Newid IP cyhoeddus porth VPN Azure a symud tanysgrifiad

Llawlyfr ar gyfer newid IP cyhoeddus porth VPN a'i symud rhwng tanysgrifiadau, gyda'r rhestr, y cwymp yn ôl a'r gwiriadau cyd-destun sy'n cadw tiwneli ar waith.

Mae tri gwrthrych gwahanol yn cael eu galw'n gyfeiriad y porth yn Azure. Mae'r cyfeiriad preifat yn dod o GatewaySubnet. Mae'r cyfeiriad cyhoeddus yn adnodd IP cyhoeddus ar wahân y mae cyfluniad IP y porth yn cyfeirio ato. Y tanysgrifiad a'r amgylchedd cwmwl yw'r cyd-destun y mae eich plisgyn yn ei ddefnyddio i ddod o hyd i'r naill neu'r llall. Newidiwch un ac mae'r ddau arall yn aros lle roedden nhw, a dyna pam mae gwaith cyfeiriadau mor aml yn stopio hanner ffordd.

Rwy'n gwneud y newidiadau hyn mewn pedair cam: rhestr o'r gwrthrychau, penderfynu a yw'r IP cyhoeddus yn symud ar y porth presennol neu a ailadeiladir y porth, cymhwyso'r newid tra bo'r hen gyfeiriad wrth law, yna gwirio pob tiwnel o'r ddau ben cyn dileu unrhyw beth. Y cam mae pobl yn ei hepgor yw'r rhestr.

Pa un o'r tri gwrthrych rydych chi'n ei newid mewn gwirionedd

Enwch y gwrthrych cyn agor y porth. Mae porth VPN yn cymryd ei gyfeiriad preifat o is-rwydwaith y mae'n rhaid ei alw'n union GatewaySubnet, ac mae Azure yn ei ddyrannu o'r rhagddodiad hwnnw; nid oes maes cyffredinol i'w binsio. Mae'r cyfeiriad yn edrych yn sefydlog dim ond oherwydd bod yr is-rwydwaith yn sefydlog. Ailgyfeiriwch yr is-rwydwaith neu ailadeiladu'r porth ac mae'n symud gyda nhw.

Mae'r cyfeiriad cyhoeddus yn olygadwy, ond rheolau SKU sy'n penderfynu a yw'r golygiad yn gyfreithlon. Mae porth Basic yn paru ag IP cyhoeddus deinamig Basic, mae SKU VpnGw angen un Standard statig, ac mae porth â chyfyngdra parth angen IP cyhoeddus Standard sy'n cario'r un parthau. Gwrthodir y SKU anghywir cyn i diwnel ddisgyn.

ObjectWhere it livesWhat a change forces
Private addressGatewaySubnet prefix, assigned at deploymentSubnet resize or rebuild, then routes, NSGs and peer review
Public addressPublic IP resource referenced by the IP configurationGateway reprovision, peer and allowlist edits, new client profiles
Subscription contextYour PowerShell or CLI sessionNothing in Azure, and it clears most not-found errors

Rhestr cyn i unrhyw beth symud

Profwch y tanysgrifiad yn gyntaf, oherwydd hebddi mae gweddill y rhestr yn ddiwerth. Cofnodwch y porth, ei gyfluniadau IP a phob cysylltiad sy'n gorffen arno, a chadwch yr allbwn wrth ymyl cofnod y newid.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

Mae IDau adnoddau'n bwysicach nag enwau. Mae cysylltiad yn dal cyfeiriadau at y porth ac at borth rhwydwaith lleol, ac mae'r IDau hynny'n ymddangos mewn sgriptiau, rhybuddion a neilltuadau polisi nad oes neb yn eu cofio. Rhestrwch hefyd beth sydd y tu allan i Azure: yr enw DNS sy'n datrys i'r cyfeiriad, rhestr caniatâd y partner, wal dân y gangen sy'n pinsio'r hen IP.

Cyfnewid yr IP cyhoeddus ar y porth sy'n rhedeg

Crëwch y cyfeiriad newydd yn gyntaf, yn yr un rhanbarth ac â'r set parthau sy'n cyfateb i'r porth, a gadewch yr hen adnodd yn ei le. Yna ailadeiladwch y cyfluniad IP a gwthiwch y diweddariad mewn un alwad. Mae'r alwad honno'n disodli'r casgliad cyfluniad cyfan, felly mae porth actif-actif angen y ddau gyfluniad neu byddwch yn cadw un tiwnel ac yn colli'r llall.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Mae tiwneli'n disgyn tra bo'r porth yn cael ei ail-ddarparu. Mae angen y trefniadau ar yr ochr bell: mae wal dân partner yn parhau i gynnig yr hen gyfeiriad nes i rywun ei olygu, ac mae cysylltiad y mae ei ben pell yn disgwyl yr IP blaenorol yn aros i lawr waeth pa mor iach y mae Azure yn edrych. Gostyngwch TTL DNS cyn y ffenestr.

