Два лакальныя VPN-адрасы: два піры Azure, а не адзін

На схеме два інтэрнэт-каналы ў філіяле і адзін шлюз VPN у Azure, таму шлюз лакальнай сеткі атрымлівае абодва публічныя адрасы. Гэта выглядае акуратна, але працуе не так, як мяркуе схема. Кожная лакальная прылада VPN — гэта асобныя адносіны піра, і шматпрыладны дызайн Microsoft дае кожнай свой рэсурс шлюза лакальнай сеткі і сваё злучэнне. Даданне другога адраса да аднаго рэсурсу не стварае другога піра. Яно стварае рэсурс, які не апісвае ніводную прыладу належным чынам.

Міф: адзін шлюз, два адрасы

Шлюз лакальнай сеткі — гэта апісанне выдаленага піра: адна публічная канчатковая кропка і прыватныя прэфіксы за ёй. Няма падтрымліванага спосабу зрабіць так, каб гэты рэсурс азначаў «любая з гэтых дзвюх прылад».

Тая ж блытаніна ўзнікае і ў адваротным кірунку, дзе два публічныя IP-адрасы Azure чытаюцца як доказ існавання двух шлюзаў Azure.

Падлічыце аб'екты, затым падлічыце тунэлі

Вазьміце дзве незалежна кіраваныя лакальныя прылады, кожная са сваім публічным адрасам і доступам да тых жа прыватных сетак, плюс адзін шлюз Azure на аснове маршрутызацыі ў актыўна-актыўным рэжыме. Шлюз Azure мае два актыўныя экзэмпляры з асобнымі публічнымі IP-адрасамі. Кожная лакальная прылада злучаецца з абодвума экзэмплярамі. Гэта поўная сетка, і колькасць аб'ектаў вынікае з яе, а не са схемы.

Арыфметыка дастаткова кароткая, каб уставіць яе ў дакумент праекта:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Рэсурс злучэння можа несці больш за адзін базавы тунэль, таму чатыры тунэлі не азначаюць чатыры шлюзы віртуальнай сеткі. Два публічныя IP-адрасы Azure таксама не тыя ж аб'екты, што два шлюзы лакальнай сеткі, якія апісваюць выдалены сайт.

Што дадае актыўна-актыўны рэжым на баку Azure

Актыўна-актыўны рэжым пераўтварае шлюз Azure з аднаго актыўнага экзэмпляра ў два, кожны са сваім публічным IP-адрасам, і менавіта ён робіць поўную сетку ўвогуле магчымай. Ён не падвойвае прапускную здольнасць аднаго патоку. Ён таксама не здымае патрабаванне да лакальнага боку падтрымліваць шматадраснасць з роўнымі выдаткамі, калі абедзве прылады перасылаюць адначасова. Пацвердзіце рэжым шлюза, SKU і магчымасці выдаленай прылады перад любым разгортваннем.

Шлюз у рэжыме пасіўнага рэзерву — цалкам прыдатны дызайн; ён проста дае іншую колькасць тунэляў.

BGP робіць абодва шляхі прыдатнымі

Для шматпрыладнага дызайну абедзве лакальныя прылады запускаюць BGP. Дайце кожнай унікальны адрас піра BGP і абвясціце аднолькавыя прызначаныя прыватныя прэфіксы праз адпаведныя шляхі. Прыватныя прэфіксы вызначаюць абароненыя сеткі, а публічныя адрасы вызначаюць, дзе заканчваюцца зашыфраваныя злучэнні носьбіта. Блытаніна паміж імі дае дызайн, у якім усе тунэлі ўзнятыя, а маршруты няправільныя.

Плануйце зваротную маршрутызацыю і любы кантроль стану, які павінен вытрымліваць любы з двух шляхоў. Здаровая сесія IKE на кожнай канчатковай кропцы не даказвае, што рабочая нагрузка можа выкарыстоўваць кожны абвешчаны маршрут.

Выбар на аснове патоку — гэта не аб'яднанне прапускной здольнасці

Azure выбірае шлях для кожнага патоку з дапамогай хэша па адрасах і партах патоку. У стабільным стане пакеты пэўнага патоку TCP або UDP звычайна ідуць праз той жа тунэль, а лакальны бок можа выбраць іншы тунэль для зваротнага кірунку. Такім чынам, дзве прылады і чатыры тунэлі паляпшаюць даступнасць, а не хуткасць адной перадачы. Калі слайд пастаўшчыка абяцае агрэгацыю, ён апісвае іншую функцыю або непаразуменне.

Тэстуйце паралельнымі патокамі, калі хочаце ўбачыць разыходжанне шляхоў, і адным патокам, калі хочаце ўбачыць мяжу.

Якую рэзерваванне вы насамрэч прыбралі

Два WAN-адрасы на адной прыладзе паляпшаюць варыянты доступу, але дзеляць яе сілкаванне, праграмнае забеспячэнне і стан адмовы. Яны не тое ж самае, што дзве прылады, і ніякая канфігурацыя на баку Azure гэтага не зменіць. Замест таго каб выводзіць рэзерваванне з колькасці адрасоў, выконвайце падтрымліваны пастаўшчыком дызайн з двума WAN або кластарам. Затым праверце гэта: выдаляйце па адным шляху за раз і пацвярджайце пакінутыя маршруты плюс рэальны абмен праграмы ў абодвух кірунках.

Чакайце затрымак выяўлення і збежнасці, а таксама таго, што некаторыя існуючыя сесіі завершацца.