Arolygu NVA Azure: pam mae’r ateb yn mynd trwy firewall arall

Gall ffrwd o gangen i Azure gael ei llwybro’n gywir yn y ddau gyfeiriad ac eto fethu, oherwydd bod y ddau gyfeiriad yn mynd trwy offer gwahanol. Mae’r cais yn gadael y gangen dros VPN, yn glanio ar NVA A ac yn cyrraedd y llwyth gwaith. Mae’r ateb yn gadael y llwyth gwaith, yn cyfateb i lwybr sy’n pwyntio at NVA B ac yn marw yno. Mae pob llwybr yn y darlun hwnnw’n ddilys, ac mae’r sesiwn TCP yn dal yn torri.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Y bwlch hwnnw yw’r pwnc cyfan yma: mae cydgyfeiriant llwybro a pherchnogaeth cyflwr sesiwn yn broblemau gwahanol sy’n edrych yn unfath ar ddiagram.

Beth mae Route Server yn ei raglennu mewn gwirionedd

Mae Azure Route Server yn cymryd rhan mewn peering gyda siaradwyr BGP a gefnogir, yn dysgu eu llwybrau ac yn eu rhaglennu i lwybrau effeithiol y rhwydwaith rhithwir. Gwaith plân rheoli yw hyn. Nid yw’n darllen tabl sesiynau firewall gwerthwr, ac nid oes ganddo syniad pa declyn a adawodd i gysylltiad penodol fynd trwodd. Mae dau hop nesaf o gost gyfartal, i’r ffabrig hwn, yn syml yn ddwy ffordd o gyrraedd yr un rhagddodiad, a bydd yn defnyddio’r naill neu’r llall.

Felly mae dysgu llwybr yn profi cyrhaeddedd. Nid yw’n profi dim am a yw’r ddyfais yn y pen arall wedi gweld y ffrwd hon o’r blaen.

Darllenwch y ddau gyfeiriad cyn i chi ddylunio

Dechreuwch drwy nodi’r llywio sydd gennych mewn gwirionedd ym mhob cyfeiriad, nid yr un yr oeddech yn bwriadu ei gael. Mae llwybrau BGP mwy penodol, llwybrau a ddiffinnir gan y defnyddiwr ac ymddygiad y giât i gyd yn cystadlu, a phenderfynir y buddugwr fesul cyrchfan, nid fesul sesiwn. Nid yw llwybr diofyn ar NVA yn golygu bod pob rhagddodiad preifat yn mynd drwyddo.

Gwiriad defnyddiol yw gofyn, ar gyfer un IP llwyth gwaith penodol, i ba hop nesaf yr eir ym mhob cyfeiriad. Os mai dau declyn gwahanol yw’r ateb, mae gennych broblem anghymesuredd p’un a yw wedi amlygu ai peidio.

Lle mae’r cyflwr yn byw

Mae firewall cyflwr yn derbyn cysylltiad ac yn cadw cofnod tabl wedi’i allweddu ar y pum-tuple. Rhaid i’r ateb gyrraedd y ddyfais sy’n dal y cofnod hwnnw, neu rhaid i’r ddyfais honno gael y cyflwr rywsut arall. Nid oes dim ym mhlân data Azure yn anfon y cofnod rhwng offer. Naill ai mae’r traffig yn cael ei lywio’n ôl at y perchennog, neu mae’r offer yn rhannu cyflwr trwy fecanwaith gwerthwr, neu nid yw’r dyluniad yn gweithio.

Dyna pam nad yw dau NVA iach yn wiriad iechyd ar gyfer arolygu. Mae iechyd yn ymwneud â chyrhaeddedd; mae arolygu yn ymwneud â pha enghraifft sy’n dal y sesiwn.

Modelau HA a gefnogir a beth mae pob un yn ei addo

Microsoft's guidance on fwriad llwybro Virtual WAN yn disgrifio ymddygiad cwmpasedig ar gyfer cysylltedd deuol-rôl a firewall NVA, lle gall llwybro uniongyrchol osgoi gorfodaeth gymesur arferol yr hub. Darllenwch y nodiadau hynny fel cyfyngiadau ar y topoleg a ddewiswyd gennych, nid fel gwaharddiad ar ddyluniadau gweithredol-weithredol. Gellir cefnogi pâr gwerthwr sy’n cysoni cyflwr, neu’n llywio fesul ffrwd. Nid yw pâr o gost gyfartal nad yw’n gwneud y naill na’r llall.

Yna diffiniwch beth sy’n digwydd i sesiynau presennol pan fydd nod yn methu. Mae cydgyfeiriant llwybrau yn adfer cyrhaeddedd ar gyfer ffrydiau newydd o fewn eiliadau, tra bod hen gyflwr y firewall wedi mynd yn syml. Efallai mai ailgysylltu’r cleient fydd y canlyniad dogfennol, a phenderfyniad i’w wneud cyn y digwyddiad yn hytrach nag yn ystod.

Beth i’w brofi cyn i chi ymddiried ynddo

Test with inspection enabled and polisi mynediad y llwyth gwaith yn ei le, oherwydd gall y naill neu’r llall guddio’r anghymesuredd. Anfonwch ffrwd awdurdodedig newydd yn y ddau gyfeiriad a chadarnhau bod yr un teclyn wedi gweld y ddwy hanner. Yna rhedeg traffig parhaus a sbarduno’r failover a gymeradwywyd, gan wylio a yw sesiynau sefydledig yn goroesi neu’n ailgysylltu.

Cydberthynwch bob ffrwd â’r teclyn a’i triniodd. Nid yw cipio pecynnau ar un NVA yn dweud fawr ddim wrthych os na ddaeth yr ateb yn ôl iddo byth.

Yn olaf, ysgrifennwch y cynllun fel tair llinell ar wahân: perchnogaeth llwybrau, llywio traffig a pherchnogaeth cyflwr sesiwn. Mae dyluniadau’n torri pan fydd y ddau gyntaf wedi’u datrys a’r trydydd yn cael ei dybio.