Isar da zirga-zirga tsakanin rassa biyu ta hanyar ƙofar VPN ta Azure
Haɗin Site-to-Site guda biyu a kan ƙofar VPN ɗaya ta Azure na iya ba da zirga-zirgar rassa, amma sai lokacin da ɓangarorin biyu suka koyi prefix ɗin kuma hanyar dawowa ta LAN ta kasance.
Rassa biyu na iya musayar zirga-zirga ta hanyar ƙofar VPN ta Azure ba tare da wani tunnel kai tsaye a tsakaninsu ba. Kowace reshe tana buɗe haɗin Site-to-Site zuwa wannan ƙofar, kuma ƙofar tana wucewa da prefix ɗin da aka koya tsakanin haɗin biyu. Abin da ke sa wannan yin aiki ba shine tunnel na biyu ba, sai dai musayar hanyoyi: reshe A ya koyi prefix ɗin reshe B, kuma B ya koyi na A. Bi gwaje-gwajen da ke ƙasa bisa tsari kuma tsaya a farkon wanda ya kasa, domin kowane mataki na gaba ya dogara da shi.
Sharuddan farko, kafin ka daidaita wani abu
Sharudda huɗu ne ke yanke shawarar ko wannan ƙira za ta iya yin aiki kwata-kwata. Dole ƙofar ta kasance bisa hanyoyi kuma a kan SKU da ke goyon bayan BGP, dole a kunna BGP a kan haɗin biyu, wuraren adireshin rassan kada su yi karo, kuma babu wani ɓangare da zai dogara da NAT don ɓoye ainihin prefix ɗinsa.
Tsara ASN ɗin da gangan. Ƙimar da Azure ta rubuta a matsayin tsoho ita ce 65515, kuma kowane na'urar sarrafa hanyar reshe yana buƙatar nasa ASN na sirri wanda ba zai yi karo da ƙofar ko ɗayan reshe ba. Sake amfani da tsoho ba tare da duba tsarin ƙofar da ke akwai ba shine hanyar da ake ƙin hanyar AS daga baya.
Har ila yau tabbatar ba ka tsammanin halin peering na VNet ba. Ƙofar tana musayar hanyoyi tsakanin haɗin biyu da ka daidaita; ba ta mai da peering na son rai ya zama mai wucewa ba. Idan cibiyar sadarwa ta uku za ta isa rassan biyu, tana buƙatar nata haɗin ko nata hanyar, ba tsammanin cewa ƙofar za ta watsa zirga-zirgar ba. Rubuta wannan iyaka kafin taga canji ta farko, domin ita ce shawarar ƙira da mutane ke komawa gareta idan an ƙara wani wuri daga baya.
Daidaita bisa wannan tsari
Kowane mataki yana da sakamakon da ake iya gani, don haka kada ka ci gaba har sai ya bayyana.
- Kunna BGP a kan ƙofar cibiyar sadarwar kama-da-wane kuma lura da ASN ɗinta da adireshin peer ɗinta.
- Ƙirƙiri ƙofar cibiyar sadarwa ta gida ga kowane reshe tare da ainihin wurin adireshin wannan reshe, ASN ɗinta da adireshin peer ɗin BGP.
- Ƙirƙiri kowane haɗin Site-to-Site kuma kunna BGP a kan haɗin kansa.
- Daidaita na'urar sarrafa hanyar reshe don yin peer da adireshin ƙofar da Azure ta bayar, ba da ƙarshen IKE na jama'a na ƙofar bisa tsammani ba.
Mataki na huɗu shine inda yawancin ƙoƙari ke tsayawa. Adireshin peer ɗin BGP da Azure ke bayarwa shine wanda na'urar sarrafa hanyar reshe dole ta yi amfani da shi a matsayin maƙwabci, kuma ba koyaushe shine adireshin da mutane ke tsammani daga zanen tunnel ba.
Sanar da prefix ɗin reshe kansa, misali 10.10.0.0/16 daga A da 10.20.0.0/16 daga B. Kada ka sanar da tsohuwar hanya ko babban tarin don rufe wata cibiyar sadarwa takamaimai da ta ɓace; ramin yana dawowa daga baya a matsayin baƙin rami marar magana.
Tabbatar da musayar hanyoyi a ɓangarorin biyu
Matsayin haɗi ba shine gwajin ba. IPsec na iya kasancewa a kunne a kan haɗin biyu yayin da babu prefix da ke wucewa tsakaninsu. Karanta peers ɗin BGP na ƙofar da hanyoyin da aka koya, sannan tabbatar cewa hanyar zuwa ɗayan reshe ta bayyana a matsayin hanya mai amfani.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Prefix da ke cikin teburin BGP na iya rasa shawarar turawa ga wata hanya ta tsaye ko wani prefix mafi takamaimai. Duba hanyar da aka zaɓa, ba wai kawai wadda aka karɓa ba.
Bi hanyar dawowa a ɓangaren LAN
Wannan shine ɓangaren da ke kama da daidai a Azure kuma ya kasa a wurin. Mai masauki a reshe A yana aika fakitinsa zuwa na'urar sarrafa hanyar VPN ta A ne kawai idan wannan na'urar ita ce tsohuwar ƙofarsa, ko kuma idan mai masaukin ko ƙofarsa tana da hanya zuwa prefix ɗin B. Haka kuma dole ya kasance gaskiya a ɓangaren akasin.
Idan wani maɓalli na tsakiya na daban shine tsohuwar ƙofar LAN, yana buƙatar hanyar zuwa ɗayan reshe da ke nuni zuwa na'urar sarrafa hanyar VPN. Ba tare da ita ba buƙatar tana zuwa kuma amsar tana fita ta hanyar intanet, kuma mai amfani yana ganin haɗin da ke buɗewa sannan ya rataya.
Kada ka kai ga ƙungiyar tsaron cibiyar sadarwa a kan subnet ɗin ƙofar don gyara wannan. Wannan subnet ɗin tana da nata buƙatun kuma NSG a wurin ba shine madadin da aka goyi bayan manufar ɓangaren reshe ba. Tacewa ta kasance a kan firewalls ɗin rassan da kuma kan ayyukan kansu, inda masu su za su iya duba ƙa'idojin. Ɗaukar waɗannan ƙa'idojin zuwa NSG na subnet yana kuma ɓoye su daga ƙungiyar da za ta gyara matsala ta gaba.
Yarda da aikin, sannan tabbatar da shi da gwajin da aka ƙi
Hanyar da aka koya ba izini ba ce. Ba da izinin tushen, inda za a je da sabis ɗin da kake buƙata da gaske ta hanyar firewalls ɗin rassan da manufar ƙarshen, sannan ka bar sauran an ƙi.
Gwada daga wani aiki na yau da kullum a reshe A zuwa wani sabis na gaske a reshe B, tabbatar da amsa, sannan ka gwada aikin da ya kamata ya kasance haramun. Zirga-zirgar da na'urar VPN kanta ke ƙirƙira na iya amfani da wani adireshin tushe kuma ta tsallake matakin sarrafa hanyar LAN, don haka ping mai nasara daga na'urar sarrafa hanyar yana tabbatar da ƙasa da abin da ake gani.
Kammala ta hanyar rubuta abubuwa huɗu: prefix ɗin da aka musayar, ASN ɗin da ake amfani da su, hanyar dawowa ta LAN ga kowane ɓangare, da manufar da ke ba da izinin sabis ɗin. Idan ɗaya daga cikinsu ya ɓace, saitin yana aiki har zuwa canji na farko, sannan babu wanda zai iya bayyana dalili.