Mae cleientiaid pwynt-i-safle angen proffil newydd, gan fod y pecyn a lawrlwythwyd yn cario'r pwynt terfyn. Mae enw DNS personol o flaen y porth yn arbed yr ail-ddosbarthu: cadwch yr enw, newidiwch y cofnod.

Symud y porth i dansgrifiad arall

Mae symud adnoddau yn symud set, a'r porth ar ei ben ei hun yw ei aelod lleiaf defnyddiol. Mae'r rhwydwaith rhithwir, yr adnoddau IP cyhoeddus, y pyrth rhwydwaith lleol a'r cysylltiadau'n teithio gyda'i gilydd gan fod pob un yn dal cyfeiriad at un arall. Rhaid i'r tanysgrifiad targed fod yn yr un tenant, rhaid i Microsoft.Network fod wedi'i gofrestru yno, ac mae angen mynediad ysgrifennu arnoch ar y ddwy ochr.

Mae dilysu'n rhedeg cyn i unrhyw beth newid, felly mae symud a wrthodwyd yn gadael yr adnoddau yn eu lle. Dyna pam mae'r symud yn haeddu cynnig cyn ailadeiladu: mae symud llwyddiannus yn cario'r IP cyhoeddus gyda'i gilydd, felly mae partneriaid a rhestrau caniatâd yn parhau i weithio, tra nad yw porth a ailadeiladwyd yn dychwelyd yr un cyfeiriad yn aml.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Darllenwch fethiant dilysu yn lle ei ailgeisio. Yr achosion arferol yw dibyniaeth a adawyd ar ôl, math o adnodd na ellir ei symud, neu glo ar un o'r grwpiau adnoddau. Os yw'r symud yn amhosibl, ailadeiladwch yn y targed a thorri drosodd: cadarnhewch lwybr a dilysiad o is-rwydwaith prawf, stopiwch yr hen gysylltiadau yn hytrach na'u dileu, yna tynnwch yr hen lwybr mewn ffenestr ddiweddarach.

Pan fydd y porth yn edrych ar goll, gwiriwch y cyd-destun

Mae'r gwall heb ei ganfod fel arfer yn wall cwmpas. Mae cyfrif â sawl tanysgrifiad yn pwyntio cmdlet at y rong, ac mae'r neges yn beio'r adnodd. Chwiliwch am y gwrthrych wrth ei ID adnodd llawn: mae'r ID yn cario ei dansgrifiad ei hun, felly os yw'n datrys, nid oes dim ar goll ac mae eich cyd-destun diofyn yn anghywir.

Mae dau gamgymeriad arall yn darllen yr un ffordd. Nid yw porth cwmwl masnachol yn bodoli mewn sesiwn sy'n anelu at amgylchedd llywodraethol neu Tsieina, ac mae fersiynau modiwl hŷn yn colli siapiau adnodd y mae'r API eisoes yn eu dychwelyd. Pinsiwch y tanysgrifiad, cyfatebwch yr amgylchedd, yna agorwch achos.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Gwiriwch o'r ddau ben cyn glanhau

Mae cysylltiedig yn gyflwr, nid yn dystiolaeth. Gwiriwch statws tiwnel fesul cysylltiad, statws cymar BGP os ydych yn rhedeg llwybro deinamig, a llwybrau effeithiol ar is-rwydwaith llwyth gwaith. Yna gwthiwch un cais go iawn trwy raglen sy'n dibynnu ar y tiwnel. Gall cysylltiad adrodd ei fod yn gysylltiedig tra bo'r rhagddodiad sydd ei angen arnoch yn absennol o'r tabl llwybrau.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Cadwch yr hen IP cyhoeddus heb ei gysylltu yn hytrach na'i ddileu nes i'r ffenestr encilio gau, ac ysgrifennwch y golygiadau partner a wal dân fel y gellir eu gwrthdroi mewn trefn.

  • Cyd-destun wedi'i binsio i'r tanysgrifiad sy'n berchen ar y porth
  • Hen IP cyhoeddus wedi'i gadw, ei ddibyniaethau wedi'u hysgrifennu
  • Pob cysylltiad yn wyrdd ac un cais go iawn trwyddo
  • Defnyddwyr pwynt-i-safle wedi'u symud i'r proffil wedi'i adnewyddu
  • Cofnod DNS wedi newid a'i werth blaenorol wedi'i gofnodi

Erthyglau cysylltiedig