Azure VPN префиксин кошуу эмне үчүн байланышты үзөт

Туура эмес Azure объектисине кошулган префикс Connected деп билдирген жана эч нерсени өткөрбөгөн байланыш жаратат, жана бул ушул стектеги эң кымбат ката түрү. Үч ресурс катышат жана алардын бирөө гана алыскы дарек мейкиндигине ээ: виртуалдык тармак шлюзу, алыскы тарапты сүрөттөгөн жергиликтүү тармак шлюзу жана аларды бириктирген байланыш. Префикс жергиликтүү тармак шлюзуна таандык, өзгөртүү күчүнө кириши үчүн байланышты кайра куруу керек, ал эми шлюздин өзү адатта тийбеген бойдон калат. Тартип талкууга алынбайт, жана портал анын бир бөлүгүн гана көрсөтөт.

Үч объект, алардын бири префиксти кармайт

Виртуалдык тармактын дарек мейкиндиги башка суроого жооп берет: Azure ичинде эмне жашайт. Ал жерге алыскы префикс кошуу трафикти ошол жакка багыттабайт, платформа өзүнүкү деп эсептеген мейкиндикти гана кеңейтет, бул чыныгы алыскы диапазон менен кагылышы мүмкүн. Жергиликтүү тармак шлюзу алыскы префикстерди кармаган объект, ал эми байланыш эки шлюзга жана алдын ала бөлүшүлгөн ачкычка шилтеме жасайт.

Эсте тутууга тийиш үчүнчү эскертүү да бар. GatewaySubnet башкарылуучу шлюз инстанцияларын жайгаштырат, дал ушул атты алып жүрүшү керек, жана Basic эмес SKU үчүн жок дегенде /27 болушу күтүлөт.

Башка эч нерсе ал субтармакка таандык эмес, жана префиксти өзгөртүүнүн ага тийүүгө себеби жок. Жергиликтүү тармак шлюзунда жок префикс байланыштын абалы эмне десе да жеткиликсиз, анткени шлюз туннелди сүйлөшүп жатканда өзүнө билдирилген префикстерди гана сунуштайт. Ошондуктан белги асимметриялуу: туннель көтөрүлгөн, коопсуздук ассоциациясы тартибинде, жана бир субтармак эч качан трафик тандоочуларда көрүнбөйт. Эгер кошуналары иштеп жатканда бир алыскы диапазон жетишпесе, туннелди кароону токтотуп, жергиликтүү тармак шлюзун окуңуз.

Эмне үчүн так байланыш алынат

Байланыш объектиси сүйлөшүлгөн конфигурацияны бүт өмүрү бою бекемдейт. Ошондуктан документтелген жол-жобо адегенде байланышты алат, жергиликтүү тармак шлюзун жаңыртат, анан байланышты ошол эле бөлүшүлгөн ачкыч менен кайра түзөт. Шлюз инстанциялары префикске гана тиешелүү өзгөртүү үчүн кайра курулбайт, бул тыныгууну шлюзди кайра жайгаштырууга эмес, байланышты бузууга чектейт.

Ошол өчүрүү — тыныгуунун өзү, ошондуктан ага тез оңдоо катары эмес, башталышы жана күтүлгөн аягы бар пландалган өзгөртүү катары мамиле кылыңыз. PowerShellде ырааттуулук кыска: Remove-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 -Force, анан Set-AzLocalNetworkGateway жаңы -AddressPrefix массиви менен, анан New-AzVirtualNetworkGatewayConnection ошол эле -SharedKey жана ошол эле шлюздер менен. Ачкычты кайра колдонуу маанилүү, анткени алыскы тарап кайра конфигурацияланбайт жана жаңы ачкыч алыскы түзмөктүн ээси менен координациялоону билдирет. Эгер ал түзмөктү башка топ башкарса, бир нерсени алып салуудан мурун алар менен убакыт терезесин макулдашыңыз.

