Öffentlech IP vum Azure VPN-Gateway änneren an Abonnement verréckelen

Runbook fir déi öffentlech IP vun engem VPN-Gateway z'ersetzen an tëschent Abonnementen ze verréckelen, mat Inventaire, Rollback a Kontextkontrollen, déi d'Tunnelë lafen halen.

An Azure ginn dräi verschidde Saachen als Gateway-Adress bezeechent. D'privat Adress gëtt aus dem GatewaySubnet zougewisen. D'öffentlech Adress ass eng separat öffentlech IP-Ressource, op déi d'IP-Konfiguratioun vum Gateway weist. D'Abonnement an d'Cloudëmwelt sinn de Kontext, mat deem deng Shell dat eng oder dat anert fënnt. Änner ee, an déi aner zwou bleiwen, wou se waren, dofir bleift d'Adressenaarbecht esou dacks hallefweegs stoen.

Ech maachen dës Ännerungen a véier Etappen: Inventaire vun den Objeten, Entscheedung ob d'öffentlech IP um bestehende Gateway wanderd oder de Gateway nei gebaut gëtt, d'Ännerung uwenden, soulaang déi al Adress nach bei der Hand ass, an duerno all Tunnel vun deenen zwou Säiten iwwerpréiwen, ier eppes geläscht gëtt. D'Etapp, déi iwwersprongen gëtt, ass den Inventaire.

Wéi eng vun den dräi Saache s du wierklech änderst

Nenn d'Objet, ier s de Portal opmaachst. E VPN-Gateway hëlt seng privat Adress aus engem Subnetz, dat genee GatewaySubnet muss heeschen, an Azure deelt se aus deem Präfix zou; et gëtt kee allgemengt Feld fir se ze pinnen. D'Adress gesäit nëmme stabil aus, well d'Subnetz stabil ass. Änner d'Adress vum Subnetz oder bau de Gateway nei, an se wanderd mat.

D'öffentlech Adress ka geännert ginn, awer SKU-Regelen entscheeden, ob d'Ännerung legal ass. E Basic-Gateway passt zu enger Basic dynamescher öffentlecher IP, VpnGw-SKUen brauche Standard statesch, an e zoneredundante Gateway brauch eng Standard öffentlech IP mat deene selwechte Zonen. Déi falsch SKU gëtt ofgeleent, ier en Tunnel fält.

ObjectWhere it livesWhat a change forces
Private addressGatewaySubnet prefix, assigned at deploymentSubnet resize or rebuild, then routes, NSGs and peer review
Public addressPublic IP resource referenced by the IP configurationGateway reprovision, peer and allowlist edits, new client profiles
Subscription contextYour PowerShell or CLI sessionNothing in Azure, and it clears most not-found errors

Inventaire, ier sech eppes beweegt

Beweis als éischt d'Abonnement, well ouni dat ass de Rescht vum Inventaire wäertlos. Erfaass de Gateway, seng IP-Konfiguratiounen an all Verbindung, déi drop endet, a hal d'Ausgab niewent dem Ännerungsprotokoll.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

Ressourcen-IDs zéien méi wéi Nimm. Eng Verbindung hält Referenzen op de Gateway an op en lokale Netzwierkgateway, an déi IDen erschéngen a Skripten, Alarmen a Richtlinn-Zoudeelungen, un déi sech kee méi erënnert. Lëscht och, wat baussent Azure läit: den DNS-Numm, deen op d'Adress weist, d'Erlaabnislëscht vum Partner, d'Filialfirewall, déi déi al IP festhält.

Déi öffentlech IP um lafende Gateway ersetzen

Erstell als éischt d'Ersatzadress, an der selwechter Regioun an mat dem Zone-Set, dee beim Gateway passt, a loos déi al Ressource stoen. Da bau d'IP-Konfiguratioun nei a schéck d'Update an engem eenzegen Opruff. Dee Opruff ersetzt déi ganz Konfiguratiounssammlung, dofir brauch en aktiv-aktiv Gateway béid, soss behils du een Tunnel a verléiers deen aneren.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Tunnele fale wärend de Gateway nei preparéiert gëtt. Déi wäit Säit brauch de Plang: eng Partnerfirewall bitt déi al Adress weider un, bis een se ännert, an eng Verbindung, deenen hir wäit Enn déi virech IP erwaart, bleift ënnen, grad wéi gesond Azure och ausgesäit. Setz den DNS-TTL virun der Fënster erof.

