NVA ছাড়া ExpressRoute-এ Azure প্রাইভেট IP VPN

ভ্রান্ত ধারণাটি হলো ExpressRoute প্রাইভেট peering-এর উপর ট্রাফিক এনক্রিপ্ট করতে নেটওয়ার্ক ভার্চুয়াল অ্যাপ্লায়েন্স প্রয়োজন। তা নয়। Azure এমন একটি Site-to-Site VPN Gateway সমর্থন করে যার টানেল এন্ডপয়েন্ট সার্কিটের মাধ্যমে বহন করা একটি প্রাইভেট RFC1918 ঠিকানা, এবং অ্যাপ্লায়েন্সটি কাঠামোগত নয়, ঐচ্ছিক। অ্যাপ্লায়েন্স-ভ্রান্তি যা লুকায় তা হলো আসলে যে অংশটি ক্ষতি করে: দুটি অবজেক্টের বদলে একটি অবজেক্টে প্রাইভেট এন্ডপয়েন্ট চালু করা, এবং সরাসরি peering রুটকে চুপচাপ এনক্রিপ্টেড পথের উপরে জিততে দেওয়া।

ভ্রান্তি কোথা থেকে এসেছে

এই দাবির একটি সম্মানজনক পূর্বসূরি আছে। বছরের পর বছর প্রাইভেট peering-এর উপর IPsec-এর ব্যবহারিক রেসিপি ছিল NVA, কারণ ম্যানেজড গেটওয়ে শুধু পাবলিক এন্ডপয়েন্ট প্রকাশ করত। তা বদলেছে, এবং পরিবর্তনের আগে লেখা উত্তরগুলো এখনো এমন থ্রেডে উদ্ধৃত হয় যেখানে কেউ তারিখ যাচাই করে না। সংশোধনটি সংকীর্ণ: প্রাইভেট ঠিকানার VPN গেটওয়ে আছে, এবং এটি এন্ডপয়েন্ট বদলায়, এর চারপাশের রাউটিং লজিক নয়।

এর কোনোটিই NVA-কে অবসরে পাঠায় না। এটি সেই অনুমানকে অবসরে পাঠায় যে অ্যাপ্লায়েন্সই চাহিদার একমাত্র পথ।

দুই স্তরেই প্রাইভেট এন্ডপয়েন্ট চালু করুন

VPN গেটওয়ে যে VNet-এ আছে তার সঙ্গে সংযুক্ত একটি কার্যকর ExpressRoute প্রাইভেট peering সংযোগ থেকে শুরু করুন। অন-প্রিমাইজ দিকটি ইতিমধ্যে ওই সার্কিটের মাধ্যমে প্রাসঙ্গিক প্রাইভেট ঠিকানায় পৌঁছাতে হবে, কারণ টানেল ওই ঠিকানাগুলোকে পরিবহন হিসেবে ব্যবহার করবে। তারপর গেটওয়ে পূর্বশর্ত: প্রাইভেট-IP VPN-এর Microsoft পদ্ধতিতে Standard পাবলিক IP রিসোর্সের উপর নির্মিত গেটওয়ে প্রয়োজন। প্রাইভেট টানেল ঠিকানা এই শর্তটি সরায় না, যা তাদের অবাক করে যারা ধরে নেয় „প্রাইভেট“ মানে „কোথাও কোনো পাবলিক IP নেই“।

এখন দুই জায়গাতেই ফ্ল্যাগ চালু করুন। গেটওয়ে কনফিগারেশনের প্রাইভেট IP-এর জন্য নিজস্ব টগল আছে, এবং পৃথক Site-to-Site সংযোগের দ্বিতীয় একটি টগল আছে যা ওই সংযোগকে প্রাইভেট ঠিকানা ব্যবহার করায়। একটি সেট করে অন্যটি না করা সবচেয়ে সাধারণ অসম্পূর্ণ কনফিগারেশন; টানেল হয় প্রতিষ্ঠিত হয় না, নয়তো ভুল এন্ডপয়েন্টে প্রতিষ্ঠিত হয়।

