Ndryshimi i IP-së publike të një gateway VPN në Azure dhe zhvendosja e abonimit

Në Azure tre objekte të ndryshme quhen adresa e gateway-t. Adresa private ndahet nga GatewaySubnet. Adresa publike është një burim i veçantë IP publike drejt të cilit tregon konfigurimi IP i gateway-t. Abonimi dhe mjedisi i cloud-it janë konteksti me të cilin guaska juaj gjen njërën ose tjetrën. Ndryshoni njërën dhe dy të tjerat mbeten në vend, prandaj puna me adresat ndalon kaq shpesh në gjysmë.

I bëj këto ndryshime në katër faza: inventari i objekteve, vendimi nëse IP-ja publike zhvendoset në gateway-n ekzistues apo gateway-i rindërtohet, zbatimi i ndryshimit sa koha që adresa e vjetër është ende në dorë, dhe më pas verifikimi i çdo tuneli nga të dy skajet përpara se të fshihet diçka. Faza që njerëzit anashkalojnë është inventari.

Cilin nga tre objektet po ndryshoni në të vërtetë

Emërtoni objektin përpara se të hapni portalin. Një gateway VPN e merr adresën private nga një nënrrjet që duhet të quhet saktësisht GatewaySubnet, dhe Azure e ndan nga ai prefiks; nuk ka fushë të përgjithshme për ta fiksuar. Adresa duket e qëndrueshme vetëm sepse nënrrjeti është i qëndrueshëm. Riadresoni nënrrjetin ose rindërtoni gateway-n dhe adresa lëviz bashkë me to.

Adresa publike mund të redaktohet, por rregullat SKU vendosin nëse redaktimi është i ligjshëm. Një gateway Basic çiftohet me një IP publike dinamike Basic, SKU-t VpnGw kërkojnë një Standard statike, dhe një gateway me tepricë zone kërkon një IP publike Standard me të njëjtat zona. SKU e gabuar refuzohet përpara se të bjerë një tunel.

Inventar përpara se të lëvizë diçka

Fillimisht provoni abonimin, sepse pa të pjesa tjetër e inventarit është e pavlerë. Regjistroni gateway-n, konfigurimet e tij IP dhe çdo lidhje që përfundon mbi të, dhe mbani rezultatin pranë regjistrit të ndryshimit.

Get-AzContext | Select-Object Subscription, Tenant, Environment
Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub |
  Select-Object Name, Sku, EnableActiveActive, IpConfigurations
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName rg-hub |
  Select-Object Name, ConnectionStatus, ConnectionType

ID-të e burimeve rëndësinë më shumë se emrat. Një lidhje mban referenca për gateway-n dhe për një gateway rrjeti lokal, dhe këto ID shfaqen në skripte, alarme dhe caktime politikash që askush nuk i mban mend. Rendisni edhe atë që ndodhet jashtë Azure: emrin DNS që çon te adresa, listën e lejeve të partnerit, firewall-in e degës që fikson IP-në e vjetër.

Zëvendësimi i IP-së publike në gateway-n që punon

Fillimisht krijoni adresën zëvendësuese, në të njëjtin rajon dhe me grupin e zonave që përputhet me gateway-n, dhe lini burimin e vjetër në vend. Më pas rindërtoni konfigurimin IP dhe dërgoni përditësimin me një thirrje të vetme. Ajo thirrje zëvendëson të gjithë koleksionin e konfigurimeve, prandaj një gateway aktiv-aktiv kërkon të dyja, përndryshe mbani një tunel dhe humbni tjetrin.

$gw = Get-AzVirtualNetworkGateway -ResourceGroupName rg-hub -Name gw-hub
$pip = New-AzPublicIpAddress -Name pip-gw-hub-2 -ResourceGroupName rg-hub `
  -Location westeurope -AllocationMethod Static -Sku Standard
$conf = New-AzVirtualNetworkGatewayIpConfig -Name gwipconfig1 `
  -SubnetId $gw.IpConfigurations[0].Subnet.Id -PublicIpAddressId $pip.Id
Set-AzVirtualNetworkGateway -VirtualNetworkGateway $gw -IpConfigurations $conf

Tunelet bien ndërsa gateway-i ripërgatitet. Ana e largët ka nevojë për planin: një firewall partneri vazhdon të ofrojë adresën e vjetër derisa dikush ta redaktojë, dhe një lidhje skaji i largët i së cilës pret IP-në e mëparshme mbetet poshtë, sado i shëndetshëm të duket Azure. Ulini TTL-në e DNS përpara dritares.

