Azure einkanet IP VPN yfir ExpressRoute án NVA

Goðsögnin er sú að dulkóðun umferðar yfir einkapeering ExpressRoute krefjist sýndarnetbúnaðar. Það gerir hún ekki. Azure styður Site-to-Site VPN Gateway þar sem endapunktur gangsins er einkaaðsetur RFC1918 sem flutt er yfir hringrásina, og búnaðurinn er valfrjáls en ekki byggingarlegur. Það sem búnaðargoðsögnin leynir er sá hluti sem raunverulega bítur: að virkja einkaeindapunktinn á einum hlut í stað tveggja, og að leyfa beinni peering-leið að vinna hljóðlega á dulkóðuðu leiðinni.

Hvaðan goðsögnin kom

Fullyrðingin á sér virðulegan uppruna. Í mörg ár var hagnýta uppskriftin fyrir IPsec yfir einkapeering NVA, því stýrða gáttin bauð aðeins almenningsendapunkta. Það breyttist, og svör skrifuð fyrir breytinguna eru enn vitnuð í þráðum þar sem enginn athugar dagsetninguna. Leiðréttingin er þröng: VPN-gátt með einkaaðsetri er til, og hún breytir endapunktinum, ekki leiðarstýringarlógíkinni í kringum hann.

Ekkert af þessu lætur NVA fara á eftirlaun. Það lætur forsenduna um að búnaður sé eina leiðin að kröfunni fara á eftirlaun.

Virkjaðu einkaeindapunktinn á báðum stigum

Byrjaðu á virkri ExpressRoute einkapeering-tengingu sem er tengd við VNetið sem hýsir VPN-gáttina. Innanhússverður að hafa þegar náð viðkomandi einkaaðsetrum yfir þá hringrás, því gangurinn mun nota þau aðsetur sem flutning. Þá forsenda gáttarinnar: verklag Microsoft fyrir VPN með einkaaðsetri krefst gáttar byggðrar á Standard almennings IP-tilfangi. Einkaaðsetrun gangsins fjarlægir ekki þá kröfu, sem kemur á óvart fólki sem gerir ráð fyrir að „einka“ þýði „ekkert almennt IP hvergi“.

Nú skaltu virkja fánann á báðum stöðum. Gáttarstillingin hefur sinn eigin rofa fyrir einkaaðsetur, og einstaka Site-to-Site-tengingin hefur annan sem lætur þá tengingu nota einkaaðsetrið. Að stilla annan en ekki hinn er algengasta ófullkomna stillingin; gangurinn kemst annaðhvort ekki upp eða kemst upp á rangan endapunkt.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Staðfestu eignanöfnin gagnvart uppsettu CLI-útgáfunni, því merkingar gáttarinnar og CLI-eiginleikar hafa ekki alltaf sama orðalag. Virk-virk gátt birtir tvö einkagangs aðsetur, og staðbundni búnaðurinn þarf báða jafningjana stillta ef þú vilt að þessi ofgnótt þýði eitthvað. BGP er ekki krafist bara til að reisa þennan gang með einkaaðsetri, þótt það sé venjulega hluti af því hvernig þú dreifir forskeytum.

Önnur goðsögn: uppsettur gangur dulkóðar umferðina þína

Tvær leiðir ná nú til forritanetsins: beina einkapeering-leiðin og leiðin í gegnum VPNið. Báðar virka. Aðeins ein beitir þessu IPsec-lagi. Microsoft skjalfestir að þegar sams konar forskeyti eru tilkynnt yfir ExpressRoute og yfir VPNinu, velji Azure beinu ExpressRoute-leiðina, svo heilbrigður gangur með heilbrigða teljara sannar ekkert um hvert forritapakkarnir fóru.

Skjalfestu stýriaðferðirnar eru yfirgrípsbil á ExpressRoute með nánara vernduðu bili á VPNinu, eða aðskilin forskeyti á leiðunum tveimur. Sem dæmi gæti einkapeering borið 10.40.0.0/16 á meðan VPNið tilkynnir 10.40.12.0/24. Nánara forskeytið vinnur og afgangur bilsins helst beinn.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Gerðu sömu athugun í átt að innanhúss, því val leiðarans ákvarðar hvaðan útfarandi umferð fer. Og haltu eigin flutningi gangsins á ExpressRoute-leiðinni; leið sem dregur einkaeindapunkt gáttarinnar inn í ganginn gerir ganginn háðan sjálfum sér.

Ákveddu hvað gerist þegar gangurinn dettur

Nánari VPN-leið hverfur þegar gangurinn dettur, á meðan breiðari beina leiðin helst. Umferðin streymir þá ódulkóðuð og allt lítur heilbrigt út, sem er versti bilunarháttur fyrir kröfu sem er til að tryggja dulkóðun. Ef krafan bannar þá afturhvarf verða leiðarstýringin og aðgangsstefnan að segja það skýrt í stað þess að treysta á framboð gangsins.

Skrifaðu niður hvaða forskeyti mega halda áfram að vera beint aðgengileg og hver verða að stöðvast þegar dulkóðaða leiðin vantar. Prófaðu svo leyfða tilvikið með raunverulegri umferð og berðu saman tengiteljarana, því leiðartöflurnar einar segja þér ekki hvort dulkóðunarkrafan gildir enn.

Þessi rammi leyfir þér líka að meta NVA út frá raunverulegum eiginleikum hans, svo sem mörgum göngum, afkastagetu eða skoðun söluaðila, í stað þess að kaupa einn vegna þess að endapunkturinn er einkaaðsetur.