VPN safle-i-safle AWS i Azure: ysgrifennwch y llwybr dychwelyd yn gyntaf

Bydd y twnnel yn codi. Mae’n tueddu i wneud hynny, oherwydd dim ond cynigion cyfatebol a chyfeiriad cymar y gellir ei gyrraedd sydd eu hangen ar IKE. Yr hyn sy’n methu wedyn yw’r llwybr dychwelyd: mae’r llwyth gwaith yn AWS yn anfon pecynnau i mewn i dwnnel, ond nid oes dim ar ochr Azure yn gwybod sut i ateb 10.10.0.0/16, neu mae llwybr Azure yn bodoli mewn tabl nad yw’r is-rwydwaith llwyth gwaith yn ei ddefnyddio. Ysgrifennwch y cynllun llwybrau cyn i chi gyffwrdd ag unrhyw gonsol, a daw’r twnnel y rhan leiaf diddorol o’r gwaith.

Cam 1: rhewi’r cynllun cyfeiriadau

Gweithiwch â gwerthoedd pendant. Mae llwyth gwaith AWS ar 10.10.1.20 y tu mewn i 10.10.0.0/16 ac mae angen TCP 443 i wasanaeth Azure ar 10.20.1.30 y tu mewn i 10.20.0.0/16. Rhaid i’r ddau amrediad beidio â gorgyffwrdd, a’r pâr gwasanaeth, nid y twnnel, yw’r prawf derbyn.

Ysgrifennwch y pedair ffaith hyn cyn unrhyw beth arall, oherwydd gwirir pob cam dilynol yn eu herbyn.

Cam 2: enwch y giât sy’n berchen ar bob pen

Gall AWS Site-to-Site VPN derfynu ar giât breifat rithwir neu ar giât drafnidiaeth, ac mae’r rheini’n berchenogion llwybro gwahanol. Mae Azure yn cynnig ei VPN Gateway rheoledig ac, ar wahân, offerynnau ar sail VM y mae cwsmeriaid yn eu rhedeg eu hunain. Cofnodwch pa bâr sydd gennych, oherwydd mae’r naid nesaf yn wahanol ym mhob cyfuniad.

Ar gyfer giât reoledig, peidiwch â chopïo llwybr sy’n pwyntio at gyfeiriad offeryn preifat a ddyfalwyd. Ar gyfer offeryn, peidiwch â chymryd yn ganiataol bod lledaeniad llwybrau yn y cwmwl yn ffurfweddu’r system weithredu westeion, oherwydd nad yw’n gwneud hynny.

Mae cael hyn yn anghywir yn cynhyrchu cynllun sy’n edrych yn gyflawn ac yn anfon pecynnau i gyfeiriad nad yw byth yn ateb.

Cam 3: ysgrifennwch y llwybr y mae pob llwyth gwaith yn ei ddefnyddio mewn gwirionedd

Mae pob ffin isod yn chwiliad ar wahân, ac nid yw llwybr yn un ohonynt yn llwybr i’r pecyn. Llenwch y tabl â’ch gwerthoedd eich hun cyn i’r twnnel fynd yn fyw.

Yn AWS, tabl llwybrau is-rwydwaith y llwyth gwaith yw eich un chi i’w ddiweddaru hyd yn oed ar ôl i BGP neu dwnnel fod yn iach; mae’r trosolwg llwybro yn ystyried hynny’n rhan o’r cysylltiad. Yn Azure, mae tabl llwybrau a ddiffinnir gan ddefnyddiwr yn gysylltiedig ag is-rwydwaith yn hytrach na chael ei gysylltu â’r rhwydwaith rhithwir, felly gwiriwch y llwybr effeithiol ar NIC y llwyth gwaith yn hytrach nag ym mhlade VNet.

Gall giât Azure reoledig ddysgu’r rhagddodiad pell trwy ledaeniad y giât, a gall UDR ddiystyru’r penderfyniad hwnnw. Ychwanegwch yr UDR pan fo gennych reswm, nid yn reddfol. Os ydych yn ychwanegu un, pwyntiwch ef at y naid nesaf y mae’r giât yn ei chyhoeddi ar gyfer llwybr VPN yn hytrach na dyfeisio cyfeiriad offeryn. Yna ail-ddarllenwch y llwybrau effeithiol ar y NIC, oherwydd ar y NIC y gwneir y penderfyniad mewn gwirionedd.

Cam 4: cysoni’r cwmpas

Ar gyfer BGP, cymharwch yr hyn y mae pob ochr yn ei hysbysebu â’r hyn y mae’r ochr arall wedi’i ddysgu mewn gwirionedd, rhagddodiad wrth ragddodiad. Ar gyfer llwybro statig, cymharwch yr amrediadau pell a ffurfweddwyd â’r llwybrau llwyth gwaith a ysgrifennwyd gennych yng ngham 3.

Nid yw perthynas IKE sy’n cytuno ar griftograffi yn dystiolaeth bod y naill ochr wedi dysgu 10.10.0.0/16 na 10.20.0.0/16. Gall dau dwnnel fod i fyny tra bod un ochr yn hysbysebu un /24 yn lle’r /16 a gynlluniwyd gennych. Gwiriwch y rhagddodiad yn y tabl llwybro, nid yn statws y twnnel. Mae’r anghysondeb yn ymddangos yn ddiweddarach fel un is-rwydwaith sy’n gweithio ac un nad yw byth yn ateb.

Cam 5: profwch y gwasanaeth, o’r gwir ffynhonnell

Caniatéwch y llif arfaethedig yng ngrwpiau diogelwch a ACL rhwydwaith AWS, yn NSG Azure, ac yn unrhyw hidlydd offeryn ar y llwybr. Yna agorwch un cysylltiad o 10.10.1.20 i gyfeiriad a phorth cymeradwy’r gwasanaeth a chadarnhewch fod yr ateb yn dychwelyd i’r un ffynhonnell.

Mae grwpiau diogelwch cwmwl a NSG ill dau yn gyflwr, felly arwydd o lwybro yw pecyn dychwelyd a wrthodwyd, nid rheol y gwnaethoch anghofio ei hysgrifennu i’r gwrthwyneb.

Nid yw ping o unrhyw giât yn datrys dim. Mae ICMP i gyfeiriad giât yn ymarfer llwybr yr awyren reoli, nid y gwasanaeth TCP a anfonwyd ymlaen y mae’r llwyth gwaith ei angen.

Adfer a chofnodion

Cofnodwch berchnogion llwybrau wrth ymyl dynodwyr y twnnel, a chadwch y tablau llwybrau cyn y newid. Os oes rhaid tynnu’r newid, tynnwch lwybrau’r llwyth gwaith cyn dymchwel y twnnel, fel nad oes is-rwydwaith yn pwyntio at naid nad yw’n bod mwyach.

Yna mae symud is-rwydwaith neu atodiad spoke yn ddiweddarach ag un lle penodol i’w ddiweddaru, yn lle twnnel sy’n gweithio ac yn cario’r bai am lwybr nad oedd byth yn berchen arno.