Peering у Azure-у или VPN од VNet до VNet? Одлучите пре усмеравања

Azure вам даје најмање два начина да повежете две виртуелне мреже и то нису заменљива подешавања на истом објекту. Peering повезује VNet-ове преко кичме Microsoft-а без пролаза; VPN од VNet до VNet поставља IPsec однос између два пролаза које ви уводите, димензионишете и надгледате. Одлука се своди на три услова, а ако не можете да одговорите на сва три пре него што додате руту, градите заобилазно решење за модел који никада нисте изабрали.

Три услова која одлучују о моделу

Први је да ли нешто у захтеву треба IPsec границу коју поседујете и на коју можете да покажете. Други је да ли су адресни простори чисти и да ли два VNet-а треба само да разговарају један с другим. Трећи је коме припадају било која транзитна путања и рачун за пролаз. Одговорите тим редом, јер први може да искључи peering колико год други изгледао привлачно.

Заједничко оба модела је строго правило адресирања: адресни простори VNet-ова не смеју да се преклапају. Ни peering ни VPN од VNet до VNet нису подржани начин да се два идентична опсега учине једнозначним, а преклапање захтева пројекат мапирања или редизајн, а не другу врсту везе.

Услов 1: треба ли вам IPsec граница коју поседујете?

Peering преноси саобраћај преко приватне кичме Azure-а и не захтева VPN пролаз за саму peered везу. То је изјава о транспорту, а не изјава о шифровању коју можете да дате ревизору као «ми покрећемо IPsec». Ако захтев именује тунел који конфигурише клијент, одређену IKE политику или границу која се завршава на опреми коју контролишете, peering то не задовољава, колико год кичма била приватна.

VPN од VNet до VNet пружа ту границу: два пролаза, IPsec/IKE однос, дељени кључеви и цела оперативна површина која с тим долази. Наслеђујете стање тунела, капацитет пролаза, ограничења SKU-а и надзор који доказује да је тунел активан. То је тачан одговор када се захтев бави управо том границом, описаном у прегледу peering-а као засебна врста везе.

Будите једнако пажљиви у супротном смеру. «Треба нам шифровање између VNet-ова» често задовољава сопствени TLS радног оптерећења, а тада је пролаз трошак без захтева иза себе. Напишите реченицу коју ће ревизор прочитати пре него што изаберете механизам.

Услов 2: да ли је топологија директна или нешто мора да транзитује?

Peering није транзитиван. Два VNet-а peered на чвориште тиме нису повезана један с другим, а рута која изгледа да ради у једном смеру обично је peering који је достигао Connected само на једној страни. Обе стране морају да постоје и обе морају да показују Connected, и то је прво што проверавате када саобраћај тихо нестане.

Ако је захтев доступност локалне мреже преко чворишта, транзит пролаза је засебан пројекат са одређеним улогама: чвориште поседује пролаз, peering spoke-а дозвољава транзит пролаза, а spoke мора да дозволи прослеђени саобраћај. То су својства на peering-у, а не аутоматске последице повезивања VNet-ова:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Ефективна табела рута је поштен одговор на «да ли путања постоји?». Приказује врсту следећег скока коју ће платформа стварно користити, па се peering који изгледа конфигурисано али није повезан појављује као рута која недостаје или је погрешна, а не као загонетка.

Услов 3: коме припадају транзитна путања и рачун?

Сваки додатни скок има власника. Уз peering, нови VNet значи нови пар peering-а на обе стране и, за транзит, чвориште које наставља да прослеђује саобраћај и табелу рута која наставља да показује на њега. Уз VPN, нови VNet значи још један пролаз или још једну везу на постојећем, са сопственим плафоном капацитета који треба пратити.

Трошак прати исти облик али не исте ставке: peering наплате су веза и пренос података, док VPN додаје сате пролаза и сопствене наплате за пренос. Упоредите укупан износ за топологију коју ћете стварно водити годину дана, укључујући други тунел и надзор, а не цену једне везе данас. Укључите рад који нико не фактурише: неко мора да ротира кључеве, прати стање тунела и одговори на аларм у три сата ујутру када се пролаз поново покрене. Та ставка обично одлучује расправу, јер је једина која се никада не појављује у понуди.

Шта год да изаберете, тестирајте три тока: намеравани, одбијени који мора да остане одбијен и случај опоравка када је пролаз чворишта или peering у квару. Модел који објашњава само срећан пут није проверен, него је демонстриран.

Проверите избор према његовој сопственој тврдњи

Напишите једну реченицу која именује модел, границу и власника, затим проверите да ли се уведено стање с њом слаже. За peering то значи да су оба стања peering-а Connected, да ефективна рута показује следећи скок peering-а за одредишни префикс и да на путу нема пролаза. За VPN од VNet до VNet то значи да су обе везе Connected, кључеви и политике усклађени на оба пролаза и рута чији је следећи скок пролаз виртуелне мреже.

Ако се провере не слажу с реченицом, прво поправите реченицу. Већина збрке у овим пројектима долази од хибрида који нико није описао: peering за подмрежу радног оптерећења, VPN за једну стару услугу и табела рута која тихо преферира једну од њих.