VPN sit għal sit minn AWS għal Azure: l-ewwel ikteb ir-rotta tar-ritorn
Tunnel konness bejn żewġ clouds ma jipprova xejn sakemm kull subnetwork ta’ xogħol iddawwar lejn il-prefiss imbiegħed. Mexxi l-pjan fl-ordni, imbagħad ittestja s-servizz.
It-tunnel se jitla’. Normalment hekk jiġri, għax IKE jeħtieġ biss proposti li jaqblu u indirizz ta’ sħab li jista’ jintlaħaq. Dak li jfalli wara huwa r-rotta tar-ritorn: ix-xogħol f’AWS jibgħat pakketti fit-tunnel, imma xejn fuq in-naħa ta’ Azure ma jaf kif iwieġeb għal 10.10.0.0/16, jew ir-rotta ta’ Azure tinsab f’tabella li s-subnetwork tax-xogħol ma jużax. Ikteb il-pjan tar-rotot qabel ma tmiss ebda console, u t-tunnel isir l-inqas parti interessanti tax-xogħol.
Pass 1: iffriża l-pjan tal-indirizzi
Aħdem b’valuri konkreti. Xogħol f’AWS jinsab fuq 10.10.1.20 ġewwa 10.10.0.0/16 u jeħtieġ TCP 443 lejn servizz ta’ Azure fuq 10.20.1.30 ġewwa 10.20.0.0/16. Iż-żewġ meded ma jistgħux jikkoinċidu, u t-test ta’ aċċettazzjoni huwa l-par tas-servizzi, mhux it-tunnel.
Ikteb dawn l-erba’ fatti qabel kull ħaġa oħra, għax kull pass sussegwenti jiġi vverifikat kontrihom.
Pass 2: semmi l-gateway li jippossjedi kull tarf
AWS Site-to-Site VPN jista’ jispiċċa fuq virtual private gateway jew fuq transit gateway, u dawn huma sidien differenti tar-routing. Azure joffri l-VPN Gateway maniġġjat tiegħu u, separatament, apparati bbażati fuq VM li l-klijenti jmexxu huma stess. Irreġistra liema par għandek, għax il-qabża li jmiss hija differenti f’kull kombinazzjoni.
Għal gateway maniġġjat, tikkupjax rotta li tindika lejn indirizz maħsub ta’ apparat privat. Għal apparat, tassumix li l-propagazzjoni tar-rotot fil-cloud tikkonfigura s-sistema operattiva tal-mistieden, għax ma tagħmilx hekk.
Żball hawn jipproduċi pjan li jidher sħiħ u jibgħat pakketti lejn indirizz li qatt ma jwieġeb.
Pass 3: ikteb ir-rotta li kull xogħol tassew juża
Kull konfini hawn taħt hija tfittxija separata, u rotta f’waħda minnhom mhix rotta għall-pakkett. Imla t-tabella bil-valuri tiegħek qabel ma t-tunnel jidħol fis-servizz.
| Boundary | Must reach | Owner to inspect |
|---|---|---|
| AWS workload subnet | 10.20.0.0/16 | the subnet's VPC route table |
| AWS transit gateway, if used | 10.20.0.0/16 via the VPN attachment | the table associated with that attachment |
| Azure workload subnet | 10.10.0.0/16 | effective routes on the NIC, whatever their source |
| VPN scope | both prefixes, agreed | static connection ranges or BGP advertisements |
F’AWS, it-tabella tar-rotot tas-subnetwork tax-xogħol hija tiegħek biex taġġornaha anki wara li BGP jew tunnel ikunu b’saħħithom; il-ħarsa ġenerali tar-routing tqisha parti mill-konnessjoni. F’Azure, tabella ta’ rotot definiti mill-utent tiġi assoċjata ma’ subnetwork minflok man-network virtwali, għalhekk iċċekkja r-rotta effettiva fuq in-NIC tax-xogħol u mhux fil-blade tal-VNet.
Gateway Azure maniġġjat jista’ jitgħallem il-prefiss imbiegħed permezz tal-propagazzjoni tal-gateway, u UDR tista’ tannulla dik id-deċiżjoni. Żid l-UDR meta jkollok raġuni, mhux b’rifless. Jekk iżżid waħda, indikaha lejn il-qabża li jmiss li l-gateway tippubblika għall-passaġġ tal-VPN minflok toħloq indirizz ta’ apparat. Imbagħad erġa’ aqra r-rotot effettivi fuq in-NIC, għax hemmhekk tinħoloq id-deċiżjoni tassew.
Pass 4: irrikonċilja l-ambitu
Għal BGP, qabbel dak li tħabbar kull naħa ma’ dak li t-tarf l-ieħor tassew tgħallem, prefiss b’prefiss. Għal routing statiku, qabbel il-meded imbiegħda konfigurati mar-rotot tax-xogħol li ktibt fil-pass 3.
Relazzjoni IKE li taqbel dwar il-kriptografija mhix prova li xi naħa tgħallmet 10.10.0.0/16 jew 10.20.0.0/16. Żewġ tunnels jistgħu jkunu ’l fuq waqt li naħa waħda tħabbar /24 wieħed biss minflok il-/16 li ppjanajt. Iċċekkja l-prefiss fit-tabella tar-routing, mhux fl-istat tat-tunnel. In-nuqqas ta’ qbil jidher aktar tard bħala subnetwork wieħed li jaħdem u ieħor li qatt ma jwieġeb.
Pass 5: ittestja s-servizz, mis-sors veru
Ippermetti l-fluss maħsub fil-gruppi tas-sigurtà u l-ACLs tan-network ta’ AWS, fin-NSGs ta’ Azure u fi kwalunkwe filtru ta’ apparat fil-passaġġ. Imbagħad iftaħ konnessjoni waħda minn 10.10.1.20 lejn l-indirizz u l-port approvati tas-servizz u kkonferma li t-tweġiba tirritorna lejn l-istess sors.
Kemm il-gruppi tas-sigurtà tal-cloud kif ukoll in-NSGs huma stateful, għalhekk pakkett ta’ ritorn miċħud huwa sintomu ta’ routing, mhux regola li nsejt tikteb bil-maqlub.
Ping minn kwalunkwe gateway ma jiddeċiedi xejn. ICMP lejn indirizz ta’ gateway iħarreġ il-passaġġ tal-pjan ta’ kontroll, mhux is-servizz TCP imbagħat li jeħtieġ ix-xogħol.
Rollback u rekords
Irreġistra s-sidien tar-rotot ħdejn l-identifikaturi tat-tunnel, u żomm it-tabelli tar-rotot ta’ qabel il-bidla. Jekk il-bidla trid tinħareġ, neħħi r-rotot tax-xogħol qabel ma tkisser it-tunnel, sabiex ebda subnetwork ma jibqa’ jindika lejn qabża li ma għadhiex teżisti.
Imbagħad trasferiment aktar tard ta’ subnetwork jew konnessjoni spoke ikollu post wieħed definit fejn jiġi aġġornat, minflok tunnel li jaħdem u jġorr il-ħtija għal rotta li qatt ma kienet tiegħu.