Эки филиалдын ортосундагы трафикти Azure VPN шлюзи аркылуу маршруттоо
Бир Azure VPN шлюзиндеги эки Site-to-Site туташуу филиалдардын трафигин өткөрө алат, бирок эки учур тең префиксти үйрөнгөндө жана LAN-дагы кайтуу жолу бар болгондо гана.
Эки филиал өз ара түз туннелсиз Azure VPN шлюзи аркылуу трафик алмаша алат. Ар бир филиал ошол эле шлюзге Site-to-Site туташуусун ачат, ал эми шлюз үйрөнгөн префикстерди эки туташуунун ортосунда өткөрөт. Муну иштеткен экинчи туннел эмес, маршруттардын алмашуусу: A филиалы B филиалынын префиксин, ал эми B Aнын префиксин үйрөнүшү керек. Төмөнкү текшерүүлөрдү тартиби менен аткарыңыз жана биринчи ийгиликсиз текшерүүдө токтоңуз, анткени ар бир кийинки кадам ошого көз каранды.
Бир нерсени конфигурациялоодон мурунку шарттар
Бул дизайндын жалпы иштей алышын төрт шарт аныктайт. Шлюз маршрутка негизделген болушу керек жана BGP колдогон SKU-да болушу керек, эки туташууда тең BGP күйгүзүлүшү керек, филиалдардын дарек мейкиндиктери кабатташпашы керек, жана эч бир тарап өзүнүн чыныгы префиксин жашыруу үчүн NATка таянбашы керек.
ASNдерди атайын пландаңыз. Azureдын документтелген демейки мааниси 65515, жана ар бир филиал маршрутизаторуна шлюз же башка филиал менен кагылышпаган өзүнүн жеке ASNи керек. Бар шлюз конфигурациясын текшербестен демейки маанини кайра колдонуу — AS жолунун кийин четке кагылышынын жолу.
Ошондой эле VNet peering жүрүм-турумун күтпөй турганыңызды ырастаңыз. Шлюз сиз конфигурациялаган эки туташуунун ортосунда маршруттарды алмаштырат; ал өзүм билемдик peeringдерди транзиттик кылбайт. Эгер үчүнчү тармак эки филиалга тең жетиши керек болсо, ага өзүнүн туташуусу же өзүнүн маршрут жолу керек, шлюз трафикти бөлүштүрөт деген божомол эмес. Бул чекти биринчи өзгөртүү терезесине чейин жазып коюңуз, анткени кийин сайт кошулганда адамдар ушул дизайндык чечимге кайра кайтышат.
Ушул тартипте конфигурациялаңыз
Ар бир кадамдын байкалуучу натыйжасы бар, ошондуктан ал пайда болмогонче андан ары жүрбөңүз.
- Виртуалдык тармак шлюзинде BGP күйгүзүп, анын ASNин жана peer дарегин жазып алыңыз.
- Ар бир филиал үчүн ошол филиалдын чыныгы дарек мейкиндиги, анын ASNи жана BGP peer дареги менен жергиликтүү тармак шлюзин түзүңүз.
- Ар бир Site-to-Site туташуусун түзүп, BGPни туташуунун өзүндө күйгүзүңүз.
- Филиал маршрутизаторун божомол боюнча шлюздун ачык IKE акыркы чекити менен эмес, Azure дайындаган шлюз дареги менен peer жасоого конфигурациялаңыз.
Төртүнчү кадам — көп аракеттер тыгылып калган жер. Azure билдирген BGP peer дареги филиал маршрутизатору кошуна катары колдонушу керек болгон дарек, жана ал ар дайым адамдар туннель диаграммасынан күткөн дарек боло бербейт.
Филиалдын префиксин өзүн жарыялаңыз, мисалы Aдан 10.10.0.0/16 жана Bден 10.20.0.0/16. Жок конкреттүү тармакты жабуу үчүн демейки маршрутту же кенен агрегатты жарыялабаңыз; боштук кийин тынч кара көңдөй катары кайтат.
Маршруттардын алмашуусун эки учурда тең текшериңиз
Туташуунун абалы текшерүү эмес. IPsec эки туташууда тең иштеп турса да, алардын ортосунда бир да префикс өтпөйт. Шлюздун BGP peerлерин жана үйрөнгөн маршруттарын окуп, андан кийин башка филиалды көздөй маршрут колдонууга жарактуу жол катары көрүнөрүн ырастаңыз.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP таблицасында бар префикс дагы эле статикалык маршрутка же такыраак префикске өткөрүү чечимин утулуп калышы мүмкүн. Алынган маршрутту гана эмес, тандалган маршрутту текшериңиз.
LAN тарабындагы кайтуу жолун байкаңыз
Бул Azureда туура көрүнүп, сайтта ийгиликсиз болгон бөлүк. A филиалындагы хост өз пакетин Aнын VPN маршрутизаторуна ошол маршрутизатор анын демейки шлюзи болгондо, же хост же анын шлюзи B префиксине маршрутка ээ болгондо гана жөнөтөт. Тескери багытта да ушундай болушу керек.
Эгер өзүнчө өзөк коммутатор LANдын демейки шлюзи болсо, ага VPN маршрутизаторун көрсөткөн башка филиалды көздөй маршрут керек. Ансыз сурам келет, ал эми жооп интернет жолу менен чыгат, жана колдонуучу ачылып, анан илинип калган туташууну көрөт.
Муну оңдоо үчүн шлюздун ички тармагындагы тармактык коопсуздук тобуна кайрылбаңыз. Ал ички тармактын өз талаптары бар жана ал жердеги NSG филиал тарабындагы саясаттын колдоого алынган ордун толтуруучусу эмес. Чыпкалоо филиалдардын брандмауэрлеринде жана жумуш жүктөрүнүн өзүндө болушу керек, ал жерде эрежелерди ээлери карап чыга алышат. Бул эрежелерди ички тармактын NSGине жылдыруу аларды кийинки бузулууну жөндөй турган топтон да жашырат.
Операцияга уруксат бериңиз, анан аны четке кагылган тест менен далилдеңиз
Үйрөнгөн маршрут уруксат эмес. Сизге чындап керек болгон булакты, багытты жана кызматты филиалдардын брандмауэрлери жана акыркы чекит саясаты аркылуу уруксат кылыңыз, ал эми калганын четке кагылган бойдон калтырыңыз.
A филиалындагы кадимки жумуш жүктөн B филиалындагы чыныгы кызматка текшериңиз, жоопту ырастаңыз, анан тыюу салынган бойдон калышы керек болгон операцияны аракет кылыңыз. VPN түзмөгү өзү жараткан трафик башка булак дарегин колдонуп, LAN маршруттоо баскычын өткөрүп жибериши мүмкүн, ошондуктан маршрутизатордон ийгиликтүү ping көрүнгөндөн азыраак нерсени далилдейт.
Төрт фактыны жазып бүтүрүңүз: алмашылган префикстер, колдонулуп жаткан ASNдер, ар бир тараптын LAN кайтуу жолу жана кызматка уруксат берген саясат. Алардын бири жок болсо, конфигурация биринчи өзгөртүүгө чейин иштейт, анан эч ким себебин түшүндүрө албайт.