পিয়ার করা Azure VNet-এর কি নিজস্ব VPN গেটওয়ে দরকার?
পিয়ার করা একটি VNet সমর্থিত SKU এবং প্রতিটি পিয়ারিং দিকে একটি সেটিং দিয়ে হাবের VPN গেটওয়ে ব্যবহার করতে পারে। পিয়ারিং স্ট্যাটাস নয়, কার্যকর রুট যাচাই করুন।
একটি নতুন spoke VNet আসে, হাবে ইতিমধ্যে একটি কাজ করা site-to-site গেটওয়ে আছে, এবং স্বাভাবিক প্রশ্ন হলো দ্বিতীয় গেটওয়ের জন্য আপনাকে কি টাকা দিতে হবে। সাধারণত না: গেটওয়ে ট্রানজিট spoke-কে পিয়ারিংয়ের মাধ্যমে হাবের গেটওয়ে ব্যবহার করতে দেয়। তিনটি শর্ত ঠিক করে এটি কাজ করবে কি না, আর এর একটিও পিয়ারিং স্ট্যাটাস ব্যাজ থেকে দেখা যায় না। পিয়ারিং সংযোগ এবং অন্য কারও গেটওয়ে ব্যবহারের অনুমতি আলাদা সেটিং, তাই যে দুটি VM ইতিমধ্যে একে অপরকে ping করতে পারে তা VPN পথ সম্পর্কে কিছুই প্রমাণ করে না।
প্রথম শর্ত: গেটওয়ে, এবং spoke-এর নিজের গেটওয়ে না থাকা
Azure Basic ছাড়া অন্য VPN Gateway SKU-গুলোর জন্য গেটওয়ে ট্রানজিট সমর্থন করে, এবং আঞ্চলিক ও বৈশ্বিক পিয়ারিং দুটোই এটি বহন করতে পারে। spoke এমন গেটওয়ে ব্যবহার করে যা তার নিজের নয়, তাই তার নিজস্ব একটি থাকতে পারে না: যদি spoke-এ ইতিমধ্যে গেটওয়ে থাকে, বা রিমোট গেটওয়ে অপশন আগেই নির্বাচিত থাকে, তবে আপনি যে ট্রানজিট সেটিং চান তা অনুপলব্ধ বা অকার্যকর হবে। কিছু ডিবাগ করার আগে এটি যাচাই করুন, কারণ নিষ্ক্রিয় চেকবক্সটি উপসর্গ, ত্রুটি নয়। আগে SKU এবং বিদ্যমান গেটওয়ে পড়ুন, তারপর পিয়ারিং সেটিংস দেখুন।
অপশনটি দেখানোর জন্য বিদ্যমান spoke গেটওয়ে মুছবেন না, যতক্ষণ না জানেন এর উপর কী নির্ভর করে। মাইগ্রেশন ক্রম চেকবক্সের চেয়ে বেশি গুরুত্বপূর্ণ।
দ্বিতীয় শর্ত: প্রতিটি পিয়ারিং দিকে একটি সেটিং
একটি পিয়ারিং হলো দুটি অবজেক্ট, প্রতিটি VNet-এ একটি, এবং ট্রানজিট সেটিংস ওই জোড়ার আলাদা দিকে থাকে। spoke-এর দিকে হাবের পিয়ারিংকে হাব গেটওয়েকে spoke-এর সেবা দিতে অনুমতি দিতে হবে; হাবের দিকে spoke-এর পিয়ারিংকে হাবের গেটওয়ে গ্রহণ করতে হবে। Microsoft-এর গেটওয়ে-ট্রানজিট নির্দেশিকা দিক অনুযায়ী এগুলোর নাম দেয়, আর সেগুলো সঠিক রাখার এটিই একমাত্র উপায়:
| Peering direction | What to enable |
|---|---|
| Hub → spoke | Allow gateway transit on the hub's peering |
| Spoke → hub | Use remote gateways on the spoke's peering |
remote লেবেলযুক্ত একটি কন্ট্রোল আপনি কোন VNet-এর পিয়ারিং সম্পাদনা করছেন তার উপর নির্ভর করে অর্থ বদলায়, তাই শব্দটি নয়, দিকটি পড়ুন। দুই দিকেই সেট করুন, সংরক্ষণ করুন এবং পিয়ারিং দুই জায়গাতেই সংযুক্ত দেখাচ্ছে তা নিশ্চিত করুন।
