Две локалне VPN адресе: два Azure партнера, а не један

Дијаграм има две интернет везе у огранку и један VPN пролаз у Azure, тако да пролаз локалне мреже добија обе јавне адресе. Изгледа уредно и не ради онако како дијаграм сугерише. Сваки локални VPN уређај је засебан партнерски однос, а Microsoft-ов дизајн за више уређаја даје сваком свој ресурс пролаза локалне мреже и своју везу. Додавање друге адресе једном ресурсу не ствара другог партнера. Оно ствара ресурс који ниједан од два уређаја не описује исправно.

Мит: један пролаз, две адресе

Пролаз локалне мреже је опис удаљеног партнера: једна јавна крајња тачка и приватни префикси иза ње. Не постоји подржани начин да тај ресурс значи „било који од ова два уређаја“.

Иста забуна постоји и у супротном смеру, где се две јавне IP адресе Azure читају као доказ да постоје два Azure пролаза.

Пребројте објекте, затим тунеле

Узмите два независно управљана локална уређаја, сваки са својом јавном адресом и приступом истим приватним мрежама, плус један Azure пролаз заснован на рутирању у активном-активном режиму. Azure пролаз има две активне инстанце са одвојеним јавним IP адресама. Сваки локални уређај се повезује са обе инстанце. То је пуна мрежа, а број објеката произилази из ње, не из дијаграма.

Аритметика је довољно кратка да се залепи у пројектни документ:

2 on-premises VPN devices
2 local network gateway resources
2 connection resources
4 IPsec tunnels in the complete 2 x 2 mesh

Један ресурс везе може носити више од једног основног тунела, тако да четири тунела не значе четири пролаза виртуелне мреже. Две јавне IP адресе Azure такође нису исти објекти као два пролаза локалне мреже који описују удаљену локацију.

Шта активни-активни режим додаје на страни Azure

Активни-активни режим мења Azure пролаз са једне активне инстанце на две, сваку са својом јавном IP адресом, и управо то уопште омогућава пуну мрежу. Не удвостручује пропусну моћ једног тока. Такође не уклања потребу да локална страна подржава вишеструко усмеравање са једнаким трошковима ако оба уређаја прослеђују истовремено. Потврдите режим пролаза, SKU и могућности удаљеног уређаја пре него што било шта обезбедите.

Пролаз у пасивном мировању је потпуно валидан дизајн; он само даје другачији број тунела.

BGP чини оба пута употребљивим

За дизајн са више уређаја, оба локална уређаја покрећу BGP. Дајте сваком јединствену адресу BGP партнера и објављујте исте предвиђене приватне префиксе кроз релевантне путеве. Приватни префикси идентификују заштићене мреже, док јавне адресе идентификују где се завршавају шифроване транспортне везе. Мешање то двоје даје дизајн у коме су сви тунели активни, а руте погрешне.

Планирајте повратно рутирање и сваку проверу стања која мора да поднесе било који од два пута. Здрава IKE сесија на свакој крајњој тачки не доказује да радно оптерећење може да користи сваку објављену руту.

Избор по току није обједињавање пропусне моћи

Azure бира пут за сваки ток користећи хеш над адресама и портовима тока. У стабилном стању, пакети датог TCP или UDP тока обично иду истим тунелом, а локална страна може да изабере други тунел за повратни смер. Зато два уређаја и четири тунела побољшавају доступност, а не брзину једног преноса. Када слајд продавца обећава агрегацију, он описује другу функцију или неспоразум.

Тестирајте са паралелним токовима ако желите да видите како се путеви распоређују, и са једним током ако желите да видите границу.

Какву сте редундантност заправо уклонили

Две WAN адресе на једном уређају побољшавају опције приступне везе, али деле напајање, софтвер и стање квара тог уређаја. Оне нису исто што и два уређаја, и никаква конфигурација на страни Azure то не мења. Пратите добављачев подржани дизајн са два WAN-а или кластером уместо да закључујете редундантност из броја адреса. Затим то тестирајте: уклањајте по један пут и потврдите преостале руте плус стварну размену апликације у оба смера.

Очекујте кашњења откривања и конвергенције и очекујте да ће неке постојеће сесије завршити.