ExpressRoute және VPN: қандай ақаулық домендерін қамтисыз?
Екінші IPsec туннелі соңғы нүктені қамтиды, оның астындағы арнаны емес. Әрбір ақаулық доменін картаға түсіріп, содан кейін шифрланбаған қосалқы жолдың рұқсат етілгенін шешіңіз.
ExpressRoute-тың жеке пирингі арқылы өтетін IPsec туннелі бұрыннан бар тасымалдауға шифрлау қосады. Екінші туннель соңғы нүктенің қолжетімділігін жақсартады және екеуінің астындағы оператор жолы үшін мүлде ештеңе істемейді. Бұл айырмашылықты жоғалту оңай: тақталар екі жасыл туннель көрсетіп, дизайн шолуы басқа сұрақ қояды — бұл қосылым қандай ақаулықтарға төтеп беруі керек? Алдымен соған жауап беріңіз, содан кейін туннельдерді санаңыз, өйткені жасыл индикаторлар саны шифрлау қабатының қасиеті, ал ақаулық домендерінің саны бүкіл жолдың қасиеті.
Жасыл туннельдерден емес, ақаулықтардан бастаңыз
Бірдеңе салмас бұрын төрт жол жазыңыз: бір VPN соңғы нүктесінің немесе peer данасының істен шығуы, бір жергілікті маршрутизатордың немесе бірінші миль қосылымының істен шығуы, ортақ ExpressRoute жолының істен шығуы және жеке пиринг әлі трафикті тасымалдап жатқанда IPsec-тің қолжетімсіз болуы. Әр жол дизайн нені сақтауы керектігін атайды, және әрқайсысына басқа механизм жауап береді.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft ExpressRoute-тың жеке пирингі арқылы жеке IP-мен site-to-site VPN-ді және интернетке негізделген site-to-site қосылымдарымен қолдау көрсетілетін қатар өмір сүруді құжаттайды. Бұл қатар өмір сүру басқа төменгі қабат дизайны және тағы бір жеке туннель соңғы нүктесін қосқаныңыз үшін ғана пайда болмайды.
Ақаулық домені 1: VPN соңғы нүктесі
Бір шлюздегі екі туннель әдетте бір Azure жағындағы ресурста аяқталатын active-active жұптар. Олар бір туннель немесе дана мәселесінен қорғайды, ал сол ресурстың қолжетімсіз болуынан, қайта конфигурациялануынан немесе сыйымдылығының таусылуынан қорғамайды. Соңғы нүктенің артықтығы дегеніміз — өз жолы мен өз конфигурациясы бар екінші қолдау көрсетілетін соңғы нүкте, оған қоса оған жете алатын маршрут.
Диаграмма айтқанды емес, шын мәнінде нені орналастырғаныңызды тексеріңіз, өйткені портал бұл ресурстарды қатынасын жасыратын түрде топтайды:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Егер екі туннель де бір жария IP-і бар бір шлюзге бағытталса, сізде белгілі және шектеулі түрдегі соңғы нүкте артықтығы бар. Бұл талап талап ететін нәрсенің дәл өзі болуы мүмкін және оны артық қосылым деп сипаттаудың орнына солай айту керек.
Ақаулық домені 2: жергілікті жол және оператор
Шифрлаудың астында физикалық және коммерциялық шындық жатыр: клиенттің шеткі құрылғысы, қиылысатын қосылым, провайдер желісі және пиринг орны. ExpressRoute қолжетімділік нұсқаулығы ұштан ұшқа артықтық тек Microsoft жағын ғана емес, клиент пен қызмет провайдері сегменттерін де қамтитынын анық айтады. Маршрутизаторды, қуат көзін немесе бірінші миль қосылымын бөлісетін екі логикалық жол сол тәуелділікті әлі де бөліседі.
Дизайн әдетте адал шолудан дәл осы жерде құлайды. Бір провайдерден келген екі арна бір ғимаратта аяқталып, бір сатып алу тапсырысының жабдығында болса, ол екі ақаулық домені емес. Ол екі шот-фактурасы бар бір ақаулық домені.
Операторға сұрақты жазбаша қойыңыз: осы жолдардың қайсысы қай жерде ажырайды және ортақ сегмент істен шыққандағы құжатталған мінез-құлық қандай? Дизайн қоңырауындағы ауызша сендіру сіз жобалап жатқан ақаулыққа төтеп бермейді.
Ақаулық домені 3: IPsec-сіз қалатын жол
Жеке пиринг пен IPsec бір қолданба префиксіне бәсекелес маршруттар ұсына алады. Егер қорғалған маршрут жоғалса, қалған тікелей ExpressRoute маршруты туннель берген шифрлау қабатынсыз әлі де пайдалы болуы мүмкін. Бұл қабылдана ма — саясат шешімі, және дәл осы шешім жиі жасырын қалдырылады.
Шифрлау талаптары мен қолжетімділік талаптары осында шынымен қақтығысуы мүмкін. «Қалған кез келген маршрут сәттілік деп саналады» деген қолжетімділік туралы мәлімдеме шифрлау сұрағына үнсіз «жоқ» деп жауап береді. Қайсысы жеңетінін, қандай префикстер үшін және кім бекіткенін жазыңыз.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableҮйренген маршруттарды күткен префикстеріңізбен салыстырыңыз. Шағын әкімшілік жүкті таситын қосалқы жол сол жүк үшін толық жеткілікті болуы мүмкін және өндірістік сұранысқа қажет сыйымдылықтан әлдеқайда алыс болуы мүмкін, сондықтан сыйымдылық болжамын маршруттың жанына жазыңыз.
Бір үкім емес, үш бөлек жол жазыңыз
Соңғы нүкте артықтығын, тасымалдау артықтығын және апаттан кейінгі қалпына келтіруді дизайн жазбасында бөлек жазбалар ретінде ұстаңыз, әрқайсысы өз механизмімен, өз тексеруімен және өз иесімен. Оқиға шолуы қосылым неге шлюзді қайта іске қосуды өткерді, ал талшық кесілуін өткермеді деп сұрағанда, үш жол бір сөйлеммен жауап береді; бір «артық» белгілеу ұяшығы мұны істей алмайды.
Содан кейін арзан тексере алатын жолдарды сынаңыз. Бір туннельді істен шығарып, трафиктің ауысатынын және қайта шифрланатынын растаңыз. Бір маршрутты кері қайтарып, қалған жолдың көздеген жолыңыз екенін растаңыз, содан кейін оның әлі шифрланғанын растаңыз. Модельдей алмаған ақаулықтарды құжаттаңыз, өйткені сыналмаған жол — болжам және оны солай белгілеу керек.
Пайдалы нәтиже — қысқа кесте және әр жолға бір сөйлем. Егер жолда механизм болмаса, бұл — табылған мәселе, және оны дизайн шолуында табу екі туннель де ешқашан өткере алмайтын оператор ақаулығы кезінде табудан әлдеқайда арзан.