Ukaguzi wa NVA katika Azure: kwa nini jibu hupitia firewall nyingine

Mtiririko kutoka tawi hadi Azure unaweza kuelekezwa vizuri pande zote mbili na bado ukashindikana, kwa sababu pande hizo mbili hupitia vifaa tofauti. Ombi huondoka tawini kwa VPN, hutua kwenye NVA A na kufikia mzigo wa kazi. Jibu huondoka kwenye mzigo wa kazi, hulingana na njia inayoelekeza NVA B na kufa hapo. Kila njia katika picha hiyo ni halali, na kikao cha TCP bado kimevunjika.

Request: branch -> VPN gateway -> NVA A -> workload
Reply:   workload -> NVA B -> VPN gateway -> branch

Pengo hilo ndilo mada yote hapa: muunganiko wa uelekezaji na umiliki wa hali ya kikao ni matatizo tofauti yanayofanana kwenye mchoro.

Route Server hupanga nini kwa kweli

Azure Route Server hufanya peering na wasemaji wa BGP wanaoungwa mkono, hujifunza njia zao na kuzipanga katika njia bora za mtandao pepe. Hiyo ni kazi ya tabaka la udhibiti. Haisomi jedwali la vikao la firewall ya muuzaji, na haijui ni kifaa gani kilikubali muunganisho fulani. Hatua mbili zinazofuata zenye gharama sawa ni, kwa kitambaa hiki, njia mbili tu za kufikia kiambishi awali kimoja, na itatumia yoyote.

Kwa hivyo kujifunza njia kunathibitisha ufikikaji. Hakithibitishi chochote kuhusu kama kifaa kilicho upande wa pili kimewahi kuona mtiririko huu awali.

Soma pande zote mbili kabla ya kubuni

Anza kwa kuandika uelekezaji ambao kwa kweli unayo katika kila upande, si ule uliokusudia. Njia maalum zaidi za BGP, njia zilizofafanuliwa na mtumiaji na tabia ya lango zote hushindana, na mshindi huamuliwa kwa kila lengwa, si kwa kila kikao. Njia chaguo-msingi kwenye NVA haimaanishi kuwa kila kiambishi awali cha kibinafsi hupitia humo.

Ukaguzi muhimu ni kuuliza, kwa IP moja maalum ya mzigo wa kazi, ni hatua gani inayofuata kila upande unatatuliwa. Ikiwa jibu ni vifaa viwili tofauti, una tatizo la kutokuwepo kwa usawa iwe limejitokeza au la.

Hali inaishi wapi

Firewall yenye hali hukubali muunganisho na huhifadhi ingizo la jedwali lililofungwa kwa tano-tuple. Jibu lazima lifikie kifaa kinachoshikilia ingizo hilo, au kifaa hicho kipate hali kwa njia nyingine. Hakuna kitu katika tabaka la data la Azure linalosambaza ingizo kati ya vifaa. Ama trafiki inaelekezwa kurudi kwa mmiliki, au vifaa hushiriki hali kupitia utaratibu wa muuzaji, au muundo haufanyi kazi.

Ndiyo sababu NVA mbili zenye afya si ukaguzi wa afya kwa ukaguzi. Afya inahusu ufikikaji; ukaguzi unahusu ni kielelezo gani kinashikilia kikao.

Mifano ya HA inayoungwa mkono na kila moja inaahidi nini

Microsoft's guidance on nia ya uelekezaji ya Virtual WAN unaeleza tabia iliyozuiliwa kwa muunganisho wa jukumu mbili na NVA za firewall, ambapo uelekezaji wa moja kwa moja unaweza kupita utekelezaji wa kawaida wa ulinganifu wa kitovu. Soma maelezo hayo kama vizuizi vya topolojia uliyochagua, si kama marufuku ya miundo inayotumika kwa wakati mmoja. Jozi ya muuzaji inayosawazisha hali, au inayoelekeza kwa mtiririko, inaweza kuungwa mkono. Jozi yenye gharama sawa isiyofanya yoyote kati ya hayo haiungwi mkono.

Kisha fafanua kile kinachotokea kwa vikao vilivyopo wakati nodi inashindwa. Muunganiko wa njia hurejesha ufikikaji kwa mitiririko mipya ndani ya sekunde, wakati hali ya zamani ya firewall haipo tena. Kuunganisha upya kwa mteja kunaweza kuwa matokeo yaliyoandikwa, na huo ni uamuzi wa kufanya kabla ya tukio, si wakati wa tukio.

Nini cha kujaribu kabla ya kukiamini

Test with inspection enabled and sera ya ufikiaji ya mzigo wa kazi mahali pake, kwa sababu yoyote kati yao inaweza kuficha kutokuwepo kwa usawa. Tuma mtiririko mpya ulioidhinishwa pande zote mbili na uthibitisha kuwa kifaa kile kimoja kiliona nusu zote mbili. Kisha endesha trafiki endelevu na uanzishe failover iliyoidhinishwa, ukiangalia kama vikao vilivyoanzishwa vinaendelea au vinaunganisha upya.

Husisha kila mtiririko na kifaa kilichoushughulikia. Kunasa pakiti kwenye NVA moja hakuambii karibu chochote ikiwa jibu halikurudi kamwe hapo.

Hatimaye, andika mpango kama mistari mitatu tofauti: umiliki wa njia, uelekezaji wa trafiki na umiliki wa hali ya kikao. Miundo huvunjika wakati mbili za kwanza zimetatuliwa na ya tatu ikidhaniwa.