VPN ya IP ya faragha ya Azure kupitia ExpressRoute bila NVA

Hadithi ni kwamba kusimba trafiki kupitia peering ya faragha ya ExpressRoute kunahitaji kifaa pepe cha mtandao. Hakihitaji. Azure inaunga mkono Site-to-Site VPN Gateway ambayo ncha yake ya handaki ni anwani ya faragha ya RFC1918 inayobebwa kupitia mzunguko, na kifaa ni cha hiari, si cha kimuundo. Kile ambacho hadithi ya kifaa inaficha ni sehemu inayoumiza kweli: kuwasha ncha ya faragha kwenye kitu kimoja badala ya viwili, na kuruhusu njia ya peering ya moja kwa moja kushinda kwa utulivu juu ya njia iliyosimbwa.

Hadithi ilikotoka

Madai hayo yana asili ya heshima. Kwa miaka mingi kichocheo cha vitendo cha IPsec juu ya peering ya faragha kilikuwa NVA, kwa sababu lango linalosimamiwa lilifichua ncha za umma tu. Hilo lilibadilika, na majibu yaliyoandikwa kabla ya mabadiliko bado yanatajwa katika nyuzi ambazo hakuna anayethibitisha tarehe. Marekebisho ni finyu: lango la VPN lenye anwani ya faragha lipo, na hubadilisha ncha, si mantiki ya uelekezaji kuizunguka.

Hakuna kati ya haya linalostaafu NVA. Linafanya kustaafu dhana kwamba kifaa ni njia pekee ya kufikia hitaji.

Washa ncha ya faragha katika ngazi mbili

Anza na muunganisho wa peering ya faragha ya ExpressRoute unaofanya kazi na unaounganishwa na VNet inayoshikilia lango la VPN. Upande wa ndani lazima uwe umeshafikia anwani za faragha zinazohusika kupitia mzunguko huo, kwa sababu handaki litatumia anwani hizo kama usafirishaji. Kisha sharti la lango: utaratibu wa Microsoft wa VPN ya IP ya faragha unahitaji lango lililojengwa juu ya rasilimali ya IP ya umma ya Standard. Anwani za faragha za handaki haziondoi sharti hilo, jambo linalowashangaza wale wanaodhani „faragha“ inamaanisha „hakuna IP ya umma mahali popote“.

Sasa washa bendera katika sehemu zote mbili. Mipangilio ya lango ina swichi yake kwa IP za faragha, na muunganisho binafsi wa Site-to-Site una wa pili unaoufanya muunganisho huo utumie anwani ya faragha. Kuweka kimoja bila kingine ni mipangilio isiyokamilika inayojulikana zaidi; handaki ama halianzishwi au huanzishwa kwenye ncha isiyo sahihi.

az network vnet-gateway update -g rg-net -n vpngw-prod --set enablePrivateIpAddress=true
az network vpn-connection update -g rg-net -n conn-onprem --set enablePrivateIpAddress=true
az network vnet-gateway show -g rg-net -n vpngw-prod \
  --query '{sku:sku,priv:enablePrivateIpAddress,active:activeActive}'

Thibitisha majina ya sifa dhidi ya toleo la CLI uliloweka, kwa sababu lebo za lango na sifa za CLI si lazima ziwe na maneno sawa. Lango tendaji-tendaji hufichua anwani mbili za handaki la faragha, na kifaa cha ndani kinahitaji wenza wote wawili kusanidiwa ikiwa unataka upungufu huo uwe na maana. BGP haihitajiki tu kuinua handaki hili la anwani ya faragha, ingawa kwa kawaida ni sehemu ya jinsi unavyosambaza viambishi.

Hadithi ya pili: handaki lililoanzishwa husimba trafiki yako

Njia mbili sasa zinafikia mtandao wa programu: njia ya moja kwa moja ya peering ya faragha na njia kupitia VPN. Zote zinafanya kazi. Ni moja tu inayotumia tabaka hili la IPsec. Microsoft inaandika kwamba viambishi vinavyofanana vinapotangazwa kupitia ExpressRoute na kupitia VPN, Azure inapendelea njia ya moja kwa moja ya ExpressRoute, kwa hivyo handaki zuri lenye vihesabu vizuri halithibitishi chochote kuhusu pakiti za programu zilokokwenda.

Mbinu zilizoandikwa za uelekezaji ni safu inayofunika kwenye ExpressRoute na safu iliyolindwa mahususi zaidi kwenye VPN, au viambishi visivyohusiana kwenye njia mbili. Kwa mfano, peering ya faragha inaweza kubeba 10.40.0.0/16 wakati VPN inatangaza 10.40.12.0/24. Kiambishi mahususi zaidi kinashinda na sehemu iliyobaki ya safu inabaki ya moja kwa moja.

az network vnet-gateway list-advertised-routes -g rg-net -n vpngw-prod
az network vnet-gateway list-learned-routes -g rg-net -n vpngw-prod
az network vpn-connection show -g rg-net -n conn-onprem --query connectionStatus

Fanya ukaguzi huo huo katika mwelekeo wa ndani, kwa sababu upendeleo wa kipanga njia chako huamua upande ambao trafiki inayotoka inatoka. Na weka usafirishaji wa handaki lenyewe kwenye njia ya ExpressRoute; njia inayovuta ncha ya faragha ya lango ndani ya handaki huifanya handaki lijitegemee lenyewe.

Amua kinachotokea handaki linapoanguka

Njia mahususi zaidi ya VPN hupotea handaki linapoanguka, wakati njia pana ya moja kwa moja inabaki. Trafiki basi inapita bila usimbaji fiche na kila kitu kinaonekana kizuri, ambayo ni hali mbaya zaidi ya kushindwa kwa hitaji lililopo ili kuhakikisha usimbaji fiche. Ikiwa hitaji linakataza kurudi huko, uelekezaji na sera ya ufikiaji lazima ziseme hivyo waziwazi badala ya kutegemea upatikanaji wa handaki.

Andika ni viambishi vipi vinaweza kubaki vifikikivu moja kwa moja na vipi lazima visimame njia iliyosimbwa inapokosekana. Kisha jaribu kesi inayoruhusiwa kwa trafiki halisi na linganisha vihesabu vya muunganisho, kwa sababu jedwali la njia peke yake halitakuambia kama hitaji la usimbaji linaendelea kutumika.

Mfumo huo pia hukuruhusu kutathmini NVA kwa vipengele vyake halisi, kama handaki nyingi, upitishaji au ukaguzi wa msambazaji, badala ya kuinunua kwa sababu ncha ni ya faragha.