Azure NVA текшерүүсү: эмне үчүн жооп башка firewall аркылуу өтөт

Филиалдан Azure-га агым эки тарапта тең туура маршрутталышы мүмкүн жана ошондой болсо да ийгиликсиз болушу мүмкүн, анткени эки тарап ар кандай түзмөктөрдөн өтөт. Сурам VPN аркылуу филиалдан чыгып, NVA A-га түшөт жана жумуш жүгүнө жетет. Жооп жумуш жүгүнөн чыгып, NVA B-ге багытталган маршрутка дал келет жана ошол жерде өлөт. Ал сүрөттөгү ар бир маршрут жарактуу, ал эми TCP сессиясы дагы эле бузулган.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Ошол боштук бул жерде бүтүндөй тема: маршруттоо конвергенциясы менен сессия абалынын ээлиги диаграммада бирдей көрүнгөн ар башка маселелер.

Route Server чындыгында эмнени программалайт

Azure Route Server колдоого алынган BGP сүйлөөчүлөр менен peer түзөт, алардын маршруттарын үйрөнөт жана аларды виртуалдык тармактын эффективдүү маршруттарына программалайт. Бул башкаруу деңгээлинин иши. Ал вендор firewall-ынын сессия таблицасын окубайт жана берилген туташууну кайсы түзмөк уруксат кылганын билбейт. Эки бирдей баадагы кийинки хоп бул кездеме үчүн бир эле префикске жетүүнүн эки жолу гана жана ал экөөнүн бирин колдонот.

Демек маршрутту үйрөнүү жеткиликтүүлүктү далилдейт. Ал аркы тараптагы түзмөк бул агымды мурун көргөн-көрбөгөнү тууралуу эч нерсе далилдебейт.

Долбоорлоодон мурун эки тарапты тең окуңуз

Ар бир тарапта чындыгында бар башкарууну жазып баштаңыз, ниет кылганыңызды эмес. Так BGP маршруттары, колдонуучу аныктаган маршруттар жана шлюз жүрүм-туруму баары атаандашат жана жеңүүчү ар бир сессия үчүн эмес, ар бир багыт үчүн аныкталат. NVAдагы демейки маршрут ар бир жеке префикстин андан өтөрүн билдирбейт.

Пайдалуу текшерүү — бир конкреттүү жумуш жүгүнүн IP-си үчүн ар бир тарап кайсы кийинки хопко чечилерин суроо. Эгер жооп эки ар башка түзмөк болсо, асимметрия маселеси бар, ал мурунтан ачылдыбы же жокпу — маанилүү эмес.

Абал кайда жашайт

Абалды көзөмөлдөгөн firewall туташууну кабыл алат жана бештик менен ачкычталган таблица жазуусун кармайт. Жооп ошол жазууну кармаган түзмөккө жетиши керек, же ал түзмөк абалды башка жол менен алышы керек. Azure маалымат деңгээлинде эч нерсе жазууну түзмөктөрдүн ортосунда өткөрбөйт. Же трафик ээсине кайра багытталат, же түзмөктөр абалды вендор механизми аркылуу бөлүшөт, же долбоор иштебейт.

Ошондуктан эки соо NVA текшерүү үчүн ден соолук текшерүүсү эмес. Ден соолук жеткиликтүүлүк тууралуу; текшерүү сессияны кайсы нуска кармап турганы тууралуу.

Колдоого алынган HA моделдери жана ар бири эмнени убада кылат

Microsoft's guidance on Virtual WAN маршруттоо ниети тууралуу көрсөтмөсү кош ролдуу туташуу жана firewall NVAлар үчүн чектелген жүрүм-турумду сүрөттөйт, мында түз маршруттоо хабдын кадимки симметриялуу аткарылышын айланып өтүшү мүмкүн. Бул жазууларды тандалган топологияга чектөөлөр катары окуңуз, активдүү-активдүү долбоорлорго тыюу катары эмес. Абалды синхрондаштырган же агым боюнча багыттаган вендор жупун колдоого алууга болот. Экөөнү тең кылбаган бирдей баадагы жуп колдоого алынбайт.

Андан кийин түйүн иштен чыкканда учурдагы сессияларга эмне болорун аныктаңыз. Маршрут конвергенциясы жаңы агымдар үчүн жеткиликтүүлүктү секунддар ичинде калыбына келтирет, эски firewall абалы жөн эле жоголот. Кардардын кайра туташуусу документтелген натыйжа болушу мүмкүн жана бул окуяга чейин кабыл алынуучу чечим, анын учурунда эмес.

Ага ишенүүдөн мурун эмнени текшерүү керек

Test with inspection enabled and жумуш жүгүнүн кирүү политикасы ордунда турганда текшериңиз, анткени экөөнүн кайсынысы болбосун асимметрияны жашыра алат. Эки тарапка тең жаңы уруксат берилген агым жөнөтүңүз жана ошол эле түзмөк эки жарымды тең көргөнүн ырастаңыз. Анан үзгүлтүксүз трафикти иштетип, бекитилген өткөрүүнү иштетиңиз, орнотулган сессиялар сакталабы же кайра туташабы — байкаңыз.

Ар бир агымды аны иштеп чыккан түзмөк менен байланыштырыңыз. Бир NVAда пакетти кармоо, эгер жооп ал жерге эч качан кайтпаса, дээрлик эч нерсе айтпайт.

Акырында планды үч өзүнчө сап катары жазыңыз: маршруттардын ээлиги, трафикти багыттоо жана сессия абалынын ээлиги. Биринчи экөө чечилип, үчүнчүсү божомолдонгондо долбоорлор бузулат.