NVA बिना ExpressRoute मा Azure निजी IP VPN

मिथक यो हो कि ExpressRoute निजी peering मा ट्राफिक इन्क्रिप्ट गर्न नेटवर्क भर्चुअल उपकरण आवश्यक छ। त्यस्तो छैन। Azure ले Site-to-Site VPN Gateway समर्थन गर्छ जसको सुरुङ अन्त्य बिन्दु सर्किट मार्फत बोकिने निजी RFC1918 ठेगाना हो, र उपकरण संरचनात्मक नभई वैकल्पिक हो। उपकरणको मिथकले लुकाउने भाग वास्तवमै दुखाउने हो: निजी अन्त्य बिन्दुलाई दुई वस्तुको सट्टा एकमा सक्षम गर्नु, र सीधा peering मार्गलाई इन्क्रिप्टेड बाटोमा चुपचाप जित्न दिनु।

मिथक कहाँबाट आयो

यो दाबीको सम्मानजनक पूर्वज छ। वर्षौंसम्म निजी peering मा IPsec को व्यावहारिक विधि NVA थियो, किनकि व्यवस्थापित गेटवेले सार्वजनिक अन्त्य बिन्दु मात्र देखाउँथ्यो। त्यो बदलियो, र परिवर्तन अघि लेखिएका उत्तरहरू अझै पनि मिति कसैले जाँच नगर्ने थ्रेडहरूमा उद्धृत हुन्छन्। सुधार साँघुरो छ: निजी ठेगानाको VPN गेटवे अवस्थित छ, र यसले अन्त्य बिन्दु बदल्छ, वरपरको राउटिङ तर्क होइन।

यीमध्ये केहीले पनि NVA लाई अवकाश दिँदैन। यसले उपकरण नै आवश्यकताको एकमात्र बाटो हो भन्ने मान्यतालाई अवकाश दिन्छ।

दुवै तहमा निजी अन्त्य बिन्दु सक्षम गर्नुहोस्

VPN गेटवे भएको VNet सँग जोडिएको कार्यरत ExpressRoute निजी peering जडानबाट सुरु गर्नुहोस्। स्थानीय पक्षले पहिले नै त्यो सर्किट मार्फत सम्बन्धित निजी ठेगानाहरूमा पुगेको हुनुपर्छ, किनकि सुरुङले ती ठेगानाहरूलाई ढुवानीका रूपमा प्रयोग गर्नेछ। त्यसपछि गेटवेको पूर्वशर्त: निजी-IP VPN का लागि Microsoft को प्रक्रियाले Standard सार्वजनिक IP स्रोतमा निर्मित गेटवे आवश्यक गर्छ। निजी सुरुङ ठेगाना प्रणालीले त्यो शर्त हटाउँदैन, जसले „निजी“ भन्नाले „कतै पनि सार्वजनिक IP छैन“ भन्ने मान्नेहरूलाई अचम्ममा पार्छ।

अब दुवै ठाउँमा झन्डा सक्षम गर्नुहोस्। गेटवे कन्फिगरेसनको निजी IP का लागि आफ्नै स्विच छ, र व्यक्तिगत Site-to-Site जडानको दोस्रो छ जसले त्यो जडानलाई निजी ठेगाना प्रयोग गर्न लगाउँछ। एउटा सेट गर्नु र अर्को नगर्नु सबैभन्दा सामान्य अपूर्ण कन्फिगरेसन हो; सुरुङ या त स्थापित हुँदैन या गलत अन्त्य बिन्दुमा स्थापित हुन्छ।

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

तपाईंले स्थापना गरेको CLI संस्करणसँग सम्पत्ति नामहरू जाँच्नुहोस्, किनकि पोर्टल लेबल र CLI सम्पत्तिहरू सधैं एउटै शब्दावली प्रयोग गर्दैनन्। सक्रिय-सक्रिय गेटवेले दुई निजी सुरुङ ठेगाना देखाउँछ, र त्यो अनावश्यकता अर्थपूर्ण हुनका लागि स्थानीय उपकरणमा दुवै पियर कन्फिगर हुनु आवश्यक छ। यो निजी ठेगानाको सुरुङ उठाउन मात्र BGP आवश्यक हुँदैन, यद्यपि यो सामान्यतया प्रिफिक्स वितरण गर्ने तरिकाको भाग हुन्छ।

