Pemeriksaan NVA Azure: mengapa balasan melalui firewall lain

Aliran dari cawangan ke Azure boleh dihalakan dengan betul dalam kedua-dua arah dan masih gagal, kerana kedua-dua arah melalui peranti yang berbeza. Permintaan meninggalkan cawangan melalui VPN, mendarat di NVA A dan sampai ke beban kerja. Balasan meninggalkan beban kerja, sepadan dengan laluan yang menunjuk ke NVA B dan mati di sana. Setiap laluan dalam gambaran itu sah, dan sesi TCP masih rosak.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Jurang itulah keseluruhan topik di sini: penumpuan penghalaan dan pemilikan keadaan sesi ialah masalah berbeza yang kelihatan sama dalam rajah.

Apa yang sebenarnya diprogramkan oleh Route Server

Azure Route Server melakukan peering dengan penutur BGP yang disokong, mempelajari laluan mereka dan memprogramkannya ke dalam laluan berkesan rangkaian maya. Itu kerja satah kawalan. Ia tidak membaca jadual sesi firewall vendor, dan tidak tahu peranti mana yang menerima sesuatu sambungan. Dua hop seterusnya yang sama kos, bagi fabrik ini, hanyalah dua cara untuk mencapai awalan yang sama, dan ia akan menggunakan mana-mana satu.

Jadi mempelajari laluan membuktikan kebolehcapaian. Ia tidak membuktikan apa-apa tentang sama ada peranti di hujung sana pernah melihat aliran ini sebelum ini.

Baca kedua-dua arah sebelum anda mereka bentuk

Mulakan dengan menulis pengarahan yang benar-benar anda ada dalam setiap arah, bukan yang anda niatkan. Laluan BGP yang lebih khusus, laluan yang ditentukan pengguna dan tingkah laku gerbang semuanya bersaing, dan pemenang ditentukan mengikut destinasi, bukan mengikut sesi. Laluan lalai pada NVA tidak bermakna setiap awalan peribadi melaluinya.

Pemeriksaan yang berguna ialah bertanya, untuk satu IP beban kerja tertentu, hop seterusnya mana yang diselesaikan oleh setiap arah. Jika jawapannya dua peranti berbeza, anda mempunyai masalah asimetri sama ada ia sudah muncul atau belum.

Di mana keadaan tinggal

Firewall stateful menerima sambungan dan menyimpan entri jadual yang dikunci pada lima-tuple. Balasan mesti sampai ke peranti yang memegang entri itu, atau peranti itu mesti memperoleh keadaan dengan cara lain. Tiada apa-apa dalam satah data Azure menghantar entri itu antara peranti. Sama ada trafik dihalakan semula kepada pemilik, atau peranti berkongsi keadaan melalui mekanisme vendor, atau reka bentuk itu tidak berfungsi.

Itulah sebabnya dua NVA yang sihat bukan pemeriksaan kesihatan untuk pemeriksaan. Kesihatan adalah tentang kebolehcapaian; pemeriksaan adalah tentang instans mana yang memegang sesi.

Model HA yang disokong dan apa yang dijanjikan setiap satu

Microsoft's guidance on niat penghalaan Virtual WAN menerangkan tingkah laku terhad untuk kesalinghubungan peranan dwi dan NVA firewall, di mana penghalaan langsung boleh memintas penguatkuasaan simetri biasa hab. Baca nota itu sebagai kekangan pada topologi yang anda pilih, bukan sebagai larangan reka bentuk aktif-aktif. Pasangan vendor yang menyegerakkan keadaan, atau mengarahkan setiap aliran, boleh disokong. Pasangan sama kos yang tidak melakukan kedua-duanya tidak disokong.

Kemudian tentukan apa yang berlaku kepada sesi sedia ada apabila nod gagal. Penumpuan laluan memulihkan kebolehcapaian untuk aliran baharu dalam beberapa saat, manakala keadaan firewall lama hilang begitu sahaja. Sambungan semula klien mungkin hasil yang didokumenkan, dan itu keputusan yang perlu dibuat sebelum insiden, bukan semasanya.

Apa yang perlu diuji sebelum mempercayainya

Test with inspection enabled and dasar akses beban kerja di tempatnya, kerana mana-mana satu boleh menyembunyikan asimetri. Hantar aliran dibenarkan baharu dalam kedua-dua arah dan sahkan peranti yang sama melihat kedua-dua separuh. Kemudian jalankan trafik berterusan dan cetuskan failover yang diluluskan, sambil memerhati sama ada sesi yang terbentuk bertahan atau bersambung semula.

Kaitkan setiap aliran dengan peranti yang mengendalikannya. Tangkapan paket pada satu NVA hampir tidak memberitahu anda apa-apa jika balasan tidak pernah kembali ke sana.

Akhir sekali, tulis pelan itu sebagai tiga baris berasingan: pemilikan laluan, pengarahan trafik dan pemilikan keadaan sesi. Reka bentuk rosak apabila dua yang pertama diselesaikan dan yang ketiga diandaikan.