Nastavenie GatewaySubnet v Azure: rezervujte ho pred bránou

Otvorte virtuálnu sieť na portáli a pozrite sa na adresný priestor, než sa dotknete panela podsiete. Ak je tá /24 už rozdelená na podsiete pracovných zaťažení a nič nie je voľné, nie je miesto na rezerváciu /27 a skončíte buď novým delením, alebo rozšírením VNet, čo je iná zmena s inou revíziou. Najprv vyriešte priestor, potom vytvorte podsieť.

Na tom poradí záleží, pretože podsieť brány nie je podsieť pracovného zaťaženia so špeciálnym názvom. Je to rezervácia adries pre spravované inštancie brány a Azure bránu odmietne, ak je rezervácia nesprávna.

Začnite adresným priestorom

Než niečo napíšete, zapíšte prefix VNet, podsiete pracovných zaťažení a rezerváciu brány na jeden riadok. VNet na 10.60.0.0/16 má miesto; zvoľte rozsah na konci, aby rast pracovných zaťažení zostal súvislý.

Napríklad 10.60.255.192/26 necháva 64 adries pre bránu, zatiaľ čo pracovné zaťaženia zostávajú v 10.60.0.0/20. To je príklad plánovania adries, nie sľub veľkosti. Microsoft teraz vyžaduje /27 alebo väčší pre brány VPN mimo Basic, kde väčší znamená viac adries: /26 dáva 64, zatiaľ čo /28 dáva 16. Zaokrúhľujte nahor, nikdy nadol, kým sa plán adries ešte hýbe.

Vytvorte podsieť s presným názvom

Na portáli pridajte podsieť a napíšte názov GatewaySubnet presne, veľké G a veľké S, bez medzier alebo prípony. Azure porovnáva tento reťazec, takže Gateway-Subnet alebo gateway vytvorí podsieť, ktorú služba brány nepoužije.

Ten istý krok z CLI, ktorý sa ľahšie zapisuje do revízie:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Nechajte podsieť prázdnu. Žiadny VM, žiadny privátny endpoint, žiadna delegácia služby. Ak tam už niečo žije, nasadenie zlyhá a chyba málokedy pomenuje prekážajúci prostriedok, takže si pred začiatkom prejdite zoznam prostriedkov podsiete.

Udržujte spravovanú podsieť bez pravidiel pracovných zaťažení

Nepripájajte k tejto podsiesti skupinu zabezpečenia siete; Microsoft to označuje ako nepodporované. Nepripájajte smerovaciu tabuľku, ktorej predvolená trasa posiela 0.0.0.0/0 niekam inam, pretože to môže narušiť prevádzku brány, a propagáciu trás brány nechajte zapnutú.

Obmedzenia prístupu, ktoré ste naozaj chceli, dajte na podsieť pracovného zaťaženia alebo na hranicu kontroly. Zaobchádzať s GatewaySubnet ako s bežnou podsietou je chyba, ktorá vytvorí bránu, ktorá sa čisto nasadí a potom neprepustí žiadnu prevádzku.

Vynútené tunelovanie má vlastný dokumentovaný návrh. Improvizovaná predvolená trasa na podsiesti brány to nie je.

Skontrolujte závislosti, ktoré portál nezobrazuje

Než stlačíte vytvoriť, prejdite zoznam: presný názov, prefix vnútri priestoru VNet, žiadne prekrytie s miestnymi rozsahmi, žiadne prostriedky pracovných zaťažení vnútri, žiadna NSG a žiadna smerovacia tabuľka s predvolenou trasou. Každá z týchto vecí už rozbila skutočné nasadenie. Potom potvrďte širší návrh: miestnu sieťovú bránu pre miestnu stranu, adresné priestory, ktoré chcete smerovať, a či sa plánuje aktívny-aktívny režim alebo koexistencia. Tieto voľby menia rozhovor o veľkosti a je oveľa lacnejšie vyriešiť ich teraz.

Stránka Referencia nastavení brány Azure je to, na čo sa odkazuje, keď sa niekto pýta, prečo podsieť nemôže pojať VM.

Ak brána už existuje

Zmena veľkosti alebo nahradenie podsiete brány nie je úprava masky. Najprv skontrolujte podporovaný postup zmeny pre SKU a generáciu brány a vypíšte závislé objekty: pripojenia, verejné IP adresy, smerovanie a prípadné požiadavky na obnovu.

Ak postup vyžaduje opätovné vytvorenie brány, naplánujte to ako migráciu služby s oknom a návratom. Zaznamenajte rezerváciu, ktorú ste zvolili, dôvod veľkosti a pravidlá, ktoré ste zámerne nepripojili, aby ďalší recenzent neopravil prázdnu podsieť pridaním NSG.