ExpressRoute plus VPN. ո՞ր ձախողման տիրույթներն եք ծածկում
Երկրորդ IPsec թունելը ծածկում է վերջնակետը, ոչ թե դրա տակ գտնվող շղթան։ Քարտեզագրեք յուրաքանչյուր ձախողման տիրույթ, ապա որոշեք՝ արդյոք թույլատրելի է առանց գաղտնագրման պահուստային ուղին։
ExpressRoute-ի մասնավոր փիրինգով անցնող IPsec թունելը գաղտնագրում է ավելացնում արդեն գոյություն ունեցող տրանսպորտին։ Երկրորդ թունելը բարելավում է վերջնակետի հասանելիությունը և բացարձակապես ոչինչ չի անում դրանց երկուսի տակ գտնվող օպերատորի ուղու համար։ Այս տարբերությունը հեշտ է կորցնել, երբ վահանակները ցույց են տալիս երկու կանաչ թունել, իսկ նախագծի վերանայումը տալիս է այլ հարց՝ ի՞նչ ձախողումներ պետք է վերապրի այս կապը։ Նախ պատասխանեք դրան, ապա հաշվեք թունելները, որովհետև կանաչ ցուցիչների քանակը գաղտնագրման շերտի հատկություն է, իսկ ձախողման տիրույթների քանակը՝ ամբողջ ուղու հատկություն։
Սկսեք ձախողումներից, ոչ թե կանաչ թունելներից
Գրեք չորս տող նախքան որևէ բան նկարելը՝ մեկ VPN վերջնակետի կամ փիրի օրինակի ձախողում, մեկ տեղական երթուղիչի կամ առաջին մղոնի կապի ձախողում, ընդհանուր ExpressRoute ուղու ձախողում, և IPsec-ի անհասանելիությունը, մինչ մասնավոր փիրինգը դեռ տեղափոխում է երթևեկություն։ Յուրաքանչյուր տող նշում է, թե ինչ պետք է պահպանի նախագիծը, և յուրաքանչյուրին պատասխանում է տարբեր մեխանիզմ։
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft-ը փաստաթղթավորում է մասնավոր IP-ով site-to-site VPN-ը ExpressRoute-ի մասնավոր փիրինգի միջոցով, ինչպես նաև համացանցի վրա հիմնված site-to-site կապերի հետ աջակցվող համագոյակցությունը։ Այդ համագոյակցությունը տարբեր ստորին շերտի նախագիծ է և չի առաջանում միայն այն պատճառով, որ դուք ավելացրել եք ևս մեկ մասնավոր թունելի վերջնակետ։
Ձախողման տիրույթ 1. VPN վերջնակետը
Մեկ դարպասի վրա երկու թունել սովորաբար active-active զույգեր են, որոնք ավարտվում են նույն Azure-ի կողմի ռեսուրսում։ Դրանք պաշտպանում են մեկ թունելի կամ օրինակի խնդրից և չեն պաշտպանում այն բանից, որ այդ ռեսուրսը դառնա անհասանելի, վերակազմաձևվի կամ սպառի հզորությունը։ Վերջնակետի ավելորդությունը նշանակում է երկրորդ աջակցվող վերջնակետ՝ իր ուղով և իր կոնֆիգուրացիայով, գումարած երթուղի, որը կարող է հասնել դրան։
Ստուգեք, թե ինչ եք իրականում տեղակայել, այլ ոչ թե ինչ է ասում գծապատկերը, որովհետև պորտալը խմբավորում է այս ռեսուրսները այնպես, որ թաքցնում է դրանց կապը.
