Peering ta' Azure jew VPN minn VNet għal VNet? Iddeċiedi qabel ir-routing

Azure jagħtik mill-inqas żewġ modi kif tgħaqqad żewġ netwerks virtwali, u mhumiex settijiet li jistgħu jinbidlu fuq l-istess oġġett. Il-peering jgħaqqad il-VNets fuq il-backbone ta' Microsoft mingħajr gateway; VPN minn VNet għal VNet ipoġġi relazzjoni IPsec bejn żewġ gateways li inti tiskjera, tagħti l-qies u timmonitorja. Id-deċiżjoni tinżel għal tliet kundizzjonijiet, u jekk ma tistax twieġeb it-tlieta qabel iżżid rotta, inti se tibni triq alternattiva għal mudell li qatt ma għażilt.

Tliet kundizzjonijiet li jiddeċiedu l-mudell

L-ewwel hija jekk xi ħaġa fir-rekwiżit għandhiex bżonn fruntiera IPsec li hija tiegħek u li tista' tindika lejha. It-tieni hija jekk l-ispazji tal-indirizzi humiex nodfa u ż-żewġ VNets għandhomx biss jitkellmu ma' xulxin. It-tielet hija min għandu kwalunkwe rotta transitu u l-kont tal-gateway. Wieġeb f'dan l-ordni, għax l-ewwel waħda tista' telimina l-peering kemm ikun attraenti t-tieni.

Dak li għandhom komuni ż-żewġ mudelli hija regola iebsa ta' indirizzar: l-ispazji tal-indirizzi tal-VNet ma jistgħux jikkoinċidu. La l-peering u lanqas VPN minn VNet għal VNet mhumiex mod sostnut biex żewġ firxiet identiċi jsiru mhux ambigwi, u l-koinċidenza teħtieġ disinn ta' mappatura jew disinn mill-ġdid, mhux tip ta' konnessjoni differenti.

Kundizzjoni 1: għandek bżonn fruntiera IPsec li hija tiegħek?

Il-peering iġorr it-traffiku fuq il-backbone privat ta' Azure u ma jeħtieġx gateway VPN għall-konnessjoni peered stess. Dik hija dikjarazzjoni dwar it-trasport, mhux dikjarazzjoni dwar l-encryption li tista' tagħti lil awditur bħala «aħna nħaddmu IPsec». Jekk ir-rekwiżit isemmi tunnel konfigurat mill-klijent, politika IKE speċifika jew fruntiera li tintemm fuq tagħmir li inti tikkontrolla, il-peering ma jissodisfahiex, kemm ikun privat il-backbone.

VPN minn VNet għal VNet jipprovdi dik il-fruntiera: żewġ gateways, relazzjoni IPsec/IKE, ċwievet maqsuma u l-wiċċ operattiv kollu li jiġi miegħu. Inti wiret l-istat tat-tunnel, il-kapaċità tal-gateway, il-limiti tal-SKU u l-monitoraġġ li jipprova li t-tunnel huwa ħaj. Dik hija t-tweġiba t-tajba meta r-rekwiżit ikun speċifikament dwar dik il-fruntiera, deskritta fil-ħarsa ġenerali tal-peering bħala tip ta' konnessjoni distint mill-peering.

Kun daqstant attent fid-direzzjoni l-oħra. «Għandna bżonn encryption bejn il-VNets» spiss jiġi ssodisfat mit-TLS tax-xogħol stess, u mbagħad gateway huwa spiża mingħajr rekwiżit warajh. Ikteb is-sentenza li se jaqra l-awditur qabel ma tagħżel il-mekkaniżmu.

Kundizzjoni 2: it-topoloġija hija diretta, jew xi ħaġa trid tgħaddi?

