Dvije on-prem VPN adrese: dva Azure peera, a ne jedan

Dijagram ima dvije internet veze u poslovnici i jedan Azure VPN gateway, pa gateway lokalne mreže dobija obje javne adrese. Izgleda uredno i ne radi onako kako dijagram implicira. Svaki on-prem VPN uređaj je zaseban odnos s peerom, a Microsoftov dizajn s više uređaja daje svakome vlastiti resurs gatewaya lokalne mreže i vlastitu vezu. Dodavanje druge adrese jednom resursu ne stvara drugi peer. Ono stvara resurs koji ne opisuje ispravno nijedan uređaj.

Mit: jedan gateway, dvije adrese

Gateway lokalne mreže je opis udaljenog peera: jedna javna krajnja tačka i privatni prefiksi iza nje. Ne postoji podržan način da taj resurs znači „bilo koji od ova dva uređaja“.

Ista zabuna ide i u drugom smjeru, gdje se dvije Azure javne IP adrese čitaju kao dokaz da postoje dva Azure gatewaya.

Prebrojite objekte, pa prebrojite tunele

Uzmite dva nezavisno upravljana on-prem uređaja, svaki sa svojom javnom adresom i pristupom istim privatnim mrežama, plus jedan Azure gateway zasnovan na rutiranju u aktivno-aktivnom režimu. Azure gateway ima dvije aktivne instance s odvojenim javnim IP adresama. Svaki on-prem uređaj se povezuje s obje instance. To je puna mreža i broj objekata proizlazi iz nje, a ne iz dijagrama.

Aritmetika je dovoljno kratka da se zalijepi u projektni dokument:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Resurs veze može nositi više od jednog osnovnog tunela, pa četiri tunela ne znače četiri gatewaya virtualne mreže. Dvije Azure javne IP adrese također nisu isti objekti kao dva gatewaya lokalne mreže koji opisuju udaljenu lokaciju.

Šta aktivno-aktivni režim dodaje na Azure strani

Aktivno-aktivni režim mijenja Azure gateway s jedne aktivne instance na dvije, svaka sa svojom javnom IP adresom, i upravo on uopće omogućava punu mrežu. Ne udvostručuje propusnost jednog toka. Također ne uklanja potrebu da on-prem strana podržava višestruko usmjeravanje jednakih troškova ako oba uređaja prosljeđuju istovremeno. Potvrdite režim gatewaya, SKU i mogućnosti udaljenog uređaja prije bilo kakvog postavljanja.

Gateway u pasivnom stanju pripravnosti je potpuno valjan dizajn; jednostavno daje drugačiji broj tunela.

BGP čini oba puta iskoristivim

Za dizajn s više uređaja oba on-prem uređaja pokreću BGP. Dajte svakome jedinstvenu BGP peer adresu i oglašavajte iste predviđene privatne prefikse kroz relevantne putanje. Privatni prefiksi identificiraju zaštićene mreže, dok javne adrese identificiraju gdje završavaju šifrirane veze nosača. Miješanje to dvoje daje dizajn u kojem su svi tuneli aktivni, a rute pogrešne.

Planirajte povratno rutiranje i svaku provjeru stanja koja mora tolerisati bilo koji put. Zdrava IKE sesija na svakoj krajnjoj tački ne dokazuje da radno opterećenje može koristiti svaku oglašenu rutu.

Odabir po toku nije udruživanje propusnosti

Azure odabire put po toku koristeći hash preko adresa i portova toka. U stabilnom stanju paketi određenog TCP ili UDP toka obično idu istim tunelom, a on-prem strana može odabrati drugi tunel za povratni smjer. Zato dva uređaja i četiri tunela poboljšavaju dostupnost, a ne brzinu jednog prijenosa. Kada slajd prodavača obećava agregaciju, on opisuje drugu funkciju ili nesporazum.

Testirajte paralelnim tokovima ako želite vidjeti kako se putevi šire, i jednim tokom ako želite vidjeti granicu.

Koju ste redundantnost zapravo uklonili

Dvije WAN adrese na jednom uređaju poboljšavaju opcije pristupne veze dok dijele napajanje, softver i stanje kvara tog uređaja. Nisu isto što i dva uređaja i nijedna konfiguracija na Azure strani to ne mijenja. Slijedite proizvođačev podržani dizajn s dva WAN-a ili klasterom umjesto da zaključujete redundantnost iz broja adresa. Zatim to testirajte: uklanjajte po jedan put i potvrdite preostale rute plus stvarnu razmjenu aplikacije u oba smjera.

Očekujte kašnjenja otkrivanja i konvergencije i očekujte da će neke postojeće sesije završiti.