د دوو څانګو ترمنځ ترافیک د Azure VPN ګېټوې له لارې روټ کړئ
په یوه Azure VPN ګېټوې دوه Site-to-Site اړیکې کولی شي د څانګو ترافیک تېر کړي، خو یوازې هغه وخت چې دواړه پایونه پریفیکس زده کړي او په LAN کې د بېرته راستنېدو لار موجوده وي۔
دوه څانګې کولی شي پرته له کوم مستقیم تونل څخه د Azure VPN ګېټوې له لارې ترافیک تبادله کړي۔ هر څانګه هماغه ګېټوې ته د Site-to-Site اړیکه پرانیزي، او ګېټوې زده شوي پریفیکسونه د دوو اړیکو ترمنځ لېږدوي۔ دا کار نه دوهم تونل کوي، بلکې د روټونو تبادله یې کوي: څانګه A باید د څانګې B پریفیکس زده کړي، او B د A پریفیکس۔ لاندې څېړنې په ترتیب سره ترسره کړئ او په لومړۍ ناکامه څېړنه کې ودرېږئ، ځکه چې هر راتلونکی ګام پرې تکیه لري۔
پیشني شرطونه، مخکې له دې چې څه ترتیب کړئ
څلور شرطونه پرېکړه کوي چې آیا دا ډیزاین په بشپړ ډول کار کولی شي که نه۔ ګېټوې باید د روټ پر بنسټ وي او په داسې SKU کې چې BGP ملاتړ کوي، دواړه اړیکې باید BGP فعال ولري، د څانګو د پتې سیمې باید یو بل ته نه ننوځي، او هیڅ اړخ باید خپل ریښتینی پریفیکس پټولو لپاره پر NAT تکیه ونه کړي۔
ASNونه په قصدي ډول پلان کړئ۔ د Azure مستند ډیفالټ 65515 دی، او هر د څانګې روټر خپل خصوصي ASN ته اړتیا لري چې له ګېټوې یا بلې څانګې سره ټکر ونه کړي۔ د موجودې ګېټوې ترتیب نه کتلو پرته ډیفالټ بیا کارول هغه لار ده چې له مخې یې AS لاره وروسته رد کېږي۔
همدا راز ډاډ ترلاسه کړئ چې د VNet peering چلند تمه نه لرئ۔ ګېټوې ستاسو د ترتیب شوو دوو اړیکو ترمنځ روټونه تبادلوي؛ دا خپل سري peeringونه انتقالي نه کوي۔ که درېیمه شبکه باید دواړو څانګو ته ورسیږي، هغې ته خپله اړیکه یا خپله روټ لاره پکار ده، نه دا انګېرنه چې ګېټوې به ترافیک خپروي۔ د لومړي بدلون کړکۍ مخکې همدا پوله ولیکئ، ځکه چې دا هغه ډیزاین پرېکړه ده چې خلک ورته بېرته راځي کله چې وروسته نوی سایټ اضافه شي۔
په دې ترتیب سره تنظیم کړئ
هر ګام یو لیدل کېدونکی پایلې لري، نو تر هغه مه پورې مخکې مه ځئ چې هغه راڅرګنده شي۔
- په مجازي شبکې ګېټوې BGP فعال کړئ او د هغې ASN او پیر پته ولیکئ۔
- د هرې څانګې لپاره د هغې څانګې ریښتینې پتې سیمې، د هغې ASN او د هغې BGP پیر پتې سره یوه سیمه ییزه شبکه ګېټوې جوړه کړئ۔
- هره Site-to-Site اړیکه جوړه کړئ او په هماغه اړیکه کې BGP فعال کړئ۔
- د څانګې روټر داسې تنظیم کړئ چې له انګېرنې پرته د ګېټوې عام IKE پای ټکي سره نه، بلکې د Azure ټاکل شوې ګېټوې پتې سره پیر شي۔
څلورم ګام هغه ځای دی چې ډېری هڅې هلته ودرېږي۔ د BGP پیر پته چې Azure راپور ورکوي هماغه ده چې د څانګې روټر باید د ګاونډي په توګه وکاروي، او دا تل هغه پته نه ده چې خلک د تونل له نقشې تمه کوي۔
