Dwy gyfeiriad VPN on-prem: dau bartner Azure, nid un

Mae gan y diagram ddau gyswllt rhyngrwyd yn y gangen ac un porth VPN Azure, felly mae'r porth rhwydwaith lleol yn cael y ddau gyfeiriad cyhoeddus. Mae'n edrych yn daclus, ac nid yw'n gweithio fel y mae'r diagram yn ei awgrymu. Mae pob dyfais VPN on-prem yn berthynas bartner ar wahân, ac mae dyluniad Microsoft ar gyfer sawl dyfais yn rhoi i bob un ei adnodd porth rhwydwaith lleol ei hun a'i gysylltiad ei hun. Nid yw ychwanegu ail gyfeiriad at un adnodd yn creu ail bartner. Mae'n creu adnodd nad yw'n disgrifio'r naill ddyfais na'r llall yn briodol.

Y myth: un porth, dau gyfeiriad

Mae porth rhwydwaith lleol yn ddisgrifiad o bartner o bell: un pwynt terfyn cyhoeddus a'r rhagddodiaid preifat y tu ôl iddo. Nid oes ffordd gefnogol i wneud i'r adnodd hwnnw olygu «unrhyw un o'r ddwy offeryn hyn».

Mae'r un dryswch yn mynd i'r cyfeiriad arall, lle mae dau IP cyhoeddus Azure yn cael eu darllen fel tystiolaeth bod dau borth Azure yn bodoli.

Cyfrwch yr gwrthrychau, yna'r twneli

Cymerwch ddwy ddyfais on-prem a weithredir yn annibynnol, pob un â'i chyfeiriad cyhoeddus ei hun a mynediad i'r un rhwydweithiau preifat, ynghyd ag un porth Azure sy'n seiliedig ar lwybr mewn modd gweithredol-weithredol. Mae gan y porth Azure ddwy enghraifft weithredol ag IP cyhoeddus ar wahân. Mae pob dyfais on-prem yn cysylltu â'r ddwy enghraifft. Dyna'r rhwyll gyflawn, ac mae nifer y gwrthrychau yn deillio ohoni, nid o'r diagram.

Mae'r rhifyddeg yn ddigon byr i'w phastio i'r ddogfen ddylunio:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Gall adnodd cysylltiad gario mwy nag un twnel sylfaenol, felly nid yw pedwar twnel yn awgrymu pedwar porth rhwydwaith rhithwir. Nid yw dau IP cyhoeddus Azure ychwaith yr un gwrthrychau â'r ddau borth rhwydwaith lleol sy'n disgrifio'r safle o bell.

Beth mae gweithredol-weithredol yn ei ychwanegu ar ochr Azure

Mae gweithredol-weithredol yn newid y porth Azure o un enghraifft weithredol i ddwy, pob un â'i IP cyhoeddus ei hun, a dyna sy'n gwneud rhwyll gyflawn yn bosibl o gwbl. Nid yw'n dyblu trwybwn un fflwd. Nid yw chwaith yn dileu'r angen i'r ochr on-prem gefnogi aml-lwybr cost gyfartal os yw'r ddwy ddyfais yn anfon ar yr un pryd. Cadarnhewch fodd y porth, yr SKU a gallu'r ddyfais o bell cyn darparu unrhyw beth.

Mae porth wrth gefn goddefol yn ddyluniad hollol ddilys; mae'n cynhyrchu cyfrif twneli gwahanol yn unig.

Mae BGP yn gwneud y ddau lwybr yn ddefnyddiadwy

Ar gyfer y dyluniad aml-ddyfais, mae'r ddwy ddyfais on-prem yn rhedeg BGP. Rhowch gyfeiriad partner BGP unigryw i bob un a hysbysebu'r un rhagddodiaid preifat bwriadedig ar draws y llwybrau perthnasol. Mae'r rhagddodiaid preifat yn nodi'r rhwydweithiau gwarchodedig, tra bod y cyfeiriadau cyhoeddus yn nodi lle mae'r cysylltiadau cludo amgryptiedig yn terfynu. Mae cymysgu'r ddau yn cynhyrchu dyluniad lle mae pob twnel i fyny ac mae'r llwybrau'n anghywir.

Cynlluniwch lwybraethu dychwelyd ac unrhyw arolygiad cyflwr sy'n gorfod goddef y naill lwybr neu'r llall. Nid yw sesiwn IKE iach ar bob pen yn profi y gall llwyth gwaith ddefnyddio pob llwybr a hysbysebir.

Nid yw dethol yn seiliedig ar fflwd yn gronni lled band

Mae Azure yn dewis llwybr fesul fflwd gan ddefnyddio hash dros gyfeirio a phorthladdoedd y fflwd. Mewn cyflwr sefydlog, mae pecynnau fflwd TCP neu UDP penodol fel arfer yn cymryd yr un twnel, a gall yr ochr on-prem ddewis twnel gwahanol ar gyfer y cyfeiriad dychwelyd. Felly mae dwy ddyfais a phedwar twnel yn gwella argaeledd, nid cyflymder un trosglwyddiad. Pan fydd sleid gwerthwr yn addo agregu, mae'n disgrifio nodwedd wahanol neu gamddealltwriaeth.

Profwch gyda fflwdiau cyfochrog os ydych am weld y llwybrau'n ymledu, a chydag un fflwd os ydych am weld y terfyn.

Pa ddianghenraid wnaethoch chi ei dynnu mewn gwirionedd

Mae dau gyfeiriad WAN ar un offeryn yn gwella opsiynau cyswllt mynediad tra'n rhannu pŵer, meddalwedd a chyflwr methiant yr offeryn hwnnw. Nid ydynt yr un peth â dwy ddyfais, ac nid yw unrhyw faint o ffurfweddiad ochr Azure yn newid hynny. Dilynwch ddyluniad deuol-WAN neu glwstwr cefnogol y gwerthwr yn lle casglu dianghenraid o nifer y cyfeiriadau. Yna profwch ef: tynnwch un llwybr ar y tro a chadarnhau'r llwybrau sy'n weddill ynghyd â chyfnewid cymhwysiad go iawn yn y ddau gyfeiriad.

Disgwyliwch oedi canfod a chydgyfeirio, a disgwyliwch i rai sesiynau presennol ddod i ben.