Site-to-Site VPN από το AWS στο Azure: γράψτε πρώτα τη διαδρομή επιστροφής

Η σήραγγα θα σηκωθεί. Συνήθως σηκώνεται, γιατί το IKE χρειάζεται μόνο ταιριαστές προτάσεις και μια προσβάσιμη διεύθυνση ομοτίμου. Αυτό που αποτυγχάνει μετά είναι η διαδρομή επιστροφής: ο φόρτος εργασίας στο AWS στέλνει πακέτα σε μια σήραγγα, αλλά τίποτα στην πλευρά του Azure δεν ξέρει πώς να απαντήσει στο 10.10.0.0/16, ή η διαδρομή του Azure υπάρχει σε πίνακα που το υποδίκτυο του φόρτου δεν χρησιμοποιεί. Γράψτε το σχέδιο δρομολόγησης πριν αγγίξετε οποιαδήποτε κονσόλα, και η σήραγγα θα γίνει το λιγότερο ενδιαφέρον μέρος της δουλειάς.

Βήμα 1: παγώστε το σχέδιο διευθύνσεων

Δουλέψτε με συγκεκριμένες τιμές. Ένας φόρτος στο AWS βρίσκεται στο 10.10.1.20 μέσα στο 10.10.0.0/16 και χρειάζεται TCP 443 προς υπηρεσία Azure στο 10.20.1.30 μέσα στο 10.20.0.0/16. Οι δύο περιοχές δεν πρέπει να επικαλύπτονται, και η δοκιμή αποδοχής είναι το ζεύγος υπηρεσιών, όχι η σήραγγα.

Γράψτε αυτά τα τέσσερα γεγονότα πριν από οτιδήποτε άλλο, γιατί κάθε επόμενο βήμα ελέγχεται απέναντί τους.

Βήμα 2: ονομάστε την πύλη που κατέχει κάθε άκρο

Το AWS Site-to-Site VPN μπορεί να τερματίζει σε εικονική ιδιωτική πύλη ή σε πύλη διέλευσης, και αυτοί είναι διαφορετικοί ιδιοκτήτες δρομολόγησης. Το Azure προσφέρει τη διαχειριζόμενη VPN Gateway και, ξεχωριστά, συσκευές βασισμένες σε VM που τις τρέχουν οι πελάτες μόνοι τους. Καταγράψτε ποιο ζεύγος έχετε, γιατί το επόμενο άλμα διαφέρει σε κάθε συνδυασμό.

Για διαχειριζόμενη πύλη, μην αντιγράφετε διαδρομή που δείχνει σε εικαζόμενη διεύθυνση ιδιωτικής συσκευής. Για συσκευή, μην υποθέσετε ότι η διάδοση διαδρομών στο cloud ρυθμίζει το λειτουργικό σύστημα του φιλοξενούμενου, γιατί δεν το κάνει.

Το λάθος εδώ παράγει σχέδιο που φαίνεται πλήρες και στέλνει πακέτα σε διεύθυνση που δεν απαντά ποτέ.

Βήμα 3: γράψτε τη διαδρομή που χρησιμοποιεί πραγματικά κάθε φόρτος

Κάθε όριο παρακάτω είναι ξεχωριστή αναζήτηση, και μια διαδρομή σε ένα από αυτά δεν είναι διαδρομή για το πακέτο. Συμπληρώστε τον πίνακα με τις δικές σας τιμές πριν η σήραγγα τεθεί σε λειτουργία.

Στο AWS, ο πίνακας διαδρομών του υποδικτύου φόρτου είναι δικός σας για ενημέρωση ακόμη και αφού το BGP ή μια σήραγγα είναι υγιές· η επισκόπηση δρομολόγησης το θεωρεί μέρος της σύνδεσης. Στο Azure, ένας πίνακας διαδρομών καθορισμένων από τον χρήστη συσχετίζεται με υποδίκτυο και όχι με το εικονικό δίκτυο, οπότε ελέγξτε την ενεργή διαδρομή στο NIC του φόρτου και όχι στη λεπίδα VNet.

