Dy adresa VPN lokale: dy partnerë Azure, jo një

Diagrami ka dy lidhje interneti në degë dhe një portë VPN Azure, kështu që porta e rrjetit lokal merr të dy adresat publike. Duket e rregullt dhe nuk funksionon siç nënkupton diagrami. Çdo pajisje VPN lokale është një marrëdhënie e veçantë partneri, dhe dizajni i shumë pajisjeve i Microsoft i jep secilës burimin e vet të portës së rrjetit lokal dhe lidhjen e vet. Shtimi i një adrese të dytë në një burim të vetëm nuk krijon një partner të dytë. Krijon një burim që nuk përshkruan si duhet asnjërën nga dy pajisjet.

Miti: një portë, dy adresa

Një portë rrjeti lokal është përshkrimi i një partneri të largët: një pikë fundore publike dhe prefikset private pas saj. Nuk ka asnjë mënyrë të mbështetur që ky burim të thotë «cilado nga këto dy pajisje».

I njëjti konfuzion shkon në drejtimin tjetër, ku dy IP publike Azure lexohen si provë se ekzistojnë dy porta Azure.

Numëroni objektet, pastaj tunelet

Merrni dy pajisje lokale të operuara në mënyrë të pavarur, secila me adresën e vet publike dhe akses në të njëjtat rrjete private, plus një portë Azure të bazuar në rrugëtim në modalitetin aktiv-aktiv. Porta Azure ka dy instanca aktive me IP publike të veçanta. Çdo pajisje lokale lidhet me të dyja instancat. Kjo është rrjeta e plotë, dhe numri i objekteve rrjedh prej saj, jo nga diagrami.

Aritmetika është mjaft e shkurtër për t'u ngjitur në dokumentin e projektimit:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Një burim lidhjeje mund të mbajë më shumë se një tunel themelor, kështu që katër tunele nuk nënkuptojnë katër porta rrjeti virtual. As dy IP publike Azure nuk janë të njëjtat objekte si dy portat e rrjetit lokal që përshkruajnë vendin e largët.

Çfarë shton aktiv-aktiv në anën e Azure

Aktiv-aktiv e kthen portën Azure nga një instancë aktive në dy, secila me IP publike të vet, dhe kjo është ajo që e bën të mundur një rrjetë të plotë. Nuk e dyfishon qarkullimin e një rrjedhe të vetme. Gjithashtu nuk heq nevojën që ana lokale të mbështesë shumështigjëzim me kosto të barabartë nëse të dyja pajisjet përcjellin njëkohësisht. Konfirmoni modalitetin e portës, SKU-në dhe aftësitë e pajisjes së largët përpara se të siguroni çdo gjë.

Një portë në gatishmëri pasive është një dizajn plotësisht i vlefshëm; thjesht prodhon një numër tjetër tunesh.

BGP i bën të përdorshme të dyja rrugët

Për dizajnin me shumë pajisje, të dyja pajisjet lokale ekzekutojnë BGP. Jepini secilës një adresë partneri BGP unike dhe shpallni të njëjtat prefikse private të synuara nëpër rrugët përkatëse. Prefikset private identifikojnë rrjetet e mbrojtura, ndërsa adresat publike identifikojnë ku përfundojnë lidhjet e transportit të kriptuara. Përzierja e të dyjave prodhon një dizajn ku çdo tunel është aktiv dhe rrugët janë të gabuara.

Planifikoni rrugëtimin e kthimit dhe çdo inspektim me gjendje që duhet të tolerojë cilën do nga dy rrugët. Një sesion IKE i shëndetshëm në çdo pikë fundore nuk provon që një ngarkesë pune mund të përdorë çdo rrugë të shpallur.

Zgjedhja e bazuar në rrjedhë nuk është grumbullim i gjerësisë së bandës

Azure zgjedh një rrugë për çdo rrjedhë duke përdorur një hash mbi adresimin dhe portat e rrjedhës. Në gjendje të qëndrueshme, paketat e një rrjedhe të caktuar TCP ose UDP zakonisht marrin të njëjtin tunel, dhe ana lokale mund të zgjedhë një tunel tjetër për drejtimin e kthimit. Prandaj dy pajisje dhe katër tunele përmirësojnë disponueshmërinë, jo shpejtësinë e një transferimi. Kur një slide e furnizuesit premton grumbullim, ai përshkruan një funksion tjetër ose një keqkuptim.

Testoni me rrjedha paralele nëse doni të shihni rrugët duke u përhapur, dhe me një rrjedhë të vetme nëse doni të shihni kufirin.

Çfarë tepricë hoqët në të vërtetë

Dy adresa WAN në një pajisje të vetme përmirësojnë opsionet e lidhjes së aksesit, por ndajnë energjinë, softuerin dhe gjendjen e dështimit të asaj pajisjeje. Nuk janë njësoj si dy pajisje, dhe asnjë konfigurim në anën e Azure nuk e ndryshon këtë. Ndiqni dizajnin e dyfishtë WAN ose grupues të mbështetur nga furnizuesi në vend që të nxirrni tepricë nga numri i adresave. Pastaj testojeni: hiqni një rrugë në një herë dhe konfirmoni rrugët e mbetura plus një shkëmbim real aplikacioni në të dy drejtimet.

Prisni vonesa zbulimi dhe konvergjence, dhe prisni që disa sesione ekzistuese të përfundojnë.