VPN IP privat ta' Azure fuq ExpressRoute mingħajr NVA

Il-mit huwa li l-kriptaġġ tat-traffiku fuq il-peering privat ta' ExpressRoute jeħtieġ tagħmir virtwali tan-netwerk. Mhuwiex. Azure jappoġġja Site-to-Site VPN Gateway li l-punt tat-tarf tat-tunnel tiegħu huwa indirizz RFC1918 privat li jinġarr fuq iċ-ċirkwit, u t-tagħmir huwa fakultattiv, mhux strutturali. Dak li l-mit tat-tagħmir jaħbi huwa l-parti li tassew tweġġa': l-attivazzjoni tal-punt tat-tarf privat fuq oġġett wieħed minflok tnejn, u li tħalli rotta ta' peering diretta tirbaħ bil-kwiet fuq il-mogħdija kriptata.

Minn fejn ġie l-mit

Il-pretensjoni għandha antenati rispettabbli. Għal snin, ir-riċetta prattika għall-IPsec fuq peering privat kienet NVA, għaliex il-gateway ġestita kienet tesponi biss punti tat-tarf pubbliċi. Dan inbidel, u tweġibiet miktuba qabel il-bidla għadhom jiġu ċċitati fi ħjut fejn ħadd ma jiċċekkja d-data. Il-korrezzjoni hija dejqa: jeżisti gateway VPN b'indirizz privat, u dan ibiddel il-punt tat-tarf, mhux il-loġika tar-rotot madwaru.

Xejn minn dan ma jirtira l-NVA. Dan jirtira l-assunzjoni li t-tagħmir huwa l-unika triq lejn ir-rekwiżit.

Attiva l-punt tat-tarf privat fiż-żewġ livelli

Ibda minn konnessjoni ta' peering privat ta' ExpressRoute li taħdem u marbuta mal-VNet li fiha l-gateway VPN. In-naħa lokali trid tkun diġà tilħaq l-indirizzi privati rilevanti fuq dak iċ-ċirkwit, għax it-tunnel se juża dawk l-indirizzi bħala trasport. Imbagħad il-prerekwiżit tal-gateway: il-proċedura ta' Microsoft għall-VPN b'IP privat teħtieġ gateway mibni fuq riżorsa ta' IP pubbliku Standard. L-indirizzar privat tat-tunnel ma jneħħix dan ir-rekwiżit, li jissorprendi lil min jassumi li «privat» ifisser «l-ebda IP pubbliku imkien».

Issa attiva l-bandiera fiż-żewġ postijiet. Il-konfigurazzjoni tal-gateway għandha l-iswiċċ tagħha għall-IPs privati, u l-konnessjoni Site-to-Site individwali għandha t-tieni wieħed li jġiegħel dik il-konnessjoni tuża l-indirizz privat. Li tistabbilixxi wieħed mingħajr l-ieħor hija l-aktar konfigurazzjoni mhux sħiħa komuni; it-tunnel jew ma jiġix stabbilit jew jiġi stabbilit lejn il-punt tat-tarf żbaljat.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Ivverifika l-ismijiet tal-proprjetajiet kontra l-verżjoni tal-CLI installata, għax it-tikketti tal-portal u l-proprjetajiet tal-CLI mhux dejjem jaqsmu l-istess kliem. Gateway attiv-attiv jesponi żewġ indirizzi tat-tunnel privati, u l-apparat lokali jeħtieġ iż-żewġ pari konfigurati jekk trid li dik ir-redundanza tfisser xi ħaġa. BGP mhuwiex meħtieġ biss biex dan it-tunnel b'indirizz privat jitla', għalkemm normalment huwa parti mill-mod kif tqassam il-prefissi.

It-tieni mit: tunnel stabbilit jikkripta t-traffiku tiegħek

Żewġ mogħdijiet issa jilħqu n-netwerk tal-applikazzjoni: il-mogħdija diretta tal-peering privat u l-mogħdija mill-VPN. It-tnejn jaħdmu. Waħda biss tapplika dan is-saff IPsec. Microsoft tiddokumenta li meta prefissi identiċi jiġu reklamati fuq ExpressRoute u fuq il-VPN, Azure jippreferi l-mogħdija diretta ta' ExpressRoute, għalhekk tunnel b'saħħtu b'counters sħaħ ma jipprovax xejn dwar fejn marru l-pakketti tal-applikazzjoni.

Il-metodi ta' tmexxija dokumentati huma firxa ta' kopertura fuq ExpressRoute b'firxa protetta aktar speċifika fuq il-VPN, jew prefissi disjoint fuq iż-żewġ mogħdijiet. Pereżempju, il-peering privat jista' jġorr 10.40.0.0/16 filwaqt li l-VPN jirreklama 10.40.12.0/24. Il-prefiss aktar speċifiku jirbaħ u l-bqija tal-firxa tibqa' diretta.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Agħmel l-istess verifika fid-direzzjoni lokali, għax il-preferenza tar-router tiegħek tiddeċiedi minn liema naħa joħroġ it-traffiku ħierġa. U żomm it-trasport tat-tunnel innifsu fuq il-mogħdija ta' ExpressRoute; rotta li tiġbed il-punt tat-tarf privat tal-gateway ġewwa t-tunnel tagħmel it-tunnel dipendenti fuqu nnifsu.

Iddeċiedi x jiġri meta t-tunnel jaqa

Rotta tal-VPN aktar speċifika tisparixxi meta t-tunnel jaqa', filwaqt li r-rotta diretta aktar wiesgħa tibqa'. It-traffiku mbagħad joħroġ mingħajr kriptaġġ u kollox jidher b'saħħtu, li huwa l-agħar mod ta' falliment għal rekwiżit li jeżisti biex jiggarantixxi l-kriptaġġ. Jekk ir-rekwiżit jipprojbixxi dak il-fallback, ir-rotot u l-politika tal-aċċess iridu jgħidu dan b'mod espliċitu minflok ma jiddependu fuq id-disponibbiltà tat-tunnel.

Ikteb liema prefissi jistgħu jibqgħu aċċessibbli direttament u liema għandhom jieqfu meta l-mogħdija kriptata ma tkunx hemm. Imbagħad ipprova l-każ permess b'traffiku reali u qabbel il-counters tal-konnessjoni, għax it-tabella tar-rotot waħedha ma tgħidlekx jekk ir-rekwiżit tal-kriptaġġ għadux japplika.

Dak il-qafas jippermettilek ukoll tevalwa NVA għall-funzjonijiet reali tiegħu, bħal tunnels multipli, throughput jew spezzjoni tal-fornitur, minflok ma tixtri waħda għax il-punt tat-tarf huwa privat.