ExpressRoute flimkien ma' VPN: liema oqsma ta' falliment tkopri?

Tunnel IPsec li jaħdem fuq il-peering privat ta' ExpressRoute iżid encryption ma' trasport li diġà jeżisti. It-tieni tunnel itejjeb id-disponibbiltà tal-punt tat-tarf, u ma jagħmel xejn xejn għat-triq tal-operatur taħt it-tnejn. Din id-distinzjoni tintilef faċilment meta l-bordijiet juru żewġ tunnels ħodor u r-reviżjoni tad-disinn tistaqsi mistoqsija oħra: liema fallimenti għandha tiflaħ din il-konnessjoni? Wieġeb dan l-ewwel, imbagħad għodd it-tunnels, għax l-għadd ta' indikaturi ħodor hija proprjetà tas-saff tal-encryption u l-għadd ta' oqsma ta' falliment hija proprjetà tat-triq kollha.

Ibda bil-fallimenti, mhux bit-tunnels ħodor

Ikteb erba' ringieli qabel ma tpinġi xejn: punt tat-tarf VPN wieħed jew istanza peer waħda li tfalli, router lokali wieħed jew konnessjoni tal-ewwel mil li tfalli, it-triq kondiviża ta' ExpressRoute li tfalli, u IPsec li jsir mhux disponibbli waqt li l-peering privat għadu jġorr it-traffiku. Kull ringiela ssemmi x'għandu jippreserva d-disinn, u kull waħda tiġi mwieġba minn mekkaniżmu differenti.

Microsoft tiddokumenta VPN minn sit għal sit b'IP privat fuq il-peering privat ta' ExpressRoute, u l-koeżistenza appoġġata ma' konnessjonijiet minn sit għal sit ibbażati fuq l-internet. Din il-koeżistenza hija disinn differenti tas-saff ta' taħt, u ma tidhirx biss għax żidt punt tat-tarf ieħor ta' tunnel privat.

Qasam ta' falliment 1: il-punt tat-tarf tal-VPN

Żewġ tunnels fuq gateway wieħed huma normalment pari active-active li jispiċċaw fuq l-istess riżorsa fuq in-naħa ta' Azure. Huma jipproteġu minn problema ta' tunnel wieħed jew istanza waħda, u ma jipproteġux milli dik ir-riżorsa ssir mhux disponibbli, tiġi rikonfigurata jew tispiċċa l-kapaċità. Id-doppja tal-punt tat-tarf tfisser it-tieni punt tat-tarf appoġġat, bit-triq tiegħu u l-konfigurazzjoni tiegħu, flimkien ma' rotta li tista' tasal għalih.

Ivverifika x'firxejt tassew u mhux dak li tgħid id-dijagramma, għax il-portal jiġġruppa dawn ir-riżorsi b'modi li jaħbu r-relazzjoni tagħhom:

az network vpn-connection show -g rg-connectivity -n vpn-to-hub   --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub   --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'

Jekk iż-żewġ tunnels jindikaw lejn gateway wieħed b'IP pubbliku wieħed, għandek doppja tal-punt tat-tarf ta' tip speċifiku u limitat. Dan jista' jkun eżattament dak li titlob il-ħtieġa, u għandu jingħad hekk minflok ma jiġi deskritt bħala konnessjoni doppja.

Qasam ta' falliment 2: it-triq lokali u l-operatur

Taħt l-encryption hemm realtà fiżika u kummerċjali: apparat tat-tarf tal-klijent, konnessjoni inkroċjata, netwerk tal-fornitur u post tal-peering. il-linji gwida tad-disponibbiltà ta' ExpressRoute huma espliċiti li d-doppja minn tarf sa tarf tinkludi s-segmenti tal-klijent u tal-fornitur tas-servizz, mhux biss in-naħa ta' Microsoft. Żewġ toroq loġiċi li jaqsmu router, provvista tal-enerġija jew konnessjoni tal-ewwel mil xorta jaqsmu dik id-dipendenza.

Hawnhekk disinn normalment ifalli reviżjoni onesta. Żewġ ċirkwiti mill-istess fornitur, li jispiċċaw fl-istess bini, fuq tagħmir mill-istess ordni tax-xiri, mhumiex żewġ oqsma ta' falliment. Huma qasam ta' falliment wieħed b'żewġ fatturi.

Staqsi lill-operatur bil-miktub: liema minn dawn it-toroq jiddiverġu, fejn, u x'inhu l-imġieba dokumentata meta s-segment kondiviż ifalli? Assigurazzjoni verbali waqt sejħa tad-disinn ma tibqax ħajja fl-interruzzjoni li qed tiddisinja għaliha.

Qasam ta' falliment 3: ir-rotta li tibqa' ħajja mingħajr IPsec

Il-peering privat u IPsec jistgħu joffru rotot konkorrenti lejn l-istess prefiss tal-applikazzjoni. Jekk ir-rotta protetta tisparixxi, rotta diretta ta' ExpressRoute li tibqa' tista' xorta tkun użabbli, mingħajr is-saff tal-encryption li kien qed jipprovdi t-tunnel. Jekk dan huwiex aċċettabbli hija deċiżjoni ta' politika, u hija d-deċiżjoni li l-aktar spiss titħalla impliċita.

Rekwiżiti tal-encryption u rekwiżiti tad-disponibbiltà jistgħu verament jaħbtu hawn. «Kull rotta li tibqa' tgħodd bħala suċċess» hija dikjarazzjoni ta' disponibbiltà li twieġeb bil-kwiet il-mistoqsija tal-encryption b'«le». Ikteb liema waħda tirbaħ, għal liema prefissi u min approvaha.

az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o table

Qabbel ir-rotot mgħallma mal-prefissi li kont qed tistenna. Triq alternattiva li ġġorr piż amministrattiv żgħir tista' tkun perfettament adegwata għal dak il-piż u 'l bogħod mill-kapaċità li teħtieġ id-domanda tal-produzzjoni, għalhekk innota l-assunzjoni tal-kapaċità ma' ġenb ir-rotta.

Innota tliet ringieli separati, mhux verdett wieħed

Żomm id-doppja tal-punt tat-tarf, id-doppja tat-trasport u l-irkupru minn diżastru bħala entrati separati fir-rekord tad-disinn, kull waħda bil-mekkaniżmu tagħha, il-verifika tagħha u s-sid tagħha. Meta reviżjoni ta' inċident tistaqsi għaliex il-konnessjoni baqgħet ħajja wara restart tal-gateway imma mhux wara qatgħa tal-fibra, tliet ringieli jwieġbu f'sentenza waħda; kaxxa waħda «doppja» ma tistax.

Imbagħad ipprova r-ringieli li tista' tipprova bl-irħis. Ġiegħel tunnel wieħed ifalli u kkonferma li t-traffiku jiċċaqlaq u jerġa' jiġi encrypted. Neħħi rotta waħda u kkonferma li t-triq li tibqa' hija dik li kellek f'moħħok, imbagħad ikkonferma jekk għadhiex encrypted. Iddokumenta l-fallimenti li ma stajtx tissimula, għax ringiela mhux ittestjata hija assunzjoni u għandha tiġi mmarkata hekk.

Ir-riżultat utli huwa tabella qasira flimkien ma' sentenza għal kull ringiela. Jekk ringiela m'għandhiex mekkaniżmu, dak huwa s-sejba, u ħafna irħas li tiskopriha f'reviżjoni tad-disinn milli waqt interruzzjoni tal-operatur li ż-żewġ tunnels qatt ma kienu jifilħu.