Smerovanie prevádzky medzi dvoma pobočkami cez bránu Azure VPN
Dve pripojenia Site-to-Site na jednej bráne Azure VPN môžu prepúšťať prevádzku pobočiek, ale len vtedy, keď sa oba konce naučia prefix a existuje spätná cesta v LAN.
Dve pobočky môžu vymieňať prevádzku cez bránu Azure VPN bez akéhokoľvek priameho tunela medzi sebou. Každá pobočka otvorí pripojenie Site-to-Site k tej istej bráne a brána odovzdáva naučené prefixy medzi oboma pripojeniami. Funguje to nie vďaka druhému tunelu, ale vďaka výmene trás: pobočka A sa musí naučiť prefix pobočky B a B zas prefix A. Prejdite nižšie uvedené kontroly v poradí a zastavte sa pri prvej, ktorá zlyhá, pretože na nej závisí každý ďalší krok.
Predpoklady, skôr než čokoľvek nakonfigurujete
O tom, či tento návrh vôbec môže fungovať, rozhodujú štyri podmienky. Brána musí byť založená na trasách a na SKU, ktoré podporuje BGP, obe pripojenia musia mať zapnutý BGP, adresné priestory pobočiek sa nesmú prekrývať a žiadna strana nesmie spoliehať na NAT, aby skryla svoj skutočný prefix.
ASN plánujte zámerne. Dokumentovaná predvolená hodnota v Azure je 65515 a každý smerovač pobočky potrebuje vlastné privátne ASN, ktoré nekoliduje s bránou ani s druhou pobočkou. Opätovné použitie predvolenej hodnoty bez kontroly existujúcej konfigurácie brány je spôsob, akým je cesta AS neskôr odmietnutá.
Uistite sa tiež, že neočakávate správanie partnerského prepojenia VNet. Brána vymieňa trasy medzi dvoma pripojeniami, ktoré ste nakonfigurovali; nerobí ľubovoľné partnerské prepojenia tranzitívnymi. Ak má tretia sieť dosiahnuť obe pobočky, potrebuje vlastné pripojenie alebo vlastnú cestu trasy, nie predpoklad, že brána prevádzku rozdelí. Zapíšte túto hranicu pred prvým oknom zmien, pretože je to rozhodnutie o návrhu, ku ktorému sa ľudia vracajú, keď sa neskôr pridá ďalšia lokalita.
Konfigurujte v tomto poradí
Každý krok má pozorovateľný výsledok, takže nepokračujte, kým sa neobjaví.
- Zapnite BGP na bráne virtuálnej siete a poznamenajte si jej ASN a adresu partnera.
- Vytvorte miestnu sieťovú bránu pre každú pobočku s jej skutočným adresným priestorom, jej ASN a adresou partnera BGP.
- Vytvorte každé pripojenie Site-to-Site a zapnite BGP na samotnom pripojení.
- Nakonfigurujte smerovač pobočky, aby sa prepojil s adresou brány, ktorú Azure pridelil, nie s verejným koncovým bodom IKE brány na základe predpokladu.
Štvrtý krok je miesto, kde väčšina pokusov uviazne. Adresa partnera BGP, ktorú Azure hlási, je tá, ktorú musí smerovač pobočky použiť ako suseda, a nie vždy je to adresa, ktorú ľudia očakávajú z diagramu tunela.
Inzerujte samotný prefix pobočky, napríklad 10.10.0.0/16 z A a 10.20.0.0/16 z B. Neinzerujte predvolenú trasu ani široký agregát, aby ste zakryli chýbajúcu konkrétnu sieť; medzera sa neskôr vráti ako tichá čierna diera.
Overte výmenu trás na oboch koncoch
Stav pripojenia nie je kontrola. IPsec môže byť na oboch pripojeniach zapnutý, pričom medzi nimi neprechádza jediný prefix. Prečítajte si partnerov BGP brány a jej naučené trasy a potom potvrďte, že sa trasa k druhej pobočke objavuje ako použiteľná cesta.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Prefix prítomný v tabuľke BGP môže stále prehrať rozhodnutie o preposielaní so statickou trasou alebo konkrétnejším prefixom. Kontrolujte vybranú trasu, nielen prijatú.
Sledujte spätnú cestu na strane LAN
Toto je časť, ktorá vyzerá v Azure správne a na mieste zlyhá. Hostiteľ v pobočke A pošle svoj paket smerovaču VPN pobočky A len vtedy, keď je tento smerovač jeho predvolenou bránou, alebo keď hostiteľ alebo jeho brána má trasu k prefixu B. To isté musí platiť v opačnom smere.
Ak je samostatný chrbtový prepínač predvolenou bránou LAN, potrebuje trasu k druhej pobočke smerujúcu na smerovač VPN. Bez nej požiadavka dorazí a odpoveď odíde internetovou cestou a používateľ vidí spojenie, ktoré sa otvorí a potom zamrzne.
Neriešte to skupinou zabezpečenia siete v podsieti brány. Táto podsiet má vlastné požiadavky a NSG tam nie je podporovanou náhradou politiky na strane pobočky. Filtrovanie patrí na brány firewall pobočiek a na samotné úlohy, kde pravidlá môžu kontrolovať ich vlastníci. Presun týchto pravidiel do NSG podsiete ich navyše skryje pred tímom, ktorý bude ladiť ďalší výpadok.
Povoľte operáciu a potom ju dokážte odmietnutým testom
Naučená trasa nie je oprávnenie. Povoľte zdroj, cieľ a službu, ktoré skutočne potrebujete, cez brány firewall pobočiek a politiku koncového bodu, a zvyšok nechajte odmietnutý.
Testujte z bežnej úlohy v pobočke A na skutočnú službu v pobočke B, potvrďte odpoveď a potom skúste operáciu, ktorá má zostať zakázaná. Prevádzka generovaná samotným zariadením VPN môže použiť inú zdrojovú adresu a preskočiť fázu smerovania v LAN, takže úspešný ping zo smerovača dokazuje menej, než sa zdá.
Na záver zapíšte štyri fakty: vymenené prefixy, použité ASN, spätnú cestu LAN pre každú stranu a politiku, ktorá službu povoľuje. Ak jedno z nich chýba, nastavenie funguje do prvej zmeny a potom už nikto nedokáže vysvetliť prečo.