Azure'i peering või VNet–VNet VPN? Otsustage enne marsruutimist

Azure pakub vähemalt kahte võimalust kahe virtuaalvõrgu ühendamiseks ja need ei ole sama objekti vahetatavad seaded. Peering ühendab VNet-id Microsofti magistraalil ilma lüüsita; VNet–VNet VPN seab IPsec-suhte kahe lüüsi vahele, mille te ise juurutate, mõõtmete järgi valite ja jälgite. Otsus taandub kolmele tingimusele ja kui te ei suuda enne marsruudi lisamist vastata kõigile kolmele, olete ehitamas möödaviigu mudelile, mida te kunagi ei valinud.

Kolm tingimust, mis määravad mudeli

Esimene on, kas nõudes on midagi, mis vajab IPsec-piiri, mis kuulub teile ja millele saate osutada. Teine on, kas aadressiruumid on puhtad ja kas kaks VNet-i peavad rääkima ainult omavahel. Kolmas on, kellele kuulub mis tahes transiitne tee ja lüüsi arve. Vastake selles järjekorras, sest esimene võib peeringu välistada, ükskõik kui ahvatlev teine ka paistab.

Mõlema mudeli ühine joon on range adresseerimisreegel: VNet-ide aadressiruumid ei tohi kattuda. Ei peering ega VNet–VNet VPN ole toetatud viis kahe identse vahemiku ühemõtteliseks tegemiseks ning kattumine nõuab kaardistuslahendust või ümberprojekteerimist, mitte teist tüüpi ühendust.

Tingimus 1: kas vajate IPsec-piiri, mis kuulub teile?

Peering edastab liiklust Azure'i privaatsel magistraalil ega vaja peeritud ühenduse enda jaoks VPN-lüüsi. See on väide transpordi kohta, mitte väide krüpteerimise kohta, mille saate auditile esitada kujul «me kasutame IPsec». Kui nõue nimetab kliendi konfigureeritud tunnelit, konkreetset IKE-poliitikat või piiri, mis lõpeb teie kontrolli all olevas seadmes, ei täida peering seda, ükskõik kui privaatne magistraal ka on.

VNet–VNet VPN pakub seda piiri: kaks lüüsi, IPsec/IKE suhe, jagatud võtmed ja kogu sellega kaasnev operatiivne pind. Te pärite tunnelioleku, lüüsi võimsuse, SKU-piirangud ja jälgimise, mis tõestab, et tunnel töötab. See on õige vastus, kui nõue puudutab just seda piiri, mida kirjeldatakse peeringu ülevaates peeringust erineva ühendusetüübina.

Olge sama hoolikas ka vastassuunas. «Me vajame VNet-ide vahel krüpteerimist» on sageli täidetud töökoormuse enda TLS-iga ja siis on lüüs kulu, mille taga pole nõuet. Kirjutage lause, mida audit loeb, enne kui mehhanismi valite.

Tingimus 2: kas topoloogia on otsene või peab midagi läbi liikuma?

Peering ei ole transitiivne. Kaks jaoturi külge peeritud VNet-i ei ole sellega omavahel ühendatud ja marsruut, mis näib ühes suunas töötavat, on tavaliselt peering, mis jõudis Connected olekusse ainult ühel pool. Mõlemad pooled peavad olemas olema ja mõlemad näitama Connected, ja see on esimene asi, mida kontrollite, kui liiklus vaikselt kaob.

Kui nõue on kohapealse võrgu kättesaadavus jaoturi kaudu, on lüüsitransiit eraldi lahendus konkreetsete rollidega: jaotur omab lüüsi, spoke'i peering lubab lüüsitransiiti ja spoke peab lubama edastatud liiklust. Need on peeringu omadused, mitte VNet-ide ühendamise automaatsed tagajärjed:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Tõhus marsruutitabel on aus vastus küsimusele «kas tee on olemas?». See näitab järgmise hüppe tüüpi, mida platvorm tegelikult kasutab, seega peering, mis näib seadistatud, kuid ei ole ühendatud, ilmub puuduva või vale marsruudina, mitte mõistatusena.

Tingimus 3: kellele kuulub transiitne tee ja arve?

Igal lisahüppel on omanik. Peeringu puhul tähendab uus VNet uut peeringu paari mõlemal pool ja transiidi jaoks jaoturit, mis jätkab liikluse edastamist, ning marsruutitabelit, mis jätkab sellele osutamist. VPN-i puhul tähendab uus VNet teist lüüsi või teist ühendust olemasoleval, oma võimsuslaega, mida jälgida.

Kulu järgib sama kuju, kuid mitte samu kirjeid: peeringu tasud on ühendus ja andmeedastus, samas kui VPN lisab lüüsi tunnid ja oma edastustasud. Võrrelge kogusummat topoloogia jaoks, mida te tegelikult aasta jooksul käitate, kaasa arvatud teine tunnel ja jälgimine, mitte ühe ühenduse tänast hinda. Lisage töö, mida keegi ei arvelda: keegi peab võtmeid pöörama, tunneli olekut jälgima ja alarmile vastama kolme ajal öösel, kui lüüs taaskäivitub. Just see kirje otsustab tavaliselt vaidluse, sest see on ainus, mis ei ilmu kunagi pakkumises.

Mida iganes te valite, testige kolme voogu: kavandatud, keelatud, mis peab keelatuks jääma, ja taastumisjuhtum, kus jaoturi lüüs või peering on maas. Mudel, mis selgitab ainult õnnelikku teed, ei ole kontrollitud, vaid demonstreeritud.

Kontrollige valikut selle enda väite vastu

Kirjutage üks lause, mis nimetab mudeli, piiri ja omaniku, seejärel kontrollige, et juurutatud olek sellega vastab. Peeringu puhul tähendab see, et mõlemad peeringu olekud on Connected, tõhus marsruut näitab sihtprefiksi jaoks peeringu järgmist hüpet ja teel ei ole lüüsi. VNet–VNet VPN-i puhul tähendab see, et mõlemad ühendused on Connected, võtmed ja poliitikad kattuvad mõlemas lüüsis ning marsruudi järgmine hüpe on virtuaalvõrgu lüüs.

Kui kontrollid lausega vastuolus on, parandage esmalt lause. Suurem osa segadusest nendes lahendustes tuleb hübriidist, mida keegi ei kirjeldanud: peering töökoormuse alamvõrgu jaoks, VPN ühe vana teenuse jaoks ja marsruutitabel, mis eelistab vaikselt ühte neist.