Azure VPN vārtejas publiskās IP maiņa un abonementa pārvietošana

Rokasgrāmata VPN vārtejas publiskās IP nomaiņai un pārvietošanai starp abonementiem, ar inventarizāciju, atritināšanu un konteksta pārbaudēm, kas uztur tuneļus darbā.

Azure trīs dažādi objekti tiek saukti par vārtejas adresi. Privātā adrese tiek piešķirta no GatewaySubnet. Publiskā adrese ir atsevišķs publiskās IP resurs, uz kuru norāda vārtejas IP konfigurācija. Abonements un mākoņa vide ir konteksts, ar kuru jūsu čaula atrod vienu vai otru. Mainiet vienu, un pārējie divi paliek savās vietās, tāpēc adrešu darbs tik bieži apstājas pusceļā.

Šīs izmaiņas veicu četros posmos: objektu inventarizācija, lēmums, vai publiskā IP pārceļas uz esošo vārteju vai vārteja tiek pārbūvēta, izmaiņas piemērošana, kamēr vecā adrese vēl ir pie rokas, un pēc tam katra tuneļa pārbaude no abām pusēm pirms kaut kā dzēšanas. Posms, ko cilvēki izlaiž, ir inventarizācija.

Kuru no trim objektiem jūs patiešām maināt

Nosaucie objektu pirms portāla atvēršanas. VPN vārteja privāto adresi ņem no apakštīkla, kuram jābūt nosauktam tieši GatewaySubnet, un Azure to piešķir no šī prefiksa; vispārīga lauka tās piefiksēšanai nav. Adrese izskatās stabila tikai tāpēc, ka apakštīkls ir stabils. Pārnumurējiet apakštīklu vai pārbūvējiet vārteju, un tā pārvietojas līdzi.

Publisko adresi var rediģēt, bet SKU noteikumi izlemj, vai rediģēšana ir likumīga. Basic vārteja sader ar Basic dinamisku publisko IP, VpnGw SKU prasa Standard statisku, bet zonu redundanta vārteja prasa Standard publisko IP ar tām pašām zonām. Nepareizais SKU tiek noraidīts pirms tuneļa krišanas.

ObjectWhere it livesWhat a change forces
Private addressGatewaySubnet prefix, assigned at deploymentSubnet resize or rebuild, then routes, NSGs and peer review
Public addressPublic IP resource referenced by the IP configurationGateway reprovision, peer and allowlist edits, new client profiles
Subscription contextYour PowerShell or CLI sessionNothing in Azure, and it clears most not-found errors

Inventarizācija pirms kaut kas kustas

Vispirms pierādiet abonementu, jo bez tā pārējā inventarizācija ir bezvērtīga. Fiksējiet vārteju, tās IP konfigurācijas un katru savienojumu, kas tajā beidzas, un glabājiet izvadi blakus izmaiņu ierakstam.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

Resursu ID ir svarīgāki par nosaukumiem. Savienojums glabā atsauces uz vārteju un uz vietējo tīkla vārteju, un šie ID parādās skriptos, brīdinājumos un politikas piešķīrumos, ko neviens neatceras. Uzskaitiet arī to, kas atrodas ārpus Azure: DNS vārdu, kas ved uz adresi, partnera atļauju sarakstu, filiāles ugunsmūri, kas piefiksē veco IP.

Publiskās IP nomaiņa strādājošā vārtejā

Vispirms izveidojiet aizvietotājadresi tajā pašā reģionā un ar vārtejai atbilstošu zonu kopu, un atstājiet veco resursu vietā. Tad pārbūvējiet IP konfigurāciju un vienā izsaukumā nosūtiet atjauninājumu. Šis izsaukums aizstāj visu konfigurāciju kolekciju, tāpēc aktīvai-aktīvai vārtejai vajadzīgas abas, citādi paliek viens tunelis un otrs tiek zaudēts.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Tuneļi krīt, kamēr vārteja tiek sagatavota no jauna. Attālajai pusei vajadzīgs grafiks: partnera ugunsmūris piedāvā veco adresi, līdz kāds to izlabo, un savienojums, kura attālais gals gaida iepriekšējo IP, paliek lejā, lai cik veselīgi Azure arī izskatītos. Pirms loga samaziniet DNS TTL.

