Adakah Azure VNet yang di-peer memerlukan gerbang VPN sendiri?

VNet spoke baharu muncul, hub sudah mempunyai gateway site-to-site yang berfungsi, dan soalan jelas ialah sama ada anda perlu membayar gateway kedua. Biasanya tidak: transit gateway membenarkan spoke menggunakan gateway hub melalui peering. Tiga syarat menentukan sama ada ia berfungsi, dan tiada satu pun kelihatan pada lencana status peering. Ketersambungan peering dan kebenaran menggunakan gateway orang lain ialah tetapan berasingan, jadi dua VM yang sudah boleh saling ping tidak membuktikan apa-apa tentang laluan VPN.

Syarat pertama: gateway, dan ketiadaan gateway di spoke

Azure menyokong transit gateway untuk SKU VPN Gateway selain Basic, dan peering serantau serta global kedua-duanya boleh membawanya. Spoke menggunakan gateway yang bukan miliknya, jadi ia tidak boleh mempunyai gateway sendiri: jika sudah ada gateway di spoke, atau pilihan gateway jauh sudah dipilih, tetapan transit yang anda mahu akan tidak tersedia atau tidak berkesan. Periksa perkara itu sebelum menyahpepijat apa-apa, kerana kotak semak yang dilumpuhkan ialah simptom, bukan kesalahan. Baca SKU dan gateway sedia ada dahulu, kemudian lihat tetapan peering.

Jangan padam gateway spoke sedia ada untuk memunculkan pilihan itu sehingga anda tahu apa yang bergantung padanya. Urutan migrasi lebih penting daripada kotak semak.

Syarat kedua: satu tetapan dalam setiap arah peering

Peering ialah dua objek, satu pada setiap VNet, dan tetapan transit berada di sisi berbeza pasangan itu. Peering hub ke arah spoke mesti membenarkan gateway hub melayani spoke; peering spoke ke arah hub mesti menerima gateway hub. panduan transit gateway Microsoft menamakannya mengikut arah, dan itulah satu-satunya cara untuk mengekalkannya betul:

Kawalan berlabel remote berubah makna bergantung pada peering VNet mana yang anda edit, jadi baca arahnya, bukan perkataannya. Tetapkan kedua-dua belah, simpan dan sahkan bahawa peering melaporkan bersambung di kedua-dua tempat.

Syarat ketiga: ruang alamat dan sempadan kebenaran

Transit tidak boleh menjadikan awalan destinasi yang sama bermaksud dua rangkaian, jadi julat hub, spoke dan rangkaian tempatan mesti terpisah sebelum apa-apa daripada ini berfungsi. VNet juga mungkin berada dalam langganan atau penyewa berbeza; itu bukan larangan, tetapi identiti yang mencipta atau mengemas kini setiap peering memerlukan kebenaran yang diperlukan pada rangkaian itu. Perubahan merentas langganan sering gagal pada kebenaran, dan ralat itu mudah disalahtafsir sebagai masalah topologi.

Tuliskan julat dan pemiliknya sebelum perubahan. Meneka mana-mana satu daripadanya menghasilkan peering yang bersambung dan tidak menghalakan apa-apa.

Sahkan dengan laluan berkesan, bukan dengan status peering

Lihat laluan berkesan pada antara muka rangkaian beban kerja spoke dan cari awalan rangkaian tempatan yang sebenar. Periksa jadual laluan subnet dan sama ada penyebaran laluan gateway dilumpuhkan, kerana laluan yang ditentukan pengguna atau perkakas pemeriksaan boleh mengatasi laluan yang dicadangkan oleh bendera peering. Kemudian sahkan arah sebaliknya: rangkaian tempatan mesti tahu cara mencapai awalan spoke melalui sambungan site-to-site, sama ada melalui iklan yang dipelajari atau melalui laluan eksplisit dan entri rangkaian terlindung yang sepadan pada peranti pelanggan. Jika awalan tiada pada mana-mana sisi, bendera peering bukanlah perkara yang perlu diubah.

Uji satu perkhidmatan daripada beban kerja spoke dan ikuti balasannya. Ujian dari gateway VPN atau dari VM hub menggunakan awalan sumber dan laluan yang berbeza.

Jika topologi turut melayani klien point-to-site, sahkan laluan terpasang mereka secara berasingan. Pakej klien Windows mungkin perlu dijana semula selepas perubahan topologi, dan itu tugas penghalaan klien, bukan bukti bahawa perkongsian gateway gagal.

Apa yang tidak diberikan oleh perkongsian gateway

Transit gateway ialah kemudahan penghalaan, bukan kebenaran. Kumpulan keselamatan rangkaian, penapis tempatan dan peraturan peringkat perkhidmatan masih menentukan apa yang boleh dicapai oleh beban kerja spoke, jadi dayakan perkhidmatan sumber-ke-destinasi yang khusus dan bukannya menganggap terowong kongsi membenarkan segala-galanya di belakangnya.

Peering juga tidak bersifat transitif seperti yang diharapkan orang. Menambah spoke lain, atau titik akhir persendirian, memperkenalkan keperluan penghalaan dan aksesnya sendiri yang tidak diliputi oleh tetapan transit sedia ada.