Χρειάζεται ένα διασυνδεδεμένο Azure VNet τη δική του πύλη VPN;

Εμφανίζεται ένα νέο spoke VNet, ο κόμβος έχει ήδη μια λειτουργική πύλη site-to-site, και το προφανές ερώτημα είναι αν πρέπει να πληρώσετε για δεύτερη πύλη. Συνήθως όχι: η διέλευση πύλης επιτρέπει στο spoke να χρησιμοποιεί την πύλη του κόμβου μέσω του peering. Τρεις προϋποθέσεις καθορίζουν αν αυτό θα λειτουργήσει, και καμία δεν φαίνεται από το σήμα κατάστασης του peering. Η συνδεσιμότητα peering και η άδεια χρήσης ξένης πύλης είναι ξεχωριστές ρυθμίσεις, οπότε δύο VM που ήδη κάνουν ping μεταξύ τους δεν αποδεικνύουν τίποτα για τη διαδρομή VPN.

Πρώτη προϋπόθεση: η πύλη και η έλλειψή της στο spoke

Το Azure υποστηρίζει διέλευση πύλης για SKU του VPN Gateway εκτός από το Basic, και τόσο το περιφερειακό όσο και το καθολικό peering μπορούν να τη μεταφέρουν. Το spoke καταναλώνει πύλη που δεν κατέχει, άρα δεν μπορεί να έχει δική του: αν υπάρχει ήδη πύλη στο spoke ή έχει ήδη επιλεγεί επιλογή απομακρυσμένης πύλης, η ρύθμιση διέλευσης που θέλετε θα είναι μη διαθέσιμη ή αναποτελεσματική. Ελέγξτε το πριν κάνετε οποιαδήποτε αποσφαλμάτωση, γιατί το ανενεργό πλαίσιο ελέγχου είναι το σύμπτωμα, όχι η βλάβη. Διαβάστε πρώτα το SKU και την υπάρχουσα πύλη και μετά κοιτάξτε τις ρυθμίσεις peering.

Μην διαγράψετε μια υπάρχουσα πύλη του spoke για να εμφανιστεί η επιλογή μέχρι να μάθετε τι εξαρτάται από αυτήν. Η σειρά μετανάστευσης μετράει περισσότερο από το πλαίσιο ελέγχου.

Δεύτερη προϋπόθεση: μία ρύθμιση σε κάθε κατεύθυνση peering

Ένα peering είναι δύο αντικείμενα, ένα σε κάθε VNet, και οι ρυθμίσεις διέλευσης βρίσκονται σε διαφορετικές πλευρές αυτού του ζεύγους. Το peering του κόμβου προς το spoke πρέπει να επιτρέπει στην πύλη του κόμβου να εξυπηρετεί το spoke· το peering του spoke προς τον κόμβο πρέπει να δέχεται την πύλη του κόμβου. Ο οδηγός διέλευσης πύλης της Microsoft τα ονομάζει ανά κατεύθυνση, και αυτός είναι ο μόνος τρόπος να τα κρατήσετε σωστά:

Ένα χειριστήριο με ετικέτα remote αλλάζει σημασία ανάλογα με το peering ποιου VNet επεξεργάζεστε, οπότε διαβάστε την κατεύθυνση, όχι τη λέξη. Ρυθμίστε και τις δύο πλευρές, αποθηκεύστε και επιβεβαιώστε ότι το peering αναφέρεται ως συνδεδεμένο και στα δύο σημεία.

