NVA વગર ExpressRoute પર Azure ખાનગી IP VPN

દંતકથા એ છે કે ExpressRoute ખાનગી peering પર ટ્રાફિક એન્ક્રિપ્ટ કરવા માટે નેટવર્ક વર્ચ્યુઅલ એપ્લાયન્સ જરૂરી છે. તે નથી. Azure Site-to-Site VPN Gateway ને સમર્થન આપે છે જેનું ટનલ એન્ડપોઇન્ટ સર્કિટ દ્વારા વહન કરાયેલું ખાનગી RFC1918 સરનામું છે, અને એપ્લાયન્સ વૈકલ્પિક છે, માળખાકીય નથી. એપ્લાયન્સની દંતકથા જે છુપાવે છે તે ભાગ ખરેખર ચભે છે: બે ઑબ્જેક્ટને બદલે એક ઑબ્જેક્ટ પર ખાનગી એન્ડપોઇન્ટ સક્ષમ કરવું, અને સીધા peering રૂટને એન્ક્રિપ્ટેડ માર્ગ પર શાંતિથી જીતવા દેવું.

દંતકથા ક્યાંથી આવી

આ દાવાને આદરપાત્ર પૂર્વજો છે. વર્ષો સુધી ખાનગી peering પર IPsec માટે વ્યવહારુ રેસીપી NVA હતી, કારણ કે વ્યવસ્થાપિત ગેટવે ફક્ત જાહેર એન્ડપોઇન્ટ જ પ્રગટ કરતું હતું. તે બદલાયું, અને પરિવર્તન પહેલાં લખાયેલા જવાબો હજી પણ એવા થ્રેડમાં ટાંકવામાં આવે છે જ્યાં કોઈ તારીખ ચકાસતું નથી. સુધારો સાંકડો છે: ખાનગી સરનામાવાળું VPN ગેટવે અસ્તિત્વમાં છે, અને તે એન્ડપોઇન્ટ બદલે છે, તેની આસપાસનું રૂટિંગ લોજિક નહીં.

આમાંથી કંઈ પણ NVA ને નિવૃત્ત કરતું નથી. તે એ ધારણાને નિવૃત્ત કરે છે કે એપ્લાયન્સ જ આવશ્યકતાનો એકમાત્ર માર્ગ છે.

બંને સ્તરે ખાનગી એન્ડપોઇન્ટ સક્ષમ કરો

VPN ગેટવે ધરાવતા VNet સાથે જોડાયેલા કાર્યરત ExpressRoute ખાનગી peering કનેક્શનથી શરૂ કરો. ઑન-પ્રિમાઇઝ બાજુએ પહેલેથી જ તે સર્કિટ દ્વારા સંબંધિત ખાનગી સરનામાં સુધી પહોંચવું જોઈએ, કારણ કે ટનલ તે સરનામાંને પરિવહન તરીકે વાપરશે. પછી ગેટવેની પૂર્વશરત: ખાનગી-IP VPN માટે Microsoft ની પ્રક્રિયાને Standard જાહેર IP સ્રોત પર બનેલા ગેટવે ની જરૂર છે. ખાનગી ટનલ સરનામું આ શરત દૂર કરતું નથી, જે એ લોકોને આશ્ચર્યચકિત કરે છે જેઓ માને છે કે „ખાનગી“ એટલે „ક્યાંય પણ જાહેર IP નહીં“.

હવે બંને જગ્યાએ ફ્લેગ સક્ષમ કરો. ગેટવે ગોઠવણીમાં ખાનગી IP માટે તેનું પોતાનું ટૉગલ છે, અને વ્યક્તિગત Site-to-Site કનેક્શનમાં બીજું છે જે તે કનેક્શનને ખાનગી સરનામું વાપરવા મજબૂર કરે છે. એક સેટ કરવું અને બીજું નહીં એ સૌથી સામાન્ય અપૂર્ણ ગોઠવણી છે; ટનલ કાં તો સ્થપાતું નથી અથવા ખોટા એન્ડપોઇન્ટ પર સ્થપાય છે.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

તમારા ઇન્સ્ટોલ કરેલા CLI સંસ્કરણ સામે ગુણધર્મોનાં નામ ચકાસો, કારણ કે પોર્ટલ લેબલ અને CLI ગુણધર્મોનું શબ્દોકથન હંમેશા સમાન હોતું નથી. સક્રિય-સક્રિય ગેટવે બે ખાનગી ટનલ સરનામાં પ્રગટ કરે છે, અને તે રીડન્ડન્સીનો અર્થ થવો જોઈએ તો ઑન-પ્રિમાઇઝ ઉપકરણમાં બંને પીઅર ગોઠવેલા હોવા જોઈએ. ફક્ત આ ખાનગી-સરનામાવાળી ટનલ ઊભી કરવા માટે BGP જરૂરી નથી, જોકે તે સામાન્ય રીતે પ્રીફિક્સ વિતરિત કરવાની રીતનો ભાગ હોય છે.

