Llwybro traffig rhwng dau gangen drwy borth VPN Azure
Gall dau gysylltiad Safle-i-Safle ar un porth VPN Azure basio traffig canghennau, ond dim ond pan fydd y ddau ben yn dysgu'r rhagddodiad ac mae llwybr dychwelyd LAN yn bodoli.
Gall dau gangen gyfnewid traffig drwy borth VPN Azure heb unrhyw dwnnel uniongyrchol rhyngddynt. Mae pob cangen yn agor cysylltiad Safle-i-Safle i'r un porth, ac mae'r porth yn trosglwyddo'r rhagddodiaid a ddysgwyd rhwng y ddau gysylltiad. Yr hyn sy'n gwneud hyn yn gweithio nid yw'r ail dwnnel ond y cyfnewid llwybrau: rhaid i gangen A ddysgu rhagddodiad cangen B, a rhaid i B ddysgu un A. Ewch drwy'r gwiriadau isod yn eu trefn a stopiwch wrth y cyntaf sy'n methu, oherwydd mae pob cam diweddarach yn dibynnu arno.
Rhagofynion, cyn i chi ffurfweddu unrhyw beth
Mae pedwar amod yn penderfynu a all y dyluniad hwn weithio o gwbl. Rhaid i'r porth fod yn seiliedig ar lwybrau ac ar SKU sy'n cefnogi BGP, rhaid i'r ddau gysylltiad gael BGP wedi'i alluogi, ni chaiff gofodau cyfeiriad y canghennau orgyffwrdd, ac ni chaiff y naill ochr na'r llall ddibynnu ar NAT i guddio ei wir ragddodiad.
Cynlluniwch yr ASNau'n fwriadol. Y gwerth diofyn a ddogfenwyd gan Azure yw 65515, ac mae angen ASN preifat ei hun ar bob llwybrydd cangen nad yw'n gwrthdaro â'r porth na'r gangen arall. Ailddefnyddio gwerth diofyn heb wirio ffurfweddiad porth presennol yw sut y caiff llwybr AS ei wrthod yn ddiweddarach.
Cadarnhewch hefyd nad ydych yn disgwyl ymddygiad cymheirio VNet. Mae'r porth yn cyfnewid llwybrau rhwng y ddau gysylltiad a ffurfweddwyd gennych; nid yw'n gwneud cymheirio mympwyol yn drawsdrosol. Os oes rhaid i drydedd rwydwaith gyrraedd y ddwy gangen, mae angen ei chysylltiad ei hun neu ei llwybr ei hun, nid y rhagdybiaeth y bydd y porth yn taflu traffig allan. Ysgrifennwch y ffin honno cyn y ffenestr newid gyntaf, oherwydd dyma'r penderfyniad dylunio y mae pobl yn dychwelyd ato pan ychwanegir safle diweddarach.
Ffurfweddwch yn y drefn hon
Mae gan bob cam ganlyniad gweladwy, felly peidiwch â symud ymlaen nes iddo ymddangos.
- Galluogwch BGP ar borth y rhwydwaith rhithwir a nodwch ei ASN a'i gyfeiriad cymheiriaid.
- Crëwch borth rhwydwaith lleol ar gyfer pob cangen gyda gwir ofod cyfeiriad y gangen honno, ei ASN a'i gyfeiriad cymheiriaid BGP.
- Crëwch bob cysylltiad Safle-i-Safle a galluogi BGP ar y cysylltiad ei hun.
- Ffurfweddwch lwybrydd y gangen i gymheirio â chyfeiriad y porth a bennwyd gan Azure, nid ag endpoint IKE cyhoeddus y porth yn ôl rhagdybiaeth.
Y pedwerydd cam yw'r man lle mae'r rhan fwyaf o ymdrechion yn aros. Y cyfeiriad cymheiriaid BGP y mae Azure yn ei adrodd yw'r un y mae'n rhaid i lwybrydd y gangen ei ddefnyddio fel cymydog, ac nid dyma'r cyfeiriad y mae pobl yn ei ddisgwyl o'r diagram twnnel bob tro.
