آیا Azure VNet همتا شده به درگاه VPN اختصاصی خود نیاز دارد؟
یک VNet همتا شده می‌تواند با یک SKU پشتیبانی‌شده و یک تنظیم در هر جهت همتاگری، از درگاه VPN هاب استفاده کند. مسیرهای مؤثر را بررسی کنید، نه وضعیت همتاگری را.
یک VNet اسپوک جدید ظاهر می‌شود، هاب از قبل یک درگاه سایت‌به‌سایت فعال دارد، و پرسش واضح این است که آیا باید هزینه درگاه دوم را بپردازید. معمولاً نه: عبور درگاه به اسپوک اجازه می‌دهد از درگاه هاب در سراسر همتاگری استفاده کند. سه شرط تعیین می‌کند که آیا این کار می‌کند، و هیچ‌کدام از آن‌ها از نشان وضعیت همتاگری دیده نمی‌شود. اتصال همتاگری و اجازه استفاده از درگاه دیگری دو تنظیم جداگانه هستند، بنابراین دو VM که از قبل می‌توانند به هم ping بزنند چیزی درباره مسیر VPN اثبات نمی‌کنند.
شرط اول: درگاه، و نداشتن آن در اسپوک
Azure عبور درگاه را برای SKUهای VPN Gateway غیر از Basic پشتیبانی می‌کند، و هم همتاگری منطقه‌ای و هم سراسری می‌توانند آن را حمل کنند. اسپوک از درگاهی استفاده می‌کند که مالک آن نیست، پس نمی‌تواند درگاه خودش را داشته باشد: اگر از قبل درگاهی در اسپوک وجود داشته باشد، یا گزینه درگاه راه دور از قبل انتخاب شده باشد، تنظیم عبوری که می‌خواهید در دسترس نخواهد بود یا بی‌اثر می‌شود. این را قبل از اشکال‌زدایی هر چیزی بررسی کنید، چون کادر انتخاب غیرفعال‌شده نشانه است، نه عیب. ابتدا SKU و درگاه موجود را بخوانید، سپس به تنظیمات همتاگری نگاه کنید.
برای اینکه گزینه ظاهر شود، یک درگاه اسپوک موجود را حذف نکنید تا زمانی که بدانید چه چیزی به آن وابسته است. ترتیب مهاجرت از کادر انتخاب مهم‌تر است.
شرط دوم: یک تنظیم در هر جهت همتاگری
همتاگری دو شیء است، یکی روی هر VNet، و تنظیمات عبور در دو طرف مختلف آن جفت قرار دارند. همتاگری هاب به سمت اسپوک باید به درگاه هاب اجازه دهد به اسپوک خدمت کند؛ همتاگری اسپوک به سمت هاب باید درگاه هاب را بپذیرد. راهنمای عبور درگاه مایکروسافت آن‌ها را بر اساس جهت نام‌گذاری می‌کند، و این تنها راه درست نگه داشتن آن‌هاست:
| Peering direction | What to enable |
|---|---|
| Hub → spoke | Allow gateway transit on the hub's peering |
| Spoke → hub | Use remote gateways on the spoke's peering |
کنترلی با برچسب remote بسته به اینکه همتاگری کدام VNet را ویرایش می‌کنید معنی‌اش تغییر می‌کند، پس جهت را بخوانید، نه واژه را. هر دو طرف را تنظیم کنید، ذخیره کنید و تأیید کنید که همتاگری در هر دو جا متصل گزارش می‌شود.
شرط سوم: فضای آدرس و مرزهای مجوز
عبور نمی‌تواند کاری کند که همان پیشوند مقصد به معنای دو شبکه باشد، بنابراین محدوده‌های هاب، اسپوک و شبکه محلی باید قبل از کار کردن هر یک از این‌ها از هم جدا باشند. VNetها همچنین ممکن است در اشتراک‌های مختلف یا مستأجرهای مختلف باشند؛ این یک ممنوعیت نیست، اما هویتی که هر همتاگری را ایجاد یا به‌روزرسانی می‌کند به مجوزهای لازم روی آن شبکه نیاز دارد. تغییرات میان اشتراک‌ها اغلب به دلیل مجوز شکست می‌خورند، و خواندن خطا به‌عنوان مشکل توپولوژی آسان است.
محدوده‌ها و مالکان را قبل از تغییر بنویسید. حدس زدن در هر یک از آن‌ها همتاگری‌ای ایجاد می‌کند که متصل می‌شود و هیچ چیزی را مسیریابی نمی‌کند.
با مسیرهای مؤثر تأیید کنید، نه با وضعیت همتاگری
به مسیرهای مؤثر روی رابط شبکه یک بار کاری اسپوک نگاه کنید و پیشوند واقعی شبکه محلی را پیدا کنید. جدول مسیر زیرشبکه و اینکه آیا انتشار مسیر درگاه غیرفعال است را بررسی کنید، چون یک مسیر تعریف‌شده توسط کاربر یا یک دستگاه بازرسی می‌تواند مسیری را که پرچم‌های همتاگری پیشنهاد می‌کنند زیر پا بگذارد. سپس جهت دیگر را تأیید کنید: شبکه محلی باید بداند چگونه از طریق اتصال سایت‌به‌سایت به پیشوند اسپوک برسد، چه با اعلام‌های یادگرفته و چه با یک مسیر صریح و ورودی شبکه محافظت‌شده متناظر روی دستگاه مشتری. اگر پیشوند در هر یک از دو طرف وجود نداشته باشد، پرچم‌های همتاگری چیزی نیستند که باید تغییر کنند.
یک سرویس را از یک بار کاری اسپوک آزمایش کنید و پاسخ را دنبال کنید. آزمایش از درگاه VPN یا از یک VM هاب، پیشوند مبدأ و مسیر متفاوتی را به کار می‌گیرد.
اگر توپولوژی به مشتریان نقطه‌به‌سایت هم خدمت می‌کند، مسیرهای نصب‌شده آن‌ها را جداگانه اعتبارسنجی کنید. بسته‌های مشتری Windows ممکن است پس از تغییر توپولوژی نیاز به تولید مجدد داشته باشند، و این یک کار مسیریابی سمت مشتری است نه شاهدی بر شکست اشتراک‌گذاری درگاه.
آنچه اشتراک‌گذاری یک درگاه اعطا نمی‌کند
عبور درگاه یک تسهیل مسیریابی است، نه یک مجوز. گروه‌های امنیت شبکه، فیلترهای محلی و قواعد سطح سرویس همچنان تعیین می‌کنند که یک بار کاری اسپوک به چه چیزی می‌تواند برسد، بنابراین سرویس مشخص مبدأ به مقصد را فعال کنید، به‌جای اینکه فرض کنید تونل مشترک همه چیز پشت خود را مجاز می‌کند.
همتاگری هم به شکلی که مردم امیدوارند گذرا نیست. افزودن یک اسپوک دیگر، یا یک نقطه پایانی خصوصی، نیازهای مسیریابی و دسترسی خودش را وارد می‌کند که تنظیم عبور موجود آن‌ها را پوشش نمی‌دهد.