د څانګې پریفیکس پخپله اعلان کړئ، د بېلګې په توګه له A څخه 10.10.0.0/16 او له B څخه 10.20.0.0/16۔ د یوې ورکې ځانګړې شبکې د پوښلو لپاره ډیفالټ روټ یا پراخه مجموعه اعلان مه کړئ؛ تشه وروسته د یوې غلې تورې سوري په توګه بېرته راځي۔
د روټونو تبادله په دواړو پایونو کې تایید کړئ
د اړیکې حالت څېړنه نه ده۔ IPsec کېدای شي په دواړو اړیکو فعال وي او بیا هم هیچا پریفیکس د دوی ترمنځ نه تېريږي۔ د ګېټوې BGP پیرونه او زده شوي روټونه ولولئ، بیا تایید کړئ چې بلې څانګې ته روټ د کارېدونکې لارې په توګه ښکاري۔
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
په BGP جدول کې موجود پریفیکس لا هم کېدای شي د لېږد پرېکړه یوې سټاټیک روټ یا ډېر ځانګړي پریفیکس ته وبایلي۔ یوازې ترلاسه شوې نه، بلکې غوره شوې روټ وګورئ۔
د LAN په اړخ کې د بېرته راستنېدو لاره تعقیب کړئ
دا هغه برخه ده چې په Azure کې سمه ښکاري او په سایټ کې ناکامه کېږي۔ په څانګه A کې یو کوربه خپله بسته د A VPN روټر ته یوازې هغه وخت لېږي چې هغه روټر د هغه ډیفالټ ګېټوې وي، یا کوربه یا د هغه ګېټوې د B پریفیکس لپاره روټ ولري۔ په بل لوري کې هم باید همداسې وي۔
که یو جلا اصلي سوئیچ د LAN ډیفالټ ګېټوې وي، هغه ته بلې څانګې ته د VPN روټر ته اشاره کوونکې لاره پکار ده۔ پرته له هغې غوښتنه راځي او ځواب د انټرنېټ له لارې وتښتي، او کاروونکی داسې اړیکه ویني چې خلاصېږي او بیا ځوړند پاتې کېږي۔
د دې د سمولو لپاره د ګېټوې فرعي شبکې په شبکه امنیتي ډله تکیه مه کوئ۔ هغه فرعي شبکه خپلې اړتیاوې لري او هلته NSG د څانګې اړخ پالیسۍ لپاره ملاتړ شوی بدیل نه دی۔ فلټرول باید د څانګو په فایرولونو او په کار بارونو کې وي، چیرې چې مالکان یې قواعد بیا کتلی شي۔ دغه قواعد فرعي شبکې NSG ته لېږدول هغه له هغه ټیم څخه هم پټوي چې راتلونکې خرابي به ډیبګ کوي۔
عملیه اجازه کړئ، بیا یې د رد شوې ازموینې له لارې ثابته کړئ
زده شوې روټ اجازه نه ده۔ هغه سرچینه، منزل او خدمت چې واقعاً ورته اړتیا لرئ د څانګو د فایرولونو او پای ټکي پالیسۍ له لارې اجازه کړئ، او پاتې نور رد پاتې کړئ۔
د څانګه A له عادي کار بار څخه څانګه B ته ریښتیني خدمت ته ازموینه وکړئ، ځواب تایید کړئ، بیا هغه عملیه هڅه کړئ چې باید بنده پاتې شي۔ هغه ترافیک چې د VPN وسیله پخپله جوړوي کېدای شي بله سرچینه پته وکاروي او د LAN روټینګ پړاو پرېږدي، نو له روټر څخه بریالی ping له هغې کم څه ثابتوي چې ښکاري۔
په څلورو حقایقو لیکلو سره پای ته ورسئ: تبادله شوي پریفیکسونه، کارېدونکي ASNونه، د هر اړخ لپاره LAN بېرته راستنېدو لاره، او هغه پالیسي چې خدمت اجازه ورکوي۔ که یو له دوی ورک وي، ترتیب تر لومړي بدلون پورې کار کوي، او بیا هیڅوک نه شي توضیح کولی چې ولې۔