Dua alamat VPN tempatan: dua rakan sebaya Azure, bukan satu

Gambar rajah mempunyai dua pautan internet di cawangan dan satu get laluan VPN Azure, jadi get laluan rangkaian tempatan menerima kedua-dua alamat awam. Ia kelihatan kemas, dan ia tidak berfungsi seperti yang dimaksudkan oleh gambar rajah. Setiap peranti VPN tempatan ialah hubungan rakan sebaya yang berasingan, dan reka bentuk berbilang peranti Microsoft memberikan setiap satu sumber get laluan rangkaian tempatan dan sambungannya sendiri. Menambah alamat kedua pada satu sumber tidak mencipta rakan sebaya kedua. Ia mencipta sumber yang tidak menerangkan mana-mana peranti dengan betul.

Mitos: satu get laluan, dua alamat

Get laluan rangkaian tempatan ialah penerangan rakan sebaya jauh: satu titik akhir awam dan awalan peribadi di belakangnya. Tiada cara yang disokong untuk menjadikan sumber itu bermaksud «mana-mana satu daripada dua perkakas ini».

Kekeliruan yang sama berlaku dalam arah bertentangan, di mana dua IP awam Azure dibaca sebagai bukti bahawa dua get laluan Azure wujud.

Kira objek, kemudian kira terowong

Ambil dua peranti tempatan yang dikendalikan secara bebas, setiap satu dengan alamat awamnya sendiri dan akses kepada rangkaian peribadi yang sama, tambah satu get laluan Azure berasaskan laluan dalam mod aktif-aktif. Get laluan Azure mempunyai dua contoh aktif dengan IP awam berasingan. Setiap peranti tempatan menyambung ke kedua-dua contoh. Itulah jaringan penuh, dan bilangan objek mengikut daripadanya, bukan daripada gambar rajah.

Aritmetik itu cukup pendek untuk ditampal ke dalam dokumen reka bentuk:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Satu sumber sambungan boleh membawa lebih daripada satu terowong asas, jadi empat terowong tidak bermakna empat get laluan rangkaian maya. Dua IP awam Azure juga bukan objek yang sama dengan dua get laluan rangkaian tempatan yang menerangkan tapak jauh.

Apa yang ditambah oleh aktif-aktif di sebelah Azure

Aktif-aktif menukar get laluan Azure daripada satu contoh aktif kepada dua, masing-masing dengan IP awamnya sendiri, dan itulah yang menjadikan jaringan penuh mungkin. Ia tidak menggandakan daya pemprosesan satu aliran. Ia juga tidak menghapuskan keperluan sebelah tempatan menyokong berbilang laluan kos sama jika kedua-dua peranti memajukan serentak. Sahkan mod get laluan, SKU dan keupayaan peranti jauh sebelum menyediakan apa-apa.

Get laluan dalam siap sedia pasif ialah reka bentuk yang sah sepenuhnya; ia hanya menghasilkan bilangan terowong yang berbeza.

BGP menjadikan kedua-dua laluan boleh digunakan

Untuk reka bentuk berbilang peranti, kedua-dua peranti tempatan menjalankan BGP. Beri setiap satu alamat rakan sebaya BGP yang unik dan iklankan awalan peribadi yang dimaksudkan yang sama merentas laluan yang berkaitan. Awalan peribadi mengenal pasti rangkaian yang dilindungi, manakala alamat awam mengenal pasti tempat sambungan pembawa disulitkan berakhir. Mencampurkan kedua-duanya menghasilkan reka bentuk di mana setiap terowong aktif dan laluannya salah.

Rancang penghalaan balik dan sebarang pemeriksaan stateful yang mesti menahan mana-mana satu daripada dua laluan. Sesi IKE yang sihat pada setiap titik akhir tidak membuktikan bahawa beban kerja boleh menggunakan setiap laluan yang diiklankan.

Pemilihan berasaskan aliran bukan pengumpulan lebar jalur

Azure memilih laluan setiap aliran menggunakan cincangan atas pengalamatan dan port aliran. Dalam keadaan mantap, paket bagi aliran TCP atau UDP tertentu biasanya mengambil terowong yang sama, dan sebelah tempatan boleh memilih terowong lain untuk arah balik. Oleh itu dua peranti dan empat terowong meningkatkan ketersediaan, bukan kelajuan satu pemindahan. Apabila slaid vendor menjanjikan pengagregatan, ia menerangkan ciri lain atau salah faham.

Uji dengan aliran selari jika anda ingin melihat laluan tersebar, dan dengan satu aliran jika anda ingin melihat hadnya.

Redundansi apa yang sebenarnya anda keluarkan

Dua alamat WAN pada satu perkakas meningkatkan pilihan pautan akses sambil berkongsi kuasa, perisian dan keadaan kegagalan perkakas itu. Ia bukan sama seperti dua peranti, dan tiada konfigurasi di sebelah Azure mengubahnya. Ikut reka bentuk dua WAN atau kelompok yang disokong vendor dan bukannya menyimpulkan redundansi daripada bilangan alamat. Kemudian ujinya: keluarkan satu laluan pada satu masa dan sahkan laluan yang tinggal serta pertukaran aplikasi sebenar dalam kedua-dua arah.

Jangkakan kelewatan pengesanan dan penumpuan, dan jangkakan beberapa sesi sedia ada akan tamat.