Du surlokaj VPN-adresoj: du Azure-peer, ne unu

La diagramo havas du interretajn ligojn ĉe la filio kaj unu Azure VPN-pordegon, do la loka reta pordego ricevas ambaŭ publikajn adresojn. Ĝi aspektas ordema, kaj ĝi ne funkcias tiel, kiel la diagramo sugestas. Ĉiu surloka VPN-aparato estas aparta peer-rilato, kaj la multaparata dezajno de Microsoft donas al ĉiu sian propran lokan retan pordegon kaj sian propran konekton. Aldoni duan adreson al unu rimedo ne kreas duan peer. Ĝi kreas rimedon, kiu ĝuste priskribas neniun el la du aparatoj.

La mito: unu pordego, du adresoj

Loka reta pordego estas priskribo de fora peer: unu publika finpunkto kaj la privataj prefiksoj malantaŭ ĝi. Ne ekzistas subtenata maniero igi tiun rimedon signifi «iu ajn el ĉi tiuj du aparatoj».

La sama konfuzo iras en la alian direkton, kie du publikaj Azure-IP-oj estas legitaj kiel pruvo, ke ekzistas du Azure-pordegoj.

Kalkulu la objektojn, poste la tunelojn

Prenu du sendepende funkciigatajn surlokajn aparatojn, ĉiu kun sia propra publika adreso kaj aliro al la samaj privataj retoj, plus unu Azure-pordegon bazitan sur enkursigo en aktiva-aktiva reĝimo. La Azure-pordego havas du aktivajn instancojn kun apartaj publikaj IP-oj. Ĉiu surloka aparato konektiĝas al ambaŭ instancoj. Tio estas la plena maŝo, kaj la nombro da objektoj sekvas el ĝi, ne el la diagramo.

La aritmetiko estas sufiĉe mallonga por alglui en la dezajnan dokumenton:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Konekta rimedo povas porti pli ol unu suban tunelon, do kvar tuneloj ne implicas kvar virtualajn retajn pordegojn. Du publikaj Azure-IP-oj ankaŭ ne estas la samaj objektoj kiel la du lokaj retaj pordegoj, kiuj priskribas la foran ejon.

Kion aktiva-aktiva aldonas ĉe la Azure-flanko

Aktiva-aktiva ŝanĝas la Azure-pordegon de unu aktiva instanco al du, ĉiu kun sia propra publika IP, kaj ĝi estas tio, kio ebligas plenan maŝon. Ĝi ne duobligas la trairon de unu fluo. Ĝi ankaŭ ne forigas la bezonon, ke la surloka flanko subtenu samkostan plurvojon, se ambaŭ aparatoj plusendas samtempe. Konfirmu la pordegan reĝimon, SKU kaj kapablon de la fora aparato antaŭ ol provizi ion ajn.

Pordego en pasiva atendo estas tute valida dezajno; ĝi simple produktas alian nombron da tuneloj.

BGP igas ambaŭ vojojn uzeblaj

Por la multaparata dezajno, ambaŭ surlokaj aparatoj rulas BGP. Donu al ĉiu unikan BGP-peer-adreson kaj anoncu la samajn celatajn privatajn prefiksojn laŭ la koncernaj vojoj. La privataj prefiksoj identigas la protektitajn retojn, dum la publikaj adresoj identigas, kie finiĝas la ĉifritaj transportaj konektoj. Konfuzi la du produktas dezajnon, en kiu ĉiu tunelo estas aktiva kaj la enkursigoj malĝustaj.

Planu revenan enkursigon kaj ajnan stato-konscian inspektadon, kiu devas toleri iun ajn el la du vojoj. Sana IKE-sesio ĉe ĉiu finpunkto ne pruvas, ke laborŝarĝo povas uzi ĉiun anoncitan enkursigon.

Fluobaza elekto ne estas bendlarĝa kunigo

Azure elektas vojon por ĉiu fluo per haketado super la adresado kaj pordoj de la fluo. En stabila stato, pakaĵoj de donita TCP- aŭ UDP-fluo kutime prenas la saman tunelon, kaj la surloka flanko povas elekti alian tunelon por la revena direkto. Du aparatoj kaj kvar tuneloj do plibonigas disponeblecon, ne la rapidon de unu transigo. Kiam vendista lumbildo promesas kunigon, ĝi priskribas alian funkcion aŭ miskomprenon.

Testu per paralelaj fluoj, se vi volas vidi la vojojn disvastiĝi, kaj per unu fluo, se vi volas vidi la limon.

Kiun redundancon vi efektive forigis

Du WAN-adresoj sur unu aparato plibonigas la elektojn de alira ligo dum ĝi dividas la energion, programaron kaj misfunkcian staton de tiu aparato. Ili ne samas kiel du aparatoj, kaj neniu kvanto da Azure-flanka agordo tion ŝanĝas. Sekvu la subtenatan duoblan-WAN aŭ klusteran dezajnon de la vendisto anstataŭ dedukti redundancon el la nombro da adresoj. Poste testu ĝin: forigu unu vojon samtempe kaj konfirmu la restantajn enkursigojn plus realan aplikaĵinterŝanĝon en ambaŭ direktoj.

Atendu prokrastojn de detektado kaj konverĝo, kaj atendu, ke iuj ekzistantaj sesioj finiĝos.