Azure peering নাকি VNet-থেকে-VNet VPN? রুটিংয়ের আগে সিদ্ধান্ত নিন

Azure দুইটি ভার্চুয়াল নেটওয়ার্ক সংযুক্ত করার অন্তত দুইটি উপায় দেয়, এবং এগুলো একই অবজেক্টের বিনিময়যোগ্য সেটিং নয়। Peering গেটওয়ে ছাড়াই Microsoft-এর ব্যাকবোনে VNet-গুলোকে যুক্ত করে; VNet-থেকে-VNet VPN আপনার মোতায়েন, আকার নির্ধারণ ও পর্যবেক্ষণ করা দুইটি গেটওয়ের মধ্যে একটি IPsec সম্পর্ক স্থাপন করে। সিদ্ধান্তটি তিনটি শর্তের উপর নির্ভর করে, আর আপনি যদি রুট যোগ করার আগে তিনটিরই উত্তর না দিতে পারেন, তাহলে আপনি এমন একটি মডেলের জন্য পরোক্ষ সমাধান বানাতে যাচ্ছেন যা আপনি কখনো বেছে নেননি।

যে তিনটি শর্ত মডেল নির্ধারণ করে

প্রথমটি হলো, প্রয়োজনের কোনো অংশে এমন একটি IPsec সীমা দরকার কি না যা আপনার মালিকানাধীন এবং আপনি নির্দেশ করতে পারেন। দ্বিতীয়টি হলো, ঠিকানা স্থানগুলো পরিষ্কার কি না এবং দুইটি VNet-কে কেবল পরস্পরের সঙ্গে কথা বলতে হবে কি না। তৃতীয়টি হলো, যেকোনো ট্রানজিট পথ এবং গেটওয়ে বিলের মালিক কে। এই ক্রমে উত্তর দিন, কারণ প্রথমটি দ্বিতীয়টি যতই আকর্ষণীয় দেখাক না কেন, peering বাদ দিতে পারে।

দুইটি মডেলের সাধারণ বিষয় হলো কঠোর ঠিকানা নিয়ম: VNet ঠিকানা স্থানগুলো ওভারল্যাপ করা যাবে না। Peering কিংবা VNet-থেকে-VNet VPN কোনোটিই দুইটি অভিন্ন রেঞ্জকে দ্ব্যর্থহীন করার সমর্থিত উপায় নয়, আর ওভারল্যাপের জন্য ভিন্ন সংযোগ ধরন নয়, একটি ম্যাপিং নকশা বা পুনর্নকশা দরকার।

শর্ত 1: আপনার কি নিজের মালিকানার IPsec সীমা দরকার?

Peering ট্রাফিক Azure-এর ব্যক্তিগত ব্যাকবোনে বহন করে এবং peered সংযোগের জন্যই VPN গেটওয়ে প্রয়োজন করে না। এটি পরিবহন সম্পর্কিত বিবৃতি, নিরাপত্তা নিরীক্ষককে «আমরা IPsec চালাই» বলে দেওয়ার মতো এনক্রিপশন বিবৃতি নয়। যদি প্রয়োজনে গ্রাহক-কনফিগার করা টানেল, নির্দিষ্ট IKE নীতি বা আপনার নিয়ন্ত্রণাধীন যন্ত্রপাতিতে শেষ হওয়া সীমা উল্লেখ থাকে, তবে ব্যাকবোন যতই ব্যক্তিগত হোক, peering তা পূরণ করে না।

VNet-থেকে-VNet VPN সেই সীমা সত্যিই দেয়: দুইটি গেটওয়ে, একটি IPsec/IKE সম্পর্ক, শেয়ার করা কী এবং তার সঙ্গে আসা সম্পূর্ণ পরিচালন পৃষ্ঠ। আপনি টানেল অবস্থা, গেটওয়ে ধারণক্ষমতা, SKU সীমা এবং টানেল চালু আছে প্রমাণ করার পর্যবেক্ষণ উত্তরাধিকারে পান। প্রয়োজন যখন ঠিক সেই সীমা সম্পর্কে, তখন এটিই সঠিক উত্তর, যা peering পর্যালোচনা-তে peering থেকে আলাদা সংযোগ ধরন হিসেবে বর্ণিত।

অন্য দিকেও সমান সতর্ক থাকুন। «VNet-গুলোর মধ্যে এনক্রিপশন দরকার» প্রায়ই ওয়ার্কলোডের নিজস্ব TLS দিয়ে পূরণ হয়, আর তখন গেটওয়ে হলো পেছনে কোনো প্রয়োজন ছাড়া একটি খরচ। প্রক্রিয়া বেছে নেওয়ার আগে নিরীক্ষক যে বাক্যটি পড়বেন সেটি লিখুন।

শর্ত 2: টপোলজি কি সরাসরি, নাকি কিছুকে ট্রানজিট করতে হবে?