Klientët pikë-në-vend kanë nevojë për një profil të ri, sepse paketa e shkarkuar mbart pikën fundore. Një emër DNS i personalizuar përpara gateway-t ju kursen rishpërndarjen: mbani emrin, ndryshoni regjistrimin.

Zhvendosja e gateway-t në një abonim tjetër

Zhvendosja e burimeve lëviz një grup, dhe gateway-i vetëm është anëtari i tij më pak i dobishëm. Rrjeti virtual, burimet e IP publike, gateway-t e rrjetit lokal dhe lidhjet udhëtojnë bashkë sepse secili mban një referencë për një tjetër. Abonimi i synuar duhet të jetë në të njëjtin klient, Microsoft.Network duhet të jetë regjistruar atje, dhe ju nevojitet akses shkrimi në të dy anët.

Validimi ekzekutohet përpara çdo ndryshimi, kështu që një zhvendosje e refuzuar i lë burimet në vend. Prandaj zhvendosja meriton një provë përpara rindërtimit: një zhvendosje e suksesshme e çon IP-në publike me vete, kështu që partnerët dhe listat e lejeve vazhdojnë të punojnë, ndërsa një gateway i rindërtuar rrallë kthen të njëjtën adresë.

az resource move --destination-group rg-hub `
  --destination-subscription-id 00000000-0000-0000-0000-000000000000 `
  --ids /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Lexoni dështimin e validimit në vend që ta përsërisni. Shkaqet e zakonshme janë një varësi e lënë pas, një lloj burimi që nuk mund të zhvendoset, ose një bllokim në ndonjë nga grupet e burimeve. Nëse zhvendosja është e pamundur, rindërtoni në target dhe kaloni: konfirmoni routing-un dhe vërtetimin nga një nënrrjet testi, ndaloni lidhjet e vjetra në vend që t'i fshini, dhe më pas hiqni rrugën e vjetër në një dritare të mëvonshme.

Kur gateway-i duket se mungon, kontrolloni kontekstin

Gabimi nuk u gjet është zakonisht gabim shtrirjeje. Një llogari me disa abonime drejton një cmdlet te ai i gabuar, dhe mesazhi fajëson burimin. Kërkoni objektin me ID-në e plotë të burimit: ID-ja mbart abonimin e vet, kështu që nëse zgjidhet, nuk mungon asgjë dhe konteksti juaj i parazgjedhur është i gabuar.

Dy mospërputhje të tjera lexohen njësoj. Një gateway i cloud-it komercial nuk ekziston në një sesion të drejtuar nga një mjedis qeveritar ose kinez, dhe versionet e vjetra të moduleve nuk i shohin format e burimeve që API tashmë i kthen. Fiksoni abonimin, përputhni mjedisin, dhe më pas hapni një rast.

Set-AzContext -SubscriptionId 11111111-1111-1111-1111-111111111111
Get-AzResource -ResourceId /subscriptions/11111111-1111-1111-1111-111111111111/resourceGroups/rg-hub/providers/Microsoft.Network/virtualNetworkGateways/gw-hub

Verifikoni nga të dy skajet përpara pastrimit

I lidhur është një gjendje, jo një provë. Kontrolloni statusin e tunelit për çdo lidhje, statusin e partnerit BGP nëse përdorni routing dinamik, dhe rrugët efektive në një nënrrjet pune. Më pas kaloni një kërkesë të vërtetë përmes një aplikacioni që varet nga tuneli. Një lidhje mund të raportojë e lidhur ndërsa prefiksi që ju nevojitet mungon në tabelën e rrugëve.

Get-AzVirtualNetworkGatewayBGPPeerStatus -VirtualNetworkGatewayName gw-hub -ResourceGroupName rg-hub
Get-AzEffectiveRouteTable -NetworkInterfaceName nic-app -ResourceGroupName rg-app

Mbani IP-në publike të vjetër të shkëputur dhe jo të fshirë derisa të mbyllet dritarja e kthimit, dhe shkruani ndryshimet te partneri dhe firewall-i që të mund të kthehen me radhë.

• Konteksti i fiksuar te abonimi që zotëron gateway-n
• IP-ja publike e vjetër e ruajtur, varësitë e saj të shkruara
• Çdo lidhje e gjelbër dhe një kërkesë e vërtetë përmes saj
• Përdoruesit pikë-në-vend të zhvendosur në profilin e përditësuar
• Regjistrimi DNS i ndryshuar dhe vlera e tij e mëparshme e shënuar