Dua alamat VPN lokal: dua peer Azure, bukan satu

Diagram memiliki dua tautan internet di cabang dan satu gateway VPN Azure, sehingga gateway jaringan lokal menerima kedua alamat publik. Terlihat rapi, dan tidak bekerja seperti yang tersirat dalam diagram. Setiap perangkat VPN lokal adalah hubungan peer terpisah, dan desain multi-perangkat Microsoft memberi masing-masing resource gateway jaringan lokal dan koneksinya sendiri. Menambahkan alamat kedua ke satu resource tidak membuat peer kedua. Itu membuat resource yang tidak menggambarkan kedua perangkat dengan benar.

Mitos: satu gateway, dua alamat

Gateway jaringan lokal adalah deskripsi peer jarak jauh: satu endpoint publik dan prefiks privat di belakangnya. Tidak ada cara yang didukung untuk membuat resource itu berarti «salah satu dari dua perangkat ini».

Kebingungan yang sama terjadi di arah lain, di mana dua IP publik Azure dibaca sebagai bukti bahwa ada dua gateway Azure.

Hitung objeknya, lalu hitung terowongannya

Ambil dua perangkat lokal yang dioperasikan secara independen, masing-masing dengan alamat publiknya sendiri dan akses ke jaringan privat yang sama, ditambah satu gateway Azure berbasis rute dalam mode aktif-aktif. Gateway Azure memiliki dua instans aktif dengan IP publik terpisah. Setiap perangkat lokal terhubung ke kedua instans. Itulah mesh penuh, dan jumlah objek mengikuti dari situ, bukan dari diagram.

Aritmetikanya cukup pendek untuk ditempel ke dokumen desain:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Satu resource koneksi dapat membawa lebih dari satu terowongan dasar, jadi empat terowongan tidak berarti empat gateway jaringan virtual. Dua IP publik Azure juga bukan objek yang sama dengan dua gateway jaringan lokal yang menggambarkan situs jarak jauh.

Apa yang ditambahkan mode aktif-aktif di sisi Azure

Aktif-aktif mengubah gateway Azure dari satu instans aktif menjadi dua, masing-masing dengan IP publiknya sendiri, dan itulah yang memungkinkan mesh penuh. Ini tidak menggandakan throughput satu aliran. Ini juga tidak menghilangkan kebutuhan sisi lokal mendukung multipath berbiaya sama jika kedua perangkat meneruskan sekaligus. Konfirmasikan mode gateway, SKU, dan kemampuan perangkat jarak jauh sebelum menyediakan apa pun.

Gateway dalam siaga pasif adalah desain yang sepenuhnya valid; itu hanya menghasilkan jumlah terowongan yang berbeda.

BGP membuat kedua jalur dapat digunakan

Untuk desain multi-perangkat, kedua perangkat lokal menjalankan BGP. Beri masing-masing alamat peer BGP yang unik dan iklankan prefiks privat yang dimaksudkan sama melalui jalur yang relevan. Prefiks privat mengidentifikasi jaringan yang dilindungi, sedangkan alamat publik mengidentifikasi tempat koneksi pembawa terenkripsi berakhir. Mencampur keduanya menghasilkan desain di mana setiap terowongan aktif dan rutenya salah.

Rencanakan perutean balik dan inspeksi stateful apa pun yang harus menoleransi salah satu jalur. Sesi IKE yang sehat di setiap endpoint tidak membuktikan bahwa beban kerja dapat menggunakan setiap rute yang diiklankan.

Pemilihan berbasis aliran bukan penggabungan bandwidth

Azure memilih jalur per aliran menggunakan hash atas pengalamatan dan port aliran. Dalam kondisi stabil, paket aliran TCP atau UDP tertentu biasanya melewati terowongan yang sama, dan sisi lokal dapat memilih terowongan lain untuk arah balik. Karena itu dua perangkat dan empat terowongan meningkatkan ketersediaan, bukan kecepatan satu transfer. Ketika slide vendor menjanjikan agregasi, itu menjelaskan fitur lain atau kesalahpahaman.

Uji dengan aliran paralel jika ingin melihat jalur menyebar, dan dengan satu aliran jika ingin melihat batasnya.

Redundansi apa yang sebenarnya Anda hapus

Dua alamat WAN pada satu perangkat meningkatkan opsi tautan akses sambil berbagi daya, perangkat lunak, dan status kegagalan perangkat itu. Keduanya tidak sama dengan dua perangkat, dan tidak ada konfigurasi di sisi Azure yang mengubahnya. Ikuti desain dual-WAN atau klaster yang didukung vendor alih-alih menyimpulkan redundansi dari jumlah alamat. Lalu ujilah: lepaskan satu jalur setiap kali dan konfirmasikan rute yang tersisa plus pertukaran aplikasi nyata di kedua arah.

Perkirakan penundaan deteksi dan konvergensi, dan perkirakan beberapa sesi yang ada akan berakhir.