UDR Azure i borth VPN: un cyrchfan, nid yr holl draffig allan

Rydych yn ychwanegu llwybr a ddiffinnir gan y defnyddiwr ar gyfer un rhagddodiad allanol, yn ei gyfeirio at y porth VPN, ac mae'r traffig yn dal i adael drwy lwybr rhyngrwyd Azure. Neu mae'n gadael yn gywir ac nid yw'r ateb byth yn dychwelyd. Daw'r ddau ganlyniad o'r un camgymeriad: trin naid nesaf Azure fel y dyluniad cyfan. Dim ond pa allanfa y mae pecyn yn ei chymryd o fewn Azure y mae'r tabl llwybrau yn ei benderfynu. Yr hyn sy'n digwydd iddo ar ôl y twnnel, a sut mae'r ateb yn dychwelyd, yw'r ail hanner y mae'n rhaid i chi ei adeiladu.

Porth yw'r naid nesaf, nid IP offeryn

Mae UDR yn anfon rhagddodiad cyfatebol at fath o naid nesaf, a math yn hytrach nag amrediad yw VirtualNetworkGateway. Mae pobl yn gludo IP preifat y porth i lwybr VirtualAppliance ac yna'n meddwl pam nad oes dim yn cyfateb, oherwydd mae'r math hwnnw'n disgwyl NIC neu falansydd llwyth mewnol yn lle hynny. Mae dogfennaeth llwybro Microsoft hefyd yn cyfyngu naid nesaf y porth i rwydwaith rhithwir y mae ei borth yn borth VPN. Nid yw ExpressRoute, Route Server na hwb Virtual WAN yn cael eu cyfeirio gan yr opsiwn hwnnw.

Gwiriwch beth sydd gan y rhwydwaith rhithwir mewn gwirionedd cyn ysgrifennu'r llwybr. Os yw'r dyluniad yn llwybro drwy hwb, mae'r llwybr yn perthyn i berchennog llwybro'r hwb yn hytrach na'r spoc rydych chi'n digwydd ei olygu.

Darllenwch y llwybr effeithiol cyn newid unrhyw beth

Mae Azure yn cyfuno llwybrau system, rhagddodiadau a ddysgwyd drwy BGP ac UDRau yn un tabl llwybrau effeithiol fesul NIC, ac mae'r rhagddodiad cyfatebol hiraf yn ennill waeth o ble y daeth. Ar gyfer yr un rhagddodiad, mae UDR yn curo llwybr BGP. Dyna'r rheswm y gall hen UDR o arbrawf cynharach drosysgrifo'n dawel y rhagddodiad a ddysgoch chi drwy'r twnnel.

Edrychwch ar y tabl effeithiol yn gyntaf, yna penderfynwch a ydych yn ychwanegu llwybr neu'n disodli un:

az network nic show-effective-route-table \
  --resource-group rg-net --name vm-web-nic -o table

Darllenwch y golofn ffynhonnell yn ogystal â'r rhagddodiad. Mae llwybr â'r rhagddodiad cywir a'r ffynhonnell anghywir yn dweud wrthych pa wrthrych i'w olygu, ac mae'n eich arbed rhag ychwanegu ail lwybr sy'n colli i'r cyntaf.

Ysgrifennwch y llwybr yn erbyn y rhagddodiad a'r is-rwydwaith go iawn

Defnyddiwch ragddodiad go iawn y gyrchfan, wedi'i gymryd o'r gwasanaeth rydych yn cyrraedd ato mewn gwirionedd, yn lle amrediad cyhoeddus a gopïwyd o bost fforwm. Dechreuwch ag un gwasanaeth a gymeradwywyd cyn ystyried llwybr diofyn sy'n symud yr holl draffig allan. Yna atodwch y tabl llwybrau at is-rwydwaith y llwyth gwaith. Mae gan is-rwydwaith y porth ei ofynion ei hun, ac mae atodi eich tabl yno yn torri'r porth yn hytrach na llywio'r llwyth.

Crëwch y llwybr, yna clymwch y tabl at yr is-rwydwaith sy'n cynnal y llwyth:

az network route-table route create --resource-group rg-net --route-table-name rt-egress \
  --name to-partner --address-prefix 203.0.113.0/24 --next-hop-type VirtualNetworkGateway
az network vnet subnet update --resource-group rg-net --vnet-name vnet-app \
  --name snet-web --route-table rt-egress

Mae lledaeniad yn bwysig hefyd. Gyda lledaeniad BGP wedi'i alluogi ar y tabl hwnnw, mae rhagddodiadau a ddysgwyd yn ymddangos ochr yn ochr â'r rhai a ysgrifennoch, a gall rhagddodiad a ddysgwyd yn fwy penodol guro UDR ehangach. Analluogwch ledaeniad yn unig pan fyddwch am i'r set UDR fod yn awdurdodol ar gyfer yr is-rwydwaith honno.

Gorffennwch yr hanner ar safle, neu bydd y llif yn marw yno

Rhaid i'r porth ar safle dderbyn y ffynhonnell Azure, ei hanfon ymlaen i'r gyrchfan a chaniatáu'r cymhwysiad. Gall ei lwybr ymlaen fod yn allanfa ryngrwyd neu'n naid breifat arall, ond mae'r penderfyniad hwnnw'n perthyn i'r cynllun yn hytrach na thabl llwybrau Azure. Y methiant arferol yw'r dychweliad. Ni fydd gyrchfan ryngrwyd yn llwybro ffynhonnell breifat Azure yn ôl atoch, felly mae'r ateb yn mynd i'w borth diofyn ei hun ac yn marw, neu'n peidio â gadael o gwbl.

Mae dau ddyluniad yn datrys hyn ac nid ydynt yn gyfnewidiol. Cyfieithwch y ffynhonnell wrth yr allanfa, fel bod y gyrchfan yn ateb i gyfeiriad cyhoeddus sydd gan y rhwydwaith ar safle. Neu cadwch y ffynhonnell ac adeiladwch berthynas ddychwelyd a lwybrir fel bod atebion yn dychwelyd drwy'r twnnel. Dewiswch un a nodwch pa gyfeiriad y bydd y cymhwysiad yn ei weld.

Mae detholwyr a rhestrau caniatâd ar wahân i hyn i gyd. Nid yw dewis naid nesaf Azure yn ehangu detholwyr traffig VPN, ac nid yw'n newid rhestr caniatâd ffynhonnell gwasanaeth allanol.

Gwiriwch gyda'r ffynhonnell y mae'r gyrchfan yn ei gweld

Anfonwch y cais o'r llwyth go iawn yn hytrach nag o westeiwr naid mewn is-rwydwaith arall, yna darllenwch y cyfeiriad ffynhonnell a arsylwodd y gyrchfan. Mae'r un gwerth hwnnw'n dweud wrthych pa un o'r dau ddyluniad dychwelyd sydd ar waith. Gwiriwch y llwybr ateb nesaf, a chadarnhewch fod traffig rheoli arferol i'r VM yn dal i weithio, oherwydd mae llwybr diofyn a ychwanegwyd ar ddamwain yn ymddangos fel sesiwn SSH wedi torri ymhell cyn iddo ymddangos fel cymhwysiad wedi torri.

Mae tramwy drwy ragddodiad dethol yn newid llawer culach na thwnelu gorfodol. Cadwch ef yn gul ac mae'r adferiad yn dileu un llwybr.