Τρίτη προϋπόθεση: χώρος διευθύνσεων και όρια αδειών

Η διέλευση δεν μπορεί να κάνει το ίδιο πρόθεμα προορισμού να σημαίνει δύο δίκτυα, οπότε τα εύρη του κόμβου, του spoke και του τοπικού δικτύου πρέπει να είναι ασύνδετα πριν λειτουργήσει οτιδήποτε από αυτά. Τα VNet μπορεί επίσης να βρίσκονται σε διαφορετικές συνδρομές ή διαφορετικούς μισθωτές· αυτό δεν είναι απαγόρευση, αλλά η ταυτότητα που δημιουργεί ή ενημερώνει κάθε peering χρειάζεται τις απαιτούμενες άδειες σε αυτό το δίκτυο. Οι αλλαγές μεταξύ συνδρομών συχνά αποτυγχάνουν λόγω αδειών, και το σφάλμα διαβάζεται εύκολα λανθασμένα ως πρόβλημα τοπολογίας.

Καταγράψτε τα εύρη και τους ιδιοκτήτες πριν από την αλλαγή. Η εικασία σε οποιοδήποτε από τα δύο παράγει peering που συνδέεται και δεν δρομολογεί τίποτα.

Επαληθεύστε με πραγματικές διαδρομές, όχι με την κατάσταση peering

Κοιτάξτε τις πραγματικές διαδρομές στη διεπαφή δικτύου ενός φόρτου εργασίας στο spoke και βρείτε το πραγματικό πρόθεμα του τοπικού δικτύου. Ελέγξτε τον πίνακα δρομολόγησης του υποδικτύου και αν η διάδοση διαδρομών πύλης είναι απενεργοποιημένη, γιατί μια διαδρομή που ορίζει ο χρήστης ή μια συσκευή επιθεώρησης μπορεί να υπερισχύσει της διαδρομής που υποδεικνύουν οι σημαίες peering. Στη συνέχεια επιβεβαιώστε την άλλη κατεύθυνση: το τοπικό δίκτυο πρέπει να ξέρει πώς να φτάσει στο πρόθεμα του spoke μέσω της σύνδεσης site-to-site, είτε με μαθημένες ανακοινώσεις είτε με ρητή διαδρομή και αντίστοιχη καταχώριση προστατευμένου δικτύου στη συσκευή του πελάτη. Αν λείπει το πρόθεμα σε οποιαδήποτε πλευρά, οι σημαίες peering δεν είναι αυτό που πρέπει να αλλάξει.

Δοκιμάστε μία υπηρεσία από φόρτο εργασίας στο spoke και ακολουθήστε την απάντηση. Μια δοκιμή από την πύλη VPN ή από VM του κόμβου ασκεί διαφορετικό πρόθεμα προέλευσης και διαφορετική διαδρομή.

Αν η τοπολογία εξυπηρετεί και πελάτες point-to-site, επαληθεύστε τις εγκατεστημένες διαδρομές τους ξεχωριστά. Τα πακέτα πελάτη των Windows μπορεί να χρειάζονται αναδημιουργία μετά από αλλαγή τοπολογίας, και αυτό είναι εργασία δρομολόγησης πελάτη και όχι απόδειξη ότι απέτυχε ο διαμοιρασμός της πύλης.

Τι δεν παρέχει ο διαμοιρασμός μιας πύλης

Η διέλευση πύλης είναι ευκολία δρομολόγησης, όχι εξουσιοδότηση. Οι ομάδες ασφαλείας δικτύου, τα τοπικά φίλτρα και οι κανόνες σε επίπεδο υπηρεσίας εξακολουθούν να καθορίζουν τι μπορεί να προσεγγίσει ένας φόρτος εργασίας στο spoke, οπότε ενεργοποιήστε τη συγκεκριμένη υπηρεσία από προέλευση σε προορισμό αντί να υποθέτετε ότι το κοινόχρηστο τούνελ επιτρέπει τα πάντα πίσω του.

Το peering επίσης δεν είναι μεταβατικό με τον τρόπο που ελπίζουν οι άνθρωποι. Η προσθήκη άλλου spoke ή ιδιωτικού τελικού σημείου εισάγει δικές του απαιτήσεις δρομολόγησης και πρόσβασης που η υπάρχουσα ρύθμιση διέλευσης δεν καλύπτει.