To lokale VPN-adresser: to Azure-peers, ikkje éin

Diagrammet har to internettilkoplingar på filialen og éin Azure VPN-gateway, så den lokale nettverksgatewayen får begge dei offentlege adressene. Det ser ryddig ut, og det fungerer ikkje slik diagrammet antydar. Kvar lokal VPN-eining er eit eige peer-tilhøve, og Microsoft sitt design for fleire einingar gir kvar eining sin eigen lokale nettverksgateway-ressurs og si eiga tilkoping. Å leggje til ei andre adresse på éin ressurs skapar ikkje ein andre peer. Det skapar ein ressurs som ikkje skildrar nokon av einingane rett.

Myten: éin gateway, to adresser

Ein lokal nettverksgateway er ei skildring av ein ekstern peer: eitt offentleg endepunkt og dei private prefiksa bak det. Det finst ingen støtta måte å få den ressursen til å tyde «ein av desse to einingane».

Den same forvirringa finst i den andre retninga, der to offentlege Azure-IP-ar blir lesne som bevis på at det finst to Azure-gatewayar.

Tel objekta, og tel deretter tunnelane

Ta to uavhengig drivne lokale einingar, kvar med si eiga offentlege adresse og tilgang til dei same private netverka, pluss éin rutebasert Azure-gateway i aktiv-aktiv-modus. Azure-gatewayen har to aktive instansar med separate offentlege IP-ar. Kvar lokal eining koplar til begge instansane. Det er det fulle nettet, og talet på objekt følgjer av det, ikkje av diagrammet.

Reknestykket er kort nok til å lime inn i designdokumentet:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Ein tilkopingsressurs kan bere meir enn éin underliggjande tunnel, så fire tunnelar tyder ikkje fire virtuelle nettverksgatewayar. To offentlege Azure-IP-ar er heller ikkje dei same objekta som dei to lokale nettverksgatewayane som skildrar det eksterne området.

Kva aktiv-aktiv tilfører på Azure-sida

Aktiv-aktiv endrar Azure-gatewayen frå éin aktiv instans til to, kvar med sin eigen offentlege IP, og det er dette som overhovudet gjer eit fullt nett mogleg. Det doblar ikkje gjennomstrøyminga til éin flyt. Det fjernar heller ikkje behovet for at den lokale sida støttar multipath med lik kostnad om begge einingane videresender samtidig. Stadfest gatewaymodus, SKU og evnene til den eksterne eininga før du klargjer noko.

Ein gateway i passiv standby er eit heilt gyldig design; det gir berre eit anna tal tunnelar.

BGP gjer begge vegane brukbare

For designet med fleire einingar køyrer begge lokale einingar BGP. Gi kvar ei unik BGP-peer-adresse og annonser dei same tiltenkte private prefiksa over dei relevante vegane. Dei private prefiksa identifiserer dei verna netverka, medan dei offentlege adressene identifiserer kvar dei krypterte berarforbindingane sluttar. Å forveksle dei to gir eit design der kvar tunnel er oppe og rutene er feil.

Planlegg returruting og kvar tilstandsbasert inspeksjon som må tole kvar av dei to vegane. Ein sunn IKE-økt på kvart endepunkt bevisar ikkje at ein arbeidslast kan bruke kvar annonsert rute.

Flytbasert val er ikkje bandbreiddepooling

Azure vel ein veg per flyt ved hjelp av ein hash over adresseringa og portane til flyten. I stabil tilstand tek pakkar i ein gitt TCP- eller UDP-flyt vanlegvis same tunnel, og den lokale sida kan velje ein annan tunnel for returretninga. To einingar og fire tunnelar betrar derfor tilgjengelegheita, ikkje hastigheita til éi overføring. Når ein leverandørslysbilete lovar aggregering, skildrar det ein annan funksjon eller ei mistyding.

Test med parallelle flytar om du vil sjå vegane spreie seg, og med éin flyt om du vil sjå grensa.

Kva redundans du faktisk fjerna

To WAN-adresser på éi eining betrar alternativa for tilgangslinja, men deler straum, programvare og feiltilstand for den eininga. Dei er ikkje det same som to einingar, og ingen Azure-side-konfigurasjon endrar det. Følg leverandøren sitt støtta design med dobbel WAN eller klynge i staden for å utleie redundans frå talet på adresser. Test det deretter: fjern éin veg om gongen og stadfest dei gjenverande rutene pluss ein reell applikasjonsutveksling i begge retningar.

Forvent forseinkingar i oppdaging og konvergens, og forvent at nokre eksisterande økter blir avslutta.