Azure privat IP VPN iwwer ExpressRoute ouni NVA

De Mythos ass, datt d'Verschlësselung vum Traffic iwwer ExpressRoute privat Peering eng virtuell Netzwierkapparatur erfuerdert. Dat ass net esou. Azure ënnerstëtzt eng Site-to-Site VPN Gateway, där hirem Tunnel-Endpunkt eng privat RFC1918-Adress ass, déi iwwer de Circuit gedroe gëtt, an d'Apparatur ass optional an net strukturell. Wat de Mythos vun der Apparatur verstoppt, ass deen Deel, deen wierklech wéi dot: de privaten Endpunkt op engem Objet amplaz vun zwee aktivéieren, an zoulossen, datt eng direkt Peering-Route roueg iwwer de verschlësselte Wee gewënnt.

Wou de Mythos hierkënnt

D'Behaaptung huet eng respektabel Hierkonft. Joerelaang war d'praktesch Rezept fir IPsec iwwer privat Peering eng NVA, well de verwalteten Gateway nëmmen ëffentlech Endpunkte bitt. Dat huet sech geännert, an Äntwerten, déi virun der Ännerung geschriwwe goufen, ginn nach ëmmer an Threads zitéiert, wou kee sech den Datum ukuckt. D'Korrektur ass schmuel: et gëtt en VPN-Gateway mat privater Adress, an et ännert den Endpunkt, net d'Routing-Logik ronderëm.

Näischt dovun pensionéiert d'NVA. Et pensionéiert d'Annam, datt eng Apparatur dee eenzegen Wee zu der Ufuerderung ass.

Aktivéiert de privaten Endpunkt op béide Niveauen

Fänkt mat enger funktionéierender ExpressRoute privat Peering-Verbindung un, déi mam VNet verbonnen ass, an deem de VPN-Gateway ass. D'Lokal Säit muss schonn iwwer dee Circuit déi relevant privat Adressen erreechen, well den Tunnel déi Adressen als Transport benotzt. Dunn d'Viraussetzung vum Gateway: d'Microsoft-Prozedur fir privat-IP VPN erfuerdert e Gateway, deen op enger Standard ëffentlecher IP-Ressource gebaut ass. Privat Tunneladresséierung hëlt déi Ufuerderung net ewech, wat Leit iwwerrascht, déi unhuelen, datt „privat“ „néiergendwou eng ëffentlech IP“ bedeit.

Elo aktivéiert de Fändel op béide Plazen. D'Gateway-Konfiguratioun huet hire eigenen Ëmschalter fir privat IPen, an déi eenzel Site-to-Site-Verbindung huet en zweete, deen déi Verbindung déi privat Adress benotze léisst. Een astellen an deen aneren net ass déi heefegst onvollstänneg Konfiguratioun; den Tunnel kënnt entweder net zustan oder kënnt op de falschen Endpunkt.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Iwwerpréift d'Eegeschaftsnimm géint déi installéiert CLI-Versioun, well Portal-Labelen an CLI-Eegeschaften net ëmmer déiselwecht Formuléierung hunn. En aktiv-aktive Gateway bitt zwou privat Tunneladressen, an d'lokal Apparat brauch béid Peeren konfiguréiert, wann dir wëllt, datt déi Redondanz eppes bedeit. BGP ass net néideg just fir dësen Tunnel mat privater Adress opzebréngen, obwuel et normalerweis Deel vum Wee ass, wéi dir Präfixe verdeelt.

Den zweete Mythos: en etabléierten Tunnel verschlësselt Ären Traffic

Zwee Weeër erreechen elo den Applikatiounsnetzwierk: de direkten privat Peering-Wee an de Wee duerch d'VPN. Béid funktionéieren. Nëmmen een applikéiert dës IPsec-Schicht. Microsoft dokumentéiert, datt wann identesch Präfixe souwuel iwwer ExpressRoute wéi och iwwer d'VPN annoncéiert ginn, Azure de direkten ExpressRoute-Wee virzitt, also beweist en gesonden Tunnel mat gesonden Zähler näischt doriwwer, wou d'Applikatiounspakete higaange sinn.

Déi dokumentéiert Steierungsmethoden sinn eng deckend Rei op ExpressRoute mat enger méi spezifescher geschützter Rei op der VPN, oder disjoint Präfixe op den zwee Weeër. Zum Beispill kéint privat Peering 10.40.0.0/16 droen, während d'VPN 10.40.12.0/24 annoncéiert. De méi spezifesche Präfix gewënnt an de Rescht vun der Rei bleift direkt.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Maacht déiselwecht Kontroll an der lokaler Richtung, well d'Preferenz vun Ärem Router entscheet, wéi eng Säit den ausgehenden Traffic verléisst. An haalt den eegenen Transport vum Tunnel um ExpressRoute-Wee; eng Route, déi de privaten Endpunkt vum Gateway an den Tunnel zitt, mécht den Tunnel vun sech selwer ofhängeg.

Entscheet, wat geschitt, wann den Tunnel fällt

Eng méi spezifesch VPN-Route verschwënnt, wann den Tunnel fällt, während déi méi breet direkt Route bleift. Den Traffic fléisst dann onverschlësselt an alles gesäit gesond aus, wat dee schlëmmste Fehlermodus fir eng Ufuerderung ass, déi existéiert fir Verschlësselung ze garantéieren. Wann d'Ufuerderung dee Fallback verbitt, mussen Routing an Zougangspolitik dat explizit soen, amplaz sech op d'Disponibilitéit vum Tunnel ze verloossen.

Schreift op, wéi eng Präfixe direkt erreechbar bleiwen däerfen a wéi eng musse stoppen, wann de verschlësselte Wee feelt. Test dann dee erlaabten Fall mat richtegem Traffic a vergläicht d'Verbindungszähler, well d'Routingtabell eleng soen Iech net, ob d'Verschlësselungsufuerderung nach gëllt.

Dee Kader erlaabt Iech och, eng NVA no hire richtegen Funktiounen ze bewäerten, wéi méi Tunnelen, Duerchfloss oder Händlerinspektioun, amplaz eng ze kafen, well den Endpunkt privat ass.