ExpressRoute болон VPN: ямар эвдрэлийн домэйныг та хамарч байна вэ?
Хоёр дахь IPsec туннель нь төгсгөлийн цэгийг хамардаг, доорх хэлхээг биш. Эвдрэлийн домэн бүрийг зурж, дараа нь шифрлэлтгүй нөөц зам зөвшөөрөгдөх эсэхийг шийдээрэй.
ExpressRoute-ийн хувийн пирингээр ажилладаг IPsec туннель нь аль хэдийн байгаа тээвэрт шифрлэлт нэмдэг. Хоёр дахь туннель нь төгсгөлийн цэгийн хүртээмжийг сайжруулдаг бөгөөд хоёулангийн доорх операторын замд юу ч хийдэггүй. Хяналтын самбар хоёр ногоон туннель харуулж, дизайны хяналт өөр асуулт тавихад энэ ялгааг алдахад амархан: энэ холболт ямар эвдрэлийг давах ёстой вэ? Эхлээд түүнд хариулж, дараа нь туннелийг тоол, учир нь ногоон үзүүлэлтийн тоо нь шифрлэлтийн давхаргын шинж чанар, эвдрэлийн домэйны тоо нь бүх замын шинж чанар юм.
Ногоон туннелээр биш, эвдрэлээр эхэл
Ямар нэгэн зүйл зурахаас өмнө дөрвөн мөр бич: нэг VPN төгсгөлийн цэг эсвэл peer инстанц эвдрэх, нэг локал маршрутлагч эсвэл эхний милийн холболт эвдрэх, хуваалцсан ExpressRoute зам эвдрэх, хувийн пиринг трафик зөөж байх үед IPsec хүртээмжгүй болох. Мөр бүр дизайн юу хадгалах ёстойг нэрлэдэг бөгөөд тус бүрд өөр механизм хариулдаг.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft нь ExpressRoute-ийн хувийн пирингээр хувийн IP-тай site-to-site VPN болон интернэтэд суурилсан site-to-site холболттой дэмжигдсэн зэрэгцэн оршихыг баримтжуулдаг. Тэр зэрэгцэн орших нь өөр доод давхаргын дизайн бөгөөд та өөр нэг хувийн туннелийн төгсгөлийн цэг нэмсэнээс болж л гарч ирдэггүй.
Эвдрэлийн домэн 1: VPN төгсгөлийн цэг
Нэг гарц дээрх хоёр туннель ихэвчлэн ижил Azure талын нөөц дээр төгсдөг active-active хосууд байдаг. Тэд нэг туннель эсвэл инстанцын асуудлаас хамгаалдаг бөгөөд тэр нөөц хүртээмжгүй болох, дахин тохируулагдах эсвэл багтаамж дуусахаас хамгаалдаггүй. Төгсгөлийн цэгийн илүүдэл гэдэг нь өөрийн зам, өөрийн тохиргоотой хоёр дахь дэмжигдсэн төгсгөлийн цэг, мөн түүнд хүрч чадах маршрут юм.
Диаграм юу гэж хэлж байгааг бус, та бодитоор юу байрлуулснаа шалга, учир нь портал эдгээр нөөцийг тэдний харилцааг нуух байдлаар бүлэглэдэг:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Хэрэв хоёр туннель нэг нийтийн IP-тай нэг гарц руу чиглэсэн бол та тодорхой, хязгаарлагдмал төрлийн төгсгөлийн цэгийн илүүдэлтэй байна. Энэ нь шаардлагад тавьсан зүйл яг байж болох бөгөөд илүүдэл холболт гэж дүрслэхийн оронд тэгж хэлэх ёстой.
Эвдрэлийн домэн 2: локал зам ба оператор
Шифрлэлтийн доор физик ба арилжааны бодит байдал байдаг: харилцагчийн ирмэгийн төхөөрөмж, хөндлөн холболт, үйлчилгээ үзүүлэгчийн сүлжээ, пирингийн байршил. ExpressRoute-ийн хүртээмжийн заавар нь төгсгөлөөс төгсгөл хүртэлх илүүдэл нь зөвхөн Microsoft талыг бус, харилцагч ба үйлчилгээ үзүүлэгчийн сегментүүдийг хамардаг гэдгийг тодорхой хэлдэг. Маршрутлагч, цахилгаан тэжээл эсвэл эхний милийн холболтыг хуваалцдаг хоёр логик зам тэр хамаарлыг хуваалсaар байна.