दोस्रो मिथक: स्थापित सुरुङले तपाईंको ट्राफिक इन्क्रिप्ट गर्छ

अब अनुप्रयोग नेटवर्कमा दुई मार्ग पुग्छन्: सीधा निजी peering मार्ग र VPN मार्फत मार्ग। दुवै काम गर्छन्। यो IPsec तह केवल एउटाले लागू गर्छ। Microsoft ले दस्तावेज गर्छ कि जब समान प्रिफिक्स ExpressRoute र VPN दुवैमा घोषणा गरिन्छ, Azure ले सीधा ExpressRoute मार्गलाई प्राथमिकता दिन्छ, त्यसैले स्वस्थ सुरुङ र स्वस्थ काउन्टरले अनुप्रयोग प्याकेट कहाँ गए भन्ने कुरा केही पनि प्रमाणित गर्दैन।

दस्तावेज गरिएका स्टेयरिङ विधिहरू ExpressRoute मा ढाक्ने दायरा र VPN मा अझ विशिष्ट संरक्षित दायरा, वा दुई मार्गमा छुट्टाछुट्टै प्रिफिक्स हुन्। उदाहरणका लागि, निजी peering ले 10.40.0.0/16 बोक्न सक्छ र VPN ले 10.40.12.0/24 घोषणा गर्छ। अझ विशिष्ट प्रिफिक्स जित्छ र दायराको बाँकी सीधा रहन्छ।

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

स्थानीय दिशामा पनि त्यही जाँच गर्नुहोस्, किनकि तपाईंको राउटरको प्राथमिकताले बाहिर जाने ट्राफिक कुन तर्फबाट निस्कन्छ भनेर निर्धारण गर्छ। र सुरुङको आफ्नै ढुवानी ExpressRoute मार्गमा राख्नुहोस्; गेटवेको निजी अन्त्य बिन्दुलाई सुरुङभित्र तान्ने मार्गले सुरुङलाई आफैमा निर्भर बनाउँछ।

सुरुङ खस्दा के हुन्छ निर्धारण गर्नुहोस्

सुरुङ खस्दा अझ विशिष्ट VPN मार्ग हराउँछ, जबकि फराकिलो सीधा मार्ग रहन्छ। त्यसपछि ट्राफिक इन्क्रिप्शन बिना बग्छ र सबै स्वस्थ देखिन्छ, जुन इन्क्रिप्शनको ग्यारेन्टी गर्न अवस्थित आवश्यकताका लागि सबैभन्दा खराब असफलता मोड हो। यदि आवश्यकताले त्यो फलब्याक निषेध गर्छ भने, राउटिङ र पहुँच नीतिले सुरुङको उपलब्धतामा भर पर्नुको सट्टा त्यो स्पष्ट रूपमा भन्नुपर्छ।

कुन प्रिफिक्स सीधा पहुँचयोग्य रहन सक्छन् र कुन इन्क्रिप्टेड मार्ग नभएको बेला रोकिनुपर्छ लेख्नुहोस्। त्यसपछि अनुमति दिइएको अवस्थालाई वास्तविक ट्राफिकसँग परीक्षण गर्नुहोस् र जडान काउन्टर तुलना गर्नुहोस्, किनकि रुट तालिकाले मात्र इन्क्रिप्शन आवश्यकता अझै लागू छ कि छैन भन्ने बताउँदैन।

यो ढाँचाले तपाईंलाई NVA लाई यसका वास्तविक सुविधाहरूका आधारमा मूल्याङ्कन गर्न पनि दिन्छ, जस्तै धेरै सुरुङ, थ्रुपुट वा विक्रेता निरीक्षण, अन्त्य बिन्दु निजी छ भनेर एउटा किन्नुको सट्टा।