Zmena verejnej IP brány VPN v Azure a presun predplatného

Runbook na výmenu verejnej IP brány VPN a jej presun medzi predplatnými, s inventúrou, návratom a kontrolami kontextu, ktoré držia tunely v prevádzke.

V Azure odpovedajú na názov adresa brány tri rôzne objekty. Privátna adresa sa prideľuje z GatewaySubnet. Verejná adresa je samostatný prostriedok verejnej IP, na ktorý ukazuje IP konfigurácia brány. Predplatné a cloudové prostredie sú kontext, ktorým vaša konzola nachádza jedno aj druhé. Zmeňte jedno a zvyšné dve zostanú na mieste, preto práca s adresami tak často skončí v polovici.

Tieto zmeny robím v štyroch fázach: inventúra objektov, rozhodnutie, či sa verejná IP presunie na existujúcu bránu alebo sa brána prestaví, vykonanie zmeny, kým je stará adresa ešte k dispozícii, a potom overenie každého tunela z oboch strán pred zmazaním. Fáza, ktorú ľudia preskakujú, je inventúra.

Ktorý z troch objektov vlastne meníte

Pomenujte objekt skôr, než otvoríte portál. Brána VPN berie privátnu adresu z podsiete, ktorá sa musí volať presne GatewaySubnet, a Azure ju prideľuje z tohto prefixu; všeobecné pole na jej pripnutie neexistuje. Adresa vyzerá stabilne len preto, že podsiet je stabilná. Prečíslujte podsiet alebo prestavte bránu a adresa sa s nimi posunie.

Verejnú adresu možno upraviť, ale pravidlá SKU rozhodujú, či je úprava prípustná. Brána Basic sa páruje s dynamickou verejnou IP Basic, SKU VpnGw potrebujú statickú Standard a zónovo redundantná brána potrebuje verejnú IP Standard s rovnakými zónami. Nesprávne SKU sa odmietne skôr, než tunel spadne.

ObjectWhere it livesWhat a change forces
Private addressGatewaySubnet prefix, assigned at deploymentSubnet resize or rebuild, then routes, NSGs and peer review
Public addressPublic IP resource referenced by the IP configurationGateway reprovision, peer and allowlist edits, new client profiles
Subscription contextYour PowerShell or CLI sessionNothing in Azure, and it clears most not-found errors

Inventúra, kým sa niečo pohne

Najprv preukážte predplatné, pretože bez neho je zvyšok inventúry bezcenný. Zaznamenajte bránu, jej IP konfigurácie a každé pripojenie, ktoré na nej končí, a výstup uložte vedľa záznamu o zmene.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

ID prostriedkov sú dôležitejšie ako názvy. Pripojenie drží odkazy na bránu a na miestnu sieťovú bránu a tieto ID sa objavujú v skriptoch, upozorneniach a priradeniach pravidiel, ktoré si nikto nepamätá. Vypíšte aj to, čo je mimo Azure: meno DNS, ktoré sa prekladá na adresu, zoznam povolení partnera, pobočkový firewall, ktorý drží starú IP.

Výmena verejnej IP na bežiacej bráne

Najprv vytvorte náhradnú adresu v tej istej oblasti a so sadou zón zodpovedajúcou bráne, a starý prostriedok nechajte na mieste. Potom prestavte IP konfiguráciu a odošlite aktualizáciu jediným volaním. To nahrádza celú kolekciu konfigurácií, takže aktívne-aktívna brána potrebuje obe, inak si ponecháte jeden tunel a o druhý prídete.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Tunely padnú, kým sa brána znova sprístupňuje. Vzdialená strana potrebuje plán: partnerský firewall ponúka starú adresu, kým ju niekto neupraví, a pripojenie, ktorého vzdialený koniec očakáva predchádzajúcu IP, zostane dole, nech Azure vyzerá akokoľvek zdravo. Pred oknom znížte TTL DNS.

Klienti point-to-site potrebujú nový profil, pretože stiahnutý balík nesie koncový bod. Vlastné meno DNS pred bránou vás ušetrí redistribúcie: ponechajte meno, zmeňte záznam.

Presun brány do iného predplatného

Presun prostriedkov sťahuje sadu a samotná brána je jej najmenej užitočný člen. Virtuálna sieť, prostriedky verejných IP, miestne sieťové brány a pripojenia cestujú spolu, pretože každý drží odkaz na iný. Cieľové predplatné musí byť v rovnakom tenantovi, Microsoft.Network v ňom musí byť registrovaný a na oboch stranách potrebujete právo zápisu.

Validácia beží pred akoukoľvek zmenou, takže odmietnutý presun nechá prostriedky na mieste. Preto si presun zaslúži pokus pred prestavbou: úspešný presun nesie verejnú IP so sebou, takže partneri a zoznamy povolení fungujú ďalej, kým prestavaná brána málokedy vráti rovnakú adresu.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Čítajte zlyhanie validácie, namiesto toho, aby ste ho opakovali. Obvyklé príčiny sú ponechaná závislosť, typ prostriedku, ktorý nemožno presunúť, alebo zámok na niektorej zo skupín prostriedkov. Ak je presun nemožný, prestavte v cieli a prepnite: potvrďte smerovanie a overovanie z testovacej podsiete, staré pripojenia zastavte, namiesto aby ste ich mazali, a starú cestu odstráňte v neskoršom okne.

Keď brána vyzerá ako chýbajúca, skontrolujte kontext

Chyba nenájdené je obvykle chyba rozsahu. Účet s viacerými predplatnými namieri cmdlet na nesprávne a správa obviní prostriedok. Hľadajte objekt podľa plného ID prostriedku: ID nesie vlastné predplatné, takže ak sa vyrieši, nič nechýba a váš predvolený kontext je nesprávny.

Ďalšie dve nezhody sa čítajú rovnako. Brána komerčného cloudu neexistuje v relácii zameranej na vládne alebo čínske prostredie a staršie verzie modulov prehliadajú tvary prostriedkov, ktoré API už vracia. Pripnite predplatné, zlaďte prostredie a potom otvorte prípad.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Overte z oboch strán pred upratovaním

Pripojené je stav, nie dôkaz. Skontrolujte stav tunela pre každé pripojenie, stav BGP partnera, ak používate dynamické smerovanie, a efektívne trasy v pracovnej podsieti. Potom prepustite jednu skutočnú požiadavku cez aplikáciu, ktorá závisí od tunela. Pripojenie sa môže hlásiť ako pripojené, kým potrebný prefix v tabuľke trás chýba.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Držte starú verejnú IP odpojenú, nie zmazanú, kým sa okno návratu neuzavrie, a zapíšte úpravy partnera a firewallu, aby ich bolo možné vrátiť v poradí.

  • Kontext pripnutý k predplatnému, ktoré bránu vlastní
  • Stará verejná IP zachovaná, jej závislosti zapísané
  • Každé pripojenie zelené a jedna skutočná požiadavka cez ne
  • Používatelia point-to-site presunutí na obnovený profil
  • Záznam DNS zmenený a jeho predchádzajúca hodnota zaznamenaná

Súvisiace články