ExpressRoute plus VPN: wéi eng Feelerdomänen deckt Dir of?

En IPsec-Tunnel, deen iwwer de private Peering vum ExpressRoute leeft, bäisetzt Verschlësselung zu engem Transport, deen et schonn gëtt. En zweete Tunnel verbessert d'Disponibilitéit vum Endpunkt, an hie mécht absolut näischt fir de Carrier-Wee ënnert deenen zwee. Dësen Ënnerscheed verléiert een einfach, wann d'Dashboarden zwee gréng Tunnelen weisen an d'Design-Revue eng aner Fro stellt: wéi eng Feeler muss dës Verbindung iwwerliewe? Äntwert dat éischt, a zielt dann d'Tunnelen, well d'Zuel vun de gréngen Indikatoren ass eng Eegenschaft vun der Verschlësselungsschicht an d'Zuel vun de Feelerdomänen ass eng Eegenschaft vum ganze Wee.

Fänkt mat Feeler un, net mat gréngen Tunnelen

Schreift véier Zeilen, ier Dir eppes zeechent: een VPN-Endpunkt oder Peer-Instanz deen ausfällt, een lokale Router oder First-Mile-Verbindung déi ausfällt, dee gedeelten ExpressRoute-Wee deen ausfällt, an IPsec dat net méi verfügbar ass, wärend de private Peering nach Trafic dréit. All Zeil nennt, wat den Design musss bewahren, an op all een äntwert een anere Mechanismus.

Microsoft dokumentéiert Site-to-Site-VPN mat private IPen iwwer de private Peering vum ExpressRoute, an d'ënnerstëtzte Koexistenz mat internetbaséierte Site-to-Site-Verbindungen. Dës Koexistenz ass en aneren Underlay-Design, an se erschéngt net just, well Dir nach een private Tunnelendpunkt bäigefüügt hutt.

Feelerdomän 1: den VPN-Endpunkt

Zwee Tunnelen op enger Gateway sinn normalerweis Active-Active-Puer, déi op der selwechter Azure-Säit-Ressource ophalen. Si schützen géint e Problem mat engem eenzegen Tunnel oder enger Instanz, a si schützen net géint datt dës Ressource net méi verfügbar ass, nei konfiguréiert gëtt oder d'Kapazitéit ausgeet. Endpunkt-Redundanz heescht en zweete ënnerstëtzten Endpunkt, mat sengem eegene Wee a senger eegener Konfiguratioun, plus eng Route, déi e ka erreechen.

Iwwerpréift, wat Dir tatsächlech deployéiert hutt, an net wat den Diagramm seet, well de Portal dës Ressourcen esou gruppéiert, datt hir Relatioun verstoppt gëtt:

az network vpn-connection show -g rg-connectivity -n vpn-to-hub   --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub   --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'

Wann béid Tunnelen op eng Gateway mat enger ëffentlecher IP weisen, hutt Dir Endpunkt-Redundanz vun enger bestëmmter a limitéierter Aart. Dat ka genee dat sinn, wat d'Ufuerderung freet, an et soll esou gesot ginn, amplaz et als redundant Verbindung ze beschreiwen.

Feelerdomän 2: de lokale Wee an de Carrier

Ënnert der Verschlësselung läit eng physesch a kommerziell Realitéit: en Customer-Edge-Gerät, eng Cross-Connect, en Provider-Netzwierk an eng Peering-Plaz. d'Disponibilitéitsrichtlinnen vum ExpressRoute soe kloer, datt End-zu-End-Redundanz d'Segmenter vum Client a vum Serviceprovider enthält, net nëmmen déi Microsoft-Säit. Zwee logesch Weeër, déi e Router, eng Stroumversuergung oder eng First-Mile-Verbindung deelen, deelen nach ëmmer dës Ofhängegkeet.

Hei fält en Design normalerweis an enger éierlecher Revue duerch. Zwee Circuitten vum selwechte Provider, déi am selwechte Gebai ophalen, op Ausrüstung aus der selwechter Bestellung, sinn net zwee Feelerdomänen. Si sinn eng Feelerdomän mat zwou Rechnungen.

Stellt dem Carrier d'Fro schrëftlech: wéi eng vun dëse Weeër divergéieren, wou, a wat ass dat dokumentéiert Verhalen, wann de gedeelte Segment ausfällt? Eng mëndlech Versécherung während engem Design-Call iwwerlieft den Ausfall net, fir deen Dir designe sidd.

Feelerdomän 3: de Wee, deen ouni IPsec iwwerlieft

Private Peering an IPsec kënnen konkurréierend Route fir dee selwechte Applikatiounspräfix ubidden. Wann déi geschützt Route verschwënnt, kann eng iwwerliewend direkt ExpressRoute-Route nach ëmmer benotzbar sinn, ouni d'Verschlësselungsschicht, déi den Tunnel geliwwert huet. Ob dat akzeptabel ass, ass eng Politikentscheedung, an et ass déi Entscheedung, déi am dackste implizit gelooss gëtt.

Verschlësselungs- an Disponibilitéitsuferderunge kënnen hei wierklech kollidéieren. «All iwwerliewend Route zielt als Erfolleg» ass eng Disponibilitéitsausso, déi d'Verschlësselungsfro roueg mat «nee» beäntwert. Schreift op, wat gewënnt, fir wéi eng Präfixen, a wien et guttgeheescht huet.

az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o table

Vergläicht déi geléiert Route mat de Präfixen, déi Dir erwaart hutt. En Fallback, dee kleng administrativ Belaaschtung dréit, kann fir déi Belaaschtung komplett adequat sinn an wäit vun der Kapazitéit ewech sinn, déi d'Produktiounsfuerderung braucht, also notéiert d'Kapazitéitsufuerderung nieft der Route.

Notéiert dräi getrennte Zeilen, net en eenzege Verdict

Hält Endpunkt-Redundanz, Transport-Redundanz an Disaster Recovery als getrennt Entréen am Designregister, jiddwereen mat sengem eegene Mechanismus, senger eegener Verifikatioun a sengem eegene Besëtzer. Wann eng Incident-Revue freet, firwat d'Verbindung en Gateway-Neistart iwwerlieft huet, awer kee Fiberschnëtt, da äntweren dräi Zeilen an engem Saz; eng eenzeg «redundant» Këscht kann dat net.

Testt dann d'Zeilen, déi Dir bëlleg ka testen. Loosst een Tunnel ausfalen a bestätegt, datt den Trafic sech verréckelt an nei verschlësselt gëtt. Zitt eng Route zréck a bestätegt, datt den iwwerliewende Wee deen ass, deen Dir gemengt hutt, a bestätegt dann, ob en nach verschlësselt ass. Dokumentéiert d'Feeler, déi Dir net konnt simuléieren, well eng net getest Zeil eng Ufundung ass a soll als esou markéiert ginn.

Den nëtzlechen Output ass eng kuerz Tabell plus en Saz pro Zeil. Wann eng Zeil kee Mechanismus huet, ass dat de Befund, an et ass vill méi bëlleg, en an enger Design-Revue ze entdecken wéi während engem Carrier-Ausfall, deen déi zwee Tunnelen ni iwwerlieft hätten.