Configuración de GatewaySubnet en Azure: resérvela antes de la puerta de enlace

Abra la red virtual en el portal y mire el espacio de direcciones antes de tocar la hoja de subred. Si ese /24 ya está dividido en subredes de carga de trabajo sin nada libre, no hay sitio para una reserva /27 y acabará o bien volviendo a dividir o bien ampliando la VNet, que es otro cambio con otra revisión. Fije primero el espacio y luego cree la subred.

Ese orden importa porque la subred de puerta de enlace no es una subred de carga de trabajo con un nombre especial. Es la reserva de direcciones para las instancias administradas de puerta de enlace, y Azure rechazará la puerta de enlace si la reserva es incorrecta.

Empiece por el espacio de direcciones

Escriba el prefijo de la VNet, las subredes de carga de trabajo y la reserva de puerta de enlace en una sola línea antes de teclear nada. Una VNet en 10.60.0.0/16 tiene sitio; elija un rango al final para que el crecimiento de las cargas de trabajo siga siendo contiguo.

Por ejemplo, 10.60.255.192/26 deja 64 direcciones para la puerta de enlace mientras las cargas de trabajo se quedan en 10.60.0.0/20. Eso es un ejemplo de planificación de direcciones, no una promesa de dimensionamiento. Microsoft exige actualmente /27 o mayor para las puertas de enlace VPN que no son Basic, donde mayor significa más direcciones: una /26 da 64, mientras que una /28 da 16. Redondee hacia arriba, nunca hacia abajo, mientras el plan de direcciones siga moviéndose.

Cree la subred con el nombre exacto

En el portal, agregue una subred y escriba el nombre GatewaySubnet exactamente, con G mayúscula y S mayúscula, sin espacios ni sufijo. Azure compara esa cadena, así que Gateway-Subnet o gateway produce una subred que el servicio de puerta de enlace no usará.

El mismo paso desde la CLI, que es más fácil de poner en una revisión:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Deje la subred vacía. Sin VM, sin punto de conexión privado, sin delegación de servicio. Si ya vive algo ahí, la implementación falla y el error rara vez nombra el recurso que estorba, así que revise la lista de recursos de la subred antes de empezar.

Mantenga la subred administrada libre de reglas de carga de trabajo

No adjunte un grupo de seguridad de red a esta subred; Microsoft lo marca como no compatible. No asocie una tabla de rutas cuya ruta predeterminada envíe 0.0.0.0/0 a algún sitio, porque eso puede romper el funcionamiento de la puerta de enlace, y mantenga habilitada la propagación de rutas de la puerta de enlace.

Ponga las restricciones de acceso que realmente quería en la subred de carga de trabajo o en un límite de inspección. Tratar GatewaySubnet como una subred normal es el error que produce una puerta de enlace que se implementa limpiamente y luego no pasa ningún tráfico.

El túnel forzado tiene su propio diseño documentado. Una ruta predeterminada improvisada en la subred de puerta de enlace no es eso.

Compruebe las dependencias que el portal no muestra

Antes de pulsar crear, recorra la lista: nombre exacto, prefijo dentro del espacio de la VNet, sin solapamiento con rangos locales, sin recursos de carga de trabajo dentro, sin NSG y sin tabla de rutas con una ruta predeterminada. Cada una de esas ha roto una implementación real. Después confirme el diseño más amplio: la puerta de enlace de red local para el lado local, los espacios de direcciones que espera enrutar y si se planea activo-activo o coexistencia. Esas decisiones cambian la conversación sobre el dimensionamiento, y es mucho más barato cerrarlas ahora.

La referencia de configuración de la puerta de enlace de Azure es la página que hay que citar cuando alguien pregunta por qué la subred no puede alojar una VM.

Si la puerta de enlace ya existe

Redimensionar o reemplazar una subred de puerta de enlace no es una edición de máscara. Compruebe primero el procedimiento de cambio compatible para la SKU y la generación de la puerta de enlace, y enumere los objetos dependientes: conexiones, direcciones IP públicas, enrutamiento y cualquier requisito de recuperación.

Si el procedimiento requiere recrear la puerta de enlace, planifíquelo como una migración de servicio con una ventana y una reversión. Anote la reserva que eligió, el motivo del tamaño y las reglas que deliberadamente no adjuntó, para que el siguiente revisor no arregle la subred vacía añadiendo un NSG.