Azure peering की VNet-ते-VNet VPN? राउटिंगपूर्वी निर्णय घ्या

Azure दोन व्हर्च्युअल नेटवर्क जोडण्याचे किमान दोन मार्ग देते, आणि ते एकाच ऑब्जेक्टवरील परस्पर बदलता येणारी सेटिंग्ज नाहीत. Peering गेटवेशिवाय Microsoft च्या बॅकबोनवर VNet जोडते; VNet-ते-VNet VPN तुम्ही तैनात करता, आकार ठरवता आणि देखरेख करता त्या दोन गेटवेमध्ये IPsec संबंध ठेवते. निर्णय तीन अटींवर येतो, आणि मार्ग जोडण्यापूर्वी तुम्ही तिन्हींची उत्तरे देऊ शकत नसाल, तर तुम्ही कधीही न निवडलेल्या मॉडेलसाठी वळसा मार्ग बांधणार आहात.

मॉडेल ठरवणाऱ्या तीन अटी

पहिली म्हणजे गरजेतील कशाला तुमच्या मालकीची आणि तुम्ही दाखवू शकता अशी IPsec सीमा हवी आहे का. दुसरी म्हणजे पत्ता जागा स्वच्छ आहेत का आणि दोन VNet ना फक्त एकमेकांशी बोलायचे आहे का. तिसरी म्हणजे कोणत्याही पारगमन मार्गाचा आणि गेटवे बिलाचा मालक कोण आहे. याच क्रमाने उत्तर द्या, कारण दुसरी कितीही आकर्षक वाटली तरी पहिली peering काढून टाकू शकते.

दोन्ही मॉडेलांमध्ये सामायिक गोष्ट कडक पत्ता नियम आहे: VNet च्या पत्ता जागा एकमेकांवर येऊ नयेत. Peering किंवा VNet-ते-VNet VPN दोन सारख्याच श्रेणी एकमात्र अर्थाने स्पष्ट करण्याचा समर्थित मार्ग नाही, आणि आच्छादनासाठी वेगळा कनेक्शन प्रकार नाही, मॅपिंग रचना किंवा पुनर्रचना हवी.

अट 1: तुम्हाला तुमच्या मालकीची IPsec सीमा हवी आहे का?

Peering रहदारी Azure च्या खाजगी बॅकबोनवरून नेते आणि peered कनेक्शनसाठीच VPN गेटवे आवश्यक नाही. हे वाहतुकीबद्दलचे विधान आहे, ऑडिटरला «आम्ही IPsec चालवतो» असे देता येईल असे एन्क्रिप्शन विधान नाही. गरजेत ग्राहक-संरचित बोगदा, विशिष्ट IKE धोरण किंवा तुमच्या नियंत्रणातील उपकरणावर संपणारी सीमा नामनिर्देशित असेल, तर बॅकबोन कितीही खाजगी असो, peering ती पूर्ण करत नाही.

VNet-ते-VNet VPN ती सीमा देते: दोन गेटवे, IPsec/IKE संबंध, सामायिक की आणि त्यासोबत येणारा संपूर्ण कार्यसंचालन पृष्ठभाग. तुम्हाला बोगद्याची स्थिती, गेटवे क्षमता, SKU मर्यादा आणि बोगदा चालू असल्याचे सिद्ध करणारी देखरेख वारसा म्हणून मिळते. गरज नेमकी त्या सीमेबद्दल असेल तेव्हा हे योग्य उत्तर आहे, ज्याचे वर्णन peering आढावा मध्ये peering पेक्षा वेगळा कनेक्शन प्रकार म्हणून केले आहे.

विरुद्ध दिशेनेही तितकेच सावध राहा. «आम्हाला VNet मध्ये एन्क्रिप्शन हवे» बहुतेकदा वर्कलोडच्या स्वतःच्या TLS ने पूर्ण होते, आणि मग गेटवे मागे गरज नसलेला खर्च आहे. यंत्रणा निवडण्यापूर्वी ऑडिटर वाचणारे वाक्य लिहा.

अट 2: टोपोलॉजी थेट आहे का, की कशाला पारगमन करायचे आहे?

Peering पारगम्य नाही. हबला peered केलेले दोन VNet त्यामुळे एकमेकांशी जोडलेले नसतात, आणि एका दिशेने काम करत असल्यासारखा दिसणारा मार्ग सहसा एका बाजूलाच Connected गाठणारा peering असतो. दोन्ही बाजू असाव्यात आणि दोन्हीनी Connected दाखवावे, आणि रहदारी शांतपणे गायब झाल्यावर पहिली तपासणी हीच असते.

