Iepenbiere IP fan Azure VPN-gateway feroarje en abonnemint ferpleatse
Rinboek om de iepenbiere IP fan in VPN-gateway te ferfangen en tusken abonneminten te ferpleatsen, mei de ynventaris, weromset en kontekstkontrôles dy't tunnels oan 'e gong hâlde.
Yn Azure wurde trije ferskillende objekten de gateway-adres neamd. It privee-adres wurdt út GatewaySubnet tawiisd. It iepenbiere adres is in aparte iepenbiere IP-boarne dêr't de IP-konfiguraasje fan 'e gateway nei wiist. It abonnemint en de wolkomjouwing binne de kontekst dêr't dyn shell ien fan beiden mei fynt. Feroarje ien en de oare twa bliuwe stean, dêrom stopet adreswurk sa faak healwei.
Ik doch dizze feroarings yn fjouwer fazen: ynventarisaasje fan 'e objekten, beslute oft de iepenbiere IP op 'e besteande gateway ferhúzet of de gateway werboud wurdt, de feroaring tapasse wylst it âlde adres noch by de hân is, en dan elke tunnel fan beide kanten ferifiearje foar't eat fuorthelle wurdt. De faze dy't minsken oerslaan is de ynventarisaasje.
Hokker fan 'e trije objekten feroarje jo echt
Nammje it objekt foar't jo it portaal iepenje. In VPN-gateway nimt syn privee-adres út in subnet dat krekt GatewaySubnet hjitte moat, en Azure wiist it út dat foarheaksel ta; der is gjin algemien fjild om it fêst te setten. It adres liket stabyl allinnich om't it subnet stabyl is. Wizigje it subnet of bou de gateway opnij en it ferhúzet mei.
It iepenbiere adres is bewurkber, mar SKU-regels beslisse oft de bewurking tastien is. In Basic-gateway past by in Basic dynamyske iepenbiere IP, VpnGw-SKU's hawwe in Standard statyske nedich, en in sône-redundante gateway hat in Standard iepenbiere IP mei deselde sônes nedich. De ferkearde SKU wurdt ôfwiisd foar't in tunnel falt.
| Object | Where it lives | What a change forces |
|---|---|---|
| Private address | GatewaySubnet prefix, assigned at deployment | Subnet resize or rebuild, then routes, NSGs and peer review |
| Public address | Public IP resource referenced by the IP configuration | Gateway reprovision, peer and allowlist edits, new client profiles |
| Subscription context | Your PowerShell or CLI session | Nothing in Azure, and it clears most not-found errors |
Ynventaris foar't eat beweecht
Bewiis earst it abonnemint, want sûnder dat is de rest fan 'e ynventaris weardeleas. Registrearje de gateway, syn IP-konfiguraasjes en elke ferbining dy't dêr einiget, en hâld de útfier njonken it feroaringsrekord.
Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
Select-Object Name, ConnectionStatus, ConnectionTypeBoarnen-ID's telle mear as nammen. In ferbining hâldt ferwizings nei de gateway en nei in lokale netwurkpoarte, en dy ID's ferskine yn skripts, alarms en beliedstawizings dy't nimmen ûnthâldt. List ek wat bûten Azure stiet: de DNS-namme dy't nei it adres ferwiist, de tastieningslist fan 'e partner, de filiaalfirewall dy't de âlde IP fêsthâldt.
De iepenbiere IP op 'e rinnende gateway ferfange
Meitsje earst it ferfangende adres, yn deselde regio en mei de sôneset dy't by de gateway past, en lit de âlde boarne stean. Bou dan de IP-konfiguraasje opnij en stjoer de fernijing yn ien oprop. Dy oprop ferfangt de hiele konfiguraasjesamling, dus in aktyf-aktyf gateway hat beide nedich, oars hâld jo ien tunnel en ferlieze de oare.
