Зашто веза од тачке до сајта захтева Azure VPN мрежни пролаз заснован на рутама

Мрежни пролаз заснован на политици гради IPsec тунел који бирају селектори саобраћаја и нема интерфејс коме би предао клијентске руте. Веза од тачке до сајта је функција рутирања: пролаз поседује базен клијентских адреса и у виртуелну мрежу инсталира руте ка тим клијентима. Управо тај несклад је разлог зашто портал не приказује ниједну опцију за његово додавање. Ништа на постојећем пролазу не може се пребацити да створи интерфејс, зато је промена замена, а не измена конфигурације.

Редослед је важнији од појединачних корака. Ако погрешите низ, прекид између сајтова прелази рок одржавања.

Шта пролаз заснован на политици заиста ради

Пролаз заснован на политици упоређује пакете са селекторима саобраћаја конфигурисаним на вези и поклапања шаље у један тунел. Нема тунелског интерфејса са адресом и нигде у виртуелној мрежи се не појављује рута за појединачног клијента. Табела рута једноставно добија локалне префиксе који показују на пролаз. Тај модел је довољан за везу између сајтова између два фиксна адресна простора.

Пролаз заснован на рутама ради обрнуто: он представља тунелски интерфејс, а руте одлучују шта у њега улази. Веза од тачке до сајта и сваки дизајн чији се скуп партнера мења зависе од постојања тог интерфејса.

Зашто је базену клијената потребан тај интерфејс

Када се лаптоп повеже, пролаз му додељује адресу из базена од тачке до сајта. Виртуелној мрежи је тада потребна рута која каже да је та адреса доступна кроз пролаз. Без тунелског интерфејса нема за шта да се причврсти та рута.

Базен долази из опсега који ви одређујете, а пролаз додељује из њега. Ако се тај опсег преклапа са локалном мрежом или са повезаном виртуелном мрежом, сукоб се показује тек након што се клијент повеже, што је лош тренутак да се открије. Резервишите базен пре почетка миграције.

Ни тип није подешавање по вези. Један пролаз има један тип и свака веза коју држи понаша се у складу с тим, зато мешани дизајн захтева други пролаз, а не другу везу.

Тип је фиксиран при стварању

Microsoft наводи да се пролаз виртуелне мреже не може после распоређивања променити између заснованог на политици и заснованог на рутама. Нема команде за претварање и нема прекидача на порталу. Стварање другог пролаза у истој подмрежи такође није заобилазно решење, јер Azure дозвољава један пролаз по виртуелној мрежи. Зато је миграција уклањање, поновна изградња и поновно повезивање.

То укључује и одлуку о SKU у исту изградњу. Прелазак на већи SKU касније је још једна замена пролаза с још једним прекидом.

Један пролаз, једна GatewaySubnet

Пролаз живи у подмрежи названој GatewaySubnet и само га један пролаз заузима. Одређивање величине те подмреже део је припреме, јер већи SKU захтева више адреса, а подмрежа се касније не може смањити. Запишите тренутна подешавања између сајтова, заједнички кључ, пролаз локалне мреже и ефективне руте пре него што било шта дотакнете. Затим третирајте прозор као прекид, јер тунел између сајтова остаје искључен док се нова веза не конфигурише.

Редослед поновне изградње који ограничава прекид: направите пролаз заснован на рутама, поново направите везу између сајтова ка истом пролазу локалне мреже, потврдите тунел и један захтев од хоста до хоста, и тек онда додајте тачку до сајта и генеришите нови клијентски пакет.

Шта замена не поправља

Друго ограничење припада партнеру, а не Azure. Локални уређај заснован на политици може да достигне само виртуелну мрежу са којом се повезује и не може да транзитира ка другим локалним мрежама или другим виртуелним мрежама кроз исти пролаз. Замена Azure стране не мења оно што партнер може да изабере.

Ако је захтев заиста транзит између сајтова, одговор је партнерски уређај заснован на рутама или топологија у којој се свако одредиште завршава одвојено. Решите то пре него што обећате датум, јер сама замена пролаза то неће испоручити.

Редослед операција и провера

Проверите сваку могућност одвојено. Прво стање тунела између сајтова и један захтев од хоста до хоста, затим везу од тачке до сајта и један приватни ресурс, затим сваку транзитну путању коју дизајн тврди. Зелено стање пролаза доказује само да се безбедносна асоцијација подигла и ништа више. Држите провере у том редоследу да би квар указао на фазу која га је увела.

Након сваке промене топологије поново генеришите клијентске пакете и држите базен далеко од сваког локалног и повезаног опсега. Ограничења и разлике међу SKU су сакупљене у референци подешавања Azure VPN Gateway.