ExpressRoute плюс VPN: якія дамены адмоваў вы ахопліваеце?
Другі тунель IPsec ахоплівае канчатковы пункт, а не канал пад ім. Пабудуйце карту кожнага домену адмовы, затым вырашыце, ці дапушчальны нешыфраваны рэзервовы шлях.
Тунель IPsec, які працуе праз прыватны пірынг ExpressRoute, дадае шыфраванне да транспарту, які ўжо існуе. Другі тунель паляпшае даступнасць канчатковага пункта і зусім нічога не робіць для шляху аператара пад абодвума. Гэтае размежаванне лёгка страціць, калі панэлі паказваюць два зялёныя тунелі, а агляд праекта задае іншае пытанне: якія адмовы павінна перажыць гэтае злучэнне? Адкажыце спачатку на гэта, потым лічыце тунелі, бо колькасць зялёных індыкатараў — уласцівасць узроўню шыфравання, а колькасць доменаў адмовы — уласцівасць усяго шляху.
Пачніце з адмоваў, а не з зялёных тунеляў
Напішыце чатыры радкі, перш чым нешта маляваць: адмова аднаго канчатковага пункта VPN або асобніка партнёра, адмова аднаго лакальнага маршрутызатара або злучэння першай мілі, адмова агульнага шляху ExpressRoute і недаступнасць IPsec, пакуль прыватны пірынг усё яшчэ перадае трафік. Кожны радок называе тое, што праект павінен захаваць, і на кожны адказвае розны механізм.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft дакументуе VPN «сайт-сайт» з прыватнымі IP-адрасамі праз прыватны пірынг ExpressRoute і падтрымліванае суіснаванне са злучэннямі «сайт-сайт» праз інтэрнэт. Гэтае суіснаванне — іншы праект ніжняга ўзроўню, і яно не ўзнікае проста таму, што вы дадалі яшчэ адзін канчатковы пункт прыватнага тунеля.
Домен адмовы 1: канчатковы пункт VPN
Два тунелі на адным шлюзе — звычайна пары active-active, якія заканчваюцца на адным рэсурсе на баку Azure. Яны абараняюць ад праблемы асобнага тунеля або асобніка і не абараняюць ад таго, што гэты рэсурс стане недаступным, будзе пераканфігураваны або вычарпае магчымасці. Рэзерваванне канчатковага пункта азначае другі падтрымліваемы канчатковы пункт з уласным шляхам і ўласнай канфігурацыяй, а таксама маршрут, які можа да яго дабрацца.
Праверце, што вы насамрэч разгарнулі, а не тое, што кажа схема, бо партал групуе гэтыя рэсурсы так, што хавае іх сувязь:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Калі абодва тунелі паказваюць на адзін шлюз з адным публічным IP, у вас рэзерваванне канчатковага пункта пэўнага і абмежаванага выгляду. Магчыма, гэта менавіта тое, што патрабуе патрабаванне, і гэта трэба так і фармуляваць, а не апісваць як рэзервовае злучэнне.
Домен адмовы 2: лакальны шлях і аператар
Пад шыфраваннем ляжыць фізічная і камерцыйная рэальнасць: прылада на баку кліента, кросавае злучэнне, сетка пастаўшчыка і месца пірынгу. рэкамендацыі па даступнасці ExpressRoute яўна паказваюць, што рэзерваванне «ад канца да канца» ўключае сегменты кліента і пастаўшчыка паслуг, а не толькі бок Microsoft. Два лагічныя шляхі, якія дзеляць маршрутызатар, лінію харчавання або злучэнне першай мілі, усё роўна дзеляць гэтую залежнасць.
Менавіта тут праект звычайна не праходзіць сумленны агляд. Два каналы ад аднаго пастаўшчыка, якія заканчваюцца ў адным будынку, на абсталяванні з аднаго заказу, — не два домены адмовы. Гэта адзін домен адмовы з двума рахункамі.
Задайце пытанне аператару пісьмова: якія з гэтых шляхоў разыходзяцца, дзе і якія дакументаваныя паводзіны, калі агульны сегмент адмаўляе? Вусная гарантыя падчас званка па праекце не перажыве збой, для якога вы праектуеце.
Домен адмовы 3: маршрут, які застаецца без IPsec
Прыватны пірынг і IPsec могуць прапаноўваць канкуруючыя маршруты да аднаго і таго ж прэфікса праграмы. Калі абаронены маршрут знікае, прамы маршрут ExpressRoute, які застаўся, можа ўсё яшчэ быць прыдатным — без узроўню шыфравання, які забяспечваў тунель. Ці гэта дапушчальна — рашэнне палітыкі, і менавіта гэтае рашэнне часцей за ўсё пакідаюць няяўным.
Патрабаванні да шыфравання і патрабаванні да даступнасці тут могуць сапраўды супярэчыць адно аднаму. «Любы маршрут, які застаўся, лічыцца поспехам» — гэта сцвярджэнне пра даступнасць, якое ціха адказвае на пытанне пра шыфраванне «не». Запішыце, якое з іх перамагае, для якіх прэфіксаў і хто гэта ўхваліў.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableПараўнайце вывучаныя маршруты з прэфіксамі, якіх вы чакалі. Рэзервовы шлях, які нясе невялікую адміністрацыйную нагрузку, можа цалкам адпавядаць гэтай нагрузцы і быць далёка не дастатковым для магутнасці, патрэбнай вытворчасці, таму запішыце дапушчэнне пра магутнасць побач з маршрутам.
Запішыце тры асобныя радкі, а не адзін вердыкт
Трымайце рэзерваванне канчатковага пункта, рэзерваванне транспарту і аднаўленне пасля катастрофы асобнымі запісамі ў праектным рэестры, кожны з уласным механізмам, уласнай праверкай і ўласным уладальнікам. Калі агляд інцыдэнту пытае, чаму злучэнне перажыло перазапуск шлюза, але не перажыло абрыў валакна, тры радкі адказваюць адным сказам; адзін сцяжок «рэзервовы» гэтага не можа.
Затым праверце радкі, якія можна праверыць танна. Адмоўце адзін тунель і пераканайцеся, што трафік перамяшчаецца і зноў шыфруецца. Адклічце адзін маршрут і пераканайцеся, што шлях, які застаўся, — менавіта той, што вы мелі на ўвазе, а затым пераканайцеся, ці ён усё яшчэ шыфраваны. Задакументуйце адмовы, якія вы не змаглі смадэляваць, бо неправераны радок — гэта дапушчэнне, і яго трэба так і пазначаць.
Карысны вынік — кароткая табліца плюс сказ на кожны радок. Калі ў радка няма механізму, гэта і ёсць знаходка, і выявіць яе на аглядзе праекта значна танней, чым падчас збою аператара, які абодва тунелі ніколі не перажылі б.