İki filial arasındakı trafiki Azure VPN şlüzü vasitəsilə yönləndirin
Bir Azure VPN şlüzü üzərində iki Sayt-Sayt bağlantısı filial trafikini keçirə bilər, ancaq hər iki tərəf prefiksi öyrəndikdə və LAN qayıdış marşrutu mövcud olduqda.
İki filial aralarında birbaşa tunel olmadan Azure VPN şlüzü vasitəsilə trafik mübadiləsi edə bilər. Hər filial eyni şlüzə Sayt-Sayt bağlantısı açır və şlüz öyrənilmiş prefiksləri iki bağlantı arasında ötürür. Bunu işlədən ikinci tunel deyil, marşrut mübadiləsidir: A filialı B filialının prefiksini, B isə A-nınkını öyrənməlidir. Aşağıdakı yoxlamaları sıra ilə keçin və ilk uğursuz olanda dayanın, çünki hər sonrakı addım ondan asılıdır.
Heç nə konfiqurasiya etməzdən əvvəl ilkin şərtlər
Dörd şərt bu dizaynın ümumiyyətlə işləyə biləcəyini müəyyən edir. Şlüz marşruta əsaslanmalıdır və BGP-ni dəstəkləyən SKU-da olmalıdır, hər iki bağlantıda BGP aktiv olmalıdır, filial ünvan məkanları üst-üstə düşməməlidir və heç bir tərəf real prefiksini gizlətmək üçün NAT-a güvənməməlidir.
ASN-ləri qəsdən planlaşdırın. Azure-un sənədləşdirilmiş standart dəyəri 65515-dir və hər filial marşrutlaşdırıcısı şlüzlə və ya digər filialla toqquşmayan öz şəxsi ASN-inə ehtiyac duyur. Mövcud şlüz konfiqurasiyasını yoxlamadan standart dəyəri təkrar istifadə etmək sonradan AS yolunun rədd edilməsinin yoludur.
Həmçinin VNet peerinq davranışı gözləmədiyinizi təsdiqləyin. Şlüz konfiqurasiya etdiyiniz iki bağlantı arasında marşrutları mübadilə edir; ixtiyari peerinqləri tranzitiv etmir. Əgər üçüncü şəbəkə hər iki filiala çatmalıdırsa, onun öz bağlantısı və ya öz marşrut yolu olmalıdır, şlüzün trafiki paylayacağı fərziyyəsi deyil. Bu sərhədi ilk dəyişiklik pəncərəsindən əvvəl yazın, çünki sonradan sayt əlavə edildikdə insanların qayıtdığı dizayn qərarı budur.
Bu sıra ilə konfiqurasiya edin
Hər addımın müşahidə edilə bilən nəticəsi var, ona görə də nəticə görünməyincə davam etməyin.
- Virtual şəbəkə şlüzündə BGP-ni aktivləşdirin və onun ASN-ini və peer ünvanını qeyd edin.
- Hər filial üçün həmin filialın real ünvan məkanı, ASN-i və BGP peer ünvanı ilə yerli şəbəkə şlüzü yaradın.
- Hər Sayt-Sayt bağlantısını yaradın və BGP-ni bağlantının özündə aktivləşdirin.
- Filial marşrutlaşdırıcısını şlüzün ictimai IKE son nöqtəsi ilə deyil, Azure-un təyin etdiyi şlüz ünvanı ilə peerinq etmək üçün konfiqurasiya edin.
Dördüncü addım cəhdlərin çoxunun dayandığı yerdir. Azure-un bildirdiyi BGP peer ünvanı filial marşrutlaşdırıcısının qonşu kimi istifadə etməli olduğu ünvandır və həmişə insanların tunel diaqramından gözlədiyi ünvan olmur.
Filial prefiksinin özünü elan edin, məsələn A-dan 10.10.0.0/16 və B-dən 10.20.0.0/16. Çatışmayan xüsusi şəbəkəni örtmək üçün standart marşrut və ya geniş aqreqat elan etməyin; boşluq sonradan səssiz qara dəlik kimi qayıdır.
Marşrut mübadiləsini hər iki tərəfdə yoxlayın
Bağlantı statusu yoxlama deyil. Hər iki bağlantıda IPsec işləyə bilər, halbuki onlar arasında heç bir prefiks keçmir. Şlüzün BGP peerlərini və öyrənilmiş marşrutlarını oxuyun, sonra digər filiala doğru marşrutun istifadə edilə bilən yol kimi göründüyünü təsdiqləyin.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP cədvəlində olan prefiks hələ də statik marşruta və ya daha xüsusi prefiksə qarşı yönləndirmə qərarını itirə bilər. Yalnız alınanı deyil, seçilmiş marşrutu yoxlayın.
LAN tərəfində qayıdış yolunu izləyin
Bu, Azure-da düzgün görünən və sahədə uğursuz olan hissədir. A filialındakı host paketini A-nın VPN marşrutlaşdırıcısına yalnız o marşrutlaşdırıcı öz standart şlüzüdürsə və ya host və ya onun şlüzü B prefiksi üçün marşruta malikdirsə göndərir. Eyni şey əks istiqamətdə də doğru olmalıdır.
Əgər ayrı əsas kommutator LAN-ın standart şlüzüdürsə, ona digər filiala doğru VPN marşrutlaşdırıcısına işarə edən marşrut lazımdır. Bunsuz sorğu gəlir və cavab internet yolu ilə çıxır, istifadəçi isə açılan və sonra donan bir bağlantı görür.
Bunu düzəltmək üçün şlüz alt şəbəkəsində şəbəkə təhlükəsizlik qrupuna əl atmayın. Həmin alt şəbəkənin öz tələbləri var və orada NSG filial tərəfi siyasətinin dəstəklənən əvəzi deyil. Filtrləmə filial firewalllarında və yüklərin özündə olmalıdır, qaydaları sahibləri nəzərdən keçirə bilsin. Bu qaydaları alt şəbəkə NSG-sinə köçürmək onları növbəti nasazlığı ayıqlayacaq komandadan da gizlədir.
Əməliyyata icazə verin, sonra rədd edilən testlə sübut edin
Öyrənilmiş marşrut icazə deyil. Həqiqətən ehtiyac duyduğunuz mənbə, təyinat və xidməti filial firewalllarından və son nöqtə siyasətindən keçirin, qalanını rədd edilmiş saxlayın.
A filialındakı adi yükdən B filialındakı real xidmətə test edin, cavabı təsdiqləyin, sonra qadağan qalmalı olan əməliyyatı cəhd edin. VPN cihazının özünün yaratdığı trafik fərqli mənbə ünvanı istifadə edə və LAN marşrutlaşdırma mərhələsini keçə bilər, ona görə də marşrutlaşdırıcıdan uğurlu ping göründüyündən azını sübut edir.
Dörd faktı yazaraq bitirin: mübadilə olunan prefikslər, istifadə olunan ASN-lər, hər tərəf üçün LAN qayıdış yolu və xidmətə icazə verən siyasət. Onlardan biri yoxdursa, quraşdırma ilk dəyişikliyə qədər işləyir, sonra heç kim səbəbini izah edə bilmir.