Azure NVA-Inspektioun: firwat d’Äntwert duerch eng aner Firewall geet

E Flux vun der Filial op Azure kann a béide Richtungen richteg geroute ginn an awer feelen, well déi zwou Richtungen duerch verschidde Apparater goen. D’Ufro verléisst d’Filial iwwer d’VPN, lant op NVA A an erreecht d’Aarbechtslaascht. D’Äntwert verléisst d’Aarbechtslaascht, entsprécht enger Route déi op NVA B weist an stierft do. All Route an deem Bild ass gülteg, an d’TCP-Sessioun ass awer nach ëmmer gebrach.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Dee Lach ass hei d’ganzt Thema: Routingkonvergenz an d’Eegentum vum Sessiounszoustand sinn ënnerschiddlech Problemer déi op engem Diagramm identesch ausgesinn.

Wat Route Server tatsächlech programméiert

Azure Route Server mécht Peering mat ënnerstëtzten BGP-Spriecher, léiert hir Routen a programméiert se an déi effektiv Routen vum virtuelle Netz. Dat ass eng Aufgab vun der Kontrollfläch. Et liest keng Sessiounstabell vun enger Verkäufer-Firewall an huet keng Ahnung wéi en Apparat eng bestëmmte Verbindung zougelooss huet. Zwee gläichwäerteg nächst Hoppe sinn, fir dës Weberei, just zwou Weeër fir dee selwechte Prefix z’erreechen, an et wäert eng vun deenen zwou benotzen.

Eng Route ze léieren beweist also Erreechbarkeet. Et beweist näischt doriwwer, ob den Apparat op der anerer Säit dëse Flux schonn emol gesinn huet.

Liest béid Richtungen éier Dir designt

Fänkt domat un, d’Steierung opzeschreiwen déi Dir tatsächlech an all Richtung hutt, net déi Dir geduecht hutt. Méi spezifesch BGP-Routen, benotzerdefinéiert Routen an d’Verhalen vum Gateway konkurréieren alleguer, an de Gewënner gëtt pro Destinatioun entscheet, net pro Sessioun. Eng Standardroute op der NVA bedeit net datt all privat Prefix duerch et geet.

Eng nëtzlech Kontroll ass ze froen, fir eng spezifesch Aarbechtslaascht-IP, op wéi en nächsten Hopp all Richtung sech opléist. Wann d’Äntwert zwee verschidden Apparater ass, hutt Dir en Asymmetrie-Problem, egal ob et sech schonn gewisen huet oder net.

Wou den Zoustand wunnt

Eng stateful Firewall léisst eng Verbindung duerch a hält eng Tabelle-Androuung mat Schlëssel op der Fënneffach. D’Äntwert muss den Apparat erreechen deen déi Androuung huet, oder deen Apparat muss den Zoustand op eng aner Manéier kréien. Nichts am Azure-Datenafläch leet d’Androuung tëscht Apparater weider. Entweder gëtt den Traffic zréck bei den Eegentümer gesteiert, oder d’Apparater deelen den Zoustand iwwer e Verkäufermechanismus, oder den Design funktionnéiert net.

Dofir sinn zwou gesond NVAen keng Gesondheetskontroll fir d’Inspektioun. Gesondheet geet ëm Erreechbarkeet; Inspektioun geet dorëms wéi eng Instanz d’Sessioun huet.

Ënnerstëtzte HA-Modeller a wat jiddwerengem versprécht

Microsoft's guidance on Virtual WAN Routingintentioun beschreift begrenzte Verhalen fir Dual-Roll-Konnektivitéit a Firewall-NVAen, wou direkt Routing d’normal symmetresch Duerchsetzung vum Hub ëmgoe kann. Liest déi Notizen als Aschränkungen op déi gewielten Topologie, net als Verbuet vun aktiven-aktiven Designen. En Verkäuferpuer dat den Zoustand synchroniséiert, oder pro Flux steiert, kann ënnerstëtzt ginn. En gläichwäerteg Puer dat keng vun deenen zwou Saachen mécht, net.

Definéiert duerno wat mat existente Sessiounen geschitt wann en Node feelt. Routingkonvergenz restauréiert d’Erreechbarkeet fir nei Flëss a Sekonnen, wärend den alen Firewall-Zoustand einfach fort ass. Eng Client-Reconnectioun kann dat dokumentéiert Resultat sinn, an dat ass eng Decisioun déi een éier dem Tëschefall hëlt, net wärend.

Wat een testen sollt éier een et vertraut

Test with inspection enabled and der Access-Politik vun der Aarbechtslaascht op hirem Plaz, well eng vun deenen zwou d’Asymmetrie ka verstoppen. Schéckt en neie genehmegte Flux a béide Richtungen a bestätegt datt dee selwechten Apparat béid Hälften gesinn huet. Da laaft bestännegen Traffic a löst de genehmegten Failover aus, a kuckt ob etabléiert Sessiounen iwwerliewen oder sech nei verbannen.

Korreléiert all Flux mat dem Apparat deen en behandelt huet. Eng Packetopnam op enger NVA seet Iech bal näischt wann d’Äntwert ni zréck komm ass.

Schlussendlech, schreift de Plang als dräi getrennte Linnen: Routen-Eegentum, Traffic-Steierung an Eegentum vum Sessiounszoustand. Designen briechen wann déi éischt zwou geléist sinn an déi drëtt ugeholl gëtt.