Хоёр салбарын хооронд Azure VPN гарцаар трафик чиглүүлэх
Нэг Azure VPN гарц дээрх хоёр Site-to-Site холболт салбаруудын трафикийг дамжуулж чадна, гэхдээ хоёр үзүүр угтварыг сурч, LAN-ын буцах зам байгаа үед л.
Хоёр салбар нь хоорондоо шууд туннельгүйгээр Azure VPN гарцаар трафик солилцож болно. Салбар бүр нэг гарц руу Site-to-Site холболт нээж, гарц нь сурсан угтваруудыг хоёр холболтын хооронд дамжуулдаг. Үүнийг ажиллуулдаг нь хоёр дахь туннель биш, харин маршрутын солилцоо юм: А салбар В салбарын угтварыг, В салбар А-гийн угтварыг сурах ёстой. Доорх шалгалтуудыг дарааллаар гүйцэтгэж, эхний бүтэлгүйтсэн шалгалт дээр зогсоно уу, учир нь дараагийн алхам бүр түүнээс хамаарна.
Ямар нэгэн зүйл тохируулахаас өмнөх урьдчилсан нөхцөл
Энэ загвар ерөнхийдөө ажиллаж чадах эсэхийг дөрвөн нөхцөл шийднэ. Гарц нь маршрутад суурилсан байх ёстой бөгөөд BGP дэмждэг SKU дээр байх ёстой, хоёр холболтод BGP идэвхжсэн байх ёстой, салбаруудын хаягийн орон зай давхцахгүй байх ёстой, аль ч тал бодит угтвараа нуухын тулд NAT-д найдаж болохгүй.
ASN-уудыг санаатайгаар төлөвлөөрэй. Azure-ийн баримтжуулсан өгөгдмөл утга нь 65515 бөгөөд салбар бүрийн чиглүүлэгчид гарц эсвэл нөгөө салбартай мөргөлдөхгүй өөрийн хувийн ASN хэрэгтэй. Одоо байгаа гарцын тохиргоог шалгахгүйгээр өгөгдмөл утгыг дахин ашиглах нь AS зам дараа нь татгалзагдах арга юм.
Мөн та VNet peering-ийн зан төлөвийг хүлээхгүй байгаагаа баталгаажуулаарай. Гарц нь таны тохируулсан хоёр холболтын хооронд маршрут солилцдог; энэ нь дурын peering-үүдийг дамжуулагч болгодоггүй. Гурав дахь сүлжээ хоёр салбарт хүрэх шаардлагатай бол түүнд өөрийн холболт эсвэл өөрийн маршрут хэрэгтэй, гарц трафикийг тараана гэсэн таамаг биш. Энэ хил хязгаарыг эхний өөрчлөлтийн цонхноос өмнө бичиж үлдээгээрэй, учир нь дараа нь сайт нэмэгдэхэд хүмүүс энэ загварын шийдвэр рүү буцаж ирдэг.
Энэ дарааллаар тохируулна уу
Алхам бүр ажиглагдах үр дүнтэй тул тэр нь гарч ирэх хүртэл бүү үргэлжлүүл.
- Виртуал сүлжээний гарц дээр BGP идэвхжүүлж, түүний ASN болон peer хаягийг тэмдэглэ.
- Салбар бүрт тухайн салбарын бодит хаягийн орон зай, түүний ASN, BGP peer хаягтай локал сүлжээний гарц үүсгэ.
- Site-to-Site холболт бүрийг үүсгэж, холболт дээр өөр дээр нь BGP идэвхжүүл.
- Салбарын чиглүүлэгчийг таамаглалаар гарцын нийтийн IKE төгсгөлийн цэгтэй биш, Azure-ийн олгосон гарцын хаягтай peer хийхээр тохируул.
Дөрөв дэх алхам нь ихэнх оролдлого гацдаг газар юм. Azure-ийн мэдээлдэг BGP peer хаяг нь салбарын чиглүүлэгч хөрш болгон ашиглах ёстой хаяг бөгөөд энэ нь хүмүүсийн туннелийн диаграмаас хүлээдэг хаяг байх албагүй.
