Peering στο Azure ή VPN VNet-σε-VNet; Αποφασίστε πριν από τη δρομολόγηση

Το Azure σάς δίνει τουλάχιστον δύο τρόπους να συνδέσετε δύο εικονικά δίκτυα και δεν είναι εναλλάξιμες ρυθμίσεις στο ίδιο αντικείμενο. Το peering ενώνει τα VNet στη ραχοκοκαλιά της Microsoft χωρίς πύλη· ένα VPN VNet-σε-VNet τοποθετεί μια σχέση IPsec ανάμεσα σε δύο πύλες που αναπτύσσετε, διαστασιολογείτε και παρακολουθείτε. Η απόφαση ανάγεται σε τρεις συνθήκες και αν δεν μπορείτε να απαντήσετε και στις τρεις πριν προσθέσετε μια διαδρομή, πρόκειται να χτίσετε μια παράκαμψη για ένα μοντέλο που δεν επιλέξατε ποτέ.

Τρεις συνθήκες που καθορίζουν το μοντέλο

Η πρώτη είναι αν κάτι στην απαίτηση χρειάζεται ένα όριο IPsec που σας ανήκει και μπορείτε να το δείξετε. Η δεύτερη είναι αν οι χώροι διευθύνσεων είναι καθαροί και τα δύο VNet χρειάζεται μόνο να μιλούν μεταξύ τους. Η τρίτη είναι ποιος κατέχει τυχόν μεταβατική διαδρομή και τον λογαριασμό της πύλης. Απαντήστε με αυτή τη σειρά, γιατί η πρώτη μπορεί να εξαλείψει το peering όσο ελκυστική κι αν φαίνεται η δεύτερη.

Αυτό που μοιράζονται και τα δύο μοντέλα είναι ένας σκληρός κανόνας διευθυνσιοδότησης: οι χώροι διευθύνσεων των VNet δεν πρέπει να επικαλύπτονται. Ούτε το peering ούτε ένα VPN VNet-σε-VNet είναι υποστηριζόμενος τρόπος να γίνουν δύο πανομοιότυπα εύρη μονοσήμαντα, και μια επικάλυψη απαιτεί σχεδιασμό αντιστοίχισης ή επανασχεδιασμό, όχι διαφορετικό τύπο σύνδεσης.

Συνθήκη 1: χρειάζεστε ένα όριο IPsec που σας ανήκει;

Το peering μεταφέρει κίνηση στην ιδιωτική ραχοκοκαλιά του Azure και δεν απαιτεί πύλη VPN για την ίδια τη σύνδεση peering. Αυτή είναι μια δήλωση για τη μεταφορά, όχι μια δήλωση για κρυπτογράφηση που μπορείτε να δώσετε σε έναν ελεγκτή ως «τρέχουμε IPsec». Αν η απαίτηση ονομάζει σήραγγα που διαμορφώνει ο πελάτης, συγκεκριμένη πολιτική IKE ή όριο που τερματίζει σε εξοπλισμό που ελέγχετε, το peering δεν την ικανοποιεί, όσο ιδιωτική κι αν είναι η ραχοκοκαλιά.

Ένα VPN VNet-σε-VNet παρέχει αυτό το όριο: δύο πύλες, μια σχέση IPsec/IKE, κοινόχρηστα κλειδιά και όλη την επιχειρησιακή επιφάνεια που συνοδεύει. Κληρονομείτε την κατάσταση της σήραγγας, τη χωρητικότητα της πύλης, τα όρια SKU και την παρακολούθηση που αποδεικνύει ότι η σήραγγα είναι ενεργή. Αυτή είναι η σωστή απάντηση όταν η απαίτηση αφορά ακριβώς αυτό το όριο, που περιγράφεται στην επισκόπηση του peering ως ξεχωριστός τύπος σύνδεσης.

Να είστε εξίσου προσεκτικοί προς την άλλη κατεύθυνση. Το «χρειαζόμαστε κρυπτογράφηση μεταξύ VNet» συχνά ικανοποιείται από το δικό του TLS του φόρτου εργασίας και τότε η πύλη είναι κόστος χωρίς απαίτηση πίσω της. Γράψτε την πρόταση που θα διαβάσει ο ελεγκτής πριν επιλέξετε τον μηχανισμό.

Συνθήκη 2: είναι η τοπολογία άμεση ή κάτι πρέπει να διέλθει;

Το peering δεν είναι μεταβατικό. Δύο VNet που έχουν γίνει peering σε έναν κόμβο δεν συνδέονται έτσι μεταξύ τους, και μια διαδρομή που φαίνεται να λειτουργεί προς μία κατεύθυνση είναι συνήθως peering που έφτασε σε Connected μόνο στη μία πλευρά. Πρέπει να υπάρχουν και οι δύο πλευρές και οι δύο να δείχνουν Connected, και αυτό είναι το πρώτο που ελέγχετε όταν η κίνηση εξαφανίζεται σιωπηλά.

