Zwee On-Prem-VPN-Adressen: zwee Azure-Peers, net een

Den Diagramm huet zwee Internetverbindungen an der Filial an een Azure VPN-Gateway, dofir kritt de lokalen Netzwierkgateway béid ëffentlech Adressen. Et gesäit ordentlech aus, an et funktionnéiert net sou wéi den Diagramm et ugëtt. All On-Prem-VPN-Apparat ass eng separat Peer-Relatioun, an dem Microsoft seng Multi-Apparat-Design gëtt jiddereen seng eege lokal Netzwierkgateway-Ressource an seng eege Verbindung. Eng zweet Adress un eng eenzeg Ressource bäizefügen schaaft keen zweete Peer. Et schaaft eng Ressource, déi kee vun den zwee Apparater richteg beschreift.

De Mythos: ee Gateway, zwou Adressen

En lokalen Netzwierkgateway ass eng Beschreiwung vun engem entfernten Peer: een ëffentlechen Endpunkt an d'privat Prefixen dohannert. Et gëtt keng ënnerstëtzt Manéier, dës Ressource «ee vun dësen zwee Apparater» bedeiten ze loossen.

Déiselwecht Duercherneen geet an déi aner Richtung, wou zwou ëffentlech Azure-IPen als Beweis gelies ginn, datt et zwou Azure-Gatewaysen gëtt.

Zielt d'Objeten, dann d'Tunnelen

Huelt zwee onofhängeg bedriwwen On-Prem-Apparater, jiddereen mat senger eege ëffentlecher Adress an Zougang zu deene selwechte privaten Netzwierker, plus een routbaséierten Azure-Gateway am aktiv-aktive Modus. Den Azure-Gateway huet zwou aktiv Instanzen mat getrennten ëffentlechen IPen. All On-Prem-Apparat verbënnt sech mat béide Instanzen. Dat ass de vollständleche Mesh, an d'Zuel vun den Objeten ergëtt sech doraus, net aus dem Diagramm.

D'Arithmetik ass kuerz genuch, fir se an den Design-Dokument ze pasteieren:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Eng Verbindungsressource kann méi wéi een ënnerleeënden Tunnel droen, also véier Tunnelen heescht net véier virtuell Netzwierkgatewaysen. Zwou ëffentlech Azure-IPen sinn och net déiselwecht Objeten wéi déi zwou lokal Netzwierkgatewaysen, déi de Remote-Site beschreiwen.

Wat aktiv-aktiv op der Azure-Säit bäisetzt

Aktiv-aktiv ännert den Azure-Gateway vun enger aktiver Instanz op zwou, jiddereen mat hirer eege ëffentlecher IP, an et ass dat, wat e vollständleche Mesh iwwerhaapt méiglech mécht. Et verduebelt net den Duerchgang vun engem eenzegen Floss. Et hëlt och net d'Erfuerdernis ewech, datt d'On-Prem-Säit Multipath mat gläichen Käschten ënnerstëtzt, wa béid Apparater gläichzäiteg weiderleeden. Bestätegt de Gateway-Modus, d'SKU an d'Fäegkeete vum Remote-Apparat, ier Dir eppes bereetstellt.

En Gateway am passive Standby ass en typesch valabelen Design; et gëtt just eng aner Zuel vun Tunnelen.

BGP mécht béid Weeër benotzbar

Fir den Design mat méi Apparater lafen béid On-Prem-Apparater BGP. Gitt jiddereeeng eng eenzegaarteg BGP-Peer-Adress a kënnegt déiselwecht geplangt privat Prefixen iwwer déi relevant Weeër un. Déi privat Prefixen identifizéieren déi geschützt Netzwierker, während déi ëffentlech Adressen identifizéieren, wou déi verschlësselt Carrier-Verbindungen ophalen. Dës zwee ze verwiesselen ergëtt en Design, an deem all Tunnel erop ass an d'Routen falsch sinn.

Plangt d'Réckrouting an all zoustänneg Inspektioun, déi ee vun de béide Weeër muss toleréieren. Eng gesond IKE-Sessioun op all Endpunkt beweist net, datt eng Aarbechtslaascht all ugekënnegt Route benotze kann.

Flow-baséiert Auswiel ass keng Bandbreedte-Pooling

Azure wielt e Wee pro Floss mat engem Hash iwwer d'Adresséierung an d'Porte vum Floss. Am stationären Zoustand huelen d'Pakete vun engem bestëmmten TCP- oder UDP-Floss normalerweis dee selwechten Tunnel, an d'On-Prem-Säit kann en aneren Tunnel fir d'Réckrichtung wielen. Dofir verbesseren zwee Apparater a véier Tunnelen d'Disponibilitéit, net d'Vitesse vun enger Transfert. Wann eng Verkeefer-Slide Aggregatioun versprécht, beschreift se eng aner Funktioun oder e Mëssverständnis.

Test mat parallele Flëss, wann Dir wëllt gesinn, wéi d'Weeër sech verdeelen, an mat engem eenzegen Floss, wann Dir d'Limite wëllt gesinn.

Wéi eng Redundanz Dir tatsächlech ewechgeholl hutt

Zwou WAN-Adressen op engem Apparat verbesseren d'Optioune vun der Zougangsverbindung, deelen awer d'Stroumversuergung, d'Software an de Feelerzoustand vun dësem Apparat. Si sinn net d'selwecht wéi zwee Apparater, an keng Azure-Säit-Konfiguratioun ännert dat. Follegt dem ënnerstëtzten Dual-WAN- oder Cluster-Design vum Verkeefer, amplaz d'Redundanz aus der Zuel vun den Adressen ofzeleeden. Test et dann: huelt ee Wee op eemol ewech a bestätegt déi verbleiwen Routen plus en echte Uwendungsaustausch a béide Richtungen.

Erwaart Verzögerungen bei der Detektioun an der Konvergenz, an erwaart, datt verschidde bestoend Sessiounen ophalen.