Ir-rotta tat-traffiku bejn żewġ fergħat permezz ta' gateway VPN ta' Azure
Żewġ konnessjonijiet Site-to-Site fuq gateway VPN wieħed ta' Azure jistgħu jgħaddu t-traffiku tal-fergħat, iżda biss meta ż-żewġt trufijiet jitgħallmu l-prefiss u jkun hemm ir-rotta tar-ritorn fil-LAN.
Żewġ fergħat jistgħu jibdlu traffiku permezz ta' gateway VPN ta' Azure mingħajr ebda tunnel dirett bejniethom. Kull fergħa tiftaħ konnessjoni Site-to-Site mal-istess gateway, u l-gateway jgħaddi l-prefissi mgħallma bejn iż-żewġ konnessjonijiet. Dak li jagħmilha taħdem mhuwiex it-tieni tunnel, iżda l-iskambju tar-rotot: fergħa A trid titgħallem il-prefiss ta' fergħa B, u B dak ta' A. Għaddi mill-verifiki hawn taħt bl-ordni u waqaf fl-ewwel waħda li tfalli, għax kull pass li jmiss jiddependi minnha.
Prekundizzjonijiet, qabel ma tikkonfigura xejn
Erba' kundizzjonijiet jiddeċiedu jekk dan id-disinn jistax jaħdem xejn. Il-gateway irid ikun ibbażat fuq ir-rotot u fuq SKU li jappoġġja BGP, iż-żewġ konnessjonijiet iridu jkollhom BGP attivat, l-ispazji tal-indirizzi tal-fergħat ma jridux jissoverpostaw, u ebda naħa ma tista' tiddependi fuq NAT biex taħbi l-prefiss veru tagħha.
Ippjana l-ASN b'mod intenzjonat. Il-valur awtomatiku dokumentat ta' Azure huwa 65515, u kull router tal-fergħa jeħtieġ l-ASN privat tiegħu li ma jikkollidix mal-gateway jew mal-fergħa l-oħra. Li terġa' tuża valur awtomatiku mingħajr ma tiċċekkja konfigurazzjoni eżistenti tal-gateway hija l-mod kif rotta AS tiġi miċħuda aktar tard.
Ivverifika wkoll li m'intix qed tistenna mġiba ta' peering VNet. Il-gateway jiskambja rotot bejn iż-żewġ konnessjonijiet li kkonfigurajt; ma jagħmilx peering arbitrarji transittivi. Jekk it-tielet netwerk irid jilħaq iż-żewġ fergħat, jeħtieġ il-konnessjoni tiegħu jew ir-rotta tiegħu, mhux is-suppożizzjoni li l-gateway se jqassam it-traffiku. Ikteb dak il-limitu qabel l-ewwel tieqa tal-bidliet, għax hija d-deċiżjoni tad-disinn li n-nies jerġgħu lura għaliha meta aktar tard jiżdied sit.
Ikkonfigura b'dan l-ordni
Kull pass għandu riżultat osservabbli, għalhekk tipproċedix qabel ma jidher.
- Attiva BGP fuq il-gateway tan-netwerk virtwali u noti l-ASN u l-indirizz tal-peer tiegħu.
- Oħloq gateway tan-netwerk lokali għal kull fergħa bl-ispazju tal-indirizzi veru ta' dik il-fergħa, l-ASN tagħha u l-indirizz tal-peer BGP tagħha.
- Oħloq kull konnessjoni Site-to-Site u attiva BGP fuq il-konnessjoni nnifisha.
- Ikkonfigura r-router tal-fergħa biex jagħmel peering mal-indirizz tal-gateway li assenja Azure, mhux mal-endpoint IKE pubbliku tal-gateway bis-suppożizzjoni.
Ir-raba' pass huwa fejn jieqfu ħafna mill-attentati. L-indirizz tal-peer BGP li jirrapporta Azure huwa dak li r-router tal-fergħa għandu juża bħala ġar, u mhuwiex dejjem l-indirizz li n-nies jistennew mid-dijagramma tat-tunnel.
