Рутирање саобраћаја између две филијале преко Azure VPN мрежног пролаза
Две Site-to-Site везе на једном Azure VPN мрежном пролазу могу да пропуштају саобраћај филијала, али само када оба краја науче префикс и постоји повратни пут у LAN-у.
Две филијале могу да размењују саобраћај преко Azure VPN мрежног пролаза без икаквог директног тунела између њих. Свака филијала отвара Site-to-Site везу ка истом пролазу, а пролаз прослеђује научене префиксе између двеју веза. Ово не функционише захваљујући другом тунелу, већ захваљујући размени рута: филијала A мора да научи префикс филијале B, а B префикс филијале A. Прођите кроз провере испод редом и зауставите се на првој која не успе, јер сваки наредни корак зависи од ње.
Предуслови, пре него што било шта конфигуришете
Четири услова одлучују да ли овај дизајн уопште може да функционише. Пролаз мора бити заснован на рутама и на SKU који подржава BGP, обе везе морају имати омогућен BGP, адресни простори филијала не смеју да се преклапају, и ниједна страна не сме да се ослања на NAT да би сакрила свој прави префикс.
Планирајте ASN намерно. Документована подразумевана вредност у Azure-у је 65515, и сваки рутер филијале треба сопствени приватни ASN који се не судара са пролазом или другом филијалом. Поновна употреба подразумеване вредности без провере постојеће конфигурације пролаза је начин на који AS путања касније бива одбијена.
Такође потврдите да не очекујете понашање VNet пееринга. Пролаз размењује руте између двеју веза које сте конфигурисали; он не чини произвољне пееринге транзитивним. Ако трећа мрежа треба да достигне обе филијале, потребна јој је сопствена веза или сопствена путања, а не претпоставка да ће пролаз расподелити саобраћај. Запишите ту границу пре првог прозора за промене, јер је то дизајнерска одлука којој се људи враћају када се касније дода нова локација.
Конфигуришите овим редом
Сваки корак има резултат који се може приметити, зато не прелазите даље док се не појави.
- Омогућите BGP на пролазу виртуелне мреже и запишите његов ASN и адресу партнера.
- Направите локални мрежни пролаз за сваку филијалу са правим адресним простором те филијале, њеним ASN-ом и адресом BGP партнера.
- Направите сваку Site-to-Site везу и омогућите BGP на самој вези.
- Конфигуришите рутер филијале да се повезује са адресом пролаза коју је Azure доделио, а не са јавном IKE крајњом тачком пролаза по претпоставци.
Четврти корак је место где већина покушаја застане. Адреса BGP партнера коју Azure пријављује је она коју рутер филијале мора да користи као суседа, и то није увек адреса коју људи очекују из дијаграма тунела.
Објавите сам префикс филијале, на пример 10.10.0.0/16 из A и 10.20.0.0/16 из B. Не објављујте подразумевану руту ни широки агрегат да бисте покрили мрежу која недостаје; празнина се касније враћа као тиха црна рупа.
Проверите размену рута на оба краја
Стање везе није провера. IPsec може бити активан на обе везе док ниједан префикс не прелази између њих. Прочитајте BGP партнере пролаза и његове научене руте, затим потврдите да се рута ка другој филијали појављује као употребљива путања.
| Check | Where | Stop if |
|---|---|---|
| BGP session established | Gateway BGP peers, branch router neighbour state | Session is Idle or Active on either side |
| Prefix learned | Gateway learned routes, branch BGP table | The other branch's prefix is absent |
| Prefix selected | Branch routing table, effective routes on the VNet | Prefix is known but a more specific route wins |
Префикс присутан у BGP табели ипак може изгубити одлуку о прослеђивању од статичне руте или конкретнијег префикса. Проверите изабрану руту, не само примљену.
Пратите повратни пут на страни LAN-а
Ово је део који у Azure-у изгледа исправно, а на локацији отказује. Домаћин у филијали A шаље свој пакет VPN рутеру филијале A само ако је тај рутер његов подразумевани пролаз, или ако домаћин или његов пролаз има руту за префикс B. Исто мора да важи и у супротном смеру.
Ако је посебан језгарни прекидач подразумевани пролаз LAN-а, потребна му је рута ка другој филијали која показује на VPN рутер. Без ње захтев стиже, а одговор излази интернетском путањом, и корисник види везу која се отвара и затим виси.
Не посежите мрежној безбедносној групи на подмрежи пролаза да бисте то поправили. Та подмрежа има своје захтеве, а NSG тамо није подржана замена за политику на страни филијале. Филтрирање припада заштитним зидовима филијала и самим радним оптерећењима, где правила могу да прегледају њихови власници. Премештање тих правила у NSG подмреже такође их скрива од тима који ће отклањати следећи отказ.
Дозволите операцију, а затим је докажите одбијеним тестом
Научена рута није дозвола. Дозволите извор, одредиште и услугу који су вам заиста потребни кроз заштитне зидове филијала и политику крајње тачке, а остатак оставите одбијен.
Тестирајте из уобичајеног радног оптерећења у филијали A ка стварној услузи у филијали B, потврдите одговор, затим покушајте операцију која треба да остане забрањена. Саобраћај који генерише сам VPN уређај може да користи другу изворну адресу и прескочи фазу LAN рутирања, па успешан ping са рутера доказује мање него што изгледа.
Завршите тако што ћете записати четири чињенице: размењене префиксе, ASN који се користе, повратни LAN пут за сваку страну и политику која дозвољава услугу. Ако једна од њих недостаје, подешавање ради до прве промене, а тада нико не може да објасни зашто.