Екі филиал арасындағы трафикті Azure VPN шлюзі арқылы маршруттау
Бір Azure VPN шлюзіндегі екі Site-to-Site қосылымы филиалдар трафигін өткізе алады, бірақ тек екі ұшы да префиксті үйренгенде және LAN-да қайтару жолы болғанда.
Екі филиал арасында тікелей туннель болмаса да, олар Azure VPN шлюзі арқылы трафик алмаса алады. Әр филиал сол шлюзге Site-to-Site қосылымын ашады, ал шлюз үйренген префикстерді екі қосылым арасында жібереді. Мұны іске қосатын екінші туннель емес, маршруттар алмасуы: A филиалы B филиалының префиксін, ал B A-ның префиксін үйренуі керек. Төмендегі тексерулерді ретімен орындап, бірінші сәтсіз тексеруде тоқтаңыз, өйткені әрбір келесі қадам соған тәуелді.
Бірдеңе конфигурацияламас бұрынғы алғышарттар
Бұл дизайнның жалпы жұмыс істей алуын төрт шарт анықтайды. Шлюз маршрутқа негізделген болуы керек және BGP қолдайтын SKU-да болуы керек, екі қосылымда да BGP қосылуы керек, филиалдардың адрестік кеңістіктері қабаттаспауы керек, және ешбір тарап нақты префиксін жасыру үшін NAT-қа сүйенбеуі керек.
ASN-дерді әдейі жоспарлаңыз. Azure-дың құжатталған әдепкі мәні 65515, ал әр филиал маршрутизаторына шлюзбен немесе басқа филиалмен соқтығыспайтын өзінің жеке ASN-і қажет. Бар шлюз конфигурациясын тексермей әдепкі мәнді қайта пайдалану — AS жолының кейін қабылданбауының жолы.
Сондай-ақ VNet peering мінез-құлқын күтпейтініңізді растаңыз. Шлюз конфигурациялаған екі қосылым арасында маршруттарды алмастырады; ол ерікті peering-терді транзиттік етпейді. Егер үшінші желі екі филиалға да жетуі керек болса, оған өзінің қосылымы немесе өзінің маршрут жолы керек, шлюз трафикті таратады деген болжам емес. Бұл шекараны бірінші өзгеріс терезесіне дейін жазып қойыңыз, өйткені кейін сайт қосылғанда адамдар осы дизайндық шешімге қайта оралады.
Осы ретпен конфигурациялаңыз
Әр қадамның байқалатын нәтижесі бар, сондықтан ол пайда болмайынша әрі қарай жүрмеңіз.
- Виртуалды желі шлюзінде BGP қосып, оның ASN-ін және peer мекенжайын жазып алыңыз.
- Әр филиал үшін сол филиалдың нақты мекенжай кеңістігімен, оның ASN-імен және BGP peer мекенжайымен жергілікті желі шлюзін жасаңыз.
- Әр Site-to-Site қосылымын жасап, BGP-ні қосылымның өзінде қосыңыз.
- Филиал маршрутизаторын болжам бойынша шлюздің ашық IKE соңғы нүктесімен емес, Azure тағайындаған шлюз мекенжайымен peer жасауға конфигурациялаңыз.
Төртінші қадам — көптеген әрекеттер тұрып қалатын жер. Azure хабарлайтын BGP peer мекенжайы — филиал маршрутизаторы көрші ретінде пайдалануы тиіс мекенжай, және ол әрдайым адамдар туннель диаграммасынан күтетін мекенжай бола бермейді.
Филиал префиксін өзін жариялаңыз, мысалы A-дан 10.10.0.0/16 және B-ден 10.20.0.0/16. Жоқ нақты желіні жабу үшін әдепкі маршрутты немесе кең агрегатты жарияламаңыз; олқылық кейін тыныш қара құрдым ретінде қайтады.
Маршруттар алмасуын екі ұшта тексеріңіз
Қосылым күйі тексеру емес. IPsec екі қосылымда да жұмыс істеп тұрса да, олардың арасында ешбір префикс өтпейді. Шлюздің BGP peer-лерін және үйренген маршруттарын оқып, содан кейін басқа филиалға қарай маршруттың пайдалануға жарамды жол ретінде көрінетінін растаңыз.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP кестесінде бар префикс әлі де статикалық маршрутқа немесе нақтырақ префикске беріліс шешімін жоғалтуы мүмкін. Тек алынған маршрутты емес, таңдалған маршрутты тексеріңіз.
LAN жағында қайтару жолын бақылаңыз
Бұл Azure-да дұрыс көрінетін, ал сайтта сәтсіздікке ұшырайтын бөлік. A филиалындағы хост өз пакетін A-ның VPN маршрутизаторына тек сол маршрутизатор оның әдепкі шлюзі болса, немесе хост немесе оның шлюзі B префиксіне маршрут ұстаса жібереді. Кері бағытта да дәл солай болуы керек.
Егер бөлек ядролық коммутатор LAN-ның әдепкі шлюзі болса, оған VPN маршрутизаторына нұсқайтын басқа филиалға қарай маршрут қажет. Онсыз сұраныс келеді, ал жауап интернет жолымен шығады, және пайдаланушы ашылып, содан кейін ілініп қалатын қосылымды көреді.
Мұны түзету үшін шлюз ішкі желісіндегі желілік қауіпсіздік тобына жүгінбеңіз. Ол ішкі желінің өз талаптары бар және ондағы NSG филиал жағы саясатының қолдау көрсетілген баламасы емес. Сүзу филиалдардың брандмауэрлерінде және жұмыс жүктемелерінің өзінде болуы керек, онда ережелерді иелері қарап шыға алады. Бұл ережелерді ішкі желі NSG-іне көшіру оларды келесі ақауды жөндейтін топтан да жасырады.
Операцияға рұқсат беріңіз, содан кейін оны қабылданбаған тестпен дәлелдеңіз
Үйренген маршрут рұқсат емес. Сізге шынымен қажет дереккөзді, межелі орынды және қызметті филиалдардың брандмауэрлері мен соңғы нүкте саясаты арқылы рұқсат етіңіз, ал қалғанын қабылданбаған күйде қалдырыңыз.
A филиалындағы қарапайым жұмыс жүктемесінен B филиалындағы нақты қызметке тестілеңіз, жауапты растаңыз, содан кейін тыйым салынған күйде қалуы тиіс операцияны қолданып көріңіз. VPN құрылғысының өзі жасайтын трафик басқа дереккөз мекенжайын пайдаланып, LAN маршруттау кезеңін аттап кетуі мүмкін, сондықтан маршрутизатордан сәтті ping көрінгеннен азды дәлелдейді.
Төрт фактіні жазып аяқтаңыз: алмасылған префикстер, пайдаланылатын ASN-дер, әр тараптың LAN қайтару жолы және қызметке рұқсат беретін саясат. Олардың біреуі жоқ болса, конфигурация бірінші өзгеріске дейін жұмыс істейді, содан кейін ешкім себебін түсіндіре алмайды.