Liikenteen reitittäminen kahden toimipisteen välillä Azure VPN -yhdyskäytävän kautta
Kaksi site-to-site-yhteyttä yhdellä Azure VPN -yhdyskäytävällä voivat välittää toimipisteiden liikennettä, mutta vain kun molemmat päät oppivat etuliitteen ja LAN-paluupolku on olemassa.
Kaksi toimipistettä voi vaihtaa liikennettä Azure VPN -yhdyskäytävän kautta ilman suoraa tunnelia niiden välillä. Kumpikin toimipiste avaa site-to-site-yhteyden samaan yhdyskäytävään, ja yhdyskäytävä välittää opitut etuliitteet kahden yhteyden välillä. Tämän toimimisen syy ei ole toinen tunneli vaan reittien vaihto: toimipisteen A on opittava toimipisteen B etuliite ja B:n A:n etuliite. Käy alla olevat tarkistukset järjestyksessä läpi ja pysähdy ensimmäiseen, joka epäonnistuu, sillä jokainen myöhempi vaihe riippuu siitä.
Edellytykset ennen kuin konfiguroit mitään
Neljä ehtoa ratkaisee, voiko tämä suunnittelu ylipäätään toimia. Yhdyskäytävän on oltava reittipohjainen ja SKU:ssa, joka tukee BGP:tä, molemmilla yhteyksillä on oltava BGP käytössä, toimipisteiden osoiteavaruudet eivät saa mennä päällekkäin, eikä kumpikaan puoli saa luottaa NAT:iin todellisen etuliitteensä piilottamiseksi.
Suunnittele ASN:t tarkoituksella. Azuren dokumentoitu oletusarvo on 65515, ja jokainen toimipisteen reititin tarvitsee oman yksityisen ASN:n, joka ei törmää yhdyskäytävän tai toisen toimipisteen kanssa. Oletusarvon uudelleenkäyttö tarkistamatta olemassa olevaa yhdyskäytävän kokoonpanoa on tapa, jolla AS-polku myöhemmin hylätään.
Varmista myös, ettet odota VNet-peering-käyttäytymistä. Yhdyskäytävä vaihtaa reittejä konfiguroimiesi kahden yhteyden välillä; se ei tee mielivaltaisista peering-yhteyksistä transitiivisia. Jos kolmannen verkon on päästävä molempiin toimipisteisiin, se tarvitsee oman yhteytensä tai oman reittipolkunsa, ei oletusta, että yhdyskäytävä levittää liikenteen. Kirjaa tämä raja ennen ensimmäistä muutosikkunaa, sillä se on suunnittelupäätös, johon ihmiset palaavat, kun myöhemmin lisätään toimipaikka.
Konfiguroi tässä järjestyksessä
Jokaisella vaiheella on havaittava tulos, joten älä etene ennen kuin se näkyy.
- Ota BGP käyttöön virtuaaliverkon yhdyskäytävässä ja kirjaa sen ASN ja peer-osoite.
- Luo paikallinen verkkoyhdyskäytävä kullekin toimipisteelle kyseisen toimipisteen todellisella osoiteavaruudella, sen ASN:llä ja sen BGP-peer-osoitteella.
- Luo kukin site-to-site-yhteys ja ota BGP käyttöön itse yhteydessä.
- Konfiguroi toimipisteen reititin peeraamaan Azuren määrittämään yhdyskäytävän osoitteeseen, ei oletuksena yhdyskäytävän julkiseen IKE-päätepisteeseen.
Neljäs vaihe on paikka, johon useimmat yritykset pysähtyvät. Azuren raportoima BGP-peer-osoite on se, jota toimipisteen reitittimen on käytettävä naapurina, eikä se ole aina se osoite, jota ihmiset odottavat tunnelikaaviosta.
Mainosta toimipisteen etuliite itse, esimerkiksi 10.10.0.0/16 A:sta ja 10.20.0.0/16 B:stä. Älä mainosta oletusreittiä tai laajaa aggregaattia puuttuvan tietyn verkon kattamiseksi; aukko palaa myöhemmin hiljaisena mustana aukkona.
Varmista reittien vaihto molemmissa päissä
Yhteyden tila ei ole tarkistus. IPsec voi olla ylhäällä molemmilla yhteyksillä, vaikka yksikään etuliite ei kulje niiden välillä. Lue yhdyskäytävän BGP-peerit ja sen opitut reitit ja varmista sitten, että reitti toiseen toimipisteeseen näkyy käyttökelpoisena polkuna.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP-taulukossa oleva etuliite voi silti hävitä edelleenlähetyspäätöksen staattiselle reitille tai tarkemmalle etuliitteelle. Tarkista valittu reitti, ei vain vastaanotettua.
Seuraa paluupolkua LAN-puolella
Tämä on se osa, joka näyttää Azuressa oikealta ja epäonnistuu paikan päällä. Toimipisteen A isäntä lähettää pakettinsa A:n VPN-reitittimelle vain, jos tämä reititin on sen oletusyhdyskäytävä, tai jos isännällä tai sen yhdyskäytävällä on reitti B:n etuliitteelle. Saman on oltava totta myös toiseen suuntaan.
Jos erillinen ydin-kytkin on LAN:n oletusyhdyskäytävä, se tarvitsee reitin toiseen toimipisteeseen osoittaen VPN-reitittimeen. Ilman sitä pyyntö saapuu ja vastaus lähtee internet-polkua pitkin, ja käyttäjä näkee yhteyden, joka avautuu ja jää sitten jumiin.
Älä tartu yhdyskäytävän aliverkon verkkoturvaryhmään tämän korjaamiseksi. Sillä aliverkolla on omat vaatimuksensa, eikä NSG siellä ole tuettu korvike toimipisteen puolen käytännölle. Suodatus kuuluu toimipisteiden palomuureihin ja itse työkuormiin, joissa omistajat voivat tarkistaa säännöt. Näiden sääntöjen siirtäminen aliverkon NSG:hen piilottaa ne myös tiimiltä, joka selvittää seuraavan häiriön.
Salli toiminto ja todista se sitten kielletyllä testillä
Opittu reitti ei ole lupa. Salli lähde, kohde ja palvelu, jotka todella tarvitset, toimipisteiden palomuurien ja päätepistekäytännön kautta, ja jätä loput kielletyksi.
Testaa toimipisteen A tavallisesta työkuormasta toimipisteen B todelliseen palveluun, vahvista vastaus ja yritä sitten toimintoa, jonka pitäisi pysyä kiellettynä. VPN-laitteen itsensä tuottama liikenne voi käyttää eri lähdeosoitetta ja ohittaa LAN-reititysvaiheen, joten reitittimestä tehty onnistunut ping todistaa vähemmän kuin näyttää.
Lopeta kirjaamalla neljä tosiasiaa: vaihdetut etuliitteet, käytössä olevat ASN:t, kunkin puolen LAN-paluupolku ja käytäntö, joka sallii palvelun. Jos yksi niistä puuttuu, asennus toimii ensimmäiseen muutokseen asti, ja sitten kukaan ei osaa selittää miksi.