Niyə nöqtədən məntəqəyə bağlantı marşrut əsaslı Azure VPN şlüzü tələb edir

Siyasət əsaslı şlüz trafik seçiciləri ilə seçilən IPsec tuneli qurur və müştəri marşrutlarını ötürmək üçün heç bir interfeysi yoxdur. Nöqtədən məntəqəyə bağlantı marşrutlaşdırma funksiyasıdır: şlüz müştəri ünvan hovuzuna sahibdir və virtual şəbəkədə həmin müştərilərə marşrutlar quraşdırır. Portalda onu əlavə etmək üçün heç bir seçim göstərilməməsinin səbəbi məhz bu uyğunsuzluqdur. Mövcud şlüzdə interfeysi yaradacaq heç bir şey dəyişdirilə bilməz, ona görə də dəyişiklik konfiqurasiya redaktəsi deyil, əvəzetmədir.

Sıra ayrı-ayrı addımlardan daha vacibdir. Ardıcıllığı səhv salsanız, məntəqələr arası bağlantının kəsilməsi texniki xidmət pəncərəsindən sonraya qədər uzanır.

Siyasət əsaslı şlüz əslində nə edir

Siyasət əsaslı şlüz paketləri bağlantıda konfiqurasiya edilmiş trafik seçiciləri ilə uyğunlaşdırır və uyğun gələnləri bir tunelə göndərir. Ünvanı olan tunel interfeysi yoxdur və virtual şəbəkənin heç bir yerində hər müştəri üçün ayrıca marşrut görünmür. Marşrut cədvəli sadəcə şlüzə işarə edən yerli şəbəkə prefikslərini alır. Bu model iki sabit ünvan məkanı arasında məntəqədən məntəqəyə bağlantı üçün kifayətdir.

Marşrut əsaslı şlüz əksinə işləyir: o, tunel interfeysi təqdim edir və marşrutlar onun içinə nəyin girəcəyini müəyyənləşdirir. Nöqtədən məntəqəyə bağlantı və həmyaşıdlar dəsti dəyişən hər hansı dizayn həmin interfeysin mövcudluğundan asılıdır.

Niyə müştəri hovuzuna həmin interfeys lazımdır

Noutbuk qoşulduqda şlüz ona nöqtədən məntəqəyə hovuzundan ünvan təyin edir. Sonra virtual şəbəkəyə bu ünvanın şlüz vasitəsilə əlçatan olduğunu bildirən marşrut lazımdır. Tunel interfeysi olmadan həmin marşrutu bağlamaq üçün heç nə yoxdur.

Hovuz sizin təyin etdiyiniz diapazondan gəlir və şlüz oradan paylaşdırır. Əgər həmin diapazon yerli şəbəkə və ya həmyaşıd virtual şəbəkə ilə üst-üstə düşürsə, toqquşma yalnız müştəri qoşulduqdan sonra üzə çıxır ki, bunu aşkar etmək üçün pis vaxtdır. Miqrasiya başlamazdan əvvəl hovuzu ayırın.

Tip də hər bağlantı üçün ayrıca parametr deyil. Bir şlüzün bir tipi olur və tutduğu hər bağlantı buna uyğun davranır, buna görə qarışıq dizayn ikinci bağlantı deyil, ikinci şlüz tələb edir.

Tip yaradılma zamanı sabitdir

Microsoft bildirir ki, virtual şəbəkə şlüzü yerləşdirildikdən sonra siyasət əsaslı və marşrut əsaslı arasında dəyişdirilə bilməz. Çevirmə əmri və portalda keçid düyməsi yoxdur. Eyni alt şəbəkədə ikinci şlüz yaratmaq da həll yolu deyil, çünki Azure hər virtual şəbəkə üçün bir şlüzə icazə verir. Buna görə miqrasiya silmək, yenidən qurmaq və yenidən qoşulmaqdır.

Bu, SKU qərarını da eyni quruluşa daxil edir. Sonradan daha böyük SKU-ya keçmək başqa bir kəsinti ilə başqa bir şlüz əvəzlənməsidir.

Bir şlüz, bir GatewaySubnet

Şlüz GatewaySubnet adlı alt şəbəkədə yerləşir və onu yalnız bir şlüz tutur. Həmin alt şəbəkənin ölçüsünü müəyyən etmək hazırlığın hissəsidir, çünki daha böyük SKU daha çox ünvan tələb edir və alt şəbəkə sonradan kiçildilə bilməz. Hər hansı bir şeyə toxunmazdan əvvəl mövcud məntəqədən məntəqəyə parametrləri, paylaşılan açarı, yerli şəbəkə şlüzünü və effektiv marşrutları qeyd edin. Sonra pəncərəni kəsinti kimi qəbul edin, çünki yeni bağlantı konfiqurasiya edilənə qədər məntəqələr arası tunel bağlı qalır.

Kəsintini məhdud saxlayan yenidənqurma sırası: marşrut əsaslı şlüzü yaradın, eyni yerli şəbəkə şlüzünə məntəqədən məntəqəyə bağlantını yenidən qurun, tuneli və bir hostdan hosta sorğunu təsdiqləyin, yalnız bundan sonra nöqtədən məntəqəyə bağlantı əlavə edin və yeni müştəri paketi yaradın.

Əvəzetmənin həll etmədiyi şeylər

İkinci məhdudiyyət Azure-a deyil, həmyaşıd tərəfə aiddir. Siyasət əsaslı yerli cihaz yalnız qoşulduğu virtual şəbəkəyə çata bilər və eyni şlüz vasitəsilə digər yerli şəbəkələrə və ya digər virtual şəbəkələrə keçid edə bilməz. Azure tərəfinin əvəz edilməsi həmyaşıdın nəyi seçə bildiyini dəyişmir.

Əgər tələb həqiqətən məntəqələr arasında keçiddirsə, cavab marşrut əsaslı həmyaşıd cihaz və ya hər təyinatın ayrıca sonlandığı topologiyadır. Tarix vəd etməzdən əvvəl bunu həll edin, çünki təkcə şlüzün əvəzlənməsi bunu təmin etməyəcək.

Əməliyyatların və yoxlamaların sırası

Hər imkanı ayrıca yoxlayın. Əvvəlcə məntəqədən məntəqəyə tunelin statusu və bir hostdan hosta sorğu, sonra nöqtədən məntəqəyə bağlantı və bir özəl resurs, sonra dizaynın iddia etdiyi hər hansı keçid yolu. Yaşıl şlüz statusu yalnız təhlükəsizlik assosiasiyasının qurulduğunu sübut edir, başqa heç nəyi. Yoxlamaları bu sırada saxlayın ki, nasazlıq onu yaradan mərhələyə işarə etsin.

Hər hansı topologiya dəyişikliyindən sonra müştəri paketlərini yenidən yaradın və hovuzu hər yerli və həmyaşıd diapazondan uzaq saxlayın. Məhdudiyyətlər və SKU fərqləri Azure VPN Gateway parametrləri arayışında toplanıb.