NVA शिवाय ExpressRoute वर Azure खाजगी IP VPN

ही समजूत आहे की ExpressRoute खाजगी peering वर रहदारी एन्क्रिप्ट करण्यासाठी नेटवर्क व्हर्च्युअल उपकरण आवश्यक आहे. तसे नाही. Azure हे Site-to-Site VPN Gateway ला समर्थन देते ज्याचा बोगदा अंतिम बिंदू सर्किटवरून वाहून नेलेला खाजगी RFC1918 पत्ता आहे, आणि उपकरण हे संरचनात्मक नसून पर्यायी आहे. उपकरणाची समजूत जे लपवते तो भाग खरोखर डाचतो: खाजगी अंतिम बिंदू दोन ऑब्जेक्टऐवजी एकावर सक्षम करणे, आणि थेट peering मार्गाने एन्क्रिप्टेड मार्गावर शांतपणे जिंकू देणे.

समजूत कुठून आली

या दाव्याला आदरणीय पूर्वइतिहास आहे. अनेक वर्षे खाजगी peering वर IPsec साठी व्यावहारिक कृती NVA होती, कारण व्यवस्थापित गेटवे फक्त सार्वजनिक अंतिम बिंदू उघड करत असे. ते बदलले, आणि बदलापूर्वी लिहिलेली उत्तरे अजूनही अशा थ्रेडमध्ये उद्धृत केली जातात जिथे कोणी तारीख तपासत नाही. दुरुस्ती अरुंद आहे: खाजगी पत्त्याचा VPN गेटवे अस्तित्वात आहे, आणि तो अंतिम बिंदू बदलतो, त्याच्या आसपासचे राउटिंग तर्क नाही.

यापैकी काहीही NVA निवृत्त करत नाही. ते उपकरण हाच गरजेचा एकमेव मार्ग आहे ही धारणा निवृत्त करते.

दोन्ही स्तरांवर खाजगी अंतिम बिंदू सक्षम करा

VPN गेटवे असलेल्या VNet ला जोडलेल्या कार्यरत ExpressRoute खाजगी peering कनेक्शनपासून सुरुवात करा. ऑन-प्रिमाइस बाजूने त्या सर्किटवरून संबंधित खाजगी पत्त्यांपर्यंत आधीच पोहोचलेले असावे, कारण बोगदा ते पत्ते वाहतूक म्हणून वापरेल. नंतर गेटवेची पूर्वअट: खाजगी-IP VPN साठी Microsoft प्रक्रियेस Standard सार्वजनिक IP संसाधनावर बांधलेला गेटवे आवश्यक आहे. खाजगी बोगदा अ‍ॅड्रेसिंग ती अट काढत नाही, ज्यामुळे „खाजगी“ म्हणजे „कुठेही सार्वजनिक IP नाही“ असे गृहीत धरणाऱ्यांना आश्चर्य वाटते.

आता दोन्ही ठिकाणी फ्लॅग सक्षम करा. गेटवे कॉन्फिगरेशनचा खाजगी IP साठी स्वतःचा स्विच आहे, आणि वैयक्तिक Site-to-Site कनेक्शनचा दुसरा आहे जो त्या कनेक्शनला खाजगी पत्ता वापरायला लावतो. एक सेट करणे आणि दुसरे न करणे हे सर्वात सामान्य अपूर्ण कॉन्फिगरेशन आहे; बोगदा एकतर स्थापित होत नाही किंवा चुकीच्या अंतिम बिंदूवर स्थापित होतो.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

तुमच्या इन्स्टॉल केलेल्या CLI आवृत्तीविरुद्ध प्रॉपर्टी नावे तपासा, कारण पोर्टल लेबल आणि CLI प्रॉपर्टी नेहमी एकच शब्दरचना वापरत नाहीत. सक्रिय-सक्रिय गेटवे दोन खाजगी बोगदा पत्ते उघड करतो, आणि ती रिडंडन्सी अर्थपूर्ण व्हायची असेल तर ऑन-प्रिमाइस उपकरणात दोन्ही पीअर कॉन्फिगर केलेले असणे आवश्यक आहे. केवळ हा खाजगी पत्त्याचा बोगदा उभारण्यासाठी BGP आवश्यक नाही, तरीही तो सहसा प्रीफिक्स वितरित करण्याच्या पद्धतीचा भाग असतो.

