Azure приватни IP VPN преко ExpressRoute-а без NVA

Мит је да шифровање саобраћаја преко приватног peering-а ExpressRoute-а захтева виртуелни мрежни уређај. Не захтева. Azure подржава Site-to-Site VPN Gateway чија је крајња тачка тунела приватна RFC1918 адреса која се преноси преко кола, а уређај је опциони, а не структурни. Оно што мит о уређају крије је део који заиста боли: укључивање приватне крајње тачке на једном објекту уместо на два, и допуштање да директна peering рута тихо победи шифровану путању.

Одакле је дошао мит

Тврдња има угледно порекло. Годинама је практични рецепт за IPsec преко приватног peering-а био NVA, јер је управљана капија излагала само јавне крајње тачке. То се променило, а одговори написани пре промене и данас се цитирају у нитима где нико не проверава датум. Исправка је уска: постоји VPN капија са приватном адресом и она мења крајњу тачку, а не логику рутирања око ње.

Ништа од овога не пензионише NVA. Оно пензионише претпоставку да је уређај једини пут до захтева.

Укључите приватну крајњу тачку на оба нивоа

Почните од радне ExpressRoute приватне peering везе повезане са VNet-ом у ком је VPN капија. Локална страна већ мора да достиже релевантне приватне адресе преко тог кола, јер ће тунел користити те адресе као транспорт. Затим предуслов капије: Microsoft поступак за VPN са приватним IP-ом захтева капију изграђену на Standard јавном IP ресурсу. Приватно адресирање тунела не уклања тај захтев, што изненађује оне који претпостављају да „приватно“ значи „нигде јавни IP“.

Сада укључите флаг на оба места. Конфигурација капије има свој прекидач за приватне IP-ове, а појединачна Site-to-Site веза има други који је тера да користи приватну адресу. Постављање једног без другог најчешћа је непотпуна конфигурација; тунел се или не успоставља или се успоставља ка погрешној крајњој тачки.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Проверите имена својстава према инсталираној CLI верзији, јер ознаке портала и CLI својства немају увек исти израз. Активна-активна капија излаже две приватне адресе тунела, а локални уређај мора имати конфигурисана оба партнера ако желите да та резервисаност нешто значи. BGP није потребан само за подизање овог тунела са приватном адресом, иако је обично део начина на који распоређујете префиксе.

Други мит: успостављени тунел шифрује ваш саобраћај

Две путање сада стижу до апликационе мреже: директна путања приватног peering-а и путања кроз VPN. Обе раде. Само једна примењује овај IPsec слој. Microsoft документује да када се идентични префикси оглашавају преко ExpressRoute-а и преко VPN-а, Azure преферира директну ExpressRoute путању, па здрав тунел са здравим бројачима ништа не доказује о томе куда су отишли апликациони пакети.

Документоване методе усмеравања су покривни опсег на ExpressRoute-у са конкретнијим заштићеним опсегом на VPN-у, или дисјунктни префикси на две путање. На пример, приватни peering може носити 10.40.0.0/16, док VPN оглашава 10.40.12.0/24. Конкретнији префикс побеђује и остатак опсега остаје директан.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Урадите исту проверу у локалном смеру, јер преференција вашег рутера одлучује одакле излази излазни саобраћај. И држите сопствени транспорт тунела на ExpressRoute путањи; рута која увуче приватну крајњу тачку капије у тунел чини тунел зависним од самог себе.

Одлучите шта се дешава када тунел падне

Конкретнија VPN рута нестаје када тунел падне, док шира директна рута остаје. Саобраћај тада тече нешифрован и све изгледа здраво, што је најгори режим отказа за захтев који постоји да гарантује шифровање. Ако захтев забрањује то враћање, рутирање и политика приступа морају то изричито да кажу уместо да се ослањају на доступност тунела.

Запишите који префикси могу остати директно доступни и који морају да стану када шифрована путања недостаје. Затим тестирајте дозвољени случај стварним саобраћајем и упоредите бројаче везе, јер сама табела рута неће вам рећи да ли захтев за шифровање још важи.

Тај оквир вам такође омогућава да оцените NVA по његовим стварним функцијама, као што су више тунела, пропусност или инспекција добављача, уместо да га купите зато што је крајња тачка приватна.