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Եթե երկու թունելներն էլ ուղղված են մեկ դարպասի՝ մեկ հանրային IP-ով, դուք ունեք վերջնակետի ավելորդություն որոշակի և սահմանափակ տեսակի։ Դա կարող է լինել հենց այն, ինչ պահանջում է պահանջը, և դա պետք է այդպես ձևակերպել, այլ ոչ թե նկարագրել որպես ավելորդ կապ։
Ձախողման տիրույթ 2. տեղական ուղին և օպերատորը
Գաղտնագրման տակ ընկած է ֆիզիկական և առևտրային իրականություն՝ հաճախորդի եզրային սարք, խաչմերուկ, մատակարարի ցանց և փիրինգի վայր։ ExpressRoute-ի հասանելիության ուղեցույցը հստակ ասում է, որ ծայրից ծայր ավելորդությունը ներառում է հաճախորդի և ծառայություն մատուցողի հատվածները, ոչ միայն Microsoft-ի կողմը։ Երկու տրամաբանական ուղիներ, որոնք կիսում են երթուղիչ, էլեկտրասնուցում կամ առաջին մղոնի կապ, դեռ կիսում են այդ կախվածությունը։
Այստեղ է, որ նախագիծը սովորաբար ձախողում է ազնիվ վերանայումը։ Նույն մատակարարի երկու շղթաներ, որոնք ավարտվում են նույն շենքում, նույն գնման պատվերի սարքավորումներով, երկու ձախողման տիրույթ չեն։ Դրանք մեկ ձախողման տիրույթ են՝ երկու հաշիվ-ապրանքագրով։
Օպերատորին հարցրեք գրավոր՝ այս ուղիներից որո՞նք են տարբերվում, որտեղ, և ինչ է փաստաթղթավորված վարքագիծը, երբ ընդհանուր հատվածը ձախողվում է։ Նախագծային զանգի ընթացքում բանավոր հավաստիացումը չի վերապրում այն խափանումը, որի համար դուք նախագծում եք։
Ձախողման տիրույթ 3. ուղին, որը պահպանվում է առանց IPsec-ի
Մասնավոր փիրինգը և IPsec-ը կարող են մրցակցող երթուղիներ առաջարկել նույն հավելվածի նախածանցին. Եթե պաշտպանված երթուղին անհետանում է, պահպանված ուղիղ ExpressRoute երթուղին կարող է դեռ օգտագործելի լինել՝ առանց այն գաղտնագրման շերտի, որը տրամադրում էր թունելը։ Արդյոք դա ընդունելի է, քաղաքականության որոշում է, և հենց այդ որոշումն է ամենից հաճախ թողնվում ենթադրյալ։
Գաղտնագրման պահանջները և հասանելիության պահանջները այստեղ կարող են իսկապես բախվել։ «Ցանկացած պահպանված երթուղի համարվում է հաջողություն» հայտարարությունը հասանելիության մասին է, որը հանգիստ «ոչ» է պատասխանում գաղտնագրման հարցին։ Գրեք, թե որն է հաղթում, որ նախածանցերի համար և ով է հաստատել։
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableՀամեմատեք սովորած երթուղիները ձեր սպասած նախածանցերի հետ։ Փոքր վարչական բեռ կրող պահուստային ուղին կարող է լիովին համարժեք լինել այդ բեռի համար և շատ հեռու լինել արտադրական պահանջարկին անհրաժեշտ հզորությունից, ուստի գրանցեք հզորության ենթադրությունը երթուղու կողքին։
Գրանցեք երեք առանձին տող, ոչ թե մեկ վճիռ
Պահեք վերջնակետի ավելորդությունը, տրանսպորտի ավելորդությունը և աղետից հետո վերականգնումը որպես առանձին գրառումներ նախագծի մատյանում, յուրաքանչյուրը՝ իր մեխանիզմով, իր ստուգմամբ և իր պատասխանատուով։ Երբ միջադեպի վերանայումը հարցնում է, թե ինչու կապը վերապրեց դարպասի վերագործարկումը, բայց ոչ մանրաթելի կտրվածքը, երեք տողը պատասխանում են մեկ նախադասությամբ. մեկ «ավելորդ» նշատուփը չի կարող։
Այնուհետև փորձարկեք այն տողերը, որոնք կարող եք էժան փորձարկել։ Ձախողեք մեկ թունել և հաստատեք, որ երթևեկությունը տեղափոխվում և նորից գաղտնագրվում է։ Հետ վերցրեք մեկ երթուղի և հաստատեք, որ պահպանված ուղին հենց այն է, ինչ նախատեսել էիք, ապա հաստատեք՝ արդյոք այն դեռ գաղտնագրված է։ Փաստաթղթավորեք այն ձախողումները, որոնք չկարողացաք մոդելավորել, որովհետև չփորձարկված տողը ենթադրություն է և պետք է այդպես էլ նշվի։
Օգտակար արդյունքը կարճ աղյուսակն է՝ գումարած մեկ նախադասություն յուրաքանչյուր տողի համար։ Եթե տողը մեխանիզմ չունի, դա է հայտնաբերումը, և շատ ավելի էժան է այն գտնել նախագծի վերանայման ժամանակ, քան օպերատորի խափանման ընթացքում, որը երկու թունելներն էլ երբեք չէին վերապրի։