Brauch en Azure VNet mat Peering eng eege VPN-Gateway?

En neie Spoke-VNet erschéngt, den Hub huet schonn eng funktionéierend Site-to-Site-Gateway, an déi evident Fro ass, ob dir fir eng zweet Gateway musst bezuelen. Normalerweis net: Gateway-Transit erlaabt dem Spoke, d’Gateway vum Hub iwwer Peering ze benotzen. Dräi Konditioune bestëmmen, ob dat funktionéiert, an keng vun hinnen ass um Peering-Statusbadge ze gesinn. Peering-Konnektivitéit an d’Berechtegung, eng friem Gateway ze benotzen, sinn getrennt Astellungen, also beweisen zwou VM, déi sech schonn ping kënnen, näischt iwwer de VPN-Wee.

Éischt Konditioun: d’Gateway, an d’Fehlen vun enger am Spoke

Azure ënnerstëtzt Gateway-Transit fir VPN Gateway-SKUen aner wéi Basic, a souwuel regional wéi global Peering kënnen en droen. De Spoke konsuméiert eng Gateway, déi him net gehéiert, also kann en keng eege hunn: wann eng Gateway schonn am Spoke existéiert oder eng Remote-Gateway-Optioun schonn ausgewielt ass, gëtt d’Transitastellung, déi dir wëllt, net verfügbar oder onwierkungsvoll. Kontrolléiert dat, ier dir eppes debuggt, well dee deaktivéierte Këschteknäppchen ass de Symptom, net de Feeler. Liest fir d’éischt d’SKU an déi existéierend Gateway, a kuckt duerno d’Peering-Astellungen.

Läscht keng existéierend Spoke-Gateway, fir datt d’Optioun erschéngt, bis dir wësst, wat dovun ofhänkt. D’Migratiounsuerdnung ass méi wichteg wéi de Këschteknäppchen.

Zweet Konditioun: eng Astellung an all Peering-Richtung

E Peering sinn zwee Objeten, een op all VNet, an d’Transitastellungen liewen op verschiddene Säiten vun deem Paar. D’Peering vum Hub zum Spoke muss der Hub-Gateway erlaben, de Spoke ze bedéngen; d’Peering vum Spoke zum Hub muss d’Gateway vum Hub akzeptéieren. dem Microsoft seng Guide fir Gateway-Transit nennt se pro Richtung, an dat ass déi eenzeg Manéier, se richteg ze halen:

Eng Kontroll mam Label remote ännert seng Bedeitung jee no deem, wéi eng VNet seng Peering dir ännert, also liest d’Richtung, net d’Wuert. Setzt béid Säiten, späichert a bestätegt, datt d’Peering op béide Plazen als verbonne gemellt gëtt.

Drëtt Konditioun: Adressraum a Berechtegungsgrenzen

Transit kann net maachen, datt deeselwechte Destinatiounspräfix zwee Netzwierker bedeit, also mussen d’Beräicher vum Hub, Spoke a lokalen Netz disjunkt sinn, ier eppes dovun funktionéiert. D’VNeten kënnen och a verschiddenen Abonnementen oder verschiddenen Tenantë sinn; dat ass kee Verbuet, awer d’Identitéit, déi all Peering erstellt oder aktualiséiert, brauch déi néideg Berechtegungen op deem Netz. Ännerungen iwwer Abonnementen ewech schloe dacks op Berechtegungen fehl, an de Feeler ass liicht als Topologieproblem falsch ze liesen.

Schreift d’Beräicher an d’Eegentümer virun der Ännerung op. Bei engem vun deenen zwee ze roden ergëtt e Peering, deen sech verbënnt an näischt routet.

Verifizéiert mat effektiven Trassen, net mam Peering-Status

Kuckt d’effektiv Trassen op der Netzwierkinterface vun enger Spoke-Arbechtslaascht a fannt de richtege lokale Präfix. Kontrolléiert d’Routingtabell vum Subnetz an ob d’Verbreedung vun de Gateway-Trasse deaktivéiert ass, well eng benotzerdefinéiert Trass oder en Inspektiounsapparat de Wee iwwerstëmme kann, deen d’Peering-Flags virschloen. Bestätegt duerno déi aner Richtung: de lokalen Netz muss wëssen, wéi et de Spoke-Präfix iwwer d’Site-to-Site-Verbindung erreecht, sief et duerch geléiert Annoncen oder duerch eng explizit Trass an eng passend Notiz fir e geschützten Netz um Client-Apparat. Wann de Präfix op enger vun deenen zwou Säiten feelt, sinn d’Peering-Flags net dat, wat geännert muss ginn.

Testt een Déngscht aus enger Spoke-Arbechtslaascht a verfollegt d’Äntwert. En Test vun der VPN-Gateway oder vun enger Hub-VM üübt e aneren Ursprungspräfix an en anere Wee aus.

Wann d’Topologie och Point-to-Site-Clienten déngt, validéiert hir installéiert Trassen separat. Windows-Clientpakete kënnen no enger Topologieännerung eng Neigeneréierung brauchen, an dat ass eng Client-Routing-Aufgab, net de Beweis, datt d’Deelen vun der Gateway fehlgeschloe gouf.

Wat d’Deelen vun enger Gateway net gëtt

Gateway-Transit ass eng Routing-Bequemlechkeet, keng Autorisatioun. Netzwiersécherheetsgruppen, lokal Filteren a Reegele op Déngschtniveau entscheeden nach ëmmer, wat eng Spoke-Arbechtslaascht erreeche kann, also aktivéiert den konkreten Déngscht vum Ursprong zum Destinatioun, amplaz unzehuelen, den gedeelte Tunnel erlaabt alles dobannen.

Peering ass och net transitiv sou wéi d’Leit hoffen. Nach eng Spoke, oder en private Endpunkt, derbäizesetzen bréngt seng eege Routing- an Zougangsfuerderungen, déi déi bestehend Transitastellung net deckt.