GatewaySubnet in Azure instellen: reserveer het vóór de gateway

Open het virtuele netwerk in de portal en bekijk de adresruimte voordat u het subnet-blad aanraakt. Als die /24 al is opgedeeld in workload-subnetten zonder iets vrij, is er geen ruimte voor een /27-reservering, en eindigt u met opnieuw opdelen of het VNet verbreden, wat een andere wijziging met een andere beoordeling is. Bepaal eerst de ruimte en maak daarna het subnet.

Die volgorde is belangrijk omdat het gateway-subnet geen workload-subnet met een speciale naam is. Het is de adresreservering voor beheerde gateway-instanties, en Azure weigert de gateway als de reservering onjuist is.

Begin met de adresruimte

Schrijf het VNet-voorvoegsel, de workload-subnetten en de gateway-reservering op één regel voordat u iets typt. Een VNet op 10.60.0.0/16 heeft ruimte; kies een bereik aan het einde zodat de groei van workloads aaneengesloten blijft.

Bijvoorbeeld: 10.60.255.192/26 laat 64 adressen over voor de gateway, terwijl workloads in 10.60.0.0/20 blijven. Dat is een voorbeeld van adresplanning, geen belofte over grootte. Microsoft vereist momenteel /27 of groter voor niet-Basic VPN-gateways, waarbij groter meer adressen betekent: een /26 geeft 64, terwijl een /28 er 16 geeft. Rond naar boven af, nooit naar beneden, zolang het adresplan nog beweegt.

Maak het subnet met de exacte naam

Voeg in de portal een subnet toe en typ de naam GatewaySubnet exact, hoofdletter G en hoofdletter S, zonder spaties of achtervoegsel. Azure vergelijkt die tekenreeks, dus Gateway-Subnet of gateway levert een subnet op dat de gatewayservice niet gebruikt.

Dezelfde stap vanaf de CLI, makkelijker om in een beoordeling te zetten:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Laat het subnet leeg. Geen VM, geen privé-eindpunt, geen servicedelegatie. Als er al iets woont, mislukt de implementatie en de fout noemt zelden de resource die in de weg staat, dus controleer de resourcelijst van het subnet voordat u begint.

Houd het beheerde subnet vrij van workload-regels

Koppel geen netwerkbeveiligingsgroep aan dit subnet; Microsoft markeert dat als niet ondersteund. Koppel geen routeringstabel waarvan de standaardroute 0.0.0.0/0 ergens heen stuurt, want dat kan de werking van de gateway breken, en houd de routeverspreiding van de gateway ingeschakeld.

Zet de toegangsbeperkingen die u echt wilde op het workload-subnet of bij een inspectiegrens. GatewaySubnet als een gewoon subnet behandelen is de fout die een gateway oplevert die netjes wordt geïmplementeerd en daarna geen verkeer doorlaat.

Geforceerde tunneling heeft zijn eigen gedocumenteerde ontwerp. Een geïmproviseerde standaardroute op het gateway-subnet is dat niet.

Controleer de afhankelijkheden die de portal niet toont

Voordat u op maken drukt, loopt u de lijst na: exacte naam, voorvoegsel binnen de VNet-ruimte, geen overlap met on-premises bereiken, geen workload-resources erin, geen NSG en geen routeringstabel met een standaardroute. Elk daarvan heeft een echte implementatie gebroken. Bevestig daarna het bredere ontwerp: de lokale netwerkgateway voor de on-premises kant, de adresruimten die u verwacht te routeren, en of actief-actief of coëxistentie gepland is. Die keuzes veranderen het gesprek over grootte, en ze nu vastleggen is veel goedkoper.

De Azure-referentie voor gateway-instellingen is de pagina die u aanhaalt als iemand vraagt waarom het subnet geen VM kan huisvesten.

Als de gateway al bestaat

Het formaat wijzigen of vervangen van een gateway-subnet is geen maskerbewerking. Controleer eerst de ondersteunde wijzigingsprocedure voor de SKU en generatie van de gateway, en som de afhankelijke objecten op: verbindingen, openbare IP’s, routering en eventuele herstelvereisten.

Als de procedure vereist dat de gateway opnieuw wordt gemaakt, plan dat dan als een dienstmigratie met een venster en een rollback. Leg de gekozen reservering vast, de reden voor de grootte en de regels die u bewust niet hebt gekoppeld, zodat de volgende beoordelaar het lege subnet niet repareert door een NSG toe te voegen.