Point-to-site-Cliente brauchen en neit Profil, well de Pak, deen erofgelueden gëtt, den Endpunkt dréit. En eegene DNS-Numm virum Gateway spuert dir d'Neiverdeelung: hal den Numm, ännert den Enregistrement.

De Gateway an en anert Abonnement verréckelen

Ressourcen ze verréckelen beweegt e Set, an de Gateway eleng ass säi mannst nëtzlecht Member. D'virtuellt Netzwierk, d'öffentlech IP-Ressourcen, déi lokal Netzwierkgatewayen an d'Verbindungen reesen zesummen, well jidderee Referenz op een aneren hält. D'Zilabonnement muss am selwechten Tenant sinn, Microsoft.Network muss do registréiert sinn, an du brauchs Schreifaarichtung op béide Säiten.

D'Validéierung leeft, ier sech eppes ännert, dofir loosst eng ofgeleente Verréckelung d'Ressourcen stoen. Dofir verdéngt d'Verréckelung e Versuch virun engem Neibau: eng gelungen Verréckelung hëlt déi öffentlech IP mat, soudatt Peeren an Erlaabnislëschten weider schaffen, wärend en nei gebaute Gateway seelen déi selwecht Adress zréckgëtt.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Lies e Validéierungsfehler, amplaz en ze widderhuelen. Déi gewéinlech Ursaachen sinn eng hannerlooss Ofhängegkeet, eng Ressourcenaart, déi net kann verréckelt ginn, oder e Spär op enger vun de Ressourcegruppen. Wann d'Verréckelung onméiglech ass, bau am Zil nei a schalt ëm: confirméier Routing an Authentifikatioun aus engem Testsubnetz, stopp déi al Verbindungen amplaz se ze läschen, a läsch deen ale Wee spéider an enger anerer Fënster.

Wann de Gateway feelt, kontrolléier de Kontext

Den Net- fonnt-Fehler ass meeschtens e Beräichsfehler. En Kont mat méi Abonnementen adresséiert e cmdlet op dat falscht, an d'Noriicht beschëllegt d'Ressource. Sich den Objet iwwer seng voll Ressourcen-ID: d'ID dréit säin eegent Abonnement, also wann et sech opléist, feelt näischt an däi Standardkontext ass falsch.

Nach zwou Onstëmmegkeeten liese sech esou. E kommerzielle Cloud-Gateway existéiert net an enger Sessioun op eng Regierungs- oder China-Ëmwelt, an eeler Modulversioune verpassen Ressourcenaarten, déi d'API schonn zréckgëtt. Pin d'Abonnement, gläich d'Ëmwelt un, da maach e Fall op.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Iwwerpréif vun deenen zwou Säiten, ier s du botz

Verbannen ass en Zoustand, kee Beweis. Kontrolléier den Tunnelstatus pro Verbindung, de BGP-Peerstatus wann s du dynamescht Routing notz, an déi effektiv Routen op engem Workload-Subnetz. Schéck duerno eng richteg Ufro duerch eng Applikatioun, déi vum Tunnel ofhängt. Eng Verbindung kann sech als verbonnen mellen, wärend de Präfix, deen s du brauchs, an der Routentabelle feelt.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Hal déi al öffentlech IP ofgetrennt amplaz geläscht, bis d'Réckfallfënster zou ass, a schreif d'Peeren- an Firewall-Ännerungen op, soudatt se kënne an der Rei ëmgedréit ginn.

  • Kontext op d'Abonnement gepinnt, deem de Gateway gehéiert
  • Al öffentlech IP behalen, hir Ofhängegkeete opgeschriwwen
  • All Verbindung gréng an eng richteg Ufro duerch
  • Point-to-site-Benotzer op de frëschen Profil verréckelt
  • DNS-Enregistrement geännert a säi virege Wäert festgehalen

Ähnlech Artikelen