गरज हबमार्फत ऑन-प्रिमाइसेस पोहोच असेल, तर गेटवे ट्रान्झिट विशिष्ट भूमिकांसह वेगळी रचना आहे: हब गेटवेचा मालक, स्पोक peering गेटवे ट्रान्झिटला परवानगी देते, आणि स्पोकने पुढे पाठवलेल्या रहदारीला परवानगी द्यावी. हे peering वरील गुणधर्म आहेत, VNet जोडण्याचे स्वयंचलित परिणाम नाहीत:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

प्रभावी मार्ग सारणी «मार्ग आहे का?» याचे प्रामाणिक उत्तर आहे. प्लॅटफॉर्म प्रत्यक्षात वापरणारा पुढील हॉप प्रकार ती दाखवते, म्हणून संरचित दिसणारा पण जोडलेला नसलेला peering कोडे म्हणून नाही, तर गहाळ किंवा चुकीचा मार्ग म्हणून दिसतो.

अट 3: पारगमन मार्ग आणि बिलाचा मालक कोण?

प्रत्येक अतिरिक्त हॉपला मालक असतो. Peering मध्ये नवीन VNet म्हणजे दोन्ही बाजूला नवीन peering जोडी, आणि पारगमनासाठी रहदारी पुढे पाठवत राहणारा हब व त्याकडेच निर्देश करणारी मार्ग सारणी. VPN मध्ये नवीन VNet म्हणजे आणखी एक गेटवे किंवा विद्यमानावर आणखी एक कनेक्शन, स्वतःची क्षमता मर्यादा पाहावी लागते.

खर्च तोच आकार अनुसरतो पण तीच बाबी नाही: peering शुल्क कनेक्शन आणि डेटा हस्तांतरण आहे, तर VPN गेटवे तास आणि स्वतःचे हस्तांतरण शुल्क जोडते. तुम्ही प्रत्यक्षात वर्षभर चालवणाऱ्या टोपोलॉजीसाठी एकूण तुलना करा, दुसरा बोगदा आणि देखरेखीसह, आजच्या एका कनेक्शनची किंमत नाही. कोणीही इनव्हॉइस न करणारे कामही समाविष्ट करा: कोणालातरी की फिरवाव्या लागतात, बोगद्याची स्थिती पाहावी लागते आणि गेटवे रीस्टार्ट झाल्यावर रात्री तीन वाजता अलर्टला उत्तर द्यावे लागते. सहसा हीच बाब वाद निकाली काढते, कारण कोटेशनमध्ये कधीही न दिसणारी एकमेव बाब ती आहे.

तुम्ही जे निवडाल ते तीन प्रवाह तपासा: इच्छित, नाकारलेले नाकारलेलेच राहिले पाहिजे, आणि हब गेटवे किंवा peering बंद असतानाची पुनर्प्राप्ती स्थिती. फक्त सुखद मार्ग स्पष्ट करणारे मॉडेल सत्यापित झाले नाही, ते प्रदर्शित झाले आहे.

निवडीची तिच्याच दाव्याशी पडताळणी करा

मॉडेल, सीमा आणि मालकाचे नाव घेणारे एक वाक्य लिहा, नंतर तैनात स्थिती त्याला जुळते का ते तपासा. Peering साठी याचा अर्थ दोन्ही peering स्थिती Connected, प्रभावी मार्ग लक्ष्य प्रीफिक्ससाठी peering पुढील हॉप दाखवतो, आणि मार्गात गेटवे नाही. VNet-ते-VNet VPN साठी याचा अर्थ दोन्ही कनेक्शन Connected, दोन्ही गेटवेवर जुळणाऱ्या की व धोरणे, आणि पुढील हॉप व्हर्च्युअल नेटवर्क गेटवे असलेला मार्ग.

तपासण्या वाक्याशी विसंगत असतील, तर आधी वाक्य दुरुस्त करा. या रचनांमधील बहुतेक गोंधळ कोणीही वर्णन न केलेल्या संकरातून येतो: वर्कलोड सबनेटसाठी peering, एका जुन्या सेवेसाठी VPN आणि शांतपणे एकाला प्राधान्य देणारी मार्ग सारणी.