Menghalakan trafik antara dua cawangan melalui gateway VPN Azure
Dua sambungan Site-to-Site pada satu gateway VPN Azure boleh melalukan trafik cawangan, tetapi hanya apabila kedua-dua hujung mempelajari awalan dan laluan balik LAN wujud.
Dua cawangan boleh bertukar trafik melalui gateway VPN Azure tanpa sebarang terowong langsung antara mereka. Setiap cawangan membuka sambungan Site-to-Site ke gateway yang sama, dan gateway menyalurkan awalan yang dipelajari antara kedua-dua sambungan. Yang menjadikannya berfungsi bukan terowong kedua, tetapi pertukaran laluan: cawangan A perlu mempelajari awalan cawangan B, dan B perlu mempelajari awalan A. Lalui semakan di bawah mengikut urutan dan berhenti pada semakan pertama yang gagal, kerana setiap langkah seterusnya bergantung padanya.
Prasyarat, sebelum anda mengkonfigurasi apa-apa
Empat syarat menentukan sama ada reka bentuk ini boleh berfungsi langsung. Gateway mesti berasaskan laluan dan pada SKU yang menyokong BGP, kedua-dua sambungan mesti mempunyai BGP diaktifkan, ruang alamat cawangan tidak boleh bertindih, dan tiada pihak boleh bergantung pada NAT untuk menyembunyikan awalan sebenar.
Rancang ASN dengan sengaja. Nilai lalai berdokumen Azure ialah 65515, dan setiap penghala cawangan memerlukan ASN peribadinya sendiri yang tidak bertembung dengan gateway atau cawangan lain. Menggunakan semula nilai lalai tanpa memeriksa konfigurasi gateway sedia ada ialah cara sesuatu laluan AS ditolak kemudian.
Pastikan juga anda tidak mengharapkan tingkah laku peering VNet. Gateway menukar laluan antara dua sambungan yang anda konfigurasi; ia tidak menjadikan peering sewenang-wenangnya transitif. Jika rangkaian ketiga perlu mencapai kedua-dua cawangan, ia memerlukan sambungannya sendiri atau laluan sendiri, bukan andaian bahawa gateway akan menyebarkan trafik. Catat sempadan itu sebelum tetingkap perubahan pertama, kerana itulah keputusan reka bentuk yang orang ramai kembali apabila tapak kemudian ditambah.
Konfigurasi mengikut urutan ini
Setiap langkah mempunyai hasil yang boleh diperhatikan, jadi jangan teruskan sehingga ia muncul.
- Dayakan BGP pada gateway rangkaian maya dan catat ASN serta alamat peer-nya.
- Cipta gateway rangkaian setempat bagi setiap cawangan dengan ruang alamat sebenar cawangan itu, ASN-nya dan alamat peer BGP-nya.
- Cipta setiap sambungan Site-to-Site dan dayakan BGP pada sambungan itu sendiri.
- Konfigurasi penghala cawangan untuk melakukan peering dengan alamat gateway yang diberikan Azure, bukan dengan titik akhir IKE awam gateway berdasarkan andaian.
Langkah keempat ialah tempat kebanyakan percubaan tersekat. Alamat peer BGP yang dilaporkan Azure ialah alamat yang penghala cawangan mesti gunakan sebagai jiran, dan ia tidak selalu alamat yang orang jangka daripada rajah terowong.
Umumkan awalan cawangan itu sendiri, contohnya 10.10.0.0/16 dari A dan 10.20.0.0/16 dari B. Jangan umumkan laluan lalai atau agregat luas untuk menutup rangkaian tertentu yang hilang; jurang itu kembali kemudian sebagai lubang hitam senyap.
Sahkan pertukaran laluan di kedua-dua hujung
Status sambungan bukanlah semakannya. IPsec boleh berada di kedua-dua sambungan sementara tiada awalan melintas antara mereka. Baca peer BGP gateway dan laluan yang dipelajarinya, kemudian sahkan bahawa laluan ke cawangan lain muncul sebagai laluan yang boleh digunakan.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Awalan yang hadir dalam jadual BGP masih boleh kalah dalam keputusan penghantaran kepada laluan statik atau awalan yang lebih khusus. Semak laluan yang dipilih, bukan hanya yang diterima.
Ikuti laluan balik di sebelah LAN
Inilah bahagian yang kelihatan betul dalam Azure dan gagal di tapak. Hos dalam cawangan A menghantar paketnya ke penghala VPN A hanya jika penghala itu ialah gateway lalainya, atau jika hos atau gatewaynya mempunyai laluan untuk awalan B. Perkara yang sama mesti benar dalam arah bertentangan.
Jika suis teras berasingan ialah gateway lalai LAN, ia memerlukan laluan ke cawangan lain yang menunjuk ke penghala VPN. Tanpanya permintaan tiba dan balasan keluar melalui laluan internet, dan pengguna melihat sambungan yang terbuka dan kemudian tergantung.
Jangan berpaling kepada kumpulan keselamatan rangkaian pada subnet gateway untuk membetulkannya. Subnet itu mempunyai keperluannya sendiri dan NSG di situ bukan pengganti yang disokong untuk dasar sebelah cawangan. Penapisan terletak pada tembok api cawangan dan pada beban kerja itu sendiri, tempat peraturan boleh disemak oleh pemiliknya. Memindahkan peraturan itu ke NSG subnet juga menyembunyikannya daripada pasukan yang akan menyahpepijat gangguan seterusnya.
Benarkan operasi, kemudian buktikannya dengan ujian yang ditolak
Laluan yang dipelajari bukan kebenaran. Benarkan sumber, destinasi dan perkhidmatan yang anda benar-benar perlukan melalui tembok api cawangan dan dasar titik akhir, dan biarkan yang lain ditolak.
Uji daripada beban kerja biasa dalam cawangan A ke perkhidmatan sebenar dalam cawangan B, sahkan balasannya, kemudian cuba operasi yang sepatutnya kekal dilarang. Trafik yang dijana oleh perkakas VPN itu sendiri boleh menggunakan alamat sumber berbeza dan melangkau peringkat penghalakan LAN, jadi ping yang berjaya dari penghala membuktikan kurang daripada yang kelihatan.
Akhiri dengan menulis empat fakta: awalan yang dipertukarkan, ASN yang digunakan, laluan balik LAN bagi setiap pihak dan dasar yang membenarkan perkhidmatan. Jika salah satu tiada, persediaan berfungsi sehingga perubahan pertama, dan kemudian tiada siapa boleh menjelaskan mengapa.