Рутирање на сообраќајот помеѓу две филијали преку Azure VPN портал
Две Site-to-Site врски на еден Azure VPN портал можат да пренесуваат сообраќај на филијалите, но само кога двата краја ќе го научат префиксот и постои повратен пат во LAN.
Две филијали можат да разменуваат сообраќај преку Azure VPN портал без директен тунел меѓу нив. Секоја филијала отвора Site-to-Site врска кон истиот портал, и порталот ги пренесува научените префикси помеѓу двете врски. Она што го прави ова функционално не е вториот тунел, туку размената на рути: филијалата A мора да го научи префиксот на филијалата B, а B — тој на A. Поминете ги проверките подолу по ред и застанете на првата што ќе не успее, бидејќи секој следен чекор зависи од неа.
Предуслови, пред да конфигурирате нешто
Четири услови одлучуваат дали овој дизајн воопшто може да работи. Порталот мора да биде заснован на рути и на SKU што го поддржува BGP, двете врски мора да имаат овозможен BGP, адресните простори на филијалите не смеат да се преклопуваат, и ниедна страна не смее да се потпира на NAT за да го скрие својот вистински префикс.
Планирајте ги ASN намерно. Документираната стандардна вредност на Azure е 65515, и секој рутер на филијала треба свој приватен ASN што не се судира со порталот или со другата филијала. Повторна употреба на стандардна вредност без проверка на постоечка конфигурација на портал е начинот на кој AS патека подоцна бива одбиена.
Потврдете и дека не очекувате однесување на VNet peering. Порталот разменува рути помеѓу двете врски што сте ги конфигурирале; тој не ги прави произволните peering врски транзитивни. Ако трета мрежа треба да достигне двете филијали, ѝ треба сопствена врска или сопствена рутна патека, а не претпоставка дека порталот ќе го распредели сообраќајот. Запишете ја таа граница пред првиот прозорец за промени, бидејќи тоа е дизајнерската одлука на која луѓето се враќаат кога подоцна се додава локација.
Конфигурирајте по овој редослед
Секој чекор има забележлив резултат, затоа не продолжувајте додека не се појави.
- Овозможете BGP на порталот на виртуелната мрежа и запишете го неговиот ASN и адресата на партнерот.
- Создадете локален мрежен портал за секоја филијала со вистинскиот адресен простор на таа филијала, нејзиниот ASN и нејзината BGP адреса на партнер.
- Создадете ја секоја Site-to-Site врска и овозможете BGP на самата врска.
- Конфигурирајте го рутерот на филијалата да се поврзува со адресата на порталот што ја доделил Azure, а не со јавната IKE крајна точка на порталот по претпоставка.
Четвртиот чекор е местото каде што застануваат повеќето обиди. BGP адресата на партнер што ја пријавува Azure е онаа што рутерот на филијалата треба да ја користи како сосед, и таа не е секогаш адресата што луѓето ја очекуваат од дијаграмот на тунелот.
Објавете го самиот префикс на филијалата, на пример 10.10.0.0/16 од A и 10.20.0.0/16 од B. Не објавувајте стандардна рута или широк агрегат за да покриете специфична мрежа што недостасува; празнината подоцна се враќа како тивка црна дупка.
Проверете ја размената на рути на двата краја
Состојбата на врската не е проверката. IPsec може да е активен на двете врски, а ниту еден префикс да не преминува меѓу нив. Прочитајте ги BGP партнерите на порталот и неговите научени рути, потоа потврдете дека рутата кон другата филијала се појавува како употреблива патека.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Префикс присутен во BGP табела сепак може да ја загуби одлуката за препраќање од статична рута или поспецифичен префикс. Проверете ја избраната рута, не само примената.
Следете го повратниот пат на страната на LAN
Ова е делот што изгледа исправно во Azure, а откажува на локацијата. Домаќин во филијалата A го праќа својот пакет до VPN рутерот на A само ако тој рутер е неговиот стандарден портал, или ако домаќинот или неговиот портал има рута за префиксот на B. Истото мора да важи и во спротивниот правец.
Ако посебен јадрен прекинувач е стандардниот портал на LAN, му треба рута кон другата филијала што покажува кон VPN рутерот. Без неа барањето пристигнува, а одговорот излегува по интернетската патека, и корисникот гледа врска што се отвора и потоа виси.
Не посегнувајте по мрежна безбедносна група на подмрежата на порталот за да го поправите ова. Таа подмрежа има свои барања, а NSG таму не е поддржана замена за политиката на страната на филијалата. Филтрирањето припаѓа на огнените ѕидови на филијалите и на самите работни оптоварувања, каде што правилата можат да ги прегледаат нивните сопственици. Преместувањето на тие правила во NSG на подмрежата исто така ги крие од тимот што ќе го отстранува следниот дефект.
Дозволете ја операцијата, потоа докажете ја со одбиен тест
Научената рута не е дозвола. Дозволете го изворот, одредиштето и услугата што навистина ви требаат преку огнените ѕидови на филијалите и политиката на крајната точка, а остатокот оставете го одбиен.
Тестирајте од вообичаено работно оптоварување во филијалата A кон вистинска услуга во филијалата B, потврдете го одговорот, потоа обидете се со операција што треба да остане забранета. Сообраќајот што го создава самиот VPN уред може да користи друга изворна адреса и да го прескокне етапот на LAN рутирање, затоа успешен ping од рутерот докажува помалку отколку што изгледа.
Завршете со запишување на четири факти: разменетите префикси, ASN што се користат, повратниот LAN пат за секоја страна и политиката што ја дозволува услугата. Ако еден од нив недостасува, поставката работи до првата промена, а потоа никој не може да објасни зошто.