Azure VPN гарцын нийтийн IP-г солих, захиалгыг шилжүүлэх

VPN гарцын нийтийн IP-г сольж, захиалгуудын хооронд шилжүүлэх заавар, туннелийг ажиллагаатай байлгах бүртгэл, буцаалт, контекст шалгалттай.

Azure-д гарцын хаяг гэж гурван өөр объектыг нэрлэдэг. Хувийн хаяг нь GatewaySubnet-ээс хуваарилагддаг. Нийтийн хаяг нь гарцын IP тохиргоо заасан тусдаа нийтийн IP нөөц юм. Захиалга ба үүлэн орчин нь shell тань аль нэгийг олоход хэрэглэдэг контекст юм. Нэгийг өөрчилбөл нөгөө хоёр байрандаа үлддэг, тиймээс хаягийн ажил ихэвчлэн хагас замд зогсдог.

Эдгээр өөрчлөлтийг дөрвөн үе шаттай хийдэг: объектын бүртгэл, нийтийн IP одоогийн гарц дээр шилжих эсвэл гарцыг дахин барих эсэхийг шийдэх, хуучин хаяг гартаа байхад өөрчлөлтийг хэрэглэх, дараа нь ямар нэг зүйлийг устгахаас өмнө туннель бүрийг хоёр талаас шалгах. Хүмүүсийн алгасдаг шат бол бүртгэл.

Гурван объектын алийг нь бодитоор өөрчилж байна

Порталыг нээхийн өмнө объектоо нэрлэ. VPN гарц хувийн хаягаа яг GatewaySubnet гэж нэрлэгдэх дэд сүлжээнээс авч, Azure түүнийг тухайн префиксээс хуваарилдаг; түүнийг бэхлэх ерөнхий талбар байхгүй. Хаяг тогтвортой харагдах нь дэд сүлжээ тогтвортой байгаатай холбоотой. Дэд сүлжээг дахин хаяглах эсвэл гарцыг дахин баривал хаяг тэдний хамт шилждэг.

Нийтийн хаягыг засах боломжтой, гэхдээ засвар хууль ёсны эсэхийг SKU дүрэм шийднэ. Basic гарц Basic динамик нийтийн IP-тэй хосолдог, VpnGw SKU-д Standard статик хэрэгтэй, бүс-илүүдэл гарцад ижил бүстэй Standard нийтийн IP хэрэгтэй. Буруу SKU туннель унахаас өмнө татгалзагдана.

ObjectWhere it livesWhat a change forces
Private addressGatewaySubnet prefix, assigned at deploymentSubnet resize or rebuild, then routes, NSGs and peer review
Public addressPublic IP resource referenced by the IP configurationGateway reprovision, peer and allowlist edits, new client profiles
Subscription contextYour PowerShell or CLI sessionNothing in Azure, and it clears most not-found errors

Ямар нэг зүйл хөдлөхөөс өмнөх бүртгэл

Эхлээд захиалгыг батал, түүнгүйгээр бусад бүртгэл үнэ цэнгүй. Гарц, түүний IP тохиргоо, түүн дээр дуусдаг бүх холболтыг бичиж, гаралтыг өөрчлөлтийн бүртгэлийн хажууд хадгал.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

Нөөцийн ID нэрээс илүү чухал. Холболт гарц болон локал сүлжээний гарц руу лавлагаа хадгалдаг бөгөөд эдгээр ID хэний ч санахгүй скрипт, анхааруулга, бодлогын хуваарилалтад гарч ирдэг. Azure-с гадуурх зүйлийг ч жагсаа: хаяг руу хүрэх DNS нэр, түншийн зөвшөөрлийн жагсаалт, хуучин IP-г бэхэлсэн салбарын firewall.

Ажиллаж буй гарц дээр нийтийн IP-г солих

Эхлээд орлуулах хаягийг ижил бүсэд, гарцад тохирох бүсийн багцтайгаар үүсгэж, хуучин нөөцийг байранд нь үлдээ. Дараа нь IP тохиргоог дахин барьж, шинэчлэлтийг нэг дуудлагаар илгээ. Тэр дуудлага бүх тохиргооны цуглуулгыг сольдог тул идэвхтэй-идэвхтэй гарцад хоёулаа хэрэгтэй, эс бөгөөс нэг туннель үлдэж, нөгөө нь алдагдана.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Гарцыг дахин бэлтгэх үед туннель унадаг. Холын талд хуваарь хэрэгтэй: түншийн firewall хэн нэгэн засах хүртэл хуучин хаягийг санал болгож, өмнөх IP-г хүлээж буй холболт Azure хэчнээн эрүүл харагдавч доош хэвээр байна. Цонхны өмнө DNS TTL-г бууруул.

