Azure VPN NAT кайталанган VNet даректерди чечпейт
Бирдей жеке диапазону бар эки VNet NAT бар болгондуктан гана туташпайт. Адегенде туташуу түрүн текшериңиз, андан кийин кайра номурлаңыз же котормо псевдонимин ээлеңиз.
Эки VNet те 10.40.1.0/24 диапазонун колдонот, туннелдер көтөрүлөт, бирок эч нерсе иштебейт. Экинчи VPN шлюзун кошуу муну өзгөртпөйт, төмөнүрөөк маршрут метрикасы да өзгөртпөйт, себеби көйгөй жол тандоодо эмес. Бир жеке дарекке жооп берген эки жумуш жүктөмү ар бир пакетти бүдөмүк багыт жана текшерилбей турган кайтуу жол менен калтырат. Ар кандай котормону пландаштыруудан мурун сиз чындыгында кандай туташуу түрүн түзгөнүңүздү аныктаңыз, анткени ошол бир тандоо Azureдун NAT функциясы жеткиликтүүбү же жокпу аныктайт.
Бул симптом сизге чындыгында эмне деп жатат
VNet A ичиндеги хост 10.40.1.10 дарегине жөнөткөндө, маршруттоо таблицасы аны бир жерге гана багыттай алат. Эгер VNet B да 10.40.1.10 камтыса, ал дарек жол ажырата алган багыт эмес; бул эки ээси бар бир дарек.
Адамдар адатта орноткон экинчи шлюз жардам бербейт. Ал башка туннель берет, башка дарек эмес, жана кайталанган диапазон туннелдин ичинде өзгөрүүсүз жүрөт. Ал ошондой эле ырааттуу кармоого тийиш конфигурацияны эки эселейт. Анын кыла албаганы — бир дарек эки хостту билдириши.
VPN өнөктөштөрүнүн ачык даректерин өзгөртүү да эч нерсе бербейт. Ал даректер туннелдин четки чекиттерин аныктайт, ал эми кагылышуу анын ичинде ташыла турган жеке диапазондо.
NAT жеткиликтүүбү же жокпу — туташуу түрү чечет
Azure VPN Gateway чындыгында NAT мүмкүнчүлүгүнө ээ жана ал белгилүү бир шлюз SKUларында маршрутка негизделген IPsec сайттар аралык туташуулар үчүн документтелген. Ошол эле документ VNet-to-VNet жана point-to-site туташууларын жокко чыгарат, ошондуктан бул функция ар бир шлюз мамилесинде пайда болгон белги кутучасы эмес.
| Connection type | NAT support | Overlap workaround |
|---|---|---|
| Site-to-Site (route-based IPsec, documented SKUs) | Supported with configured NAT rules | Translate the range in the rules |
VNet-to-VNet (Vnet2Vnet) | Not supported | Renumber, or redesign as a site-to-site connection |
| Point-to-site | Not supported | Choose client address pools that do not collide |
Жергиликтүү VNet-to-VNet ошондой эле VNet жана жергиликтүү тармак диапазондору башынан кайталанбашын талап кылат, бул жокко чыгарууга шайкеш келет. VNet теңдештирүү да ошол себептен кайталануунун чечими эмес.
Адамдар жергиликтүү түр менен чаташтырган колдоого алынган альтернатива бар: экинчи VNetти жергиликтүү тармак катары модельдеп, аны сайт-аралык туташуу катары туташтырыңыз. Бул башка ресурс жана башка долбоор, ошондуктан аты өзгөртүлгөн туташууну жөн гана атоо эмес, текшерилиши керек өзгөртүү катары караңыз.
Кайра номурлаңыз же псевдонимди ээлеген нерсе менен которуңуз
Эки VNet те сиздики болсо, пландалган кайра номурлоону котормонун туруктуу наркы менен салыштырыңыз. Кайра номурлоо колдонмо конфигурациясына, DNS жазууларына, коопсуздук эрежелерине жана ар бир бар туташууга тиет, бирок кийин кадимкидей окула турган тармакты калтырат. Аны бир убакта бир ички тармак менен жасаңыз, DNS өзгөртүү эң акырында болсун. Жарым кайра номурланган диапазон эки варианттан тең жаман, анткени ошондо эки префикс те таблицаны кийинки окуган адамга беделдүү көрүнөт.
Кайра номурлоо практикалык болбогон жерде псевдонимдин чыныгы ээси бар которулган долбоорду колдонуңуз. VNet A ичиндеги чакыруучулар VNet Bдин 10.40.1.10 дарегине 10.140.1.10 катары жетиши мүмкүн, бирок бул псевдонимге которуучу түзмөк, ага бара турган маршрут жана жооп үчүн шайкеш жүрүм-турум керек. DNSке гана кошулган дарек котормо эмес.
Эки диапазонду тең эки багытта жазып алыңыз: чакыруучу эмнени терет, багыт булак катары эмнени көрөт жана кайсы тарап баштай алат. Azureдун өзүнүн NAT эрежелери өздөрүнүн SNAT салыштыруулары үчүн тескери котормону камтыйт, ошондуктан сиз шайкеш DNAT эрежесин кол менен жазбайсыз, бирок бул ыңгайлуулук функция колдогон туташуу түрлөрүндө бүтөт.
Эмне иштебейт
Колдонуучу аныктаган маршрут же маршрут метрикасы жетишпеген дарек айырмачылыгын жарата албайт. Экөө тең дагы эле бүдөмүк багытка таасир этет, ал эми пакет таблица артык көргөн кийинки секирикке жетет.
Кайталанган диапазонду маршруттар таблицасына такыраак префикс катары кошуу бүдөмүктүктү бир гана кадам жылдырат. Ал ошондой эле каршы багытты бузууга жейт, анда жооптун эми эки ыктымал булагы бар.
Долбоорду эки багыттагы трафик менен кабыл алыңыз
Долбоорду туннелдин статусу менен эмес, ар тараптан жаңы уруксат берилген операция менен далилдеңиз. Туташкан IPsec туннели өнөктөштөр криптография боюнча макулдашканын айтат; багыттар айырмаланарын айтпайт.
Андан кийин тыюу салынган жолдорду иштетиңиз: жеткиликсиз бойдон калышы керек болгон дарек жана саясат тоскоол кылышы керек болгон кызмат. Эгер экөө тең дагы эле ийгиликтүү болсо, котормо долбоор көздөгөндөн кеңири.
Жөндөөнү кийин түшүндүрө турган фактылар менен бүтүрүңүз: баштапкы диапазон, сунушталган диапазон, которуучу түзмөк жана ар тарап баштай алган багыт. Эгер алардын бири жок болсо, кийинки инженер эки хост бир атты бөлүшкөн жана эч ким алардын бири эмнеге жооп берерин эстебеген тармакты мураска алат.