Azure GatewaySubnetin määritys: varaa se ennen yhdyskäytävää

Avaa virtuaaliverkko portaalissa ja katso osoiteavaruutta ennen kuin kosket aliverkon paneeliin. Jos tuo /24 on jo jaettu työkuormien aliverkoiksi eikä mitään ole vapaana, /27-varaukselle ei ole tilaa, ja lopulta joko jaat uudelleen tai laajennat VNetiä, mikä on toinen muutos ja toinen katselmointi. Ratkaise tila ensin ja luo aliverkko vasta sitten.

Järjestys on tärkeä, koska yhdyskäytävän aliverkko ei ole erikoisniminen työkuorman aliverkko. Se on hallinnoitujen yhdyskäytäväinstanssien osoitevaraus, ja Azure hylkää yhdyskäytävän, jos varaus on väärä.

Aloita osoiteavaruudesta

Kirjoita VNetin etuliite, työkuormien aliverkot ja yhdyskäytävän varaus yhdelle riville ennen kuin kirjoitat mitään. VNetillä 10.60.0.0/16 on tilaa; valitse alue lopusta, jotta työkuormien kasvu pysyy yhtenäisenä.

Esimerkiksi 10.60.255.192/26 jättää yhdyskäytävälle 64 osoitetta, kun työkuormat pysyvät alueella 10.60.0.0/20. Tämä on esimerkki osoitteiden suunnittelusta, ei lupaus mitoituksesta. Microsoft vaatii tällä hetkellä /27 tai suuremman muille kuin Basic VPN -yhdyskäytäville, missä suurempi tarkoittaa enemmän osoitteita: /26 antaa 64, kun taas /28 antaa 16. Pyöristä ylöspäin, älä koskaan alaspäin, kun osoitesuunnitelma vielä liikkuu.

Luo aliverkko tarkalla nimellä

Lisää portaalissa aliverkko ja kirjoita nimi GatewaySubnet täsmälleen, iso G ja iso S, ilman välilyöntejä tai päätettä. Azure vertaa tuota merkkijonoa, joten Gateway-Subnet tai gateway tuottaa aliverkon, jota yhdyskäytäväpalvelu ei käytä.

Sama vaihe CLI:stä, joka on helpompi kirjata katselmointiin:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Jätä aliverkko tyhjäksi. Ei VM:ää, ei yksityistä endpointia, ei palvelun delegointia. Jos siellä asuu jo jotain, käyttöönotto epäonnistuu ja virhe harvoin nimeää tiellä olevaa resurssia, joten tarkista aliverkon resurssiluettelo ennen aloittamista.

Pidä hallinnoitu aliverkko vapaana työkuorman säännöistä

Älä liitä tähän aliverkkoon verkon suojausryhmää; Microsoft merkitsee sen tukemattomaksi. Älä liitä reititystaulua, jonka oletusreitti lähettää 0.0.0.0/0:n jonnekin, koska se voi rikkoa yhdyskäytävän toiminnan, ja pidä yhdyskäytävän reittien levitys käytössä.

Laita ne käyttörajoitukset, joita todella halusit, työkuorman aliverkkoon tai tarkastusrajalle. GatewaySubnetin kohteleminen tavallisena aliverkkona on se virhe, joka tuottaa yhdyskäytävän, joka ottaa käyttöön siististi ja päästää sitten läpi nolla liikennettä.

Pakotetulla tunnelilla on oma dokumentoitu suunnittelunsa. Improvisoitu oletusreitti yhdyskäytävän aliverkossa ei ole se.

Tarkista riippuvuudet, joita portaali ei näytä

Ennen kuin painat luo, käy lista läpi: tarkka nimi, etuliite VNetin tilassa, ei päällekkäisyyttä paikallisten alueiden kanssa, ei työkuormaresursseja sisällä, ei NSG:tä eikä reititystaulua, jossa on oletusreitti. Jokainen näistä on rikkonut oikean käyttöönoton. Vahvista sitten laajempi suunnittelu: paikallisen puolen paikallinen verkkoyhdyskäytävä, osoiteavaruudet, jotka aiot reitittää, ja onko suunnitteilla aktiivinen-aktiivinen vai rinnakkaiselo. Nuo valinnat muuttavat mitoituskeskustelua, ja ne on paljon halvempaa ratkaista nyt.

Azure-yhdyskäytävän asetusten viite on sivu, johon viitataan, kun joku kysyy, miksi aliverkko ei voi majoittaa VM:ää.

Jos yhdyskäytävä on jo olemassa

Yhdyskäytävän aliverkon koon muuttaminen tai korvaaminen ei ole maskin muokkaus. Tarkista ensin tuettu muutosmenettely yhdyskäytävän SKU:lle ja sukupolvelle ja luettele riippuvat objektit: yhteydet, julkiset IP:t, reititys ja mahdolliset palautusvaatimukset.

Jos menettely vaatii yhdyskäytävän uudelleen luomisen, suunnittele se palvelun migraationa, jossa on ikkuna ja palautus. Kirjaa valitsemasi varaus, koon perustelu ja säännöt, joita et tarkoituksella liittänyt, jotta seuraava katselmoija ei korjaa tyhjää aliverkkoa lisäämällä NSG:n.