Peering në Azure apo VPN nga VNet në VNet? Vendosni përpara rrugëtimit

Azure ju jep të paktën dy mënyra për të lidhur dy rrjete virtuale, dhe ato nuk janë cilësime të këmbyeshme në të njëjtin objekt. Peering lidh VNet-et në shtyllën kurrizore të Microsoft pa gateway; një VPN nga VNet në VNet vendos një marrëdhënie IPsec midis dy gateway-ve që ju vendosni, dimensiononi dhe monitoroni. Vendimi zbret në tre kushte, dhe nëse nuk mund t'u përgjigjeni të treve përpara se të shtoni një rrugë, jeni gati të ndërtoni një anashkalim për një model që nuk e zgjodhët kurrë.

Tre kushte që vendosin modelin

E para është nëse diçka në kërkesë ka nevojë për një kufi IPsec që është i juaji dhe ku mund të tregoni. E dyta është nëse hapësirat e adresave janë të pastra dhe dy VNet-et duhet vetëm të flasin me njëri-tjetrin. E treta është kush zotëron çdo rrugë tranzitive dhe faturën e gateway-t. Përgjigjuni në atë rend, sepse e para mund të eliminojë peering-un sado tërheqëse të duket e dyta.

Ajo që kanë të përbashkët të dy modelet është një rregull i fortë adresimi: hapësirat e adresave të VNet-eve nuk duhet të mbivendosen. As peering-u as një VPN nga VNet në VNet nuk janë një mënyrë e mbështetur për të bërë dy diapazone identike të padyshimtë, dhe mbivendosja kërkon një projekt hartografimi ose një ridizenjim, jo një lloj tjetër lidhjeje.

Kushti 1: ju nevojitet një kufi IPsec që është i juaji?

Peering-u transporton trafikun në shtyllën kurrizore private të Azure dhe nuk kërkon një gateway VPN për vetë lidhjen peered. Ky është një pohim për transportin, jo një pohim për kriptimin që mund t'i jepni një audituesi si «ne ekzekutojmë IPsec». Nëse kërkesa emërton një tunel të konfiguruar nga klienti, një politikë të caktuar IKE ose një kufi që përfundon në pajisje që ju kontrolloni, peering-u nuk e plotëson atë, sado privat të jetë shtylla kurrizore.

Një VPN nga VNet në VNet e siguron atë kufi: dy gateway, një marrëdhënie IPsec/IKE, çelësa të përbashkët dhe të gjithë sipërfaqen operative që vjen me to. Ju trashëgoni gjendjen e tunelit, kapacitetin e gateway-t, kufijtë e SKU-së dhe monitorimin që vërteton se tuneli është lart. Kjo është përgjigjja e saktë kur kërkesa ka të bëjë pikërisht me atë kufi, i përshkruar në përmbledhjen e peering-ut si një lloj lidhjeje i ndryshëm nga peering-u.

Jini po aq i kujdesshëm në drejtimin tjetër. «Na duhet kriptim midis VNet-eve» shpesh plotësohet nga TLS i vetë ngarkesës së punës, dhe atëherë gateway-i është një kosto pa kërkesë pas saj. Shkruani fjalinë që do të lexojë audituesi përpara se të zgjidhni mekanizmin.

Kushti 2: a është topologjia e drejtpërdrejtë, apo diçka duhet të tranzitojë?

Peering-u nuk është tranzitiv. Dy VNet-e të peer-uara në një hub nuk lidhen me këtë me njëri-tjetrin, dhe një rrugë që duket se funksionon në një drejtim është zakonisht një peering që arriti Connected vetëm në njërën anë. Të dyja anët duhet të ekzistojnë dhe të dyja duhet të tregojnë Connected, dhe kjo është gjëja e parë që kontrolloni kur trafiku zhduket në heshtje.

Nëse kërkesa është arritshmëria e rrjetit lokal përmes një hub-i, tranziti i gateway-t është një projekt i veçantë me role të caktuara: hub-i zotëron gateway-in, peering-u i spoke lejon tranzitin e gateway-t, dhe spoke duhet të lejojë trafikun e përcjellë. Këto janë veti mbi peering-un, jo pasoja automatike të lidhjes së VNet-eve:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Tabela efektive e rrugëve është përgjigjja e ndershme për «a ekziston rruga?». Ajo tregon llojin e hop-it të radhës që platforma do të përdorë vërtet, prandaj një peering që duket i konfiguruar por nuk është i lidhur shfaqet si një rrugë që mungon ose e gabuar dhe jo si një mister.

Kushti 3: kush zotëron rrugën tranzitive dhe faturën?

Çdo hop shtesë ka një pronar. Me peering-un, një VNet e re nënkupton një palë peering të re në të dyja anët dhe, për tranzit, një hub që vazhdon të përcjellë trafik dhe një tabelë rrugësh që vazhdon të tregojë drejt tij. Me një VPN, një VNet e re nënkupton një gateway tjetër ose një lidhje tjetër mbi një ekzistues, me tavanin e vet të kapacitetit për t'u vëzhguar.

Kostoja ndjek të njëjtën formë por jo të njëjtat zëra: tarifat e peering-ut janë lidhja dhe transferimi i të dhënave, ndërsa VPN shton orët e gateway-t dhe tarifat e veta të transferimit. Krahasoni totalin për topologjinë që do të drejtoni vërtet për një vit, duke përfshirë tunelin e dytë dhe monitorimin, jo çmimin e një lidhjeje sot. Përfshini punën që askush nuk e faturon: dikush duhet të rrotullojë çelësat, të ndjekë gjendjen e tunelit dhe t'i përgjigjet alarmit në orën tre të mëngjesit kur një gateway riniset. Zakonisht ky zë vendos debatin, sepse është i vetmi që nuk shfaqet kurrë në një ofertë.

Çfarëdo që të zgjidhni, provoni tre rrjedha: atë të synuar, një të refuzuar që duhet të mbetet i refuzuar dhe rastin e rikuperimit kur gateway-i i hub-it ose një peering është poshtë. Një model që shpjegon vetëm rrugën e lumtur nuk është verifikuar, është demonstruar.

Verifikoni zgjedhjen kundrejt pohimit të saj

Shkruani një fjali që emërton modelin, kufirin dhe pronarin, pastaj kontrolloni që gjendja e vendosur përputhet me të. Për peering-un kjo do të thotë të dyja gjendjet e peering-ut Connected, rruga efektive tregon hop-in e radhës së peering-ut për prefiksin e destinacionit dhe asnjë gateway në rrugë. Për një VPN nga VNet në VNet do të thotë të dyja lidhjet Connected, çelësa dhe politika që përputhen në të dy gateway-t dhe një rrugë hop-i i radhës i së cilës është gateway-i i rrjetit virtual.

Nëse kontrollet kundërshtojnë fjalinë, rregulloni së pari fjalinë. Shumica e konfuzionit në këto projekte vjen nga një hibrid që askush nuk e përshkroi: një peering për nënrrjetin e ngarkesës së punës, një VPN për një shërbim të vjetër dhe një tabelë rrugësh që në heshtje preferon njërën prej tyre.