Peering ya Azure au VPN kutoka VNet hadi VNet? Amua kabla ya uelekezaji

Azure inakupa angalau njia mbili za kuunganisha mitandao miwili pepe, na si mipangilio inayobadilishana kwenye kitu kimoja. Peering huunganisha VNet kwenye uti wa mgongo wa Microsoft bila lango; VPN kutoka VNet hadi VNet huweka uhusiano wa IPsec kati ya malango mawili unayoyaweka, unayopima ukubwa na unayofuatilia. Uamuzi unakuja kwa masharti matatu, na ikiwa huwezi kujibu yote matatu kabla ya kuongeza njia, unakaribia kujenga njia ya kuzunguka kwa modeli ambayo hukuwahi kuichagua.

Masharti matatu yanayoamua modeli

La kwanza ni kama kitu katika hitaji linahitaji mpaka wa IPsec ambao ni wako na unaweza kuuelekeza. La pili ni kama nafasi za anwani ni safi na VNet mbili zinahitaji tu kuzungumza zenyewe. La tatu ni nani anamiliki njia yoyote ya upitishaji na bili ya lango. Jibu kwa mpangilio huo, kwa sababu la kwanza linaweza kuondoa peering hata la pili likionekana la kuvutia kiasi gani.

Kinachoshirikiwa na modeli zote mbili ni kanuni ngumu ya anwani: nafasi za anwani za VNet hazipaswi kupishana. Peering wala VPN kutoka VNet hadi VNet si njia inayotumika kufanya safu mbili zinazofanana ziwe wazi, na mwingiliano unahitaji muundo wa ramani au muundo upya, si aina nyingine ya muunganisho.

Sharti 1: unahitaji mpaka wa IPsec ambao ni wako?

Peering husafirisha trafiki kwenye uti wa mgongo wa faragha wa Azure na hauhitaji lango la VPN kwa muunganisho wa peered wenyewe. Hiyo ni kauli kuhusu usafirishaji, si kauli kuhusu usimbaji fiche ambayo unaweza kumpa mkaguzi kama «tunatumia IPsec». Ikiwa hitaji linataja handaki iliyowekwa na mteja, sera mahususi ya IKE au mpaka unaoishia kwenye kifaa unachokidhibiti, peering haikidhi hilo, hata uti wa mgongo uwe wa faragha kiasi gani.

VPN kutoka VNet hadi VNet hutoa mpaka huo: malango mawili, uhusiano wa IPsec/IKE, funguo zinazoshirikiwa na uso wote wa uendeshaji unaokuja nao. Unarithi hali ya handaki, uwezo wa lango, mipaka ya SKU na ufuatiliaji unaothibitisha kuwa handaki iko juu. Hiyo ni jibu sahihi wakati hitaji linahusu hasa mpaka huo, uliofafanuliwa katika muhtasari wa peering kama aina tofauti ya muunganisho.

Kuwa mwangalifu sawa kwa upande mwingine. «Tunahitaji usimbaji fiche kati ya VNet» mara nyingi hutimizwa na TLS ya mzigo wa kazi yenyewe, na hapo lango ni gharama isiyo na hitaji nyuma yake. Andika sentensi ambayo mkaguzi atasoma kabla ya kuchagua utaratibu.

Sharti 2: topolojia ni ya moja kwa moja, au kitu kinahitaji kupitia?

Peering si ya kupitisha. VNet mbili zilizopewa peering kwa kitovu hazikuunganishwa kwa hilo, na njia inayoonekana kufanya kazi upande mmoja kwa kawaida ni peering iliyofikia Connected upande mmoja tu. Pande zote mbili lazima ziwepo na zote mbili zionyeshe Connected, na hilo ndilo la kwanza unalokagua trafiki inapotoweka kimya.

Ikiwa hitaji ni kufikia mtandao wa ndani kupitia kitovu, upitishaji wa lango ni muundo tofauti wenye majukumu mahususi: kitovu kinamiliki lango, peering ya spoke inaruhusu upitishaji wa lango, na spoke lazima iruhusu trafiki inayosambazwa. Hizi ni sifa kwenye peering, si matokeo ya kiotomatiki ya kuunganisha VNet:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Jedwali la njia lenye matokeo ni jibu la uaminifu kwa «njia ipo?». Linaonyesha aina ya hatua inayofuata ambayo jukwaa litatumia kwa kweli, kwa hiyo peering inayoonekana imesanidiwa lakini haijaunganishwa inaonekana kama njia inayokosekana au isiyo sahihi badala ya fumbo.

Sharti 3: nani anamiliki njia ya upitishaji na bili?

Kila hatua ya ziada ina mmiliki. Kwa peering, VNet mpya inamaanisha jozi mpya ya peering pande zote mbili na, kwa upitishaji, kitovu kinachoendelea kusambaza trafiki na jedwali la njia linaloendelea kuielekeza. Kwa VPN, VNet mpya inamaanisha lango lingine au muunganisho mwingine kwenye lango lililopo, na kikomo chake cha uwezo cha kufuatilia.

Gharama inafuata umbo lilelile lakini si vitu vilevile: ada za peering ni muunganisho na uhamishaji wa data, wakati VPN inaongeza saa za lango na ada zake za uhamishaji. Linganisha jumla kwa topolojia utakayoendesha kwa kweli kwa mwaka mmoja, ikiwa ni pamoja na handaki ya pili na ufuatiliaji, si bei ya muunganisho mmoja leo. Jumuisha kazi ambayo hakuna anayeitoza ankara: mtu anapaswa kuzungusha funguo, kufuatilia hali ya handaki na kujibu tahadhari saa tatu usiku lango linapowaka upya. Kipengele hicho kwa kawaida huamua mjadala, kwa sababu ndicho pekee ambacho hakiishi kutokea kwenye nukuu ya bei.

Chochote utakachochagua, jaribu mikondo mitatu: ile iliyokusudiwa, iliyokataliwa ambayo inapaswa kubaki imekataliwa, na kesi ya urejeshaji ambapo lango la kitovu au peering iko chini. Modeli inayoeleza njia ya furaha pekee haijathibitishwa, imeonyeshwa.

Thibitisha chaguo dhidi ya madai yake yenyewe

Andika sentensi moja inayotaja modeli, mpaka na mmiliki, kisha angalia kwamba hali iliyowekwa inalingana nayo. Kwa peering hiyo inamaanisha hali zote mbili za peering ziko Connected, njia yenye matokeo inaonyesha hatua inayofuata ya peering kwa kiambishi cha lengwa, na hakuna lango kwenye njia. Kwa VPN kutoka VNet hadi VNet inamaanisha muunganisho wote wawili uko Connected, funguo na sera zinazolingana kwenye malango yote mawili, na njia ambayo hatua yake inayofuata ni lango la mtandao pepe.

Ikiwa ukaguzi unapingana na sentensi, rekebisha kwanza sentensi. Machafuko mengi katika miundo hii yanatoka kwa mseto ambao hakuna aliyeeleza: peering kwa subneti ya mzigo wa kazi, VPN kwa huduma moja ya zamani na jedwali la njia linalopendelea moja kwa kimya.