Ħabbar il-prefiss tal-fergħa nnifsu, pereżempju 10.10.0.0/16 minn A u 10.20.0.0/16 minn B. Tħabbarx rotta awtomatika jew aggregat wiesa' biex tkopri netwerk speċifiku nieqes; il-vojt jerġa' lura aktar tard bħala toqba sewda siekta.
Ivverifika l-iskambju tar-rotot fiż-żewġt trufijiet
L-istat tal-konnessjoni mhuwiex il-verifika. IPsec jista' jkun attiv fuq iż-żewġ konnessjonijiet filwaqt li ebda prefiss ma jgħaddi bejniethom. Aqra l-peer BGP tal-gateway u r-rotot mgħallma tiegħu, imbagħad ikkonferma li r-rotta lejn il-fergħa l-oħra tidher bħala mogħdija użabbli.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Prefiss preżenti f'tabella BGP xorta jista' jitlef id-deċiżjoni tal-ħatt quddiem rotta statika jew prefiss aktar speċifiku. Iċċekkja r-rotta magħżula, mhux biss dik riċevuta.
Segwi r-rotta tar-ritorn fuq in-naħa tal-LAN
Dan huwa l-parti li tidher korretta f'Azure u tfalli fuq il-post. Host f'fergħa A jibgħat il-pakkett tiegħu lir-router VPN ta' A biss jekk dak ir-router huwa l-gateway awtomatiku tiegħu, jew jekk il-host jew il-gateway tiegħu għandu rotta għall-prefiss ta' B. L-istess irid ikun veru fid-direzzjoni l-oħra.
Jekk switch tal-qalba separat huwa l-gateway awtomatiku tal-LAN, jeħtieġ ir-rotta lejn il-fergħa l-oħra li tindika lejn ir-router VPN. Mingħajrha t-talba tasal u t-tweġiba toħroġ mill-mogħdija tal-internet, u l-utent jara konnessjoni li tiftaħ u mbagħad tiddendel.
Tersaqx għal grupp tas-sigurtà tan-netwerk fuq is-subnet tal-gateway biex tiffissa dan. Dak is-subnet għandu r-rekwiżiti tiegħu stess u NSG hemmhekk mhuwiex sostitut appoġġjat għall-politika tan-naħa tal-fergħa. Il-filtrazzjoni tappartjeni lill-firewalls tal-fergħat u lill-workloads infushom, fejn ir-regoli jistgħu jiġu riveduti minn dawk li jippossjeduhom. Li ċċaqlaq dawk ir-regoli għal NSG tas-subnet jaħbihom ukoll mit-tim li se jiddeb uggja l-ħsara li jmiss.
Permetti l-operazzjoni, imbagħad ippruvaha b'test miċħud
Rotta mgħallma mhijiex permess. Ippermetti s-sors, id-destinazzjoni u s-servizz li tassew għandek bżonn permezz tal-firewalls tal-fergħat u l-politika tal-endpoint, u ħalli l-bqija miċħuda.
Ittestja minn workload ordinarju f'fergħa A għal servizz reali f'fergħa B, ikkonferma t-tweġiba, imbagħad ipprova operazzjoni li għandha tibqa' pprojbita. It-traffiku ġġenerat mill-appliance VPN innifsu jista' juża indirizz tas-sors differenti u jaqbeż l-istadju tar-routing tal-LAN, għalhekk ping li jirnexxi mir-router jipprova inqas milli jidher.
Lesti billi tikteb erba' fatti: il-prefissi skambjati, l-ASN użati, ir-rotta tar-ritorn tal-LAN għal kull naħa u l-politika li tippermetti s-servizz. Jekk wieħed minnhom nieqes, is-setup jaħdem sal-ewwel bidla, u mbagħad ħadd ma jista' jispjega għaliex.