Шлюздин өзүн качан кайра куруу керек

Бул маселенин айланасында жүргөн экинчи жооп шлюзди кайра түзүп, ачкычты кайра алмаштыруу керек дейт. Бул башка операциялар жыйындысы үчүн туура: шлюз түрүн же SKUну өзгөртүү, point-to-site жана site-to-site ортосунда өтүү, же өзүнүн конфигурациясы туура эмес шлюзди оңдоо. Мындай өзгөртүүлөр шлюз ресурсун чындап өзгөртөт, ошондуктан кайра куруу чындап зарыл.

point-to-site үчүн түзүлгөн шлюзге site-to-site байланышын жөн эле берүүгө болбойт. point-to-site конфигурациясын алып салып, шлюзди кайра түзүү керек, бул жаңы бөлүшүлгөн ачкычты жана жаңы клиент пакетин да берет.

point-to-site пакети өзүнчө эскертүүгө татыктуу, анткени анын мөөнөтү бүтөт. Портал кыска өмүрлүү файл түзөт, ошондуктан практикалык ыкма — аны бир жолу жүктөп алып, клиент сертификаты менен кошо таратуу, колдонуучуларга басканда өлүк боло турган портал шилтемесин жөнөтүүнүн ордуна. Префикс маселесине булардын эч бири тиешелүү эмес. Эки жол-жобону өзүнчө кармоо — бүт тартип: префикстер байланыш деңгээлиндеги өзгөртүү, ал эми шлюз касиеттери шлюз деңгээлиндеги өзгөртүү.

Абалды окуңуз, портал белгисин эмес

Абалды порталдагы белгиден эмес, ресурстан окуңуз. Get-AzVirtualNetworkGatewayConnection -Name Conn1 -ResourceGroupName RG1 кайтарат ConnectionStatus кирүүчү жана чыгуучу байт эсептегичтери менен кошо, жана так эсептегичтер туташкан, бирок эч нерсе ташыбаган туннелди эч качан орнотулбаган туннелден ажыратат.

Өткөрүүнүн ортосунда өсүүнү токтоткон эсептегичтер аутентификацияга эмес, жолго көрсөтөт. Ал эми такыр кыймылдабаган эсептегичтер префикстер жыйындысына же бөлүшүлгөн ачкычка көрсөтөт.

Таймерлер VPNге туура эмес таңылган үзүлүштөрдүн бир классын түшүндүрөт. Azureдун жүктөө теңдештиргичи активдүү эмес агымдарды конфигурацияланган таймауттан кийин жабат, бул жазуулар жазылганда демейки төрт мүнөт жана өйдө карай конфигурацияланат, ошондуктан keepalive жок VMдеги OpenVPN сервери ар бир нече мүнөт сайын кулап калышы мүмкүн, ал эми калганынын баары ден соолукта көрүнөт. Платформа циклдик түрдө кайра иштеткен шлюз да VNet байланышын Web App менен үзө алат, жана бул ийгиликсиздик клиент конфигурациясында эмес, платформа тарабында. Белги — үзүлүш туруктуу интервалга же сиз жасаган өзгөртүүгө багынабы.

Үч объектти жана алардын маанилерин бир жазууда кармаңыз: виртуалдык тармактын дарек мейкиндиги, жергиликтүү тармак шлюзунун префикс тизмеси жана байланыштын бөлүшүлгөн ачкычына шилтеме. site-to-site PowerShell макаласы жергиликтүү тармак шлюзунун буйруктарын жана алар тиешелүү тартипти документтештирет. Префикс өзгөртүүсүн эстутум менен салыштыруу — иштеп жаткан туннелди эки жолу кайра куруунун жолу.

Анан өзгөрткөн тартибиңиз менен текшериңиз: жергиликтүү тармак шлюзу жаңы префикс тизмесин көрсөтөт, байланыш кайра Connected, жана жаңы диапазондогу хостко трафик жибергенде эсептегичтер кыймылдайт. Эгер алгачкы экөө өтүп, үчүнчү кадам ийгиликсиз болсо, алыскы тарап жаңы трафик тандоочусун кабыл алган эмес жана алыскы түзмөккө туура келүүчү 2-фаза жазуусу керек. Бул туннелдин экинчи учу менен сүйлөшүү, Azureде дагы бир өзгөртүү эмес.