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

আপনার ইনস্টল করা CLI সংস্করণের সঙ্গে প্রপার্টির নাম মিলিয়ে নিন, কারণ পোর্টালের লেবেল আর CLI প্রপার্টির শব্দচয়ন সবসময় এক নয়। একটি অ্যাক্টিভ-অ্যাক্টিভ গেটওয়ে দুটি প্রাইভেট টানেল ঠিকানা প্রকাশ করে, এবং সেই রিডান্ডেন্সির অর্থ থাকতে হলে অন-প্রিমাইজ ডিভাইসে দুই পিয়ারই কনফিগার করা দরকার। শুধু এই প্রাইভেট-ঠিকানা টানেল তোলার জন্য BGP আবশ্যক নয়, যদিও প্রিফিক্স বিতরণের পদ্ধতির অংশ হিসেবে এটি সাধারণত থাকে।

দ্বিতীয় ভ্রান্তি: প্রতিষ্ঠিত টানেল মানেই আপনার ট্রাফিক এনক্রিপ্টেড

এখন অ্যাপ্লিকেশন নেটওয়ার্কে দুটি পথ পৌঁছায়: সরাসরি প্রাইভেট peering পথ এবং VPN-এর মধ্য দিয়ে পথ। দুটোই কাজ করে। কেবল একটি এই IPsec স্তর প্রয়োগ করে। Microsoft নথিভুক্ত করে যে একই প্রিফিক্স ExpressRoute এবং VPN দুই দিকেই ঘোষিত হলে Azure সরাসরি ExpressRoute পথকে অগ্রাধিকার দেয়, তাই সুস্থ টানেল আর সুস্থ কাউন্টার অ্যাপ্লিকেশন প্যাকেট কোথায় গেছে তা প্রমাণ করে না।

নথিভুক্ত স্টিয়ারিং পদ্ধতি হলো ExpressRoute-এ একটি আচ্ছাদক রেঞ্জের সঙ্গে VPN-এ আরও নির্দিষ্ট সুরক্ষিত রেঞ্জ, অথবা দুই পথে অসংলগ্ন প্রিফিক্স। উদাহরণ হিসেবে, প্রাইভেট peering 10.40.0.0/16 বহন করতে পারে আর VPN ঘোষণা করে 10.40.12.0/24। বেশি নির্দিষ্ট প্রিফিক্স জেতে এবং রেঞ্জের বাকি অংশ সরাসরি থাকে।

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

অন-প্রিমাইজ দিকেও একই পরীক্ষা করুন, কারণ আপনার রাউটারের পছন্দই ঠিক করে আউটবাউন্ড ট্রাফিক কোন দিক দিয়ে বেরোবে। আর টানেলের নিজের পরিবহন ExpressRoute পথে রাখুন; যে রুট গেটওয়ের প্রাইভেট এন্ডপয়েন্টকে টানেলের ভেতরে টেনে আনে, সেটি টানেলকে নিজের উপর নির্ভরশীল করে ফেলে।

টানেল পড়ে গেলে কী হবে তা ঠিক করুন

টানেল নামলে বেশি নির্দিষ্ট VPN রুটটি অদৃশ্য হয়, আর বিস্তৃত সরাসরি রুটটি থাকে। তখন ট্রাফিক এনক্রিপশন ছাড়াই প্রবাহিত হয় এবং সবকিছু সুস্থ দেখায়, যা এমন একটি চাহিদার জন্য সবচেয়ে খারাপ ব্যর্থতার ধরন যার উদ্দেশ্য এনক্রিপশন নিশ্চিত করা। চাহিদাটি এই ফলব্যাক নিষিদ্ধ করলে রাউটিং ও অ্যাক্সেস নীতিকে তা স্পষ্টভাবে বলতে হবে, টানেলের প্রাপ্যতার উপর নির্ভর না করে।

কোন প্রিফিক্স সরাসরি নাগালে থাকতে পারে আর কোনগুলো এনক্রিপ্টেড পথ অনুপস্থিত থাকলে বন্ধ হতে হবে, তা লিখে রাখুন। তারপর অনুমোদিত ক্ষেত্রটি বাস্তব ট্রাফিক দিয়ে পরীক্ষা করুন এবং সংযোগ কাউন্টার তুলনা করুন, কারণ শুধু রুট টেবিল আপনাকে বলবে না এনক্রিপশনের চাহিদা এখনো পূরণ হচ্ছে কি না।

এই কাঠামো আপনাকে NVA-কে তার প্রকৃত বৈশিষ্ট্য অনুযায়ী মূল্যায়ন করতেও দেয়, যেমন একাধিক টানেল, থ্রুপুট বা ভেন্ডর পরিদর্শন, কেবল এন্ডপয়েন্ট প্রাইভেট বলে একটি কেনার বদলে।