Treba li peerirani Azure VNet vlastiti VPN pristupnik?

Pojavljuje se novi spoke VNet, hub već ima radni site-to-site pristupnik, a očito pitanje je morate li platiti drugi pristupnik. Obično ne: tranzit pristupnika omogućuje spokeu da preko peeriranja koristi hubov pristupnik. Tri uvjeta odlučuju hoće li to raditi, a nijedan se ne vidi na znački statusa peeriranja. Povezivost peeriranja i dopuštenje za korištenje tuđeg pristupnika odvojene su postavke, pa dva VM-a koja se već mogu pingati ne dokazuju ništa o VPN putu.

Prvi uvjet: pristupnik i spokeov nedostatak istoga

Azure podržava tranzit pristupnika za VPN Gateway SKU-ove osim Basic, a nose ga i regionalno i globalno peeriranje. Spoke troši pristupnik koji ne posjeduje, pa ne može imati vlastiti: ako u spokeu već postoji pristupnik ili je već odabrana opcija udaljenog pristupnika, postavka tranzita koju želite bit će nedostupna ili neučinkovita. Provjerite to prije nego što bilo što otklanjate, jer onemogućeno polje za potvrdu je simptom, a ne kvar. Prvo pročitajte SKU i postojeći pristupnik, pa pogledajte postavke peeriranja.

Ne brišite postojeći spokeov pristupnik da bi se opcija pojavila dok ne saznate što o njemu ovisi. Redoslijed migracije važniji je od polja za potvrdu.

Drugi uvjet: jedna postavka u svakom smjeru peeriranja

Peeriranje su dva objekta, po jedan na svakom VNetu, a postavke tranzita žive na različitim stranama tog para. Hubovo peeriranje prema spokeu mora dopustiti hubovom pristupniku da opslužuje spoke; spokeovo peeriranje prema hubu mora prihvatiti hubov pristupnik. Microsoftov vodič za tranzit pristupnika imenuje ih po smjeru, što je jedini način da ih zadržite ispravnima:

Kontrola označena s remote mijenja značenje ovisno o tome čije peeriranje uređujete, pa čitajte smjer, a ne riječ. Postavite obje strane, spremite i potvrdite da peeriranje prijavljuje povezanost na oba mjesta.

Treći uvjet: adresni prostor i granice dopuštenja

Tranzit ne može učiniti da isti odredišni prefiks znači dvije mreže, pa se rasponi huba, spokea i lokalne mreže moraju razlikovati prije nego što bilo što od ovoga proradi. VNetovi mogu biti i u različitim pretplatama ili različitim zakupcima; to nije zabrana, ali identitet koji stvara ili ažurira svako peeriranje treba potrebna dopuštenja na toj mreži. Promjene između pretplata često padaju na dopuštenjima, a pogrešku je lako pogrešno pročitati kao problem topologije.

Zapišite raspone i vlasnike prije promjene. Pogađanje bilo čega od toga daje peeriranje koje se povezuje i ništa ne usmjerava.

Provjeravajte efektivnim rutama, a ne statusom peeriranja

Pogledajte efektivne rute na mrežnom sučelju spokeovog radnog opterećenja i pronađite stvarni prefiks lokalne mreže. Provjerite tablicu ruta podmreže i je li propagacija pristupničkih ruta onemogućena, jer korisnički definirana ruta ili uređaj za inspekciju može nadjačati put koji sugeriraju oznake peeriranja. Zatim potvrdite drugi smjer: lokalna mreža mora znati kako doći do spokeovog prefiksa preko site-to-site veze, bilo naučenim objavama bilo eksplicitnom rutom i odgovarajućim unosom zaštićene mreže na korisničkom uređaju. Ako prefiks nedostaje na bilo kojoj strani, oznake peeriranja nisu ono što treba mijenjati.

Testirajte jednu uslugu sa spokeovog radnog opterećenja i pratite odgovor. Test s VPN pristupnika ili s hubovog VM-a koristi drugačiji izvorni prefiks i drugačiji put.

Ako topologija opslužuje i point-to-site klijente, zasebno provjerite njihove instalirane rute. Windowsovi klijentski paketi mogu zahtijevati ponovno generiranje nakon promjene topologije, a to je zadatak klijentskog usmjeravanja, a ne dokaz da je dijeljenje pristupnika propalo.

Što dijeljenje pristupnika ne daje

Tranzit pristupnika je pogodnost usmjeravanja, a ne autorizacija. Mrežne sigurnosne grupe, lokalni filtri i pravila na razini usluge i dalje odlučuju do čega spokeovo radno opterećenje može doći, pa omogućite konkretnu uslugu od izvora do odredišta umjesto da pretpostavite da dijeljeni tunel dopušta sve iza sebe.

Peeriranje također nije tranzitivno onako kako ljudi priželjkuju. Dodavanje još jednog spokea ili privatne krajnje točke uvodi vlastite zahtjeve za usmjeravanjem i pristupom koje trenutna postavka tranzita ne pokriva.