چرا اتصال نقطه به سایت به دروازه Azure VPN مبتنی بر مسیریابی نیاز دارد
دروازه مبتنی بر خط‌مشی هیچ رابط تونلی برای مسیرهای کلاینت ندارد. چه چیزی باید بازسازی شود، به چه ترتیبی، و کدام محدودیت‌ها پس از جایگزینی باقی می‌مانند.
دروازه مبتنی بر خط‌مشی یک تونل IPsec می‌سازد که توسط انتخاب‌کننده‌های ترافیک انتخاب می‌شود و هیچ رابطی برای تحویل مسیرهای کلاینت ندارد. اتصال نقطه به سایت یک قابلیت مسیریابی است: دروازه یک استخر آدرس کلاینت دارد و مسیرهایی به آن کلاینت‌ها را در شبکه مجازی نصب میکند. همین ناسازگاری دلیل آن است که پورتال هیچ گزینه‌ای برای افزودن آن نشان نمی‌دهد. هیچ چیز در دروازه موجود را نمی‌توان تغییر داد تا آن رابط ساخته شود، بنابراین این تغییر یک جایگزینی است و نه ویرایش پیکربندی.
ترتیب از گام‌های جداگانه مهم‌تر است. اگر توالی را اشتباه کنید، قطعی اتصال سایت به سایت از پنجره نگهداری فراتر می‌رود.
دروازه مبتنی بر خط‌مشی در واقع چه میکند
دروازه مبتنی بر خط‌مشی بسته‌ها را با انتخاب‌کننده‌های ترافیک پیکربندی‌شده روی اتصال تطبیق می‌دهد و تطبیق‌ها را به یک تونل می‌فرستد. هیچ رابط تونلی با آدرس وجود ندارد و هیچ‌جا در شبکه مجازی مسیری برای هر کلاینت ظاهر نمی‌شود. جدول مسیریابی به‌سادگی پیشوندهای شبکه محلی را که به دروازه اشاره می‌کنند دریافت میکند. این مدل برای اتصال سایت به سایت بین دو فضای آدرس ثابت کافی است.
دروازه مبتنی بر مسیریابی برعکس کار میکند: یک رابط تونل ارائه می‌دهد و مسیرها تصمیم می‌گیرند چه چیزی وارد آن شود. اتصال نقطه به سایت و هر طراحی که مجموعه همتایانش تغییر میکند به وجود آن رابط وابسته است.
چرا استخر کلاینت به آن رابط نیاز دارد
وقتی یک لپ‌تاپ متصل می‌شود، دروازه آدرسی از استخر نقطه به سایت به آن می‌دهد. سپس شبکه مجازی به مسیری نیاز دارد که بگوید این آدرس از طریق دروازه در دسترس است. بدون رابط تونل چیزی برای اتصال آن مسیر وجود ندارد.
استخر از محدوده‌ای می‌آید که شما تعیین می‌کنید و دروازه از آن تخصیص می‌دهد. اگر آن محدوده با شبکه محلی یا یک شبکه مجازی همتا همپوشانی داشته باشد، تعارض فقط پس از اتصال یک کلاینت آشکار می‌شود که لحظه بدی برای کشف آن است. استخر را پیش از شروع مهاجرت رزرو کنید.
نوع نیز تنظیمی برای هر اتصال نیست. یک دروازه یک نوع دارد و هر اتصالی که نگه می‌دارد بر همان اساس رفتار میکند، بنابراین طراحی مختلط به دروازه دوم نیاز دارد نه اتصال دوم.
نوع در زمان ایجاد ثابت است
Microsoft اعلام میکند که دروازه شبکه مجازی پس از استقرار نمی‌تواند بین مبتنی بر خط‌مشی و مبتنی بر مسیریابی تغییر کند. هیچ فرمان تبدیل و هیچ کلید تغییری در پورتال وجود ندارد. ساخت دروازه دوم در همان زیرشبکه نیز راه‌حل جایگزین نیست، زیرا Azure یک دروازه به ازای هر شبکه مجازی مجاز می‌داند. بنابراین مهاجرت یعنی حذف، بازسازی و اتصال دوباره.
این تصمیم SKU را نیز به همان ساخت می‌کشاند. رفتن به SKU بزرگ‌تر در آینده جایگزینی دیگری برای دروازه با قطعی دیگری است.
یک دروازه، یک GatewaySubnet
دروازه در زیرشبکه‌ای به نام GatewaySubnet زندگی میکند و فقط یک دروازه آن را اشغال میکند. تعیین اندازه آن زیرشبکه بخشی از آماده‌سازی است، زیرا SKU بزرگ‌تر به آدرس‌های بیشتری نیاز دارد و زیرشبکه بعداً کوچک‌تر نمی‌شود. پیش از دست زدن به هر چیز، تنظیمات فعلی سایت به سایت، کلید مشترک، دروازه شبکه محلی و مسیرهای مؤثر را ثبت کنید. سپس پنجره را به‌عنوان یک قطعی در نظر بگیرید، زیرا تونل سایت به سایت پایین می‌ماند تا اتصال جدید پیکربندی شود.
ترتیب بازسازی که قطعی را محدود نگه می‌دارد: دروازه مبتنی بر مسیریابی را بسازید، اتصال سایت به سایت را به همان دروازه شبکه محلی بازسازی کنید، تونل و یک درخواست میزبان به میزبان را تأیید کنید و تنها پس از آن نقطه به سایت را اضافه کنید و بسته کلاینت تازه تولید کنید.
چیزی که جایگزینی آن را درست نمی‌کند
محدودیت دوم به همتا مربوط است نه به Azure. یک دستگاه محلی مبتنی بر خط‌مشی فقط به شبکه مجازی‌ای که به آن متصل است دسترسی دارد و نمی‌تواند از طریق همان دروازه به شبکه‌های محلی دیگر یا شبکه‌های مجازی دیگر عبور کند. جایگزینی سمت Azure تغییری در آنچه همتا می‌تواند انتخاب کند ایجاد نمی‌کند.
اگر نیاز واقعاً عبور بین سایت‌ها باشد، پاسخ یک دستگاه همتای مبتنی بر مسیریابی یا توپولوژی‌ای است که در آن هر مقصد جداگانه پایان می‌یابد. پیش از وعده دادن تاریخ این را روشن کنید، زیرا جایگزینی دروازه به‌تنهایی آن را فراهم نمی‌کند.
ترتیب عملیات و بررسی‌ها
هر قابلیت را جداگانه بررسی کنید. ابتدا وضعیت تونل سایت به سایت و یک درخواست میزبان به میزبان، سپس اتصال نقطه به سایت و یک منبع خصوصی، سپس هر مسیر عبوری که طراحی ادعا میکند. وضعیت سبز دروازه فقط ثابت میکند که انجمن امنیتی بالا آمده است و نه بیشتر. بررسی‌ها را به همین ترتیب نگه دارید تا خطا به مرحله‌ای اشاره کند که آن را وارد کرده است.
بسته‌های کلاینت را پس از هر تغییر توپولوژی دوباره تولید کنید و استخر را از هر محدوده محلی و همتا دور نگه دارید. محدودیت‌ها و تفاوت‌های SKU در مرجع تنظیمات Azure VPN Gateway گردآوری شده‌اند.