ExpressRoute è l’entità logica che rappresenta la connessione, con una banda scelta e uno SKU. I connectivity model sono colocation presso un cloud exchange, point-to-point Ethernet, any-to-any (IPVPN) ed ExpressRoute Direct (fino a 100 Gbps, dedicato).

Gli SKU determinano portata geografica e limiti:

  • Local: collega solo alla region vicina al peering location, ma include il trasferimento dati illimitato. Ideale quando i dati escono verso una singola region locale.
  • Standard: connettività a tutte le region della stessa area geopolitica.
  • Premium: estende la connettività alle region globali, alza il limite di route annunciate (da 4.000 a 10.000) e aumenta il numero di VNet collegabili al circuito. Richiesto anche per raggiungere Microsoft 365 attraverso peering globali.

Sul piano tariffario la scelta è tra Metered (si paga il traffico in uscita) e Unlimited (canone fisso). Alto volume costante → Unlimited; traffico saltuario → Metered.

Private peering e Microsoft peering

Un circuito supporta due routing domain indipendenti, attivabili separatamente:

  • Private peering: estende gli spazi IP privati verso le VNet Azure. È il canale per IaaS e PaaS raggiunti tramite IP privati (VM, private endpoint). È il peering più usato negli scenari enterprise.
  • Microsoft peering: dà accesso privato ai servizi Microsoft esposti su IP pubblici, tipicamente Microsoft 365 e i public endpoint di alcuni servizi PaaS. Richiede IP pubblici validi, spesso un route filter, e per M365 un’autorizzazione. Attenzione a non confonderlo con il private peering nelle domande.

Il vecchio “public peering” è deprecato: il suo ruolo è assorbito dal Microsoft peering.

FastPath e Global Reach

FastPath ottimizza il data path inviando il traffico direttamente alle VM nella VNet, bypassando l’ExpressRoute gateway, per ridurre latenza e aumentare i pacchetti al secondo. Il gateway resta comunque necessario (gestisce le route), ma non è più il collo di bottiglia del piano dati. FastPath richiede un gateway Ultra Performance o ErGw3AZ, oppure ExpressRoute Direct; il supporto a scenari avanzati come private endpoint e VNet peering ha requisiti aggiuntivi (Premium/Direct). Serve quando il gateway limita il throughput verso carichi ad alte prestazioni.

Global Reach collega tra loro due o più circuiti ExpressRoute, consentendo alle sedi on-premises di scambiarsi traffico privato attraverso la backbone Microsoft, senza appoggiarsi a una WAN di terzi. Opera sul private peering ed è la risposta tipica quando due filiali, entrambe connesse via ExpressRoute, devono comunicare direttamente. La disponibilità dipende dai peering location/paesi coinvolti.

Trappole tipiche d’esame

  • Traffico ExpressRoute deve essere cifrato → soluzione: aggiungi site-to-site VPN sul private peering o MACsec su ExpressRoute Direct; ExpressRoute da solo non cifra.
  • Accesso privato a Microsoft 365 → soluzione: Microsoft peering (non private) più SKU Premium e route filter; il private peering serve solo alle VNet.
  • Collegare due sedi on-premises via backbone Microsoft → soluzione: Global Reach tra i due circuiti, non una nuova VPN né un hub.
  • Gateway satura il throughput verso le VM → soluzione: abilita FastPath con gateway Ultra Performance/ErGw3AZ o ExpressRoute Direct; aumentare la banda del circuito non basta.
  • Connettività a region fuori dall’area geopolitica → soluzione: SKU Premium; Standard e Local non escono dalla propria area (Local resta legato alla region vicina).
  • Serve alta disponibilità → soluzione: VPN come backup/failover del circuito, o secondo circuito su un altro peering location; non affidarsi a un singolo circuito.