Prečo pripojenie typu point-to-site potrebuje bránu Azure VPN založenú na smerovaní

Brána založená na pravidlách vytvára tunel IPsec vyberaný selektormi prevádzky a nemá rozhranie, ktorému by odovzdala klientske trasy. Pripojenie point-to-site je funkcia smerovania: brána vlastní fond klientskych adries a do virtuálnej siete inštaluje trasy k týmto klientom. Práve tento nesúlad je dôvod, prečo portál neponúka žiadnu možnosť ho pridať. Na existujúcej bráne nemožno nič prepnúť, aby rozhranie vzniklo, takže zmena je výmena, nie úprava konfigurácie.

Poradie je dôležitejšie ako jednotlivé kroky. Ak sa sekvencia pomýli, výpadok medzi lokalitami presiahne okno údržby.

Čo brána založená na pravidlách skutočne robí

Brána založená na pravidlách porovnáva pakety so selektormi prevádzky nakonfigurovanými na pripojení a zhody posiela do jedného tunela. Neexistuje tunelové rozhranie s adresou a vo virtuálnej sieti sa nikde neobjaví trasa pre jednotlivého klienta. Smerovacia tabuľka jednoducho získa miestne prefixy ukazujúce na bránu. Tento model stačí na prepojenie medzi lokalitami medzi dvoma pevnými adresnými priestormi.

Brána založená na smerovaní funguje opačne: ponúka tunelové rozhranie a trasy určujú, čo doň vstúpi. Pripojenie point-to-site a každý návrh, ktorého sada partnerov sa mení, závisia od existencie tohto rozhrania.

Prečo fond klientov potrebuje toto rozhranie

Keď sa notebook pripojí, brána mu pridelí adresu z fondu point-to-site. Virtuálna sieť potom potrebuje trasu, ktorá hovorí, že táto adresa je dostupná cez bránu. Bez tunelového rozhrania niet kam tú trasu pripojiť.

Fond pochádza z rozsahu, ktorý určíte, a brána z neho prideľuje. Ak sa tento rozsah prekrýva s miestnou sieťou alebo s prepojenou virtuálnou sieťou, konflikt sa prejaví až po pripojení klienta, čo je zlý okamih na jeho odhalenie. Fond rezervujte pred začiatkom migrácie.

Ani typ nie je nastavením pre jednotlivé pripojenie. Jedna brána má jeden typ a každé pripojenie, ktoré drží, sa správa podľa toho, takže zmiešaný návrh potrebuje druhú bránu, nie druhé pripojenie.

Typ je pevne daný pri vytvorení

Microsoft uvádza, že bránu virtuálnej siete nemožno po nasadení zmeniť medzi založenou na pravidlách a založenou na smerovaní. Neexistuje príkaz na konverziu ani prepínač na portáli. Vytvorenie druhej brány v tej istej podsieti tiež nie je náhradným riešením, pretože Azure povoľuje jednu bránu na virtuálnu sieť. Migrácia je preto odstrániť, znovu postaviť a znovu pripojiť.

To zahŕňa aj rozhodnutie o SKU do tej istej stavby. Prechod na väčšie SKU neskôr je ďalšia výmena brány s ďalším výpadkom.

Jedna brána, jedna GatewaySubnet

Brána žije v podsieti s názvom GatewaySubnet a zaberá ju iba jedna brána. Dimenzovanie tejto podsiete patrí k príprave, pretože väčšie SKU potrebuje viac adries a podsieť sa neskôr nedá zmenšiť. Pred akýmkoľvek zásahom zaznamenajte aktuálne nastavenia medzi lokalitami, zdieľaný kľúč, bránu miestnej siete a efektívne trasy. Potom okno berte ako výpadok, pretože tunel medzi lokalitami zostane vypnutý, kým sa nenakonfiguruje nové pripojenie.

Poradie prestavby, ktoré udrží výpadok ohraničený: vytvorte bránu založenú na smerovaní, znovu vytvorte prepojenie medzi lokalitami k tej istej bráne miestnej siete, potvrďte tunel a jednu požiadavku hosť–hosť a až potom pridajte point-to-site a vygenerujte nový klientsky balík.

Čo výmena neopraví

Druhé obmedzenie patrí partnerovi, nie Azure. Miestne zariadenie založené na pravidlách dosiahne len virtuálnu sieť, ku ktorej sa pripája, a nemôže cez tú istú bránu prechádzať do iných miestnych sietí ani iných virtuálnych sietí. Výmena strany Azure nemení to, čo partner môže vybrať.

Ak je požiadavkou skutočne tranzit medzi lokalitami, odpoveďou je partnerské zariadenie založené na smerovaní alebo topológia, v ktorej každé cieľové miesto končí samostatne. Vyriešte to skôr, než sľúbite termín, pretože samotná výmena brány to nedodá.

Poradie operácií a kontrol

Každú schopnosť overujte samostatne. Najprv stav tunela medzi lokalitami a jednu požiadavku hosť–hosť, potom pripojenie point-to-site a jeden súkromný prostriedok, potom akúkoľvek tranzitnú cestu, ktorú návrh tvrdí. Zelený stav brány dokazuje len to, že sa zdvihla bezpečnostná asociácia, a nič viac. Kontroly držte v tomto poradí, aby zlyhanie ukázalo na etapu, ktorá ho zaviedla.

Po každej zmene topológie znova vygenerujte klientske balíky a fond držte mimo každého miestneho a prepojeného rozsahu. Obmedzenia a rozdiely medzi SKU sú zhrnuté v referencii nastavení Azure VPN Gateway.