Spezzjoni NVA f’Azure: għaliex it-tweġiba tgħaddi minn firewall ieħor

Fluss mill-fergħa lejn Azure jista’ jiġi rrotat b’mod korrett fiż-żewġ direzzjonijiet u xorta jfalli, għax iż-żewġ direzzjonijiet jgħaddu minn apparati differenti. It-talba titlaq mill-fergħa fuq il-VPN, tinżel fuq NVA A u tilħaq ix-xogħol. It-tweġiba titlaq mix-xogħol, taqbel ma’ rotta li tipponta lejn NVA B u tmut hemm. Kull rotta f’dik l-istampa hija valida, u s-sessjoni TCP xorta hija miksur.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Dik il-lakuna hija s-suġġett kollu hawn: il-konverġenza tar-routing u s-sjieda tal-istat tas-sessjoni huma problemi differenti li f’dijagramma jidhru l-istess.

X’jipprogramma Route Server fil-verità

Azure Route Server jagħmel peering ma’ kelliema BGP appoġġjati, jitgħallem ir-rotot tagħhom u jipprogrammahom fir-rotot effettivi tan-netwerk virtwali. Dan huwa xogħol tal-pjan ta’ kontroll. Ma jaqrax it-tabella tas-sessjonijiet ta’ firewall tal-bejjiegħ, u ma jafx liema apparat ammetta konnessjoni partikolari. Żewġ hops li jmiss ta’ kost ugwali huma, għal din it-tessut, sempliċement żewġ modi kif tasal għall-istess prefiss, u se juża jew wieħed jew l-ieħor.

Għalhekk it-tagħlim ta’ rotta jipprova l-aċċessibilità. Ma jipprova xejn dwar jekk l-apparat fit-tarf l-ieħor rax dan il-fluss qabel.

Aqra ż-żewġ direzzjonijiet qabel ma tiddisinja

Ibda billi tikteb l-istering li fil-fatt għandek f’kull direzzjoni, mhux dik li kellek f’moħħok. Rotot BGP aktar speċifiċi, rotot definiti mill-utent u mġiba tal-gateway kollha jikkompetu, u r-rebbieħ jiġi deċiż għal kull destinazzjoni, mhux għal kull sessjoni. Rotta default fuq NVA ma tfissirx li kull prefiss privat jgħaddi minnha.

Verifika utli hija li tistaqsi, għal IP speċifika tax-xogħol, liema hop li jmiss tiddetermina kull direzzjoni. Jekk it-tweġiba hija żewġ apparati differenti, għandek problema ta’ asimmetrija kemm jekk diġà ffaċċjat kif ukoll jekk le.

Fejn tgħix l-istat

Firewall stateful jammetti konnessjoni u jżomm entrata tat-tabella b’ċavetta fuq il-ħames-tuple. It-tweġiba trid tasal għall-apparat li jżomm dik l-entrata, jew dak l-apparat irid jikseb l-istat b’mod ieħor. Xejn fil-pjan tad-dejta ta’ Azure ma jibgħat l-entrata bejn l-apparati. Jew it-traffiku jiġi dirett lura lejn is-sid, jew l-apparati jaqsmu l-istat permezz ta’ mekkaniżmu tal-bejjiegħ, jew id-disinn ma jaħdimx.

Għalhekk żewġ NVA b’saħħithom mhumiex verifika tas-saħħa għall-ispezzjoni. Is-saħħa hija dwar l-aċċessibilità; l-ispezzjoni hija dwar liema istanza żżomm is-sessjoni.

Mudelli HA appoġġjati u x’jiggarantixxi kull wieħed

Microsoft's guidance on il-ħsieb tar-routing ta’ Virtual WAN tiddeskrivi mġiba limitata għall-konnettività b’doppju rwol u NVA tal-firewall, fejn ir-routing dirett jista’ jaqbeż l-infurzar simmetriku normali tal-hub. Aqra dawk in-noti bħala restrizzjonijiet fuq it-topoloġija li għażilt, mhux bħala projbizzjoni fuq disinji attivi-attivi. Par tal-bejjiegħ li jissinkronizza l-istat, jew li jidderieġi għal kull fluss, jista’ jiġi appoġġjat. Par ta’ kost ugwali li ma jagħmel xejn minn dawn mhuwiex.

Imbagħad iddefinixxi x’jiġri mis-sessjonijiet eżistenti meta node jfalli. Il-konverġenza tar-rotot terġa’ tistabbilixxi l-aċċessibilità għal flussi ġodda fi ftit sekondi, filwaqt li l-istat antik tal-firewall sempliċement jisparixxi. Erġa’ konnessjoni tal-klijent tista’ tkun ir-riżultat dokumentat, u din hija deċiżjoni li tittieħed qabel l-inċident, mhux waqt.

X’għandek tittestja qabel ma tafda fih

Test with inspection enabled and il-politika ta’ aċċess tax-xogħol f’postha, għax wieħed minnhom jista’ jaħbi l-asimmetrija. Ibgħat fluss awtorizzat ġdid fiż-żewġ direzzjonijiet u kkonferma li l-istess apparat ra ż-żewġ nofsijiet. Imbagħad mexxi traffiku sostnut u attiva l-failover approvat, filwaqt li tosserva jekk is-sessjonijiet stabbiliti jibqgħux ħajjin jew jerġgħu jikkonnettjaw.

Ikkorrela kull fluss mal-apparat li ttrattah. Qbid ta’ pakketti fuq NVA waħda kważi ma jgħidlek xejn jekk it-tweġiba qatt ma rritornat hemm.

Fl-aħħar, ikteb il-pjan bħala tliet linji separati: sjieda tar-rotot, istering tat-traffiku u sjieda tal-istat tas-sessjoni. Id-disinji jinkisru meta l-ewwel tnejn ikunu solvuti u t-tielet jiġi preżunt.