Azure Private IP VPN μέσω ExpressRoute χωρίς NVA

Ο μύθος λέει ότι η κρυπτογράφηση της κίνησης πάνω από το ιδιωτικό peering του ExpressRoute απαιτεί μια εικονική συσκευή δικτύου. Δεν απαιτεί. Το Azure υποστηρίζει ένα Site-to-Site VPN Gateway του οποίου το τελικό σημείο σήραγγας είναι μια ιδιωτική διεύθυνση RFC1918 που μεταφέρεται μέσω του κυκλώματος, και η συσκευή είναι προαιρετική και όχι δομική. Αυτό που κρύβει ο μύθος της συσκευής είναι το κομμάτι που πραγματικά πονάει: η ενεργοποίηση του ιδιωτικού τελικού σημείου σε ένα αντικείμενο αντί για δύο, και το να αφήνεις μια άμεση διαδρομή peering να κερδίζει ήσυχα την κρυπτογραφημένη διαδρομή.

Από πού προήλθε ο μύθος

Ο ισχυρισμός έχει αξιοσέβαστη καταγωγή. Για χρόνια η πρακτική συνταγή για IPsec πάνω από ιδιωτικό peering ήταν μια NVA, επειδή η διαχειριζόμενη πύλη εξέθετε μόνο δημόσια τελικά σημεία. Αυτό άλλαξε, και απαντήσεις γραμμένες πριν από την αλλαγή ακόμη παρατίθενται σε νήματα όπου κανείς δεν ελέγχει την ημερομηνία. Η διόρθωση είναι στενή: υπάρχει πύλη VPN με ιδιωτική διεύθυνση, και αλλάζει το τελικό σημείο, όχι τη λογική δρομολόγησης γύρω του.

Τίποτα από αυτά δεν αποσύρει την NVA. Αποσύρει την υπόθεση ότι μια συσκευή είναι η μόνη διαδρομή προς την απαίτηση.

Ενεργοποιήστε το ιδιωτικό τελικό σημείο σε δύο επίπεδα

Ξεκινήστε από μια λειτουργική σύνδεση ιδιωτικού peering του ExpressRoute συνδεδεμένη με το VNet που φιλοξενεί την πύλη VPN. Η πλευρά εγκατάστασης πρέπει ήδη να φτάνει τις σχετικές ιδιωτικές διευθύνσεις μέσω αυτού του κυκλώματος, γιατί η σήραγγα θα χρησιμοποιήσει αυτές τις διευθύνσεις ως μεταφορά. Έπειτα η προϋπόθεση της πύλης: η διαδικασία της Microsoft για VPN ιδιωτικής IP απαιτεί πύλη χτισμένη σε πόρο δημόσιας IP Standard. Η ιδιωτική διευθυνσιοδότηση σήραγγας δεν αφαιρεί αυτή την απαίτηση, κάτι που εκπλήσσει όσους υποθέτουν ότι «ιδιωτικό» σημαίνει «καμία δημόσια IP πουθενά».

Τώρα ενεργοποιήστε τη σημαία και στα δύο σημεία. Η διαμόρφωση της πύλης έχει τον δικό της διακόπτη για ιδιωτικές IP, και η μεμονωμένη σύνδεση Site-to-Site έχει δεύτερο που κάνει αυτή τη σύνδεση να χρησιμοποιεί την ιδιωτική διεύθυνση. Το να ορίσεις το ένα χωρίς το άλλο είναι η πιο συνηθισμένη ελλιπής διαμόρφωση· η σήραγγα είτε δεν σηκώνεται είτε σηκώνεται στο λάθος τελικό σημείο.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Επιβεβαιώστε τα ονόματα ιδιοτήτων με την εγκατεστημένη έκδοση CLI, γιατί οι ετικέτες της πύλης και οι ιδιότητες CLI δεν έχουν πάντα την ίδια διατύπωση. Μια ενεργή-ενεργή πύλη εκθέτει δύο ιδιωτικές διευθύνσεις σήραγγας, και η συσκευή εγκατάστασης χρειάζεται και τους δύο ομοτίμους ρυθμισμένους αν θέλετε αυτή η πλεονασματικότητα να σημαίνει κάτι. Το BGP δεν απαιτείται απλώς για να σηκωθεί αυτή η σήραγγα με ιδιωτική διεύθυνση, αν και συνήθως είναι μέρος του τρόπου με τον οποίο διανέμετε προθέματα.

