ExpressRoute a VPN: pa feysydd methiant rydych chi'n eu gorchuddio?
Mae ail dwnnel IPsec yn gorchuddio pen pell, nid y gylched oddi tano. Mapwch bob maes methiant, yna penderfynwch a yw cwymp di-gryptu yn dderbyniol.
Mae twnnel IPsec sy'n rhedeg dros gyfluniad cyfoed preifat ExpressRoute yn ychwanegu cryptu at gludiant sy'n bodoli eisoes. Mae ail dwnnel yn gwella argaeledd y pen pell, ac nid yw'n gwneud dim o gwbl i lwybr y cludwr oddi tanynt ill dau. Mae'n hawdd colli'r gwahaniaeth hwnnw pan fo'r dangosfyrddau'n dangos dau dwnnel gwyrdd ac mae'r adolygiad dylunio'n gofyn cwestiwn gwahanol: pa fethiannau y mae'n rhaid i'r cysylltiad hwn eu goroesi? Atebwch hynny'n gyntaf, yna cyfrifwch dwneli, oherwydd mae nifer y dangosyddion gwyrdd yn briodwedd haen y cryptu a nifer y meysydd methiant yn briodwedd y llwybr cyfan.
Dechreuwch gyda methiannau, nid â thwneli gwyrdd
Ysgrifennwch bedair rhes cyn tynnu unrhyw beth: un pen pell VPN neu un achos cyfoed yn methu, un llwybrydd lleol neu un cysylltiad milltir gyntaf yn methu, llwybr ExpressRoute a rennir yn methu, ac IPsec yn mynd yn anfuddiol tra bo'r cyfoed preifat yn dal i gludo traffig. Mae pob rhes yn enwi'r hyn y mae'n rhaid i'r dyluniad ei gadw, ac mae mecanwaith gwahanol yn ateb pob un.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Mae Microsoft yn dogfennu VPN safle-i-safle ag IP preifat dros gyfoed preifat ExpressRoute, a'r cydfodolaeth a gefnogir â chysylltiadau safle-i-safle ar sail y rhyngrwyd. Mae'r gydfodolaeth honno'n ddyluniad gwahanol o'r haen isaf, ac nid yw'n ymddangos dim ond oherwydd eich bod wedi ychwanegu pen pell twnnel preifat arall.
Maes methiant 1: pen pell y VPN
Mae dau dwnnel ar un giât fel arfer yn barau gweithredol-weithredol sy'n gorffen ar yr un adnodd ar ochr Azure. Maent yn amddiffyn rhag problem ag un twnnel neu un achos, ac nid ydynt yn amddiffyn rhag i'r adnodd hwnnw fod yn anfuddiol, yn cael ei ailgyflunio neu'n rhedeg allan o gapasiti. Mae ailadrodd pen pell yn golygu ail ben pell a gefnogir, gyda'i lwybr ei hun a'i gyfluniad ei hun, ynghyd â llwybr sy'n gallu ei gyrraedd.
Gwiriwch yr hyn a osodwyd gennych mewn gwirionedd yn hytrach na'r hyn y mae'r diagram yn ei ddweud, oherwydd mae'r porth yn grwpio'r adnoddau hyn mewn ffyrdd sy'n cuddio'u perthynas:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Os yw'r ddau dwnnel yn pwyntio at un giât ag un IP cyhoeddus, mae gennych ailadrodd pen pell o fath penodol a chyfyngedig. Efallai mai dyna'n union y mae'r gofyniad yn ei ofyn, a dylid dweud hynny felly yn hytrach na'i ddisgrifio fel cysylltiad dros ben.
