A oes angen porth VPN ei hun ar Azure VNet gyda peering?

Mae VNet spoke newydd yn ymddangos, mae gan yr hub borth site-to-site sy’n gweithio’n barod, a’r cwestiwn amlwg yw a oes rhaid talu am ail borth. Fel arfer nid oes: mae tramwy porth yn gadael i’r spoke ddefnyddio porth yr hub drwy beering. Mae tair amod yn penderfynu a fydd hynny’n gweithio, ac nid oes yr un ohonynt i’w gweld o fathodyn statws peering. Mae cysylltedd peering a chaniatâd i ddefnyddio porth rhywun arall yn osodiadau ar wahân, felly nid yw dwy VM sy’n gallu pingio ei gilydd yn profi dim am lwybr VPN.

Yr amod gyntaf: y borth, a diffyg un yn y spoke

Mae Azure yn cefnogi tramwy porth ar gyfer SKU VPN Gateway heblaw Basic, a gall peering rhanbarthol a byd-eang ill dau ei gario. Mae’r spoke yn defnyddio porth nad yw’n berchen arni, felly ni all fod ganddi un ei hun: os oes porth eisoes yn y spoke, neu os yw opsiwn porth anghysbell eisoes wedi’i ddewis, bydd yr osodiad tramwy rydych ei eisiau ar gael neu’n aneffeithiol. Gwiriwch hynny cyn dadfygio unrhyw beth, oherwydd y blwch ticio anweithredol yw’r symptom, nid y diffyg. Darllenwch y SKU a’r borth bresennol yn gyntaf, yna edrychwch ar osodiadau peering.

Peidiwch â dileu porth spoke presennol er mwyn i’r opsiwn ymddangos nes eich bod yn gwybod beth sy’n dibynnu arno. Mae trefn mudo yn bwysicach na’r blwch ticio.

Ail amod: un osodiad ym mhob cyfeiriad peering

Mae peering yn ddau wrthrych, un ar bob VNet, ac mae’r gosodiadau tramwy yn byw ar ochrau gwahanol y pâr hwnnw. Rhaid i beering yr hub tuag at y spoke ganiatáu i borth yr hub wasanaethu’r spoke; rhaid i beering y spoke tuag at yr hub dderbyn porth yr hub. canllaw tramwy porth Microsoft yn eu henwi fesul cyfeiriad, a dyna’r unig ffordd i’w cadw’n gywir:

Mae rheolydd wedi’i labelu’n remote yn newid ystyr yn dibynnu pa VNet y byddwch yn golygu ei beering, felly darllenwch y cyfeiriad, nid y gair. Gosodwch y ddwy ochr, arbedwch, a chadarnhewch fod y peering yn adrodd cysylltiad yn y ddau le.

Trydydd amod: gofod cyfeiriadau a ffiniau caniatâd

Ni all tramwy wneud i’r un rhagddodiad cyrchfan olygu dau rwydwaith, felly rhaid i ystodau’r hub, y spoke a’r rhwydwaith lleol fod yn ddatgysylltiedig cyn i unrhyw un o’r rhain weithio. Gall y VNet fod mewn tanysgrifiadau gwahanol neu denantiaid gwahanol hefyd; nid yw hynny’n waharddiad, ond mae ar y person sy’n creu neu’n diweddaru pob peering angen y caniatâd gofynnol ar y rhwydwaith hwnnw. Mae newidiadau rhwng tanysgrifiadau yn aml yn methu ar ganiatâd, ac mae’n hawdd camddarllen y gwall fel problem topoleg.

Nodwch yr ystodau a’r perchnogion cyn y newid. Mae dyfalu ar y naill neu’r llall yn cynhyrchu peering sy’n cysylltu ac yn cludo dim.

Gwirwch â llwybrau effeithiol, nid â statws peering

Edrychwch ar y llwybrau effeithiol ar ryngwyneb rhwydwaith llwyth gwaith spoke a darganfod y rhagddodiad lleol gwirioneddol. Gwiriwch dabl llwybrau’r is-rwydwaith a yw lledaeniad llwybr y porth wedi’i analluogi, oherwydd gall llwybr a ddiffinnir gan ddefnyddiwr neu offeryn archwilio ddisodli’r llwybr y mae baneri peering yn ei awgrymu. Yna cadarnhewch y cyfeiriad arall: rhaid i’r rhwydwaith lleol wybod sut i gyrraedd rhagddodiad y spoke drwy’r cysylltiad site-to-site, boed drwy hysbysebion a ddysgwyd neu drwy lwybr penodol a chofnod rhwydwaith gwarchodedig cyfatebol ar ddyfais y cwsmer. Os yw’r rhagddodiad ar goll ar y naill ochr neu’r llall, baneri peering nid yw’r peth i’w newid.

Profwch un gwasanaeth o lwyth gwaith spoke a dilynwch yr ateb. Mae prawf o’r porth VPN neu o VM yn yr hub yn arfer rhagddodiad ffynhonnell a llwybr gwahanol.

Os yw’r topoleg hefyd yn gwasanaethu cleientiaid point-to-site, dilyswch eu llwybrau wedi’u gosod ar wahân. Efallai y bydd angen ailgynhyrchu pecynnau cleient Windows ar ôl newid topoleg, ac mae hynny’n dasg llwybro cleient yn hytrach na thystiolaeth bod rhannu porth wedi methu.

Beth nad yw rhannu porth yn ei ganiatáu

Mae tramwy porth yn gyfleuster llwybro, nid yn awdurdodiad. Mae grwpiau diogelwch rhwydwaith, hidlwyr lleol a rheolau ar lefel gwasanaeth yn dal i benderfynu beth y gall llwyth gwaith spoke ei gyrraedd, felly galluogwch y gwasanaeth penodol o’r ffynhonnell i’r gyrchfan yn lle tybio bod y tiwnel a rennir yn caniatáu popeth y tu ôl iddo.

Nid yw peering yn drosglwyddadwy ychwaith yn y ffordd y mae pobl yn gobeithio. Mae ychwanegu spoke arall, neu bwynt terfyn preifat, yn cyflwyno ei ofynion llwybro a mynediad ei hun nad yw’r osodiad tramwy presennol yn eu cynnwys.