VPN IP príobháideach Azure thar ExpressRoute gan NVA

Is é an miotas go dteastaíonn feiste líonra fhíorúil chun trácht a chriptiú thar phiaraí príobháideacha ExpressRoute. Ní theastaíonn. Tacaíonn Azure le Site-to-Site VPN Gateway arb é a deireadh tolláin seoladh príobháideach RFC1918 a iompraítear thar an gciorcad, agus tá an fheiste roghnach seachas struchtúrach. Is é an rud a cheileann miotas na feiste an chuid a ghortaíonn i ndáiríre: an deireadh príobháideach a chumasú ar rud amháin in ionad dhá rud, agus ligean do bhealach peering díreach an ceann is fearr a fháil go ciúin ar an mbealach criptithe.

Cá as a dtáinig an miotas

Tá sinsearacht mheasúil ag an maíomh. Ar feadh blianta ba é NVA an t-oideas praiticiúil le haghaidh IPsec thar phiaraí príobháideacha, toisc nach nochtadh an geata bainistithe ach deirí poiblí. Tháinig athrú air sin, agus luaitear fós freagraí a scríobhadh roimh an athrú i snáitheanna nach bhfuil aon duine ag seiceáil an dáta iontu. Tá an ceartú cúng: tá geata VPN le seoladh príobháideach ann, agus athraíonn sé an deireadh, ní an loighic ródaithe timpeall air.

Ní chuirfidh aon rud díobh seo an NVA ar scor. Cuireann sé an toimhde ar scor gurb é feiste an t-aon bhealach chuig an riachtanas.

Cumasaigh an deireadh príobháideach ar an dá leibhéal

Tosaigh ó nasc peering príobháideach ExpressRoute atá ag obair agus atá nasctha leis an VNet ina bhfuil an geata VPN. Caithfidh an taobh áitiúil na seoltaí príobháideacha ábhartha a bhaint amach cheana féin thar an gciorcad sin, mar go n-úsáidfidh an tollán na seoltaí sin mar iompar. Ansin réamhriachtanas an gheata: éilíonn nós imeachta Microsoft le haghaidh VPN IP príobháideach geata a tógadh ar acmhainn IP poiblí Standard. Ní thógann seoladh príobháideach an tolláin an riachtanas sin, rud a chuireann iontas ar dhaoine a mheasann gurb é „príobháideach“ ná „gan IP poiblí in aon áit“.

Anois cumasaigh an bhratach sa dá áit. Tá a lasc féin ag cumraíocht an gheata le haghaidh IPanna príobháideacha, agus tá an dara ceann ag an nasc Site-to-Site aonair a thugann ar an nasc sin an seoladh príobháideach a úsáid. Is é an ceann a shocrú gan an ceann eile an chumraíocht neamhiomlán is coitianta; ní bhunaítear an tollán nó bunaítear chuig an deireadh mícheart é.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Deimhnigh na hainmneacha airíonna i gcoinne an leagain CLI atá suiteáilte agat, mar ní bhíonn an fhoclaíocht chéanna ag lipéid an tairsigh agus ag airíonna CLI i gcónaí. Nochtann geata gníomhach-gníomhach dhá sheoladh tolláin phríobháideacha, agus teastaíonn an dá phiara cumraithe ar an bhfeiste áitiúil más mian leat go gciallódh an iomarcaíocht sin rud éigin. Ní theastaíonn BGP chun an tollán seo le seoladh príobháideach a ardú amháin, cé go mbíonn sé mar chuid den chaoi a ndáileann tú réimíreanna de ghnáth.

An dara miotas: criptíonn tollán bunaithe do thrácht

Sroicheann dhá bhealach an líonra feidhmchlár anois: an bealach díreach peering príobháideach agus an bealach tríd an VPN. Oibríonn an dá cheann. Ní chuireann ach ceann amháin an ciseal IPsec seo i bhfeidhm. Déanann Microsoft a dhoiciméadú, nuair a fhógraítear réimíreanna comhionanna thar ExpressRoute agus thar an VPN, go bhfabhraíonn Azure an bealach díreach ExpressRoute, mar sin ní chruthaíonn tollán sláintiúil le contóirí sláintiúla aon rud faoin áit ar imigh paicéid an fheidhmchláir.

Is iad na modhanna stiúrtha doiciméadaithe raon clúdach ar ExpressRoute le raon cosanta níos sainiúla ar an VPN, nó réimíreanna dícheangailte ar an dá bhealach. Mar shampla, d'fhéadfadh peering príobháideach 10.40.0.0/16 a iompar agus an VPN ag fógairt 10.40.12.0/24. Buaileann an réimír is sainiúla agus fanann an chuid eile den raon díreach.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Déan an seiceáil chéanna sa treo áitiúil, ós rud é gurb é rogha do rótaire a shocraíonn cén bealach a n-imíonn trácht amach. Agus coinnigh iompar an tolláin féin ar bhealach ExpressRoute; déanann bealach a tharraingíonn deireadh príobháideach an gheata isteach sa tollán an tollán a bheith ag brath air féin.

Socraigh cad a tharlaíonn nuair a thiteann an tollán

Imíonn bealach VPN níos sainiúla nuair a thiteann an tollán, agus fanann an bealach díreach níos leithne. Sreabhann an trácht gan chriptiú ansin agus breathnaíonn gach rud sláintiúil, arb é an mód teipe is measa é do riachtanas atá ann chun criptiú a ráthú. Má chuireann an riachtanas cosc ar an gcúlú sin, caithfidh an ródú agus an beartas rochtana é sin a rá go sainráite seachas brath ar infhaighteacht an tolláin.

Scríobh síos cé na réimíreanna a fhéadfaidh fanacht inrochtana go díreach agus cé na cinn a chaithfidh stopadh nuair nach bhfuil an bealach criptithe ann. Ansin tástáil an cás ceadaithe le trácht fíor agus cuir contóirí an naisc i gcomparáid, mar ní inseoidh an tábla ródaithe amháin duit an bhfuil an riachtanas criptithe fós i bhfeidhm.

Ligeann an creat sin duit freisin NVA a mheas de réir a fíorfheidhmeanna, amhail il-tholláin, tréchur nó iniúchadh soláthraí, in ionad ceann a cheannach toisc go bhfuil an deireadh príobháideach.