બીજી દંતકથા: સ્થપાયેલી ટનલ તમારો ટ્રાફિક એન્ક્રિપ્ટ કરે છે

હવે એપ્લિકેશન નેટવર્ક સુધી બે માર્ગ પહોંચે છે: સીધો ખાનગી peering માર્ગ અને VPN દ્વારા માર્ગ. બંને કામ કરે છે. ફક્ત એક જ આ IPsec સ્તર લાગુ કરે છે. Microsoft દસ્તાવેજ કરે છે કે જ્યારે સમાન પ્રીફિક્સ ExpressRoute અને VPN બંને પર જાહેર થાય, ત્યારે Azure સીધા ExpressRoute માર્ગને પ્રાધાન્ય આપે છે, તેથી સ્વસ્થ ટનલ અને સ્વસ્થ કાઉન્ટર એપ્લિકેશન પેકેટ ક્યાં ગયા તેનું કંઈ સાબિત કરતા નથી.

દસ્તાવેજીકૃત સ્ટીઅરિંગ પદ્ધતિઓ ExpressRoute પર આવરણ કરતી શ્રેણી સાથે VPN પર વધુ ચોક્કસ સુરક્ષિત શ્રેણી, અથવા બે માર્ગ પર અસંયુક્ત પ્રીફિક્સ છે. ઉદાહરણ તરીકે, ખાનગી peering 10.40.0.0/16 વહન કરી શકે છે જ્યારે VPN 10.40.12.0/24 જાહેર કરે છે. વધુ ચોક્કસ પ્રીફિક્સ જીતે છે અને શ્રેણીનો બાકીનો ભાગ સીધો રહે છે.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

ઑન-પ્રિમાઇઝ દિશામાં પણ એ જ તપાસ કરો, કારણ કે તમારા રાઉટરની પસંદગી નક્કી કરે છે કે આઉટબાઉન્ડ ટ્રાફિક કઈ બાજુથી નીકળે. અને ટનલનું પોતાનું પરિવહન ExpressRoute માર્ગ પર રાખો; જે રૂટ ગેટવેનું ખાનગી એન્ડપોઇન્ટ ટનલની અંદર ખેંચે છે તે ટનલને પોતાના પર નિર્ભર બનાવે છે.

ટનલ પડે ત્યારે શું થાય તે નક્કી કરો

ટનલ પડે ત્યારે વધુ ચોક્કસ VPN રૂટ અદૃશ્ય થાય છે, જ્યારે વિશાળ સીધો રૂટ રહે છે. પછી ટ્રાફિક એન્ક્રિપ્શન વિના વહે છે અને બધું સ્વસ્થ દેખાય છે, જે એવી આવશ્યકતા માટે સૌથી ખરાબ નિષ્ફળતા સ્થિતિ છે જે એન્ક્રિપ્શનની ખાતરી માટે અસ્તિત્વમાં છે. જો આવશ્યકતા તે ફૉલબૅક પર પ્રતિબંધ મૂકે, તો રૂટિંગ અને ઍક્સેસ નીતિએ તે સ્પષ્ટ રીતે કહેવું જોઈએ, ટનલની ઉપલબ્ધતા પર આધાર રાખવાને બદલે.

કયા પ્રીફિક્સ સીધા પહોંચી શકાય તેવા રહી શકે અને કયા એન્ક્રિપ્ટેડ માર્ગ ગેરહાજર હોય ત્યારે અટકવા જોઈએ તે લખો. પછી માન્ય કેસને વાસ્તવિક ટ્રાફિક સાથે પરીક્ષણ કરો અને કનેક્શન કાઉન્ટરની સરખામણી કરો, કારણ કે ફક્ત રૂટ ટેબલ તમને કહેશે નહીં કે એન્ક્રિપ્શનની આવશ્યકતા હજી પણ ધરાવે છે કે નહીં.

આ ઢાંચો તમને NVA ને તેની વાસ્તવિક વિશેષતાઓ પર મૂલ્યાંકન કરવાની પણ મંજૂરી આપે છે, જેમ કે બહુવિધ ટનલ, થ્રુપુટ અથવા વેન્ડર નિરીક્ષણ, ફક્ત એન્ડપોઇન્ટ ખાનગી હોવાથી એક ખરીદવાને બદલે.