Настройка на GatewaySubnet в Azure: резервирайте го преди шлюза

Отворете виртуалната мрежа в портала и погледнете адресното пространство, преди да пипате панела на подмрежата. Ако този /24 вече е разделен на подмрежи за работни натоварвания и няма свободно място, няма място за резервация /27 и накрая ще се наложи или да разделяте отново, или да разширявате VNet, което е друга промяна с друг преглед. Първо определете пространството, после създайте подмрежата.

Тази последователност е важна, защото подмрежата на шлюза не е подмрежа за работни натоварвания със специално име. Тя е резервацията на адреси за управлявани екземпляри на шлюза и Azure ще откаже шлюза, ако резервацията е грешна.

Започнете с адресното пространство

Запишете префикса на VNet, подмрежите за работни натоварвания и резервацията за шлюза на един ред, преди да въведете нещо. VNet на 10.60.0.0/16 има място; изберете диапазон в края, за да остане растежът на натоварванията непрекъснат.

Например 10.60.255.192/26 оставя 64 адреса за шлюза, докато натоварванията остават в 10.60.0.0/20. Това е пример за планиране на адреси, а не обещание за размер. Понастоящем Microsoft изисква /27 или по-голям за не-Basic VPN шлюзове, където по-голям означава повече адреси: /26 дава 64, а /28 дава 16. Закръглявайте нагоре, никога надолу, докато планът за адресите още се движи.

Създайте подмрежата с точното име

В портала добавете подмрежа и въведете името GatewaySubnet точно, с главно G и главно S, без интервали или наставка. Azure съпоставя този низ, така че Gateway-Subnet или gateway създава подмрежа, която услугата на шлюза няма да използва.

Същата стъпка от CLI, която е по-лесна за вписване в преглед:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Оставете подмрежата празна. Без VM, без частен endpoint, без делегиране на услуга. Ако там вече живее нещо, разгръщането се проваля и грешката рядко назовава ресурса, който пречи, затова проверете списъка с ресурси на подмрежата, преди да започнете.

Дръжте управляваната подмрежа свободна от правила за натоварвания

Не прикачвайте група за мрежова сигурност към тази подмрежа; Microsoft отбелязва това като неподдържано. Не свързвайте таблица за маршрути, чийто маршрут по подразбиране изпраща 0.0.0.0/0 някъде, защото това може да наруши работата на шлюза, и дръжте разпространението на маршрутите за шлюза включено.

Поставете ограниченията за достъп, които наистина сте искали, върху подмрежата за натоварвания или на граница за инспекция. Отнасянето към GatewaySubnet като към обикновена подмрежа е грешката, която създава шлюз, който се разгръща чисто и после не пропуска трафик.

Принудителното тунелиране има собствен документиран дизайн. Импровизиран маршрут по подразбиране върху подмрежата на шлюза не е това.

Проверете зависимостите, които порталът не показва

Преди да натиснете създаване, преминете през списъка: точно име, префикс в рамките на пространството на VNet, без припокриване с локални диапазони, без ресурси за натоварвания вътре, без NSG и без таблица за маршрути с маршрут по подразбиране. Всяко от тези е чупило реален деплой. След това потвърдете по-широкия дизайн: локалния мрежов шлюз за локалната страна, адресните пространства, които очаквате да маршрутизирате, и дали е планиран активен-активен режим или съвместно съществуване. Тези избори променят разговора за размера и е много по-евтино да ги решите сега.

Справката за настройките на шлюза в Azure е страницата, която да цитирате, когато някой попита защо подмрежата не може да побере VM.

Ако шлюзът вече съществува

Преоразмеряването или замяната на подмрежа на шлюз не е редакция на маска. Първо проверете поддържаната процедура за промяна за SKU и поколението на шлюза и избройте зависимите обекти: връзки, публични IP адреси, маршрутизация и всякакви изисквания за възстановяване.

Ако процедурата изисква пресъздаване на шлюза, планирайте го като миграция на услуга с прозорец и връщане назад. Запишете резервацията, която сте избрали, причината за размера и правилата, които умишлено не сте прикачили, за да не поправи следващият рецензент празната подмрежа, добавяйки NSG.