Pam y mae point-to-site yn gofyn am borth Azure VPN sy’n seiliedig ar lwybrau

Mae porth sy’n seiliedig ar bolisi yn adeiladu twmnel IPsec a ddewisir gan ddetholwyr traffig, ac nid oes ganddo ryngwyneb i drosglwyddo llwybrau cleientiaid iddo. Mae point-to-site yn nodwedd lwybro: mae’r porth yn berchen ar gronfa gyfeiriadau cleientiaid ac yn gosod llwybrau i’r cleientiaid hynny yn y rhwydwaith rhithwir. Y camgymariad hwnnw yw’r rheswm nad yw’r porth yn dangos unrhyw opsiwn i’w ychwanegu. Ni ellir toglo unrhyw beth ar y porth presennol i gynhyrchu’r rhyngwyneb, felly amnewidiad yw’r newid yn hytrach na golygu ffurfweddiad.

Mae’r drefn yn bwysicach na’r camau unigol. Os gwnaethoch gamgymeriad yn y dilyniant, bydd y toriad rhwng safleoedd yn rhedeg heibio’r ffenestr gynnal a chadw.

Beth mae porth sy’n seiliedig ar bolisi yn ei wneud mewn gwirionedd

Mae porth sy’n seiliedig ar bolisi yn paru pecynnau â’r detholwyr traffig a ffurfweddir ar y cysylltiad ac yn anfon y paru i un twmnel. Nid oes rhyngwyneb twmnel â chyfeiriad, ac nid yw llwybr fesul cleient yn ymddangos yn unman yn y rhwydwaith rhithwir. Mae’r tabl llwybrau yn syml yn ennill y rhagddodiaid lleol sy’n pwyntio at y porth. Mae’r model hwnnw’n ddigon ar gyfer cysylltiad rhwng safleoedd rhwng dau ofod cyfeiriad sefydlog.

Mae porth sy’n seiliedig ar lwybrau yn gweithio’r ffordd arall: mae’n cyflwyno rhyngwyneb twmnel, a llwybrau sy’n penderfynu beth sy’n mynd i mewn iddo. Mae point-to-site, ac unrhyw ddyluniad y mae ei set o gyfoedion yn newid, yn dibynnu ar fodolaeth y rhyngwyneb hwnnw.

Pam mae’r gronfa cleientiaid angen y rhyngwyneb hwnnw

Pan fydd gliniadur yn cysylltu, mae’r porth yn rhoi cyfeiriad iddo o’r gronfa point-to-site. Yna mae’r rhwydwaith rhithwir angen llwybr sy’n dweud bod y cyfeiriad hwn yn cyrraeddadwy drwy’r porth. Heb ryngwyneb twmnel nid oes dim i atodi’r llwybr hwnnw iddo.

Daw’r gronfa o ystod a enwebwch, ac mae’r porth yn dyramu ohoni. Os yw’r ystod honno’n gorgyffwrdd â’r rhwydwaith lleol neu â rhwydwaith rhithwir cymar, dim ond ar ôl i gleient gysylltu y mae’r gwrthdaro’n ymddangos, sy’n foment wael i’w ddarganfod. Cadwch y gronfa o’r neilltu cyn i’r mudo ddechrau.

Nid yw’r math yn osodiad fesul cysylltiad chwaith. Mae gan un porth un math, ac mae pob cysylltiad a gedwir ganddo yn ymddwyn yn unol â hynny, felly mae angen ail borth yn hytrach nag ail gysylltiad ar ddyluniad cymysg.

Mae’r math yn sefydlog wrth ei greu

Mae Microsoft yn nodi na ellir newid porth rhwydwaith rhithwir rhwng seiliedig ar bolisi a seiliedig ar lwybrau ar ôl ei ddefnyddio. Nid oes gorchymyn trosi na thogl ar y porth. Nid yw creu ail borth yn yr un is-rwydwaith yn ateb dros dro chwaith, oherwydd mae Azure yn caniatáu un porth fesul rhwydwaith rhithwir. Felly tynnu, ailadeiladu ac ailgysylltu yw’r mudo.

Mae hynny hefyd yn plygu’r penderfyniad SKU i’r un adeiladwaith. Symud i SKU mwy yn ddiweddarach yw amnewidiad porth arall gyda thoriad arall.

Un porth, un GatewaySubnet

Mae’r porth yn byw mewn is-rwydwaith o’r enw GatewaySubnet, a dim ond un porth sy’n ei feddiannu. Mae maintio’r is-rwydwaith hwnnw’n rhan o’r paratoad, oherwydd mae angen mwy o gyfeiriadau ar SKU mwy ac ni ellir lleihau is-rwydwaith wedyn. Cofnodwch osodiadau rhwng safleoedd presennol, y prif allwedd, y porth rhwydwaith lleol a’r llwybrau effeithiol cyn cyffwrdd â dim. Yna triniwch y ffenestr fel toriad, oherwydd mae’r twmnel rhwng safleoedd yn aros i lawr nes bod y cysylltiad newydd wedi’i ffurfweddu.

Trefn ailadeiladu sy’n cadw’r toriad yn gyfyngedig: crëwch y porth sy’n seiliedig ar lwybrau, ail-greu’r cysylltiad rhwng safleoedd i’r un porth rhwydwaith lleol, cadarnhewch y twmnel ac un cais o westeiwr i westeiwr, ac yna’n unig ychwanegwch point-to-site a chynhyrchwch becyn cleient newydd.

Beth nad yw’r amnewidiad yn ei drwsio

Mae ail gyfyngiad yn perthyn i’r cymar yn hytrach nag i Azure. Gall dyfais leol sy’n seiliedig ar bolisi gyrraedd yn unig y rhwydwaith rhithwir y mae’n cysylltu ag ef, ac ni all dramwyo i rwydweithiau lleol eraill na rhwydweithiau rhithwir eraill drwy’r un porth. Nid yw amnewid ochr Azure yn newid yr hyn y gall y cymar ei ddewis.

Os mai’r gofyniad mewn gwirionedd yw tramwyo rhwng safleoedd, yr ateb yw dyfais gymar sy’n seiliedig ar lwybrau neu dopoleg lle mae pob cyrchfan yn terfynu ar wahân. Setlwch hynny cyn addo dyddiad, oherwydd ni fydd amnewid y porth ar ei ben yn ei gyflawni.

Trefn gweithrediadau a gwiriadau

Gwiriwch bob gallu ar ei ben ei hun. Yn gyntaf statws y twmnel rhwng safleoedd ac un cais o westeiwr i westeiwr, yna cysylltiad point-to-site ac un adnodd preifat, yna unrhyw lwybr tramwyo y mae’r dyluniad yn ei hawlio. Mae statws porth gwyrdd yn profi bod y cymdeithasiad diogelwch wedi codi a dim mwy. Cadwch y gwiriadau yn y drefn honno fel bod methiant yn pwyntio at y cam a’i cyflwynodd.

Ailgynhyrchwch becynnau cleient ar ôl unrhyw newid topoleg, a chadwch y gronfa’n glir o bob ystod leol a chymar. Mae’r cyfyngiadau a’r gwahaniaethau SKU wedi’u casglu yn gyfeirlyfr gosodiadau Azure VPN Gateway.