Azure NVA-ellenőrzés: miért megy át a válasz egy másik tűzfalon

Egy fióktelep–Azure folyam mindkét irányban helyesen irányítható, és mégis meghiúsulhat, mert a két irány különböző eszközökön halad át. A kérés elhagyja a fióktelepet a VPN-en, leszáll az NVA A-ra és eléri a számítási feladatot. A válasz elhagyja a számítási feladatot, egy NVA B-re mutató útvonalhoz illeszkedik és ott meghal. A képen minden útvonal érvényes, és a TCP-munkamenet mégis törött.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Ez a rés itt az egész téma: az útválasztási konvergencia és a munkamenet-állapot tulajdonjoga különböző problémák, amelyek egy ábrán azonosnak látszanak.

Mit programoz valójában a Route Server

Az Azure Route Server peeringet létesít a támogatott BGP-beszélőkkel, megtanulja az útvonalaikat és beprogramozza azokat a virtuális hálózat effektív útvonalaiba. Ez vezérsík-feladat. Nem olvassa egy szállítói tűzfal munkamenet-táblázatát, és fogalma sincs, melyik eszköz engedélyezett egy adott kapcsolatot. Két egyenlő költségű következő ugrás ennek a szövetnek csupán két módja ugyanazon előtag elérésének, és bármelyiket használja.

Egy útvonal megtanulása tehát elérhetőséget bizonyít. Semmit sem bizonyít arról, hogy a másik vég eszköze látta-e már ezt a folyamot.

Tervezés előtt olvassa el mindkét irányt

Kezdje azzal, hogy leírja az irányítást, amely valóban van mindkét irányban, nem azt, amelyet szándékozott. A konkrétabb BGP-útvonalak, a felhasználó által meghatározott útvonalak és az átjáró viselkedése mind versenyeznek, és a győztes célonként dől el, nem munkamenetenként. Az NVA-n lévő alapértelmezett útvonal nem jelenti azt, hogy minden privát előtag áthalad rajta.

Hasznos ellenőrzés megkérdezni egy adott számítási feladat IP-címére, melyik következő ugrásra oldódik fel az egyes irányok. Ha a válasz két különböző eszköz, aszimmetriaproblémája van, akár már felszínre került, akár nem.

Hol él az állapot

Az állapotkövető tűzfal beenged egy kapcsolatot, és az ötös kulcs alapján táblabejegyzést tart. A válasznak el kell érnie azt az eszközt, amely ezt a bejegyzést tartja, vagy annak az eszköznek más módon meg kell szereznie az állapotot. Az Azure adatsíkjában semmi sem továbbítja a bejegyzést az eszközök között. Vagy visszairányítják a forgalmat a tulajdonoshoz, vagy az eszközök szállítói mechanizmuson keresztül megosztják az állapotot, vagy a terv nem működik.

Ezért két egészséges NVA nem egészségügyi ellenőrzés az ellenőrzéshez. Az egészség az elérhetőségről szól; az ellenőrzés arról, melyik példány tartja a munkamenetet.

Támogatott HA-modellek és mit ígér mindegyik

Microsoft's guidance on Virtual WAN útválasztási szándékáról korlátozott viselkedést ír le a kettős szerepű kapcsolódás és a tűzfal-NVA-k esetében, ahol a közvetlen útválasztás megkerülheti a hub szokásos szimmetrikus kikényszerítését. Olvassa ezeket a feljegyzéseket a választott topológia korlátaiként, nem az aktív-aktív tervek tilalmaként. Egy szállítói pár, amely szinkronizálja az állapotot vagy folyamonként irányít, támogatható. Az egyenlő költségű pár, amely egyiket sem teszi, nem az.

Ezután határozza meg, mi történik a meglévő munkamenetekkel, amikor egy csomópont meghibásodik. Az útvonal-konvergencia másodperceken belül helyreállítja az elérhetőséget az új folyamok számára, míg a régi tűzfal-állapot egyszerűen eltűnik. Az ügyfél újracsatlakozása lehet a dokumentált eredmény, és erről az incidens előtt kell dönteni, nem alatta.

Mit kell tesztelni, mielőtt megbízik benne

Test with inspection enabled and a számítási feladat hozzáférési szabályzatával a helyén, mert bármelyik elrejtheti az aszimmetriát. Küldjön egy új engedélyezett folyamot mindkét irányban, és erősítse meg, hogy ugyanaz az eszköz látta mindkét felét. Ezután futtasson tartós forgalmat, és indítsa el a jóváhagyott feladatátvételt, figyelve, hogy a meglévő munkamenetek túlélik-e vagy újracsatlakoznak.

Korrelálja az egyes folyamokat az azt kezelő eszközzel. Egyetlen NVA-n végzett csomagrögzítés szinte semmit sem mond, ha a válasz soha nem tért vissza hozzá.

Végül írja le a tervet három külön sorban: útvonal-tulajdonjog, forgalomirányítás és munkamenet-állapot tulajdonjog. A tervek akkor törnek el, amikor az első kettő megoldott, a harmadikat pedig feltételezik.