Peering u Azureu ili VPN od VNet do VNet? Odlučite prije usmjeravanja

Azure vam daje najmanje dva načina povezivanja dviju virtualnih mreža i to nisu zamjenjive postavke na istom objektu. Peering povezuje VNetove preko Microsoftove okosnice bez pristupnika; VPN od VNet do VNet postavlja IPsec odnos između dvaju pristupnika koje vi uvode, dimenzionirate i nadzirete. Odluka se svodi na tri uvjeta, a ako ne možete odgovoriti na sva tri prije nego dodate rutu, gradite zaobilazno rješenje za model koji nikada niste odabrali.

Tri uvjeta koja odlučuju o modelu

Prvi je treba li nešto u zahtjevu IPsec granicu koju posjedujete i na koju možete pokazati. Drugi je jesu li adresni prostori čisti i trebaju li dva VNeta samo razgovarati jedan s drugim. Treći je kome pripadaju bilo koja tranzitna putanja i račun za pristupnik. Odgovorite tim redom, jer prvi može isključiti peering koliko god drugi izgledao privlačno.

Zajedničko obama modelima je strogo pravilo adresiranja: adresni prostori VNetova ne smiju se preklapati. Ni peering ni VPN od VNet do VNet nisu podržan način da se dva identična raspona učine jednoznačnima, a preklapanje zahtijeva dizajn mapiranja ili redizajn, a ne drugu vrstu veze.

Uvjet 1: trebate li IPsec granicu koju posjedujete?

Peering prenosi promet preko Azureove privatne okosnice i ne zahtijeva VPN pristupnik za samu peered vezu. To je izjava o prijenosu, a ne izjava o enkripciji koju možete dati revizoru kao «mi pokrećemo IPsec». Ako zahtjev imenuje tunel koji konfigurira klijent, određenu IKE politiku ili granicu koja završava na opremi koju kontrolirate, peering to ne zadovoljava, koliko god okosnica bila privatna.

VPN od VNet do VNet pruža tu granicu: dva pristupnika, IPsec/IKE odnos, dijeljene ključeve i cijelu operativnu površinu koja s tim dolazi. Nasljeđujete stanje tunela, kapacitet pristupnika, ograničenja SKU-a i nadzor koji dokazuje da je tunel aktivan. To je točan odgovor kada se zahtjev bavi upravo tom granicom, opisanom u pregledu peeringa kao zasebna vrsta veze.

Budite jednako pažljivi u suprotnom smjeru. «Trebamo enkripciju između VNetova» često zadovoljava vlastiti TLS radnog opterećenja, a tada je pristupnik trošak bez zahtjeva iza sebe. Napišite rečenicu koju će revizor pročitati prije nego odaberete mehanizam.

Uvjet 2: je li topologija izravna ili nešto mora tranzitirati?

Peering nije tranzitivan. Dva VNeta peered na čvorište time nisu povezana jedan s drugim, a ruta koja izgleda da radi u jednom smjeru obično je peering koji je dosegao Connected samo na jednoj strani. Obje strane moraju postojati i obje moraju pokazivati Connected, i to je prvo što provjerite kada promet tiho nestane.

Ako je zahtjev dostupnost lokalne mreže preko čvorišta, tranzit pristupnika zaseban je dizajn s određenim ulogama: čvorište posjeduje pristupnik, peering spokea dopušta tranzit pristupnika, a spoke mora dopustiti proslijeđeni promet. To su svojstva na peeringu, a ne automatske posljedice povezivanja VNetova:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Učinkovita tablica ruta pošten je odgovor na «postoji li put?». Pokazuje vrstu sljedećeg skoka koju će platforma stvarno koristiti, pa se peering koji izgleda konfiguriran ali nije povezan pojavljuje kao ruta koja nedostaje ili je pogrešna, a ne kao zagonetka.

Uvjet 3: kome pripadaju tranzitna putanja i račun?

Svaki dodatni skok ima vlasnika. Uz peering, novi VNet znači novi par peeringa na obje strane i, za tranzit, čvorište koje nastavlja prosljeđivati promet i tablicu ruta koja nastavlja pokazivati na njega. Uz VPN, novi VNet znači još jedan pristupnik ili još jednu vezu na postojećem, s vlastitim stropom kapaciteta koji treba pratiti.

Trošak slijedi isti oblik ali ne iste stavke: peering naplate su veza i prijenos podataka, dok VPN dodaje sate pristupnika i vlastite naknade za prijenos. Usporedite ukupni iznos za topologiju koju ćete stvarno voditi godinu dana, uključujući drugi tunel i nadzor, a ne cijenu jedne veze danas. Uključite rad koji nitko ne fakturira: netko mora rotirati ključeve, pratiti stanje tunela i odgovoriti na alarm u tri sata ujutro kada se pristupnik ponovno pokrene. Ta stavka obično odlučuje raspravu, jer je jedina koja se nikada ne pojavljuje u ponudi.

Što god odabrali, testirajte tri toka: namjeravani, odbijeni koji mora ostati odbijen i slučaj oporavka kada je pristupnik čvorišta ili peering u kvaru. Model koji objašnjava samo sretan put nije provjeren, nego demonstriran.

Provjerite odabir prema njegovoj vlastitoj tvrdnji

Napišite jednu rečenicu koja imenuje model, granicu i vlasnika, zatim provjerite da se uvedeno stanje s njom slaže. Za peering to znači da su oba stanja peeringa Connected, da učinkovita ruta pokazuje sljedeći skok peeringa za odredišni prefiks i da na putu nema pristupnika. Za VPN od VNet do VNet to znači da su obje veze Connected, ključevi i pravila usklađeni na obama pristupnicima i ruta čiji je sljedeći skok pristupnik virtualne mreže.

Ako se provjere ne slažu s rečenicom, prvo popravite rečenicu. Većina zbrke u ovim dizajnima dolazi od hibrida koji nitko nije opisao: peering za podmrežu radnog opterećenja, VPN za jednu naslijeđenu uslugu i tablica ruta koja tiho preferira jednu od njih.