Hysbysebwch ragddodiad y gangen ei hun, er enghraifft 10.10.0.0/16 o A a 10.20.0.0/16 o B. Peidiwch â hysbysebu llwybr diofyn nac agreg eang i orchuddio rhwydwaith penodol sydd ar goll; daw'r bwlch yn ôl yn ddiweddarach fel twll du tawel.
Gwiriwch y cyfnewid llwybrau ar y ddau ben
Nid statws y cysylltiad yw'r gwiriad. Gall IPsec fod i fyny ar y ddau gysylltiad tra nad oes unrhyw ragddodiad yn croesi rhyngddynt. Darllenwch gymheiriaid BGP y porth a'i lwybrau a ddysgwyd, yna cadarnhewch fod y llwybr tuag at y gangen arall yn ymddangos fel llwybr defnyddiadwy.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Gall rhagddodiad sy'n bresennol mewn tabl BGP golli'r penderfyniad anfon i lwybr statig neu ragddodiad mwy penodol o hyd. Gwiriwch y llwybr a ddewiswyd, nid yr un a dderbyniwyd yn unig.
Dilynwch y llwybr dychwelyd ar ochr y LAN
Dyma'r rhan sy'n edrych yn gywir yn Azure ac yn methu ar y safle. Mae gwesteiwr yng nghangen A yn anfon ei becyn at lwybrydd VPN A yn unig os yw'r llwybrydd hwnnw'n borth diofyn iddo, neu os yw'r gwesteiwr neu ei borth yn dal llwybr ar gyfer rhagddodiad B. Rhaid i'r un peth fod yn wir yn y cyfeiriad arall.
Os yw newidydd craidd ar wahân yn borth diofyn y LAN, mae angen y llwybr tuag at y gangen arall arno yn pwyntio at lwybrydd y VPN. Heb hynny, mae'r cais yn cyrraedd ac mae'r ateb yn gadael drwy lwybr y rhyngrwyd, ac mae'r defnyddiwr yn gweld cysylltiad sy'n agor ac yna'n hongian.
Peidiwch â chyrraedd am grŵp diogelwch rhwydwaith ar is-rwydwaith y porth i drwsio hyn. Mae gan yr is-rwydwaith honno ei gofynion ei hun ac nid yw NSG yno'n ddirprwy a gefnogir ar gyfer polisi ochr y gangen. Mae hidlo yn perthyn i furiau tân y canghennau ac i'r llwythi gwaith eu hunain, lle gall y rheolau gael eu hadolygu gan y bobl sy'n berchen arnynt. Mae symud y rheolau hynny i NSG is-rwydwaith hefyd yn eu cuddio rhag y tîm a fydd yn dadfygio'r toriad nesaf.
Caniatáu'r gweithrediad, yna profwch ef â phrawf a wrthodwyd
Nid yw llwybr a ddysgwyd yn ganiatâd. Caniatäu'r ffynhonnell, y gyrchfan a'r gwasanaeth sydd eu hangen arnoch mewn gwirionedd drwy furiau tân y canghennau a pholisi'r endpoint, a gadewch y gweddill wedi'i wrthod.
Profwch o lwyth gwaith cyffredin yng nghangen A i wasanaeth go iawn yng nghangen B, cadarnhewch yr ateb, yna ceisiwch weithrediad a ddylai aros yn waharddedig. Gall traffig a gynhyrchir gan y teclyn VPN ei hun ddefnyddio cyfeiriad ffynhonnell gwahanol a sgipio cam llwybro'r LAN, felly mae ping llwyddiannus o'r llwybrydd yn profi llai nag y mae'n ymddangos.
Gorffennwch drwy ysgrifennu pedwar ffaith: y rhagddodiaid a gyfnewidiwyd, yr ASNau sy'n cael eu defnyddio, llwybr dychwelyd LAN pob ochr, a'r polisi sy'n caniatáu'r gwasanaeth. Os yw un ohonynt ar goll, mae'r gosodiad yn gweithio tan y newid cyntaf, ac yna ni all neb egluro pam.