Configuración de GatewaySubnet en Azure: resérvea antes da pasarela

Abra a rede virtual no portal e mire o espazo de enderezos antes de tocar a folla da subrede. Se ese /24 xa está dividido en subredes de carga de traballo sen nada libre, non hai sitio para unha reserva /27 e acaberá ou ben volvendo dividir ou ben ampliando a VNet, que é outro cambio con outra revisión. Fixe primeiro o espazo e despois cree a subrede.

Esa orde importa porque a subrede da pasarela non é unha subrede de carga de traballo cun nome especial. É a reserva de enderezos para as instancias xestionadas da pasarela, e Azure rexeitará a pasarela se a reserva é incorrecta.

Comece polo espazo de enderezos

Escriba o prefixo da VNet, as subredes de carga de traballo e a reserva da pasarela nunha soa liña antes de teclear nada. Unha VNet en 10.60.0.0/16 ten sitio; escolla un rango ao final para que o crecemento das cargas de traballo siga sendo contiguo.

Por exemplo, 10.60.255.192/26 deixa 64 enderezos para a pasarela mentres as cargas de traballo quedan en 10.60.0.0/20. Iso é un exemplo de planificación de enderezos, non unha promesa de dimensionamento. Microsoft esixe actualmente /27 ou maior para as pasarelas VPN que non son Basic, onde maior significa máis enderezos: unha /26 dá 64, mentres que unha /28 dá 16. Redondee cara arriba, nunca cara abaixo, mentres o plan de enderezos siga movéndose.

Cree a subrede co nome exacto

No portal, engada unha subrede e escriba o nome GatewaySubnet exactamente, con G maiúscula e S maiúscula, sen espazos nin sufixo. Azure compara esa cadea, así que Gateway-Subnet ou gateway produce unha subrede que o servizo de pasarela non usará.

O mesmo paso desde a CLI, que é máis doado de pór nunha revisión:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Deixe a subrede baleira. Sen VM, sen punto de conexión privado, sen delegación de servizo. Se xa vive algo alí, o despregamento falla e o erro raramente nomea o recurso que estorba, así que revise a lista de recursos da subrede antes de comezar.

Manteña a subrede xestionada libre de regras de carga de traballo

Non adxunte un grupo de seguridade de rede a esta subrede; Microsoft márcao como non compatible. Non asocie unha táboa de rutas cuxa ruta predeterminada envíe 0.0.0.0/0 a algún sitio, porque iso pode romper o funcionamento da pasarela, e manteña habilitada a propagación de rutas da pasarela.

Pon as restricións de acceso que realmente quería na subrede de carga de traballo ou nun límite de inspección. Tratar GatewaySubnet como unha subrede normal é o erro que produce unha pasarela que se despregar limpiamente e despois non pasa ningún tráfico.

O túnel forzado ten o seu propio deseño documentado. Unha ruta predeterminada improvisada na subrede da pasarela non é iso.

Comprobe as dependencias que o portal non mostra

Antes de premer crear, percorra a lista: nome exacto, prefixo dentro do espazo da VNet, sen solapamento con rangos locais, sen recursos de carga de traballo dentro, sen NSG e sen táboa de rutas cunha ruta predeterminada. Cada unha desas xa rompeu un despregamento real. Despois confirme o deseño máis amplo: a pasarela de rede local para o lado local, os espazos de enderezos que espera encamiñar e se se planea activo-activo ou coexistencia. Esas decisións cambian a conversa sobre o dimensionamento, e é moito máis barato pechalas agora.

A referencia de configuración da pasarela de Azure é a páxina que hai que citar cando alguén pregunta por que a subrede non pode aloxar unha VM.

Se a pasarela xa existe

Redimensionar ou substituír unha subrede de pasarela non é unha edición de máscara. Comprobe primeiro o procedemento de cambio compatible para a SKU e a xeración da pasarela, e enumere os obxectos dependentes: conexións, IP públicas, encamiñamento e calquera requisito de recuperación.

Se o procedemento require recrear a pasarela, planifíqueo como unha migración de servizo cunha xanela e unha reversión. Anote a reserva que escolleu, o motivo do tamaño e as regras que deliberadamente non adxuntou, para que o seguinte revisor non arranxe a subrede baleira engadindo un NSG.