Дизайн ихэвчлэн шударга хяналтад энд унадаг. Нэг үйлчилгээ үзүүлэгчийн хоёр хэлхээ нэг барилгад төгсөж, нэг худалдан авалтын захиалгын тоног төхөөрөмж дээр байвал тэдгээр нь хоёр эвдрэлийн домэн биш. Тэдгээр нь хоёр нэхэмжлэхтэй нэг эвдрэлийн домэн юм.
Оператороос асуултыг бичгээр асуу: эдгээр замаас аль нь хаана салж байна, хуваалцсан сегмент эвдрэхэд баримтжуулсан зан төлөв юу вэ? Дизайны дуудлагын үеийн аман баталгаа таны зохиож буй эвдрэлийг давахгүй.
Эвдрэлийн домэн 3: IPsec-гүй үлдэх зам
Хувийн пиринг ба IPsec нь ижил аппликейшн префикс руу өрсөлдөх маршрутуудыг санал болгож болно. Хэрэв хамгаалагдсан маршрут алга болвол үлдсэн шууд ExpressRoute маршрут туннелийн өгч байсан шифрлэлтийн давхаргагүйгээр ашиглах боломжтой хэвээр байж болно. Энэ нь хүлээн зөвшөөрөх эсэх нь бодлогын шийдвэр бөгөөд хамгийн олон удаа далд үлддэг шийдвэр нь энэ юм.
Шифрлэлтийн шаардлага ба хүртээмжийн шаардлага энд үнэхээр мөргөлдөж болно. «Үлдсэн аливаа маршрутыг амжилт гэж тооцно» гэдэг нь шифрлэлтийн асуултад чимээгүйхэн «үгүй» гэж хариулдаг хүртээмжийн мэдэгдэл юм. Аль нь ялах, ямар префикст, хэн зөвшөөрснийг бич.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableСурсан маршрутуудыг хүлээж байсан префикстэй харьцуул. Бага зэргийн захиргааны ачаа зөөдөг нөөц зам тэр ачаанд бүрэн тохиромжтой байж болох ч үйлдвэрлэлийн хэрэгцээнд шаардлагатай багтаамжаас хол байж болно, тиймээс багтаамжийн таамаглалыг маршрутын хажууд бич.
Нэг шийдвэр биш, гурван тусдаа мөр бич
Төгсгөлийн цэгийн илүүдэл, тээврийн илүүдэл, гамшгаас хойшхи сэргээн босголтыг дизайны бүртгэлд тусдаа бичлэг хэлбэрээр хадгал, тус бүр өөрийн механизм, өөрийн шалгалт, өөрийн эзэнтэй. Ослын хяналт холболт яагаад гарцын дахин эхлэлийг давж, шилэн кабелийн таслалтыг даваагүй гэж асуухад гурван мөр нэг өгүүлбэрээр хариулна; нэг «илүүдэл» чагтлах нүд үүнийг хийж чадахгүй.
Дараа нь хямд шалгаж болох мөрүүдийг шалга. Нэг туннелийг эвдэж, трафик шилжиж, дахин шифрлэгдэж байгааг батал. Нэг маршрутыг буцааж авч, үлдсэн зам нь таны зорьсон зам мөн гэдгийг батал, дараа нь шифрлэгдсэн хэвээр байгаа эсэхийг батал. Загварчилж чадаагүй эвдрэлүүдийг баримтжуул, учир нь шалгаагүй мөр бол таамаглал бөгөөд тэгж тэмдэглэх ёстой.
Ашигтай үр дүн бол богино хүснэгт ба мөр бүрт нэг өгүүлбэр юм. Хэрэв мөрөнд механизм байхгүй бол тэр нь олдвор бөгөөд үүнийг дизайны хяналтад олж илрүүлэх нь хоёр туннель хэзээ ч давахгүй байсан операторын сааталтын үеэр олж илрүүлэхээс хамаагүй хямд юм.