Peering ট্রানজিটিভ নয়। একটি হাবে peered দুইটি VNet এর ফলে পরস্পর সংযুক্ত হয় না, আর এক দিকে কাজ করছে দেখানো একটি রুট সাধারণত এমন peering যা কেবল এক দিকে Connected-এ পৌঁছেছে। দুই দিকই থাকতে হবে এবং দুই দিকেই Connected দেখাতে হবে — ট্রাফিক নিঃশব্দে হারিয়ে গেলে প্রথমেই এটাই যাচাই করবেন।

যদি প্রয়োজন হয় হাবের মাধ্যমে অন-প্রিমাইজস পৌঁছানো, তবে গেটওয়ে ট্রানজিট নির্দিষ্ট ভূমিকাসহ আলাদা নকশা: হাব গেটওয়ের মালিক, স্পোক peering গেটওয়ে ট্রানজিটের অনুমতি দেয়, এবং স্পোক-কে ফরওয়ার্ড করা ট্রাফিকের অনুমতি দিতে হবে। এগুলো peering-এর বৈশিষ্ট্য, VNet সংযুক্ত করার স্বয়ংক্রিয় ফল নয়:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

কার্যকর রুট টেবিল «পথটি কি আছে?» প্রশ্নের সৎ উত্তর। এটি প্ল্যাটফর্ম সত্যিই ব্যবহার করবে এমন নেক্সট হপ ধরন দেখায়, তাই কনফিগার করা মনে হলেও সংযুক্ত নয় এমন peering রহস্য নয়, বরং অনুপস্থিত বা ভুল রুট হিসেবে দেখা যায়।

শর্ত 3: ট্রানজিট পথ ও বিলের মালিক কে?

প্রতিটি অতিরিক্ত হপের একটি মালিক থাকে। Peering-এ নতুন VNet মানে দুই দিকে নতুন peering জোড়া, আর ট্রানজিটের জন্য এমন হাব যা ট্রাফিক ফরওয়ার্ড করে চলে এবং এমন রুট টেবিল যা তার দিকেই নির্দেশ করে থাকে। VPN-এ নতুন VNet মানে আরেকটি গেটওয়ে বা বিদ্যমান একটির উপর আরেকটি সংযোগ, নিজস্ব ধারণক্ষমতার সীমা নজরে রাখতে হবে।

খরচ একই আকার অনুসরণ করে কিন্তু একই লাইন আইটেম নয়: peering চার্জ হলো সংযোগ ও ডেটা স্থানান্তর, আর VPN যোগ করে গেটওয়ে ঘণ্টা ও নিজস্ব স্থানান্তর চার্জ। আপনি সত্যিই এক বছরে চালাবেন এমন টপোলজির মোট হিসাব তুলনা করুন, দ্বিতীয় টানেল ও পর্যবেক্ষণসহ, আজকের একটি সংযোগের দাম নয়। এমন শ্রমও অন্তর্ভুক্ত করুন যা কেউ ইনভয়েস করে না: কাউকে কী ঘোরাতে হবে, টানেল অবস্থা দেখতে হবে এবং গেটওয়ে রিস্টার্ট হলে রাত তিনটায় অ্যালার্টের উত্তর দিতে হবে। সাধারণত এই লাইন আইটেমটিই বিতর্ক নির্ধারণ করে, কারণ কোটেশনে কখনো না আসা একমাত্র এটি।

যেটিই বেছে নিন, তিনটি প্রবাহ পরীক্ষা করুন: উদ্দিষ্টটি, প্রত্যাখ্যাত যা প্রত্যাখ্যাতই থাকা উচিত, এবং পুনরুদ্ধারের ক্ষেত্রে যেখানে হাব গেটওয়ে বা peering ডাউন। যে মডেল কেবল সুখী পথ ব্যাখ্যা করে তা যাচাই হয়নি, প্রদর্শিত হয়েছে।

নিজের দাবির সাপেক্ষে সিদ্ধান্ত যাচাই করুন

মডেল, সীমা ও মালিকের নাম উল্লেখ করে একটি বাক্য লিখুন, তারপর যাচাই করুন যে মোতায়েন অবস্থা এর সঙ্গে মেলে। Peering-এর জন্য এর অর্থ দুই peering অবস্থাই Connected, কার্যকর রুটে গন্তব্য প্রিফিক্সের জন্য peering নেক্সট হপ দেখানো এবং পথে কোনো গেটওয়ে না থাকা। VNet-থেকে-VNet VPN-এর জন্য এর অর্থ দুই সংযোগই Connected, দুই গেটওয়েতে মিলে যাওয়া কী ও নীতি, এবং এমন রুট যার নেক্সট হপ ভার্চুয়াল নেটওয়ার্ক গেটওয়ে।

যদি যাচাই বাক্যের সঙ্গে অসঙ্গত হয়, আগে বাক্যটি ঠিক করুন। এই নকশাগুলোর বেশিরভাগ বিভ্রান্তি আসে এমন একটি সংকর থেকে যা কেউ বর্ণনা করেনি: ওয়ার্কলোড সাবনেটের জন্য peering, একটি পুরোনো সার্ভিসের জন্য VPN, এবং একটি রুট টেবিল যা নিঃশব্দে একটিকে প্রাধান্য দেয়।