Peering v Azure ali VPN od VNet do VNet? Odločite pred usmerjanjem

Azure vam ponuja vsaj dva načina povezovanja dveh virtualnih omrežij in to niso zamenljive nastavitve istega predmeta. Peering poveže VNet-e na hrbtenici Microsofta brez prehoda; VPN od VNet do VNet postavi odnos IPsec med dva prehoda, ki jih uvedete, dimenzionirate in spremljate. Odločitev se zvede na tri pogoje, in če pred dodajanjem poti ne morete odgovoriti na vse tri, boste zgradili obhod za model, ki ga niste nikoli izbrali.

Trije pogoji, ki odločajo o modelu

Prvi je, ali kaj v zahtevi potrebuje mejo IPsec, ki je vaša in na katero lahko pokažete. Drugi je, ali so naslovni prostori čisti in se morata dva VNet-a pogovarjati le med seboj. Tretji je, kdo je lastnik kakršne koli tranzitne poti in računa za prehod. Odgovorite v tem vrstnem redu, ker lahko prvi izloči peering, ne glede na to, kako privlačen se zdi drugi.

Oba modela povezuje trda pravila naslavljanja: naslovni prostori VNet-ov se ne smejo prekrivati. Niti peering niti VPN od VNet do VNet nista podprta načina, da bi dva enaka obsega postala nedvoumna, prekrivanje pa zahteva načrt preslikave ali prenovo, ne druge vrste povezave.

Pogoj 1: potrebujete mejo IPsec, ki je vaša?

Peering prenaša promet po zasebni hrbtenici Azure in za samo peered povezavo ne potrebuje prehoda VPN. To je trditev o transportu, ne trditev o šifriranju, ki bi jo lahko dali revizorju kot «izvajamo IPsec». Če zahteva navaja tunel, ki ga konfigurira stranka, določeno politiko IKE ali mejo, ki se konča na opremi pod vašim nadzorom, peering tega ne izpolni, ne glede na to, kako zasebna je hrbtenica.

VPN od VNet do VNet to mejo zagotavlja: dva prehoda, odnos IPsec/IKE, skupne ključe in celotno operativno površino, ki s tem pride. Podedujete stanje tunela, zmogljivost prehoda, omejitve SKU in spremljanje, ki dokazuje, da tunel deluje. To je pravi odgovor, ko se zahteva nanaša prav na to mejo, opisano v pregledu peeringa kot ločena vrsta povezave.

Bodite enako previdni v nasprotni smeri. «Potrebujemo šifriranje med VNet-i» pogosto izpolni lastni TLS delovne obremenitve, in takrat je prehod strošek brez zahteve za njim. Napišite stavek, ki ga bo prebral revizor, preden izberete mehanizem.

Pogoj 2: je topologija neposredna ali mora kaj tranzitirati?

Peering ni tranzitiven. Dva VNet-a, peered v vozlišče, nista s tem povezana med seboj, in pot, ki se zdi delujoča v eno smer, je običajno peering, ki je dosegel Connected le na eni strani. Obe strani morata obstajati in obe morata kazati Connected, in to je prvo, kar preverite, ko promet tiho izgine.

Če je zahteva dostopnost lokalnega omrežja prek vozlišča, je tranzit prehoda ločen načrt s posebnimi vlogami: vozlišče ima prehod, peering spoke omrežja dovoljuje tranzit prehoda, spoke pa mora dovoliti posredovani promet. To so lastnosti peeringa, ne samodejne posledice povezovanja VNet-ov:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Učinkovita tabela poti je pošten odgovor na «ali pot obstaja?». Prikazuje vrsto naslednjega skoka, ki jo bo platforma dejansko uporabila, zato se peering, ki je videti konfiguriran, a ni povezan, pokaže kot manjkajoča ali napačna pot in ne kot uganka.

Pogoj 3: kdo ima tranzitno pot in račun?

Vsak dodatni skok ima lastnika. Pri peeringu nov VNet pomeni nov par peeringov na obeh straneh, za tranzit pa vozlišče, ki še naprej posreduje promet, in tabelo poti, ki še naprej kaže nanj. Pri VPN nov VNet pomeni še en prehod ali še eno povezavo na obstoječem, z lastno zgornjo mejo zmogljivosti, ki jo je treba spremljati.

Strošek sledi enaki obliki, ne pa enakim postavkam: pristojbine za peering so povezava in prenos podatkov, medtem ko VPN doda ure prehoda in lastne pristojbine za prenos. Primerjajte skupno vsoto za topologijo, ki jo boste resnično vozili eno leto, vključno z drugim tunelom in spremljanjem, ne cene ene povezave danes. Vključite delo, ki ga nihče ne zaračuna: nekdo mora menjati ključe, spremljati stanje tunela in odgovoriti na alarm ob treh zjutraj, ko se prehod znova zažene. Prav ta postavka običajno odloči razpravo, ker je edina, ki se nikoli ne pojavi v ponudbi.

Karkoli izberete, preizkusite tri tokove: predvideni, zavrnjeni, ki mora ostati zavrnjen, in primer obnovitve, ko prehod vozlišča ali peering ne deluje. Model, ki razlaga samo srečno pot, ni bil preverjen, bil je prikazan.

Preverite izbiro proti njeni lastni trditvi

Napišite en stavek, ki poimenuje model, mejo in lastnika, nato preverite, ali se uvedeno stanje z njim ujema. Za peering to pomeni oba stanja peeringa Connected, učinkovita pot prikazuje naslednji skok peeringa za ciljni prefiks in na poti ni prehoda. Za VPN od VNet do VNet to pomeni obe povezavi Connected, ujemajoče se ključe in politike na obeh prehodih ter pot, katere naslednji skok je prehod virtualnega omrežja.

Če preveritve nasprotujejo stavku, najprej popravite stavek. Večina zmede v teh načrtih izhaja iz hibrida, ki ga nihče ni opisal: peering za podomrežje delovne obremenitve, VPN za eno staro storitev in tabela poti, ki tiho daje prednost eni od njiju.