Peering Azure atau VPN VNet ke VNet? Putuskan sebelum penghalaan

Azure memberi anda sekurang-kurangnya dua cara untuk menyambung dua rangkaian maya, dan ia bukan tetapan yang boleh ditukar ganti pada objek yang sama. Peering menyatukan VNet pada tulang belakang Microsoft tanpa gateway; VPN VNet ke VNet meletakkan hubungan IPsec antara dua gateway yang anda gunakan, tentukan saiz dan pantau. Keputusan terletak pada tiga syarat, dan jika anda tidak dapat menjawab ketiga-tiganya sebelum menambah laluan, anda akan membina jalan pintas untuk model yang tidak pernah anda pilih.

Tiga syarat yang menentukan model

Yang pertama ialah sama ada sesuatu dalam keperluan memerlukan sempadan IPsec yang anda miliki dan boleh tunjukkan. Yang kedua ialah sama ada ruang alamat bersih dan kedua-dua VNet hanya perlu bercakap sesama sendiri. Yang ketiga ialah siapa yang memiliki mana-mana laluan transit dan bil gateway. Jawab mengikut urutan itu, kerana yang pertama boleh menyingkirkan peering betapa menariknya yang kedua kelihatan.

Yang dikongsi kedua-dua model ialah peraturan pengalamatan yang keras: ruang alamat VNet tidak boleh bertindih. Peering mahupun VPN VNet ke VNet bukan cara yang disokong untuk menjadikan dua julat yang sama tidak kabur, dan pertindihan memerlukan reka bentuk pemetaan atau reka bentuk semula, bukan jenis sambungan yang lain.

Syarat 1: adakah anda memerlukan sempadan IPsec milik anda?

Peering membawa trafik melalui tulang belakang persendirian Azure dan tidak memerlukan gateway VPN untuk sambungan peered itu sendiri. Itu kenyataan tentang pengangkutan, bukan kenyataan tentang penyulitan yang boleh anda serahkan kepada juruaudit sebagai «kami menjalankan IPsec». Jika keperluan menamakan terowong yang dikonfigurasikan pelanggan, dasar IKE tertentu atau sempadan yang berakhir pada peralatan yang anda kawal, peering tidak memenuhinya, sepersendirian mana pun tulang belakang itu.

VPN VNet ke VNet memang menyediakan sempadan itu: dua gateway, hubungan IPsec/IKE, kunci dikongsi dan seluruh permukaan operasi yang menyertainya. Anda mewarisi keadaan terowong, kapasiti gateway, had SKU dan pemantauan yang membuktikan terowong hidup. Itulah jawapan yang betul apabila keperluan khusus tentang sempadan itu, yang diterangkan dalam gambaran keseluruhan peering sebagai jenis sambungan yang berbeza daripada peering.

Berhati-hati sama di arah sebaliknya. «Kami memerlukan penyulitan antara VNet» selalunya dipenuhi oleh TLS beban kerja itu sendiri, dan kemudian gateway menjadi kos tanpa keperluan di belakangnya. Tulis ayat yang akan dibaca juruaudit sebelum memilih mekanisme.

Syarat 2: adakah topologi langsung, atau ada sesuatu yang perlu melalui transit?

Peering tidak transitif. Dua VNet yang di-peer ke hab tidak dengan itu bersambung antara satu sama lain, dan laluan yang kelihatan berfungsi dalam satu arah biasanya peering yang hanya mencapai Connected pada satu sisi. Kedua-dua belah mesti wujud dan kedua-duanya mesti menunjukkan Connected, dan itulah perkara pertama yang anda semak apabila trafik hilang diam-diam.

Jika keperluan ialah jangkauan on-premises melalui hab, transit gateway ialah reka bentuk berasingan dengan peranan tertentu: hab memiliki gateway, peering spoke membenarkan transit gateway, dan spoke mesti membenarkan trafik yang diteruskan. Itu sifat pada peering, bukan akibat automatik daripada menyambung VNet:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Jadual laluan berkesan ialah jawapan jujur kepada «adakah laluan itu wujud?». Ia menunjukkan jenis hop seterusnya yang akan benar-benar digunakan oleh platform, jadi peering yang kelihatan dikonfigurasikan tetapi tidak bersambung muncul sebagai laluan yang hilang atau salah dan bukan sebagai misteri.

Syarat 3: siapa yang memiliki laluan transit dan bil itu?

Setiap hop tambahan mempunyai pemilik. Dengan peering, VNet baharu bermakna pasangan peering baharu di kedua-dua belah dan, untuk transit, hab yang terus meneruskan trafik serta jadual laluan yang terus menunjuk kepadanya. Dengan VPN, VNet baharu bermakna gateway lain atau sambungan lain pada gateway sedia ada, dengan siling kapasitinya sendiri untuk dipantau.

Kos mengikut bentuk yang sama tetapi bukan item yang sama: caj peering ialah sambungan dan pemindahan data, manakala VPN menambah jam gateway dan caj pemindahannya sendiri. Bandingkan jumlah bagi topologi yang benar-benar akan anda jalankan selama setahun, termasuk terowong kedua dan pemantauan, bukan harga satu sambungan hari ini. Sertakan kerja yang tiada siapa bilkan: seseorang perlu memutar kunci, memantau keadaan terowong dan menjawab amaran pada pukul tiga pagi apabila gateway dimulakan semula. Biasanya item itulah yang menentukan perdebatan, kerana ia satu-satunya yang tidak pernah muncul dalam sebut harga.

Apa pun yang anda pilih, uji tiga aliran: yang dimaksudkan, yang ditolak dan mesti kekal ditolak, dan kes pemulihan apabila gateway hab atau peering mati. Model yang hanya menerangkan laluan gembira belum disahkan, ia telah ditunjukkan.

Sahkan pilihan terhadap dakwaannya sendiri

Tulis satu ayat yang menamakan model, sempadan dan pemilik, kemudian semak bahawa keadaan yang digunakan sepadan dengannya. Untuk peering itu bermakna kedua-dua keadaan peering Connected, laluan berkesan menunjukkan hop peering seterusnya bagi awalan destinasi, dan tiada gateway dalam laluan. Untuk VPN VNet ke VNet ia bermakna kedua-dua sambungan Connected, kunci dan dasar yang sepadan pada kedua-dua gateway, dan laluan yang hop seterusnya ialah gateway rangkaian maya.

Jika semakan bercanggah dengan ayat itu, betulkan ayat itu dahulu. Sebahagian besar kekeliruan dalam reka bentuk ini datang daripada hibrid yang tiada siapa jelaskan: peering untuk subnet beban kerja, VPN untuk satu perkhidmatan lama, dan jadual laluan yang diam-diam mengutamakan salah satunya.