ExpressRoute plus VPN: koje domene kvara pokrivate?
Drugi IPsec tunel pokriva jednu krajnju točku, a ne krug ispod nje. Mapirajte svaku domenu kvara, zatim odlučite je li dopušten nešifrirani rezervni put.
IPsec tunel koji radi preko privatnog peeringa ExpressRoute dodaje šifriranje transportu koji već postoji. Drugi tunel poboljšava dostupnost krajnje točke i ne čini baš ništa za operatorski put ispod obaju. Tu je razliku lako izgubiti kada nadzorne ploče pokazuju dva zelena tunela, a pregled dizajna postavlja drugo pitanje: koje kvarove ova veza mora preživjeti? Odgovorite najprije na to, pa brojite tunela, jer je broj zelenih pokazatelja svojstvo sloja šifriranja, a broj domena kvara svojstvo cijelog puta.
Počnite od kvarova, a ne od zelenih tunela
Napišite četiri retka prije nego što išta nacrtate: otkaz jedne VPN krajnje točke ili peer instance, otkaz jednog lokalnog usmjerivača ili veze prvog mile, otkaz zajedničkog puta ExpressRoute i nedostupnost IPsec-a dok privatni peering još prenosi promet. Svaki redak imenuje što dizajn mora očuvati, a na svaki odgovara drugi mehanizam.
| Failure | What must survive | What does not cover it |
|---|---|---|
| One VPN endpoint or instance | An alternate encryption endpoint and a route to it | A second tunnel terminating on the same instance |
| One local router or first mile | Independent local equipment and transport reachability | Any number of logical tunnels |
| The ExpressRoute path | A separately designed surviving underlay | An IPsec tunnel layered on the same circuit |
| IPsec unavailable, peering up | The intended encrypted-only or approved fallback policy | Assuming the tunnel is the only route |
Microsoft dokumentira VPN od lokacije do lokacije s privatnim IP adresama preko privatnog peeringa ExpressRoute i podržanu koegzistenciju s internetom temeljenim vezama od lokacije do lokacije. Ta je koegzistencija drukčiji dizajn donjeg sloja i ne pojavljuje se samo zato što ste dodali još jednu krajnju točku privatnog tunela.
Domena kvara 1: VPN krajnja točka
Dva tunela na jednom pristupniku obično su active-active parovi koji završavaju na istom resursu na strani Azurea. Oni štite od problema s jednim tunelom ili instancom, a ne štite od toga da taj resurs postane nedostupan, da se prekonfigurira ili da ostane bez kapaciteta. Redundancija krajnje točke znači drugu podržanu krajnju točku, s vlastitim putem i vlastitom konfiguracijom, plus rutu koja do nje može doći.
Provjerite što ste doista implementirali, a ne što kaže dijagram, jer portal grupira te resurse na načine koji skrivaju njihov odnos:
az network vpn-connection show -g rg-connectivity -n vpn-to-hub --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'Ako oba tunela pokazuju na jedan pristupnik s jednom javnom IP adresom, imate redundanciju krajnje točke posebne i ograničene vrste. To može biti upravo ono što zahtjev traži i tako to treba i navesti, umjesto opisivati kao redundantnu vezu.
Domena kvara 2: lokalni put i operator
Ispod šifriranja stoji fizička i komercijalna stvarnost: uređaj na rubu korisnika, križni spoj, mreža davatelja usluga i lokacija peeringa. smjernice za dostupnost ExpressRoute izričito navode da redundantnost od kraja do kraja uključuje segmente korisnika i davatelja usluga, a ne samo Microsoftovu stranu. Dva logička puta koja dijele usmjerivač, napajanje ili vezu prvog mile i dalje dijele tu ovisnost.
Ovdje dizajn obično pada na iskrenom pregledu. Dva kruga od istog davatelja, koji završavaju u istoj zgradi, na opremi iz iste narudžbe, nisu dvije domene kvara. To je jedna domena kvara s dva računa.
Postavite operatorsko pitanje u pisanom obliku: koji se od tih puteva razilaze, gdje, i koje je dokumentirano ponašanje kada zajednički segment otkaže? Usmeno uvjeravanje tijekom dizajnerskog poziva ne preživljava prekid zbog kojeg dizajnirate.
Domena kvara 3: ruta koja preživljava bez IPsec-a
Privatni peering i IPsec mogu ponuditi konkurentske rute prema istom aplikacijskom prefiksu. Ako zaštićena ruta nestane, preostala izravna ruta ExpressRoute može još biti upotrebljiva, bez sloja šifriranja koji je tunel pružao. Je li to prihvatljivo, odluka je politike i upravo se ta odluka najčešće ostavlja implicitnom.
Zahtjevi za šifriranje i zahtjevi za dostupnost ovdje se mogu istinski sukobiti. „Svaka preostala ruta računa se kao uspjeh“ izjava je o dostupnosti koja tiho odgovara na pitanje šifriranja s „ne“. Zapišite što pobjeđuje, za koje prefikse i tko je to odobrio.
az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o tableUsporedite naučene rute s prefiksima koje ste očekivali. Rezervni put koji nosi mali administrativni teret može biti posve primjeren za taj teret, a daleko od kapaciteta koji proizvodni zahtjev treba, pa zabilježite pretpostavku o kapacitetu uz rutu.
Zabilježite tri odvojena retka, a ne jednu presudu
Držite redundanciju krajnje točke, redundanciju transporta i oporavak od katastrofe kao odvojene unose u dizajnerskom zapisu, svaki sa svojim mehanizmom, svojom provjerom i svojim vlasnikom. Kada pregled incidenta pita zašto je veza preživjela restart pristupnika, ali ne i presjek vlakna, tri retka odgovaraju u jednoj rečenici; jedan kvadratić „redundantno“ to ne može.
Zatim testirajte retke koje možete testirati jeftino. Otkažite jedan tunel i potvrdite da se promet premješta i ponovno šifrira. Povucite jednu rutu i potvrdite da je preostali put onaj koji ste namjeravali, zatim potvrdite je li još šifriran. Dokumentirajte kvarove koje niste mogli simulirati, jer neprovjereni redak je pretpostavka i tako ga treba i označiti.
Koristan rezultat je kratka tablica plus rečenica po retku. Ako redak nema mehanizam, to je nalaz, i mnogo je jeftinije otkriti ga na pregledu dizajna nego tijekom operatorskog prekida koji oba tunela nikada ne bi preživjela.