Point-to-site klientiem vajadzīgs jauns profils, jo lejupielādētā pakotne satur galapunktu. Pielāgots DNS vārds vārtejas priekšā ietaupa pārdali: paturiet vārdu, mainiet ierakstu.

Vārtejas pārvietošana uz citu abonementu

Resursu pārvietošana pārvieto kopu, un vārteja viena ir tās vismazāk noderīgā daļa. Virtuālais tīkls, publiskās IP resursi, vietējās tīkla vārtejas un savienojumi ceļo kopā, jo katrs glabā atsauci uz citu. Mērķa abonementam jābūt tajā pašā nomniekā, Microsoft.Network tur jābūt reģistrētam, un jums vajadzīgas rakstīšanas tiesības abās pusēs.

Validācija notiek pirms jebkādām izmaiņām, tāpēc noraidīta pārvietošana atstāj resursus vietā. Tāpēc pārvietošanu ir vērts izmēģināt pirms pārbūves: veiksmīga pārvietošana aiznes publisko IP līdzi, tāpēc partneri un atļauju saraksti turpina strādāt, bet pārbūvēta vārteja reti atdod to pašu adresi.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Lasiet validācijas kļūdu, nevis atkārtojiet to. Biežākie iemesli ir atstāta atkarība, nepārvietojams resursa tips vai bloķējums kādā no resursu grupām. Ja pārvietošana nav iespējama, pārbūvējiet mērķī un pārslēdzieties: apstipriniet maršrutēšanu un autentifikāciju no testa apakštīkla, apturiet vecos savienojumus, nevis dzēsiet tos, tad vēlākā logā noņemiet veco ceļu.

Kad vārteja šķiet pazudusi, pārbaudiet kontekstu

Nav atrasts kļūda parasti ir tvēruma kļūda. Konts ar vairākiem abonementiem vērš cmdlet uz nepareizo, un ziņojums vaino resursu. Meklējiet objektu pēc pilna resursa ID: ID satur savu abonementu, tāpēc, ja tas atrisinās, nekas nav pazudis un jūsu noklusējuma konteksts ir nepareizs.

Vēl divas neatbilstības lasās tāpat. Komerciālā mākoņa vārteja neeksistē sesijā, kas vērsta uz valdības vai Ķīnas vidi, un vecākas moduļu versijas izlaiž resursu formas, ko API jau atgriež. Piefiksējiet abonementu, saskaņojiet vidi, tad atveriet lietu.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Pārbaudiet no abām pusēm pirms uzkopšanas

Savienots ir stāvoklis, nevis pierādījums. Pārbaudiet tuneļa statusu katram savienojumam, BGP kaimiņa statusu, ja lietojat dinamisko maršrutēšanu, un efektīvos maršrutus darba apakštīklā. Tad izlaidiet vienu īstu pieprasījumu caur lietojumprogrammu, kas atkarīga no tuneļa. Savienojums var ziņot, ka ir savienots, kamēr vajadzīgais prefikss maršrutu tabulā nav.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Turiet veco publisko IP atvienotu, nevis dzēstu, līdz atritināšanas logs aizveras, un pierakstiet partnera un ugunsmūra izmaiņas, lai tās varētu atcelt secībā.

  • Konteksts piefiksēts abonementam, kuram pieder vārteja
  • Vecā publiskā IP saglabāta, tās atkarības pierakstītas
  • Katrs savienojums zaļš un viens īsts pieprasījums caur to
  • Point-to-site lietotāji pārvietoti uz atjaunināto profilu
  • DNS ieraksts mainīts un tā iepriekšējā vērtība pierakstīta

Saistītie raksti