Салбарын угтварыг өөрөө зарла, жишээ нь A-аас 10.10.0.0/16, B-ээс 10.20.0.0/16. Дутуу тодорхой сүлжээг нөхөхийн тулд өгөгдмөл маршрут эсвэл өргөн агрегат зарлаж болохгүй; цоорхой дараа нь нам гүм хар нүх болж буцаж ирдэг.
Хоёр үзүүрт маршрутын солилцоог шалга
Холболтын төлөв нь шалгалт биш. Хоёр холболт дээр IPsec ажиллаж байхад тэдгээрийн хооронд нэг ч угтвар дамжихгүй байж болно. Гарцын BGP peer болон сурсан маршрутыг уншаад, нөгөө салбар руу чиглэсэн маршрут ашиглах боломжтой зам болж харагдаж байгааг батал.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
BGP хүснэгтэд байгаа угтвар нь статик маршрут эсвэл илүү тодорхой угтварт дамжуулах шийдвэрийг алдаж болно. Зөвхөн хүлээн авсанг биш, сонгосон маршрутыг шалга.
LAN талд буцах замыг дага
Энэ бол Azure-д зөв харагдаж, газар дээр нь бүтэлгүйтдэг хэсэг юм. А салбарын хост өөрийн пакетыг А-гийн VPN чиглүүлэгч рүү зөвхөн тэр чиглүүлэгч нь түүний өгөгдмөл гарц бол, эсвэл хост эсвэл түүний гарц В-гийн угтварт маршруттай бол л илгээдэг. Эсрэг чиглэлд ч мөн адил үнэн байх ёстой.
Хэрэв тусдаа цөм свитч нь LAN-ын өгөгдмөл гарц бол түүнд VPN чиглүүлэгч рүү заасан нөгөө салбар руу чиглэсэн маршрут хэрэгтэй. Үгүй бол хүсэлт ирж, хариу интернетийн замаар гарч, хэрэглэгч нээгдээд дараа нь гацдаг холболтыг хардаг.
Үүнийг засахын тулд гарцын дэд сүлжээн дэх сүлжээний аюулгүй байдлын бүлэг рүү бүү ханд. Тэр дэд сүлжээ өөрийн шаардлагатай бөгөөд тэнд NSG нь салбарын талын бодлогын дэмжигдсэн орлуулагч биш юм. Шүүлт нь салбаруудын галт хана болон ажлын ачаалал дээр байх ёстой, тэнд дүрмийг эзэд нь хянаж болно. Эдгээр дүрмийг дэд сүлжээний NSG руу зөөх нь дараагийн доголдлыг дибаг хийх багаас ч нуудаг.
Үйлдлийг зөвшөөрөөд дараа нь татгалзсан тестээр батал
Сурсан маршрут бол зөвшөөрөл биш. Танд үнэхээр хэрэгтэй эх сурвалж, очих газар, үйлчилгээг салбаруудын галт хана болон төгсгөлийн цэгийн бодлогоор зөвшөөрч, бусад нь татгалзагдсан хэвээр байлга.
А салбарын энгийн ажлын ачааллаас В салбарын бодит үйлчилгээ рүү туршиж, хариуг батал, дараа нь хориотой хэвээр байх ёстой үйлдлийг оролдоорой. VPN төхөөрөмж өөрөө үүсгэдэг трафик өөр эх хаяг ашиглаж, LAN чиглүүлэлтийн үе шатыг алгасаж болох тул чиглүүлэгчээс гарсан амжилттай ping нь харагдахаас бага зүйлийг баталдаг.
Дөрвөн баримтыг бичээд дуусга: солилцсон угтварууд, ашиглагдаж буй ASN-ууд, тал бүрийн LAN буцах зам, үйлчилгээг зөвшөөрдөг бодлого. Эдгээрийн нэг нь дутуу бол тохиргоо эхний өөрчлөлт хүртэл ажиллаад, дараа нь хэн ч яагаад гэдгийг тайлбарлаж чадахгүй.