Ο δεύτερος μύθος: μια εγκατεστημένη σήραγγα κρυπτογραφεί την κίνησή σας

Δύο διαδρομές φτάνουν τώρα στο δίκτυο εφαρμογών: η άμεση διαδρομή ιδιωτικού peering και η διαδρομή μέσω του VPN. Και οι δύο λειτουργούν. Μόνο μία εφαρμόζει αυτό το επίπεδο IPsec. Η Microsoft τεκμηριώνει ότι όταν διαφημίζονται πανομοιότυπα προθέματα μέσω ExpressRoute και μέσω VPN, το Azure προτιμά την άμεση διαδρομή ExpressRoute, οπότε μια υγιής σήραγγα με υγιείς μετρητές δεν αποδεικνύει τίποτα για το πού πήγαν τα πακέτα της εφαρμογής.

Οι τεκμηριωμένες μέθοδοι κατεύθυνσης είναι ένα εύρος κάλυψης στο ExpressRoute με πιο συγκεκριμένο προστατευμένο εύρος στο VPN, ή ασύνδετα προθέματα στις δύο διαδρομές. Για παράδειγμα, το ιδιωτικό peering θα μπορούσε να μεταφέρει 10.40.0.0/16 ενώ το VPN διαφημίζει 10.40.12.0/24. Το πιο συγκεκριμένο πρόθεμα κερδίζει και το υπόλοιπο εύρος παραμένει άμεσο.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Κάντε τον ίδιο έλεγχο προς την κατεύθυνση της εγκατάστασης, αφού η προτίμηση του δρομολογητή σας αποφασίζει από πού φεύγει η εξερχόμενη κίνηση. Και κρατήστε τη μεταφορά της ίδιας της σήραγγας στη διαδρομή ExpressRoute· μια διαδρομή που τραβά το ιδιωτικό τελικό σημείο της πύλης μέσα στη σήραγγα κάνει τη σήραγγα να εξαρτάται από τον εαυτό της.

Αποφασίστε τι συμβαίνει όταν πέφτει η σήραγγα

Μια πιο συγκεκριμένη διαδρομή VPN εξαφανίζεται όταν πέφτει η σήραγγα, ενώ η ευρύτερη άμεση διαδρομή μένει. Τότε η κίνηση ρέει χωρίς κρυπτογράφηση και όλα φαίνονται υγιή, που είναι ο χειρότερος τρόπος αποτυχίας για μια απαίτηση που υπάρχει για να εγγυάται κρυπτογράφηση. Αν η απαίτηση απαγορεύει αυτή την υποχώρηση, η δρομολόγηση και η πολιτική πρόσβασης πρέπει να το πουν ρητά αντί να βασίζονται στη διαθεσιμότητα της σήραγγας.

Σημειώστε ποια προθέματα επιτρέπεται να μείνουν άμεσα προσβάσιμα και ποια πρέπει να σταματήσουν όταν λείπει η κρυπτογραφημένη διαδρομή. Μετά δοκιμάστε την επιτρεπόμενη περίπτωση με πραγματική κίνηση και συγκρίνετε τους μετρητές σύνδεσης, γιατί ο πίνακας δρομολόγησης μόνος του δεν θα σας πει αν η απαίτηση κρυπτογράφησης εξακολουθεί να ισχύει.

Αυτό το πλαίσιο σας επιτρέπει επίσης να αξιολογήσετε μια NVA για τα πραγματικά χαρακτηριστικά της, όπως πολλαπλές σήραγγες, ρυθμαπόδοση ή επιθεώρηση από προμηθευτή, αντί να αγοράσετε μία επειδή το τελικό σημείο είναι ιδιωτικό.