Azure UDR-ээс VPN гарц руу: нэг очих газар, бүх гаралт биш

Бүх гаралтыг зөөхгүйгээр нэг Azure префиксийг VPN гарц руу чиглүүлнэ үү. Үйлчлэх маршрутуудыг уншиж, ажлын ачааллын дэд сүлжээг холбож, дараа нь буцах замыг гүйцээ.

Та нэг гадаад префикст хэрэглэгчийн тодорхойлсон маршрут нэмж, VPN гарц руу чиглүүлсэн ч урсгал Azure-ийн интернетийн замаар гарсаар байна. Эсвэл зөв гарч, хариу хэзээ ч буцаж ирэхгүй. Хоёр үр дүн нэг алдаанаас үүдэлтэй: Azure-ийн дараагийн үсрэлтийг бүхэл дизайн гэж үзэх. Маршрутын хүснэгт нь багц Azure дотор аль гаралтыг авахыг л шийддэг. Туннелийн дараа түүнд юу тохиолдох, хариу хэрхэн буцаж ирэх нь таны барих ёстой хоёр дахь хагас юм.

Дараагийн үсрэлт бол гарц, төхөөрөмжийн IP биш

UDR тохирох префиксийг дараагийн үсрэлтийн төрөл рүү илгээдэг бөгөөд VirtualNetworkGateway нь төрөл, хаяг биш. Хүмүүс гарцын хувийн IP-г VirtualAppliance маршрут руу нааж, яагаад юу ч тохирохгүй байна гэж гайхдаг, учир нь энэ төрөл оронд нь NIC эсвэл дотоод ачааллын тэнцвэржүүлэгч хүлээдэг. Microsoft-ийн маршрутжуулалтын баримт бичиг мөн гарцын дараагийн үсрэлтийг гарц нь VPN гарц болох виртуал сүлжээгээр хязгаарладаг. ExpressRoute, Route Server болон Virtual WAN төв нь энэ сонголтоор хаяглагдахгүй.

Маршрут бичихээс өмнө виртуал сүлжээнд үнэндээ юу байгааг шалгана уу. Дизайн төвөөр дамжин маршрутжуулж байвал маршрут нь таны засварлаж буй салбарт биш, төвийн маршрутжуулалтын эзэнд хамаарна.

Ямар нэгэн зүйл өөрчлөхөөс өмнө үйлчлэх маршрутыг уншина уу

Azure системийн маршрутууд, BGP-ээр сурсан префиксүүд болон UDR-уудыг NIC бүрийн үйлчлэх маршрутын хүснэгтэд нэгтгэдэг бөгөөд хамгийн урт тохирох префикс хаанаас ч ирсэн ялдаг. Нэг префиксийн хувьд UDR нь BGP маршрутыг ялдаг. Энэ дараалал нь өмнөх туршилтаас үлдсэн хуучин UDR туннелээр дөнгөж сурсан префиксийг чимээгүйхэн дарж болох шалтгаан юм.

Эхлээд үйлчлэх хүснэгтийг хар, дараа нь маршрут нэмж байгаа эсвэл нэгийг сольж байгаагаа шийд:

az network nic show-effective-route-table \
  --resource-group rg-net --name vm-web-nic -o table

Префиксээс гадна эх сурвалжийн баганыг ч уншина уу. Зөв префикс, буруу эх сурвалжтай маршрут аль объектыг засахыг хэлж, эхнийхэд ялагдах хоёр дахь маршрут нэмэхээс хамгаална.

Маршрутыг бодит префикс ба дэд сүлжээнд тулгуурлан бичнэ үү

Форум бичлэгээс хуулсан нийтийн хүрээний оронд таны үнэхээр хүрч буй үйлчилгээнээс авсан очих газрын бодит префиксийг ашиглана уу. Бүх гаралтыг зөөх анхдагч маршрутыг авч үзэхээс өмнө нэг зөвшөөрөгдсөн үйлчилгээнээс эхэл. Дараа нь маршрутын хүснэгтийг ажлын ачааллын дэд сүлжээнд холбоно. Гарцын дэд сүлжээ өөрийн шаардлагатай бөгөөд хүснэгтийг тэнд холбох нь ачааллыг чиглүүлэхийн оронд гарцыг эвддэг.

