Treba li peerirani Azure VNet vlastiti VPN prolaz?

Pojavljuje se novi spoke VNet, hub već ima radni site-to-site prolaz, a očigledno pitanje je morate li platiti drugi prolaz. Obično ne: tranzit prolaza omogućava spokeu da preko peeriranja koristi hubov prolaz. Tri uslova odlučuju hoće li to raditi, a nijedan se ne vidi na znački statusa peeriranja. Povezivost peeriranja i dozvola za korištenje tuđeg prolaza su odvojene postavke, pa dva VM-a koja se već mogu pingovati ne dokazuju ništa o VPN putu.

Prvi uslov: prolaz i spokeov nedostatak istog

Azure podržava tranzit prolaza za VPN Gateway SKU-ove osim Basic, a nose ga i regionalno i globalno peeriranje. Spoke troši prolaz koji ne posjeduje, pa ne može imati vlastiti: ako u spokeu već postoji prolaz ili je već odabrana opcija udaljenog prolaza, postavka tranzita koju želite bit će nedostupna ili neefektivna. Provjerite to prije nego što bilo što otklanjate, jer onemogućeno polje za potvrdu je simptom, a ne kvar. Prvo pročitajte SKU i postojeći prolaz, pa pogledajte postavke peeriranja.

Ne brišite postojeći spokeov prolaz da bi se opcija pojavila dok ne saznate šta o njemu zavisi. Redoslijed migracije važniji je od polja za potvrdu.

Drugi uslov: jedna postavka u svakom smjeru peeriranja

Peeriranje su dva objekta, po jedan na svakom VNetu, a postavke tranzita žive na različitim stranama tog para. Hubovo peeriranje prema spokeu mora dopustiti hubovom prolazu da opslužuje spoke; spokeovo peeriranje prema hubu mora prihvatiti hubov prolaz. Microsoftov vodič za tranzit prolaza imenuje ih po smjeru, što je jedini način da ih zadržite ispravnima:

Kontrola označena s remote mijenja značenje ovisno o tome čije peeriranje uređujete, pa čitajte smjer, a ne riječ. Postavite obje strane, sačuvajte i potvrdite da peeriranje prijavljuje povezanost na oba mjesta.

Treći uslov: adresni prostor i granice dozvola

Tranzit ne može učiniti da isti odredišni prefiks znači dvije mreže, pa se rasponi huba, spokea i lokalne mreže moraju razlikovati prije nego što bilo šta od ovoga proradi. VNetovi mogu biti i u različitim pretplatama ili različitim zakupcima; to nije zabrana, ali identitet koji stvara ili ažurira svako peeriranje treba potrebne dozvole na toj mreži. Promjene između pretplata često padaju na dozvolama, a grešku je lako pogrešno pročitati kao problem topologije.

Zapišite raspone i vlasnike prije promjene. Pogađanje bilo čega od toga daje peeriranje koje se povezuje i ništa ne usmjerava.

Provjeravajte efektivnim rutama, a ne statusom peeriranja

Pogledajte efektivne rute na mrežnom sučelju spokeovog radnog opterećenja i pronađite stvarni prefiks lokalne mreže. Provjerite tablicu ruta podmreže i je li propagacija prolaznih ruta onemogućena, jer korisnički definirana ruta ili uređaj za inspekciju može nadjačati put koji sugeriraju oznake peeriranja. Zatim potvrdite drugi smjer: lokalna mreža mora znati kako doći do spokeovog prefiksa preko site-to-site veze, bilo naučenim objavama bilo eksplicitnom rutom i odgovarajućim unosom zaštićene mreže na korisničkom uređaju. Ako prefiks nedostaje na bilo kojoj strani, oznake peeriranja nisu ono što treba mijenjati.

Testirajte jednu uslugu sa spokeovog radnog opterećenja i pratite odgovor. Test s VPN prolaza ili s hubovog VM-a koristi drugačiji izvorni prefiks i drugačiji put.

Ako topologija opslužuje i point-to-site klijente, zasebno provjerite njihove instalirane rute. Windowsovi klijentski paketi mogu zahtijevati ponovno generiranje nakon promjene topologije, a to je zadatak klijentskog usmjeravanja, a ne dokaz da je dijeljenje prolaza propalo.

Šta dijeljenje prolaza ne daje

Tranzit prolaza je pogodnost usmjeravanja, a ne autorizacija. Mrežne sigurnosne grupe, lokalni filtri i pravila na razini usluge i dalje odlučuju do čega spokeovo radno opterećenje može doći, pa omogućite konkretnu uslugu od izvora do odredišta umjesto da pretpostavite da dijeljeni tunel dopušta sve iza sebe.

Peeriranje također nije tranzitivno onako kako ljudi priželjkuju. Dodavanje još jednog spokea ili privatne krajnje točke uvodi vlastite zahtjeve za usmjeravanjem i pristupom koje trenutna postavka tranzita ne pokriva.