ExpressRoute ir VPN: kokias gedimų sritis apimate?
Antrasis IPsec tunelis apima galinį tašką, o ne grandinę po juo. Susiekite kiekvieną gedimo sritį, tada nuspręskite, ar leidžiamas neužšifruotas atsarginis kelias.
IPsec tunelis, veikiantis per ExpressRoute privatųjį peering, prideda šifravimą prie transporto, kuris jau egzistuoja. Antrasis tunelis pagerina galinio taško prieinamumą ir visiškai nieko nedaro abiejų apačioje esančiam operatoriaus keliui. Šį skirtumą lengva pamesti, kai prietaisų skydeliai rodo du žalius tunelius, o projektavimo peržiūra užduoda kitą klausimą: kokius gedimus šis ryšys turi atlaikyti? Pirmiausia atsakykite į tai, tada skaičiuokite tunelius, nes žaliųjų indikatorių skaičius yra šifravimo sluoksnio savybė, o gedimų sričių skaičius yra viso kelio savybė.
Pradėkite nuo gedimų, o ne nuo žalių tunelių
Parašykite keturias eilutes prieš ką nors piešdami: vieno VPN galinio taško ar peer egzemplioriaus gedimas, vieno vietinio maršrutizatoriaus ar pirmos mylios ryšio gedimas, bendro ExpressRoute kelio gedimas ir IPsec nepasiekiamumas, kol privatusis peering vis dar perduoda srautą. Kiekviena eilutė įvardija, ką projektas turi išsaugoti, ir į kiekvieną atsako kitas mechanizmas.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft dokumentuoja site-to-site VPN su privačiu IP per ExpressRoute privatųjį peering ir palaikomą sambūvį su internetu pagrįstais site-to-site ryšiais. Ta sambūvis yra kitokia apatinio sluoksnio konstrukcija ir neatsiranda vien todėl, kad pridėjote dar vieną privataus tunelio galinį tašką.
Gedimo sritis 1: VPN galinis taškas
Du tuneliai viename šliuze paprastai yra active-active poros, pasibaigiančios tame pačiame Azure pusės ištekliuje. Jie saugo nuo vieno tunelio ar egzemplioriaus problemos ir nesaugo nuo to, kad šis išteklius taps neprieinamas, bus perkonfigūruotas arba pritrūks talpos. Galinio taško perteklius reiškia antrą palaikomą galinį tašką su savo keliu ir sava konfigūracija, be to, maršrutą, kuris gali jį pasiekti.
Patikrinkite, ką iš tikrųjų įdiegėte, o ne ką sako diagrama, nes portalas grupuoja šiuos išteklius taip, kad paslepia jų ryšį:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Jei abu tuneliai nukreipti į vieną šliuzą su vienu viešuoju IP, turite tam tikro ir riboto tipo galinio taško perteklių. Tai gali būti būtent tai, ko reikalauja reikalavimas, ir taip reikėtų ir suformuluoti, o ne apibūdinti kaip perteklinį ryšį.
Gedimo sritis 2: vietinis kelias ir operatorius
Po šifravimu slypi fizinė ir komercinė realybė: kliento krašto įrenginys, skersinis sujungimas, tiekėjo tinklas ir peering vieta. ExpressRoute prieinamumo gairės aiškiai nurodo, kad ištisinis perteklius apima kliento ir paslaugų teikėjo segmentus, o ne tik Microsoft pusę. Du loginiai keliai, kurie dalijasi maršrutizatoriumi, maitinimo šaltiniu ar pirmos mylios ryšiu, vis tiek dalijasi ta priklausomybe.
Čia projektas paprastai nepraeina sąžiningos peržiūros. Dvi grandinės iš to paties tiekėjo, pasibaigiančios tame pačiame pastate, įranga iš to paties pirkimo užsakymo, nėra dvi gedimo sritys. Tai viena gedimo sritis su dviem sąskaitomis.
Paklauskite operatoriaus raštu: kurie iš šių kelių išsiskiria, kur, ir kokia yra dokumentuota elgsena, kai bendra atkarpa sugenda? Žodinis patikinimas projektavimo skambučio metu neišgyvena pertraukimo, kuriam projektuojate.
Gedimo sritis 3: maršrutas, kuris išlieka be IPsec
Privatusis peering ir IPsec gali pasiūlyti konkuruojančius maršrutus į tą patį programos prefiksą. Jei apsaugotas maršrutas dingsta, likęs tiesioginis ExpressRoute maršrutas vis dar gali būti naudojamas, be šifravimo sluoksnio, kurį teikė tunelis. Ar tai priimtina, yra politikos sprendimas, ir būtent šis sprendimas dažniausiai paliekamas numanomas.
Šifravimo reikalavimai ir prieinamumo reikalavimai čia gali tikrai susidurti. „Bet koks likęs maršrutas laikomas sėkme“ yra prieinamumo teiginys, kuris tyliai atsako į šifravimo klausimą „ne“. Užrašykite, kas laimi, kuriems prefiksams ir kas tai patvirtino.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tablePalyginkite išmoktus maršrutus su prefiksais, kurių tikėjotės. Atsarginis kelias, nešantis nedidelį administracinį krūvį, gali būti visiškai tinkamas tam krūviui ir labai toli nuo talpos, kurios reikia gamybos paklausai, todėl užrašykite talpos prielaidą šalia maršruto.
Užrašykite tris atskiras eilutes, o ne vieną nuosprendį
Laikykite galinio taško perteklių, transporto perteklių ir atkūrimą po nelaimės atskirais įrašais projektavimo registre, kiekvieną su savo mechanizmu, savo patikra ir savo savininku. Kai incidento peržiūra klausia, kodėl ryšys atlaikė šliuzo perkrovimą, bet ne skaidulų pjūvį, trys eilutės atsako vienu sakiniu; viena „perteklinė“ žymės varnelė to negali.
Tada išbandykite eilutes, kurias galite išbandyti pigiai. Sužlugdykite vieną tunelį ir patvirtinkite, kad srautas persikelia ir vėl užšifruojamas. Atsaukite vieną maršrutą ir patvirtinkite, kad likęs kelias yra tas, kurį ketinote, tada patvirtinkite, ar jis vis dar užšifruotas. Dokumentuokite gedimus, kurių negalėjote imituoti, nes neišbandyta eilutė yra prielaida ir turi būti taip pažymėta.
Naudingas rezultatas yra trumpa lentelė ir vienas sakinys kiekvienai eilutei. Jei eilutė neturi mechanizmo, tai ir yra radinys, ir jį rasti projektavimo peržiūroje yra daug pigiau nei operatoriaus pertraukimo metu, kurio nė vienas tunelis nebūtų atlaikęs.