Δύο διευθύνσεις VPN on-prem: δύο peers Azure, όχι ένας

Το διάγραμμα έχει δύο συνδέσεις internet στο υποκατάστημα και μία πύλη VPN Azure, οπότε η πύλη τοπικού δικτύου παίρνει και τις δύο δημόσιες διευθύνσεις. Φαίνεται τακτοποιημένο και δεν λειτουργεί όπως υπονοεί το διάγραμμα. Κάθε συσκευή VPN on-prem είναι ξεχωριστή σχέση peer, και η σχεδίαση της Microsoft για πολλαπλές συσκευές δίνει σε καθεμία τον δικό της πόρο πύλης τοπικού δικτύου και τη δική της σύνδεση. Η προσθήκη δεύτερης διεύθυνσης σε έναν πόρο δεν δημιουργεί δεύτερο peer. Δημιουργεί έναν πόρο που δεν περιγράφει σωστά καμία από τις δύο συσκευές.

Ο μύθος: μία πύλη, δύο διευθύνσεις

Η πύλη τοπικού δικτύου είναι περιγραφή ενός απομακρυσμένου peer: ένα δημόσιο τελικό σημείο και τα ιδιωτικά προθέματα πίσω του. Δεν υπάρχει υποστηριζόμενος τρόπος να σημαίνει αυτός ο πόρος «οποιαδήποτε από αυτές τις δύο συσκευές».

Η ίδια σύγχυση υπάρχει και προς την άλλη κατεύθυνση, όπου δύο δημόσιες IP του Azure διαβάζονται ως απόδειξη ότι υπάρχουν δύο πύλες Azure.

Μετρήστε τα αντικείμενα και μετά τις σήραγγες

Πάρτε δύο ανεξάρτητα λειτουργούμενες συσκευές on-prem, καθεμία με τη δική της δημόσια διεύθυνση και πρόσβαση στα ίδια ιδιωτικά δίκτυα, συν μία πύλη Azure βασισμένη σε δρομολόγηση σε λειτουργία ενεργή-ενεργή. Η πύλη Azure έχει δύο ενεργές παρουσίες με ξεχωριστές δημόσιες IP. Κάθε συσκευή on-prem συνδέεται με τις δύο παρουσίες. Αυτό είναι το πλήρες πλέγμα, και το πλήθος αντικειμένων προκύπτει από αυτό, όχι από το διάγραμμα.

Η αριθμητική είναι αρκετά σύντομη για επικόλληση στο έγγραφο σχεδίασης:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Ένας πόρος σύνδεσης μπορεί να μεταφέρει περισσότερες από μία υποκείμενες σήραγγες, οπότε τέσσερις σήραγγες δεν σημαίνουν τέσσερις πύλες εικονικού δικτύου. Οι δύο δημόσιες IP του Azure δεν είναι επίσης τα ίδια αντικείμενα με τις δύο πύλες τοπικού δικτύου που περιγράφουν την απομακρυσμένη τοποθεσία.

Τι προσθέτει το ενεργή-ενεργή στην πλευρά του Azure

Το ενεργή-ενεργή αλλάζει την πύλη Azure από μία ενεργή παρουσία σε δύο, καθεμία με τη δική της δημόσια IP, και αυτό είναι που καθιστά δυνατό ένα πλήρες πλέγμα. Δεν διπλασιάζει τη διαμεταγωγή μίας ροής. Δεν αφαιρεί επίσης την ανάγκη η πλευρά on-prem να υποστηρίζει πολυδιαδρομικότητα ίσου κόστους αν και οι δύο συσκευές προωθούν ταυτόχρονα. Επιβεβαιώστε τη λειτουργία πύλης, το SKU και τις δυνατότητες της απομακρυσμένης συσκευής πριν παραχωρήσετε οτιδήποτε.

Μια πύλη σε παθητική εφεδρεία είναι απολύτως έγκυρη σχεδίαση· απλώς δίνει διαφορετικό πλήθος σηράγγων.

Το BGP κάνει και τις δύο διαδρομές χρησιμοποιήσιμες

Για τη σχεδίαση πολλαπλών συσκευών, και οι δύο συσκευές on-prem εκτελούν BGP. Δώστε σε καθεμία μοναδική διεύθυνση peer BGP και διαφημίστε τα ίδια προβλεπόμενα ιδιωτικά προθέματα στις σχετικές διαδρομές. Τα ιδιωτικά προθέματα προσδιορίζουν τα προστατευμένα δίκτυα, ενώ οι δημόσιες διευθύνσεις προσδιορίζουν πού τερματίζουν οι κρυπτογραφημένες συνδέσεις μεταφοράς. Η σύγχυση των δύο παράγει σχεδίαση όπου κάθε σήραγγα είναι ενεργή και οι διαδρομές λάθος.

Σχεδιάστε την επιστροφή δρομολόγησης και οποιονδήποτε έλεγχο κατάστασης πρέπει να ανέχεται οποιαδήποτε από τις δύο διαδρομές. Μια υγιής συνεδρία IKE σε κάθε τελικό σημείο δεν αποδεικνύει ότι ένα φορτίο εργασίας μπορεί να χρησιμοποιήσει κάθε διαφημιζόμενη διαδρομή.

Η επιλογή βάσει ροής δεν είναι συγκέντρωση εύρους ζώνης

Το Azure επιλέγει διαδρομή ανά ροή με κατακερματισμό πάνω στη διευθυνσιοδότηση και τις θύρες της ροής. Σε σταθερή κατάσταση, τα πακέτα μιας δεδομένης ροής TCP ή UDP συνήθως ακολουθούν την ίδια σήραγγα, και η πλευρά on-prem μπορεί να επιλέξει άλλη σήραγγα για την κατεύθυνση επιστροφής. Δύο συσκευές και τέσσερις σήραγγες βελτιώνουν επομένως τη διαθεσιμότητα, όχι την ταχύτητα μίας μεταφοράς. Όταν μια παρουσίαση προμηθευτή υπόσχεται συγκέντρωση, περιγράφει άλλη λειτουργία ή παρανόηση.

Δοκιμάστε με παράλληλες ροές αν θέλετε να δείτε τις διαδρομές να απλώνονται, και με μία ροή αν θέλετε να δείτε το όριο.

Ποια πλεονασμό αφαιρέσατε πραγματικά

Δύο διευθύνσεις WAN σε μία συσκευή βελτιώνουν τις επιλογές ζεύξης πρόσβασης ενώ μοιράζονται την τροφοδοσία, το λογισμικό και την κατάσταση αστοχίας αυτής της συσκευής. Δεν είναι το ίδιο με δύο συσκευές, και καμία ρύθμιση στην πλευρά του Azure δεν το αλλάζει. Ακολουθήστε την υποστηριζόμενη σχεδίαση διπλού WAN ή συστοιχίας του κατασκευαστή αντί να συνάγετε πλεονασμό από το πλήθος διευθύνσεων. Έπειτα δοκιμάστε το: αφαιρέστε μία διαδρομή κάθε φορά και επιβεβαιώστε τις υπόλοιπες διαδρομές συν μια πραγματική ανταλλαγή εφαρμογής και προς τις δύο κατευθύνσεις.

Περιμένετε καθυστερήσεις ανίχνευσης και σύγκλισης, και περιμένετε να τερματιστούν ορισμένες υπάρχουσες συνεδρίες.