Usmjeravanje prometa između dviju podružnica kroz Azure VPN pristupnik
Dvije veze Site-to-Site na jednom Azure VPN pristupniku mogu propuštati promet podružnica, ali samo kad oba kraja nauče prefiks i postoji povratni put u LAN-u.
Dvije podružnice mogu razmjenjivati promet kroz Azure VPN pristupnik bez ikakvog izravnog tunela između njih. Svaka podružnica otvara vezu Site-to-Site prema istom pristupniku, a pristupnik prenosi naučene prefikse između dviju veza. Ono što to čini funkcionalnim nije drugi tunel, već razmjena ruta: podružnica A mora naučiti prefiks podružnice B, a B prefiks od A. Prođite donje provjere redom i zaustavite se na prvoj koja ne uspije, jer svaki kasniji korak ovisi o njoj.
Preduvjeti, prije nego što išta konfigurirate
Četiri uvjeta odlučuju može li ovaj dizajn uopće funkcionirati. Pristupnik se mora temeljiti na rutama i biti na SKU-u koji podržava BGP, obje veze moraju imati omogućen BGP, adresni prostori podružnica ne smiju se preklapati i nijedna strana ne smije ovisiti o NAT-u da bi sakrila svoj stvarni prefiks.
Planirajte ASN-ove namjerno. Dokumentirana zadana vrijednost Azurea je 65515, a svaki usmjerivač podružnice treba vlastiti privatni ASN koji se ne sukobljava s pristupnikom ni s drugom podružnicom. Ponovno korištenje zadane vrijednosti bez provjere postojeće konfiguracije pristupnika način je na koji se AS put kasnije odbija.
Također potvrdite da ne očekujete ponašanje VNet peeringa. Pristupnik razmjenjuje rute između dviju veza koje ste konfigurirali; on ne čini proizvoljne peeringe tranzitivnima. Ako treća mreža mora dosegnuti obje podružnice, potrebna joj je vlastita veza ili vlastiti put rute, a ne pretpostavka da će pristupnik razgranati promet. Zapišite tu granicu prije prvog prozora promjena, jer to je dizajnerska odluka kojoj se ljudi vraćaju kad se kasnije doda lokacija.
Konfigurirajte ovim redom
Svaki korak ima vidljiv rezultat, pa nemojte ići dalje dok se ne pojavi.
- Omogućite BGP na pristupniku virtualne mreže i zabilježite njegov ASN i adresu partnera.
- Stvorite lokalni mrežni pristupnik za svaku podružnicu sa stvarnim adresnim prostorom te podružnice, njezinim ASN-om i njezinom adresom BGP partnera.
- Stvorite svaku vezu Site-to-Site i omogućite BGP na samoj vezi.
- Konfigurirajte usmjerivač podružnice da se povezuje s adresom pristupnika koju je dodijelio Azure, a ne s javnom IKE krajnjom točkom pristupnika po pretpostavci.
Četvrti korak je mjesto na kojem većina pokušaja zapne. Adresa BGP partnera koju Azure prijavljuje ona je koju usmjerivač podružnice mora koristiti kao susjeda, i nije uvijek adresa koju ljudi očekuju iz dijagrama tunela.
Oglašavajte sam prefiks podružnice, na primjer 10.10.0.0/16 iz A i 10.20.0.0/16 iz B. Ne oglašavajte zadanu rutu ni široki agregat da biste pokrili mrežu specifičnu koja nedostaje; praznina se kasnije vraća kao tiha crna rupa.
Provjerite razmjenu ruta na oba kraja
Status veze nije provjera. IPsec može biti aktivan na objema vezama dok nijedan prefiks ne prelazi između njih. Pročitajte BGP partnere pristupnika i njegove naučene rute, zatim potvrdite da se ruta prema drugoj podružnici pojavljuje kao upotrebljiv put.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Prefiks prisutan u BGP tablici ipak može izgubiti odluku o prosljeđivanju od statične rute ili specifičnijeg prefiksa. Provjerite odabranu rutu, ne samo primljenu.
Slijedite povratni put na strani LAN-a
To je dio koji izgleda ispravno u Azureu, a na lokaciji zakaže. Domaćin u podružnici A šalje svoj paket VPN usmjerivaču A samo ako je taj usmjerivač njegov zadani pristupnik ili ako domaćin ili njegov pristupnik ima rutu za prefiks B. Isto mora vrijediti i u drugom smjeru.
Ako je zaseban jezgreni preklopnik zadani pristupnik LAN-a, potrebna mu je ruta prema drugoj podružnici usmjerena na VPN usmjerivač. Bez nje zahtjev stiže, a odgovor izlazi internet putem, i korisnik vidi vezu koja se otvori i zatim zapne.
Ne posežite za mrežnom sigurnosnom grupom na podmreži pristupnika da to popravite. Ta podmreža ima vlastite zahtjeve i NSG ondje nije podržana zamjena za politiku na strani podružnice. Filtriranje pripada vatrozidima podružnica i samim radnim opterećenjima, gdje pravila mogu pregledati njihovi vlasnici. Premještanje tih pravila u NSG podmreže također ih skriva od tima koji će otklanjati sljedeći ispad.
Dopustite operaciju, pa je dokažite odbijenim testom
Naučena ruta nije dopuštenje. Dopustite izvor, odredište i uslugu koji su vam stvarno potrebni kroz vatrozide podružnica i politiku krajnje točke, a ostatak ostavite odbijenim.
Testirajte iz uobičajenog radnog opterećenja u podružnici A prema stvarnoj usluzi u podružnici B, potvrdite odgovor, pa pokušajte operaciju koja mora ostati zabranjena. Promet koji generira sama VPN naprava može koristiti drugu izvornu adresu i preskočiti fazu LAN usmjeravanja, pa uspješan ping s usmjerivača dokazuje manje nego što se čini.
Završite zapisivanjem četiri činjenice: razmijenjene prefikse, ASN-ove u upotrebi, povratni LAN put za svaku stranu i politiku koja dopušta uslugu. Ako jedna od njih nedostaje, postava radi do prve promjene, a tada nitko ne može objasniti zašto.