Azure NVA инспекциясы: жауап неге басқа firewall арқылы өтеді

Филиалдан Azure-ға ағын екі бағытта да дұрыс маршрутталуы мүмкін және бәрібір сәтсіз аяқталуы мүмкін, себебі екі бағыт әртүрлі құрылғылардан өтеді. Сұрау филиалдан VPN арқылы шығып, NVA A-ға қонады және жұмыс жүктемесіне жетеді. Жауап жұмыс жүктемесінен шығып, NVA B-ге көрсететін маршрутқа сәйкес келеді және сол жерде өледі. Бұл суреттегі әрбір маршрут жарамды, ал TCP сессиясы әлі де бұзылған.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Осы олқылық мұнда бүкіл тақырып: маршруттау конвергенциясы мен сессия күйінің меншігі диаграммада бірдей көрінетін әртүрлі мәселелер.

Route Server шын мәнінде нені бағдарламалайды

Azure Route Server қолдау көрсетілген BGP сөйлеушілерімен peer құрады, олардың маршруттарын үйренеді және оларды виртуалды желінің тиімді маршруттарына бағдарламалайды. Бұл басқару деңгейінің жұмысы. Ол вендор firewall-ының сессия кестесін оқымайды және берілген қосылымды қай құрылғы рұқсат еткенін білмейді. Екі тең құнды келесі хоп осы мата үшін бір префикске жетудің екі жолы ғана және ол екеуінің бірін пайдаланады.

Сондықтан маршрутты үйрену қолжетімділікті дәлелдейді. Ол арғы жақтағы құрылғы бұл ағынды бұрын көрген-көрмегені туралы ештеңе дәлелдемейді.

Жобаламас бұрын екі бағытты да оқыңыз

Әр бағытта шын мәнінде бар басқаруды жазып бастаңыз, ниет еткеніңізді емес. Неғұрлым нақты BGP маршруттары, пайдаланушы анықтаған маршруттар және шлюз мінез-құлқы бәрі бәсекелеседі және жеңімпаз әр сессия үшін емес, әр тағайындалу үшін анықталады. NVA-дағы әдепкі маршрут әрбір жеке префикстің одан өтетінін білдірмейді.

Пайдалы тексеру — бір нақты жұмыс жүктемесінің IP-сі үшін әр бағыт қай келесі хопқа шешілетінін сұрау. Жауап екі түрлі құрылғы болса, асимметрия мәселесі бар, ол әлдеқашан анықталды ма, жоқ па — маңызды емес.

Күй қайда тұрады

Күйі бар firewall қосылымды қабылдайды және бестікпен кілттелген кесте жазбасын ұстайды. Жауап сол жазбаны ұстаған құрылғыға жетуі керек, немесе сол құрылғы күйді басқа жолмен алуы керек. Azure деректер деңгейінде ештеңе жазбаны құрылғылар арасында бермейді. Не трафик иесіне қайта бағытталады, не құрылғылар күйді вендор механизмі арқылы бөліседі, не жоба жұмыс істемейді.

Сондықтан екі сау NVA инспекция үшін денсаулық тексерісі емес. Денсаулық қолжетімділік туралы; инспекция сессияны қай дана ұстайтыны туралы.

Қолдау көрсетілетін HA модельдері және әрқайсысы нені уәде етеді

Microsoft's guidance on Virtual WAN маршруттау ниеті туралы нұсқаулығы қос рөлді қосылым мен firewall NVA-лары үшін шектеулі мінез-құлықты сипаттайды, мұнда тікелей маршруттау хабтың қалыпты симметриялық орындалуын айналып өтуі мүмкін. Бұл жазбаларды таңдалған топологияға шектеулер ретінде оқыңыз, белсенді-белсенді жобаларға тыйым ретінде емес. Күйді синхрондайтын немесе ағын бойынша бағыттайтын вендор жұбы қолдауға ие болуы мүмкін. Екеуін де жасамайтын тең құнды жұп қолдауға ие емес.

Содан кейін түйін істен шыққанда бар сессияларға не болатынын анықтаңыз. Маршрут конвергенциясы жаңа ағындар үшін қолжетімділікті секундтар ішінде қалпына келтіреді, ал ескі firewall күйі жай ғана жоғалады. Клиенттің қайта қосылуы құжатталған нәтиже болуы мүмкін және бұл оқиғаға дейін қабылданатын шешім, оның барысында емес.

Оған сенбес бұрын нені тексеру керек

Test with inspection enabled and жұмыс жүктемесінің қатынау саясаты орнында болғанда тексеріңіз, себебі екеуінің кез келгені асимметрияны жасыра алады. Екі бағытта жаңа рұқсат етілген ағын жіберіңіз және сол құрылғы екі жартыны да көргенін растаңыз. Содан кейін үздіксіз трафикті іске қосыңыз және мақұлданған апаттық ауысуды іске қосыңыз, орнатылған сессиялардың сақталатынын немесе қайта қосылатынын бақылаңыз.

Әр ағынды оны өңдеген құрылғымен байланыстырыңыз. Бір NVA-да пакетті түсіру, егер жауап оған ешқашан оралмаса, іс жүзінде ештеңе айтпайды.

Соңында жоспарды үш бөлек жол ретінде жазыңыз: маршруттар меншігі, трафикті бағыттау және сессия күйінің меншігі. Алғашқы екеуі шешіліп, үшіншісі болжалғанда жобалар бұзылады.