Azure NVA-ynspeksje: wêrom’t it antwurd troch in oare firewall giet

In stream fan ’e filiaal nei Azure kin yn beide rjochtingen goed rûte wurde en dochs mislearje, om’t de twa rjochtingen ferskate apparaten nimme. It fersyk ferlit de filiaal oer de VPN, lânet op NVA A en berikt de wurklast. It antwurd ferlit de wurklast, komt oerien mei in rûte dy’t nei NVA B wiist en stjert dêr. Eltse rûte yn dat byld is jildich, en de TCP-sesje is noch hieltyd brutsen.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Dat gat is hjir it hiele ûnderwerp: rûtekonverzje en it eigendom fan ’e tastân fan ’e sesje binne ferskate problemen dy’t op in diagram itselde lykje.

Wat Route Server eins programmearret

Azure Route Server makket peering mei stipe BGP-sprekkers, leart har rûtes en programmearret se yn ’e effektive rûtes fan it firtuele netwurk. Dat is in taak fan it kontrôlflak. It lêst gjin sesjetabel fan in firewall fan in leveransier en hat gjin idee hokker apparaat in bepaalde ferbining talitten hat. Twa folgjende hops mei gelikense kosten binne foar dit weefsel gewoan twa manieren om itselde foarheaksel te berikken, en it sil ien fan beide brûke.

In rûte leare bewiist dus berikberens. It bewiist neat oer de fraach oft it apparaat oan ’e oare kant dizze stream earder sjoen hat.

Lês beide rjochtingen foardat jo ûntwerpe

Begjin mei it opskriuwen fan ’e stjoering dy’t jo yn eltse rjochting eins hawwe, net dy’t jo fan doel wiene. Mear spesifike BGP-rûtes, brûkersdefiniearre rûtes en gedrach fan ’e gateway konkurearje allegear, en de winner wurdt per bestimming besletten, net per sesje. In standertrûte op NVA betsjut net dat elk privee foarheaksel der trochhinne giet.

In nuttige kontrôle is om foar ien spesifyk wurklast-IP te freegjen nei hokker folgjende hop elke rjochting oplost. As it antwurd twa ferskate apparaten is, hawwe jo in asymetry-probleem, oft it no al oan it ljocht kommen is of net.

Wêr’t de tastân wennet

In stateful firewall lit in ferbining ta en hâldt in tabelynskriuwing mei kaaien op ’e fiif-tuple. It antwurd moat it apparaat berikke dat dy ynsktriuwing hat, of dat apparaat moat de tastân op in oare wize krije. Neat yn it Azure-gegevensflak stjoert de ynsktriuwing tusken apparaten troch. Of it ferkear wurdt werom stjoerd nei de eigner, of de apparaten diele tastân fia in meganisme fan ’e leveransier, of it ûntwerp wurket net.

Dêrom binne twa sûne NVA’s gjin sûnenskonrole foar ynspeksje. Sûnens giet oer berikberens; ynspeksje giet oer hokker eksimplaar de sesje hâldt.

Stipe HA-modellen en wat elk belooft

Microsoft's guidance on Virtual WAN-rûtebedoeling beskriuwt beheind gedrach foar ferbining mei dûbele rol en firewall-NVA’s, wêr’t direkte rûte it normale symmetryske tafersjoch fan ’e hub omgean kin. Lês dy notysjes as beheiningen foar de keazen topology, net as in ferbod op aktyf-aktyf-ûntwerpen. In pear fan in leveransier dat tastân syngronisearret, of per stream stjoert, kin stipe wurde. In pear mei gelikense kosten dat net ien fan beide docht, net.

Definiearje dêrnei wat der bart mei besteande sesjes as in knooppunt útfalt. Rûtekonverzje herstelt berikberens foar nije streams binnen sekonden, wylst de âlde firewall-tastân gewoan fuort is. In werferbining fan ’e klant kin de dokumintearre útkomst wêze, en dat is in beslút dat foar it ynsidint nomd wurde moat, net derby.

Wat te testen foardat jo it fertrouwe

Test with inspection enabled and it tagongsbelied fan ’e wurklast op syn plak, om’t ien fan beide de asymetry ferbergje kin. Stjoer in nije autorisearre stream yn beide rjochtingen en befêstigje dat itselde apparaat beide helten sjoen hat. Rin dêrnei oanhâldend ferkear en aktivearje de goedkarde failover, en sjoch oft fêstige sesjes oerlibje of wer ferbine.

Korrelaasje elke stream mei it apparaat dat him behannele hat. In pakketopname op ien NVA fertelt jo hast neat as it antwurd der nea weromkaam.

Skriuw úteinlik it plan as trije aparte rigels: rûte-eigendom, ferkearsstjoering en eigendom fan ’e tastân fan ’e sesje. Ûntwerpen brekke as de earste twa oplost binne en de tredde oannommen wurdt.