NVA-гүйгээр ExpressRoute дээр Azure хувийн IP VPN

Домог нь ExpressRoute-ийн хувийн peering дээгүүр траффикийг шифрлэхэд сүлжээний виртуал төхөөрөмж шаардлагатай гэдэг. Шаардлагагүй. Azure нь туннелийн төгсгөлийн цэг нь хэлхээгээр тээвэрлэгддэг хувийн RFC1918 хаяг болох Site-to-Site VPN Gateway-г дэмждэг бөгөөд төхөөрөмж нь бүтцийн бус, сонголттой. Төхөөрөмжийн домог нуух зүйл бол үнэхээр өвдөж буй хэсэг: хувийн төгсгөлийн цэгийг хоёр объектын оронд нэгэн дээр идэвхжүүлэх, мөн шууд peering маршрутыг шифрлэгдсэн зам дээр чимээгүйхэн ялахыг зөвшөөрөх.

Домог хаанаас үүссэн

Энэ мэдэгдэл хүндэтгэлтэй гарал үүсэлтэй. Олон жилийн турш хувийн peering дээгүүр IPsec-ийн практик жор нь NVA байсан, учир нь удирдлагатай гарц зөвхөн нийтийн төгсгөлийн цэгүүдийг ил гаргадаг байв. Энэ өөрчлөгдсөн бөгөөд өөрчлөлтөөс өмнө бичсэн хариултууд огноог хэн ч шалгадаггүй хэлэлцүүлэгт одоо ч ишлэгддэг. Залруулга нь явцуу: хувийн хаягтай VPN гарц байдаг бөгөөд энэ нь төгсгөлийн цэгийг өөрчилдөг, түүний эргэн тойрны маршрутжуулалтын логикийг биш.

Эдгээрийн аль нь ч NVA-г тэтгэвэрт гаргахгүй. Энэ нь төхөөрөмж нь шаардлагад хүрэх цорын ганц зам гэсэн таамаглалыг тэтгэвэрт гаргадаг.

Хувийн төгсгөлийн цэгийг хоёр түвшинд идэвхжүүлэх

VPN гарц байрладаг VNet-тэй холбогдсон ажиллаж буй ExpressRoute хувийн peering холболтоос эхэл. Байшингийн тал нь тухайн хэлхээгээр холбогдох хувийн хаягуудад аль хэдийн хүрсэн байх ёстой, учир нь туннель эдгээр хаягийг тээвэр болгон ашиглана. Дараа нь гарцын урьдчилсан нөхцөл: хувийн IP VPN-ийн Microsoft журам нь Standard нийтийн IP нөөц дээр бүтээгдсэн гарц шаарддаг. Хувийн туннелийн хаяглалт энэ шаардлагыг арилгахгүй бөгөөд энэ нь «хувийн» гэдэг нь «хаана ч нийтийн IP байхгүй» гэж боддог хүмүүсийг гайхшруулдаг.

Одоо тугийг хоёр газарт идэвхжүүл. Гарцын тохиргоонд хувийн IP-д зориулсан өөрийн унтраалга байдаг бөгөөд тусдаа Site-to-Site холболтод тухайн холболтыг хувийн хаяг ашиглахад хүргэдэг хоёр дахь унтраалга байдаг. Нэгийг тохируулаад нөгөөг тохируулахгүй байх нь хамгийн түгээмэл бүрэн бус тохиргоо; туннель нь эсвэл үүсэхгүй, эсвэл буруу төгсгөлийн цэг рүү үүснэ.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Суулгасан CLI хувилбартай харьцуулан шинж чанарын нэрсийг баталгаажуул, учир нь порталын шошго болон CLI шинж чанарууд үргэлж ижил томьёолол хэрэглэдэггүй. Идэвхтэй-идэвхтэй гарц нь хоёр хувийн туннелийн хаяг ил гаргадаг бөгөөд энэ илүүдэл утга учиртай байхын тулд байшингийн төхөөрөмж дээр хоёр түншийг тохируулсан байх шаардлагатай. Зөвхөн энэ хувийн хаягтай туннелийг босгоход BGP шаардлагагүй, гэхдээ энэ нь ихэвчлэн префиксүүдийг хуваарилах аргын нэг хэсэг байдаг.

Хоёр дахь домог: үүссэн туннель таны траффикийг шифрлэдэг

Одоо програмын сүлжээнд хоёр зам хүрдэг: шууд хувийн peering зам ба VPN-ээр дамжих зам. Хоёулаа ажилладаг. Зөвхөн нэг нь энэ IPsec давхаргыг хэрэглэдэг. Microsoft нь ижил префиксүүдийг ExpressRoute болон VPN-ээр зарлахад Azure шууд ExpressRoute замыг илүүд үздэг гэдгийг баримтжуулдаг тул эрүүл туннель, эрүүл тоолуур нь програмын багцууд хаашаа явсныг юу ч нотлохгүй.

Баримтжуулсан чиглүүлэх аргууд нь ExpressRoute дээр хамрах муж ба VPN дээр илүү тодорхой хамгаалагдсан муж, эсвэл хоёр зам дээр огтлолцохгүй префиксүүд юм. Жишээлбэл, хувийн peering 10.40.0.0/16-г тээвэрлэж, VPN 10.40.12.0/24-г зарлаж болно. Илүү тодорхой префикс ялж, мужийн үлдсэн хэсэг нь шууд хэвээр байна.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Байшингийн чиглэлд мөн адил шалгалт хий, учир нь таны маршрутизаторын сонголт нь гарч буй траффик аль талаас гарахыг шийддэг. Мөн туннелийн өөрийн тээврийг ExpressRoute зам дээр байлга; гарцын хувийн төгсгөлийн цэгийг туннель дотор татдаг маршрут нь туннелийг өөрөөсөө хамааралтай болгодог.

Туннель унах үед юу болохыг шийд

Туннель унах үед илүү тодорхой VPN маршрут алга болж, илүү өргөн шууд маршрут үлддэг. Дараа нь траффик шифрлэлтгүй урсаж, бүх зүйл эрүүл харагдана, энэ нь шифрлэлтийг баталгаажуулахын тулд оршин буй шаардлагын хувьд хамгийн муу алдааны горим юм. Хэрэв шаардлага энэ буцаалтыг хоригловол, маршрутжуулалт болон хандалтын бодлого нь туннелийн хүртээмжид найдахын оронд үүнийг тодорхой хэлэх ёстой.

Аль префиксүүд шууд хүртээмжтэй үлдэж болох, аль нь шифрлэгдсэн зам байхгүй үед зогсох ёстойг бич. Дараа нь зөвшөөрөгдсөн тохиолдлыг бодит траффикээр туршиж, холболтын тоолуурыг харьцуул, учир нь зөвхөн маршрутын хүснэгт нь шифрлэлтийн шаардлага хүчинтэй хэвээр байгаа эсэхийг хэлж чадахгүй.

Энэ хүрээ нь NVA-г төгсгөлийн цэг хувийн учраас худалдаж авахын оронд түүний бодит боломжуудаар үнэлэх боломжийг олгодог, жишээлбэл олон туннель, дамжуулах чадвар эсвэл нийлүүлэгчийн шалгалт.