Maes methiant 2: y llwybr lleol a'r cludwr
O dan y cryptu mae realiti corfforol a masnachol: dyfais ymyl cwsmer, cysylltiad croesi, rhwydwaith darparwr a lleoliad cyfoed. canllawiau argaeledd ExpressRoute yn bendant bod ailadrodd o ben i ben yn cynnwys segmentau'r cwsmer a'r darparwr gwasanaeth, nid ochr Microsoft yn unig. Mae dau lwybr rhesymegol sy'n rhannu llwybrydd, cyflenwad pŵer neu gysylltiad milltir gyntaf yn dal i rannu'r dibyniaeth honno.
Dyma lle mae dyluniad fel arfer yn methu adolygiad gonest. Nid yw dau gylched o'r un darparwr, sy'n gorffen yn yr un adeilad, ar offer o'r un archeb brynu, yn ddau faes methiant. Un maes methiant gyda dau anfoneb ydynt.
Gofynnwch y cwestiwn i'r cludwr yn ysgrifenedig: pa rai o'r llwybrau hyn sy'n dargyfeirio, ble, a beth yw'r ymddygiad dogfenedig pan fydd y segment a rennir yn methu? Nid yw sicrwydd llafar yn ystod galwad ddylunio yn goroesi'r toriad rydych chi'n dylunio ar ei gyfer.
Maes methiant 3: y llwybr sy'n goroesi heb IPsec
Gall cyfoed preifat ac IPsec gynnig llwybrau cystadleuol i'r un rhagddodiad cymhwysiad. Os yw'r llwybr gwarchodedig yn diflannu, gall llwybr ExpressRoute uniongyrchol sy'n goroesi fod yn dal i'w ddefnyddio, heb yr haen cryptu a oedd y twnnel yn ei darparu. Penderfyniad polisi yw a yw hynny'n dderbyniol, a dyma'r penderfyniad a adewir yn ymhlyg amlaf.
Gall gofynion cryptu a gofynion argaeledd wrthdaro'n wirioneddol yma. Mae «unrhyw lwybr sy'n goroesi yn cyfrif fel llwyddiant» yn ddatganiad argaeledd sy'n ateb cwestiwn y cryptu'n dawel â «na». Ysgrifennwch pa un sy'n ennill, ar gyfer pa ragoedd, a phwy a'i cymeradwyodd.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableCymharwch y llwybrau a ddysgwyd â'r rhagddodiadau roeddech yn eu disgwyl. Gall llwybr wrth gefn sy'n cario llwyth gweinyddol bach fod yn hollol ddigonol ar gyfer y llwyth hwnnw ac yn bell o'r capasiti y mae'r galw cynhyrchu ei angen, felly cofnodwch y rhagdybiaeth capasiti wrth ymyl y llwybr.
Cofnodwch dair rhes ar wahân, nid un dyfarniad
Cadwch ailadrodd pen pell, ailadrodd cludiant ac adferiad ar ôl trychineb fel cofnodion ar wahân yn y cofnod dylunio, pob un â'i fecanwaith, ei wirio a'i berchennog ei hun. Pan fydd adolygiad digwyddiad yn gofyn pam y goroesodd y cysylltiad ailgychwyn giât ond nid torri ffibr, mae tair rhes yn ateb mewn un frawddeg; ni all un blwch ticio «dros ben» wneud hynny.
Yna profwch y rhesi y gallwch eu profi'n rhad. Byddwch yn methu un twnnel a chadarnhewch fod y traffig yn symud ac yn ailgryptu. Tynnwch un llwybr yn ôl a chadarnhewch mai'r llwybr sy'n goroesi yw'r un a fwriadwyd gennych, yna cadarnhewch a yw'n dal i gael ei gryptu. Dogfennwch y methiannau na allech eu hefelychu, oherwydd rhagdybiaeth yw rhes nas profiwyd ac fe ddylid ei labelu felly.
Yr allbwn defnyddiol yw tabl byr ynghyd â brawddeg y rhes. Os oes rhes heb fecanwaith, dyna'r canfyddiad, ac mae'n llawer rhatach ei ddarganfod mewn adolygiad dylunio nag yn ystod toriad cludwr na fyddai'r ddau dwnnel byth yn ei oroesi.