दुसरी समजूत: स्थापित बोगदा तुमची रहदारी एन्क्रिप्ट करतो

आता अनुप्रयोग नेटवर्कपर्यंत दोन मार्ग पोहोचतात: थेट खाजगी peering मार्ग आणि VPN मधून मार्ग. दोन्ही काम करतात. फक्त एकच हा IPsec स्तर लागू करतो. Microsoft नोंदवते की जेव्हा समान प्रीफिक्स ExpressRoute आणि VPN दोन्हीवर जाहीर केले जातात, तेव्हा Azure थेट ExpressRoute मार्गाला प्राधान्य देतो, म्हणून निरोगी बोगदा आणि निरोगी काउंटर अनुप्रयोग पॅकेट कुठे गेले याचे काहीही सिद्ध करत नाहीत.

नोंदवलेल्या स्टीअरिंग पद्धती म्हणजे ExpressRoute वर व्यापणारी श्रेणी आणि VPN वर अधिक विशिष्ट संरक्षित श्रेणी, किंवा दोन्ही मार्गांवर विभक्त प्रीफिक्स. उदाहरणार्थ, खाजगी peering 10.40.0.0/16 वाहू शकतो आणि VPN 10.40.12.0/24 जाहीर करतो. अधिक विशिष्ट प्रीफिक्स जिंकतो आणि श्रेणीचा उर्वरित भाग थेट राहतो.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

ऑन-प्रिमाइस दिशेनेही तीच तपासणी करा, कारण तुमच्या राउटरचे प्राधान्य आउटबाउंड रहदारी कोणत्या बाजूने बाहेर पडते हे ठरवते. आणि बोगद्याची स्वतःची वाहतूक ExpressRoute मार्गावर ठेवा; गेटवेचा खाजगी अंतिम बिंदू बोगद्यात ओढणारा मार्ग बोगद्याला स्वतःवर अवलंबून करतो.

बोगदा पडल्यावर काय होईल ते ठरवा

बोगदा पडल्यावर अधिक विशिष्ट VPN मार्ग नाहीसा होतो, तर विस्तृत थेट मार्ग राहतो. मग रहदारी एन्क्रिप्शनशिवाय वाहते आणि सर्व काही निरोगी दिसते, जे एन्क्रिप्शनची हमी देण्यासाठी अस्तित्वात असलेल्या गरजेसाठी सर्वात वाईट अयशस्वी मोड आहे. ती गरज तो फॉलबॅक प्रतिबंधित करत असेल, तर राउटिंग आणि प्रवेश धोरणाने बोगद्याच्या उपलब्धतेवर अवलंबून राहण्याऐवजी ते स्पष्टपणे सांगितले पाहिजे.

कोणते प्रीफिक्स थेट पोहोचण्यायोग्य राहू शकतात आणि कोणते एन्क्रिप्टेड मार्ग नसताना थांबले पाहिजेत ते लिहा. मग परवानगी असलेली स्थिती वास्तविक रहदारीसह तपासा आणि कनेक्शन काउंटरची तुलना करा, कारण केवळ रूट टेबल तुम्हाला एन्क्रिप्शनची गरज अजूनही लागू आहे का ते सांगणार नाही.

ही चौकट तुम्हाला NVA चे त्याच्या वास्तविक वैशिष्ट्यांवर मूल्यांकन करू देते, जसे की अनेक बोगदे, थ्रूपुट किंवा विक्रेता तपासणी, फक्त अंतिम बिंदू खाजगी आहे म्हणून एक खरेदी करण्याऐवजी.