Kas peeringuga ühendatud Azure VNet vajab oma VPN-lüüsi?

Tekib uus spoke-VNet, hubil on juba töötav site-to-site lüüs, ja ilmne küsimus on, kas peate teise lüüsi eest maksma. Tavaliselt mitte: lüüsi transiit lubab spoke’il kasutada hubi lüüsi üle peeringu. Kolm tingimust otsustavad, kas see töötab, ja ükski neist ei ole peeringu olekuribalt näha. Peeringu ühenduvus ja õigus kasutada kellegi teise lüüsi on eraldi seadistused, seega kaks VM-i, mis juba üksteist pingivad, ei tõesta VPN-tee kohta midagi.

Esimene tingimus: lüüs ja spoke’i oma lüüsi puudumine

Azure toetab lüüsi transiiti VPN Gateway SKU-de puhul, mis ei ole Basic, ja seda võivad kanda nii piirkondlik kui ka ülemaailmne peering. Spoke tarbib lüüsi, mida ta ei oma, seega ei saa tal oma lüüsi olla: kui spoke’is on lüüs juba olemas või kauglüüsi valik on juba valitud, on soovitud transiidiseade kättesaamatu või ebaefektiivne. Kontrollige seda enne, kui hakkate midagi siluma, sest väljalülitatud märkeruut on sümptom, mitte rike. Lugege kõigepealt SKU-d ja olemasolevat lüüsi, seejärel vaadake peeringu seadistusi.

Ärge kustutage olemasolevat spoke’i lüüsi, et valik ilmuks, enne kui teate, mis sellest sõltub. Migratsiooni järjekord on tähtsam kui märkeruut.

Teine tingimus: üks seade igas peeringu suunas

Peering on kaks objekti, üks kummagi VNeti peal, ja transiidiseaded elavad selle paari eri külgedel. Hubi peering spoke’i suunas peab lubama hubi lüüsil spoke’i teenindada; spoke’i peering hubi suunas peab hubi lüüsi vastu võtma. Microsofti lüüsitransiidi juhend nimetab neid suuna kaupa, ja see on ainus viis neid õigesti hoida:

remote-sildiga juhtelement muudab tähendust sõltuvalt sellest, millise VNeti peeringut redigeerite, seega lugege suunda, mitte sõna. Määrake mõlemad pooled, salvestage ja kinnitage, et peering teatab mõlemas kohas ühendusest.

Kolmas tingimus: aadressiruum ja õiguste piirid

Transiit ei saa teha nii, et sama sihtprefiks tähendab kahte võrku, seega hubi, spoke’i ja kohaliku võrgu vahemikud peavad olema eraldatud, enne kui midagi sellest töötab. VNetid võivad asuda ka eri tellimustes või eri rentnikel; see ei ole keeld, kuid identiteedil, mis iga peeringu loob või uuendab, peavad sellel võrgul olema vajalikud õigused. Tellimustevahelised muudatused ebaõnnestuvad sageli õiguste tõttu ja viga on lihtne topoloogiaprobleemiks ekslikult lugeda.

Kirjutage vahemikud ja omanikud enne muudatust üles. Mõlema puhul oletamine annab peeringu, mis ühendub ja ei marsruudi midagi.

Kontrollige efektiivsete marsruutidega, mitte peeringu olekuga

Vaadake spoke’i töökoormuse võrguliidese efektiivseid marsruute ja leidke tegelik kohaliku võrgu prefiks. Kontrollige alamvõrgu marsruutitabelit ja seda, kas lüüsi marsruudi levitamine on välja lülitatud, sest kasutaja määratud marsruut või kontrollseade võib peeringu lippude pakutud tee üle kirjutada. Seejärel kinnitage vastassuund: kohalik võrk peab teadma, kuidas jõuda spoke’i prefiksini site-to-site ühenduse kaudu, kas õpitud teadaannete või selgesõnalise marsruudi ja kliendiseadme vastava kaitstud võrgu kirje kaudu. Kui prefiks on ühel või teisel poolel puudu, ei ole peeringu lipud see, mida muuta.

Testige ühte teenust spoke’i töökoormusest ja jälgige vastust. Test VPN-lüüsist või hubi VM-ist kasutab teistsugust lähteprefiksit ja teistsugust teed.

Kui topoloogia teenindab ka point-to-site kliente, valideerige nende paigaldatud marsruudid eraldi. Windowsi kliendipaketid võivad vajada pärast topoloogiamuudatust uuesti genereerimist, ja see on kliendi marsruutimise ülesanne, mitte tõend selle kohta, et lüüsi jagamine ebaõnnestus.

Mida lüüsi jagamine ei anna

Lüüsi transiit on marsruutimise mugavus, mitte autoriseerimine. Võrgu turvagrupid, kohalikud filtrid ja teenusetasandi reeglid otsustavad endiselt, mida spoke’i töökoormus võib saavutada, seega lubage konkreetne teenus allikast sihtkohta, selle asemel et eeldada, et jagatud tunnel lubab kõike selle taga.

Peering ei ole ka ülekantav nii, nagu inimesed loodavad. Veel ühe spoke’i või privaatse lõpp-punkti lisamine toob kaasa oma marsruutimis- ja juurdepääsunõuded, mida olemasolev transiidiseade ei kata.