Azure’i GatewaySubneti seadistamine: broneeri see enne lüüsi

Ava portaalist virtuaalvõrk ja vaata aadressiruumi enne, kui subneti paneeli puutud. Kui see /24 on juba töökoormuste subnetiteks jaotatud ja midagi pole vaba, pole /27 broneeringuks ruumi ning lõpuks kas jaotad uuesti või laiendad VNeti, mis on teine muudatus teise ülevaatusega. Kõigepealt otsusta ruum, alles siis loo subnet.

See järjekord on oluline, sest lüüsi subnet ei ole erinimega töökoormuse subnet. See on hallatavate lüüsijuhtumite aadressibroneering, ja Azure keeldub lüüsist, kui broneering on vale.

Alusta aadressiruumist

Kirjuta VNeti prefiks, töökoormuste subnetid ja lüüsi broneering ühele reale enne, kui midagi sisestad. VNetil 10.60.0.0/16 on ruumi; vali vahemik lõpus, et töökoormuste kasv jääks katkematuks.

Näiteks 10.60.255.192/26 jätab lüüsile 64 aadressi, samal ajal kui töökoormused jäävad 10.60.0.0/20 sisse. See on aadresside planeerimise näide, mitte suuruse lubadus. Microsoft nõuab praegu mitte-Basic VPN-lüüsidele /27 või suuremat, kus suurem tähendab rohkem aadresse: /26 annab 64, samas kui /28 annab 16. Ümarda üles, mitte kunagi alla, kuni aadressiplaan veel liigub.

Loo subnet täpse nimega

Portaalis lisa subnet ja sisesta nimi GatewaySubnet täpselt, suur G ja suur S, ilma tühikuteta või sufiksita. Azure võrdleb seda stringi, seega Gateway-Subnet või gateway loob subneti, mida lüüsiteenus ei kasuta.

Sama samm CLI-st, mida on lihtsam ülevaatusse panna:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Jäta subnet tühjaks. Ei VM-i, ei privaatset endpoint’i, ei teenuse delegeerimist. Kui seal juba midagi elab, nurjub juurutus ja viga harva nimetab takistavat ressurssi, seega kontrolli enne alustamist subneti ressursiloendit.

Hoia hallatav subnet töökoormuste reeglitest vaba

Ära kinnita selle subneti külge võrgu turvagruppi; Microsoft märgib selle toetamata. Ära seo marsruutimistabelit, mille vaikemarsruut saadab 0.0.0.0/0 kuhugi, sest see võib lüüsi töö katki teha, ja hoia lüüsi marsruutide levitamine sisse lülitatud.

Pane juurdepääsupiirangud, mida tegelikult soovisid, töökoormuse subneti või kontrollpiiri juurde. GatewaySubneti kohtlemine tavalise subnetina on viga, mis annab lüüsi, mis juurutub puhtalt ja siis ei lase ühtki liiklust läbi.

Sunnitud tunnelil on oma dokumenteeritud disain. Improviseeritud vaikemarsruut lüüsi subnetil ei ole see.

Kontrolli sõltuvusi, mida portaal ei näita

Enne loomise vajutamist käi nimekiri läbi: täpne nimi, VNeti ruumi sees olev prefiks, kattuvus kohalike vahemikega puudub, sees pole töökoormuse ressursse, NSG puudub ja vaikemarsruudiga marsruutimistabel puudub. Igaüks neist on päris juurutuse katki teinud. Seejärel kinnita laiem disain: kohaliku poole jaoks kohalik võrgulüüs, aadressiruumid, mida kavatsed marsruutida, ja kas on plaanis aktiivne-aktiivne või kooseksisteerimine. Need valikud muudavad suuruse juttu ja need on palju odavam praegu selgeks teha.

Azure’i lüüsi seadete viide on lehekülg, millele viidata, kui keegi küsib, miks subnet ei mahuta VM-i.

Kui lüüs on juba olemas

Lüüsi subneti suuruse muutmine või asendamine ei ole maski muutmine. Kontrolli esmalt toetatud muutmisprotseduuri lüüsi SKU ja põlvkonna jaoks ning loetle sõltuvad objektid: ühendused, avalikud IP-d, marsruutimine ja kõik taastamise nõuded.

Kui protseduur nõuab lüüsi uuesti loomist, planeeri seda teenuse migratsioonina akna ja tagasipöördumisega. Kirjuta üles valitud broneering, suuruse põhjus ja reeglid, mida teadlikult ei kinnitanud, et järgmine ülevaataja ei parandaks tühja subneti NSG lisamisega.