دو نشانی VPN محلی: دو همتا در Azure، نه یکی

نمودار دو پیوند اینترنت در شعبه و یک دروازه VPN در Azure دارد، بنابراین دروازه شبکه محلی هر دو نشانی عمومی را می‌گیرد. مرتب به نظر می‌رسد و آن‌گونه که نمودار القا می‌کند کار نمی‌کند. هر دستگاه VPN محلی یک رابطه همتای جداگانه است و طراحی چنددستگاهی مایکروسافت به هرکدام منبع دروازه شبکه محلی و اتصال خودش را می‌دهد. افزودن نشانی دوم به یک منبع، همتای دوم ایجاد نمی‌کند. منبعی ایجاد می‌کند که هیچ‌یک از دو دستگاه را درست توصیف نمی‌کند.

افسانه: یک دروازه، دو نشانی

دروازه شبکه محلی توصیف یک همتای راه دور است: یک نقطه پایانی عمومی و پیشوندهای خصوصی پشت آن. هیچ راه پشتیبانی‌شده‌ای برای اینکه این منبع معنای «هر یک از این دو دستگاه» بدهد وجود ندارد.

همین سردرگمی در جهت دیگر هم هست، جایی که دو IP عمومی Azure به‌عنوان شاهد وجود دو دروازه Azure خوانده می‌شود.

ابتدا اشیاء را بشمارید، سپس تونل‌ها را

دو دستگاه محلی مستقل با نشانی عمومی جداگانه و دسترسی به همان شبکه‌های خصوصی، به‌علاوه یک دروازه Azure مبتنی بر مسیریابی در حالت فعال-فعال در نظر بگیرید. دروازه Azure دو نمونه فعال با IPهای عمومی جداگانه دارد. هر دستگاه محلی به هر دو نمونه متصل می‌شود. این همان مش کامل است و شمار اشیاء از آن برمی‌آید، نه از نمودار.

حساب آنقدر کوتاه است که بتوان آن را در سند طراحی جای داد:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

یک منبع اتصال می‌تواند بیش از یک تونل زیربنایی حمل کند، پس چهار تونل به معنای چهار دروازه شبکه مجازی نیست. دو IP عمومی Azure هم همان اشیاء دو دروازه شبکه محلی که سایت راه دور را توصیف می‌کنند نیستند.

حالت فعال-فعال در سمت Azure چه چیزی اضافه می‌کند

حالت فعال-فعال دروازه Azure را از یک نمونه فعال به دو نمونه تغییر می‌دهد، هرکدام با IP عمومی خودش، و همین است که مش کامل را اصلاً ممکن می‌کند. ظرفیت یک جریان واحد را دو برابر نمی‌کند. همچنین نیاز سمت محلی به پشتیبانی از چندمسیری با هزینه برابر را، اگر هر دو دستگاه هم‌زمان ارسال کنند، برنمی‌دارد. پیش از تأمین هر چیزی، حالت دروازه، SKU و توانایی دستگاه راه دور را تأیید کنید.

دروازه در حالت آماده‌به‌کار غیرفعال طراحی کاملاً معتبری است؛ فقط شمار تونل متفاوتی تولید می‌کند.

BGP هر دو مسیر را قابل استفاده می‌کند

برای طراحی چنددستگاهی، هر دو دستگاه محلی BGP اجرا می‌کنند. به هرکدام یک نشانی همتای BGP یکتا بدهید و همان پیشوندهای خصوصی موردنظر را روی مسیرهای مربوطه اعلام کنید. پیشوندهای خصوصی شبکه‌های محافظت‌شده را مشخص می‌کنند، در حالی که نشانی‌های عمومی مشخص می‌کنند اتصال‌های حامل رمزگذاری‌شده کجا پایان می‌یابند. اشتباه گرفتن این دو طراحی‌ای می‌دهد که در آن همه تونل‌ها بالا هستند و مسیرها غلط‌اند.

مسیریابی برگشت و هر بازرسی حالت‌مندی را که باید هر یک از دو مسیر را تحمل کند برنامه‌ریزی کنید. یک نشست IKE سالم روی هر نقطه پایانی ثابت نمی‌کند که یک بار کاری می‌تواند از هر مسیر اعلام‌شده استفاده کند.

انتخاب مبتنی بر جریان، تجمیع پهنای باند نیست

Azure با استفاده از درهم‌سازی روی نشانی‌ها و پورت‌های جریان، برای هر جریان یک مسیر انتخاب می‌کند. در حالت پایدار، بسته‌های یک جریان TCP یا UDP معین معمولاً از همان تونل می‌روند و سمت محلی ممکن است برای جهت برگشت تونل دیگری انتخاب کند. بنابراین دو دستگاه و چهار تونل دسترس‌پذیری را بهبود می‌دهند، نه سرعت یک انتقال را. وقتی اسلاید فروشنده تجمیع را وعده می‌دهد، ویژگی دیگری یا یک سوءتفاهم را توصیف می‌کند.

اگر می‌خواهید پخش‌شدن مسیرها را ببینید با جریان‌های موازی و اگر می‌خواهید حد را ببینید با یک جریان آزمایش کنید.

چه افزونگی‌ای را واقعاً حذف کردید

دو نشانی WAN روی یک دستگاه گزینه‌های پیوند دسترسی را بهبود می‌دهد، اما برق، نرم‌افزار و وضعیت خرابی همان دستگاه را به اشتراک می‌گذارد. آن‌ها با دو دستگاه یکسان نیستند و هیچ مقدار پیکربندی سمت Azure این را تغییر نمی‌دهد. به‌جای استنتاج افزونگی از شمار نشانی‌ها، طراحی دو-WAN یا خوشه‌ای پشتیبانی‌شده فروشنده را دنبال کنید. سپس آزمایش کنید: هر بار یک مسیر را بردارید و مسیرهای باقی‌مانده به‌همراه تبادل واقعی برنامه در هر دو جهت را تأیید کنید.

انتظار تأخیرهای تشخیص و همگرایی را داشته باشید و انتظار داشته باشید برخی نشست‌های موجود پایان یابند.