Point-to-site клиентүүдэд шинэ профайл хэрэгтэй, татаж авсан багц төгсгөлийн цэгийг агуулдаг. Гарцын өмнөх өөрийн DNS нэр дахин хуваарилалтаас чөлөөлнө: нэрийг хадгалаад, бичлэгийг соль.

Гарцыг өөр захиалга руу шилжүүлэх

Нөөцийг шилжүүлэх нь багцыг зөөдөг бөгөөд гарц ганцаараа түүний хамгийн ашиггүй гишүүн. Виртуал сүлжээ, нийтийн IP нөөц, локал сүлжээний гарцууд, холболтууд хамт явдаг, учир нь тус бүр нөгөө рүүгээ лавлагаа хадгалдаг. Зорилтот захиалга ижил tenant-д байх, Microsoft.Network тэнд бүртгэгдсэн байх, хоёр талд бичих эрх хэрэгтэй.

Баталгаажуулалт аливаа өөрчлөлтийн өмнө ажилладаг тул татгалзсан шилжүүлэг нөөцийг байранд нь үлдээдэг. Тиймээс дахин барихаас өмнө шилжүүлгийг нэг удаа турших нь зүйтэй: амжилттай шилжүүлэг нийтийн IP-г дагуулаад явдаг тул түншүүд, зөвшөөрлийн жагсаалтууд ажилласаар байна, харин дахин барьсан гарц ижил хаягийг ховор буцаадаг.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Баталгаажуулалтын алдааг давтахын оронд унш. Нийтлэг шалтгаан нь үлдээсэн хамаарал, шилжүүлэх боломжгүй нөөцийн төрөл, эсвэл нөөцийн бүлгийн аль нэгийн түгжээ. Шилжүүлэх боломжгүй бол зорилтот дээр дахин барьж шилж: туршилтын дэд сүлжээнээс чиглүүлэлт, баталгаажуулалтыг батал, хуучин холболтыг устгахын оронд зогсоо, дараа нь хуучин замыг дараагийн цонхонд хас.

Гарц алга болсон мэт харагдах үед контекстийг шалга

Олдсонгүй алдаа ихэвчлэн хүрээний алдаа. Олон захиалгатай бүртгэл cmdlet-г буруу руу чиглүүлж, мессеж нөөцийг буруутгадаг. Объектыг бүрэн нөөцийн ID-ээр хай: ID өөрийн захиалгыг агуулдаг тул шийдэгдвэл юу ч дутуу биш, таны өгөгдмөл контекст буруу байна.

Өөр хоёр зөрүү мөн адил уншигдана. Арилжааны үүлэн гарц засгийн газар эсвэл Хятадын орчинд чиглэсэн сессэд байхгүй, хуучин модулийн хувилбарууд API-с аль хэдийн буцаадаг нөөцийн хэлбэрийг алгасдаг. Захиалгыг бэхэлж, орчныг тааруул, дараа нь хэрэг нээ.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Цэвэрлэхийн өмнө хоёр талаас шалга

Холбогдсон нь төлөв, баталгаа биш. Холболт тус бүрийн туннелийн төлөв, динамик чиглүүлэлт хэрэглэж байгаа бол BGP peer-ийн төлөв, ажлын дэд сүлжээн дэх үр дүнтэй замыг шалга. Дараа нь туннелээс хамааралтай аппликейшнээр нэг бодит хүсэлт дамжуул. Шаардлагатай префикс замын хүснэгтэд байхгүй байхад холболт өөрийгөө холбогдсон гэж мэдээлж болно.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Хуучин нийтийн IP-г устгахын оронд буцаах цонх хаагдах хүртэл салгаж байлга, түнш болон firewall-ийн засварыг дарааллаар нь буцааж болохоор бич.

  • Контекст гарцыг эзэмшдэг захиалгад бэхлэгдсэн
  • Хуучин нийтийн IP хадгалагдсан, хамаарлыг нь бичсэн
  • Холболт бүр ногоон, түүгээр нэг бодит хүсэлт
  • Point-to-site хэрэглэгчдийг шинэчилсэн профайл руу шилжүүлсэн
  • DNS бичлэг солигдож, өмнөх утгыг нь бичсэн

Холбоотой нийтлэлүүд