Αν η απαίτηση είναι πρόσβαση στο τοπικό δίκτυο μέσω κόμβου, η διέλευση πύλης είναι ξεχωριστός σχεδιασμός με συγκεκριμένους ρόλους: ο κόμβος κατέχει την πύλη, το peering του spoke επιτρέπει τη διέλευση πύλης και το spoke πρέπει να επιτρέπει προωθημένη κίνηση. Αυτά είναι ιδιότητες του peering, όχι αυτόματες συνέπειες της σύνδεσης των VNet:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Ο ενεργός πίνακας διαδρομών είναι η ειλικρινής απάντηση στο «υπάρχει η διαδρομή;». Δείχνει τον τύπο επόμενου άλματος που θα χρησιμοποιήσει πραγματικά η πλατφόρμα, οπότε ένα peering που φαίνεται ρυθμισμένο αλλά δεν είναι συνδεδεμένο εμφανίζεται ως απούσα ή λανθασμένη διαδρομή και όχι ως μυστήριο.

Συνθήκη 3: ποιος κατέχει τη μεταβατική διαδρομή και τον λογαριασμό;

Κάθε επιπλέον άλμα έχει ιδιοκτήτη. Με peering, ένα νέο VNet σημαίνει νέο ζεύγος peering και στις δύο πλευρές και, για διέλευση, έναν κόμβο που συνεχίζει να προωθεί κίνηση και έναν πίνακα διαδρομών που συνεχίζει να δείχνει εκεί. Με VPN, ένα νέο VNet σημαίνει άλλη πύλη ή άλλη σύνδεση σε υπάρχουσα, με το δικό της όριο χωρητικότητας προς παρακολούθηση.

Το κόστος ακολουθεί το ίδιο σχήμα αλλά όχι τα ίδια κονδύλια: οι χρεώσεις peering είναι σύνδεση και μεταφορά δεδομένων, ενώ ένα VPN προσθέτει ώρες πύλης και δικές του χρεώσεις μεταφοράς. Συγκρίνετε το σύνολο για την τοπολογία που θα τρέξετε πραγματικά για ένα έτος, μαζί με τη δεύτερη σήραγγα και την παρακολούθηση, όχι την τιμή μιας σύνδεσης σήμερα. Συμπεριλάβετε την εργασία που κανείς δεν τιμολογεί: κάποιος πρέπει να αλλάζει κλειδιά, να παρακολουθεί την κατάσταση της σήραγγας και να απαντά στο συναγερμό στις τρεις τα ξημερώματα όταν επανεκκινεί μια πύλη. Αυτό το κονδύλι συνήθως κρίνει τη διαφωνία, γιατί είναι το μόνο που δεν εμφανίζεται ποτέ σε μια προσφορά.

Όποιο κι αν επιλέξετε, δοκιμάστε τρεις ροές: την προβλεπόμενη, μια απορριφθείσα που πρέπει να μείνει απορριφθείσα και την περίπτωση ανάκτησης όπου η πύλη του κόμβου ή ένα peering είναι εκτός λειτουργίας. Ένα μοντέλο που εξηγεί μόνο το ευτυχές μονοπάτι δεν έχει επαληθευτεί, έχει επιδειχθεί.

Επαληθεύστε την επιλογή με βάση τον ισχυρισμό της

Γράψτε μια πρόταση που ονομάζει το μοντέλο, το όριο και τον ιδιοκτήτη και μετά ελέγξτε ότι η αναπτυγμένη κατάσταση της αντιστοιχεί. Για το peering αυτό σημαίνει και οι δύο καταστάσεις peering σε Connected, η ενεργός διαδρομή να δείχνει το επόμενο άλμα peering για το πρόθεμα προορισμού και καμία πύλη στη διαδρομή. Για ένα VPN VNet-σε-VNet σημαίνει και οι δύο συνδέσεις Connected, ταιριαστά κλειδιά και πολιτικές και στις δύο πύλες και μια διαδρομή της οποίας το επόμενο άλμα είναι η πύλη εικονικού δικτύου.

Αν οι έλεγχοι διαφωνούν με την πρόταση, διορθώστε πρώτα την πρόταση. Το μεγαλύτερο μέρος της σύγχυσης σε αυτούς τους σχεδιασμούς προέρχεται από ένα υβρίδιο που κανείς δεν περιέγραψε: peering για το υποδίκτυο του φόρτου εργασίας, VPN για μία παλιά υπηρεσία και έναν πίνακα διαδρομών που σιωπηλά προτιμά ένα από τα δύο.