NAT tal-Azure VPN ma jsolvix indirizzi VNet li jikkoinċidu
Żewġ VNet bl-istess firxa privata mhux se jgħoqdu biss għax hemm NAT. Iċċekkja l-ewwel it-tip ta konnessjoni, imbagħad erġa nnumeraha jew ippossjedi alias tat-traduzzjoni.
Iż-żewġ VNet jużaw 10.40.1.0/24, il-mini jitilgħu, u xejn ma jaħdem. Iż-żieda tat-tieni gateway VPN ma tibdilx dan, u lanqas metrika tar-rotta iktar baxxa, għax il-problema mhijiex l-għażla tal-passaġġ. Żewġ workloads li jwieġbu għall-istess indirizz privat iħallu kull pakkett b destinazzjoni ambigwa u passaġġ lura li ma jistax jiġi verifikat. Qabel ma tippjana xi traduzzjoni, sib liema tip ta konnessjoni ħloqt tassew, għax dik l-għażla waħda tiddeċiedi jekk il-karatteristika NAT tal-Azure hix disponibbli xejn.
X inhu jgħidlek tassew is-sintomu
Meta host f VNet A jibgħat lil 10.40.1.10, it-tabella tar-rotot tista biss tipponta lejn xi mkien. Jekk VNet B fih ukoll 10.40.1.10, dak l-indirizz mhuwiex destinazzjoni li l-passaġġ jista jiddistingwi; huwa indirizz wieħed b żewġ sidien.
It-tieni gateway li n-nies normalment iħaddmu ma jgħinx. Jagħtik mina oħra, mhux indirizz ieħor, u l-firxa dduplikata tivvjaġġa bla bidla ġewwa l-mina. Huwa jirdoppja wkoll il-konfigurazzjoni li trid iżżomm konsistenti. Dak li ma jistax jagħmel huwa li jagħmel indirizz wieħed ifisser żewġ hosts.
Anke l-bidla tal-indirizzi pubbliċi tal-peers VPN ma tagħmel xejn. Dawk l-indirizzi jidentifikaw it-truf tal-mina, filwaqt li l-kolliżjoni tinsab fil-firxa privata li tinġarr ġewwa fiha.
It-tip ta konnessjoni jiddeċiedi jekk NAT huwiex disponibbli
Azure VPN Gateway għandu tassew kapaċità NAT, u hija dokumentata għal konnessjonijiet IPsec bejn is-siti bbażati fuq rotot fuq SKU speċifiċi tal-gateway. L-istess dokumentazzjoni teskludi konnessjonijiet VNet-to-VNet u point-to-site, għalhekk il-karatteristika mhijiex kaxxa li tidher fuq kull relazzjoni tal-gateway.
| Connection type | NAT support | Overlap workaround |
|---|---|---|
| Site-to-Site (route-based IPsec, documented SKUs) | Supported with configured NAT rules | Translate the range in the rules |
VNet-to-VNet (Vnet2Vnet) | Not supported | Renumber, or redesign as a site-to-site connection |
| Point-to-site | Not supported | Choose client address pools that do not collide |
VNet-to-VNet nattiv jeħtieġ ukoll li l-firxiet VNet u tan-netwerk lokali ma jikkoinċidux mill-bidu, li huwa konsistenti mal-esklużjoni. Il-peer VNet mhuwiex soluzzjoni għall-koinċidenza għall-istess raġuni.
Hemm alternativa appoġġata li n-nies iħawdu mat-tip nattiv: immudella l-VNet l-ieħor bħala netwerk lokali u qabbdu bħala konnessjoni bejn is-siti. Dak huwa riżors differenti u disinn differenti, għalhekk ittratta konnessjoni mibdula l-isem bħala bidla li trid tiġi vvalidata, mhux bħala sempliċi bidla fl-isem.
Erġa nnumeraha, jew ittraduċi b xi ħaġa li tippossjedi l-alias
Jekk iż-żewġ VNet huma tiegħek, qabbel numrar mill-ġdid ippjanat mal-ispiża kontinwa tat-traduzzjoni. In-numrar mill-ġdid jolqot il-konfigurazzjoni tal-applikazzjonijiet, ir-rekords DNS, ir-regoli tas-sigurtà u kull konnessjoni eżistenti, imma jħalli netwerk li jinqara b mod normali wara. Agħmlu subnet wieħed kull darba, bil-bidla fid-DNS l-aħħar. Firxa nofs numrata mill-ġdid hija agħar miż-żewġ għażliet, għax imbagħad iż-żewġ prefissi jidhru awtorevoli għal min jaqra t-tabella wara.
Fejn in-numrar mill-ġdid mhuwiex prattiku, uża disinn tradott b sid reali għall-alias. Min iċempel fi VNet A jista jasal għal 10.40.1.10 ta VNet B bħala 10.140.1.10, imma dak l-alias jeħtieġ apparat li jittraduċi, rotta lejh u mġiba li taqbel għat-tweġiba. Indirizz miżjud fid-DNS biss mhuwiex traduzzjoni.
Irreġistra ż-żewġ firxiet fiż-żewġ direzzjonijiet: x inhu jiddajlja min iċempel, x inhu jara d-destinazzjoni bħala sors, u liema naħa tista tibda. Ir-regoli NAT tal-Azure stess jinkludu t-traduzzjoni inversa għall-mappings SNAT tagħhom, allura ma tiktebx regola DNAT li taqbel bl-idejn, imma dik il-konvenjenza tieqaf fit-tipi ta konnessjoni li tappoġġa l-karatteristika.
X ma jaħdimx
Rotta definita mill-utent jew metrika tar-rotta ma jistgħux joħolqu distinzjoni fl-indirizzi li hija nieqsa. It-tnejn jaħdmu fuq destinazzjoni li għadha ambigwa, u l-pakkett jasal fil-hop li jmiss li t-tabella tippreferi.
Iż-żieda tal-firxa dduplikata f tabella tar-rotot bħala prefiss iktar speċifiku biss iċċaqlaq l-ambigwità pass wieħed. Hija wkoll għandha tendenza li tkisser id-direzzjoni l-oħra, fejn it-tweġiba issa għandha żewġ sorsi plawżibbli.
Aċċetta d-disinn bi traffiku fiż-żewġ direzzjonijiet
Ipprova d-disinn b operazzjoni permessa ġdida minn kull naħa, mhux bl-istat tal-mina. Mina IPsec konnessa tgħid li l-peers jaqblu dwar il-kriptografija; ma tgħid xejn dwar jekk id-destinazzjonijiet sarux distingwibbli.
Imbagħad mexxi l-passaġġi miċħuda: indirizz li għandu jibqa ma jintlaħaqx, u servizz li l-politika għandha timblokka. Jekk it-tnejn xorta jirnexxu, it-traduzzjoni hija usa milli kien maħsub fid-disinn.
Iċċekken bil-fatti li jispjegaw is-setup aktar tard: il-firxa oriġinali, il-firxa ppreżentata, l-apparat li jittraduċi, u d-direzzjoni li fiha kull naħa tista tibda. Jekk xi wieħed minn dawn jonqos, l-inġinier li jmiss jiret netwerk fejn żewġ hosts jaqsmu isem u ħadd ma jiftakar għaliex wieħed minnhom iwieġeb.