Peering Azure neu VPN VNet-i-VNet? Penderfynwch cyn llwybro

Mae Azure yn rhoi o leiaf dwy ffordd i chi gysylltu dau rwydwaith rhithwir, ac nid ydynt yn osodiadau cyfnewidiol ar yr un gwrthrych. Mae peering yn ymuno'r VNets ar asgwrn cefn Microsoft heb gateway; mae VPN VNet-i-VNet yn gosod perthynas IPsec rhwng dau gateway rydych yn eu defnyddio, eu maintio a'u monitro. Daw'r penderfyniad i lawr i dri amod, ac os na allwch ateb y tri cyn ychwanegu llwybr, rydych ar fin adeiladu gwaith-cwmpas ar gyfer model na ddewisoch erioed.

Tri amod sy'n penderfynu'r model

Y cyntaf yw a oes angen ffin IPsec rydych yn berchen arni ac yn gallu tynnu sylw ati ar unrhyw beth yn y gofyniad. Yr ail yw a yw'r gofodau cyfeiriad yn lân ac a oes angen i'r ddau VNet siarad â'i gilydd yn unig. Y trydydd yw pwy sy'n berchen ar unrhyw lwybr trosglwyddedol a'r bil gateway. Atebwch nhw yn y drefn honno, oherwydd gall y cyntaf ddileu peering waeth pa mor atyniadol y mae'r ail yn edrych.

Yr hyn sy'n gyffredin i'r ddau fodel yw rheol cyfeirio galed: ni chaiff gofodau cyfeiriad VNet orgyffwrdd. Nid yw peering nac VPN VNet-i-VNet yn ffordd a gefnogir i wneud dau ystod unfath yn ddiamwys, ac mae angen dyluniad mapio neu ailddylunio ar orgyffyrddiad, nid math gwahanol o gysylltiad.

Amod 1: a oes angen ffin IPsec arnoch sy'n eiddo i chi?

Mae peering yn cludo traffig dros asgwrn cefn preifat Azure ac nid oes angen gateway VPN ar gyfer y cysylltiad peered ei hun. Datganiad am gludiant yw hwn, nid datganiad am amgryptio y gallwch ei roi i archwilydd fel «rydym yn rhedeg IPsec». Os yw'r gofyniad yn enwi twnnel a ffurfweddir gan y cwsmer, polisi IKE penodol, neu ffin sy'n terfynu ar offer rydych yn ei reoli, nid yw peering yn ei bodloni, pa mor breifat bynnag yw'r asgwrn cefn.

Mae VPN VNet-i-VNet yn darparu'r ffin honno: dau gateway, perthynas IPsec/IKE, allweddi a rennir a'r holl arwyneb gweithredu sy'n dod gyda hynny. Rydych yn etifeddu cyflwr y twnnel, capasiti'r gateway, terfynau SKU a'r monitro sy'n profi bod y twnnel i fyny. Dyma'r ateb cywir pan fo'r gofyniad yn ymwneud yn benodol â'r ffin honno, a ddisgrifir yn trosolwg peering fel math o gysylltiad gwahanol i peering.

Byddwch yr un mor ofalus yn y cyfeiriad arall. Mae «mae angen amgryptio rhwng VNets arnom» yn aml yn cael ei fodloni gan TLS y llwyth gwaith ei hun, ac wedyn mae gateway yn gost heb ofyniad y tu ôl iddi. Ysgrifennwch y frawddeg y bydd yr archwilydd yn ei darllen cyn dewis y mecanwaith.

Amod 2: a yw'r topoleg yn uniongyrchol, neu a oes angen i rywbeth drosglwyddo?

Nid yw peering yn drosglwyddedol. Nid yw dau VNet sydd wedi'u peered i hub yn gysylltiedig â'i gilydd o'r herwydd, ac mae llwybr sy'n ymddangos yn gweithio mewn un cyfeiriad fel arfer yn peering a gyrhaeddodd Connected ar un ochr yn unig. Rhaid i'r ddwy ochr fodoli a rhaid i'r ddwy ddangos Connected, a dyna'r peth cyntaf i'w wirio pan fo traffig yn diflannu'n dawel.

