Azure peering уу эсвэл VNet–VNet VPN уу? Чиглүүлэлтийн өмнө шийдээрэй

Azure нь хоёр виртуал сүлжээг холбох дор хаяж хоёр аргыг өгдөг бөгөөд эдгээр нь нэг объект дээрх сольж болох тохиргоо биш. Peering нь гарцгүйгээр Microsoft-ын нуруугаар VNet-үүдийг холбодог; VNet–VNet VPN нь таны байршуулж, хэмжээг тодорхойлж, хянадаг хоёр гарцын хооронд IPsec харилцаа тогтоодог. Шийдвэр нь гурван нөхцөлд хүрдэг бөгөөд хэрэв чиглүүлэлт нэмэхийн өмнө гурвууланд нь хариулж чадахгүй бол та хэзээ ч сонгоогүй загварын тойрч гарах зам барих гэж байна.

Загварыг тодорхойлох гурван нөхцөл

Эхнийх нь шаардлагын ямар нэг зүйлд таны эзэмшиж, зааж болох IPsec хил хэрэгтэй эсэх. Хоёр дахь нь хаягийн орон зай цэвэр эсэх, хоёр VNet зөвхөн бие биетэйгээ ярих шаардлагатай эсэх. Гурав дахь нь аливаа дамжуулах зам болон гарцын төлбөрийн эзэн хэн бэ. Энэ дарааллаар хариулаарай, учир нь хоёр дахь нь хэчнээн сэтгэл татам харагдсан ч эхнийх нь peering-ийг хасч болно.

Хоёр загварт нийтлэг зүйл бол хатуу хаяглалтын дүрэм: VNet-ийн хаягийн орон зай давхцах ёсгүй. Peering ч, VNet–VNet VPN ч хоёр ижил мужийг хоёрдмол утгагүй болгох дэмжигдсэн арга биш бөгөөд давхцалд өөр холболтын төрөл биш, зураглалын загвар эсвэл дахин зохион бүтээх шаардлагатай.

1-р нөхцөл: та өөрийн эзэмшдэг IPsec хил хэрэгтэй юу?

Peering нь трафикийг Azure-ийн хувийн нуруугаар зөөдөг бөгөөд peered холболтод өөрөө VPN гарц шаарддаггүй. Энэ нь тээврийн тухай мэдэгдэл бөгөөд аудиторт «бид IPsec ажиллуулдаг» гэж өгч болох шифрлэлтийн мэдэгдэл биш. Хэрэв шаардлагад харилцагчийн тохируулсан туннель, тодорхой IKE бодлого эсвэл таны хяналтад байгаа төхөөрөмж дээр төгсдөг хил нэрлэгдсэн бол нуруу хэчнээн хувийн байсан ч peering үүнийг хангахгүй.

VNet–VNet VPN нь тэр хилиийг өгдөг: хоёр гарц, IPsec/IKE харилцаа, хуваалцсан түлхүүрүүд болон түүнтэй хамт ирэх бүх үйл ажиллагааны гадаргуу. Та туннелийн төлөв, гарцын багтаамж, SKU хязгаар, туннель ажиллаж байгааг нотлох хяналтыг өвлөнө. Шаардлага яг энэ хилийн тухай үед энэ нь зөв хариулт бөгөөд түүнийг peering-ийн тоймд peering-ээс ялгаатай холболтын төрөл гэж тайлбарласан байдаг.

Эсрэг чиглэлд ч мөн адил болгоомжтой байгаарай. «Бид VNet-үүдийн хооронд шифрлэлт хэрэгтэй» гэдэг нь ихэвчлэн ажлын ачааллын өөрийн TLS-ээр хангагддаг бөгөөд тэгвэл гарц нь ард нь шаардлагагүй зардал болно. Механизмыг сонгохын өмнө аудиторын унших өгүүлбэрийг бичээрэй.

2-р нөхцөл: топологи шууд уу, эсвэл ямар нэг зүйл дамжих ёстой юу?

Peering нь дамжуулах шинжгүй. Төв рүү peered хоёр VNet үүгээр бие биетэйгээ холбогдоогүй бөгөөд нэг чиглэлд ажиллаж байгаа мэт харагдах зам нь ихэвчлэн зөвхөн нэг талд Connected-д хүрсэн peering юм. Хоёр тал байх ёстой бөгөөд хоёулаа Connected харуулах ёстой, трафик чимээгүй алга болоход хамгийн түрүүнд үүнийг шалгадаг.

