ExpressRoute жана VPN: кайсы бузулуу домендерин камтыйсыз?
Экинчи IPsec туннели акыркы чекитти камтыйт, анын астындагы линияны эмес. Ар бир бузулуу доменин картага түшүрүп, анан шифрленбеген камдык жолго жол берилээрин чечиңиз.
ExpressRoute'тун жеке пирингинин үстүндө иштеген IPsec туннели мурунтан бар транспортко шифрлоо кошот. Экинчи туннель акыркы чекиттин жеткиликтүүлүгүн жакшыртат, ал эми экөөнүн астындагы оператор жолу үчүн такыр эч нерсе кылбайт. Бул айырманы жоготуу оңой: такталар эки жашыл туннелди көрсөтүп, дизайн кароосу башка суроо бергенде — бул байланыш кайсы бузулууларга туруштук бериши керек? Адегенде ошого жооп бериңиз, анан туннелдерди санаңыз, анткени жашыл көрсөткүчтөрдүн саны шифрлоо катмарынын касиети, ал эми бузулуу домендеринин саны бүт жолдун касиети.
Жашыл туннелдерден эмес, бузулуулардан баштаңыз
Бир нерсени тартканга чейин төрт сап жазыңыз: бир VPN акыркы чекитинин же peer инстанциясынын иштебей калышы, бир жергиликтүү маршрутизатордун же биринчи миль байланышынын иштебей калышы, жалпы ExpressRoute жолунун иштебей калышы жана жеке пиринг дагы эле трафикти ташып турганда IPsec'тин жеткиликсиз болушу. Ар бир сап дизайн эмнени сакташы керектигин атайт, жана ар бирине башка механизм жооп берет.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft ExpressRoute'тун жеке пиринги аркылуу жеке IP менен site-to-site VPNди жана интернетке негизделген site-to-site байланыштары менен колдоого алынган кошо жашоону документтештирет. Ал кошо жашоо башка төмөнкү катмардын дизайны жана дагы бир жеке туннелдин акыркы чекитин кошконуңуз үчүн гана пайда болбойт.
Бузулуу домени 1: VPN акыркы чекити
Бир шлюздеги эки туннель адатта бир Azure тараптагы ресурста бүткөн active-active жуптар. Алар бир туннел же инстанция маселесинен коргойт, бирок ошол ресурстун жеткиликсиз болушунан, кайра конфигурацияланышынан же сыйымдуулугунун бүтүшүнөн коргобойт. Акыркы чекиттин ашыкчалыгы дегенибиз — өз жолу жана өз конфигурациясы бар экинчи колдоого алынган акыркы чекит, ага кошумча ага жете алган маршрут.
Диаграмма эмне дегенин эмес, чындыгында эмнени жайгаштырганыңызды текшериңиз, анткени портал бул ресурстарды алардын байланышын жашырган түрдө топтойт:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Эгер эки туннель тең бир жарыя IP'си бар бир шлюзга багытталса, сизде белгилүү жана чектелген түрдөгү акыркы чекиттин ашыкчалыгы бар. Бул талап талап кылган нерсенин так өзү болушу мүмкүн, жана аны ашыкча байланыш деп сүрөттөөнүн ордуна ошентип жазуу керек.
Бузулуу домени 2: жергиликтүү жол жана оператор
Шифрлоонун астында физикалык жана коммерциялык чындык жатат: кардардын четиндеги түзмөк, кесилишүүчү туташуу, провайдердин тармагы жана пиринг орду. ExpressRoute жеткиликтүүлүк көрсөтмөсү учтан учка ашыкчалык Microsoft тарабын гана эмес, кардар жана тейлөө провайдеринин сегменттерин да камтый турганын так айтат. Маршрутизаторду, кубат булагын же биринчи миль байланышын бөлүшкөн эки логикалык жол ошол көз карандылыкты дагы эле бөлүшөт.
Дизайн көбүнчө так кароодон ушул жерден кулайт. Бир провайдерден келген эки линия бир имаратта бүтүп, бир сатып алуу буйрутмасынын жабдуусунда турса, бул эки бузулуу домени эмес. Бул эки эсеп-фактурасы бар бир бузулуу домени.
Операторго суроону жазуу түрүндө бериңиз: бул жолдордун кайсынысы кайда ажырайт жана жалпы сегмент иштебей калганда документтештирилген жүрүм-турум кандай? Дизайн чалуусундагы оозеки ишендирүү сиз долбоорлоп жаткан бузулууга туруштук бербейт.
Бузулуу домени 3: IPsec'сиз калган жол
Жеке пиринг менен IPsec бир эле колдонмо префиксине атаандаш маршруттарды сунуштай алат. Эгер корголгон маршрут жок болуп кетсе, калган түз ExpressRoute маршруту туннель берген шифрлоо катмарысыз дагы эле пайдаланууга жарактуу болушу мүмкүн. Бул кабыл алынабы — саясат чечими, жана дал ушул чечим көбүнчө жашыруун калтырылат.
Шифрлоо талаптары менен жеткиликтүүлүк талаптары бул жерде чындыгында кагылышы мүмкүн. «Калган ар кандай маршрут ийгилик деп эсептелет» деген жеткиликтүүлүк жөнүндөгү билдирүү шифрлоо суроосуна үнсүз «жок» деп жооп берет. Кайсынысы жеңээрин, кайсы префикстер үчүн жана ким бекиткенин жазыңыз.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableҮйрөнгөн маршруттарды күткөн префикстериңиз менен салыштырыңыз. Кичинекей административдик жүктү ташыган камдык жол ошол жүк үчүн толук жетиштүү болушу мүмкүн жана өндүрүштүк суроо-талапка керектүү сыйымдуулуктан бир кыйла алыс болушу мүмкүн, ошондуктан сыйымдуулук божомолун маршруттун жанына жазыңыз.
Бир өкүм эмес, үч өзүнчө сап жазыңыз
Акыркы чекиттин ашыкчалыгын, транспорттун ашыкчалыгын жана апaаттан кийинки калыбына келтирүүнү дизайн жазуусунда өзүнчө жазуулар катары сактаңыз, ар бири өз механизми, өз текшерүүсү жана өз ээси менен. Окуя кароосу байланыш эмне үчүн шлюзду кайра иштетүүгө туруштук берди, бирок була кесилишине бербеди деп сураганда, үч сап бир сүйлөм менен жооп берет; бир «ашыкча» белги кутучасы муну кыла албайт.
Андан кийин арзан текшере алган саптарды текшериңиз. Бир туннелди иштен чыгарып, трафик жылып, кайра шифрленерин ырастаңыз. Бир маршрутту артка кайтарып, калган жол көздөгөн жолуңуз экенин ырастаңыз, анан анын дагы эле шифрленгенин ырастаңыз. Моделдей албаган бузулууларды документтештириңиз, анткени текшерилбеген сап — божомол жана аны ошентип белгилөө керек.
Пайдалуу натыйжа — кыска таблица жана ар бир сапка бир сүйлөм. Эгер сапта механизм жок болсо, ошол эле табылга, жана аны дизайн кароосунда табуу эки туннель тең эч качан өткөрө албаган оператор бузулуусу учурунда табуудан кыйла арзан.