Twa on-prem VPN-adressen: twa Azure-peers, net ien

It diagram hat twa internetferbinings by de ôfdieling en ien Azure VPN-poarte, dus de lokale netwurkpoarte krijt beide publike adressen. It liket kreas en it wurket net sa't it diagram suggerearret. Elk on-prem VPN-apparaat is in aparte peer-relaasje, en it ûntwerp fan Microsoft foar meardere apparaten jout elk syn eigen lokale netwurkpoarte-boarne en syn eigen ferbining. In twadde adres oan ien boarne tafoegje makket gjin twadde peer. It makket in boarne dy't gjin fan beide apparaten goed beskriuwt.

De myte: ien poarte, twa adressen

In lokale netwurkpoarte is in beskriuwing fan in ôfstân-peer: ien publike einpunt en de priveeprefiksen dêrefter. Der is gjin stipe manier om dy boarne «ien fan dizze twa apparaten» betsjutte te litten.

Deselde betizing giet yn 'e oare rjochting, wêr't twa Azure-publike IP's lêzen wurde as bewiis dat der twa Azure-poarten besteane.

Tel de objekten, dan de tunnels

Nim twa ûnôfhinklik betsjinne on-prem-apparaten, elk mei syn eigen publike adres en tagong ta deselde priveenetwurken, plus ien op rûte basearre Azure-poarte yn aktive-aktive modus. De Azure-poarte hat twa aktive eksimplaren mei aparte publike IP's. Elk on-prem-apparaat ferbynt mei beide eksimplaren. Dat is it folsleine maas, en it oantal objekten folget dêrút, net út it diagram.

De rekkenkunde is koart genôch om yn it ûntwerpdokumint te plakken:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

In ferbiningsboarne kin mear as ien ûnderlizzende tunnel drage, dus fjouwer tunnels betsjutte net fjouwer firtuele netwurkpoarten. Twa Azure-publike IP's binne ek net deselde objekten as de twa lokale netwurkpoarten dy't it ôfstânsite beskriuwe.

Wat aktive-aktive oan 'e Azure-kant tafoeget

Aktive-aktive feroaret de Azure-poarte fan ien aktive eksimplaar yn twa, elk mei syn eigen publike IP, en dat is wat in folslein maas uberhaupt mooglik makket. It ferdûbelt net de trochfier fan ien stream. It hellet ek net de needsaak fuort dat de on-prem-kant multipath mei gelikense kosten stipet as beide apparaten tagelyk trochstjoere. Befestigje de poartemodus, SKU en de mooglikheden fan it ôfstânsapparaat foardat jo wat ynrjochtsje.

In poarte yn passive reserve is in folslein jildich ûntwerp; it leveret gewoan in oar oantal tunnels.

BGP makket beide paden brûkber

Foar it ûntwerp mei meardere apparaten rinne beide on-prem-apparaten BGP. Jou elk in unyk BGP-peeradres en advertearje deselde bedoelde priveeprefiksen oer de relevante paden. De priveeprefiksen identifisearje de beskerme netwurken, wylst de publike adressen identifisearje wêr't de fersifere dragerferbinings einigje. Betizing fan dy twa leveret in ûntwerp wêryn elke tunnel omheech is en de rûtes ferkeard binne.

Plan retoerrouting en alle tastânbewuste ynspeksje dy't ien fan beide paden ferneare moat. In sûne IKE-sesje op elk einpunt bewiist net dat in wurklast elke oankundige rûte brûke kin.

Streambasearre seleksje is gjin bânbreedtebondeling

Azure kiest in pad per stream mei in hash oer de adressearring en poarten fan 'e stream. Yn stabile tastân nimme pakketten fan in opjûne TCP- of UDP-stream normaal deselde tunnel, en de on-prem-kant kin in oare tunnel foar de retoerrjochting kieze. Twa apparaten en fjouwer tunnels ferbetterje dêrom beskikberens, net de snelheid fan ien oerdracht. Wannear't in ferkeapersdia aggregaasje ûnthjit, beskriuwt it in oare funksje of in misferstân.

Test mei parallelle streamen as jo de paden ferspriede wolle sjen, en mei ien stream as jo de grins sjen wolle.

Hokker oerfloedigens jo eins fuorthelle hawwe

Twa WAN-adressen op ien apparaat ferbetterje de opsjes foar tagongsferbining wylst se de macht, software en flatertastân fan dat apparaat diele. Se binne net itselde as twa apparaten, en gjin inkelde Azure-kant-konfiguraasje feroaret dat. Folgje it stipe dual-WAN- of clusterûntwerp fan 'e ferkeaper ynstee fan oerfloedigens út it oantal adressen ôf te lieden. Test it dan: helje ien pad tagelyk fuort en befestigje de oerbleaune rûtes plus in echte applikaasje-útwikseling yn beide rjochtingen.

Ferwachtsje fertragings by deteksje en konverginsje, en ferwachtsje dat guon besteande sesjes einigje.