Il-peering mhuwiex transitu. Żewġ VNets peered lejn hub mhumiex b'dan konnessi ma' xulxin, u rotta li tidher taħdem f'direzzjoni waħda normalment hija peering li wasal għal Connected fuq naħa waħda biss. Iż-żewġ naħat iridu jkunu hemm u t-tnejn iridu juru Connected, u dik hija l-ewwel ħaġa li tiċċekkja meta t-traffiku jisparixxi bil-kwiet.

Jekk ir-rekwiżit huwa li tasal għan-netwerk lokali permezz ta' hub, it-transitu tal-gateway huwa disinn separat b'rwoli speċifiċi: il-hub għandu l-gateway, il-peering tal-spoke jippermetti t-transitu tal-gateway, u l-spoke irid jippermetti t-traffiku mgħoddi. Dawn huma proprjetajiet fuq il-peering, mhux konsegwenzi awtomatiċi tal-konnessjoni tal-VNets:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

It-tabella tar-rotot effettiva hija t-tweġiba onesta għal «l-mogħdija teżisti?». Turi t-tip tal-hop li jmiss li l-pjattaforma se tuża tassew, għalhekk peering li jidher konfigurat imma mhux konness jidher bħala rotta nieqsa jew ħażina u mhux bħala misteru.

Kundizzjoni 3: min għandu l-mogħdija transitu u l-kont?

Kull hop addizzjonali għandu sid. Bil-peering, VNet ġdida tfisser par peering ġdid fuq iż-żewġ naħat u, għat-transitu, hub li jkompli jgħaddi traffiku u tabella tar-rotot li tkompli tindika lejh. Bil-VPN, VNet ġdida tfisser gateway ieħor jew konnessjoni oħra fuq wieħed eżistenti, bil-limitu tal-kapaċità tiegħu stess x'jissaq.

L-ispiża ssegwi l-istess forma imma mhux l-istess linji: il-ħlasijiet tal-peering huma konnessjoni u trasferiment tad-data, filwaqt li VPN iżid sigħat tal-gateway u l-ħlasijiet tat-trasferiment tiegħu stess. Qabbel it-total għat-topoloġija li tassew se tħaddem għal sena, inkluż it-tieni tunnel u l-monitoraġġ, mhux il-prezz ta' konnessjoni waħda llum. Inkludi x-xogħol li ħadd ma jfatura: xi ħadd irid idawwar iċ-ċwievet, jissorvelja l-istat tat-tunnel u jwieġeb l-allarm fit-tlieta ta' filgħodu meta gateway jerġa' jibda. Dik il-linja normalment tiddeċiedi l-argument, għax hija l-unika waħda li qatt ma tidher fil-kwotazzjoni.

Liema wieħed tagħżel, ipprova tliet flussi: dak maħsub, wieħed miċħud li għandu jibqa' miċħud, u l-każ tal-irkupru meta l-gateway tal-hub jew peering ikun 'l isfel. Mudell li jispjega biss il-mogħdija hienja ma ġiex ivverifikat, ġie muri.

Ivverifika l-għażla kontra l-pretensjoni tagħha stess

Ikteb sentenza waħda li ssemmi l-mudell, il-fruntiera u s-sid, imbagħad iċċekkja li l-istat skjerat jaqbel magħha. Għall-peering dan ifisser iż-żewġ stati tal-peering Connected, ir-rotta effettiva turi l-hop li jmiss tal-peering għall-prefiss tad-destinazzjoni, u l-ebda gateway fil-mogħdija. Għal VPN minn VNet għal VNet ifisser iż-żewġ konnessjonijiet Connected, ċwievet u politiki li jaqblu fuq iż-żewġ gateways, u rotta li l-hop li jmiss tagħha hija l-gateway tan-netwerk virtwali.

Jekk il-kontrolli ma jaqblux mas-sentenza, sewwi l-ewwel is-sentenza. Il-biċċa l-kbira tal-konfużjoni f'dawn id-disinni ġejja minn ibrid li ħadd ma ddeskriva: peering għas-subnet tax-xogħol, VPN għal servizz wieħed antik, u tabella tar-rotot li bil-kwiet tippreferi wieħed minnhom.