VPN suíomh-go-suíomh idir AWS agus Azure: scríobh an mharc-chonair ar ais ar dtús
Ní chruthaíonn tollán nasctha idir dhá scamall rud ar bith go ndéanann gach fon-líonra ualaigh ródú chuig an réimír i bhfad i gcéin. Oibrigh an plean in ord, ansin tástáil an tseirbhís.
Tiocfaidh an tollán aníos. Is gnách go dtarlaíonn sé sin, mar ní theastaíonn ó IKE ach tograí comhoiriúnacha agus seoladh piaraí inrochtana. Is é an rud a theipeann ina dhiaidh sin an bealach ar ais: seolann ualach AWS paicéid isteach i dtollán, ach níl a fhios ag aon rud ar thaobh Azure conas freagra a thabhairt ar 10.10.0.0/16, nó tá ród Azure i dtábla nach n-úsáideann an fon-líonra ualaigh. Scríobh an plean róid sula mbaineann tú le haon chonsól, agus beidh an tollán ar an gcuid is lú suim den obair.
Céim 1: reoigh an plean seoladh
Oibrigh le luachanna nithiúla. Tá ualach AWS ag 10.10.1.20 laistigh de 10.10.0.0/16 agus teastaíonn TCP 443 uaidh chuig seirbhís Azure ag 10.20.1.30 laistigh de 10.20.0.0/16. Ní fhéadfaidh an dá raon forluí, agus is é an péire seirbhíse, ní an tollán, an tástáil ghlactha.
Scríobh na ceithre fhíric sin síos roimh aon rud eile, mar seiceáiltear gach céim ina dhiaidh sin ina gcoinne.
Céim 2: ainmnigh an geata a shealbhaíonn gach ceann
Is féidir le AWS Site-to-Site VPN críochnú ar gheata príobháideach fíorúil nó ar gheata idirthurais, agus is úinéirí ródaithe éagsúla iad sin. Tairgeann Azure a VPN Gateway bainistithe agus, ar leithligh, fearais atá bunaithe ar VM a ritheann custaiméirí iad féin. Taifead cén péire atá agat, mar tá an chéad chéim eile difriúil i ngach teaglaim.
Do gheata bainistithe, ná cóipeáil ród a dhíríonn ar sheoladh fearais phríobháidigh a buille faoi thuairim. Do fhearas, ná glac leis go ndéanann iomadú ród sa scamall an córas oibriúcháin aoi a chumrú, mar ní dhéanann sé sin.
Má dhéantar é seo mícheart, cruthaítear plean a bhreathnaíonn iomlán agus a sheolann paicéid chuig seoladh nach dtagann freagra uaidh riamh.
Céim 3: scríobh an ród a úsáideann gach ualach i ndáiríre
Is cuardach ar leithligh gach teorainn thíos, agus ní ród don phaicéad é ród i gceann acu. Líon an tábla le do luachanna féin sula dtagann an tollán beo.
| Boundary | Must reach | Owner to inspect |
|---|---|---|
| AWS workload subnet | 10.20.0.0/16 | the subnet's VPC route table |
| AWS transit gateway, if used | 10.20.0.0/16 via the VPN attachment | the table associated with that attachment |
| Azure workload subnet | 10.10.0.0/16 | effective routes on the NIC, whatever their source |
| VPN scope | both prefixes, agreed | static connection ranges or BGP advertisements |
In AWS, is leatsa tábla ród an fhon-líonra ualaigh le nuashonrú fiú tar éis BGP nó tollán a bheith sláintiúil; measann forbhreathnú an ródaithe gur cuid den nasc é sin. In Azure, comhcheanglaítear tábla ród atá sainithe ag an úsáideoir le fon-líonra seachas é a nascadh leis an líonra fíorúil, mar sin seiceáil an ród éifeachtach ar NIC an ualaigh seachas ar bhlaosc VNet.
Is féidir le geata Azure bainistithe an réimír i bhfad i gcéin a fhoghlaim trí iomadú geata, agus is féidir le UDR an cinneadh sin a shárú. Cuir an UDR leis nuair a bhíonn cúis agat, ní de ghnáth. Má chuireann tú ceann leis, dírítear é chuig an gcéad chéim eile a fhoilsíonn an geata don chosán VPN seachas seoladh fearais a chumadh. Ansin léigh na róid éifeachtacha ar an NIC arís, mar is ar an NIC a dhéantar an cinneadh i ndáiríre.
Céim 4: réitigh an scóip
Do BGP, déan comparáid idir an méid a fhógraíonn gach taobh agus an méid a d’fhoghlaim an taobh eile i ndáiríre, réimír ar réimír. Do ródú statach, déan comparáid idir na raonta i bhfad i gcéin atá cumraithe agus na róid ualaigh a scríobh tú i gcéim 3.
Ní cruthúnas é gaol IKE a aontaíonn ar chripteagrafaíocht go bhfuil 10.10.0.0/16 nó 10.20.0.0/16 foghlamtha ag ceachtar taobh. Is féidir dhá thollán a bheith in airde agus aon taobh amháin ag fógairt aon /24 amháin in ionad an /16 a phleanáil tú. Seiceáil an réimír sa tábla ródaithe, ní i stádas an tolláin. Taispeánann an neamhréir níos déanaí mar fhon-líonra amháin a oibríonn agus ceann nach dtagann freagra uaidh riamh.
Céim 5: tástáil an tseirbhís, ón bhfíorfhoinse
Ceadaigh an sreabhadh beartaithe i ngrúpaí slándála agus ACLanna líonra AWS, i NSGanna Azure, agus in aon scagaire fearais ar an gcosán. Ansin oscail nasc amháin ó 10.10.1.20 chuig seoladh agus port ceadaithe na seirbhíse agus deimhnigh go dtagann an freagra ar ais chuig an bhfoinse chéanna.
Tá grúpaí slándála scamall agus NSGanna araon stateful, mar sin is comhartha ródaithe é paicéad fillte a dhiúltaítear, ní riail a rinne tú dearmad a scríobh droim ar ais.
Ní réitíonn ping ó aon gheata aon rud. Cleachtann ICMP chuig seoladh geata cosán an phláin rialaithe, ní an tseirbhís TCP sheolta a theastaíonn ón ualach.
Aisghairm agus taifid
Taifead úinéirí na ród in aice le haitheantóirí an tolláin agus coinnigh na táblaí ród a bhí ann roimh an athrú. Má chaithfear an t-athrú a bhaint amach, bain na róid ualaigh sula dtéitear an tollán chun siúil, ionas nach bhfanfaidh aon fhon-líonra ag díriú ar chéim eile nach bhfuil ann a thuilleadh.
Ansin bíonn áit amháin shainithe ag aistriú fon-líonra nó ag ceangal spoke níos déanaí chun nuashonrú a dhéanamh, in ionad tolláin a oibríonn agus a iompraíonn an milleán as ród nár shealbhaigh sé riamh.