Μια διαχειριζόμενη πύλη Azure μπορεί να μάθει το απομακρυσμένο πρόθεμα μέσω διάδοσης πύλης, και ένα UDR μπορεί να υπερισχύσει αυτής της απόφασης. Προσθέστε το UDR όταν έχετε λόγο, όχι αντανακλαστικά. Αν προσθέσετε, στρέψτε το στο επόμενο άλμα που δημοσιεύει η πύλη για τη διαδρομή VPN αντί να επινοήσετε διεύθυνση συσκευής. Μετά ξαναδιαβάστε τις ενεργές διαδρομές στο NIC, γιατί εκεί λαμβάνεται πραγματικά η απόφαση.

Βήμα 4: συμβιβάστε το εύρος

Για BGP, συγκρίνετε τι διαφημίζει κάθε πλευρά με το τι έμαθε πραγματικά η άλλη, πρόθεμα προς πρόθεμα. Για στατική δρομολόγηση, συγκρίνετε τις ρυθμισμένες απομακρυσμένες περιοχές με τις διαδρομές φόρτου που γράψατε στο βήμα 3.

Μια σχέση IKE που συμφωνεί στην κρυπτογραφία δεν αποδεικνύει ότι κάποια πλευρά έμαθε το 10.10.0.0/16 ή το 10.20.0.0/16. Δύο σήραγγες μπορεί να είναι ενεργές ενώ η μία πλευρά διαφημίζει ένα μόνο /24 αντί για το /16 που σχεδιάσατε. Ελέγξτε το πρόθεμα στον πίνακα δρομολόγησης, όχι στην κατάσταση της σήραγγας. Η ασυμφωνία εμφανίζεται αργότερα ως ένα υποδίκτυο που δουλεύει και ένα που δεν απαντά ποτέ.

Βήμα 5: δοκιμάστε την υπηρεσία από την πραγματική πηγή

Επιτρέψτε την προβλεπόμενη ροή στις ομάδες ασφαλείας και στις ACL δικτύου του AWS, στα NSG του Azure και σε κάθε φίλτρο συσκευής στη διαδρομή. Μετά ανοίξτε μία σύνδεση από το 10.10.1.20 στη εγκεκριμένη διεύθυνση και θύρα της υπηρεσίας και επιβεβαιώστε ότι η απάντηση επιστρέφει στην ίδια πηγή.

Και οι ομάδες ασφαλείας του cloud και τα NSG είναι stateful, οπότε ένα απορριφθέν πακέτο επιστροφής είναι σύμπτωμα δρομολόγησης, όχι κανόνας που ξεχάσατε να γράψετε αντίστροφα.

Ένα ping από οποιαδήποτε πύλη δεν λύνει τίποτα. Το ICMP σε διεύθυνση πύλης ασκεί τη διαδρομή επιπέδου ελέγχου, όχι την προωθούμενη υπηρεσία TCP που χρειάζεται ο φόρτος.

Επαναφορά και αρχεία

Καταγράψτε τους ιδιοκτήτες διαδρομών δίπλα στα αναγνωριστικά της σήραγγας και κρατήστε τους πίνακες διαδρομών πριν από την αλλαγή. Αν η αλλαγή πρέπει να βγει, αφαιρέστε τις διαδρομές φόρτου πριν κατεδαφίσετε τη σήραγγα, ώστε κανένα υποδίκτυο να μη δείχνει σε άλμα που δεν υπάρχει πια.

Μια μεταγενέστερη μετακίνηση υποδικτύου ή σύνδεση spoke έχει τότε ένα καθορισμένο σημείο ενημέρωσης, αντί για μια σήραγγα που δουλεύει και φέρει την ευθύνη για διαδρομή που ποτέ δεν κατείχε.