Os yw'r gofyniad yn cyrraedd y safle lleol trwy hub, mae trosglwyddiad gateway yn ddyluniad ar wahân â rolau penodol: y hub sy'n berchen ar y gateway, mae peering y spoke yn caniatáu trosglwyddiad gateway, a rhaid i'r spoke ganiatáu traffig a anfonir ymlaen. Priodweddau ar y peering yw'r rhain, nid canlyniadau awtomatig o gysylltu'r VNets:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Y tabl llwybr effeithiol yw'r ateb gonest i «a yw'r llwybr yn bodoli?». Mae'n dangos y math neidio nesaf y bydd y platfform yn ei ddefnyddio mewn gwirionedd, felly mae peering sy'n edrych fel pe bai wedi'i ffurfweddu ond heb ei gysylltu yn ymddangos fel llwybr coll neu anghywir yn hytrach na dirgelwch.

Amod 3: pwy sy'n berchen ar y llwybr trosglwyddedol a'r bil?

Mae gan bob neidiad ychwanegol berchennog. Gyda peering, mae VNet newydd yn golygu pâr peering newydd ar y ddwy ochr ac, ar gyfer trosglwyddo, hub sy'n dal i anfon traffig ymlaen a thabl llwybr sy'n dal i bwyntio ato. Gyda VPN, mae VNet newydd yn golygu gateway arall neu gysylltiad arall ar un sy'n bodoli, gyda'i nenfwd capasiti ei hun i'w wylio.

Mae cost yn dilyn yr un siâp ond nid yr un eitemau llinell: ffioedd peering yw cysylltiad a throsglwyddo data, tra mae VPN yn ychwanegu oriau gateway a'i ffioedd trosglwyddo ei hun. Cymharwch y cyfanswm ar gyfer y topoleg y byddwch yn ei rhedeg mewn gwirionedd am flwyddyn, gan gynnwys yr ail dwnnel a'r monitro, nid pris un cysylltiad heddiw. Cynhwyswch y llafur nad oes neb yn ei anfonebu: rhaid i rywun gylchdroi allweddi, gwylio cyflwr y twnnel ac ateb y rhybudd am dri y bore pan fydd gateway yn ailgychwyn. Yr eitem llinell honno sy'n penderfynu'r ddadl fel arfer, oherwydd hi yw'r unig un na fydd byth yn ymddangos mewn dyfynbris.

Pa un bynnag a ddewiswch, profwch dri llif: yr un bwriadedig, un a wrthodwyd y dylai aros wedi'i wrthod, a'r achos adfer pan fydd gateway y hub neu peering i lawr. Nid yw model sy'n esbonio'r llwybr hapus yn unig wedi'i wirio, mae wedi'i arddangos.

Gwiriwch y dewis yn erbyn ei honiad ei hun

Ysgrifennwch un frawddeg sy'n enwi'r model, y ffin a'r perchennog, yna gwiriwch fod y cyflwr a ddefnyddiwyd yn cyfateb iddi. Ar gyfer peering mae hynny'n golygu bod dau gyflwr peering yn Connected, bod y llwybr effeithiol yn dangos neidiad nesaf peering ar gyfer y rhagddodiad cyrchfan, a dim gateway yn y llwybr. Ar gyfer VPN VNet-i-VNet mae'n golygu bod y ddau gysylltiad yn Connected, allweddi a pholisebau cyfatebol ar y ddau gateway, a llwybr y mae ei neidiad nesaf yn gateway rhwydwaith rhithwir.

Os yw'r gwiriadau'n anghytuno â'r frawddeg, trwsiwch y frawddeg yn gyntaf. Daw'r rhan fwyaf o'r dryswch yn y dyluniadau hyn o hybrid na wnaeth neb ei ddisgrifio: peering ar gyfer is-rwydwaith y llwyth gwaith, VPN ar gyfer un gwasanaeth etifeddol, a thabl llwybr sy'n dewis un ohonynt yn dawel.