তৃতীয় শর্ত: ঠিকানা স্থান ও অনুমতির সীমানা
ট্রানজিট একই গন্তব্য প্রিফিক্সকে দুটি নেটওয়ার্ক বোঝাতে বাধ্য করতে পারে না, তাই হাব, spoke ও অন-প্রিমাইজেস রেঞ্জগুলোকে এগুলোর যেকোনোটি কাজ করার আগে আলাদা হতে হবে। VNet-গুলো ভিন্ন সাবস্ক্রিপশন বা ভিন্ন টেন্যান্টেও থাকতে পারে; এটি নিষেধ নয়, তবে প্রতিটি পিয়ারিং তৈরি বা হালনাগাদ করা পরিচয়ের ওই নেটওয়ার্কে প্রয়োজনীয় অনুমতি থাকতে হবে। সাবস্ক্রিপশন-পরবর্তী পরিবর্তনগুলো প্রায়ই অনুমতিতে ব্যর্থ হয়, আর ত্রুটিটি টপোলজি সমস্যা হিসেবে ভুল পড়া সহজ।
পরিবর্তনের আগে রেঞ্জ ও মালিকদের লিখে রাখুন। যেকোনো একটিতে অনুমান করলে এমন পিয়ারিং তৈরি হয় যা সংযুক্ত হয় কিন্তু কিছুই রুট করে না।
পিয়ারিং স্ট্যাটাসে নয়, কার্যকর রুটে যাচাই করুন
spoke ওয়ার্কলোডের নেটওয়ার্ক ইন্টারফেসে কার্যকর রুট দেখুন এবং প্রকৃত অন-প্রিমাইজেস প্রিফিক্স খুঁজুন। সাবনেটের রুট টেবিল এবং গেটওয়ে রুট প্রচার নিষ্ক্রিয় কি না তা যাচাই করুন, কারণ ব্যবহারকারী-সংজ্ঞায়িত রুট বা পরিদর্শন যন্ত্র পিয়ারিং ফ্ল্যাগ যে পথ প্রস্তাব করে তা অতিক্রম করতে পারে। তারপর অন্য দিকটি নিশ্চিত করুন: অন-প্রিমাইজেসকে site-to-site সংযোগের মাধ্যমে spoke প্রিফিক্সে পৌঁছানোর উপায় জানতে হবে, তা শেখা বিজ্ঞাপনের মাধ্যমে হোক বা স্পষ্ট রুট ও গ্রাহক ডিভাইসে মিলে যাওয়া সুরক্ষিত-নেটওয়ার্ক এন্ট্রির মাধ্যমে হোক। প্রিফিক্স কোনো দিকে অনুপস্থিত থাকলে পিয়ারিং ফ্ল্যাগ পরিবর্তন করার জিনিস নয়।
spoke ওয়ার্কলোড থেকে একটি সেবা পরীক্ষা করুন এবং উত্তরটি অনুসরণ করুন। VPN গেটওয়ে বা হাব VM থেকে পরীক্ষা ভিন্ন উৎস প্রিফিক্স ও ভিন্ন পথ ব্যবহার করে।
টপোলজি যদি point-to-site ক্লায়েন্টদেরও সেবা দেয়, তবে তাদের ইনস্টল করা রুট আলাদাভাবে যাচাই করুন। টপোলজি পরিবর্তনের পরে Windows ক্লায়েন্ট প্যাকেজ পুনরায় তৈরি করার প্রয়োজন হতে পারে, এবং এটি গেটওয়ে শেয়ারিং ব্যর্থ হয়েছে তার প্রমাণ নয়, বরং ক্লায়েন্ট রাউটিংয়ের কাজ।
গেটওয়ে শেয়ার করা কী দেয় না
গেটওয়ে ট্রানজিট একটি রাউটিং সুবিধা, অনুমোদন নয়। নেটওয়ার্ক সিকিউরিটি গ্রুপ, অন-প্রিমাইজেস ফিল্টার এবং সেবা-স্তরের নিয়ম এখনও ঠিক করে spoke ওয়ার্কলোড কী পৌঁছাতে পারে, তাই শেয়ার করা টানেল এর পেছনের সবকিছু অনুমোদন করে ধরে নেওয়ার বদলে নির্দিষ্ট উৎস-থেকে-গন্তব্য সেবাটি চালু করুন।
পিয়ারিংও সেইভাবে ট্রানজিটিভ নয় যেভাবে মানুষ আশা করে। আরেকটি spoke বা একটি প্রাইভেট এন্ডপয়েন্ট যোগ করলে তার নিজস্ব রাউটিং ও অ্যাক্সেস প্রয়োজনীয়তা আসে যা বিদ্যমান ট্রানজিট সেটিং কভার করে না।