Хэрэв шаардлага нь төвөөр дамжуулан байршлын сүлжээнд хүрэх бол гарцын дамжуулалт нь тодорхой үүрэг бүхий тусдаа загвар: төв нь гарцыг эзэмшинэ, spoke-ийн peering гарцын дамжуулалтыг зөвшөөрнө, spoke нь дамжуулсан трафикийг зөвшөөрөх ёстой. Эдгээр нь peering дээрх шинж чанарууд бөгөөд VNet-үүдийг холбох автомат үр дагавар биш:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Үр дүнтэй чиглүүлэлтийн хүснэгт нь «зам байна уу?» гэсэн асуултын шударга хариулт юм. Платформ бодитоор ашиглах дараагийн алхмын төрлийг харуулдаг тул тохируулсан мэт харагдах боловч холбогдоогүй peering нь нууц биш, байхгүй эсвэл буруу зам хэлбэрээр харагдана.

3-р нөхцөл: дамжуулах зам болон төлбөрийн эзэн хэн бэ?

Нэмэлт алхам бүр эзэнтэй. Peering-ийн хувьд шинэ VNet нь хоёр талд шинэ peering хос, дамжуулалтын хувьд трафикийг үргэлжлүүлэн дамжуулдаг төв болон түүн рүү үргэлжлүүлэн заасан чиглүүлэлтийн хүснэгт шаардлагатай. VPN-ийн хувьд шинэ VNet нь өөр гарц эсвэл одоо байгаа гарц дээрх өөр холболт бөгөөд өөрийн багтаамжийн дээд хязгаарыг хянах шаардлагатай.

Зардал ижил хэлбэрийг дагадаг боловч ижил зүйлсийг биш: peering-ийн төлбөр нь холболт ба өгөгдөл дамжуулалт, харин VPN нь гарцын цаг болон өөрийн дамжуулалтын төлбөрийг нэмдэг. Та бодитоор нэг жил ажиллуулах топологийн нийт дүнг харьцуулаарай, хоёр дахь туннель болон хяналтыг оруулан, өнөөдрийн нэг холболтын үнийг биш. Хэн ч нэхэмжлэхгүй ажлыг ч оруулаарай: хэн нэгэн түлхүүр эргүүлэх, туннелийн төлөвийг хянах, гарц дахин ачаалагдахад шөнийн гурван цагт анхааруулгад хариулах ёстой. Ихэвчлэн энэ зүйл маргааныг шийддэг, учир нь саналын үнэд хэзээ ч харагддаггүй цорын ганц зүйл нь энэ.

Юуг ч сонгосон, гурван урсгалыг туршаарай: зорьсон, татгалзсан хэвээр үлдэх ёстой, төвийн гарц эсвэл peering унасан сэргээх тохиолдол. Зөвхөн азтай замыг тайлбарласан загвар баталгаажаагүй, харин үзүүлсэн байна.

Сонголтыг өөрийнх нь мэдэгдэлтэй харьцуулж шалгаарай

Загвар, хил, эзнийг нэрлэсэн нэг өгүүлбэр бичээд, байршуулсан төлөв түүнтэй нийцэж байгаа эсэхийг шалгаарай. Peering-ийн хувьд энэ нь хоёр peering төлөв Connected, үр дүнтэй зам нь очих префиксийн peering дараагийн алхмыг харуулах, замд гарц байхгүй гэсэн үг. VNet–VNet VPN-ийн хувьд энэ нь хоёр холболт Connected, хоёр гарц дээр таарч буй түлхүүр ба бодлого, дараагийн алхам нь виртуал сүлжээний гарц болох зам гэсэн үг.

Хэрэв шалгалтууд өгүүлбэртэй зөрчилдвөл эхлээд өгүүлбэрийг засаарай. Эдгээр загварын ихэнх төөрөгдөл нь хэн ч тайлбарлаагүй эрлийзээс гардаг: ажлын ачааллын дэд сүлжээнд peering, нэг хуучин үйлчилгээнд VPN, чимээгүйгээр нэгийг нь илүүд үздэг чиглүүлэлтийн хүснэгт.