Mengapa point-to-site memerlukan gateway Azure VPN berasaskan laluan

Gateway berasaskan dasar membina tunnel IPsec yang dipilih oleh pemilih trafik, dan ia tiada antara muka untuk menyerahkan laluan klien. Sambungan point-to-site ialah ciri penghalaan: gateway memiliki kumpulan alamat klien dan memasang laluan ke klien tersebut dalam rangkaian maya. Ketidakpadanan itulah sebabnya portal tidak menunjukkan sebarang pilihan untuk menambahnya. Tiada apa-apa pada gateway sedia ada boleh ditogol untuk menghasilkan antara muka itu, jadi perubahan itu ialah penggantian dan bukan suntingan konfigurasi.

Susunan lebih penting daripada langkah individu. Jika urutan salah, gangguan site-to-site akan melepasi tetingkap penyelenggaraan.

Apa yang sebenarnya dilakukan gateway berasaskan dasar

Gateway berasaskan dasar memadankan paket dengan pemilih trafik yang dikonfigurasikan pada sambungan dan menghantar padanan ke satu tunnel. Tiada antara muka tunnel dengan alamat, dan tiada laluan setiap klien muncul di mana-mana dalam rangkaian maya. Jadual laluan hanya menerima awalan tempatan yang menunjuk ke gateway. Model itu mencukupi untuk sambungan site-to-site antara dua ruang alamat tetap.

Gateway berasaskan laluan berfungsi sebaliknya: ia menyediakan antara muka tunnel, dan laluan menentukan apa yang masuk ke dalamnya. Point-to-site, dan mana-mana reka bentuk yang set rakan sejawatnya berubah, bergantung pada kewujudan antara muka itu.

Mengapa kumpulan klien memerlukan antara muka itu

Apabila komputer riba bersambung, gateway memberinya alamat daripada kumpulan point-to-site. Rangkaian maya kemudian memerlukan laluan yang menyatakan alamat ini boleh dicapai melalui gateway. Tanpa antara muka tunnel tiada apa-apa untuk melampirkan laluan itu.

Kumpulan itu datang daripada julat yang anda tetapkan, dan gateway memperuntukkan daripadanya. Jika julat itu bertindih dengan rangkaian tempatan atau rangkaian maya yang di-peer, konflik hanya muncul selepas klien bersambung, yang merupakan masa yang buruk untuk menemukannya. Tempah kumpulan itu sebelum migrasi bermula.

Jenis juga bukan tetapan setiap sambungan. Satu gateway mempunyai satu jenis, dan setiap sambungan yang dipegangnya berkelakuan mengikutnya, jadi reka bentuk bercampur memerlukan gateway kedua, bukan sambungan kedua.

Jenis ditetapkan semasa penciptaan

Microsoft menyatakan bahawa gateway rangkaian maya tidak boleh ditukar antara berasaskan dasar dan berasaskan laluan selepas penggunaan. Tiada arahan penukaran dan tiada togol di portal. Mencipta gateway kedua dalam subnet yang sama juga bukan jalan pintas, kerana Azure membenarkan satu gateway setiap rangkaian maya. Oleh itu migrasi ialah buang, bina semula, sambung semula.

Itu juga memasukkan keputusan SKU ke dalam pembinaan yang sama. Berpindah ke SKU yang lebih besar kemudian ialah penggantian gateway lain dengan gangguan lain.

Satu gateway, satu GatewaySubnet

Gateway tinggal dalam subnet bernama GatewaySubnet, dan hanya satu gateway mendudukinya. Menentukan saiz subnet itu adalah sebahagian daripada persediaan, kerana SKU yang lebih besar memerlukan lebih banyak alamat dan subnet tidak boleh dikecilkan selepas itu. Catat tetapan site-to-site semasa, kunci kongsi, gateway rangkaian tempatan dan laluan berkesan sebelum menyentuh apa-apa. Kemudian anggap tetingkap itu sebagai gangguan, kerana tunnel site-to-site kekal tidak aktif sehingga sambungan baharu dikonfigurasikan.

Susunan pembinaan semula yang mengekalkan gangguan terbatas: cipta gateway berasaskan laluan, cipta semula sambungan site-to-site ke gateway rangkaian tempatan yang sama, sahkan tunnel dan satu permintaan hos ke hos, dan hanya kemudian tambah point-to-site dan jana pakej klien baharu.

Apa yang tidak diperbaiki oleh penggantian

Had kedua milik rakan sejawat dan bukan Azure. Peranti tempatan berasaskan dasar hanya boleh mencapai rangkaian maya yang disambungnya, dan tidak boleh transit ke rangkaian tempatan lain atau rangkaian maya lain melalui gateway yang sama. Menggantikan bahagian Azure tidak mengubah apa yang boleh dipilih oleh rakan sejawat.

Jika keperluan itu benar-benar transit antara tapak, jawapannya ialah peranti rakan sejawat berasaskan laluan atau topologi di mana setiap destinasi tamat secara berasingan. Selesaikan itu sebelum menjanjikan tarikh, kerana penggantian gateway sahaja tidak akan menyediakannya.

Susunan operasi dan pemeriksaan

Sahkan setiap keupayaan secara berasingan. Pertama status tunnel site-to-site dan satu permintaan hos ke hos, kemudian sambungan point-to-site dan satu sumber peribadi, kemudian mana-mana laluan transit yang didakwa oleh reka bentuk. Status gateway hijau hanya membuktikan bahawa persatuan keselamatan naik, tidak lebih. Kekalkan pemeriksaan dalam susunan itu supaya kegagalan menunjuk ke peringkat yang memperkenalkannya.

Jana semula pakej klien selepas sebarang perubahan topologi, dan jauhkan kumpulan itu daripada setiap julat tempatan dan yang di-peer. Kekangan dan perbezaan SKU dikumpulkan dalam rujukan tetapan Azure VPN Gateway.