Usmerjanje prometa med dvema podružnicama prek prehoda Azure VPN
Dve povezavi Site-to-Site na enem prehodu Azure VPN lahko prepustita promet podružnic, a le kadar se oba konca naučita predpone in obstaja povratna pot v LAN.
Dve podružnici si lahko izmenjujeta promet prek prehoda Azure VPN brez kakršnega koli neposrednega tunela med njima. Vsaka podružnica odpre povezavo Site-to-Site do istega prehoda, prehod pa posreduje naučene predpone med obema povezavama. To deluje ne zaradi drugega tunela, ampak zaradi izmenjave poti: podružnica A se mora naučiti predpono podružnice B, B pa predpono A. Pojdite skozi spodnja preverjanja po vrsti in se ustavite pri prvem, ki spodleti, ker je vsak naslednji korak odvisen od njega.
Predpogoji, preden karkoli konfigurirate
O tem, ali lahko ta zasnova sploh deluje, odločajo štirje pogoji. Prehod mora temeljiti na poteh in biti na SKU, ki podpira BGP, obe povezavi morata imeti omogočen BGP, naslovni prostori podružnic se ne smejo prekrivati in nobena stran se ne sme zanašati na NAT, da bi skrila svojo resnično predpono.
ASN načrtujte namerno. Dokumentirana privzeta vrednost v Azure je 65515 in vsak usmerjevalnik podružnice potrebuje svoj zasebni ASN, ki ne trči ob prehod ali drugo podružnico. Ponovna uporaba privzete vrednosti brez preverjanja obstoječe konfiguracije prehoda je način, kako je pot AS pozneje zavrnjena.
Preverite tudi, da ne pričakujete vedenja medsebojnega povezovanja VNet. Prehod izmenjuje poti med dvema povezavama, ki ste ju konfigurirali; ne naredi poljubnih medsebojnih povezav prehodnih. Če mora tretje omrežje doseči obe podružnici, potrebuje svojo povezavo ali svojo pot, ne pa domneve, da bo prehod promet razdelil. Zapišite to mejo pred prvim oknom sprememb, ker je to odločitev o zasnovi, h kateri se ljudje vračajo, ko je pozneje dodana nova lokacija.
Konfigurirajte v tem vrstnem redu
Vsak korak ima opazen rezultat, zato ne nadaljujte, dokler se ne pojavi.
- Omogočite BGP na prehodu virtualnega omrežja in zabeležite njegov ASN in naslov partnerja.
- Ustvarite lokalni omrežni prehod za vsako podružnico z njenim resničnim naslovnim prostorom, njenim ASN in naslovom partnerja BGP.
- Ustvarite vsako povezavo Site-to-Site in omogočite BGP na sami povezavi.
- Konfigurirajte usmerjevalnik podružnice, da se poveže z naslovom prehoda, ki ga je dodelil Azure, ne pa s javno končno točko IKE prehoda na podlagi domneve.
Četrti korak je mesto, kjer se ustavi večina poskusov. Naslov partnerja BGP, ki ga poroča Azure, je tisti, ki ga mora usmerjevalnik podružnice uporabiti kot soseda, in ni vedno naslov, ki ga ljudje pričakujejo iz diagrama tunela.
Oglašujte samo predpono podružnice, na primer 10.10.0.0/16 iz A in 10.20.0.0/16 iz B. Ne oglašujte privzete poti ali širokega združevanja, da bi pokrili manjkajoče določeno omrežje; vrzel se pozneje vrne kot tiha črna luknja.
Preverite izmenjavo poti na obeh koncih
Stanje povezave ni preverjanje. IPsec je lahko aktiven na obeh povezavah, medtem ko med njima ne prehaja nobena predpona. Preberite partnerje BGP prehoda in njegove naučene poti, nato potrdite, da se pot proti drugi podružnici pojavi kot uporabna pot.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Predpona, prisotna v tabeli BGP, lahko še vedno izgubi odločitev o posredovanju proti statični poti ali bolj določeni predponi. Preverite izbrano pot, ne le prejeto.
Sledite povratni poti na strani LAN
To je del, ki je v Azure videti pravilen in na mestu spodleti. Gostitelj v podružnici A pošlje svoj paket usmerjevalniku VPN podružnice A le, če je ta usmerjevalnik njegov privzeti prehod, ali če ima gostitelj ali njegov prehod pot do predpone B. Enako mora veljati v nasprotni smeri.
Če je ločeno hrbtenično stikalo privzeti prehod LAN, potrebuje pot proti drugi podružnici, ki kaže na usmerjevalnik VPN. Brez nje zahteva prispe in odgovor odide po internetni poti, uporabnik pa vidi povezavo, ki se odpre in nato obvisi.
Za to ne posegajte po varnostni skupini omrežja v podomrežju prehoda. To podomrežje ima svoje zahteve in NSG tam ni podprta zamenjava za politiko na strani podružnice. Filtriranje sodi na požarne zidove podružnic in na same delovne obremenitve, kjer lahko pravila pregledajo njihovi lastniki. Premikanje teh pravil v NSG podomrežja jih tudi skrije pred ekipo, ki bo odpravljala naslednjo napako.
Dovolite operacijo in jo nato dokažite z zavrnjenim testom
Naučena pot ni dovoljenje. Dovolite vir, cilj in storitev, ki jih resnično potrebujete, prek požarnih zidov podružnic in politike končne točke, preostanek pa pustite zavrnjen.
Preizkusite iz običajne delovne obremenitve v podružnici A do prave storitve v podružnici B, potrdite odgovor in nato poskusite operacijo, ki mora ostati prepovedana. Promet, ki ga ustvari sama naprava VPN, lahko uporabi drug naslov vira in preskoči fazo usmerjanja v LAN, zato uspešen ping z usmerjevalnika dokaže manj, kot se zdi.
Končajte tako, da zapišete štiri dejstva: izmenjane predpone, uporabljene ASN, povratno pot LAN za vsako stran in politiko, ki dovoljuje storitev. Če katero od njih manjka, nastavitev deluje do prve spremembe, nato pa nihče ne more pojasniti, zakaj.