Menyiapkan GatewaySubnet di Azure: cadangkan ruangnya sebelum gateway

Buka jaringan virtual di portal dan lihat ruang alamatnya sebelum menyentuh bilah subnet. Jika /24 itu sudah terbagi menjadi subnet beban kerja tanpa sisa, tidak ada ruang untuk reservasi /27, dan akhirnya Anda harus membagi ulang atau memperlebar VNet, yang merupakan perubahan lain dengan tinjauan lain. Tetapkan ruangnya dulu, baru buat subnet.

Urutan itu penting karena subnet gateway bukan subnet beban kerja dengan nama khusus. Itu adalah reservasi alamat untuk instans gateway terkelola, dan Azure akan menolak gateway jika reservasinya salah.

Mulai dari ruang alamat

Tulis prefiks VNet, subnet beban kerja, dan reservasi gateway dalam satu baris sebelum mengetik apa pun. VNet pada 10.60.0.0/16 masih punya ruang; pilih rentang di ujungnya agar pertumbuhan beban kerja tetap bersambung.

Misalnya, 10.60.255.192/26 menyisakan 64 alamat untuk gateway sementara beban kerja tetap di 10.60.0.0/20. Itu contoh perencanaan alamat, bukan janji ukuran. Microsoft saat ini mewajibkan /27 atau lebih besar untuk gateway VPN non-Basic, di mana lebih besar berarti lebih banyak alamat: /26 memberi 64, sedangkan /28 memberi 16. Bulatkan ke atas, jangan pernah ke bawah, selama rencana alamat masih bergerak.

Buat subnet dengan nama persis

Di portal, tambahkan subnet dan ketik nama GatewaySubnet persis, G besar dan S besar, tanpa spasi atau akhiran. Azure mencocokkan string itu, jadi Gateway-Subnet atau gateway menghasilkan subnet yang tidak akan dipakai layanan gateway.

Langkah yang sama dari CLI, yang lebih mudah dicatat dalam tinjauan:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Biarkan subnet kosong. Tidak ada VM, tidak ada endpoint privat, tidak ada delegasi layanan. Jika sudah ada sesuatu di sana, penerapan gagal dan galatnya jarang menyebut sumber daya yang menghalangi, jadi periksa daftar sumber daya subnet sebelum mulai.

Jaga subnet terkelola tetap bebas dari aturan beban kerja

Jangan lampirkan grup keamanan jaringan ke subnet ini; Microsoft menandainya tidak didukung. Jangan kaitkan tabel rute yang rute defaultnya mengirim 0.0.0.0/0 ke suatu tempat, karena itu dapat merusak operasi gateway, dan biarkan propagasi rute gateway tetap aktif.

Pasang pembatasan akses yang benar-benar Anda inginkan pada subnet beban kerja atau di batas inspeksi. Memperlakukan GatewaySubnet seperti subnet biasa adalah kesalahan yang menghasilkan gateway yang terpasang bersih lalu tidak melewatkan lalu lintas apa pun.

Tunneling paksa punya desain terdokumentasinya sendiri. Rute default improvisasi di subnet gateway bukan itu.

Periksa dependensi yang tidak ditampilkan portal

Sebelum menekan buat, telusuri daftarnya: nama persis, prefiks di dalam ruang VNet, tidak ada tumpang tindih dengan rentang lokal, tidak ada sumber daya beban kerja di dalamnya, tidak ada NSG, dan tidak ada tabel rute dengan rute default. Semua itu pernah merusak penerapan nyata. Lalu pastikan desain yang lebih luas: gateway jaringan lokal untuk sisi lokal, ruang alamat yang Anda perkirakan akan dirutekan, dan apakah mode aktif-aktif atau koeksistensi direncanakan. Pilihan itu mengubah percakapan soal ukuran, dan jauh lebih murah menyelesaikannya sekarang.

Referensi pengaturan gateway Azure adalah halaman yang dikutip ketika seseorang bertanya mengapa subnet tidak bisa menampung VM.

Jika gateway sudah ada

Mengubah ukuran atau mengganti subnet gateway bukan penyuntingan mask. Periksa dulu prosedur perubahan yang didukung untuk SKU dan generasi gateway, lalu daftar objek dependen: koneksi, IP publik, perutean, dan persyaratan pemulihan apa pun.

Jika prosedurnya mengharuskan gateway dibuat ulang, rencanakan sebagai migrasi layanan dengan jendela waktu dan rollback. Catat reservasi yang Anda pilih, alasan ukurannya, dan aturan yang sengaja tidak dilampirkan, agar peninjau berikutnya tidak memperbaiki subnet kosong dengan menambahkan NSG.