Inspektimi i NVA në Azure: pse përgjigja kalon nga një firewall tjetër

Një fluks nga dega në Azure mund të rrugëtohet saktë në të dy drejtimet dhe prapë të dështojë, sepse dy drejtimet kalojnë nga pajisje të ndryshme. Kërkesa largohet nga dega përmes VPN, zbret në NVA A dhe arrin ngarkesën e punës. Përgjigja largohet nga ngarkesa e punës, përputhet me një rrugë që tregon për NVA B dhe vdes atje. Çdo rrugë në atë pamje është e vlefshme, dhe sesioni TCP është ende i thyer.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Ai boshllëk është e gjithë tema këtu: konvergjenca e rrugëtimit dhe pronësia e gjendjes së sesionit janë probleme të ndryshme që duken identike në një diagram.

Çfarë programon në të vërtetë Route Server

Azure Route Server bën peering me folësit BGP të mbështetur, mëson rrugët e tyre dhe i programon ato në rrugët efektive të rrjetit virtual. Ky është punë e planit të kontrollit. Ai nuk lexon tabelën e sesioneve të një firewall-i të shitësit dhe nuk e di se cila pajisje pranoi një lidhje të caktuar. Dy hapat e ardhshëm me kosto të barabartë janë, për këtë pëlhurë, thjesht dy mënyra për të arritur të njëjtin prefiks, dhe do të përdorë cilindo.

Mësimi i një rrugë pra provon arritshmërinë. Nuk provon asgjë për faktin nëse pajisja në skajin tjetër e ka parë më parë këtë fluks.

Lexoni të dy drejtimet përpara se të projektoni

Filloni duke shkruar drejtimin që keni në të vërtetë në secilin drejtim, jo atë që kishit ndërmend. Rrugët BGP më specifike, rrugët e përcaktuara nga përdoruesi dhe sjellja e portës konkurrojnë të gjitha, dhe fituesi vendoset për destinacion, jo për sesion. Një rrugë e paracaktuar në NVA nuk do të thotë që çdo prefiks privat kalon nëpër të.

Një kontroll i dobishëm është të pyesni, për një IP të caktuar të ngarkesës së punës, në cilin hap të ardhshëm zgjidhet secili drejtim. Nëse përgjigjja është dy pajisje të ndryshme, keni një problem asimetrie, pavarësisht nëse është shfaqur tashmë apo jo.

Ku jeton gjendja

Një firewall me gjendje pranon një lidhje dhe mban një hyrje tabele me çelës mbi pesëshen. Përgjigja duhet të arrijë pajisjen që mban atë hyrje, ose ajo pajisje duhet ta marrë gjendjen në një mënyrë tjetër. Asgjë në planin e të dhënave të Azure nuk e përcjell hyrjen mes pajisjeve. Ose trafiku drejtohet përsëri te pronari, ose pajisjet ndajnë gjendjen përmes një mekanizmi të shitësit, ose dizajni nuk funksionon.

Kjo është arsyeja pse dy NVA të shëndetshme nuk janë një kontroll shëndetësor për inspektimin. Shëndeti ka të bëjë me arritshmërinë; inspektimi ka të bëjë me atë se cila instancë mban sesionin.

Modelet HA të mbështetura dhe çfarë premton secili

Microsoft's guidance on qëllimin e rrugëtimit të Virtual WAN përshkruan sjellje të kufizuar për lidhjen me rol të dyfishtë dhe NVA-t e firewall-it, ku rrugëtimi i drejtpërdrejtë mund të anashkalojë zbatimin normal simetrik të hub-it. Lexoni ato shënime si kufizime mbi topologjinë që keni zgjedhur, jo si ndalim të dizajneve aktiv-aktiv. Një palë e shitësit që sinkronizon gjendjen, ose drejton për çdo fluks, mund të mbështetet. Një palë me kosto të barabartë që nuk bën asnjërën nuk mbështetet.

Më pas përcaktoni çfarë ndodh me sesionet ekzistuese kur një nyje dështon. Konvergjenca e rrugëve riktheu arritshmërinë për flukset e reja brenda sekondave, ndërsa gjendja e vjetër e firewall-it thjesht zhduket. Rilidhja e klientit mund të jetë rezultati i dokumentuar, dhe ky është një vendim që merret përpara incidentit, jo gjatë tij.

Çfarë të provoni përpara se t'i besoni

Test with inspection enabled and politikën e aksesit të ngarkesës së punës në vend, sepse secila prej tyre mund të fshehë asimetrinë. Dërgoni një fluks të ri të autorizuar në të dy drejtimet dhe konfirmoni që e njëjta pajisje pa të dyja gjysmat. Pastaj ekzekutoni trafik të vazhdueshëm dhe aktivizoni failover-in e miratuar, duke vëzhguar nëse sesionet e vendosura mbijetojnë ose rilidhen.

Korreloni çdo fluks me pajisjen që e trajtoi. Kapja e paketave në një NVA nuk ju thotë pothuajse asgjë nëse përgjigja nuk u kthye kurrë atje.

Së fundi, shkruani planin si tre rreshta të veçantë: pronësia e rrugëve, drejtimi i trafikut dhe pronësia e gjendjes së sesionit. Dizajnet thyhen kur dy të parat zgjidhen dhe e treta supozohet.