VPN IP preifat Azure dros ExpressRoute heb NVA

Y myth yw bod angen offeryn rhwydwaith rhithwir i amgryptio traffig dros beering preifat ExpressRoute. Nid oes. Mae Azure yn cefnogi Site-to-Site VPN Gateway y mae ei bennod twnnel yn gyfeiriad preifat RFC1918 a gludir ar draws y gylched, ac mae'r offeryn yn ddewisol yn hytrach nag yn strwythurol. Yr hyn y mae myth yr offeryn yn ei guddio yw'r rhan sy'n brathu go iawn: galluogi'r pen nod preifat ar un gwrthrych yn lle dau, a gadael i lwybr peering union ennill yn dawel dros y llwybr amgryptiedig.

O ble y daeth y myth

Mae gan yr honiad achau parchus. Am flynyddoedd y rysàit ymarferol ar gyfer IPsec dros beering preifat oedd NVA, oherwydd mai dim ond pennodau cyhoeddus a ddangosai'r porth rheoledig. Newidiodd hynny, ac mae atebion a ysgrifennwyd cyn y newid yn dal i gael eu dyfynnu mewn edafedd lle nad oes neb yn gwirio'r dyddiad. Mae'r cywiriad yn gul: mae porth VPN â chyfeiriad preifat yn bodoli, ac mae'n newid y pen nod, nid y rhesymeg llwybro o'i amgylch.

Nid yw hyn yn rhoi'r NVA allan i bensiwm. Mae'n rhoi allan y dybiaeth mai offeryn yw'r unig ffordd at y gofyniad.

Galluogwch y pen nod preifat ar y ddau lefel

Dechreuwch o gysylltiad peering preifat ExpressRoute sy'n gweithio ac sy'n gysylltiedig â'r VNet sy'n cynnwys y porth VPN. Rhaid i'r ochr ar y safle fod eisoes yn cyrraedd y cyfeiriadau preifat perthnasol dros y gylched honno, oherwydd bydd y twnnel yn defnyddio'r cyfeiriadau hynny fel cludiad. Yna rhagofyniad y porth: mae gweithdrefn Microsoft ar gyfer VPN IP preifat yn gofyn am borth wedi'i adeiladu ar adnodd IP cyhoeddus Standard. Nid yw cyfeirio twnnel preifat yn dileu'r gofyniad hwnnw, sy'n synnu pobl sy'n tybio bod „preifat“ yn golygu „dim IP cyhoeddus yn unman“.

Nawr galluogwch y faner yn y ddau le. Mae gan ffurfweddiad y porth ei daglen ei hun ar gyfer IPau preifat, ac mae gan y cysylltiad Site-to-Site unigol ail un sy'n gwneud i'r cysylltiad hwnnw ddefnyddio'r cyfeiriad preifat. Gosod un heb y llall yw'r ffurfweddiad anghyflawn mwyaf cyffredin; mae'r twnnel naill ai'n methu ag ymsefydlu neu'n ymsefydlu i'r pen nod anghywir.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Cadarnhewch enwau'r priodweddau yn erbyn y fersiwn CLI sydd gennych, oherwydd nid yw labeli'r porth a phriodweddau CLI bob amser yn rhannu'r un geiriad. Mae porth gweithredol-weithredol yn datgelu dau gyfeiriad twnnel preifat, ac mae angen y ddau gymar wedi'u ffurfweddu ar y ddyfais ar y safle os ydych am i'r gwrthged hwnnw olygu rhywbeth. Nid oes angen BGP yn syml i godi'r twnnel hwn â chyfeiriad preifat, er ei fod fel arfer yn rhan o'r ffordd rydych yn dosbarthu rhagddodiaid.

Yr ail fyth: mae twnnel sefydledig yn amgryptio'ch traffig

Mae dau lwybr nawr yn cyrraedd rhwydwaith y rhaglen: llwybr peering preifat union a'r llwybr trwy'r VPN. Mae'r ddau yn gweithio. Dim ond un sy'n cymhwyso'r haen IPsec hon. Mae Microsoft yn dogfennu, pan fydd rhagddodiaid union yr un fath yn cael eu hysbysebu dros ExpressRoute a thros y VPN, fod Azure yn ffafrio'r llwybr ExpressRoute union, felly nid yw twnnel iach â chyfrifwyr iach yn profi dim am ble aeth pecynnau'r rhaglen.

Y dulliau llywio a ddogfennwyd yw amrediad gorchuddiol ar ExpressRoute gydag amrediad gwarchodedig mwy penodol ar y VPN, neu ragddodiaid datgysylltiedig ar y ddau lwybr. Er enghraifft, gallai peering preifat gludo 10.40.0.0/16 tra bod y VPN yn hysbysebu 10.40.12.0/24. Mae'r rhagddodiad mwy penodol yn ennill ac mae gweddill yr amrediad yn aros yn union.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Gwnewch yr un gwiriad i gyfeiriad y safle, gan mai ffafriaeth eich llwybrydd sy'n penderfynu pa ffordd y mae traffig allan yn gadael. A chadwch gludiad y twnnel ei hun ar lwybr ExpressRoute; mae llwybr sy'n tynnu pen nod preifat y porth i mewn i'r twnnel yn gwneud y twnnel yn dibynnu arno'i hun.

Penderfynwch beth sy'n digwydd pan fydd y twnnel yn cwympo

Mae llwybr VPN mwy penodol yn diflannu pan fydd y twnnel yn cwympo, tra bod y llwybr union ehangach yn aros. Yna mae traffig yn llifo heb ei amgryptio ac mae popeth yn edrych yn iach, sef y modd methiant gwaethaf ar gyfer gofyniad sy'n bodoli i warantu amgryptio. Os yw'r gofyniad yn gwahardd y cwymp hwnnw, rhaid i'r llwybro a'r polisi mynediad ddweud hynny'n benodol yn lle dibynnu ar argaeledd y twnnel.

Nodwch pa ragddodiaid a gaiff aros yn uniongyrchol gyrraeddadwy a pha rai sy'n rhaid stopio pan nad yw'r llwybr amgryptiedig yn bresennol. Yna profwch yr achos a ganiateir gyda thraffig go iawn a chymharu cyfrifwyr y cysylltiad, oherwydd ni fydd y tabl llwybrau ar ei ben ei hun yn dweud wrthych a yw'r gofyniad amgryptio yn dal i fod.

Mae'r fframwaith hwnnw hefyd yn gadael i chi werthuso NVA am ei nodweddion gwirioneddol, fel twnneli lluosog, trwygiant neu archwiliad gwerthwr, yn lle ei brynu oherwydd bod y pen nod yn breifat.