$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
-Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
-SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $confTunnels falle wylst de gateway opnij taret wurdt. De fiere kant hat de planning nedich: in partnerfirewall bliuwt it âlde adres oanbiede oant immen it bewurket, en in ferbining wêrfan't de fiere ein it foarige IP ferwachtet bliuwt del, hoe sûn Azure der ek útsjocht. Ferleegje de DNS-TTL foar it finster.
Punt-nei-site-klanten hawwe in nij profyl nedich, om't it downloade pakket it einpunt draacht. In oanpast DNS-namme foar de gateway sparret jo de werferdieling: hâld de namme, feroarje it rekord.
De gateway nei in oar abonnemint ferpleatse
It ferpleatsen fan boarnen ferpleatst in set, en de gateway allinnich is syn minst nuttige lid. It firtuele netwurk, de iepenbiere IP-boarnen, de lokale netwurkpoarten en de ferbiningen reizgje tegearre omdat elk in ferwizing nei in oar hâldt. It doelabonnemint moat yn deselde tenant sitte, Microsoft.Network moat dêr registrearre wêze, en jo hawwe skriuwtagong oan beide kanten nedich.
Falidaasje rint foar't eat feroaret, dus in ôfwiisd ferpleatsen lit de boarnen stean. Dêrom fertsjinnet it ferpleatsen in poging foar in weropbou: in slagge ferpleatsing nimt de iepenbiere IP mei, sadat peers en tastieningslisten bliuwe wurkjen, wylst in werboud gateway selden itselde adres weromjout.
az resource move --destination-group rg-hub `
--destination-subscription-id 00000000-0000-0000-0000-000000000000 `
--ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hubLês in falidaasjeflater ynstee fan it te werheljen. De gewoane oarsaken binne in achterlitten ôfhinklikheid, in boarnetype dat net ferpleatst wurde kin, of in slot op ien fan 'e boarnegroepen. As it ferpleatsen ûnmooglik is, bou dan yn it doel opnij en skeakelje oer: befêstigje routing en autentikaasje fan in testsubnet, stop de âlde ferbiningen ynstee fan se te wiskjen, en ferwiderje dan it âlde paad yn in letter finster.
As de gateway mist, kontrolearje de kontekst
De net-fûn-flater is meastentiids in berikflater. In akkount mei ferskate abonneminten rjochtet in cmdlet op it ferkearde, en it berjocht beskuldiget de boarne. Sykje it objekt op syn folsleine boarne-ID: de ID draacht syn eigen abonnemint, dus as it oplost, mist der neat en is jo standertkontekst ferkeard.
Twa oare ôfwikings lêze itselde. In kommersjele-wolk-gateway bestiet net yn in sesje rjochte op in oerheids- of Sina-omjouwing, en âldere moduleferzjes misse boarnefoarmen dy't de API al weromjout. Set it abonnemint fêst, lykje de omjouwing, iepenje dan in saak.
Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hubFerifiearje fan beide kanten foar it opromjen
Ferbûn is in steat, gjin bewiis. Kontrolearje tunnelstatus per ferbining, BGP-peerstatus as jo dynamyske routing brûke, en effektive rûtes op in wurklastsubnet. Stjoer dan ien echte oanfraach troch in applikaasje dy't fan 'e tunnel ôfhinklik is. In ferbining kin himsels ferbûn melde wylst it foarheaksel dat jo nedich hawwe yn 'e rûtetabel ûntbrekt.
Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-appHâld de âlde iepenbiere IP loskeppele ynstee fan wiske oant it weromfalfinster slút, en skriuw de partner- en firewallbewurkings op sadat se yn folchoarder weromdraaid wurde kinne.
- Kontekst fêstset op it abonnemint dat de gateway besit
- Alde iepenbiere IP bewarre, syn ôfhinklikheden opskreaun
- Elke ferbining grien plus ien echte oanfraach der troch
- Punt-nei-site-brûkers ferpleatst nei it fernijde profyl
- DNS-rekord feroare en syn foarige wearde fêstlein