ExpressRoute və VPN: hansı nasazlıq domenlərini əhatə edirsiniz?
İkinci IPsec tuneli son nöqtəni əhatə edir, onun altındakı dövrəni deyil. Hər nasazlıq domenini xəritələyin, sonra şifrələnməmiş ehtiyat yolun icazəli olub-olmadığını qərar verin.
ExpressRoute private peering üzərindən işləyən IPsec tuneli artıq mövcud olan nəqliyyata şifrələmə əlavə edir. İkinci tunel son nöqtənin əlçatanlığını yaxşılaşdırır və hər ikisinin altındakı operator yoluna heç bir şey etmir. Bu fərqi itirmək asandır: idarə panelləri iki yaşıl tunel göstərir, dizayn baxışı isə başqa sual verir — bu bağlantı hansı nasazlıqlara dözməlidir? Əvvəlcə buna cavab verin, sonra tunelləri sayın, çünki yaşıl göstəricilərin sayı şifrələmə qatının xassəsidir, nasazlıq domenlərinin sayı isə bütöv yolun xassəsidir.
Yaşıl tunellərlə deyil, nasazlıqlarla başlayın
Heç nə çəkməzdən əvvəl dörd sətir yazın: bir VPN son nöqtəsinin və ya peer instansının sıradan çıxması, bir yerli marşrutlaşdırıcının və ya ilk mil bağlantısının sıradan çıxması, ortaq ExpressRoute yolunun sıradan çıxması və private peering hələ də trafik daşıyarkən IPsec-in əlçatmaz olması. Hər sətir dizaynın nəyi qorumalı olduğunu adlandırır və hər birinə fərqli mexanizm cavab verir.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft, ExpressRoute private peering üzərindən private-IP Site-to-Site VPN-i və internet əsaslı Site-to-Site bağlantıları ilə dəstəklənən birgə mövcudluğu sənədləşdirir. Bu birgə mövcudluq fərqli bir alt qat dizaynıdır və yalnız daha bir private tunel son nöqtəsi əlavə etdiyiniz üçün yaranmır.
Nasazlıq domeni 1: VPN son nöqtəsi
Bir şlüz üzərində iki tunel adətən eyni Azure tərəfli resursda bitən active-active cütlərdir. Onlar tək tunel və ya instans probleminə qarşı qoruyur, lakin həmin resursun əlçatmaz olmasına, yenidən konfiqurasiya edilməsinə və ya tutumunun bitməsinə qarşı qorumur. Son nöqtə artıqlığı öz yolu və öz konfiqurasiyası olan ikinci dəstəklənən son nöqtə, üstəlik ona çata bilən marşrut deməkdir.
Diaqramın dediyinə deyil, həqiqətən nə yerləşdirdiyinizə baxın, çünki portal bu resursları əlaqələrini gizlədən şəkildə qruplaşdırır:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Hər iki tunel bir ictimai IP ilə bir şlüza baxırsa, xüsusi və məhdud növdə son nöqtə artıqlığınız var. Bu, tələbin istədiyi şeyin tam özü ola bilər və onu artıq bağlantı kimi təsvir etmək əvəzinə belə ifadə etmək lazımdır.
Nasazlıq domeni 2: yerli yol və operator
Şifrələmənin altında fiziki və kommersiya reallığı dayanır: müştəri kənar cihazı, çarpaz qoşulma, provayder şəbəkəsi və peering məntəqəsi. ExpressRoute əlçatanlıq təlimatları açıq şəkildə bildirir ki, uçdan-uca artıqlıq yalnız Microsoft tərəfini deyil, müştəri və xidmət provayderi seqmentlərini də əhatə edir. Bir marşrutlaşdırıcını, enerji xəttini və ya ilk mil bağlantısını paylaşan iki məntiqi yol həmin asılılığı yenə də paylaşır.
Dizayn adətən məhz burada səmimi baxışdan keçmir. Eyni provayderdən olan, eyni binada bitən, eyni satınalma sifarişindən olan avadanlıq üzərində iki dövrə iki nasazlıq domeni deyil. Onlar iki fakturalı bir nasazlıq domenidir.
Operator sualını yazılı verin: bu yollardan hansılar harada ayrılır və ortaq seqment sıradan çıxanda sənədləşdirilmiş davranış nədir? Dizayn zəngi zamanı verilən şifahi zəmanət, dizayn etdiyiniz kəsintiyə dözmür.
Nasazlıq domeni 3: IPsec olmadan qalan marşrut
Private peering və IPsec eyni tətbiq prefiksinə rəqabət edən marşrutlar təklif edə bilər. Qorunan marşrut yox olarsa, qalan birbaşa ExpressRoute marşrutu hələ də istifadə oluna bilər — tunelin verdiyi şifrələmə qatı olmadan. Bunun məqbul olub-olmadığı siyasət qərarıdır və ən çox üstüörtülü qalan qərar da elə budur.
Şifrələmə tələbləri ilə əlçatanlıq tələbləri burada həqiqətən toqquşa bilər. «Qalan istənilən marşrut uğur sayılır» — bu, şifrələmə sualına səssizcə «yox» cavabı verən əlçatanlıq ifadəsidir. Hansının qalib gəldiyini, hansı prefikslər üçün və kimin təsdiqlədiyini yazın.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableÖyrənilmiş marşrutları gözlədiyiniz prefikslərlə müqayisə edin. Kiçik inzibati yükü daşıyan ehtiyat yol həmin yük üçün tamamilə kifayət edə bilər, lakin istehsal tələbinin ehtiyac duyduğu tutuma heç yaxın olmaya bilər, ona görə tutum fərziyyəsini marşrutla birlikdə qeyd edin.
Bir hökm deyil, üç ayrı sətir qeyd edin
Son nöqtə artıqlığını, nəqliyyat artıqlığını və fəlakətdən bərpanı dizayn qeydində ayrı-ayrı elementlər kimi saxlayın; hər birinin öz mexanizmi, öz yoxlaması və öz sahibi olsun. Hadisə baxışı bağlantının şlüz yenidən başlamasına niyə dözdüyünü, amma lif kəsiminə dözmədiyini soruşanda üç sətir bir cümləylə cavab verir; bir ədəd «artıq» işarə qutusu bunu edə bilməz.
Sonra ucuz yoxlaya biləcəyiniz sətirləri yoxlayın. Bir tuneli sıradan çıxarın və trafikin köçdüyünü və yenidən şifrələndiyini təsdiqləyin. Bir marşrutu geri çəkin və qalan yolun nəzərdə tutduğunuz yol olduğunu, sonra onun hələ də şifrəli olub-olmadığını təsdiqləyin. Simulyasiya edə bilmədiyiniz nasazlıqları sənədləşdirin, çünki yoxlanmamış sətir fərziyyədir və belə işarələnməlidir.
Faydalı nəticə qısa cədvəl və hər sətir üçün bir cümlədir. Əgər sətrin mexanizmi yoxdursa, tapıntı elə budur və bunu dizayn baxışında aşkar etmək, hər iki tunelin heç vaxt dözməyəcəyi operator kəsintisi zamanı aşkar etməkdən qat-qat ucuzdur.