نظير Azure أم VPN من VNet إلى VNet؟ قرّر قبل إضافة المسارات

يمنحك Azure طريقتين على الأقل لربط شبكتين افتراضيتين، وهما ليستا إعدادين قابلين للتبادل على الكائن نفسه. يربط النظير الشبكتين على العمود الفقري لمايكروسوفت دون بوابة؛ أما VPN من VNet إلى VNet فيضع علاقة IPsec بين بوابتين تنشرهما وتحدد حجمهما وتراقبهما. يعود القرار إلى ثلاثة شروط، وإذا لم تستطع الإجابة عن الشروط الثلاثة قبل أن تضيف مسارًا، فأنت على وشك بناء حل التفافي لنموذج لم تختره قط.

الشروط الثلاثة التي تحدد النموذج

الأول هو ما إذا كان أي شيء في المتطلب يحتاج إلى حد IPsec تملكه ويمكنك الإشارة إليه. والثاني هو ما إذا كانت مساحات العناوين نظيفة ولا تحتاج الشبكتان إلا إلى التحدث مع بعضهما. والثالث هو من يملك أي مسار عبور ومن يدفع فاتورة البوابة. أجب عنها بهذا الترتيب، لأن الشرط الأول قد يلغي النظير مهما بدا الثاني جاذبًا.

ما يشترك فيه النموذجان هو قاعدة عنونة صارمة: يجب ألا تتداخل مساحات عناوين VNet. لا النظير ولا VPN من VNet إلى VNet طريقة مدعومة لجعل نطاقين متطابقين غير ملتبسين، والتداخل يحتاج إلى تصميم تعيين أو إعادة تصميم لا إلى نوع اتصال مختلف.

الشرط 1: هل تحتاج إلى حد IPsec تملكه؟

ينقل النظير حركة المرور عبر العمود الفقري الخاص لـ Azure ولا يتطلب بوابة VPN للاتصال النظير نفسه. هذا تصريح عن النقل، لا تصريح عن التشفير يمكنك أن تعرضه على مدقق على أنه «نحن نشغل IPsec». إذا حدد المتطلب نفقًا يهيئه العميل أو سياسة IKE معينة أو حدًا ينتهي على معدات تتحكم بها، فإن النظير لا يلبيه مهما كان العمود الفقري خاصًا.

يوفر VPN من VNet إلى VNet ذلك الحد فعلًا: بوابتان، وعلاقة IPsec/IKE، ومفاتيح مشتركة، وكل السطح التشغيلي الذي يأتي معها. أنت ترث حالة النفق وسعة البوابة وحدود SKU والمراقبة التي تثبت أن النفق قائم. هذا هو الجواب الصحيح عندما يتعلق المتطلب بذلك الحد تحديدًا، وقد وصفته نظرة عامة على النظير كنوع اتصال مختلف عن النظير.

كن حذرًا بالقدر نفسه في الاتجاه الآخر. غالبًا ما يلبي TLS الخاص بحمل العمل عبارة «نحتاج إلى تشفير بين الشبكتين»، وحينها تكون البوابة تكلفة بلا متطلب خلفها. اكتب الجملة التي سيقرأها المدقق قبل اختيار الآلية.

الشرط 2: هل الطوبولوجيا مباشرة، أم أن شيئًا ما يحتاج إلى العبور؟

النظير غير متعدٍ. الشبكتان اللتان تنظّران إلى مركز ليستا بذلك متصلتين إحداهما بالأخرى، والمسار الذي يبدو عاملًا في اتجاه واحد هو عادةً نظير وصل إلى Connected على جانب واحد فقط. يجب أن يوجد الجانبان وأن يظهر كلاهما Connected، وهذا أول ما تفحصه عندما تختفي الحركة بصمت.

إذا كان المتطلب هو الوصول من الموقع المحلي عبر مركز، فإن عبور البوابة تصميم منفصل بأدوار محددة: المركز يملك البوابة، ونظير الفرع يسمح بعبور البوابة، ويجب أن يسمح الفرع بالحركة المعاد توجيهها. هذه خصائص على النظير، وليست نتائج تلقائية لربط الشبكتين:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

جدول المسارات الفعلي هو الجواب الصادق على سؤال «هل المسار موجود؟». يظهر نوع القفزة التالية التي ستستخدمها المنصة فعليًا، لذلك يظهر النظير الذي يبدو مهيأً لكنه غير متصل كمسار ناقص أو خاطئ لا كلغز.

الشرط 3: من يملك مسار العبور والفاتورة؟

لكل قفزة إضافية مالك. مع النظير، تعني شبكة VNet جديدة زوج نظير جديد على الجانبين، وللعبور مركزًا يواصل توجيه الحركة وجدول مسارات يواصل الإشارة إليه. مع VPN، تعني شبكة VNet جديدة بوابة أخرى أو اتصالًا آخر على بوابة قائمة، بسقف سعة خاص به يجب مراقبته.

تتبع التكلفة الشكل نفسه لكن ليس بنودها: رسوم النظير هي الاتصال ونقل البيانات، بينما يضيف VPN ساعات البوابة ورسوم النقل الخاصة به. قارن الإجمالي للطوبولوجيا التي ستشغلها فعليًا خلال سنة، بما في ذلك النفق الثاني والمراقبة، لا سعر اتصال واحد اليوم. أدرج العمل الذي لا يفوتره أحد: على شخص ما تدوير المفاتيح ومراقبة حالة النفق والرد على التنبيه في الثالثة صباحًا عندما تعيد بوابة التشغيل. هذا البند هو ما يحسم الجدل عادةً، لأنه البند الوحيد الذي لا يظهر أبدًا في عرض سعر.

أيًّا كان اختيارك، اختبر ثلاثة مسارات: المقصود، ومرفوضًا يجب أن يبقى مرفوضًا، وحالة التعافي حين تتعطل بوابة المركز أو أحد النظائر. النموذج الذي يشرح المسار السعيد فقط لم يُتحقق منه، بل عُرض.

تحقق من الاختيار مقابل ادعائه

اكتب جملة واحدة تسمي النموذج والحد والمالك، ثم تحقق من أن الحالة المنشورة تطابقها. بالنسبة للنظير يعني ذلك أن حالتي النظير Connected، وأن المسار الفعلي يظهر القفزة التالية للنظير للبادئة الهدف، ولا بوابة في المسار. وبالنسبة لـ VPN من VNet إلى VNet يعني أن الاتصالين Connected، ومفاتيح وسياسات متطابقة على البوابتين، ومسارًا قفزته التالية هي بوابة الشبكة الافتراضية.

إذا اختلفت الفحوص عن الجملة، فأصلح الجملة أولًا. معظم الالتباس في هذه التصاميم يأتي من هجين لم يصفه أحد: نظير لشبكة حمل العمل الفرعية، وVPN لخدمة قديمة واحدة، وجدول مسارات يفضل أحدهما بصمت.