VPN IP peribadi Azure melalui ExpressRoute tanpa NVA

Mitosnya ialah menyulitkan trafik melalui peering peribadi ExpressRoute memerlukan perkakas rangkaian maya. Tidak. Azure menyokong Site-to-Site VPN Gateway yang titik akhir terowongnya ialah alamat RFC1918 peribadi yang dibawa merentasi litar, dan perkakas itu pilihan, bukan struktur. Apa yang mitos perkakas sembunyikan ialah bahagian yang benar-benar menggigit: mendayakan titik akhir peribadi pada satu objek dan bukan dua, dan membiarkan laluan peering terus menang secara senyap ke atas laluan tersulit.

Dari mana mitos itu datang

Dakwaan itu mempunyai asal usul yang dihormati. Selama bertahun-tahun resipi praktikal untuk IPsec melalui peering peribadi ialah NVA, kerana gateway terurus hanya mendedahkan titik akhir awam. Itu berubah, dan jawapan yang ditulis sebelum perubahan itu masih dipetik dalam utas di mana tiada siapa menyemak tarikhnya. Pembetulannya sempit: gateway VPN dengan alamat peribadi wujud, dan ia mengubah titik akhir, bukan logik penghalaan di sekelilingnya.

Tiada satu pun daripada ini mempersarakan NVA. Ia mempersarakan andaian bahawa perkakas ialah satu-satunya jalan kepada keperluan itu.

Dayakan titik akhir peribadi pada kedua-dua peringkat

Mulakan dengan sambungan peering peribadi ExpressRoute yang berfungsi dan dipautkan ke VNet yang mengandungi gateway VPN. Bahagian tempatan mesti sudah mencapai alamat peribadi berkenaan merentasi litar itu, kerana terowong akan menggunakan alamat itu sebagai pengangkutan. Kemudian prasyarat gateway: prosedur Microsoft untuk VPN IP peribadi memerlukan gateway yang dibina atas sumber IP awam Standard. Pengalamatan terowong peribadi tidak menghapuskan keperluan itu, yang mengejutkan mereka yang menganggap «peribadi» bermaksud «tiada IP awam di mana-mana».

Sekarang dayakan bendera di kedua-dua tempat. Konfigurasi gateway mempunyai suisnya sendiri untuk IP peribadi, dan sambungan Site-to-Site individu mempunyai suis kedua yang membuat sambungan itu menggunakan alamat peribadi. Menetapkan satu tanpa yang lain ialah konfigurasi tidak lengkap yang paling biasa; terowong sama ada gagal terbentuk atau terbentuk ke titik akhir yang salah.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Sahkan nama sifat terhadap versi CLI yang anda pasang, kerana label portal dan sifat CLI tidak selalu berkongsi perkataan yang sama. Gateway aktif-aktif mendedahkan dua alamat terowong peribadi, dan peranti tempatan perlu kedua-dua rakan dikonfigurasikan jika anda mahu redundansi itu bermakna sesuatu. BGP tidak diperlukan semata-mata untuk menaikkan terowong beralamat peribadi ini, walaupun ia biasanya sebahagian daripada cara anda mengedarkan awalan.

Mitos kedua: terowong yang terbentuk menyulitkan trafik anda

Dua laluan kini sampai ke rangkaian aplikasi: laluan peering peribadi terus dan laluan melalui VPN. Kedua-duanya berfungsi. Hanya satu menggunakan lapisan IPsec ini. Microsoft mendokumentasikan bahawa apabila awalan yang sama diiklankan melalui ExpressRoute dan melalui VPN, Azure mengutamakan laluan ExpressRoute terus, jadi terowong yang sihat dengan pembilang yang sihat tidak membuktikan apa-apa tentang ke mana paket aplikasi pergi.

Kaedah pengarahan yang didokumentasikan ialah julat liputan pada ExpressRoute dengan julat terlindung yang lebih khusus pada VPN, atau awalan berpisah pada kedua-dua laluan. Sebagai ilustrasi, peering peribadi boleh membawa 10.40.0.0/16 manakala VPN mengiklankan 10.40.12.0/24. Awalan yang lebih khusus menang dan selebihnya julat kekal terus.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Lakukan pemeriksaan yang sama dalam arah tempatan, kerana keutamaan penghala anda menentukan arah keluar trafik keluar. Dan kekalkan pengangkutan terowong itu sendiri pada laluan ExpressRoute; laluan yang menarik titik akhir peribadi gateway ke dalam terowong menjadikan terowong bergantung pada dirinya sendiri.

Tentukan apa yang berlaku apabila terowong putus

Laluan VPN yang lebih khusus hilang apabila terowong putus, manakala laluan terus yang lebih luas kekal. Trafik kemudian mengalir tanpa penyulitan dan semuanya kelihatan sihat, yang merupakan mod kegagalan terburuk untuk keperluan yang wujud untuk menjamin penyulitan. Jika keperluan melarang sandaran itu, penghalaan dan dasar akses mesti menyatakannya secara eksplisit dan bukannya bergantung pada ketersediaan terowong.

Catatkan awalan mana yang boleh kekal boleh dicapai secara terus dan mana yang mesti berhenti apabila laluan tersulit tiada. Kemudian uji kes yang dibenarkan dengan trafik sebenar dan bandingkan pembilang sambungan, kerana jadual laluan sahaja tidak akan memberitahu anda sama ada keperluan penyulitan masih terpakai.

Rangka kerja itu juga membolehkan anda menilai NVA berdasarkan ciri sebenarnya, seperti berbilang terowong, daya pengeluaran atau pemeriksaan vendor, dan bukannya membelinya kerana titik akhir itu peribadi.