ExpressRoute gehi VPN: zein hutsegite-domeinu estaltzen dituzu?
Bigarren IPsec tunel batek mutur bat estaltzen du, ez haren azpian dagoen zirkuitua. Mapatu hutsegite-domeinu bakoitza, eta gero erabaki zifratu gabeko ordezko bidea onargarria den.
ExpressRoute-ren parekatze pribatuaren gainetik doan IPsec tunel batek zifratzea gehitzen dio lehendik badagoen garraioari. Bigarren tunel batek muturraren erabilgarritasuna hobetzen du, eta ez du ezer egiten bien azpian dagoen operadorearen bidearentzat. Bereizketa hori erraz galtzen da panelak bi tunel berde erakusten dituenean eta diseinu-berrikuspenak beste galdera bat egiten duenean: zein hutsegite jasan behar ditu konexio honek? Erantzun horri lehenengo, eta gero zenbatu tunelak, izan ere, adierazle berdeen kopurua zifratze-geruzaren propietatea da eta hutsegite-domeinuen kopurua bide osoaren propietatea.
Hasi hutsegiteekin, ez tunel berdeekin
Idatzi lau errenkada ezer marraztu aurretik: VPN mutur edo peer instantzia bat huts egitea, router lokal edo lehen miliako konexio bat huts egitea, partekatutako ExpressRoute bidea huts egitea, eta IPsec erabilezin bihurtzea parekatze pribatuak oraindik trafikoa daraman bitartean. Errenkada bakoitzak diseinuak zer gorde behar duen izendatzen du, eta bakoitzari mekanismo desberdin batek erantzuten dio.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoftek IP pribatudun gunez guneko VPN-a dokumentatzen du ExpressRoute-ren parekatze pribatuaren gainetik, eta interneten oinarritutako gunez guneko konexioekin onartutako bizikidetza. Bizikidetza hori beheko geruzaren diseinu desberdina da, eta ez da agertzen beste tunel-mutur pribatu bat gehitu duzulako soilik.
Hutsegite-domeinua 1: VPN muturra
Ate bakar batean bi tunel normalean active-active bikoteak dira, Azure aldeko baliabide berberan amaitzen direnak. Tunel edo instantzia bakarreko arazoaren aurka babesten dute, eta ez dute babesten baliabide hori erabilezin bihurtzearen, birkonfiguratzearen edo ahalmenik gabe geratzearen aurka. Muturreko erredundantziak bigarren mutur onartu bat esan nahi du, bere bidea eta bere konfigurazioa dituena, gehi hara irits daitekeen bide bat.
Egiaztatu zer hedatu duzun benetan, eta ez zer dioen diagramak, atariak baliabide horiek haien harremana ezkutatzen duten moduan multzokatzen baititu:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Bi tunelak IP publiko bakarra duen ate bakarrera bideratzen badira, mota zehatz eta mugatuko muturreko erredundantzia duzu. Baliteke baldintzak eskatzen duen zehazki hori izatea, eta horrela adierazi beharko litzateke, konexio erredundante gisa deskribatu beharrean.
Hutsegite-domeinua 2: bide lokala eta operadorea
Zifratzearen azpian errealitate fisiko eta komertziala dago: bezeroaren ertzeko gailu bat, gurutzadura bat, hornitzailearen sare bat eta parekatze-kokapen bat. ExpressRoute-ren erabilgarritasun jarraibideak argi daude muturretik muturrerako erredundantziak bezeroaren eta zerbitzu-hornitzailearen segmentuak barne hartzen dituela, ez Microsoft aldea bakarrik. Router bat, elikadura-iturri bat edo lehen miliako konexio bat partekatzen duten bi bide logikok menpekotasun hori partekatzen jarraitzen dute.
Hemen huts egiten du diseinu batek berrikuspen zintzo batean. Hornitzaile beraren bi zirkuitu, eraikin berean amaitzen direnak, erosketa-agindu beraren ekipamenduan, ez dira bi hutsegite-domeinu. Hutsegite-domeinu bat dira bi fakturarekin.
Galdetu operadoreari idatziz: bide horietatik zein aldatzen dira, non, eta zein da dokumentatutako portaera zati partekatuak huts egiten duenean? Diseinu-dei batean emandako ahozko bermeak ez du zuk diseinatzen ari zaren etenaldia gainditzen.
Hutsegite-domeinua 3: IPsec gabe bizirik irauten duen bidea
Parekatze pribatuak eta IPsec-ek aplikazio-prefix berbererako bide lehiakorrak eman ditzakete. Bide babestua desagertzen bada, bizirik dirauen ExpressRoute bide zuzena oraindik erabilgarria izan daiteke, tunelak ematen zuen zifratze-geruzarik gabe. Hori onargarria den erabaki politikoa da, eta sarrien inplizitu uzten den erabakia da.
Zifratze-baldintzak eta erabilgarritasun-baldintzak benetan talka egin dezakete hemen. «Bizirik dirauen edozein bide arrakastatzat hartzen da» erabilgarritasun-adierazpen bat da, eta isilean «ez» erantzuten dio zifratze-galderari. Idatz ezazu zein nagusitzen den, zein prefixurentzat eta nork onartu zuen.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableKonparatu ikasitako bideak espero zenituen prefixedekin. Karga administratibo txikia daraman ordezko bide bat erabat egokia izan daiteke karga horretarako, eta produkzio-eskariak behar duen ahalmenetik oso urrun egon daiteke, beraz, idatz ezazu ahalmenaren hipotesia bidearen ondoan.
Idatz itzazu hiru errenkada bereizi, ez epai bakarra
Eduki itzazu muturreko erredundantzia, garraioaren erredundantzia eta hondamendien ondorengo berreskurapena diseinu-erregistroan sarrera bereizi gisa, bakoitza bere mekanismoarekin, bere egiaztapenarekin eta bere jabearekin. Istripu-berrikuspen batek galdetzen duenean zergatik gainditu zuen konexioak ate baten berrabiaraztea baina ez zuntz-mozketa bat, hiru errenkadek esaldi bakarrean erantzuten dute; «erredundante» lauki bakar batek ezin du.
Ondoren probatu merke proba ditzakezun errenkadak. Hutsarazi tunel bat eta egiaztatu trafikoak mugitzen dela eta berriz zifratzen dela. Kendu bide bat eta egiaztatu bizirik dirauen bidea zuk nahi zenuena dela, eta gero egiaztatu oraindik zifratuta dagoen. Dokumentatu simulatu ezin izan zenituen hutsegiteak, probatu gabeko errenkada bat hipotesia baita eta hala etiketatu behar baita.
Irteera erabilgarria taula labur bat gehi errenkada bakoitzeko esaldi bat da. Errenkada batek mekanismorik ez badu, hori da aurkikuntza, eta askoz merkeagoa da diseinu-berrikuspen batean aurkitzea, bi tunelak inoiz gaindituko ez zituen operadorearen etenaldi batean baino.