VPN ya tovuti-hadi-tovuti kutoka AWS hadi Azure: andika kwanza njia ya kurudi

Tuneli itapanda. Kwa kawaida hufanya hivyo, kwa sababu IKE inahitaji tu mapendekezo yanayolingana na anwani ya mwenzake inayofikika. Kinachoshindikana baadaye ni njia ya kurudi: mzigo wa AWS hutuma pakiti ndani ya tuneli, lakini hakuna kitu upande wa Azure kinachojua jinsi ya kujibu 10.10.0.0/16, au njia ya Azure iko kwenye jedwali ambalo subnet ya mzigo haitumii. Andika mpango wa njia kabla ya kugusa konsoli yoyote, na tuneli itakuwa sehemu isiyovutia zaidi ya kazi.

Hatua 1: gandisha mpango wa anwani

Fanya kazi na thamani mahususi. Mzigo wa AWS uko kwenye 10.10.1.20 ndani ya 10.10.0.0/16 na unahitaji TCP 443 kwenda huduma ya Azure kwenye 10.20.1.30 ndani ya 10.20.0.0/16. Masafa mawili hayapaswi kuingiliana, na jaribio la kukubali ni jozi ya huduma, si tuneli.

Andika ukweli huo wanne kabla ya kitu kingine chochote, kwa sababu kila hatua inayofuata inakaguliwa dhidi yao.

Hatua 2: taja lango linalomiliki kila mwisho

AWS Site-to-Site VPN inaweza kuishia kwenye lango la faragha la mtandao au lango la usafirishaji, na hao ni wamiliki tofauti wa uelekezaji. Azure hutoa VPN Gateway yake inayosimamiwa na, kwa mbali, vifaa vinavyotegemea VM ambavyo wateja huendesha wenyewe. Rekodi ni jozi gani unayo, kwa sababu hatua inayofuata inatofautiana katika kila mchanganyiko.

Kwa lango linalosimamiwa, usinakili njia inayoelekeza kwenye anwani ya kifaa cha faragha iliyokisiwa. Kwa kifaa, usidhani kwamba usambazaji wa njia katika wingu husanidi mfumo wa uendeshaji wa mgeni, kwa sababu haufanyi hivyo.

Kukosea hapa hutoa mpango unaoonekana kamili na kutuma pakiti kwenye anwani isiyojibu kamwe.

Hatua 3: andika njia ambayo kila mzigo hutumia kweli

Kila mpaka hapa chini ni utafutaji tofauti, na njia katika moja yao si njia ya pakiti. Jaza jedwali na thamani zako mwenyewe kabla tuneli ianze kufanya kazi.

Katika AWS, jedwali la njia la subnet ya mzigo ni lako kusasisha hata baada ya BGP au tuneli kuwa nzuri; muhtasari wa uelekezaji unaona hilo kama sehemu ya muunganisho. Katika Azure, jedwali la njia lililofafanuliwa na mtumiaji huunganishwa na subnet badala ya mtandao pepe, kwa hiyo angalia njia inayofaa kwenye NIC ya mzigo na si kwenye ubao wa VNet.

Lango linalosimamiwa la Azure linaweza kujifunza kiambishi cha mbali kupitia usambazaji wa lango, na UDR inaweza kubatilisha uamuzi huo. Ongeza UDR ukiwa na sababu, si kwa mazoea. Ukiongeza, ielekeze kwenye hatua inayofuata ambayo lango huchapisha kwa njia ya VPN badala ya kubuni anwani ya kifaa. Kisha soma tena njia zinazofaa kwenye NIC, kwa sababu uamuzi hufanywa hapo kwa kweli.

Hatua 4: linganisha wigo

Kwa BGP, linganisha kile kila upande hutangaza na kile upande mwingine ulijifunza kweli, kiambishi kwa kiambishi. Kwa uelekezaji tuli, linganisha masafa ya mbali yaliyowekwa na njia za mzigo ulizoandika katika hatua 3.

Uhusiano wa IKE unaokubaliana kuhusu usimbaji fiche si uthibitisho kwamba upande wowote umejifunza 10.10.0.0/16 au 10.20.0.0/16. Tuneli mbili zinaweza kuwa juu wakati upande mmoja unatangaza /24 moja badala ya /16 uliyopanga. Angalia kiambishi kwenye jedwali la uelekezaji, si katika hali ya tuneli. Kutofautiana huonekana baadaye kama subnet moja inayofanya kazi na nyingine isiyojibu kamwe.

Hatua 5: jaribu huduma, kutoka chanzo halisi

Ruhusu mtiririko uliokusudiwa katika vikundi vya usalama na ACL za mtandao za AWS, katika NSG za Azure na katika kichujio chochote cha kifaa kwenye njia. Kisha fungua muunganisho mmoja kutoka 10.10.1.20 kwenda anwani na bandari zilizoidhinishwa za huduma na uthibitishe kwamba jibu linarejea kwenye chanzo kilekile.

Vikundi vya usalama vya wingu na NSG zote zina hali, kwa hiyo pakiti ya kurudi iliyokataliwa ni dalili ya uelekezaji, si kanuni uliyosahau kuandika kinyume.

Ping kutoka lango lolote haiamui chochote. ICMP kwenda anwani ya lango hufanya mazoezi ya njia ya ndege ya udhibiti, si huduma ya TCP iliyopelekwa ambayo mzigo unahitaji.

Kurudi nyuma na rekodi

Rekodi wamiliki wa njia kando ya vitambulisho vya tuneli, na hifadhi majedwali ya njia ya kabla ya mabadiliko. Ikiwa mabadiliko yanapaswa kutolewa, ondoa njia za mzigo kabla ya kubomoa tuneli, ili subnet yoyote isibaki ikielekeza kwenye hatua inayofuata ambayo haipo tena.

Kisha uhamishaji wa subnet wa baadaye au muunganisho wa spoke una mahali pamoja palipoelezwa pa kusasisha, badala ya tuneli inayofanya kazi na kubeba lawama kwa njia ambayo haikuwa yake kamwe.