Azure peering ala VNet-etik VNet-era VPN? Erabaki bideratu aurretik

Azurek gutxienez bi modu ematen dizkizu bi sare birtual konektatzeko, eta ez dira objektu beraren ezarpen trukagarriak. Peering-ak VNet-ak Microsoft-en bizkarrezurrean elkartzen ditu atebiderik gabe; VNet-etik VNet-era VPN batek zuk zabaltzen, dimentsionatzen eta gainbegiratzen dituzun bi atebideren arteko IPsec harremana jartzen du. Erabakia hiru baldintzatan laburbiltzen da, eta bidea gehitu aurretik hirurei erantzun ezin badiezu, inoiz aukeratu ez duzun modelo baterako ingurubidea eraikitzear zaude.

Modeloa erabakitzen duten hiru baldintza

Lehenengoa da eskakizunean dena den zurea den eta seina dezakezun IPsec muga bat behar duen. Bigarrena da helbide-espazioak garbiak diren eta bi VNet-ek elkarrekin hitz egin behar duten soilik. Hirugarrena da trantsizio-bide baten eta atebidearen fakturaren jabe nor den. Erantzun ordena horretan, lehenengoak peering-a ezaba baitezake, bigarrenak zenbat erakargarri dirudien ere.

Bi modeloek partekatzen duten araua gogorra da: VNet-en helbide-espazioek ezin dute gainjarri. Ez peering-ak ez VNet-etik VNet-era VPN batek ez du bi barruti berdin zalantzarik gabe egiteko modu onarturik, eta gainjartzeak mapatze-diseinu bat edo berriz diseinatzea eskatzen du, ez beste konexio mota bat.

1. baldintza: zurea den IPsec muga bat behar duzu?

Peering-ak trafikoa Azure-ren bizkarrezur pribatuaren bidez garraiatzen du eta ez du VPN atebiderik behar peer egindako konexioarentzat berarentzat. Garraioari buruzko baieztapena da, ez auditori bati «IPsec erabiltzen dugu» gisa eman diezaiokezun zifratze-baieztapena. Eskakizunak bezeroak konfiguratutako tunel bat, IKE politika zehatz bat edo zure kontrolpeko ekipoetan amaitzen den muga bat aipatzen badu, peering-ak ez du betetzen, bizkarrezurra zenbat pribatu den ere.

VNet-etik VNet-era VPN batek muga hori ematen du: bi atebide, IPsec/IKE harremana, partekatutako gakoak eta horrekin datorren gainazal operatibo osoa. Tunelaren egoera, atebidearen ahalmena, SKU mugak eta tunela martxan dagoela frogatzen duen gainbegiratzea heredatzen dituzu. Hori da erantzun zuzena eskakizuna muga horri buruzkoa denean, peering-aren ikuspegi orokorrean peering-etik bereizitako konexio mota gisa deskribatzen dena.

Izan zaitez bezain arretatsu beste norabidean. «VNet-en artean zifratzea behar dugu» askotan lan-kargaren beraren TLS-arekin betetzen da, eta orduan atebidea kostua da atzean eskakizunik gabe. Idatzi auditoriak irakurriko duen esaldia mekanismoa aukeratu aurretik.

2. baldintza: topologia zuzena da, ala zerbaitek trantsitatu behar du?

Peering ez da trantsitiboa. Hub batera peer egindako bi VNet ez daude horregatik elkarrekin konektatuta, eta norabide batean funtzionatzen duela dirudien bideak normalean Connected egoera alde bakarrean soilik lortu duen peering bat adierazten du. Bi aldeek egon behar dute eta biek Connected erakutsi behar dute; hori da trafikoa isilka desagertzen denean lehenengo egiaztatzen dena.

Eskakizuna hub baten bidez sare lokalera iristea bada, atebide-trantsitua rol zehatzak dituen diseinu bereizia da: hub-ak atebidea du, spoke-aren peering-ak atebide-trantsitua onartzen du, eta spoke-ak birbidalitako trafikoa onartu behar du. Peering-aren propietateak dira, ez VNet-ak konektatzearen ondorio automatikoak:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Bide-taulak eraginkorra den erantzun zintzoa ematen dio «bidea existitzen da?» galderari. Plataformak benetan erabiliko duen hurrengo jauzi mota erakusten du, beraz konfiguratuta dirudien baina konektatuta ez dagoen peering bat falta den edo okerreko bide gisa agertzen da, ez misterio gisa.

3. baldintza: nor da trantsizio-bidearen eta fakturaren jabe?

Jauzi gehigarri bakoitzak jabe bat du. Peering-arekin, VNet berri batek peering pare berria esan nahi du bi aldeetan eta, trantsiturarko, trafikoa birbidaltzen jarraitzen duen hub bat eta hari seinalatzen jarraitzen duen bide-taula bat. VPN batekin, VNet berri batek beste atebide bat edo lehendik dagoen batean beste konexio bat esan nahi du, gainbegiratu beharreko ahalmen-sabaia duela.

Kostuak forma bera jarraitzen du baina ez partida berdinak: peering-aren karguak konexioa eta datu-transferentzia dira, VPN-ak berriz atebide-orduak eta bere transferentzia-karguak gehitzen ditu. Konparatu benetan urtebetez erabiliko duzun topologiaren guztizkoa, bigarren tunela eta gainbegiratzea barne, ez gaur eguneko konexio baten prezioa. Gehitu inork fakturatzen ez duen lana: norbaitek gakoak biratu, tunelaren egoera begiratu eta atebidea berrabiarazten denean goizeko hiruretan alarmari erantzun behar dio. Partida horrek erabakitzen du eztabaida normalean, inoiz aurrekontu batean agertzen ez den bakarra delako.

Edozein aukeratuta ere, probatu hiru fluxu: aurreikusitakoa, ukatu behar den ukatu bat eta hub-eko atebidea edo peering bat martxan ez dagoen berreskuratze-kasua. Bide zoriontsua soilik azaltzen duen modeloa ez da egiaztatu, erakutsi egin da.

Egiaztatu aukera bere baieztapenaren aurka

Idatzi modeloa, muga eta jabea izendatzen dituen esaldi bat, eta gero egiaztatu zabaldutako egoerak bat egiten duela. Peering-erako horrek esan nahi du bi peering egoerak Connected direla, bide eraginkorrak helmugako prefijorako peering-aren hurrengo jauzia erakusten duela eta bidean ez dagoela atebiderik. VNet-etik VNet-era VPN baterako bi konexioak Connected direla, gakoak eta politikak bi atebideetan bat datozela eta hurrengo jauzia sare birtualeko atebidea duen bide bat dagoela.

Egiaztatzeek esaldiarekin bat egiten ez badute, zuzendu lehenengo esaldia. Diseinu hauetan dagoen nahasmen gehiena inork deskribatu ez duen hibrido batetik dator: lan-kargaren azpisarearentzako peering bat, zerbitzu zahar baterako VPN bat eta isilka haietako bat lehenesten duen bide-taula bat.