Azure-Peering oder VNet-zu-VNet-VPN? Entscheet, ier geroutet gëtt

Azure bitt dir op d'mannst zwou Manéieren, zwou virtuell Netzwierker ze verbannen, an et sinn net austauschbar Astellungen um selwechten Objet. Peering verbënnt d'VNeten iwwer Microsoft seng Backbone ouni Gateway; en VNet-zu-VNet-VPN setzt eng IPsec-Relatioun tëschent zwou Gateways, déi dir asetzt, dimensionéiert a iwwerwaacht. D'Entscheedung geet op dräi Bedingungen zeréck, an wann dir net all dräi beäntwerten kënnt, ier dir eng Route derbäi setzt, sidd dir am Gaang, en Ëmwee fir e Modell ze bauen, deen dir ni gewielt hutt.

Dräi Bedingungen, déi de Modell entscheeden

Déi éischt ass, ob eppes an der Ufuerderung eng IPsec-Grenz brauch, déi dir gehéiert a op déi dir weisen kënnt. Déi zweet ass, ob d'Adressberäicher propper sinn an d'zwou VNeten just matenee mussen schwätzen. Déi drëtt ass, wiem eng transitiv Streck an d'Gateway-Rechnung gehéieren. Äntwert se an där Reihenfolg, well déi éischt Peering kann ausschléissen, egal wéi attraktiv déi zweet ausgesäit.

Wat béid Modeller deelen, ass eng haart Adressregel: d'Adressberäicher vun de VNeten däerfe sech net iwwerlappen. Weder Peering nach en VNet-zu-VNet-VPN ass eng ënnerstëtzt Manéier, zwou identesch Beräicher eendeiteg ze maachen, an eng Iwwerlappung verlaangt en Mapping-Design oder en Neidesign, net eng aner Verbindungsaart.

Bedingung 1: Brauchs du eng IPsec-Grenz, déi dir gehéiert?

Peering féiert Verkéier iwwer Azure seng privat Backbone an erfuerdert kei VPN-Gateway fir d'Peering-Verbindung selwer. Dat ass eng Ausso iwwer den Transport, net eng Ausso iwwer Verschlësselung, déi dir engem Auditeur als «mir bedreiwen IPsec» ka ginn. Wann d'Ufuerderung en Tunnel nennt, dee vum Client konfiguréiert ass, eng bestëmmt IKE-Politik oder eng Grenz, déi op Ausrüstung endet, déi dir kontrolléiert, dann erfëllt Peering dat net, sou privat wéi d'Backbone och ass.

En VNet-zu-VNet-VPN liwwert déi Grenz: zwou Gateways, eng IPsec/IKE-Relatioun, gedeelte Schlësselen an déi ganz operationell Fläch, déi dozou gehéiert. Dir ierft den Tunnelzoustand, d'Gateway-Kapazitéit, d'SKU-Limiten an d'Iwwerwaachung, déi beweist, datt den Tunnel steet. Dat ass déi richteg Äntwert, wann d'Ufuerderung just déi Grenz betrëfft, déi an der Peering-Iwwersiicht als eng aner Verbindungsaart wéi Peering beschriwwe gëtt.

Sief an déi aner Richtung genee sou virsiichteg. «Mir brauchen Verschlësselung tëschent VNeten» gëtt dacks vum TLS vun der Aarbechtslaascht selwer erfëllt, an dann ass e Gateway e Kach ouni Ufuerderung hannendrun. Schreif de Saz, deen den Auditeur wäert liesen, ier dir de Mechanismus wiels.

Bedingung 2: Ass d'Topologie direkt, oder muss eppes transitéieren?

Peering ass net transitiv. Zwou VNeten, déi op en Hub gepeert sinn, sinn doduerch net matenee verbonnen, an eng Route, déi an eng Richtung funktionéiert, ass meeschtens e Peering, deen nëmmen op enger Säit Connected erreecht huet. Béid Säite mussen existéieren a béid mussen Connected weisen, an dat ass dat Éischt, wat dir kontrolléiert, wann de Verkéier stëll verschwënnt.

Wann d'Ufuerderung d'Erreechbarkeet vum lokale Netz iwwer en Hub ass, ass Gateway-Transit en eegent Design mat spezifesche Rollen: den Hub besëtzt de Gateway, d'Spoke-Peering erlaabt Gateway-Transit, an de Spoke muss virugeleet Verkéier erlaben. Dat sinn Eegenschaften um Peering, net automatesch Konsequenze vum Verbannen vun de VNeten:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Déi effektiv Routetabelle ass déi éierlech Äntwert op «existeiert de Wee?». Si weist den nächsten Hop-Typ, deen d'Plattform tatsächlech wäert benotzen, dofir erschéngt e Peering, deen ageriicht ausgesäit awer net verbonnen ass, als eng feelend oder falsch Route an net als e Rätsel.

Bedingung 3: Wiem gehéieren déi transitiv Streck an d'Rechnung?

All zousätzlechen Hop huet en Eegentemer. Bei Peering bedeit en neit VNet en neit Peering-Puer op béide Säiten a fir den Transit en Hub, deen de Verkéier weiderleet, an eng Routetabelle, déi weider drop weist. Bei engem VPN bedeit en neit VNet en anere Gateway oder eng aner Verbindung op engem existéierenden, mat sengem eegene Kapazitéitsplafong, deen ze iwwerwaachen ass.

D'Käschte befollegen déiselwecht Form, awer net déiselwecht Posten: Peering-Käschte sinn Verbindung an Dateniwwerdroung, wärend e VPN Gateway-Stonnen a seng eegen Iwwerdroungskäschten dobäisetzt. Vergläich d'Total fir d'Topologie, déi dir tatsächlech ee Joer bedreift, abegraff den zweeten Tunnel an d'Iwwerwaachung, net de Präis vun enger Verbindung haut. Rechne d'Aarbecht mat, déi kee fakturéiert: een muss Schlësselen dréien, den Tunnelzoustand iwwerwaachen an den Alarm ëm dräi an der Nuecht beäntwerten, wann e Gateway nei startet. Normalerweis entscheet just dëse Posten d'Diskussioun, well et deen eenzegen ass, deen ni an engem Offre opdaucht.

Wat dir och wielt, test dräi Flëss: deen ugedachte, een ofgeleenten, dee soll ofgeleent bleiwen, an de Fall vun der Erhuelung, wann den Hub-Gateway oder e Peering ënnen ass. E Modell, deen nëmmen de gléckleche Wee erkläert, ass net verifizéiert, hien ass demonstréiert ginn.

Verifizéier d'Wiel géint hir eege Behauptung

Schreif ee Saz, deen de Modell, d'Grenz an den Eegentemer nennt, a kontrolléier dann, datt den asetze Zoustand dozou passt. Fir Peering heescht dat béid Peering-Zoustänn Connected, déi effektiv Route weist den nächsten Peering-Hop fir de Destinatiounspräfix, an et ass kee Gateway um Wee. Fir en VNet-zu-VNet-VPN heescht et béid Verbindungen Connected, passend Schlësselen a Politiken op béide Gateways, an eng Route, deenen hiren nächsten Hop de virtuelle Netzwierk-Gateway ass.

Wann d'Kontrollen dem Saz widderspriechen, verbesser fir d'éischt de Saz. De gréissten Deel vun der Verwierrung an dësen Designe kënnt vun engem Hybrid, deen keen beschriwwen huet: e Peering fir de Workload-Subnet, e VPN fir engem ale Service an eng Routetabelle, déi stëll een dovun bevorzugt.