ExpressRoute plus VPN: kurus atteices domēnus jūs sedzat?
Otrais IPsec tunelis sedz galapunktu, nevis zem tā esošo līniju. Kartējiet katru atteices domēnu un pēc tam izlemiet, vai ir atļauts nešifrēts rezerves ceļš.
IPsec tunelis, kas darbojas pāri ExpressRoute privātajam peeringam, pievieno šifrējumu transportam, kas jau pastāv. Otrais tunelis uzlabo galapunkta pieejamību un absolūti neko nedara abu apakšā esošajam operatora ceļam. Šo atšķirību ir viegli pazaudēt, kad informācijas paneļi rāda divus zaļus tuneļus un dizaina pārskatīšana uzdod citu jautājumu: kuras atteices šim savienojumam ir jāpārdzīvo? Vispirms atbildiet uz to, pēc tam skaitiet tuneļus, jo zaļo indikatoru skaits ir šifrēšanas slāņa īpašība, bet atteices domēnu skaits ir visa ceļa īpašība.
Sāciet ar atteicēm, nevis ar zaļiem tuneļiem
Pirms kaut ko zīmējat, uzrakstiet četras rindas: viena VPN galapunkta vai vienas peer instances atteice, viena vietējā maršrutētāja vai pirmās jūdzes savienojuma atteice, kopīgā ExpressRoute ceļa atteice un IPsec nepieejamība, kamēr privātais peering vēl pārvada trafiku. Katra rinda nosauc to, ko dizainam ir jāsaglabā, un uz katru atbild cits mehānisms.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft dokumentē site-to-site VPN ar privātu IP pāri ExpressRoute privātajam peeringam un atbalstīto līdzāspastāvēšanu ar internetā balstītiem site-to-site savienojumiem. Šī līdzāspastāvēšana ir cits apakšējā slāņa dizains, un tā neparādās tikai tāpēc, ka pievienojāt vēl vienu privāta tuneļa galapunktu.
Atteices domēns 1: VPN galapunkts
Divi tuneļi uz viena vārtejas parasti ir active-active pāri, kas beidzas tajā pašā Azure puses resursā. Tie aizsargā pret viena tuneļa vai instances problēmu un neaizsargā pret to, ka šis resurss kļūst nepieejams, tiek pārkonfigurēts vai izsmeļ jaudu. Galapunkta dublēšana nozīmē otru atbalstītu galapunktu ar savu ceļu un savu konfigurāciju, kā arī maršrutu, kas spēj to sasniegt.
Pārbaudiet, ko tiešām ieviesāt, nevis ko saka diagramma, jo portāls grupē šos resursus tā, ka to attiecības tiek paslēptas:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Ja abi tuneļi norāda uz vienu vārteju ar vienu publisku IP, jums ir noteikta un ierobežota veida galapunkta dublēšana. Tas var būt tieši tas, ko prasa prasība, un tas tā arī jāformulē, nevis jāapraksta kā dublēts savienojums.
Atteices domēns 2: vietējais ceļš un operators
Zem šifrējuma ir fiziska un komerciāla realitāte: klienta malas ierīce, šķērssavienojums, pakalpojumu sniedzēja tīkls un peeringa vieta. ExpressRoute pieejamības norādījumi skaidri norāda, ka dublēšana no gala līdz galam ietver klienta un pakalpojumu sniedzēja segmentus, ne tikai Microsoft pusi. Divi loģiski ceļi, kas dala maršrutētāju, barošanas avotu vai pirmās jūdzes savienojumu, joprojām dala šo atkarību.
Šeit dizains parasti neiztur godīgu pārskatīšanu. Divas līnijas no viena pakalpojumu sniedzēja, kas beidzas vienā ēkā, uz iekārtām no viena iepirkuma pasūtījuma, nav divi atteices domēni. Tie ir viens atteices domēns ar diviem rēķiniem.
Uzdodiet operatoram jautājumu rakstiski: kuri no šiem ceļiem atšķiras, kur, un kāda ir dokumentētā uzvedība, kad kopīgais segments sabojājas? Mutisks apliecinājums dizaina zvanā neiztur pārtraukumu, kuram jūs projektējat.
Atteices domēns 3: maršruts, kas saglabājas bez IPsec
Privātais peering un IPsec var piedāvāt konkurējošus maršrutus uz to pašu lietojumprogrammas prefiksu. Ja aizsargātais maršruts pazūd, atlikušais tiešais ExpressRoute maršruts joprojām var būt izmantojams, bez šifrēšanas slāņa, ko nodrošināja tunelis. Vai tas ir pieņemami, ir politikas lēmums, un tieši šis lēmums visbiežāk tiek atstāts netieši.
Šifrēšanas prasības un pieejamības prasības šeit var tiešām sadurties. «Jebkurš atlikušais maršruts tiek uzskatīts par panākumu» ir pieejamības apgalvojums, kas klusi atbild uz šifrēšanas jautājumu ar «nē». Pierakstiet, kas uzvar, kuriem prefiksiem un kas to apstiprināja.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableSalīdziniet apgūtos maršrutus ar prefiksiem, kurus gaidījāt. Rezerves ceļš, kas pārvada nelielu administratīvo slodzi, var būt pilnīgi atbilstošs šai slodzei un būt ļoti tālu no jaudas, kas nepieciešama ražošanas pieprasījumam, tāpēc pierakstiet jaudas pieņēmumu blakus maršrutam.
Pierakstiet trīs atsevišķas rindas, nevis vienu spriedumu
Turiet galapunkta dublēšanu, transporta dublēšanu un atjaunošanos pēc katastrofas kā atsevišķus ierakstus dizaina reģistrā, katru ar savu mehānismu, savu pārbaudi un savu īpašnieku. Kad incidenta pārskatīšana jautā, kāpēc savienojums pārdzīvoja vārtejas restartu, bet ne šķiedras pārrāvumu, trīs rindas atbild vienā teikumā; viena «dublēta» izvēles rūtiņa to nevar.
Pēc tam pārbaudiet rindas, ko var pārbaudīt lēti. Izraisiet viena tuneļa atteici un apstipriniet, ka trafiks pārvietojas un tiek atkārtoti šifrēts. Atsauciet vienu maršrutu un apstipriniet, ka atlikušais ceļš ir tas, ko bijāt iecerējis, pēc tam apstipriniet, vai tas joprojām ir šifrēts. Dokumentējiet atteices, ko nevarējāt simulēt, jo nepārbaudīta rinda ir pieņēmums un tā arī jāmarķē.
Noderīgais rezultāts ir īsa tabula un viens teikums katrai rindai. Ja rindai nav mehānisma, tas ir atradums, un to atklāt dizaina pārskatīšanā ir daudz lētāk nekā operatora pārtraukuma laikā, kuru neviens no diviem tuneļiem nekad nebūtu pārvarējis.