Маршрутыг үүсгэ, дараа нь хүснэгтийг ажлын ачааллыг байрлуулсан дэд сүлжээнд холбо:

az network route-table route create --resource-group rg-net --route-table-name rt-egress \
  --name to-partner --address-prefix 203.0.113.0/24 --next-hop-type VirtualNetworkGateway
az network vnet subnet update --resource-group rg-net --vnet-name vnet-app \
  --name snet-web --route-table rt-egress

Тархалт ч чухал. Тухайн хүснэгтэд BGP тархалт идэвхтэй бол сурсан префиксүүд таны бичсэний хажууд гарч ирдэг бөгөөд илүү тодорхой сурсан префикс илүү өргөн UDR-ийг ялж болно. Тархалтыг зөвхөн UDR багц тухайн дэд сүлжээнд эрх мэдэлтэй байхыг хүсвэл л унтраа.

Орон нутгийн хагасыг дуусга, эс бөгөөс урсгал тэнд үхнэ

Орон нутгийн гарц Azure-ийн эх сурвалжийг хүлээн авч, очих газар руу дамжуулж, програмд зөвшөөрөл өгөх ёстой. Түүний цаашдын зам интернетийн гаралт эсвэл өөр хувийн үсрэлт байж болно, гэхдээ энэ шийдвэр Azure-ийн маршрутын хүснэгтэд биш, төлөвлөгөөнд хамаарна. Ердийн алдаа нь буцах зам. Интернетийн очих газар хувийн Azure эх сурвалжийг та руу буцааж маршрутжуулахгүй, тиймээс хариу өөрийн анхдагч гарц руу явж үхнэ, эсвэл огт гарахгүй.

Хоёр дизайн үүнийг шийддэг бөгөөд тэдгээр нь харилцан солигддоггүй. Гаралт дээр эх сурвалжийг хөрвүүл, ингэснээр очих газар орон нутгийн сүлжээний эзэмшдэг нийтийн хаяг руу хариулна. Эсвэл эх сурвалжийг хадгалж, хариунууд туннелээр буцаж ирэхийн тулд маршрутжсан буцах харилцаа байгуул. Нэгийг сонгоод програм аль хаягийг харахыг бичиж үлдээ.

Сонгогч болон зөвшөөрөгдсөн жагсаалт нь энэ бүхнээс тусдаа. Azure-ийн дараагийн үсрэлтийг сонгох нь VPN урсгалын сонгогчийг өргөжүүлэхгүй бөгөөд гадаад үйлчилгээний эх сурвалжийн зөвшөөрөгдсөн жагсаалтыг өөрчлөхгүй.

Очих газрын харж буй эх сурвалжаар шалга

Хүсэлтийг өөр дэд сүлжээний үсрэлтийн хост биш, бодит ажлын ачааллаас илгээж, дараа нь очих газрын харсан эх сурвалжийн хаягийг унш. Тэр нэг утга нь хоёр буцах дизайны алийг нь хэрэгжүүлснийг хэлнэ. Дараа нь хариуны замыг шалгаж, VM рүү чиглэсэн ердийн удирдлагын урсгал ажиллаж байгаа эсэхийг батал, учир нь санамсаргүй нэмсэн анхдагч маршрут нь эвдэрсэн програм хэлбэрээр харагдахаас хамаагүй өмнө эвдэрсэн SSH сесс хэлбэрээр илэрдэг.

Сонгосон префиксээр дамжих транзит нь албадан туннелчлэлээс хамаагүй нарийн өөрчлөлт юм. Үүнийг нарийн байлга, буцаах нь нэг маршрутыг устгах явдал.

Холбоотой нийтлэлүүд