ExpressRoute pamoja na VPN: ni maeneo gani ya kushindwa unayoshughulikia?

Tuneli ya IPsec inayotumia peering ya kibinafsi ya ExpressRoute inaongeza usimbaji fiche kwenye usafirishaji ambao tayari upo. Tuneli ya pili inaboresha upatikanaji wa mwisho, na haifanyi chochote kabisa kwa njia ya mtoa huduma iliyo chini ya zote mbili. Tofauti hiyo ni rahisi kupoteza wakati dashibodi zinaonyesha tuneli mbili za kijani na ukaguzi wa muundo unauliza swali lingine: ni kushindwa gani muunganisho huu unapaswa kuvumilia? Jibu hilo kwanza, kisha hesabu tuneli, kwa sababu idadi ya viashiria vya kijani ni sifa ya tabaka la usimbaji fiche na idadi ya maeneo ya kushindwa ni sifa ya njia nzima.

Anza na kushindwa, si kwa tuneli za kijani

Andika mistari minne kabla ya kuchora chochote: mwisho mmoja wa VPN au nakala moja ya peer kushindwa, kipanga njia cha ndani au muunganisho wa maili ya kwanza kushindwa, njia ya pamoja ya ExpressRoute kushindwa, na IPsec kutopatikana wakati peering ya kibinafsi bado inabeba trafiki. Kila mstari unataja kile muundo unapaswa kuhifadhi, na kila mmoja unajibiwa na utaratibu tofauti.

Microsoft inaandika VPN ya tovuti-hadi-tovuti na IP ya kibinafsi juu ya peering ya kibinafsi ya ExpressRoute, pamoja na ushirikiano unaoungwa mkono na miunganisho ya tovuti-hadi-tovuti inayotegemea intaneti. Ushirikiano huo ni muundo tofauti wa tabaka la chini, na hauonekani tu kwa sababu umeongeza mwisho mwingine wa tuneli ya kibinafsi.

Eneo la kushindwa 1: mwisho wa VPN

Tuneli mbili kwenye lango moja kwa kawaida ni jozi za active-active zinazoishia kwenye rasilimali moja ya upande wa Azure. Zinalinda dhidi ya tatizo la tuneli moja au nakala moja, na hazilindi dhidi ya rasilimali hiyo kutopatikana, kusanidiwa upya au kuishiwa uwezo. Upungufu wa mwisho unamaanisha mwisho wa pili unaoungwa mkono, na njia yake na usanidi wake, pamoja na njia inayoweza kuufikia.

Angalia kile ulichoweka kwa kweli na si kile mchoro unasema, kwa sababu lango huweka rasilimali hizi katika makundi kwa njia zinazoficha uhusiano wao:

az network vpn-connection show -g rg-connectivity -n vpn-to-hub   --query '{conn:connectionStatus,tunnels:tunnelConnectionStatus}'
az network vnet-gateway show -g rg-connectivity -n gw-hub   --query '{sku:sku.name,activeActive:enableBgp,peers:bgpSettings.peers}'

Ikiwa tuneli zote mbili zinaelekeza kwenye lango moja lenye IP moja ya umma, una upungufu wa mwisho wa aina maalum na wenye kikomo. Huo unaweza kuwa hasa kile mahitaji yanayouliza, na inapaswa kusemwa hivyo badala ya kuelezewa kama muunganisho wa ziada.

Eneo la kushindwa 2: njia ya ndani na mtoa huduma

Chini ya usimbaji fiche kuna ukweli wa kimwili na kibiashara: kifaa cha ukingo wa mteja, muunganisho wa kuvuka, mtandao wa mtoa huduma na eneo la peering. mwongozo wa upatikanaji wa ExpressRoute unasema wazi kwamba upungufu kutoka mwisho hadi mwisho unajumuisha sehemu za mteja na mtoa huduma, si upande wa Microsoft pekee. Njia mbili za kimantiki zinazoshiriki kipanga njia, umeme au muunganisho wa maili ya kwanza bado zinashiriki utegemezi huo.

Hapa ndipo muundo kwa kawaida unashindwa ukaguzi wa uaminifu. Mizunguko miwili kutoka kwa mtoa huduma mmoja, inayoishia katika jengo moja, kwenye vifaa vya oda moja ya ununuzi, si maeneo mawili ya kushindwa. Ni eneo moja la kushindwa lenye ankara mbili.

Uliza mtoa huduma swali kwa maandishi: ni njia gani kati ya hizi zinagawanyika, wapi, na tabia iliyoandikwa ni ipi wakati sehemu inayoshirikiwa inashindwa? Uhakikisho wa mdomo wakati wa simu ya muundo hauvumilii hitilafu unayounda kwa ajili yake.

Eneo la kushindwa 3: njia inayobaki bila IPsec

Peering ya kibinafsi na IPsec zinaweza kutoa njia shindani kwenye kiambishi kimoja cha programu. Ikiwa njia iliyolindwa itatoweka, njia ya moja kwa moja ya ExpressRoute iliyobaki inaweza bado kutumika, bila tabaka la usimbaji fiche ambalo tuneli ilitoa. Ikiwa hilo linakubalika ni uamuzi wa sera, na ndio uamuzi unaoachwa bila kusemwa mara nyingi zaidi.

Mahitaji ya usimbaji fiche na mahitaji ya upatikanaji yanaweza kugongana kwa kweli hapa. «Njia yoyote iliyobaki inahesabiwa kama mafanikio» ni tamko la upatikanaji ambalo hujibu kwa utulivu swali la usimbaji fiche kwa «hapana». Andika lipi linashinda, kwa viambishi gani, na nani aliidhinisha.

az network vnet-gateway list-advertised-routes -g rg-connectivity -n gw-hub --peer 10.0.0.1
az network vnet-gateway list-learned-routes -g rg-connectivity -n gw-hub -o table

Linganisha njia zilizojifunza na viambishi ulivyotarajia. Njia mbadala inayobeba mzigo mdogo wa kiutawala inaweza kuwa ya kutosha kabisa kwa mzigo huo na mbali sana na uwezo unaohitajika na mahitaji ya uzalishaji, kwa hiyo andika dhana ya uwezo kando ya njia.

Andika mistari mitatu tofauti, si uamuzi mmoja

Weka upungufu wa mwisho, upungufu wa usafirishaji na urejeshaji baada ya maafa kama maingizo tofauti katika rekodi ya muundo, kila moja na utaratibu wake, uthibitisho wake na mmiliki wake. Wakati ukaguzi wa tukio unauliza kwa nini muunganisho ulivumilia kuanzishwa upya kwa lango lakini si kukatwa kwa nyuzi, mistari mitatu hujibu kwa sentensi moja; kisanduku kimoja cha «ziada» hakiwezi.

Kisha jaribu mistari unayoweza kujaribu kwa bei ndogo. Shindisha tuneli moja na uthibitisha kwamba trafiki inahama na kusimbwa upya. Ondoa njia moja na uthibitisha kwamba njia iliyobaki ndiyo uliyokusudia, kisha uthibitisha ikiwa bado imesimbwa. Andika kushindwa ambazo hukuweza kuiga, kwa sababu mstari usiojaribiwa ni dhana na unapaswa kuwekewa alama hivyo.

Matokeo yenye manufaa ni jedwali fupi pamoja na sentensi kwa kila mstari. Ikiwa mstari hauna utaratibu, hicho ndicho ugunduzi, na ni nafuu sana kuugundua katika ukaguzi wa muundo kuliko wakati wa hitilafu ya mtoa huduma ambayo tuneli zote mbili hazingeweza kuivumilia.