Azure-NVA-Inspektion: Warum die Antwort über eine andere Firewall läuft

Ein Fluss von der Filiale nach Azure kann in beide Richtungen korrekt geroutet sein und trotzdem scheitern, weil die beiden Richtungen verschiedene Geräte nehmen. Die Anfrage verlässt die Filiale über das VPN, landet auf NVA A und erreicht die Arbeitslast. Die Antwort verlässt die Arbeitslast, trifft eine Route, die auf NVA B zeigt, und stirbt dort. Jede Route in diesem Bild ist gültig, und die TCP-Sitzung ist trotzdem gebrochen.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Diese Lücke ist hier das ganze Thema: Routenkonvergenz und Eigentum am Sitzungszustand sind verschiedene Probleme, die im Diagramm identisch aussehen.

Was Route Server tatsächlich programmiert

Azure Route Server peert mit unterstützten BGP-Sprechern, lernt deren Routen und programmiert sie in die effektiven Routen des virtuellen Netzwerks. Das ist eine Aufgabe der Steuerungsebene. Er liest keine Sitzungstabelle einer Hersteller-Firewall und weiß nicht, welches Gerät eine bestimmte Verbindung zugelassen hat. Zwei gleichkostige nächste Hops sind für dieses Fabric einfach zwei Wege zum selben Präfix, und es wird einen davon nehmen.

Eine Route zu lernen beweist also Erreichbarkeit. Es beweist nichts darüber, ob das Gerät am anderen Ende diesen Fluss schon gesehen hat.

Lesen Sie beide Richtungen, bevor Sie entwerfen

Beginnen Sie damit, die Steuerung aufzuschreiben, die Sie in jeder Richtung tatsächlich haben, nicht die beabsichtigte. Spezifischere BGP-Routen, benutzerdefinierte Routen und Gateway-Verhalten konkurrieren alle, und der Gewinner wird pro Ziel entschieden, nicht pro Sitzung. Eine Standardroute auf einer NVA bedeutet nicht, dass jedes private Präfix sie durchläuft.

Eine nützliche Prüfung ist, für eine bestimmte Arbeitslast-IP zu fragen, zu welchem nächsten Hop jede Richtung auflöst. Wenn die Antwort zwei verschiedene Geräte sind, haben Sie ein Asymmetrieproblem, ob es sich schon gezeigt hat oder nicht.

Wo der Zustand lebt

Eine Stateful Firewall lässt eine Verbindung zu und hält einen Tabelleneintrag, der auf dem Fünftupel basiert. Die Antwort muss das Gerät erreichen, das diesen Eintrag hält, oder dieses Gerät muss den Zustand anders beschaffen. Nichts in der Azure-Datenebene leitet den Eintrag zwischen Geräten weiter. Entweder wird der Verkehr zum Eigentümer zurückgelenkt, oder die Geräte teilen den Zustand über einen Herstellermechanismus, oder das Design funktioniert nicht.

Deshalb sind zwei gesunde NVAs keine Gesundheitsprüfung für die Inspektion. Gesundheit betrifft Erreichbarkeit; Inspektion betrifft, welche Instanz die Sitzung hält.

Unterstützte HA-Modelle und was jedes verspricht

Microsoft's guidance on Virtual WAN Routing Intent beschreibt begrenztes Verhalten für Dual-Role-Konnektivität und Firewall-NVAs, bei dem direktes Routing die normale symmetrische Durchsetzung des Hubs umgehen kann. Lesen Sie diese Hinweise als Einschränkungen für die gewählte Topologie, nicht als Verbot aktiv-aktiver Designs. Ein Herstellerpaar, das Zustand synchronisiert oder pro Fluss lenkt, kann unterstützt werden. Ein gleichkostiges Paar, das keins von beidem tut, nicht.

Definieren Sie dann, was mit bestehenden Sitzungen passiert, wenn ein Knoten ausfällt. Routenkonvergenz stellt die Erreichbarkeit für neue Flüsse innerhalb von Sekunden wieder her, während der alte Firewall-Zustand einfach weg ist. Eine Client-Wiederverbindung kann das dokumentierte Ergebnis sein, und das ist eine Entscheidung vor dem Vorfall, nicht währenddessen.

Was Sie testen sollten, bevor Sie ihm vertrauen

Test with inspection enabled and der Zugriffsrichtlinie der Arbeitslast an Ort und Stelle, denn beides kann die Asymmetrie verbergen. Senden Sie einen neuen autorisierten Fluss in beide Richtungen und bestätigen Sie, dass dasselbe Gerät beide Hälften gesehen hat. Fahren Sie dann anhaltenden Verkehr und lösen Sie das genehmigte Failover aus, und beobachten Sie, ob bestehende Sitzungen überleben oder sich neu verbinden.

Korrelieren Sie jeden Fluss mit dem Gerät, das ihn verarbeitet hat. Ein Paketmitschnitt auf einer NVA sagt Ihnen fast nichts, wenn die Antwort nie dorthin zurückkam.

Schreiben Sie den Plan schließlich als drei getrennte Zeilen: Routeneigentum, Verkehrslenkung und Eigentum am Sitzungszustand. Designs brechen, wenn die ersten beiden gelöst und das dritte angenommen wird.